Analiza jurnalelor examinează jurnalele de sistem pentru a detecta anomalii și evenimente de securitate. Fiecare conectare, fiecare pornire de proces, fiecare conexiune la rețea generează intrări în jurnal. Îngropate în acel zgomot sunt indiciile unui atac. O conectare dintr-o locație neobișnuită. Un cont de serviciu care rulează un script PowerShell la ora 3 dimineața. O creștere bruscă a traficului de ieșire. Analiza jurnalelor găsește aceste tipare.

Provocarea este volumul. O organizație de dimensiuni medii generează milioane de intrări în jurnal pe zi. Revizuirea manuală este imposibilă. Platformele de gestionare a informațiilor de securitate și a evenimentelor colectează, normalizează și corelează jurnalele din mai multe surse. Acestea aplică reguli și învățare automată pentru a scoate la iveală evenimentele importante. Dar chiar și sistemele SIEM generează rezultate fals pozitive. Analistul trebuie în continuare să facă triaj. O analiză bună a jurnalelor începe cu o înregistrare bună a datelor. Dacă sistemul nu înregistrează evenimentul, niciun instrument nu îl poate analiza. Multe încălcări rămân nedetectate deoarece înregistrarea a fost dezactivată sau incompletă. Politicile de audit trebuie configurate în mod deliberat. Evenimentele de autentificare, crearea de procese și conexiunile de rețea sunt minime. Și păstrarea datelor contează. Atacatorii pot rămâne în jurnal timp de luni de zile. Jurnalele care se termină după 30 de zile lasă goluri. Investigația are nevoie de istoric.

Surse de jurnalizare pentru a prioritiza

• Autentificare — conectări, eșecuri, modificări de privilegii
• Punct final — crearea de procese, modificări de fișiere, instalări de servicii
• Rețea — jurnalele firewall, DNS, proxy și VPN
• Cloud — apeluri API, acces la spațiul de stocare, evenimente de identitate
• Aplicație — erori, acțiuni administrative, exporturi de date

Jurnalele de evidență sunt dovezi. Dacă nu sunt colectate, incidentul nu poate fi reconstituit.