ISO 27002:2022 – Kontroll 8.15 – Loggning

Syfte med kontroll 8.15

Loggar – oavsett om det är i form av applikationsloggar, händelseloggar eller allmän systeminformation – utgör en nyckeldel för att få en top-down-vy av IKT-händelser och medarbetarnas åtgärder. Loggar gör det möjligt för organisationer att upprätta en tidslinje med händelser och granska både logiska och fysiska mönster över hela deras nätverk.

Att producera tydlig och lättillgänglig logginformation är en viktig del av en organisations övergripande IKT-strategi och åtföljs av många större informationssäkerhetskontroller som ingår i ISO 27002:2002.

Loggar bör:

• Registrera händelser.
• Samla bevis.
• Skydda sin egen integritet.
• Säkra loggdata mot obehörig åtkomst.
• Identifiera åtgärder och händelser som kan leda till informations-/säkerhetsintrång.
• Fungera som ett verktyg för att stödja interna och externa utredningar.

Attributtabell för kontroll 8.15

Kontroll 8.15 är en detektiv kontrollera det ändrar risken genom att anta ett tillvägagångssätt för loggning som uppfyller ovanstående mål.

Äganderätt till kontroll 8.15

Kontroll 8.15 handlar om IKT-operationer som utförs med hjälp av systemadministratörsåtkomst och faller under paraplyet nätverkshantering och underhåll. Som sådan bör ägandet av Kontroll 8.15 ligga hos IT-chefen eller motsvarande i organisationen.

Vägledning – Händelselogginformation

En "händelse" är varje åtgärd som utförs av en logisk eller fysisk närvaro på ett datorsystem – t.ex. en begäran om data, en fjärrinloggning, en automatisk avstängning av systemet, en filradering.

Kontroll 8.15 specifikt att varje enskild händelselogg ska innehålla 5 huvudkomponenter, för att den ska uppfylla sitt operativa syfte:

• Användar-ID – Vem eller vilket konto som utförde åtgärderna.
• Systemaktivitet – Vad hände
• Tidsstämplar – Datum och tid för nämnda händelse
• Enhets- och systemidentifierare och plats – vilken tillgång händelsen inträffade på
• Nätverksadresser och protokoll – IP-information

Vägledning – Eventtyper

Av praktiska skäl kanske det inte är möjligt att logga varje enskild händelse som inträffar på ett givet nätverk.

Med det i åtanke identifierar Control 8.15 nedanstående 10 händelser som särskilt viktiga för loggningsändamål, med tanke på deras förmåga att modifiera risker och den roll de spelar för att upprätthålla adekvata nivåer av informationssäkerhet:

1. Systemåtkomstförsök.
2. Försök att komma åt data och/eller resurser.
3. System/OS-konfigurationsändringar.
4. Användning av förhöjda privilegier.
5. Användning av verktygsprogram eller underhållsanläggningar (se Kontroll 8.18).
6. Begäran om filåtkomst och vad som hände (radering, migrering etc).
7. Tillträdeskontrolllarm och kritiska avbrott.
8. Aktivering och/eller inaktivering av front- och backend-säkerhetssystem, såsom antivirusprogram på klientsidan eller brandväggsskydd.
9. Identitetsadministrativt arbete (både fysiskt och logiskt).
10. Vissa åtgärder eller system-/dataändringar utförs som en del av en session i en applikation.

Som förklarats i Kontroll 8.17 är det mycket viktigt att alla loggar är länkade till samma synkroniserade tidskälla (eller uppsättning kurser), och i fallet med programloggar från tredje part, eventuella tidsavvikelser som tillgodoses och registreras.

Vägledning – Loggskydd

Loggar är den minsta gemensamma nämnaren för att fastställa användar-, system- och applikationsbeteende på ett givet nätverk, särskilt när man står inför en utredning.

Det är därför mycket viktigt för organisationer att se till att användare – oavsett deras behörighetsnivåer – inte behåller möjligheten att ta bort eller ändra sina egna händelseloggar.

Enskilda loggar bör vara fullständiga, korrekta och skyddade mot alla obehöriga ändringar eller driftsproblem, inklusive:

• Ändringar av meddelandetyp.
• Raderade eller redigerade loggfiler.
• Eventuellt misslyckande med att generera en loggfil, eller onödig överskrivning av loggfiler på grund av rådande problem med lagringsmedia eller nätverksprestanda.

