Logghantering: börja med frågorna ni behöver besvara

Utgå från användningen

Vilka händelser behöver ni kunna upptäcka eller utreda? Det kan handla om inloggningar, ändrade behörigheter, administratörsåtgärder eller avvikelser i en viktig tjänst. Definiera frågorna innan ni bestämmer vilka loggar som ska samlas in.

Skilj på underlag för drift, incidentutredning och granskning. De kan överlappa, men ställer inte alltid samma krav på detaljer, tillgänglighet eller bevarandetid.

Samla ett begripligt händelseförlopp

Välj relevanta källor och kontrollera att deras uppgifter går att tolka tillsammans. Tid, system, händelsetyp och relevant identitet behöver vara tillräckligt konsekventa för att ett förlopp ska kunna följas.

Testa med verkliga händelser. Kontrollera också vad som händer när insamlingen avbryts eller en källa slutar leverera. En tyst loggkälla betyder inte nödvändigtvis att allt fungerar.

Skydda även loggarna

Loggar kan innehålla personuppgifter och känslig teknisk information. Begränsa åtkomst, skydda mot otillåten ändring och bestäm vilka uppgifter som faktiskt behöver sparas. Bevarandetid ska grundas på behov och tillämpliga krav, inte på att lagring råkar vara tillgänglig.

Bestäm vem som följer upp

• Vilka händelser ska leda till ett larm eller en regelbunden kontroll?
• Vem tar emot larm, inom vilka tider och med vilket mandat?
• Hur utreds och dokumenteras en misstänkt händelse?
• Hur justeras regler när miljön eller riskbilden förändras?

Verktyget behöver ett arbetssätt

Ett SIEM kan stödja insamling, analys och larm, men nyttan beror på källor, regler och bemanning. Begär en avgränsad leveransbeskrivning: vad ingår i övervakningen, vilka åtgärder kan leverantören ta och vad behöver er organisation göra? Följ upp lösningen genom övningar och verkliga incidenter.