polityka archiwizacji bezpieczeństwa

Polityka archiwizacji bezpieczeństwa to zasady przechowywania logów i dowodów na potrzeby analizy incydentów.

Zakres polityki archiwizacji bezpieczeństwa

Polityka archiwizacji bezpieczeństwa określa, jakie logi, komunikaty systemowe i inne dowody techniczne są zapisywane, jak długo pozostają dostępne oraz w jaki sposób można potwierdzić ich autentyczność. Jej celem jest zachowanie materiału potrzebnego do odtworzenia przebiegu incydentu, na przykład nieudanego logowania, uruchomienia nieznanego procesu, zmiany konfiguracji zapory sieciowej albo usunięcia pliku. Sama obecność logów na komputerze nie wystarcza, ponieważ napastnik lub awaria może zmienić albo skasować lokalne pliki dziennika.

Zakres archiwizacji powinien obejmować źródła istotne dla konkretnego środowiska. Na komputerze z systemem Windows mogą to być między innymi dzienniki Security, System i Application w Podglądzie zdarzeń, a także logi programu antywirusowego, zapory i aplikacji wymagających uwierzytelnienia. W systemie Linux typowym źródłem są dzienniki systemd-journald lub pliki obsługiwane przez syslog, na przykład komunikaty jądra, usługi SSH i mechanizmu uwierzytelniania. Warto zapisywać również czas zdarzenia, identyfikator użytkownika, nazwę hosta, adres źródłowy, identyfikator procesu oraz wynik operacji, ponieważ bez tych pól późniejsze ustalenie przyczyny może być niepełne.

Dobór dowodów i spójność czasu

Archiwizacja nie powinna polegać na bezwarunkowym kopiowaniu każdego komunikatu. Najpierw ustala się zdarzenia istotne dla bezpieczeństwa i diagnostyki, a następnie definiuje minimalny zestaw pól, poziomów ważności oraz źródeł. Przykładowo przy analizie przejęcia konta przydatne są zdarzenia logowania zakończonego powodzeniem i błędem, zmiany haseł, dodawanie kont, modyfikacje uprawnień oraz uruchamianie usług. Przy podejrzeniu awarii nośnika większe znaczenie mogą mieć komunikaty systemowe dotyczące błędów wejścia-wyjścia, systemu plików i sterownika urządzenia.

Każdy zapis powinien mieć jednoznaczny czas i strefę czasową. Różnica kilku minut między zegarem komputera, serwera zbierającego logi i urządzeniem sieciowym może utrudnić ustalenie kolejności zdarzeń. W praktyce stosuje się synchronizację przez NTP, a w archiwum przechowuje się czas w UTC albo zapisuje wyraźne oznaczenie strefy. Należy także odnotować zmianę czasu systemowego, restart usługi rejestrującej i przerwy w odbiorze danych. Brak logów w określonym przedziale jest informacją, którą trzeba odróżnić od braku zdarzeń.

Ważnym elementem jest rozdzielenie logu od danych opisujących jego odbiór. System gromadzący powinien zapisać, kiedy otrzymał komunikat, z jakiego źródła pochodził i czy integralność transmisji została potwierdzona. Jeżeli komputer był przez pewien czas odłączony od sieci, zdarzenia zapisane lokalnie mogą dotrzeć później i mieć czas utworzenia wcześniejszy niż czas odebrania. Zachowanie obu wartości pozwala uniknąć błędnego wniosku, że urządzenie wygenerowało zdarzenie dopiero po ponownym połączeniu.

Retencja, kopie i ochrona przed zmianą

Okres przechowywania należy ustalić według rodzaju informacji, częstotliwości zdarzeń, pojemności nośników oraz potrzeb analizy. Dzienniki o dużej intensywności, takie jak komunikaty zapory, mogą szybko zapełnić dysk, dlatego stosuje się rotację plików i kontrolę wolnego miejsca. Rotacja nie może oznaczać automatycznego usuwania jedynej kopii bez sprawdzenia, czy starszy materiał został prawidłowo przekazany do archiwum. Warto rejestrować wynik każdej operacji eksportu, kompresji, szyfrowania i usuwania zgodnego z przyjętym okresem retencji.

Archiwum powinno być odseparowane od komputera, którego logi przechowuje. Ogranicza to ryzyko, że awaria dysku, złośliwe oprogramowanie lub administrator pracujący na zaatakowanym systemie zmieni także kopię dowodową. Stosuje się uprawnienia tylko do odczytu, oddzielne konta administracyjne, szyfrowanie podczas przesyłania i przechowywania oraz dodatkową kopię na innym nośniku. Zasada 3-2-1, czyli trzy kopie danych na co najmniej dwóch różnych rodzajach nośników, z jedną kopią przechowywaną poza głównym miejscem pracy, jest ogólną metodą ograniczania ryzyka utraty, ale jej wdrożenie musi uwzględniać konkretną konfigurację.

Integralność archiwum można kontrolować za pomocą funkcji skrótu, na przykład SHA-256. Skrót powinien być obliczony po zamknięciu pliku lub paczki archiwalnej i zapisany w miejscu chronionym przed modyfikacją. Późniejsze obliczenie skrótu i porównanie z wartością pierwotną wykrywa zmianę zawartości, choć samo w sobie nie dowodzi, kto dokonał zmiany. Dlatego trzeba również rejestrować dostęp do archiwum, eksport materiału, zmianę uprawnień i próbę usunięcia danych. Dla szczególnie ważnych zbiorów przydatny jest nośnik lub repozytorium z blokadą zapisu, która uniemożliwia edycję przed upływem zdefiniowanego okresu.

Weryfikacja archiwum podczas incydentu i serwisowania

Polityka jest użyteczna dopiero wtedy, gdy można ją sprawdzić w praktyce. Należy okresowo odtworzyć wybraną paczkę logów, zweryfikować jej skróty, sprawdzić czytelność plików oraz potwierdzić, że zakres dat i identyfikatory źródeł są kompletne. Test powinien obejmować także scenariusz braku miejsca, utraty połączenia z repozytorium, restartu komputera i uszkodzenia pojedynczego pliku. Wynik testu trzeba zapisać razem z informacją o wykrytych brakach, ponieważ niesprawdzona kopia może okazać się bezużyteczna dopiero w trakcie dochodzenia.

Podczas analizy incydentu nie należy pracować bezpośrednio na jedynej kopii materiału. Najpierw tworzy się kopię roboczą, zachowuje oryginalny plik, odnotowuje datę i sposób pozyskania oraz ogranicza dostęp do osób prowadzących analizę. Przydatne jest ustalenie identyfikatora sprawy, listy wykorzystanych źródeł i kolejnych operacji wykonanych na kopii. Jeżeli logi są eksportowane do formatu tekstowego lub CSV, trzeba zachować również format pierwotny, ponieważ konwersja może zmienić kodowanie, kolejność pól albo sposób zapisu czasu.

W przypadku problemów z laptopem lub komputerem PC warto odróżnić awarię samego systemu rejestrującego od utraty danych na nośniku. Diagnostyka może obejmować stan dysku, błędy systemu plików, dostępność miejsca, działanie usług odpowiedzialnych za logowanie oraz poprawność uprawnień do katalogów archiwum. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w razie usterki sprzętowej można zlecić sprawdzenie urządzenia oraz nośnika, na którym przechowywane są logi.