ISO rekommenderar att loggar skyddas med följande metoder för att förbättra informationssäkerheten:

• Kryptografisk hashing.
• Inspelning endast med tillägg.
• Skrivskyddad inspelning.
• Användning av offentliga transparensfiler.

Organisationer kan behöva skicka loggar till leverantörer för att lösa incidenter och fel. Om detta skulle uppstå bör loggarna "avidentifieras" (se kontroll 8.11) och följande information ska maskeras:

• användarnamn
• IP-adresser
• Värdnamn

Utöver detta bör åtgärder vidtas för att skydda personlig identifierbar information (PII) i linje med organisationens egna datasekretessprotokoll och eventuell rådande lagstiftning (se kontroll 5.34).

Vägledning – Logganalys

När man analyserar loggar i syfte att identifiera, lösa och analysera informationssäkerhetshändelser – med slutmålet att förhindra framtida händelser – måste följande faktorer beaktas:

• Expertisen hos den personal som utför analysen.
• Hur loggar analyseras, i linje med företagets procedur.
• Typ, kategori och attribut för varje händelse som kräver analys.
• Alla undantag som tillämpas via nätverksregler som härrör från hårdvara och plattformar för säkerhetsprogramvara.
• Standardflödet av nätverkstrafik, jämfört med oförklarliga mönster.
• Trender som identifieras som ett resultat av specialiserad dataanalys.
• Hotintelligens.

Vägledning – Loggövervakning

Logganalys bör inte utföras isolerat, utan bör göras tillsammans med rigorösa övervakningsaktiviteter som lokaliserar nyckelmönster och avvikande beteende.

För att uppnå en dubbelfrontsstrategi bör organisationer:

1. Granska alla försök att komma åt säkra och/eller affärskritiska resurser, inklusive domänservrar, webbportaler och fildelningsplattformar.
2. Granska DNS-loggar för att upptäcka utgående trafik kopplad till skadliga källor och skadliga serveroperationer.
3. Samla dataanvändningsrapporter från tjänsteleverantörer eller interna plattformar för att identifiera skadlig aktivitet.
4. Samla in loggar från fysiska åtkomstpunkter, såsom nyckelkort/fob-loggar och information om rumsåtkomst.

Kompletterande information

Organisationer bör överväga att använda specialiserade verktyg som hjälper dem att söka igenom de enorma mängder information som systemloggar genererar, för att spara tid och resurser när de utreder säkerhetsincidenter, till exempel ett SIEM-verktyg.

Om en organisation använder en molnbaserad plattform för att utföra någon del av sin verksamhet, bör logghantering ses som ett delat ansvar mellan tjänsteleverantören och organisationen själva.

Stödkontroller

• 5.34
• 8.11
• 8.17
• 8.18

Ändringar och skillnader från ISO 27002:2013

ISO 27002:2002-8.15 ersätter tre kontroller från ISO 27002:2003 som handlar om lagring, hantering och analys av loggfiler:

• 12.4.1 – Händelseloggning
• 12.4.2 – Skydd av logginformation
• 12.4.3 – Administratörs- och operatörsloggar

27002:2002-8.15 bekräftar i stort sett alla vägledningspunkter från ovanstående tre kontroller till ett tydligt protokoll som hanterar loggning, med några anmärkningsvärda expansioner, inklusive (men inte begränsat till):

• En utökad uppsättning riktlinjer som handlar om skydd av logginformation.
• Ytterligare vägledning om de olika händelsetyperna som bör övervägas för granskning.
• Vägledning om hur loggar ska både övervakas och analyseras i ett gemensamt arbete för att förbättra informationssäkerheten.
• Råd om hur man hanterar loggar producerade av molnbaserade plattformar.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISMS.Online-plattformen hjälper till med alla aspekter av implementering av ISO 27002, från att hantera riskbedömningsaktiviteter till att utveckla policyer, procedurer och riktlinjer för att uppfylla standardens krav.

Med sin automatiserade verktygsuppsättning gör ISMS.Online det enkelt för organisationer att visa överensstämmelse med ISO 27002-standarden.

Kontakta oss idag för att BOKA EN DEMO.