Monitorowanie dostępu do danych

Monitorowanie dostępu do danych to rejestrowanie, kto i kiedy odczytywał lub zmieniał chronione informacje.

Rejestrowanie odczytów i zmian w plikach

Monitorowanie dostępu do danych polega na zapisywaniu zdarzeń związanych z plikami, katalogami, bazami danych lub innymi zasobami przechowującymi informacje. Rejestr może wskazywać konto użytkownika, nazwę procesu, czas operacji, adres urządzenia oraz rodzaj działania, na przykład odczyt, utworzenie, zmianę, usunięcie albo zmianę uprawnień. Sam fakt zapisania zdarzenia nie oznacza jeszcze, że dostęp był nieuprawniony. Do oceny potrzebne są również informacje o obowiązujących uprawnieniach i celu operacji.

W systemie Windows kontrola takich zdarzeń jest powiązana z inspekcją systemu plików oraz wpisami kontroli dostępu NTFS. Administrator może określić, jakie działania mają być rejestrowane dla wybranego pliku lub katalogu, na przykład pomyślne i nieudane próby odczytu albo modyfikacji. Zdarzenia są następnie zapisywane w dzienniku Security, który można przeglądać w Podglądzie zdarzeń. W praktyce warto ograniczać zakres inspekcji do istotnych lokalizacji, ponieważ rejestrowanie każdego odczytu na całym dysku szybko zwiększa liczbę wpisów i utrudnia analizę.

Uprawnienia, tożsamość i kontekst operacji

Wartość dziennika zależy od tego, czy system potrafi prawidłowo powiązać operację z tożsamością wykonującego ją konta. Dostęp przyznany grupie użytkowników powinien być analizowany razem z członkostwem konta w tej grupie, dziedziczeniem uprawnień oraz regułami odmowy. Należy też rozróżnić konto człowieka od konta usługi, procesu systemowego lub zadania uruchamianego automatycznie. Regularny odczyt pliku przez program kopii zapasowej może być prawidłowym działaniem, ale ten sam wzorzec z udziałem nieznanego procesu wymaga sprawdzenia.

W środowisku Windows szczegółowa analiza może obejmować identyfikator zdarzenia, identyfikator logowania, nazwę obiektu, proces oraz typ dostępu. W systemach Linux podobną funkcję może pełnić auditd, którego reguły wskazują obserwowane ścieżki i operacje systemowe. Przykładowo reguła audytu może rejestrować wykonanie operacji zapisu dla określonego pliku, ale jej składnia i zakres działania zależą od konfiguracji konkretnego systemu. Log powinien zawierać czas zsynchronizowany z pozostałymi urządzeniami, ponieważ bez poprawnej chronologii trudno zestawić dostęp do danych z logowaniem użytkownika, uruchomieniem programu lub zmianą konfiguracji.

Analiza dzienników i wykrywanie nietypowych wzorców

Monitorowanie nie kończy się na gromadzeniu wpisów. Trzeba ustalić, jakie zachowania są normalne dla danego komputera, a następnie wyszukiwać odchylenia. Przykładem może być nagły odczyt dużej liczby dokumentów przez konto, które zwykle korzysta tylko z kilku katalogów, seria nieudanych prób dostępu połączona z późniejszym sukcesem albo zmiana plików wykonywana poza typowymi godzinami pracy. Pojedyncze zdarzenie może wynikać z błędnej konfiguracji, dlatego wiarygodna ocena powinna uwzględniać serię operacji i ich związek z konkretnym procesem.

Dzienniki należy chronić przed nadpisaniem i nieuprawnioną modyfikacją. Przydatne jest ustalenie okresu przechowywania, limitu rozmiaru logu oraz sposobu alarmowania po zapełnieniu miejsca. Jeżeli logi pozostają wyłącznie na monitorowanym komputerze, osoba mająca odpowiednie uprawnienia może je usunąć lub zmienić konfigurację rejestrowania. Dlatego w rozwiązaniach wymagających większej kontroli wpisy bywają przekazywane do centralnego systemu zbierania logów. Podczas diagnostyki komputera należy sprawdzić, czy inspekcja jest włączona, czy dziennik nie jest pełny, czy zegar systemowy wskazuje poprawny czas oraz czy filtr nie pomija zdarzeń potrzebnych do odtworzenia przebiegu operacji.

Konfiguracja monitorowania na komputerze użytkownika

Na laptopie lub komputerze PC monitorowanie dostępu powinno być skonfigurowane adekwatnie do znaczenia przechowywanych plików i wydajności urządzenia. Zbyt szeroka inspekcja może powodować szybki przyrost dzienników, obciążenie dysku oraz dużą liczbę wpisów generowanych przez system i aplikacje. Zbyt wąska konfiguracja nie pokaże natomiast operacji na ważnych katalogach. Przed zmianą ustawień warto określić, które lokalizacje są istotne, jakie działania mają być rejestrowane i kto będzie analizował zdarzenia.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a podczas prac diagnostycznych można również zweryfikować stan dzienników systemowych, działanie uprawnień oraz konfigurację inspekcji dostępu do plików. Sprawdzenie obejmuje między innymi dostępność miejsca na dysku, błędy usług odpowiedzialnych za rejestrowanie zdarzeń, poprawność czasu systemowego i wpływ monitorowania na pracę komputera. Jeżeli problem dotyczy konkretnej aplikacji, analiza powinna objąć także jej własne logi, ponieważ system operacyjny może rejestrować dostęp do pliku, ale nie musi zapisywać szczegółów operacji wykonanej wewnątrz programu.