ISO 27002:2022, Controle 8.15 – Logboekregistratie

Eigendom van zeggenschap 8.15

Controle 8.15 gaat over ICT-bewerkingen die worden uitgevoerd met behulp van systeembeheerderstoegang en vallen onder de paraplu van netwerkbeheer en -onderhoud. Als zodanig moet het eigendom van Controle 8.15 berusten bij het hoofd IT, of het equivalent van de organisatie.

Begeleiding – Gebeurtenislogboekinformatie

Een 'gebeurtenis' is elke actie die wordt uitgevoerd door een logische of fysieke aanwezigheid op een computersysteem – bijvoorbeeld een verzoek om gegevens, inloggen op afstand, het automatisch afsluiten van het systeem, het verwijderen van bestanden.

Controle 8.15 specificeert dat elk individueel gebeurtenislogboek 5 hoofdcomponenten moet bevatten, zodat het zijn operationele doel kan vervullen:

• Gebruikers-ID – Wie of welk account de acties heeft uitgevoerd.
• Systeemactiviteit – Wat er is gebeurd
• Tijdstempels – Datum en tijd van de genoemde gebeurtenis
• Apparaat- en systeem-ID's en locatie: op welk asset de gebeurtenis heeft plaatsgevonden
• Netwerkadressen en protocollen – IP-informatie

Begeleiding – Typen gebeurtenissen

Voor praktische doeleinden is het wellicht niet haalbaar om elke afzonderlijke gebeurtenis die zich op een bepaald netwerk voordoet, te loggen.

Met dat in gedachten identificeert Control 8.15 de onderstaande tien gebeurtenissen als bijzonder belangrijk voor logdoeleinden, gezien hun vermogen om risico's te wijzigen en de rol die ze spelen bij het handhaven van adequate niveaus van informatiebeveiliging:

1. Pogingen tot systeemtoegang.
2. Pogingen tot toegang tot gegevens en/of bronnen.
3. Systeem-/OS-configuratiewijzigingen.
4. Gebruik van verhoogde rechten.
5. Gebruik van hulpprogramma's of onderhoudsfaciliteiten (zie Controle 8.18).
6. Verzoeken om toegang tot bestanden en wat er is gebeurd (verwijdering, migratie, enz.).
7. Toegangscontrolealarmen en kritische onderbrekingen.
8. Activering en/of deactivering van front-end en back-end beveiligingssystemen, zoals antivirussoftware aan de clientzijde of firewallbeschermingssystemen.
9. Identiteitsbeheerwerk (zowel fysiek als logisch).
10. Bepaalde acties of systeem-/gegevenswijzigingen die worden uitgevoerd als onderdeel van een sessie binnen een applicatie.

Zoals uitgelegd in Controle 8.17 is het van cruciaal belang dat alle logboeken zijn gekoppeld aan dezelfde gesynchroniseerde tijdbron (of reeks cursussen), en dat in het geval van toepassingslogboeken van derden rekening wordt gehouden met eventuele tijdsverschillen en deze worden vastgelegd.

Begeleiding – Logbescherming

Logboeken zijn de kleinste gemene deler voor het vaststellen van gebruikers-, systeem- en applicatiegedrag op een bepaald netwerk, vooral wanneer ze worden geconfronteerd met een onderzoek.

Het is daarom van cruciaal belang voor organisaties om ervoor te zorgen dat gebruikers – ongeacht hun machtigingsniveau – niet de mogelijkheid behouden om hun eigen gebeurtenislogboeken te verwijderen of aan te passen.

Individuele logboeken moeten compleet en nauwkeurig zijn en beschermd tegen ongeoorloofde wijzigingen of operationele problemen, waaronder:

• Wijzigingen in berichttype.
• Logbestanden verwijderd of bewerkt.
• Het niet genereren van een logbestand of het onnodig overschrijven van logbestanden als gevolg van heersende problemen met opslagmedia of netwerkprestaties.

ISO beveelt aan dat, om de informatiebeveiliging te verbeteren, logs moeten worden beschermd met behulp van de volgende methoden:

• Cryptografische hashing.
• Alleen-toevoegen-opname.
• Alleen-lezen opname.
• Gebruik van openbare transparantiebestanden.

