brak logowania nieudanych prób logowania

Brak logowania nieudanych prób logowania to luka bezpieczeństwa uniemożliwiająca wykrycie prób nieautoryzowanego dostępu.

Dlaczego brak rejestracji nieudanych logowań utrudnia ocenę bezpieczeństwa

Brak logowania nieudanych prób logowania oznacza, że system nie zapisuje albo nie udostępnia informacji o odrzuconych próbach uwierzytelnienia. Użytkownik może wtedy widzieć jedynie końcowy skutek, na przykład zablokowane konto, nietypowe zużycie zasobów lub zmianę ustawień, bez możliwości ustalenia, kiedy rozpoczęły się podejrzane działania. Sama nieudana próba nie dowodzi jeszcze włamania, ponieważ może wynikać z literówki, starego hasła zapisanego w aplikacji albo błędnie skonfigurowanej usługi. Dopiero powtarzalny wzorzec, obejmujący wiele prób w krótkim czasie, różne konta lub nietypowe godziny, dostarcza istotnego sygnału diagnostycznego.

Prawidłowy wpis dotyczący odrzuconego logowania powinien zwykle zawierać co najmniej czas zdarzenia, nazwę używanego konta, rezultat uwierzytelnienia oraz źródło żądania, jeżeli dany mechanizm potrafi je ustalić. W zależności od systemu mogą być dostępne także informacje o metodzie logowania, nazwie komputera, procesie inicjującym żądanie lub przyczynie odrzucenia poświadczeń. Bez tych danych trudniej odróżnić pojedynczy błąd użytkownika od automatycznego sprawdzania haseł. Utrudnione jest również powiązanie zdarzenia z późniejszymi zmianami konfiguracji, instalacją programu lub nietypową aktywnością konta.

Jakie zdarzenia powinny trafiać do dziennika

Rejestrowanie powinno obejmować nie tylko nieudane logowanie do samego systemu, lecz także odrzucone próby dostępu do chronionych funkcji. W komputerze z systemem Windows informacje o uwierzytelnianiu mogą być zapisywane w dzienniku zabezpieczeń, a zdarzenia związane z nieudanym logowaniem lokalnym są identyfikowane między innymi przez identyfikator zdarzenia 4625. Ten identyfikator nie oznacza automatycznie ataku. Wymaga analizy pól wpisu, takich jak typ logowania, konto, komputer źródłowy i kod przyczyny. W innych systemach operacyjnych stosowane są odmienne dzienniki i identyfikatory, dlatego nie należy przenosić numeracji zdarzeń z jednego systemu do drugiego.

Ważne jest również rejestrowanie zdarzeń towarzyszących: blokady konta, odblokowania, zmiany hasła, utworzenia nowego konta, zmiany uprawnień oraz włączenia lub wyłączenia mechanizmów audytu. Dziennik powinien zachowywać poprawny czas, najlepiej synchronizowany z wiarygodnym źródłem czasu, ponieważ analiza kolejności zdarzeń bez prawidłowych znaczników czasowych może prowadzić do błędnych wniosków. Pliki dziennika muszą mieć określony limit rozmiaru i sposób rotacji. Jeżeli są nadpisywane zbyt szybko, zdarzenia poprzedzające problem mogą zostać utracone. Jeżeli nie są chronione przed modyfikacją, osoba mająca odpowiednie uprawnienia może zmienić lub usunąć ślady aktywności.

Konfiguracja audytu i interpretacja zapisów

Włączenie audytu nieudanych logowań powinno być połączone z ustaleniem, gdzie wpisy są zapisywane, jak długo pozostają dostępne i kto może je odczytywać. Samo zaznaczenie opcji audytu nie gwarantuje użytecznej diagnostyki, jeżeli dziennik jest wyłączony, ma zbyt mały rozmiar albo komputer nie zapisuje zdarzeń z właściwego modułu uwierzytelniania. Należy także sprawdzić, czy rejestrowane są próby lokalne, zdalne i wykonywane przez aplikacje, ponieważ różne ścieżki dostępu mogą korzystać z odmiennych mechanizmów. W środowisku domowym szczególnie istotne jest rozpoznanie, czy wpis dotyczy ręcznego logowania, usługi działającej w tle, zadania harmonogramu lub programu przechowującego nieaktualne hasło.

Interpretacja wymaga porównania wielu wpisów, a nie wyciągania wniosków z pojedynczego rekordu. Powtarzające się błędy dla jednego konta mogą wskazywać na zapomniane hasło w skonfigurowanej aplikacji, natomiast próby dotyczące wielu nazw kont sugerują inny wzorzec działania. Warto sprawdzić, czy zdarzenia występują po uruchomieniu konkretnego programu, po wznowieniu komputera ze stanu uśpienia albo po zmianie hasła. Należy zachować oryginalne wpisy wraz z pełnymi szczegółami, ponieważ skrócony komunikat z interfejsu często pomija pola potrzebne do ustalenia źródła i rodzaju próby. Nie powinno się usuwać dzienników tylko dlatego, że zawierają dużo powtarzalnych błędów; ich częstotliwość może być właśnie ważną informacją.

Sprawdzenie komputera po wykryciu braku logów

Diagnostykę warto rozpocząć od ustalenia, czy problem dotyczy samego zapisu, czy tylko sposobu prezentowania zdarzeń. Należy sprawdzić stan dziennika zabezpieczeń, ustawienia zasad audytu, dostępne miejsce na dysku, rozmiar pliku dziennika oraz moment jego ostatniej rotacji. Jeżeli wpisy są dostępne, trzeba przeanalizować ich szczegóły i porównać czas wystąpienia z logami aplikacji oraz komunikatami o blokadzie konta. Nie należy przywracać ustawień fabrycznych ani usuwać dzienników przed wykonaniem kopii istotnych informacji, ponieważ takie działania mogą zniszczyć materiał potrzebny do ustalenia przyczyny.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w ramach diagnostyki komputera można sprawdzić działanie systemu, dostęp do dzienników oraz powiązanie błędów logowania z konfiguracją urządzenia. Przydatne jest przygotowanie informacji o czasie pojawienia się problemu, używanym koncie, ostatnich zmianach hasła i programach uruchamianych w tle. Takie dane ułatwiają odróżnienie błędnej konfiguracji od objawów nieautoryzowanych prób dostępu i pozwalają dobrać dalsze działania do rzeczywistego stanu laptopa lub komputera stacjonarnego.