Как организовать логирование безопасности

Question

Как вы организуете логирование событий безопасности в продукте, чтобы по нему можно было расследовать инциденты?

Техпрогон · Accepted Answer

Образцовый ответ: «Начинаю со списка событий, который согласую с командой: входы и их неудачи, MFA, сброс пароля, отказы в доступе, смена ролей, выгрузки, платежи. Формат JSON с обязательными полями: время UTC, пользователь, IP, действие, объект, результат, id запроса. Перечень событий: входы, отказы в доступе, админ-действия, критичные операции. Структурированный формат и обязательные поля, синхронизированное время, id запроса. Маскирование секретов и ПДн в общем логгере. Центральное хранилище с правом только на запись и ограниченным доступом. Правила обнаружения и алерты с владельцами. Сроки хранения и проверка, что расследование по логам реально возможно. Образцовый ответ: «Начинаю со списка событий, который согласую с командой: входы и их неудачи, MFA, сброс пароля, отказы в доступе, смена ролей, выгрузки, платежи. Формат JSON с обязательными полями: время UTC, пользователь, IP, действие, объект, результат, id запроса. Маскирование паролей, токенов и ПДн встраиваю в общий логгер, чтобы не зависеть от внимательности каждого. Логи уходят в центральную систему, приложение не может их менять. Поверх правила: всплеск неудачных входов, много 403 от одного пользователя, массовые выгрузки, у каждого алерта владелец и инструкция. Сроки хранения согласую с юристами. И раз в квартал проверяю на учении: можем ли по логам восстановить сценарий атаки».

Как организовать логирование безопасности

Вопрос

Попробуйте сами

Коротко

Что должно прозвучать в ответе

Что могут спросить следом

Разбор

Ещё по теме «Логирование, реагирование и ПДн»