Organisaties moeten mogelijk logboeken naar leveranciers sturen om incidenten en fouten op te lossen. Mocht dit nodig zijn, dan moeten logs worden 'geanonimiseerd' (zie Controle 8.11) en de volgende informatie moet worden gemaskeerd:

• gebruikersnamen
• IP adressen
• Hostnamen

Daarnaast moeten er maatregelen worden genomen om persoonlijk identificeerbare informatie (PII) te beschermen in overeenstemming met de eigen dataprivacyprotocollen van de organisatie en de geldende wetgeving (zie Controle 5.34).

Begeleiding – Loganalyse

Bij het analyseren van logboeken met het oog op het identificeren, oplossen en analyseren van informatiebeveiligingsgebeurtenissen – met als einddoel het voorkomen van toekomstige gebeurtenissen – moet rekening worden gehouden met de volgende factoren:

• De expertise van het personeel dat de analyse uitvoert.
• Hoe logboeken worden geanalyseerd, in overeenstemming met de bedrijfsprocedure.
• Het type, de categorie en de kenmerken van elke gebeurtenis die analyse vereist.
• Eventuele uitzonderingen die worden toegepast via netwerkregels die afkomstig zijn van hardware en platforms voor beveiligingssoftware.
• De standaardstroom van netwerkverkeer, vergeleken met onverklaarbare patronen.
• Trends die worden geïdentificeerd als resultaat van gespecialiseerde data-analyse.
• Bedreigingsinformatie.

Begeleiding – Logboekbewaking

Loganalyse mag niet op zichzelf worden uitgevoerd, maar moet worden uitgevoerd in combinatie met rigoureuze monitoringactiviteiten die belangrijke patronen en afwijkend gedrag opsporen.

Om een ​​tweeledige aanpak te bereiken, moeten organisaties:

1. Beoordeel alle pogingen om toegang te krijgen tot beveiligde en/of bedrijfskritische bronnen, waaronder domeinservers, webportals en platforms voor het delen van bestanden.
2. Onderzoek DNS-logboeken nauwkeurig om uitgaand verkeer te ontdekken dat is gekoppeld aan kwaadaardige bronnen en schadelijke serveractiviteiten.
3. Verzamel gegevensgebruiksrapporten van serviceproviders of interne platforms om kwaadwillende activiteiten te identificeren.
4. Verzamel logboeken van fysieke toegangspunten, zoals sleutelkaart-/fob-logboeken en informatie over kamertoegang.

Aanvullende informatie

Organisaties zouden moeten overwegen om gespecialiseerde hulpprogramma's te gebruiken die hen helpen de enorme hoeveelheden informatie te doorzoeken die systeemlogboeken genereren, om tijd en middelen te besparen bij het onderzoeken van beveiligingsincidenten, zoals een SIEM-tool.

Als een organisatie een cloudgebaseerd platform gebruikt om een ​​deel van haar activiteiten uit te voeren, moet logbeheer worden beschouwd als een gedeelde verantwoordelijkheid tussen de serviceprovider en de organisatie zelf.

Ondersteunende controles

• 5.34
• 8.11
• 8.17
• 8.18

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

ISO 27002:2002-8.15 vervangt drie controles uit ISO 27002:2003 die betrekking hebben op de opslag, het beheer en de analyse van logbestanden:

• 12.4.1 – Gebeurtenisregistratie
• 12.4.2 – Bescherming van loginformatie
• 12.4.3 – Beheerder- en operatorlogboeken

27002:2002-8.15 bevestigt grotendeels alle richtlijnen van de bovengenoemde drie controles in één duidelijk protocol dat zich bezighoudt met loggen, met een paar opmerkelijke uitbreidingen, waaronder (maar niet beperkt tot):

• Een uitgebreide reeks richtlijnen die betrekking hebben op de bescherming van loginformatie.
• Aanvullende richtlijnen over de verschillende typen gebeurtenissen die in aanmerking moeten worden genomen voor onderzoek.
• Richtlijnen over hoe logboeken zowel moeten worden gemonitord als geanalyseerd in een gezamenlijke inspanning om de informatiebeveiliging te verbeteren.
• Advies over het beheren van logboeken die zijn geproduceerd door cloudgebaseerde platforms.

Hoe ISMS.online helpt

Het ISMS.Online-platform helpt bij alle aspecten van de implementatie van ISO 27002, van het beheren van risicobeoordelingsactiviteiten tot het ontwikkelen van beleid, procedures en richtlijnen voor het voldoen aan de vereisten van de norm.

Met de geautomatiseerde toolset maakt ISMS.Online het voor organisaties eenvoudig om naleving van de ISO 27002-norm aan te tonen.

Neem vandaag nog contact met ons op een demo plannen.