ISO 27002:2022, Kontroll 8.15 – Logging

Eierskap til kontroll 8.15

Kontroll 8.15 omhandler IKT-operasjoner som utføres ved bruk av systemadministratortilgang, og faller inn under paraplyen nettverksadministrasjon og vedlikehold. Som sådan bør eierskapet til Kontroll 8.15 ligge hos IT-sjefen, eller tilsvarende organisatorisk.

Veiledning – Hendelseslogginformasjon

En "hendelse" er enhver handling utført av en logisk eller fysisk tilstedeværelse på et datasystem – for eksempel en forespørsel om data, en ekstern pålogging, en automatisk systemavslutning, en filsletting.

Kontroller 8.15 spesifikt at hver enkelt hendelseslogg skal inneholde 5 hovedkomponenter, for at den skal oppfylle sitt operasjonelle formål:

• Bruker-ID – Hvem eller hvilken konto utførte handlingene.
• Systemaktivitet – Hva skjedde
• Tidsstempler – Dato og klokkeslett for nevnte hendelse
• Enhets- og systemidentifikatorer og plassering – Hvilken ressurs hendelsen skjedde på
• Nettverksadresser og protokoller – IP-informasjon

Veiledning – hendelsestyper

For praktiske formål er det kanskje ikke mulig å logge hver enkelt hendelse som skjer på et gitt nettverk.

Med det i tankene identifiserer Control 8.15 de 10 hendelsene nedenfor som spesielt viktige for loggformål, gitt deres evne til å endre risiko og rollen de spiller for å opprettholde tilstrekkelig informasjonssikkerhetsnivå:

1. Systemtilgangsforsøk.
2. Forsøk på data- og/eller ressurstilgang.
3. System/OS konfigurasjon endringer.
4. Bruk av forhøyede rettigheter.
5. Bruk av hjelpeprogrammer eller vedlikeholdsfasiliteter (se Kontroll 8.18).
6. Filtilgangsforespørsler og hva som skjedde (sletting, migrering osv.).
7. Adgangskontrollalarmer og kritiske avbrudd.
8. Aktivering og/eller deaktivering av frontend- og backend-sikkerhetssystemer, for eksempel antivirusprogramvare på klientsiden eller brannmurbeskyttelsessystemer.
9. Identitetsadministrasjonsarbeid (både fysisk og logisk).
10. Visse handlinger eller system-/dataendringer utført som en del av en økt i en applikasjon.

Som forklart i kontroll 8.17, er det svært viktig at alle logger er koblet til den samme synkroniserte tidskilden (eller sett med kurs), og i tilfelle av tredjeparts applikasjonslogger, eventuelle tidsavvik som tas hensyn til og registreres.

Veiledning – Loggbeskyttelse

Logger er den laveste fellesnevneren for å etablere bruker-, system- og applikasjonsatferd på et gitt nettverk, spesielt når de står overfor en undersøkelse.

Det er derfor svært viktig for organisasjoner å sikre at brukere – uavhengig av tillatelsesnivåer – ikke beholder muligheten til å slette eller endre sine egne hendelseslogger.

Individuelle logger skal være fullstendige, nøyaktige og beskyttet mot eventuelle uautoriserte endringer eller driftsproblemer, inkludert:

• Endringer av meldingstype.
• Slettede eller redigerte loggfiler.
• Enhver unnlatelse av å generere en loggfil, eller unødvendig overskriving av loggfiler på grunn av rådende problemer med lagringsmedier eller nettverksytelse.

ISO anbefaler at logger beskyttes ved å bruke følgende metoder for å forbedre informasjonssikkerheten:

• Kryptografisk hashing.
• Bare vedlegg opptak.
• Skrivebeskyttet opptak.
• Bruk av offentlige åpenhetsfiler.

