Denn von allen traurigen Worten der Zunge oder der Feder sind diese die traurigsten: „Wir haben nicht geholzt.“

Es reimt sich nicht und es ist nicht das, was Whittier gesagt hat, aber es ist wahr. Wenn Sie es nicht protokollieren, wenn es passiert, sind die Beweise für immer verloren. Ich persönlich kenne viele Fälle, in denen die Entscheidung getroffen wurde, die Protokollierung nicht zu aktivieren, und es später bereut wurde, als etwas passierte, das hätte erklärt, zugeschrieben oder bewiesen werden können, wenn die Protokolle vorhanden gewesen wären. Positiv zu vermerken ist, dass es viele gegenteilige Situationen gibt, in denen die Protokolle zum Glück zur Verfügung standen, wenn sie gebraucht wurden. Tatsächlich haben wir in einer kürzlich durchgeführten Untersuchung zufällig eine bestimmte Art der Protokollierung aktiviert, Stunden bevor der Täter eine entscheidende E-Mail verschickte, die in dem Fall zum entscheidenden Beweis wurde, dank unserer Fähigkeit, wichtige identifizierende Informationen zwischen der E-Mail und dem Protokoll zu korrelieren.

Warum ermöglichen wir die Prüfung nicht immer und überall? Manchmal handelt es sich um ein einfaches Versehen, aber häufiger lautet die Begründung:

• Wir können es uns nicht leisten, es mit unserem SIEM zu analysieren
• Wir haben keine Möglichkeit, es einzusammeln
• Es wird unser System lahmlegen

Lassen Sie uns die einzelnen Punkte der Reihe nach behandeln und zeigen, warum sie nicht gültig sind.

Wir können es uns nicht leisten, es mit unserem SIEM zu analysieren

Entweder aufgrund von Hardware-Ressourcen, Skalierbarkeitseinschränkungen oder volumenbasierter Lizenzierung schränken Organisationen die Protokollierung ein, die sie ermöglichen. Nehmen wir einfach an, dass Sie Ihr SIEM aus irgendeinem Grund wirklich nicht aktualisieren können. Das hindert Sie jedoch nicht daran, die Protokollierung zumindest zu aktivieren. Möglicherweise wird es nicht zur Einbrucherkennung analysiert. Aber zumindest ist es da (zumindest die letzte Aktivität), wenn Sie es brauchen. Natürlich sind Überwachungsprotokolle nicht sicher und sollten nicht auf dem System verbleiben, auf dem sie erstellt werden. Dennoch wäre es mir lieber, wenn die Protokollierung aktiviert wäre, auch wenn sie einfach dort liegt und überschrieben wird. Oft reichte das aus, um zu erklären, zuzuschreiben oder zu beweisen, was passiert ist. Aber hier ist noch etwas zu beachten: Auch wenn Sie es nicht „live“ in Ihrem SIEM analysieren können, heißt das nicht, dass Sie es auf dem System belassen müssen, auf dem es generiert wird - wo es mit zunehmendem Alter anfällig für Löschung oder Überschreibung ist. Sammeln Sie die Protokolle zumindest in einem zentralen, durchsuchbaren Archiv wie dem Open-Source-Archiv Elastic.

Wir haben keine Möglichkeit, es einzusammeln

Das geht auch einfach nicht. Wenn Ihre Serveradministratoren oder Workstationadministratoren sich gegen die Installation eines Agenten wehren, müssen Sie nicht auf eine Protokollerfassung auf Basis einer Remote-Abfrage zurückgreifen. Verwenden Sie unter Windows die native Windows-Ereignisweiterleitung und unter Linux Syslog. Beide Technologien sind agentenlos und effizient. Und die Windows-Ereignisweiterleitung ist robust. Sie können sogar Rauschfilter definieren, damit Ihr Netzwerk und andere Ressourcen nicht durch Junk-Ereignisse verstopft werden.

Protokollierung wird unser System blockieren

Dieser Schreckgespenst ist immer noch aktiv. Aber es basiert einfach nicht auf Fakten. Ich bin noch nie auf eine Technologie oder Installation gestoßen, bei der richtig konfiguriertes Auditing einen wesentlichen Einfluss auf die Leistung hatte. Und heute ist Speicher günstig und Sie müssen sich nur um die Planung und Komprimierung auf den kleinsten Netzwerkleitungen kümmern - etwa auf einem Schiff mit einer Satelliten-IP-Verbindung. Die Windows-Überwachung ist hochgradig konfigurierbar und wie bereits erwähnt können Sie die Lautstärke weiter reduzieren, indem Sie Rauschen an der Quelle filtern. Die 2008 eingeführte SQL Server-Prüfung ist noch konfigurierbarer und effizienter. Wenn das Management es ernst meint, wird es verlangen, dass dieser Pushback in Tests nachgewiesen wird, und - wenn Sie Ihre Audit-Richtlinie und das Ausgabeziel sorgfältig konfigurieren - werden die Tests wahrscheinlich zeigen, dass Audits vernachlässigbare Auswirkungen haben.

Wenn es darauf ankommt, können Sie es sich nicht leisten, nicht zu loggen. Auch wenn Sie heute nicht alle Ihre Protokolle in Echtzeit erfassen und analysieren können, aktivieren Sie zumindest die Protokollierung in jedem System und jeder Anwendung. Und arbeiten Sie weiter daran, die Sammlung und Analyse zu erweitern. Sie werden es nicht bereuen.