logi konta

Logi konta to zapisy aktywności powiązanej z konkretnym profilem użytkownika.

Aktywność konta rozsiana po kilku dziennikach

Ślad po tym, co robiło konkretne konto, nigdy nie leży w jednym miejscu. Osobno rejestruje się operacje na poziomie systemu operacyjnego, osobno działania w aplikacji branżowej, osobno korzystanie z usług chmurowych, a jeszcze gdzie indziej ruch przez urządzenia sieciowe. Każde z tych źródeł ma własny format czasu, własny okres przechowywania i własny sposób identyfikacji użytkownika — w jednym będzie nazwa konta domenowego, w drugim adres poczty, w trzecim wyłącznie adres sieciowy. Zestawienie ich w spójną oś czasu jest w praktyce trudniejsze niż samo zdobycie danych.

Co da się z nich odczytać poza samym faktem dostępu

Wartość takich zapisów tkwi w szczegółach otaczających zdarzenie. Zmiana hasła, dopisanie alternatywnego adresu odzyskiwania, dodanie aplikacji z dostępem do konta, utworzenie reguły przekierowania poczty czy zmiana uprawnień innego użytkownika — to operacje, które w porządnym dzienniku zostawiają odrębny wpis. Przy podejrzeniu przejęcia konta właśnie one są najcenniejsze, bo napastnik zwykle zaczyna od zbudowania sobie trwałego wejścia, a dopiero potem korzysta z dostępu. W systemach handlowych opartych o SQL Server analogiczną rolę pełni rejestr operacji na dokumentach, przechowujący nie tylko czas i użytkownika, ale też stan przed zmianą.

Ograniczenia, o których trzeba wiedzieć z góry

Zapisy prowadzone lokalnie może zmodyfikować ten, kto ma uprawnienia administracyjne na danej maszynie, więc przy poważnych sprawach liczą się dopiero dzienniki wysyłane na bieżąco na osobny serwer. Druga sprawa to okres przechowywania: usługi chmurowe udostępniają szczegółową historię za ograniczony czas wstecz, a starsze dane albo znikają, albo wymagają wyższego poziomu usługi. Trzecia to znaczniki czasu — część źródeł zapisuje czas uniwersalny, część lokalny, a pomylenie ich przesuwa całą rekonstrukcję o dwie godziny w okresie letnim. Czwarta to rozjazd między kontem a osobą: wpis wskazuje poświadczenia, nie człowieka, więc konto współdzielone przez kilku pracowników czyni cały zapis bezwartościowym dowodowo.

Rekonstrukcja zdarzeń w firmie po podejrzeniu nadużycia

Przy takich zleceniach najważniejsze jest zabezpieczenie materiału, zanim zacznie się cokolwiek zmieniać — kopiujemy dzienniki i tworzymy obraz nośnika, bo dalsza praca na oryginale niszczy część śladów. Dopiero potem zestawiamy aktywność kont z historią dokumentów w oprogramowaniu handlowym. Pracujemy w takich sprawach bez oglądania się na godziny i dni wolne, bo część źródeł nadpisuje się sama po kilku dniach.