Organisasjoner må kanskje sende logger til leverandører for å løse hendelser og feil. Hvis dette skulle oppstå, bør logger "avidentifiseres" (se kontroll 8.11) og følgende informasjon skal maskeres:

• brukernavn
• IP-adresser
• Vertsnavn

I tillegg til dette bør det iverksettes tiltak for å sikre personlig identifiserbar informasjon (PII) i tråd med organisasjonens egne datavernprotokoller, og eventuell gjeldende lovgivning (se kontroll 5.34).

Veiledning – Logganalyse

Når du analyserer logger med det formål å identifisere, løse og analysere informasjonssikkerhetshendelser – med det endelige målet å forhindre fremtidige hendelser – må følgende faktorer tas i betraktning:

• Kompetansen til personellet som utfører analysen.
• Hvordan logger analyseres, i tråd med selskapets prosedyre.
• Type, kategori og attributter for hver hendelse som krever analyse.
• Eventuelle unntak som brukes via nettverksregler som kommer fra maskinvare og plattformer for sikkerhetsprogramvare.
• Standardflyten av nettverkstrafikk sammenlignet med uforklarlige mønstre.
• Trender som identifiseres som et resultat av spesialisert dataanalyse.
• Trusseletterretning.

Veiledning – Loggovervåking

Logganalyse bør ikke utføres isolert, og bør gjøres i takt med strenge overvåkingsaktiviteter som identifiserer nøkkelmønstre og unormal atferd.

For å oppnå en tofrontstilnærming bør organisasjoner:

1. Gjennomgå alle forsøk på å få tilgang til sikre og/eller forretningskritiske ressurser, inkludert domeneservere, nettportaler og fildelingsplattformer.
2. Granske DNS-logger for å oppdage utgående trafikk knyttet til ondsinnede kilder og skadelige serveroperasjoner.
3. Samle databruksrapporter fra tjenesteleverandører eller interne plattformer for å identifisere ondsinnet aktivitet.
4. Samle logger fra fysiske tilgangspunkter, for eksempel nøkkelkort/fob-logger og romtilgangsinformasjon.

Tilleggsinformasjon

Organisasjoner bør vurdere å bruke spesialiserte hjelpeprogrammer som hjelper dem å søke gjennom de enorme mengdene informasjon som systemlogger genererer, for å spare tid og ressurser når de undersøker sikkerhetshendelser, for eksempel et SIEM-verktøy.

Hvis en organisasjon bruker en skybasert plattform for å utføre noen del av driften, bør loggadministrasjon betraktes som et delt ansvar mellom tjenesteleverandøren og organisasjonen selv.

Støttekontroller

• 5.34
• 8.11
• 8.17
• 8.18

Endringer og forskjeller fra ISO 27002:2013

ISO 27002:2002-8.15 erstatter tre kontroller fra ISO 27002:2003 som omhandler lagring, administrasjon og analyse av loggfiler:

• 12.4.1 – Hendelseslogging
• 12.4.2 – Beskyttelse av logginformasjon
• 12.4.3 – Administrator- og operatørlogger

27002:2002-8.15 bekrefter i stor grad alle veiledningspunktene fra de tre ovennevnte kontrollene til én klar protokoll som omhandler logging, med noen få bemerkelsesverdige utvidelser, inkludert (men ikke begrenset til):

• Et utvidet sett med retningslinjer som omhandler beskyttelse av logginformasjon.
• Ytterligere veiledning om de ulike hendelsestypene som bør vurderes for gransking.
• Veiledning om hvordan logger både skal overvåkes og analyseres i et felles arbeid for å forbedre informasjonssikkerheten.
• Råd om hvordan du administrerer logger produsert av skybaserte plattformer.

Hvordan ISMS.online hjelper

ISMS.Online-plattformen hjelper med alle aspekter ved implementering av ISO 27002, fra styring av risikovurderingsaktiviteter til utvikling av retningslinjer, prosedyrer og retningslinjer for å overholde standardens krav.

Med sitt automatiserte verktøysett gjør ISMS.Online det enkelt for organisasjoner å demonstrere samsvar med ISO 27002-standarden.

Kontakt oss i dag for planlegg en demonstrasjon.