Wat is een Audittrail voor Naleving? [Inclusief Oplossingen]

Een audittrail kan uw organisatie helpen met naleving en beveiliging. Maar wat zijn audit logs, hoe implementeert u ze en hoe gebruikt u ze voor compliance?

Laten we beginnen met de vraag: wat is de functie van een audit log? Een audit log houdt bij wie het systeem heeft benaderd, wat er is bekeken en welke acties er zijn uitgevoerd. Deze tijdsgebonden informatie is belangrijk om compliance en beveiliging aan te tonen.

Wat is een audit log?

Een audit log is een registratie van gebeurtenissen zoals ze plaatsvinden binnen een computersysteem. Een systeem van logregistratie en documentatie vormt samen een audittrail waarmee iedereen die acties binnen een systeem onderzoekt, de handelingen van gebruikers, toegang tot bepaalde bestanden of andere activiteiten kan traceren, zoals het uitvoeren van bestanden met root- of beheerdersrechten of wijzigingen in OS-brede beveiligings- en toegangsinstellingen.

Op hun breedste schaal kan een audit log vrijwel elke wijziging in een systeem volgen. Dit maakt ze belangrijk, zelfs noodzakelijk, op drie belangrijke manieren:

• De audittrail biedt forensisch inzicht in het systeem en hoe het werkt, of waar dingen fout zijn gegaan. Dit omvat het traceren van bugs of fouten in systeemconfiguraties of het identificeren van ongeautoriseerde toegang tot data. Het kan ook het management helpen bij het controleren van de prestaties en activiteiten van medewerkers met gevoelige toegangsrechten tot data.
• Audit logs bieden ook forensische informatie met betrekking tot datalekken. Een audittrail kan aantonen hoe beveiligingsmaatregelen zijn geïmplementeerd en werken om kritieke data te beschermen. Ook kan het cruciale informatie geven over hoe hackers specifieke systemen hebben gehackt of beveiligingen hebben omzeild, en welke data zij hebben benaderd.
• Tot slot kunnen audit logs systeembeheerders helpen bij het dagelijks oplossen van problemen.

De onveranderlijkheid van een audittrail is een belangrijk onderdeel van de bruikbaarheid ervan. Logs zijn data, net als elk ander bestand op een computer, en als ze beschadigd raken, kunnen ze waardeloos worden. Beste practices rondom audit logs adviseren om een audittrail minimaal een jaar te bewaren, of langer indien vereist door regelgeving (bijvoorbeeld HIPAA vereist minimaal 6 jaar logs op systemen met ePHI).

Audit logs versus reguliere systeemlogs

Audit logs worden gegenereerd om gebruikersactiviteiten en systeemgebeurtenissen met betrekking tot beveiliging vast te leggen voor onderzoeksdoeleinden. Ze bieden een gedetailleerd overzicht van beveiligingskritieke gebeurtenissen en gebruikersactiviteiten, die kunnen worden gebruikt om verdacht gedrag te identificeren en te onderzoeken.

Reguliere systeemlogs worden gegenereerd om systeemactiviteiten zoals defecten, storingen en algemene gebruiksdata vast te leggen. Reguliere systeemlogs geven een meer algemeen overzicht van systeemoperaties.

Audit logging gebruiken voor beveiliging en compliance

Audit logs zijn een essentieel hulpmiddel voor beveiliging en compliance, omdat ze een gedetailleerd overzicht geven van de activiteiten die binnen het IT-systeem van een organisatie hebben plaatsgevonden. Dit overzicht kan worden gebruikt om verdachte activiteiten en mogelijke compliance-overtredingen te identificeren.

Audit logs moeten regelmatig worden gemonitord om verdachte activiteiten te detecteren die kunnen wijzen op een beveiligings- of compliance-incident. Ze moeten ook worden gebruikt om beheerders te waarschuwen voor potentiële kwetsbaarheden voordat deze worden misbruikt. Logs moeten regelmatig worden beoordeeld om trends of patronen te identificeren die kunnen wijzen op ongeautoriseerde toegang of verdachte activiteiten. Elke nieuwe of ongebruikelijke activiteit moet direct worden onderzocht en aangepakt.

Audit logs kunnen worden gebruikt om potentiële systeemzwaktes te identificeren en ervoor te zorgen dat gebruikers zich houden aan het beveiligingsbeleid van de organisatie. Dit helpt om te waarborgen dat het systeem veilig is en voldoet aan toepasselijke wet- en regelgeving.

