Unzureichende Protokollierung und Überwachung

Protokollierung und Überwachung werden oft erst dann bedacht, wenn bereits etwas schiefgelaufen ist. Dabei kann das Fehlen einer ordnungsgemäßen Protokollierung und Überwachung sehr kostspielig sein.

Im einen Extremfall macht es das Fehlen von Protokollen bei einem Vorfall (ob sicherheitsrelevant oder nicht) unmöglich, den tatsächlichen Hergang zu rekonstruieren. Im anderen Extremfall kann eine zu umfangreiche Datenerfassung zu Datenschutzproblemen und damit zu Konflikten mit Aufsichtsbehörden führen.

Im Folgenden stellen wir Ihnen einige Best Practices vor, die Ihnen zu einer besseren Protokollierung und Überwachung verhelfen können.

Best Practices

Werfen wir einen Blick auf einige bewährte Verfahren für eine effektive Protokollierung und Überwachung.

Audit-Protokollierung für sensible Funktionen

Es ist wichtig, Audit-Protokolle für sensible Ereignisse zu erstellen, wie z. B. Anmeldeversuche (unabhängig davon, ob sie erfolgreich waren oder nicht), Änderungen an Benutzerkonten, den Zugriff auf oder die Änderung von sensiblen Daten sowie ähnliche Vorgänge. Dies gilt sowohl für den Zugriff durch normale Benutzer als auch durch interne oder administrative Benutzer.

Die Protokollierung dieser Vorgänge ist besonders dann entscheidend, wenn ein unbefugter Zugriff vermutet wird – egal, ob dieser von innen oder außen erfolgt ist.

Bei einem solchen Ereignis ist es wichtig, nachvollziehen zu können, auf welche Daten von wem zugegriffen wurde, um das Ausmaß und die Tragweite des Vorfalls zu verstehen.

Fehlerprotokollierung

Fehler- und Warnprotokolle sind nicht nur ein allgemeiner technischer Standard zur Überwachung des Anwendungszustands, sondern können auch als Frühwarnsystem dienen.

Wenn ein Angreifer versucht, eine Schwachstelle zu finden, erzeugt er häufig eine große Anzahl von Fehlern und Warnungen. Dies kann Ihnen einen Hinweis darauf geben, dass jemand eine Sicherheitslücke in Ihrer Anwendung entdeckt haben könnte.

Zentrale Speicherung von Protokollen

Protokolle sollten immer in Echtzeit an einen zentralen Ort übertragen und dort gespeichert werden. Dies stellt sicher, dass die Daten sofort für die Analyse durch ein SIEM-System zur Verfügung stehen und verhindert, dass ein Angreifer, der einen Server kompromittiert hat, Protokolle manipulieren oder löschen kann.

Aufbewahrung von Protokollen für einen definierten Zeitraum

Die bittere Realität ist, dass die meisten Sicherheitsverletzungen erst nach Tagen entdeckt werden; tatsächlich dauert es bei 20 % der Fälle Monate, bis sie bemerkt werden. Wenn zwischen dem Vorfall und der Entdeckung so viel Zeit vergeht, sind Protokolle oft die einzige Datenquelle, um den Hergang zu rekonstruieren.

Daher ist die Speicherung von Protokollen über einen klar definierten Zeitraum besonders wichtig. Standards wie PCI schreiben vor, dass Protokolle der letzten 3 Monate ohne oder mit nur geringer Verzögerung zugänglich sein müssen, während Protokolle für einen Zeitraum von bis zu 12 Monaten auf Anfrage wiederherstellbar sein müssen.

Dieser Ansatz bietet ein ausgewogenes Verhältnis zwischen der einfachen Untersuchung potenzieller Vorfälle und der Kostenkontrolle durch die Archivierung von Protokollen in einem Cold Storage.

Protokolle regelmäßig auf personenbezogene Daten prüfen

Protokolle sind hervorragend geeignet, um potenzielle Vorfälle zu untersuchen, doch in der Realität können sie selbst zum Auslöser eines Vorfalls werden.

Es ist ein schmaler Grat zwischen der notwendigen Informationsdichte für die Untersuchung von Vorfällen und einer übermäßigen Protokollierung. Es passiert leicht, dass versehentlich personenbezogene Daten in Protokollen landen, was zu Problemen mit Datenschutzbestimmungen führen kann.

Es ist wichtig, Protokolle regelmäßig auf personenbezogene Daten zu prüfen und sicherzustellen, dass diese entfernt werden.

‍