nadzór nad działaniami użytkownika

Nadzór nad działaniami użytkownika to rejestrowanie i analiza jego operacji zgodnie z polityką organizacji.

Zakres rejestrowania operacji użytkownika

Nadzór nad działaniami użytkownika w systemie komputerowym polega na zapisywaniu zdarzeń związanych z jego identyfikatorem, kontem, urządzeniem i wykonywaną operacją. Rejestrowane mogą być między innymi logowania i wylogowania, nieudane próby uwierzytelnienia, zmiany haseł, uruchamianie programów, podłączanie nośników USB, dostęp do plików, modyfikowanie uprawnień oraz wykonywanie poleceń w powłoce systemowej. Sam fakt zapisania zdarzenia nie oznacza jeszcze naruszenia bezpieczeństwa. Log powinien przede wszystkim umożliwiać ustalenie, kto wykonał operację, kiedy jej dokonano, z jakiego urządzenia oraz jakiego zasobu dotyczyła.

Warto rozróżnić monitoring aktywności od rejestrowania pełnej treści pracy użytkownika. Dziennik może zawierać nazwę procesu, identyfikator procesu, ścieżkę pliku, adres IP, identyfikator sesji i kod wyniku, ale nie musi przechowywać treści dokumentów ani zawartości komunikacji. Zakres danych ustala się na podstawie celu kontroli i możliwości technicznych używanego systemu. Zbyt ubogi zapis utrudnia analizę incydentu, natomiast bezplanowe gromadzenie wszystkich informacji zwiększa ilość szumu, utrudnia wyszukiwanie i podnosi wymagania dotyczące przechowywania.

Źródła danych i korelacja zdarzeń

Informacje o działaniach użytkownika mogą pochodzić z kilku niezależnych warstw komputera. System operacyjny zapisuje zdarzenia uwierzytelniania, uruchamiania usług i zmian konfiguracji. Mechanizmy kontroli dostępu mogą rejestrować odczyt, zapis, usunięcie lub zmianę uprawnień do wybranych plików i katalogów. Programy biznesowe prowadzą własne dzienniki, w których zapisują logowania, eksporty danych, zmiany ustawień i operacje administracyjne. Oprogramowanie ochronne może dodatkowo odnotować uruchomienie pliku wykonywalnego, zablokowanie procesu lub wykrycie połączenia sieciowego.

Analiza staje się bardziej wiarygodna po połączeniu zdarzeń z kilku źródeł. Przykładowo pojedyncze uruchomienie interpretera poleceń może być normalnym elementem pracy administratora, ale sekwencja obejmująca logowanie z nowego adresu, utworzenie procesu, odczyt wielu plików i skopiowanie danych na nośnik zewnętrzny wymaga dodatkowej weryfikacji. Do korelacji potrzebne są prawidłowe znaczniki czasu. Komputery uczestniczące w analizie powinny korzystać ze spójnego czasu systemowego, ponieważ różnice zegarów mogą zmienić kolejność zdarzeń i prowadzić do błędnych wniosków.

Każdy wpis powinien mieć określony poziom wiarygodności. Dziennik zapisany lokalnie może zostać usunięty przez użytkownika z uprawnieniami administracyjnymi albo utracony po awarii dysku. Dlatego w środowiskach wymagających kontroli logi często przesyła się do odrębnego systemu zbierania zdarzeń. Przy ocenie zapisu sprawdza się także, czy źródło jest aktywne, czy nie występują przerwy w logowaniu i czy identyfikator konta można jednoznacznie powiązać z konkretną sesją.

Reguły wykrywania i interpretacja zachowania

Nadzór nie powinien sprowadzać się do mechanicznego wyszukiwania pojedynczych słów lub nazw programów. Reguła wykrywająca nietypowe działanie powinna uwzględniać kontekst, na przykład porę dnia, używane urządzenie, zakres uprawnień konta, typ zasobu oraz częstotliwość operacji. Inaczej interpretuje się masowe odczyty plików wykonywane przez program kopii zapasowej, a inaczej takie same odczyty wykonywane przez interaktywną powłokę uruchomioną przez konto użytkownika.

Praktyczne reguły mogą wykrywać wielokrotne nieudane logowania, logowanie tego samego konta z odległych adresów w krótkim czasie, uruchomienie programu z katalogu tymczasowego, nagłą zmianę uprawnień, utworzenie nowego zadania automatycznego lub dostęp do dużej liczby plików poza typowym zakresem pracy. Reguła nie jest dowodem nadużycia. Powinna wygenerować zdarzenie do sprawdzenia, a osoba analizująca powinna porównać je z harmonogramem prac, zgłoszeniami serwisowymi, aktualizacjami i działaniem legalnych narzędzi systemowych.

Istotne jest odróżnienie działania użytkownika od działania procesu uruchomionego w jego kontekście. Program może wykonywać operacje przy użyciu tokenu bezpieczeństwa użytkownika, mimo że użytkownik nie wydał ręcznie każdego polecenia. Dlatego w logu warto analizować jednocześnie konto, proces nadrzędny, ścieżkę programu, podpis cyfrowy pliku oraz parametry uruchomienia. Sama nazwa procesu nie wystarcza, ponieważ legalny program może zostać zastąpiony innym plikiem o tej samej nazwie albo uruchomiony z nietypowej lokalizacji.

Praktyczne wykorzystanie zapisów w serwisie komputerowym

Podczas diagnostyki komputera dzienniki aktywności pomagają ustalić, czy problem pojawił się po instalacji programu, zmianie uprawnień, podłączeniu urządzenia albo modyfikacji konfiguracji użytkownika. W przypadku powtarzających się awarii można porównać czas błędu z uruchomionymi procesami, logowaniami i zmianami plików. Taki zapis nie zastępuje testu sprzętowego, kontroli temperatur, sprawdzenia pamięci operacyjnej ani badania stanu dysku, ale pozwala zawęzić moment i warunki wystąpienia problemu.

Przed analizą należy zabezpieczyć kopię dzienników wraz z informacją o czasie pobrania, źródle i zakresie danych. Nie powinno się uruchamiać nieznanych plików ani modyfikować badanego systemu bez zapisania stanu wyjściowego, ponieważ zmiany mogą zatrzeć kolejność zdarzeń. Po zakończeniu analizy warto ograniczyć retencję do okresu uzasadnionego celem technicznym, ustawić rotację logów oraz sprawdzić, czy brak miejsca na dysku nie powoduje zatrzymania rejestrowania. W ten sposób nadzór nad działaniami użytkownika pozostaje narzędziem odtwarzania faktów, a nie zbiorem przypadkowych wpisów bez kontekstu.