گزارش های حسابرسی بیش از یک رکورد از آنچه پس از یک حادثه رخ داده است. وقتی به درستی جمع‌آوری، محافظت و بررسی شوند، به تیم‌های امنیتی کمک می‌کنند تا فعالیت‌های مشکوک را زودتر شناسایی کنند، حوادث را با اطمینان بیشتری بررسی کنند، و نشان دهند که کنترل‌های مهم همانطور که در نظر گرفته شده کار می‌کنند. برای سازمان‌هایی که بارهای کاری حیاتی تجاری را بر روی سرورهای اختصاصی اجرا می‌کنند، یک مسیر حسابرسی قابل اعتماد بخشی از امنیت روزانه و آمادگی برای انطباق طولانی‌مدت است.
گزارش های حسابرسی سرور چه چیزی را ثبت می کنند؟
گزارش حسابرسی رویدادهای حیاتی امنیتی ایجاد شده توسط سیستم عامل، برنامه‌های کاربردی، پایگاه‌های داده، سیستم‌های هویت و کنترل‌های شبکه را ثبت می‌کند. رویدادهای دقیق به محیط بستگی دارد، اما یک برنامه ثبت گزارش مفید معمولاً شامل موارد زیر است:
- تلاش برای احراز هویت کاربر و فعالیت جلسه
- تغییرات امتیازات و اقدامات اداری
- فایل ها، پایگاه داده و تغییرات پیکربندی
- فایروال، شبکه و رویدادهای کنترل امنیتی
- راه اندازی، خاموش شدن سرویس، خرابی ها، و فعالیت های غیرعادی فرآیند
- رویدادهای دسترسی به داده، صادرات یا حذف
این ارزش از ارتباط دادن رویداد به زمینه مناسب ناشی می شود: چه کسی عمل را انجام داد، چه چیزی تغییر کرد، چه زمانی اتفاق افتاد، از کجا شروع شد، و آیا اقدام موفق بود یا خیر. بدون این زمینه، استفاده از حجم زیادی از سوابق هنوز در طول یک تحقیق دشوار است.
چگونه گزارش های حسابرسی امنیت سرور را تقویت می کند
گزارش های حسابرسی با قابل مشاهده کردن فعالیت، امنیت را بهبود می بخشد. ورود ناموفق مکرر، افزایش غیرمنتظره امتیازات، زمان دسترسی غیرمعمول یا تغییرات پیکربندی حیاتی می‌تواند مسیر حمله را آشکار کند که در غیر این صورت پنهان می‌ماند. گزارش‌ها همچنین به تیم‌ها کمک می‌کنند رفتار عادی را با فعالیتی که مستحق بررسی بیشتر است مقایسه کنند.
ورود به سیستم به عنوان بخشی از یک استراتژی دفاعی گسترده تر به بهترین شکل عمل می کند. برای مثال، خط‌مشی‌های فایروال تطبیقی می‌توانند ترافیک ناخواسته را محدود کرده و نوردهی را کاهش دهند، در حالی که گزارش‌های حسابرسی تلاش‌های مرتبط، تغییرات خط‌مشی و فعالیت‌های اداری را ثبت می‌کنند. با هم، پیشگیری و شواهد به تیم های امنیتی دید واضح تری از آنچه سرور با آن مواجه است و نحوه استفاده از کنترل ها می دهد.
گزارش‌های حسابرسی از واکنش سریع‌تر حادثه پشتیبانی می‌کنند
هنگامی که یک رویداد امنیتی رخ می دهد، اولین سؤالات معمولاً کاربردی هستند: چه اتفاقی افتاد، کدام سیستم ها تحت تأثیر قرار گرفتند، چه زمانی فعالیت شروع شد، و کاربر یا فرآیند پس از آن چه کرد؟ یک دنباله حسابرسی کامل به محققین کمک می کند تا به جای تکیه بر حافظه، اسکرین شات های مجزا یا سوابق ناقص برنامه، یک جدول زمانی بسازند.
