brak rejestrowania prób nieautoryzowanego dostępu

Brak rejestrowania prób nieautoryzowanego dostępu to luka bezpieczeństwa uniemożliwiająca wykrycie prób włamania do systemu.

Na czym polega brak rejestrowania prób nieautoryzowanego dostępu

Brak rejestrowania prób nieautoryzowanego dostępu oznacza, że system nie zapisuje informacji o zdarzeniach wskazujących na odrzucenie logowania, użycie nieprawidłowego hasła, próbę wykorzystania nieistniejącego konta albo dostęp do zasobu bez wymaganych uprawnień. Dziennik może nie powstawać wcale, może obejmować tylko część komponentów albo może zapisywać zdarzenia w sposób nietrwały, na przykład do pamięci operacyjnej. W każdym z tych przypadków administrator traci wiarygodny ślad aktywności związanej z uwierzytelnianiem i autoryzacją.

Rejestrowanie nie jest tym samym co blokowanie dostępu. Mechanizm kontroli dostępu może prawidłowo odrzucać żądania, ale bez dziennika nie wiadomo, kiedy do nich doszło, z jakiego adresu źródłowego pochodziły, jakiego konta dotyczyły ani jak często występowały. Z punktu widzenia bezpieczeństwa powstaje luka obserwowalności: system może reagować technicznie, lecz osoba odpowiedzialna za jego utrzymanie nie otrzymuje danych potrzebnych do wykrycia powtarzalnych lub skoordynowanych prób włamania.

Jakie informacje powinien zawierać użyteczny dziennik bezpieczeństwa

Wpis dotyczący nieudanego dostępu powinien możliwie dokładnie opisywać zdarzenie. Typowe pola obejmują znacznik czasu z informacją o strefie czasowej, nazwę usługi lub aplikacji, identyfikator konta, rodzaj operacji, wynik uwierzytelniania, adres IP, port źródłowy, nazwę hosta oraz identyfikator żądania. W systemach korzystających z wielu mechanizmów logowania przydatne są również dane o metodzie uwierzytelniania, na przykład hasło, klucz publiczny, token lub logowanie wieloskładnikowe. Zakres pól zależy od konkretnego systemu, ale wpis powinien pozwalać odtworzyć podstawowy przebieg zdarzenia.

Sam zapis nie gwarantuje jeszcze wartości diagnostycznej. Zegary urządzeń muszą być możliwie dobrze zsynchronizowane, ponieważ rozbieżne czasy utrudniają korelację wpisów z kilku komputerów. Dzienniki powinny mieć określony czas przechowywania, ochronę przed przypadkowym usunięciem oraz kontrolę dostępu ograniczającą możliwość ich modyfikacji. Warto także odróżniać pojedyncze błędne logowanie od serii zdarzeń, ponieważ pomyłka użytkownika i automatyczne próby odgadywania haseł mogą wyglądać inaczej dopiero po analizie częstotliwości, czasu oraz źródeł połączeń.

Skutki dla wykrywania włamania i analizy incydentu

Jeżeli odrzucone próby dostępu nie są rejestrowane, trudniejsze staje się wykrycie ataku typu brute force, w którym napastnik wielokrotnie sprawdza różne hasła, oraz ataku password spraying, polegającego na testowaniu jednego lub kilku popularnych haseł wobec wielu kont. Brak wpisów może również ukryć próby wykorzystania wyłączonego konta, zmianę parametrów logowania albo dostęp do panelu administracyjnego z nietypowej lokalizacji. Reguły monitorowania nie mogą zadziałać na danych, których system nie zebrał.

Konsekwencje są widoczne także po incydencie. Bez historii zdarzeń nie da się wiarygodnie ustalić, kiedy rozpoczęły się próby, które konta były celem, czy po serii błędów nastąpiło udane logowanie oraz jakie działania wykonano później. Utrudnia to rozdzielenie przyczyny od skutku i zwiększa ryzyko przeoczenia aktywnego dostępu osoby nieuprawnionej. Należy jednak pamiętać, że dzienniki nie zastępują silnych haseł, wieloskładnikowego uwierzytelniania, aktualizacji oprogramowania, ograniczania uprawnień ani ochrony urządzenia przed złośliwym oprogramowaniem. Rejestracja zdarzeń jest warstwą wykrywania i rozliczalności, a nie samodzielnym mechanizmem zapobiegania włamaniom.

Sprawdzenie rejestrowania na laptopie lub komputerze PC

Weryfikację należy rozpocząć od ustalenia, które elementy systemu odpowiadają za logowanie i kontrolę uprawnień. W komputerze z systemem Windows sprawdza się Podgląd zdarzeń oraz dziennik Zabezpieczenia, zwracając uwagę na zdarzenia udanych i nieudanych prób logowania, blokad kont oraz zmian w uprawnieniach. W systemach Linux analizuje się konfigurację usług logowania i pliki dzienników, takie jak odpowiednie logi uwierzytelniania, zależnie od użytej dystrybucji i konfiguracji. Nie należy zakładać, że obecność kilku wpisów oznacza pełne monitorowanie: trzeba sprawdzić, czy logowana jest właściwa usługa, czy wpisy mają poprawny czas oraz czy starsze dane nie są automatycznie nadpisywane.

Praktyczny test powinien korzystać z kontrolowanego konta i celowo błędnych danych logowania, bez wielokrotnego generowania prób mogących uruchomić blokadę. Po zdarzeniu należy potwierdzić pojawienie się wpisu, jego kompletność i możliwość odróżnienia testu od rzeczywistego incydentu. W razie braku zapisów przyczyną może być wyłączona polityka audytu, błędna konfiguracja usługi, przepełniony magazyn dzienników, niewystarczające uprawnienia albo filtr, który odrzuca zdarzenia przed zapisaniem. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę problemów z konfiguracją systemu, logowaniem oraz działaniem podzespołów.