Audit logs kunnen ook worden gebruikt om rapporten te maken voor compliance-audits. Dergelijke rapporten bieden een gedetailleerd overzicht van alle beveiligings- of compliancegerelateerde activiteiten en kunnen worden gebruikt om aan te tonen dat een organisatie voldoet aan de geldende wet- en regelgeving.

Wat zijn de voordelen van het gebruik van audit logs?

Het spreekt voor zich dat als u werkt in een sector met een compliance-framework dat enige vorm van dataregistratie vereist (zoals HIPAA, GDPR of FedRAMP), logs niet alleen voordelig zijn—ze zijn noodzakelijk voor de bedrijfsvoering.

Er zijn echter diverse manieren waarop audit logs ondersteuning bieden aan systeembeheerders en IT-managers binnen uw organisatie:

• Aantonen van compliance: zoals hierboven genoemd, helpen logs u om aan auditors aan te tonen dat u compliant bent binnen een bepaald framework. Dit is precies de reden waarom veel frameworks audit logs vereisen.
• Creëren van bewijsketens: Als onderdeel van een beveiligings- of compliancepositie vereisen veel beveiligingsframeworks logging als bewijs. Een ononderbroken bewijsketen kan onderzoekers de bron van een beveiligingslek tonen of bewijzen dat een bedrijf de beveiligingsmaatregelen heeft geïmplementeerd die het beweert te hebben.
• Creëren van een chronologische documentatie: In juridische situaties kan worden beschouwd hoe bestanden zijn gewijzigd of behandeld als bewijs in de rechtbank. Een onveranderlijke audit log levert dergelijk bewijs voor wetshandhaving.
• Inzicht en optimalisatie: Positiever gezien kunnen logs het management en specialisten laten zien hoe een systeem onder bepaalde omstandigheden functioneert, wat kan helpen bij het optimaliseren van diverse interne systemen. Logs kunnen zaken weerspiegelen als de tijd die nodig is om een taak uit te voeren of conflicterende operaties die de stabiliteit of prestaties van het systeem kunnen beïnvloeden.
• Beheer van beveiliging en risico: Het beheren van uw beveiligings- en risicoprofielen vereist informatie; informatie over partners, leveranciers, cloudsystemen en producten, enzovoorts.
• Tracking van bedrijfsprocessen: De audittrail kan zakelijke gebruikers laten zien hoe hun data wel of niet is gebruikt. Bijvoorbeeld, wanneer een advocaat een juridisch document naar de tegenpartij stuurt en die advocaat later beweert het niet te hebben ontvangen, kan de verzender de audittrail gebruiken om aan te tonen dat het is ontvangen, tot in details als het exacte tijdstip, IP-adres en het gebruikte apparaat om het te downloaden.

Afhankelijk van uw softwareconfiguratie en computernetwerk (en uw compliancevereisten) kan audit logging helpen door een of meer van deze voordelen te bieden.

Wat is een audittrail?

Eenvoudig gezegd is een audittrail een reeks logs die een serie activiteiten, acties of gebruikers binnen een systeem documenteren. Dit kan tijdsgebonden informatie bevatten over het werk van een besturingssysteem, of een reeks logs die documenteren hoe een gebruiker systeembronnen en data benadert.

Trails zijn van cruciaal belang voor beveiliging omdat meestal een enkele log van een gebeurtenis niet voldoende is om alles te beheren wat hierboven is besproken. In plaats daarvan kan een keten van bewijs inzicht geven in wat er is gebeurd en hoe een probleem moet worden aangepakt.

Als bijvoorbeeld een server crasht en data verloren of beschadigd raakt, kan een audittrail van voor en direct tot aan het incident beheerders helpen te reconstrueren wat er is gebeurd.

Evenzo, als een hacker een systeem binnendringt en data steelt, kunnen IT-beveiligingsspecialisten audittrails gebruiken om de activiteiten van die persoon te volgen om te bepalen wat er is gecompromitteerd, beschadigd of gestolen, en hoe ze het systeem zijn binnengedrongen.

Wat zijn de componenten van een audit log?

