Mục đích của Kiểm soát 8.15
Nhật ký – dù ở dạng nhật ký ứng dụng, nhật ký sự kiện hay thông tin chung về hệ thống – đều là một phần quan trọng để có được góc nhìn từ trên xuống về các sự kiện ICT và hành động của nhân viên. Nhật ký cho phép các tổ chức thiết lập mốc thời gian của các sự kiện và xem xét kỹ lưỡng cả các mô hình logic và vật lý trên toàn bộ mạng của họ.
Việc tạo ra thông tin nhật ký rõ ràng và dễ lấy là một phần quan trọng trong chiến lược CNTT tổng thể của một tổ chức và đi kèm với nhiều biện pháp kiểm soát bảo mật thông tin chính có trong ISO 27002:2002.
Nhật ký phải:
- Ghi lại sự kiện.
- Thu thập bằng chứng.
- Bảo vệ sự toàn vẹn của chính mình.
- Bảo mật dữ liệu nhật ký chống lại truy cập trái phép.
- Xác định các hành động và sự kiện có thể dẫn đến vi phạm thông tin/bảo mật.
- Hoạt động như một công cụ hỗ trợ các cuộc điều tra nội bộ và bên ngoài.
Bảng Thuộc tính
Kiểm soát 8.15 là biện pháp kiểm soát phát hiện nhằm điều chỉnh rủi ro bằng cách áp dụng phương pháp ghi nhật ký đáp ứng các mục tiêu trên.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Thám tử | #Bảo mật #Toàn vẹn #Khả dụng | #Phát hiện | #Quản lý sự kiện an ninh thông tin | #Bảo vệ #Phòng thủ |
Quyền sở hữu kiểm soát 8.15
Control 8.15 xử lý các hoạt động ICT được thực hiện bằng quyền truy cập của quản trị viên hệ thống và nằm trong phạm vi quản lý và bảo trì mạng. Do đó, quyền sở hữu Control 8.15 phải thuộc về Trưởng phòng CNTT hoặc tổ chức tương đương.
Hướng dẫn – Thông tin Nhật ký Sự kiện
‘Sự kiện’ là bất kỳ hành động nào được thực hiện bởi sự hiện diện vật lý hoặc logic trên hệ thống máy tính – ví dụ như yêu cầu dữ liệu, đăng nhập từ xa, tắt hệ thống tự động, xóa tệp.
Kiểm soát 8.15 quy định cụ thể rằng mỗi nhật ký sự kiện riêng lẻ phải chứa 5 thành phần chính để có thể thực hiện mục đích hoạt động của nó:
- ID người dùng – Ai hoặc tài khoản nào đã thực hiện các hành động.
- Hoạt động của hệ thống – Điều gì đã xảy ra
- Dấu thời gian – Ngày và giờ của sự kiện đó
- Mã định danh thiết bị và hệ thống, và vị trí – Tài sản nào đã xảy ra sự kiện
- Địa chỉ mạng và giao thức – Thông tin IP
Hướng dẫn – Các loại sự kiện
Vì mục đích thực tế, việc ghi lại mọi sự kiện xảy ra trên một mạng nhất định có thể không khả thi.
Với suy nghĩ đó, Control 8.15 xác định 10 sự kiện dưới đây là đặc biệt quan trọng cho mục đích ghi nhật ký, xét đến khả năng sửa đổi rủi ro và vai trò của chúng trong việc duy trì mức độ bảo mật thông tin phù hợp:
- Cố gắng truy cập hệ thống.
- Nỗ lực truy cập dữ liệu và/hoặc tài nguyên.
- Thay đổi cấu hình hệ thống/HĐH.
- Sử dụng các đặc quyền nâng cao.
- Sử dụng các chương trình tiện ích hoặc cơ sở bảo trì (xem Kiểm soát 8.18).
- Yêu cầu truy cập tệp và những gì đã xảy ra (xóa, di chuyển, v.v.).
- Báo động kiểm soát truy cập và ngắt quan trọng.
- Kích hoạt và/hoặc hủy kích hoạt các hệ thống bảo mật đầu cuối và đầu cuối, chẳng hạn như phần mềm diệt vi-rút phía máy khách hoặc hệ thống bảo vệ tường lửa.
- Công việc quản lý danh tính (cả vật lý và logic).
- Một số hành động hoặc thay đổi hệ thống/dữ liệu được thực hiện như một phần của phiên trong ứng dụng.
Như đã giải thích trong Control 8.17, điều cực kỳ quan trọng là tất cả các nhật ký phải được liên kết với cùng một nguồn thời gian được đồng bộ hóa (hoặc một tập hợp các khóa học) và trong trường hợp nhật ký ứng dụng của bên thứ ba, bất kỳ sự khác biệt nào về thời gian đều phải được xử lý và ghi lại.
Hướng dẫn – Bảo vệ Nhật ký
Nhật ký là mẫu số chung thấp nhất để thiết lập hành vi của người dùng, hệ thống và ứng dụng trên một mạng nhất định, đặc biệt là khi phải điều tra.
Do đó, điều cực kỳ quan trọng đối với các tổ chức là đảm bảo rằng người dùng – bất kể cấp độ quyền của họ – không giữ lại khả năng xóa hoặc sửa đổi nhật ký sự kiện của riêng họ.
