audyt dostępów

Audyt dostępów to weryfikacja tego, kto i kiedy uzyskał dostęp do systemu pocztowego lub jego zasobów.

Zakres audytu dostępów do poczty

Audyt dostępów polega na uporządkowanym sprawdzeniu, jakie konta, urządzenia, aplikacje i procesy uzyskały dostęp do systemu pocztowego lub zapisanych w nim zasobów. Analiza obejmuje między innymi logowania udane i odrzucone, datę oraz godzinę zdarzenia, adres IP, nazwę urządzenia, użyty protokół, identyfikator konta i rodzaj wykonanej operacji. W zależności od systemu rejestrowane mogą być także zmiany hasła, dodanie reguły przekierowania, utworzenie tokenu aplikacyjnego, zmiana uprawnień albo dostęp programu korzystającego z interfejsu API.

Sam fakt pojawienia się logowania w dzienniku nie przesądza jeszcze o nieuprawnionym użyciu konta. Ten sam użytkownik może korzystać z telefonu, komputera i klienta pocztowego działającego w tle, a adres IP może należeć do sieci firmowej, operatora komórkowego lub usługi VPN. Dlatego zdarzenia porównuje się z uzasadnionym harmonogramem pracy, znanymi urządzeniami, lokalizacją sieciową oraz informacją o zmianach konfiguracji. Istotne jest również rozróżnienie dostępu interaktywnego, wykonywanego przez człowieka, od dostępu automatycznego realizowanego przez synchronizację poczty, kalendarza lub kontaktów.

Jakie informacje powinny znaleźć się w dzienniku

Użyteczny dziennik audytowy powinien pozwalać odtworzyć kolejność zdarzeń bez zgadywania. Dla logowania potrzebne są co najmniej znacznik czasu, konto, wynik uwierzytelnienia i źródło połączenia. W praktyce analizuje się także metodę uwierzytelniania, identyfikator sesji, nazwę aplikacji oraz wersję klienta, jeśli system je zapisuje. W przypadku poczty znaczenie ma sposób dostępu: przeglądarka internetowa, aplikacja mobilna, klient korzystający z IMAP lub POP3, usługa przekazująca wiadomości albo integracja używająca tokenu. Różne metody mogą mieć osobne dzienniki i odmienny poziom szczegółowości.

Czas w logach musi być prawidłowo ustawiony i możliwy do porównania. Serwery oraz urządzenia powinny korzystać z synchronizacji czasu, ponieważ różnica kilku minut potrafi zmienić kolejność zdarzeń podczas sprawdzania incydentu. Dzienniki warto przechowywać w sposób ograniczający ich modyfikację przez zwykłego użytkownika, a dostęp do nich rejestrować oddzielnie. Nie należy jednak traktować logów jako kompletnego zapisu każdej czynności: system może nie rejestrować odczytu pojedynczej wiadomości, może skracać okres przechowywania danych albo zapisywać tylko zdarzenia administracyjne. Wnioski muszą więc uwzględniać zakres i ograniczenia konkretnego mechanizmu audytowego.

Wykrywanie nietypowych i niepożądanych dostępów

Podczas analizy szuka się wzorców odbiegających od normalnego użycia konta. Przykładem może być seria nieudanych prób uwierzytelnienia zakończona sukcesem, logowanie z nowej sieci bez wcześniejszej aktywności, nagła zmiana urządzenia lub jednoczesne sesje z odległych lokalizacji. Nie każda anomalia oznacza przejęcie konta, ale powinna zostać wyjaśniona. Szczególną uwagę zwraca się na zmianę hasła, wyłączenie dodatkowego składnika uwierzytelniania, utworzenie nowej aplikacji z dostępem do skrzynki oraz regułę automatycznie przekazującą wiadomości na zewnętrzny adres.

Wynik audytu powinien oddzielać fakty od hipotez. Faktem jest na przykład udane logowanie z określonego adresu IP o wskazanej godzinie albo utworzenie konkretnej reguły. Hipotezą pozostaje natomiast to, kto fizycznie korzystał z urządzenia, jeżeli log nie zawiera danych pozwalających na identyfikację osoby. Przy podejrzanym zdarzeniu zabezpiecza się kopię dostępnych logów, sprawdza aktywne sesje i tokeny, weryfikuje ustawienia przekazywania poczty oraz zmienia dane uwierzytelniające zgodnie z procedurą administratora. Działania naprawcze powinny być odnotowane, aby później można było odróżnić pierwotne zdarzenia od zmian wykonanych po wykryciu problemu.

Audyt dostępów a bezpieczeństwo komputera użytkownika

Nieprawidłowy dostęp do poczty może wynikać nie tylko z błędnej konfiguracji samego konta, lecz także z problemu na komputerze lub telefonie. Złośliwe oprogramowanie, zapisane hasło w niechronionym profilu przeglądarki, nieaktualny klient pocztowy albo rozszerzenie przechwytujące sesję mogą ułatwić wykorzystanie prawidłowo uwierzytelnionego dostępu. Przy ocenie zdarzeń warto więc porównać logi z historią używania urządzenia, listą zainstalowanych aplikacji, aktualizacjami systemu i informacjami o nietypowych komunikatach. Audyt nie zastępuje skanowania urządzenia, ale wskazuje, gdzie szukać przyczyny i od którego momentu należy sprawdzać zmiany.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego przy problemach z urządzeniem można zlecić sprawdzenie jego stanu technicznego, systemu operacyjnego oraz konfiguracji programów używanych do obsługi poczty. Taka diagnostyka może obejmować ocenę dysku, pamięci operacyjnej, stabilności systemu, obecności niepożądanego oprogramowania i poprawności aktualizacji. Wnioski z audytu dostępów pozostają jednak zależne od logów systemu pocztowego: naprawa komputera nie zmienia historii zapisanych po stronie usługi i nie potwierdza sama w sobie, kto wykonał wcześniejsze logowanie.