Dat gezegd hebbende, logs zijn geen enkelvoudige entiteit. Verschillende logs kunnen verschillende componenten bevatten, afhankelijk van hun relevantie voor het bewijs dat ze leveren. International Standards Organization (ISO) publicatie 27002 biedt richtlijnen voor typische gebeurtenissen en informatie die logs zouden moeten bevatten voor zakelijke klanten. Over het algemeen bevatten logs die deze richtlijnen volgen meestal de volgende informatie:

• Gebruikers-ID’s (zowel geautoriseerde gebruikers als gebruikers die toegang zoeken tot het systeem)
• Datums en tijden van elke gebeurtenis in de audittrail
• Alle systeeminformatie, inclusief apparaatlocatie, MAC-adres, enzovoorts
• Pogingen om in te loggen op het systeem, zowel legitiem als geweigerd
• Wijzigingen in gebruikersrechten, ID-nummers of systeemconfiguratie-instellingen
• Toegangspogingen tot relevante (of alle) bestanden en mappen
• Netwerkinformatie gerelateerd aan elke systeemtoegang (IP-nummer, benaderde poort, gekoppeld protocol)
• Waarschuwingen van beveiligingssoftware (firewall, anti-malware, inbraakdetectiesystemen)
• Alle transacties, gegevensdeling of andere externe verbindingen die door gebruikers via de systeemsoftware zijn gemaakt
• Elke toegang tot beveiligde of persoonlijk identificeerbare informatie (PII)

Bepaalde beveiligingslogs kunnen ook informatie bevatten over specifieke systemen of gebeurtenissen die hier niet zijn genoemd, om extra documentatie te bieden.

Toch zijn er niet veel voorbeelden van commerciële, op zichzelf staande audit logging software. Veel besturingssystemen of applicaties van derden (waaronder SaaS-cloudservices) hebben ingebouwde loggingmogelijkheden die al dan niet aanpasbaar zijn. Er is echter een grote markt voor oplossingen die logs kunnen aggregeren om cruciale inzichten te bieden in beveiliging, prestaties, bugtracking en waarschuwingen voor medewerkers. Deze systemen worden security information and event management (SIEM) oplossingen genoemd en omvatten producten als Splunk, IBM QRadar, LogRhythm, HPE ArcSight en anderen.

Over het algemeen moeten audittools in een systeem in staat zijn om gebeurtenissen te volgen met de hierboven genoemde data, en moeten ze veilige en compliant logs kunnen produceren op basis van de activiteiten van het platform of de software, de geldende compliancevereisten en het type data dat wordt beheerd (afhankelijk van branche of bedrijf).

Hoe lang moeten audit logs worden bewaard?

De bewaartermijn van audit logs verschilt per organisatie en per sector. Factoren zoals intern beleid, sectorale regelgeving, wettelijke vereisten en het type data dat wordt gelogd, bepalen hoe lang organisaties hun audit logs moeten bewaren. In de zorgsector bijvoorbeeld vereist HIPAA dat audit logs met beschermde gezondheidsinformatie (PHI) minimaal zes jaar worden bewaard. In de financiële sector vereist SEC Rule 17a-4 dat audit logs ook minimaal zes jaar worden bewaard. Sommige organisaties kiezen ervoor audit logs langer te bewaren om juridische, compliance- of beveiligingsredenen. Minimaal moeten audit logs één jaar worden bewaard.

Hoe kan ik audit logs op mijn servers beveiligen?

Audit logs helpen u niet als ze niet zijn beschermd. Beschadigde of gewijzigde logs doorbreken de audittrail en maken de informatie die u heeft verzameld om uw systeem te beschermen minder effectief.

Het is zowel jammer als gunstig dat audit logs gewoon bestanden zijn, net als elk ander bestand op uw computer. Helaas betekent dit dat ze gestolen, gewijzigd of beschadigd kunnen worden zoals andere bestanden. Gelukkig betekent het ook dat u ze kunt beschermen met gangbare beveiligingsmaatregelen, waaronder:

1. Encryptie: Het versleutelen van audit logbestanden kan helpen om deze data buiten het bereik van hackers te houden die uw systeem hebben gehackt. Hoewel deze bestanden nog steeds beschadigd kunnen raken, zijn ze wel moeilijker te lezen of te manipuleren.
2. Bescherming tegen ongeautoriseerde toegang: Bestanden in een computersysteem worden beheerd door een systeem van toegangsrechten dat gebruikers toestaat of weigert om bestanden te lezen, te schrijven of uit te voeren. Door audit logs te voorzien van specifieke autorisatievereisten, kunt u ongeautoriseerde gebruikers beletten er iets mee te doen.
3. Toegangscontrole voor beheerders: Het is mogelijk dat een beheerder audit logs over zichzelf en zijn activiteiten kan wijzigen op een manier die het moeilijk maakt om te traceren wat hij heeft gedaan. U kunt logs over specifieke gebruikers of beheerders zo instellen dat deze niet door die gebruikers kunnen worden gelezen of gewijzigd.
4. Detectie van wijziging, verwijdering of uitschakeling van logs: Een aanvaller probeert vaak zijn sporen uit te wissen door logs direct na een inbraak te verwijderen of uit te schakelen. Het systeem moet direct personeel waarschuwen als er een poging wordt gedaan om logs te wijzigen of te vernietigen.
5. Exporteren van logs naar externe systemen: Naast de analytische voordelen van het exporteren van logs naar een gecentraliseerde SIEM, zorgt dit er ook voor dat als een log per ongeluk of door een aanvaller wordt verwijderd, er een andere kopie bestaat. Stel de SIEM zo in dat personeel wordt gewaarschuwd als een systeem stopt met het verzenden van logs, aangezien het systeem dan mogelijk offline is of wordt aangevallen.
6. Archiveren en journaliseren: Stuur logs naar een externe archiveringsdienst om ze te bewaren gedurende de jaren die vereist zijn door regelgeving, ondanks natuurrampen, diefstal of beschadiging van de originele systemen of het datacenter.

