Это какие-то неправильные логи

[infowatch]

Логи, которые пишет подавляющее большинство программ, предназначены сисадминам, а не безопасникам. Они ориентированы на настройку взаимодействия, на поиск ошибок и неверной конфигурации, на оптимизацию ресурсов, на учёт потребления. А нам нужно - для расследования инцидентов, для выявления злоупотреблений, для поиска злоинсайдеров. Это ж совсем

Comments

[wml3]

>Криминалистические логи пока не отпочковались от обычных.

Хочу примеры программ сознательно ведущих криминалистические логи.

[infowatch]

DLP-система нашего производства.

[wml3]

Это некрасиво.

[wml3]

И да, решение суда англосаксонской юрисдикции, где логи вашей DPL фигурировали бы в качестве криминалистических доказательств покажите.

[swilf]

Логи самой распространенной в России учетной системы, например, не отличают изменение данных от записи неизменного набора данных, не фиксируют сохранение данных во внешние файлы и не позволяют понять, какие именно поля из записываемого набора были модифицированы пользователем. Скажем, в ситуации, когда за анализируемый период один и тот же набор данных был изменен двумя или более пользователями, установить виновного с помощью лога оказывается невозможно, и расследование инцидента останавливается.

[wml3]

Вы не поверите, расследовать инциденты можно вообще без анализа и использования логов в качестве доказательств. Трудозатраты - да, будут выше. Но, это реально.

[swilf]

А я и не говорю, что расследование нереально. Говорю, что оно останавливается.

[evil_harconen]

Про логи.

Нет никаких принципиальных проблем писать логи, пригодные для расследования.
Надо только разработчику сказать что именно надо в них записывать, но находясь в пределах здравого смысла.

А пока что на вопрос "что" обычно дается ответ "всё и побольше, побольше!!!". Неудивительно, что такое протоколирование отключают сразу после запуска системы.

В реальности же разбор лога админом, разработчиком и следователем - три совершенно разные процедуры. И надо писать не "всё", ибо в этом "всём" можно найти доказательство, что земля держится на трёх китах, плывущих в океане слонов. Надо ориентироваться как на возможный уровень владения системой (у следователей - минимальный), так и на время, потраченное на разбор ситуации (у следователя - на два порядка больше, чем у прочих потребителей логов).

Так вот, в моей практике никто пока адекватных требований из безопасников не сформулировал.

[pesec]

Вроде как есть специальный термин: "audit log", в отличие от обычного лога.