مجموعه متمرکز به ویژه زمانی مفید است که بارهای کاری از چندین سرور یا لایه های شبکه استفاده می کنند. این به تیم ها اجازه می دهد تا سوابق احراز هویت، فعالیت برنامه ها، رویدادهای فایروال و تغییرات سیستم را به هم مرتبط کنند. این می تواند زمان لازم برای شناسایی منبع یک حادثه را کوتاه کند، حساب یا سرویس آسیب دیده را در حالت تعلیق قرار دهد و تأیید کند که اقدامات بازیابی انجام شده است.
چرا گزارش های حسابرسی برای رعایت مقررات مهم است
بسیاری از چارچوب‌های نظارتی و صنعتی از سازمان‌ها انتظار دارند دسترسی را کنترل کنند، از اطلاعات محرمانه محافظت کنند، فعالیت‌های نامناسب را شناسایی کنند و رویدادهای مرتبط با امنیت را بررسی کنند. الزامات دقیق بسته به بخش و حوزه قضایی متفاوت است، اما گزارش‌های حسابرسی می‌توانند شواهدی را ارائه دهند که این کنترل‌ها به طور مداوم نظارت می‌شوند و عمل می‌کنند.
به عنوان مثال، محیط های پرداخت ممکن است نیاز به محافظت از گزارش های حسابرسی، همگام سازی زمان سیستم و بررسی رویدادهای مرتبط داشته باشند. برنامه‌های حفظ حریم خصوصی و امنیت اطلاعات ممکن است به سوابقی نیاز داشته باشند که به نشان دادن پاسخگویی، کنترل دسترسی و بررسی حوادث مشکوک کمک کند. ثبت گزارش به تنهایی یک سازمان را سازگار نمی کند، اما بدون گزارش های قابل اعتماد، اثبات اینکه چه کنترل هایی وجود داشته و چگونه اجرا شده اند بسیار دشوارتر است.
از یکپارچگی مسیر حسابرسی محافظت کنید
گزارش های حسابرسی فقط در صورتی ارزش اثباتی دارند که بتوان به آنها اعتماد کرد. مدیران نباید بتوانند بی سر و صدا سوابقی را که ممکن است بعداً برای بررسی یا ارزیابی مورد نیاز باشد، ویرایش یا حذف کنند. پادمان‌های متداول شامل محدود کردن دسترسی به فایل‌های گزارش، جداسازی مدیریت گزارش از مدیریت سرور معمولی، ارسال گزارش‌ها به یک مکان مرکزی امن، و نظارت بر تغییرات در خط لوله ورود به سیستم است.
همگام سازی زمان به همان اندازه مهم است. اگر سرورها رویدادها را با استفاده از ساعت‌های مختلف ضبط کنند، بازسازی خط زمانی حادثه دشوار می‌شود. منابع زمانی ثابت، مناطق زمانی مشخص، و پردازش تمبر مستند، ارتباط سوابق بین سیستم‌ها را آسان‌تر می‌کند و حسابرس را آسان‌تر درک می‌کند.
از کنترل‌های ترافیک و تقسیم‌بندی با ورود به سیستم استفاده کنید
ورود به سیستم باید نحوه طراحی محیط سرور را منعکس کند. هنگامی که سرویس‌های عمومی، برنامه‌های داخلی، پایگاه‌های داده و رابط‌های مدیریتی از هم جدا می‌شوند، تیم‌ها می‌توانند هشدارهای معنی‌دارتری تعریف کنند و فعالیت‌ها را بر اساس منطقه مشاهده کنند. تقسیم‌بندی ترافیک سرور اختصاصی همچنین می‌تواند به سازمان‌ها کمک کند تا نشان دهند که بارهای کاری حساس و مسیرهای اداری تحت دسترسی کنترل‌شده و مرزهای نظارت شده هستند.