Het Kiteworks-platform voor data logs

Als u een platform gebruikt voor activiteiten zoals beveiligde bestandsoverdracht en opslag, beveiligde e-mail of beveiligde formulieren en gegevensverzameling, is data logging een absolute noodzaak. Het Kiteworks-platform biedt deze diensten met veilige en volledige loggingmogelijkheden op basis van drie kernprincipes:

1. Compliance: Als uw bedrijf veilige MFT, SFTP of e-mail nodig heeft voor de bedrijfsvoering, kunnen wij die service leveren met de vereiste loggingmogelijkheden om te zorgen dat u compliant blijft. Wij werken samen met organisaties in de zorg, overheid, financiële sector en meer, en ondersteunen hen met compliance in frameworks als HIPAA, FedRAMP, PCI DSS en GDPR.
2. Beveiliging: Onze beveiligde systemen bevatten alle noodzakelijke logging om te dienen als forensisch hulpmiddel bij eventuele problemen, maar ook als preventief hulpmiddel om het Kiteworks-platform eenvoudig te gebruiken binnen uw risicobeheerpositie.
3. Toegankelijkheid: Onze producten zijn gericht op data-toegankelijkheid voor leden van uw organisatie, en dat geldt ook voor toegang tot data logs voor de juiste personen. Wanneer het tijd is voor audits (voor datalekken of jaarlijkse compliance-eisen) bieden onze tools gestroomlijnde toegang tot de benodigde data.
4. SIEM-integratie: Het Kiteworks Enterprise-platform exporteert continu logs naar de SIEM van uw organisatie via een standaard audit log, inclusief integraties met IBM QRadar, ArcSight, FireEye Helix, LogRhythm en anderen. Ook wordt de Splunk Forwarder ondersteund en is er een Splunk App beschikbaar.
5. Schone, complete en bruikbare logdata: Onze engineers testen en verbeteren de kwaliteit, volledigheid en bruikbaarheid van logvermeldingen bij elke productrelease. Ze gebruiken een uitgebreide CISO-dashboard en rapportageweergaven als testomgeving om te zorgen dat klanten toegang hebben tot de benodigde statistieken en parameters om activiteiten te monitoren, bedreigingen te detecteren en forensisch onderzoek uit te voeren.
6. Uniforme, gestandaardiseerde log: Gebeurtenisstromen van applicatie- en systeemcomponenten komen allemaal samen in één enkele log, met gestandaardiseerde berichten die analisten en machine learning in staat stellen patronen te detecteren en te analyseren die meerdere communicatiekanalen overschrijden, zoals e-mail, MFT, bestandsoverdracht en SFTP, maar ook administratieve wijzigingen in beleid, rechten en configuraties, en besturingssysteemactiviteiten, logins, repository-toegangen en scans door DLP, antivirus, ATP en CDR-producten.
7. Intelligentie, analyses en notificaties: AI-technologie detecteert verdachte gebeurtenissen, zoals mogelijke exfiltratie, en stuurt een waarschuwing via e-mail en via de audit log.
8. Uitgebreide administratieve rapportage: De administratieve interfaces gebruiken logs voor dashboards die door mensen leesbaar zijn, evenals voor aangepaste en standaardrapporten.
9. Audittrail voor eindgebruikers: Het platform biedt gebruiksvriendelijke trackingweergaven zodat eindgebruikers kunnen bepalen of ontvangers toegang hebben gehad tot, inhoud hebben bewerkt of geüpload via beveiligde gedeelde mappen, beveiligde e-mail of SFTP.

Wilt u weten hoe Kiteworks samenwerking, eenvoudige integratie en naleving van regelgeving mogelijk maakt? Plan dan vandaag nog een aangepaste demo van Kiteworks.