Журнал аудита
Определение
Журнал аудита — защищённая последовательность записей о значимых для безопасности событиях: что произошло, кто это сделал, над каким объектом и с каким результатом. Сам файл журнала полноты не доказывает: нужны отобранные события, достаточное содержимое записи, время и защита.
Также ищут: Audit log · аудит-лог · security audit trail
Зачем это знать
Без связанных свидетельств нельзя надёжно расследовать выдачу доступа, привилегированную сессию, обновление секрета или аварийное использование.
Карта понятия
Что подтверждено
NIST SP 800-92 рассматривает управление журналами как процесс организации: создание, передача, хранение, анализ, срок хранения и удаление.
Граница применимости: Управление журналами компьютерной безопасности в организации.
Наличие файла журнала не доказывает полную цепочку аудита: нужны выбранные события, достаточное содержимое, время, проверка и защита информации.
Граница применимости: Создание аудита и качество свидетельств.
Что проверить
- Запишите участника, цель и результат.
- Синхронизируйте время.
- Проверьте полноту и срок хранения.
Первоисточники
- Guide to Computer Security Log Management
Описывает enterprise log infrastructure, log generation, storage, analysis, retention и operational log management.
- Security and Privacy Controls for Information Systems and Organizations
Содержит controls для authorization, least privilege, separation of duties, privileged functions и protection of audit information.
Утверждения: 02