هدف ثبت هر رویداد ممکن برای همیشه نیست. شناسایی سیستم‌ها، حساب‌ها، جریان‌های داده‌ها و اقداماتی است که بیشترین اهمیت را دارند، سپس اطلاعات قابل اعتماد کافی برای شناسایی سوء استفاده، بررسی حوادث و حمایت از اهداف کنترل مستند سازمان را جمع‌آوری می‌کند.
یک فرآیند عملی برای مدیریت گزارش حسابرسی ایجاد کنید
یک برنامه logging قوی به چیزی بیش از یک چک باکس در پیکربندی سرور نیاز دارد. توصیه می کنیم تعریف کنید:
- کدام سیستم ها و رویدادها باید ثبت شوند
- که می تواند به فایل های گزارش دسترسی، مدیریت و مشاهده کند
- نحوه ارسال، محافظت و بایگانی لاگ‌ها
- چه مدت انواع مختلف فایل های گزارش باید نگهداری شوند
- کدام سیگنال ها نیاز به بررسی فوری دارند
- بررسی ها، استثناها و حوادث چگونه مستند می شوند
حفظ باید از الزامات قانونی، قراردادی، عملیاتی و مبتنی بر ریسک پیروی کند. حفظ همه چیز به طور نامحدود می تواند مسائل مربوط به هزینه، حریم خصوصی و مدیریت داده ها را ایجاد کند. حذف زودهنگام سوابق ممکن است شواهد مورد نیاز برای تحقیق یا ممیزی را حذف کند. بنابراین، تصمیم حفظ باید مستند شده و زمانی که سیستم ها، مقررات یا ریسک های تجاری تغییر می کنند، بررسی شود.
اشتباهات رایج ثبت حسابرسی
سازمان‌ها اغلب گزارش‌ها را جمع‌آوری می‌کنند، اما هنوز برای استفاده از آنها تلاش می‌کنند. ضعف‌های رایج شامل ثبت فعالیت‌های موفقیت‌آمیز، ردیابی نشدن فعالیت‌های ممتاز، نگهداری گزارش‌ها در همان سرور، ناتوانی در ایمن‌سازی حساب ورود، استفاده از مهرهای زمانی متناقض، و هرگز آزمایش نکردن اینکه آیا هشدارها یا خط‌مشی‌های حفظ آن‌طور که انتظار می‌رود کار می‌کنند یا خیر.
اشتباه دیگر این است که انطباق را به عنوان یک تمرین کاغذبازی یکبار مصرف می‌دانیم. کنترل‌ها باید به‌طور دوره‌ای آزمایش شوند، بررسی‌های گزارش باید شواهدی از اقدامات بعدی ارائه دهند، و روش‌های بازیابی باید قبل از اینکه یک حادثه آنها را فوری کند، تأیید شود.
نتیجه گیری
گزارش‌های حسابرسی با قابل مشاهده کردن فعالیت‌های مهم، کمک به تیم‌ها برای شناسایی رفتار مشکوک، بازسازی حوادث و تأیید اینکه کنترل‌های امنیتی کار می‌کنند، امنیت سرور را حفظ می‌کنند. آنها با ارائه شواهد کنترل دسترسی، نظارت، بررسی، هماهنگ سازی زمان، حفظ و پاسخگویی از انطباق با مقررات حمایت می کنند.
برای کسب و کارهایی که به یک محیط کنترل شده برای بارهای کاری حساس به امنیت نیاز دارند، Dataplugs سرورهای اختصاصی و راه حل های میزبانی را ارائه می دهد که می تواند با شیوه های گزارش گیری ساخت یافته، فایروال، کنترل دسترسی و تقسیم بندی ترافیک هماهنگ شود. زیرساخت مناسب جایگزین برنامه انطباق نیست، اما می تواند پایه قوی تری برای اجرا و نشان دادن این کنترل ها فراهم کند.
برای اطلاعات بیشتر، به Dataplugs مراجعه کنید یا با sales@dataplugs.com تماس بگیرید.