Nhật ký riêng lẻ phải đầy đủ, chính xác và được bảo vệ khỏi mọi thay đổi trái phép hoặc sự cố vận hành, bao gồm:
- Sửa đổi loại tin nhắn.
- Đã xóa hoặc chỉnh sửa tệp nhật ký.
- Bất kỳ lỗi nào trong việc tạo tệp nhật ký hoặc ghi đè tệp nhật ký không cần thiết do các sự cố phổ biến với phương tiện lưu trữ hoặc hiệu suất mạng.
ISO khuyến nghị rằng, để cải thiện bảo mật thông tin, nhật ký nên được bảo vệ bằng các phương pháp sau:
- Băm mật mã.
- Chỉ ghi thêm.
- Ghi âm chỉ đọc.
- Sử dụng hồ sơ minh bạch công khai.
Các tổ chức có thể cần gửi nhật ký cho nhà cung cấp để giải quyết sự cố và lỗi. Nếu cần, nhật ký phải được ‘bỏ nhận dạng’ (xem Kiểm soát 8.11) và thông tin sau phải được che giấu:
- Tên người dùng
- Địa chỉ IP
- Tên máy chủ
Ngoài ra, cần thực hiện các biện pháp để bảo vệ thông tin nhận dạng cá nhân (PII) phù hợp với các giao thức bảo mật dữ liệu của tổ chức và bất kỳ luật hiện hành nào (xem Kiểm soát 5.34).
Hướng dẫn – Phân tích nhật ký
Khi phân tích nhật ký nhằm mục đích xác định, giải quyết và phân tích các sự kiện bảo mật thông tin – với mục tiêu cuối cùng là ngăn ngừa các sự cố tương tự xảy ra trong tương lai – cần lưu ý đến các yếu tố sau:
- Trình độ chuyên môn của nhân viên thực hiện phân tích.
- Cách phân tích nhật ký theo đúng quy trình của công ty.
- Loại, danh mục và thuộc tính của từng sự kiện cần phân tích.
- Bất kỳ ngoại lệ nào được áp dụng thông qua các quy tắc mạng phát sinh từ phần mềm, phần cứng và nền tảng bảo mật.
- Luồng lưu lượng mạng mặc định so với các mẫu không thể giải thích được.
- Xu hướng được xác định là kết quả của phân tích dữ liệu chuyên biệt.
- Thông tin tình báo về mối đe dọa.
Hướng dẫn – Giám sát nhật ký
Phân tích nhật ký không nên được thực hiện riêng lẻ mà phải được thực hiện cùng với các hoạt động giám sát chặt chẽ nhằm xác định các mô hình chính và hành vi bất thường.
Để đạt được phương pháp tiếp cận hai mặt trận, các tổ chức nên:
- Xem xét mọi nỗ lực truy cập vào các tài nguyên quan trọng và/hoặc an toàn cho doanh nghiệp, bao gồm máy chủ tên miền, cổng thông tin web và nền tảng chia sẻ tệp.
- Kiểm tra nhật ký DNS để phát hiện lưu lượng truy cập đi có liên quan đến các nguồn độc hại và hoạt động máy chủ có hại.
- Tổng hợp báo cáo sử dụng dữ liệu từ nhà cung cấp dịch vụ hoặc nền tảng nội bộ để xác định hoạt động độc hại.
- Thu thập nhật ký từ các điểm truy cập vật lý, chẳng hạn như nhật ký thẻ chìa khóa/móc khóa và thông tin ra vào phòng.
Thông tin bổ sung
Các tổ chức nên cân nhắc sử dụng các chương trình tiện ích chuyên dụng giúp họ tìm kiếm trong lượng thông tin khổng lồ do nhật ký hệ thống tạo ra, nhằm tiết kiệm thời gian và tài nguyên khi điều tra các sự cố bảo mật, chẳng hạn như công cụ SIEM.
Nếu một tổ chức sử dụng nền tảng đám mây để thực hiện bất kỳ phần nào trong hoạt động của mình, thì việc quản lý nhật ký phải được coi là trách nhiệm chung giữa nhà cung cấp dịch vụ và chính tổ chức đó.
Hỗ trợ điều khiển
- 5,34
- 8.11
- 8.17
- 8.18
Những thay đổi và khác biệt so với ISO 27002:2013
ISO 27002:2002-8.15 thay thế ba biện pháp kiểm soát từ ISO 27002:2003 liên quan đến việc lưu trữ, quản lý và phân tích tệp nhật ký:
- 12.4.1 – Ghi nhật ký sự kiện
- 12.4.2 – Bảo vệ thông tin nhật ký
- 12.4.3 – Nhật ký của người quản trị và người vận hành
27002:2002-8.15 phần lớn xác nhận tất cả các điểm hướng dẫn từ ba biện pháp kiểm soát trên thành một giao thức rõ ràng liên quan đến việc ghi nhật ký, với một số mở rộng đáng chú ý, bao gồm (nhưng không giới hạn ở):
- Một bộ hướng dẫn mở rộng liên quan đến việc bảo vệ thông tin nhật ký.
- Hướng dẫn bổ sung về các loại sự kiện khác nhau cần được xem xét kỹ lưỡng.
- Hướng dẫn về cách giám sát và phân tích nhật ký trong nỗ lực chung nhằm cải thiện bảo mật thông tin.
- Lời khuyên về cách quản lý nhật ký do nền tảng đám mây tạo ra.
