logi użytkownika

Logi użytkownika to zapisy czynności wykonanych z poziomu konkretnego konta.

Co zapisuje system o działaniach konta

Logi użytkownika to zdarzenia powiązane z konkretnym kontem, gromadzone w Windows przez usługę dziennika zdarzeń i dostępne w konsoli uruchamianej poleceniem eventvwr.msc. Najwięcej mówi dziennik zabezpieczeń, gdzie zapisywane są udane i nieudane logowania, wylogowania, blokady konta oraz zmiany członkostwa w grupach. Każde zdarzenie ma numer identyfikacyjny, nazwę konta, nazwę stacji roboczej oraz typ logowania, który rozróżnia sesję lokalną, sieciową i zdalną. Obok dziennika zabezpieczeń działają dzienniki systemu i aplikacji rejestrujące odpowiednio zdarzenia sterowników i usług oraz komunikaty programów. Osobne, znacznie bogatsze zapisy prowadzą aplikacje serwerowe — SQL Server ma własny dziennik błędów i opcję rejestrowania prób logowania do instancji.

Rejestrowanie zdarzeń kontra monitoring na żywo

Dziennik zdarzeń jest z natury retrospektywny: odpowiada na pytanie, co się stało wczoraj o dwudziestej trzeciej. Do wykrywania problemów w trakcie służą inne narzędzia — podgląd bieżących sesji, monitor zasobów, systemy zbierające dane z wielu maszyn w jedno miejsce. W małej firmie sensownym kompromisem jest włączenie inspekcji tylko dla zdarzeń naprawdę potrzebnych oraz wydłużenie rozmiaru dziennika, bo domyślne ustawienia powodują nadpisywanie najstarszych wpisów po kilku dniach intensywnej pracy. Warto też pamiętać, że logi trzymane wyłącznie na komputerze, którego dotyczą, mają ograniczoną wartość dowodową — ktoś z uprawnieniami administratora może je wyczyścić, choć samo wyczyszczenie również zostawia wpis.

Interpretacja wpisów bez wyciągania fałszywych wniosków

Seria nieudanych logowań nocą rzadko oznacza włamanie na komputer stojący w biurze bez dostępu z zewnątrz — częściej jest to usługa lub zaplanowane zadanie działające na koncie ze zmienionym hasłem, które próbuje się uwierzytelnić w pętli. Podobnie logowanie typu sieciowego z nazwą własnego komputera to zwykle dostęp do udziału plikowego, a nie zdalne przejęcie. Realnym sygnałem alarmowym jest natomiast udane logowanie przez pulpit zdalny z adresu spoza firmowej sieci, nagłe dodanie konta do grupy administratorów albo wyczyszczenie dziennika zabezpieczeń w środku dnia roboczego. Osobna pułapka to poleganie na czasie zapisu bez sprawdzenia strefy czasowej i synchronizacji zegara — przy niezsynchronizowanym serwerze korelacja zdarzeń z dwóch maszyn prowadzi do błędnych wniosków.

Ustalanie przebiegu incydentu w firmie

Kiedy z firmowego komputera wyszła wysyłka, której nikt nie zlecił, zniknęły dokumenty albo ktoś zmienił dane w programie handlowym, przeglądamy dzienniki systemu, zapisy logowań i dziennik instancji SQL Servera, żeby odtworzyć kolejność zdarzeń. Przy okazji włączamy rejestrowanie tego, czego wcześniej nie zapisywano, żeby kolejny raz nie zostać bez danych. Zgłoszenia awaryjne przyjmujemy przez całą dobę, siedem dni w tygodniu.