brak audytu aktywności użytkownika

Brak audytu aktywności użytkownika to luka uniemożliwiająca weryfikację historii działań pojedynczego konta w systemie.

Na czym polega brak audytu aktywności użytkownika

Brak audytu aktywności użytkownika oznacza, że system nie zapisuje albo nie udostępnia wystarczających informacji o działaniach wykonywanych przez konkretne konto. Sama informacja, że konto zostało uwierzytelnione, nie jest jeszcze pełnym audytem. Do odtworzenia przebiegu pracy potrzebne są między innymi identyfikator użytkownika, rodzaj operacji, czas jej wykonania, rezultat oraz obiekt, którego dotyczyła. Bez takich danych nie da się wiarygodnie ustalić, kto zmienił ustawienie, usunął plik, nadał uprawnienie albo wykonał operację administracyjną.

Problem może wynikać z kilku przyczyn. Aplikacja może w ogóle nie generować zdarzeń audytowych, usługa rejestrująca może być wyłączona, a konfiguracja może zapisywać wyłącznie błędy techniczne bez wskazania konta. Częstym przypadkiem jest także nadpisywanie pliku dziennika po osiągnięciu limitu rozmiaru albo przechowywanie logów zbyt krótko. Wtedy system pozornie działa poprawnie, lecz po wystąpieniu incydentu nie ma materiału pozwalającego prześledzić sekwencję zdarzeń.

Jakie informacje powinny tworzyć użyteczny ślad zdarzeń

Użyteczny log audytowy powinien rozróżniać zdarzenia związane z logowaniem od działań wykonanych po zalogowaniu. W pierwszej grupie znajdują się między innymi udane i nieudane próby uwierzytelnienia, wylogowanie, wygaśnięcie sesji oraz zmiana metody logowania. W drugiej grupie mieszczą się operacje odczytu, utworzenia, modyfikacji i usunięcia danych, zmiany uprawnień, edycja konfiguracji oraz uruchomienie czynności wymagających podwyższonych uprawnień.

Każde zdarzenie powinno mieć jednoznaczny czas, najlepiej zapisany razem z informacją o strefie czasowej lub w uzgodnionym czasie UTC. Znaczenie ma również identyfikator sesji, nazwa urządzenia albo adres źródłowy, identyfikator obiektu i status operacji. Sam komunikat „zmieniono ustawienia” jest zbyt ogólny, jeżeli nie wskazuje, jakie ustawienie zmieniono i czy operacja zakończyła się powodzeniem. W systemie wieloskładnikowym przydatne jest też odnotowanie, czy uwierzytelnienie zakończyło się po dodatkowym potwierdzeniu. Nie należy jednak traktować adresu IP jako dowodu tożsamości użytkownika, ponieważ może być współdzielony przez wiele urządzeń lub zmieniać się podczas pracy.

Skutki braku rejestracji działań konta

Najpoważniejszym skutkiem jest utrata możliwości odtworzenia kolejności zdarzeń. Jeżeli plik został usunięty, konfiguracja zmieniona, a konto użyte do wykonania operacji, bez audytu można potwierdzić co najwyżej stan końcowy. Nie da się natomiast rozstrzygnąć, czy przyczyną była pomyłka użytkownika, automatyczna funkcja programu, nieaktualna konfiguracja czy przejęcie sesji. Utrudnia to także ocenę zakresu problemu, ponieważ nie wiadomo, jakie inne obiekty mogły zostać zmienione.

Brak śladów komplikuje diagnostykę awarii i wydłuża poszukiwanie przyczyny. Technik może porównać bieżącą konfigurację z kopią zapasową, sprawdzić ogólne komunikaty systemowe oraz odtworzyć zachowanie programu, ale takie działania nie zastępują historii użytkownika. Jeżeli logi istnieją, trzeba sprawdzić ich kompletność, synchronizację czasu, uprawnienia do odczytu, sposób rotacji oraz to, czy zwykłe konto może je modyfikować. Audyt ma wartość tylko wtedy, gdy zdarzenia są zapisywane konsekwentnie i pozostają dostępne przez okres obejmujący możliwe opóźnienie wykrycia problemu.

Sprawdzenie ustawień audytu na komputerze

Weryfikację warto rozpocząć od ustalenia, jakie konto wykonuje operację i w którym komponencie powstaje zdarzenie. Następnie sprawdza się ustawienia rejestrowania, dostępność dzienników, zakres zapisywanych kategorii oraz reakcję systemu na pełny nośnik lub osiągnięcie limitu pliku. Kontrolny test powinien obejmować bezpieczną zmianę ustawienia, ponowne odczytanie logu i sprawdzenie, czy wpis zawiera użytkownika, czas, nazwę operacji oraz wynik. Jeżeli system zapisuje jedynie komunikat ogólny, problem dotyczy nie tylko braku audytu, lecz także zbyt małej szczegółowości zdarzeń.

Na laptopie lub komputerze PC można również sprawdzić, czy zegar systemowy jest poprawny, czy dzienniki nie są regularnie czyszczone oraz czy aplikacja i system operacyjny mają aktualne mechanizmy rejestrowania. W razie niejasności warto zachować kopię istniejących logów przed zmianą konfiguracji, ponieważ ponowne uruchomienie usługi albo rotacja plików może usunąć najstarsze wpisy. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki może ustalić, czy przyczyną problemu jest konfiguracja systemu, działanie aplikacji czy niesprawność nośnika przechowującego dzienniki.