rejestr logowania

Rejestr logowania to zapis prób dostępu do konta wraz z datą i wynikiem.

Co dokładnie zapisuje rejestr logowań

Rejestr logowania to chronologiczna lista zdarzeń uwierzytelniania: kto próbował się zalogować, kiedy, z jakiego urządzenia lub adresu, jaką metodą i czy próba się powiodła. W systemie Windows takie wpisy trafiają do dziennika zabezpieczeń przeglądanego Podglądem zdarzeń, gdzie logowanie interaktywne, sieciowe i zdalne mają osobne oznaczenia. W usługach chmurowych i na kontach pocztowych odpowiednikiem jest zakładka aktywności lub historia sesji, pokazująca przybliżoną lokalizację, przeglądarkę i system operacyjny. Wspólne dla obu jest to, że rejestruje się nie tylko sukces, ale i nieudane próby, bo to one najczęściej zdradzają atak.

Dziennik systemowy a historia w usługach chmurowych

Różnica jest istotna przy analizie. Dziennik lokalny widzi tylko ten jeden komputer, ma ograniczony rozmiar i po zapełnieniu nadpisuje najstarsze wpisy, więc zdarzenia sprzed kilku tygodni mogą już nie istnieć. Historia w usłudze chmurowej sięga zwykle dalej wstecz i obejmuje wszystkie urządzenia podpięte do konta, ale pokazuje lokalizację wyliczoną z adresu IP, która przy połączeniu przez sieć operatora komórkowego lub VPN bywa myląca. Osobną kategorią są dzienniki routera i serwera firmowego. Rzetelna analiza polega na zestawieniu tych źródeł i porównaniu znaczników czasu, pamiętając o różnicach stref czasowych.

Jak czytać podejrzane wpisy

Alarmujące są serie nieudanych prób w krótkich odstępach, świadczące o zgadywaniu hasła, logowanie udane tuż po takiej serii, sesje z krajów, w których użytkownik nie był, oraz logowania w godzinach, gdy komputer był wyłączony. Sam pojedynczy wpis z nieznanego miasta nie jest jeszcze dowodem włamania, bo tak wygląda korzystanie z aplikacji mobilnej w podróży. Warto natomiast sprawdzić, czy na koncie nie pojawiły się reguły przekierowania poczty, dodatkowe adresy odzyskiwania lub nowe aplikacje z dostępem, bo to typowy ślad po przejęciu konta, znacznie trwalszy niż sama sesja.

Podejrzenie przejęcia konta lub komputera

Gdy wpisy wyglądają niepokojąco, kolejność działań ma znaczenie: najpierw sprawdzenie, czy komputer nie jest zainfekowany programem przechwytującym klawiaturę, a dopiero potem zmiana haseł, bo inaczej nowe hasło trafi w te same ręce. Warszawskie Pogotowie Komputerowe wykonuje takie przeglądy: analizuje dzienniki, usuwa złośliwe oprogramowanie, sprawdza ustawienia poczty i przeglądarek pod kątem podejrzanych rozszerzeń oraz pomaga włączyć logowanie dwuskładnikowe. Reagujemy przez całą dobę, także w nocy, bo zgłoszenia tego typu rzadko czekają do rana.