Blog

Představte si letadlo. Když spadne, vyšetřovatelé hledají černou skříňku. Nepotřebují vědět, jakou teplotu měla káva v kuchyňce letušek. Potřebují záznam o motrorech, výšce a komunikaci pilotů.

V IT je to stejné. Mnoho firem trpí jedním ze dvou extrémů:

1. Nelogují nic (takže když zmizí data, nikdo neví kdo a kdy).

2. Logují všechno (tzv. Debug mode), takže mají terabajty textu, které nikdo nečte a které systém zpomalují.

Co je ten "zlatý střed", který uspokojí bezpečnost i zákonné normy (GDPR, NIS2), ale nezruinuje vaši peněženku a disky?

Pravidlo 3W: Co v logu nesmí chybět

Každý správný log (auditní stopa) musí odpovědět na tři otázky:

• WHO (Kdo): Uživatelské jméno nebo IP adresa.

• WHEN (Kdy): Přesný čas (ideálně synchronizovaný přes NTP).

• WHAT (Co): Akce (Smazání, Přihlášení, Změna práv).

4 věci, které musíte logovat (The Must-Haves)

Zapomeňte na sledování každého pohybu myší. Zaměřte se na tyto kritické oblasti:

1. Přihlášení a odhlášení (Authentication)

To je základ. Musíte vědět, kdo se do systému dostal.

• Úspěšná přihlášení: Zejména ta v podivných časech (např. účetní se hlásí ve 3 ráno).

• Neúspěšná přihlášení: Série 50 špatných hesel za minutu? To není zapomnětlivý kolega, to je útok hrubou silou (Brute Force).

2. Změny oprávnění (Privilege Escalation)

Pokud někdo získá klíče od království, musíte to vědět hned.

• Přidání uživatele do skupiny Domain Admins.

• Vytvoření nového uživatele.

• Resetování hesla jinému uživateli.

• Tip: Na tyto události by vám měl rovnou chodit e-mail/alert.

3. Manipulace s kritickými daty

Nemusíte logovat otevření každého Wordu. Ale musíte vědět, co se děje ve sdílených složkách s citlivými daty.

• Smazání souborů (Delete): Klíčové pro vyšetřování sabotáže nebo "omylů".

• Změna práv ke složce: Proč najednou celá firma vidí složku "Mzdy"?

4. Vypnutí ochrany

To je první věc, kterou hacker (nebo ransomware) udělá.

• Vypnutí antiviru.

• Smazání logů (Security Event Log Cleared) – pokud uvidíte tento log, máte velký problém.

Kam s nimi? (Pravidlo o jedné lodi)

Největší chybou je ukládat logy pouze na zařízení, které loguje. Proč? Protože když hacker ovládne server, první věcí je, že smaže stopy (logy). Pokud jsou logy jen na tom hacknutém serveru, jsou pryč.

Řešení: Centralizace Všechny důležité logy by se měly posílat pryč na nezávislý server (Log Server, NAS, SIEM). Je to jako ta černá skříňka – musí přežít pád letadla.

Jak dlouho je držet?

• Provozní minimum: 3 měsíce (většina incidentů se odhalí do pár týdnů).

• Bezpečnostní standard: 1 rok.

• Tip: Staré logy (starší než 3 měsíce) zazipujte a odsuňte na levné úložiště. Nemusí být okamžitě prohledávatelné, stačí, že existují.

Závěr

Logování není o tom špehovat zaměstnance, jestli jsou na Facebooku. Je to pojistka. Až se vás jednou zeptá ředitel (nebo policie): "Kdo smazal tu databázi klientů?", budete chtít mít odpověď. Bez logů ji mít nebudete.