Η ανάλυση αρχείων καταγραφής εξετάζει τα αρχεία καταγραφής συστήματος για την ανίχνευση ανωμαλιών και συμβάντων ασφαλείας. Κάθε σύνδεση, κάθε εκκίνηση διεργασίας, κάθε σύνδεση δικτύου δημιουργεί καταχωρήσεις αρχείου καταγραφής. Θαμμένα σε αυτόν τον θόρυβο βρίσκονται τα στοιχεία για μια επίθεση. Μια σύνδεση από μια ασυνήθιστη τοποθεσία. Ένας λογαριασμός υπηρεσίας που εκτελεί ένα σενάριο PowerShell στις 3 π.μ. Μια ξαφνική αύξηση στην εξερχόμενη κίνηση. Η ανάλυση αρχείων καταγραφής εντοπίζει αυτά τα μοτίβα.

Η πρόκληση είναι ο όγκος. Ένας μεσαίου μεγέθους οργανισμός δημιουργεί εκατομμύρια καταχωρίσεις αρχείων καταγραφής την ημέρα. Η χειροκίνητη αναθεώρηση είναι αδύνατη. Οι πλατφόρμες διαχείρισης πληροφοριών ασφαλείας και συμβάντων συλλέγουν, ομαλοποιούν και συσχετίζουν τα αρχεία καταγραφής από πολλές πηγές. Εφαρμόζουν κανόνες και μηχανική μάθηση για να εντοπίσουν τα συμβάντα που έχουν σημασία. Αλλά ακόμη και τα SIEM παράγουν ψευδώς θετικά αποτελέσματα. Ο αναλυτής πρέπει να κάνει διαλογή. Η καλή ανάλυση αρχείων καταγραφής ξεκινά με την καλή καταγραφή. Εάν το σύστημα δεν καταγράφει το συμβάν, κανένα εργαλείο δεν μπορεί να το αναλύσει. Πολλές παραβιάσεις δεν εντοπίζονται επειδή η καταγραφή ήταν απενεργοποιημένη ή ελλιπής. Οι πολιτικές ελέγχου πρέπει να διαμορφώνονται σκόπιμα. Τα συμβάντα ελέγχου ταυτότητας, η δημιουργία διεργασιών και οι συνδέσεις δικτύου είναι το ελάχιστο. Η διατήρηση έχει επίσης σημασία. Οι εισβολείς μπορεί να παραμένουν για μήνες. Τα αρχεία καταγραφής που διαγράφονται μετά από 30 ημέρες αφήνουν κενά. Η έρευνα χρειάζεται ιστορικό.

Καταγραφή πηγών για ιεράρχηση προτεραιοτήτων

• Έλεγχος ταυτότητας — συνδέσεις, αποτυχίες, αλλαγές προνομίων
• Τελικό σημείο — δημιουργία διεργασίας, αλλαγές αρχείων, εγκαταστάσεις υπηρεσιών
• Δίκτυο — αρχεία καταγραφής τείχους προστασίας, DNS, proxy και VPN
• Cloud — Κλήσεις API, πρόσβαση σε χώρο αποθήκευσης, συμβάντα ταυτότητας
• Εφαρμογή — σφάλματα, ενέργειες διαχειριστή, εξαγωγές δεδομένων

Τα αρχεία καταγραφής αποτελούν αποδεικτικά στοιχεία. Εάν δεν συλλεχθούν, το περιστατικό δεν μπορεί να αναπαρασταθεί.