Zaznamenávanie udalostí a monitorovanie – § 20 ods. 3 písm. k) ZoKB

Požiadavka na zaznamenávanie udalostí a monitorovanie priamo súvisí s požiadavkou na zaznamenávanie a vyhodnocovanie prevádzkových a bezpečnostných záznamov podľa § 20 ods. 3 písm. f) ZoKB o bezpečnosti pri prevádzke informačných systémov a sietí, ako aj s požiadavkou na riešenie kybernetických bezpečnostných incidentov podľa § 20 ods. 3 písm. m) zákona. Zaznamenávanie udalostí a monitorovanie je súborom niekoľkých samostatných bezpečnostných mechanizmov. Ako zdroje informácií pre monitoring udalostí môžu slúžiť viaceré systémy, z ktorých mnohé ani primárne nemusia súvisieť s bezpečnosťou. Všetkým týmto zdrojom sa súhrnne hovorí bezpečnostne relevantné informácie. Spôsoby ich zberu a vyhodnocovania v monitorovacích systémoch sú predmetom nasledujúceho článku.

Zaznamenávanie udalostí

O systémových alebo bezpečnostných udalostiach, ich význame a chápaní, sa zmieňujem v inom článku k otázke riešenia kybernetických bezpečnostných incidentov podľa § 20 ods. 3 písm. m) ZoKB. Zopakujme si len, že udalosť (angl. „Event“) je akýkoľvek pozorovateľný jav v systémoch a v sieťach.

V rozsiahlych sieťach a systémoch, najmä pri väčšom počte pripojených koncových zariadení, vzniká množstvo udalostí: prihlásenia, výpadky, preplnenia, reštarty atď. Avšak len niektoré z nich sú relevantné pri hodnotení z hľadiska detekcie potenciálneho prieniku. Ktoré z nich to sú, je otázka skúseností s útokmi na informačné zdroje a zároveň otázka vyladenia systémov.

Každá udalosť, alebo presnejšie – väčšina významných udalostí a záznamy o vykonaných operáciách sa zaznamenávajú do tzv. log súborov. Log je riadkový referenčný záznam o aktivite systému, aplikácie alebo používateľa, obvykle kategorizovaný z hľadiska typu aktivity a spôsobu, resp. typu sledovania aktivity.

V log súboroch je možné nájsť veľké množstvo podkladov, bez ktorých sa žiaden bezpečnostný monitorovací systém nezaobíde. V organizáciách s veľkým množstvom počítačov a intenzívnou prevádzkou je potrebné denne ukladať veľké množstvá údajov. Rádovo to môžu byť až stovky gigabajtov denne. Jacob Babbin: Security Log Management — Identifying Patterns in the Chaos, Vydavateľstvo: Syngress Publishing Inc., Január 2006, ISBN-10: 1-59749-042-3, ISBN-13: 978-1-59-749042-9, 450 strán

Metódy bezpečnostného monitoringu

Kľúčovým predpokladom efektívnej činnosti ...