搜索

[20977] 2020-04-23_【干货】日志管理与分析（四）--日志管理规程

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-04-23_【干货】日志管理与分析（四）--日志管理规程 【 干 货 】 日 志 管 理 与 分 析 （ 四 ） - - 日 志 管 理 规 程 原 创   l e m o n   S e c P u l s e 安 全 脉 搏   2 0 2 0 - 0 4 - 2 3 接 《 日 志 管 理 与 分 析 （ 三 ） - - 对 日 志 系 统 的 攻 击 》 ， 如 果 你 的 企 业 没 有 认 真 地 对 待 日 志 ， 那 么 就 可 以 说 明 你 的 企 业 对 I T 可 审 核 性 并 不 重 视 ， 这 也 就 是 日 志 记 录 成 为 一 种 完 善 的 依 从 性 技 术 ， 许 多 法 规 和 法 律 以 及 最 佳 实 践 框 架 都 对 此 作 出 强 制 性 要 求 的 原 因 。 日 志 管 理 与 分 析 （ 四 ） 重 点 在 于 根 据 P C I   D S S 以 及 I S O 2 7 0 0 1 标 准 的 日 志 的 管 理 规 程 。 0 1 日 志 管 理 规 程 日 志 记 录 和 管 理 的 目 标 本 质 上 是 为 你 提 供 环 境 中 的 态 势 感 知 （ S A ） ， 这 样 你 就 可 以 在 网 络 中 发 生 某 些 情 况 时 进 行 评 估 、 响 应 ， 并 在 必 要 时 升 级 。 S A 部 分 通 过 启 用 日 志 数 据 收 集 、 分 析 和 保 存 来 实 现 。 企 业 很 可 能 因 为 如 下 的 某 些 原 因 而 实 施 日 志 记 录 ： 1 .   你 想 要 保 护 公 司 的 资 产 （ 知 识 产 权 和 财 务 数 据 等 ） 。 2 .   你 所 处 行 业 （ 银 行 、 医 疗 、 信 用 卡 处 理 等 ） 要 求 监 管 依 从 性 ， 确 保 你 能 够 对 抗 外 部 和 内 部 威 胁 、 数 据 丢 失 等 。 3 .   你 就 是 希 望 记 录 所 有 日 志 。 就 第 二 种 原 因 ， 许 多 法 规 不 仅 从 过 程 和 规 程 的 角 度 规 定 你 必 须 做 的 事 ， 还 要 求 你 能 够 证 明 自 己 真 的 遵 循 和 维 护 你 的 策 略 和 规 程 。 这 可 能 意 味 着 从 提 供 最 新 的 网 络 系 统 访 问 权 限 文 档 ， 到 制 作 备 份 文 档 的 报 告 的 一 切 事 情 。 下 面 以 支 付 卡 行 业 （ 下 面 以 支 付 卡 行 业 （ P C I ） 数 据 安 全 标 准 （ ） 数 据 安 全 标 准 （ D S S ） 举 个 例 子 。 ） 举 个 例 子 。 P C I   D S S 是 一 组 技 术 和 运 营 需 求 ， 意 在 保 护 信 用 卡 持 卡 人 数 据 免 遭 违 规 使 用 。 商 户 、 处 理 设 备 、 发 卡 行 和 服 务 提 供 商 在 P C I 中 都 有 利 害 关 系 。 该 标 准 的 终 极 目 标 是 在 全 球 采 用 这 些 需 求 。 1 . 1 假 设 、 需 求 和 预 防 措 施 假 设 、 需 求 和 预 防 措 施 关 键 项 目 对 于 日 志 记 录 、 日 志 管 理 和 日 志 审 核 的 成 功 必 不 可 少 。 在 日 志 审 核 、 响 应 和 升 级 规 程 投 入 使 用 之 前 ， 假 定 如 下 需 求 已 经 得 到 满 足 。 1 . 1 . 1 需 求 需 求 必 须 有 一 组 需 求 ， 运 营 规 程 才 能 有 效 地 使 用 ： 1 ） 创 建 日 志 记 录 策 略 ， 以 编 集 P C I   D S S 日 志 相 关 需 求 ， 以 及 其 他 监 管 和 运 营 日 志 需 求 。 2 ） 在 范 围 内 的 系 统 上 启 用 日 志 记 录 。 3 ） 日 志 记 录 的 中 端 和 终 止 本 身 必 须 记 入 日 志 、 接 受 监 控 。 4 ） 记 录 P C I   D S S 文 档 规 定 的 事 件 。 5 ） 生 成 满 足 P C I   D S S 日 志 记 录 需 求 的 日 志 。 6 ） 范 围 内 的 系 统 时 间 和 可 靠 的 时 间 服 务 器 （ N T P 等 ） 同 步 。 7 ） 所 有 日 志 记 录 系 统 的 时 区 已 知 并 作 记 录 ， 可 以 和 日 志 一 起 审 核 。
1 . 1 . 2 预 防 措 施 预 防 措 施 需 要 采 取 如 下 的 预 防 措 施 ， 使 日 志 可 以 用 于 P C I   D S S 依 从 性 、 其 他 法 规 和 安 全 、 取 证 及 运 营 需 求 ： 关 键 预 防 措 施 ： 在 特 定 系 统 上 记 录 其 操 作 的 个 人 不 能 作 为 负 责 该 系 统 日 志 审 核 的 唯 一 当 事 人 。 关 键 预 防 措 施 ： P C I   D S S 强 制 实 施 日 志 安 全 措 施 ， 对 日 志 的 所 有 访 问 应 该 记 录 和 监 控 ， 识 别 终 止 或 者 影 响 日 志 存 在 和 质 量 的 企 图 。 这 些 预 防 措 施 的 主 要 思 路 是 确 保 系 统 完 整 性 。 本 质 上 ， 没 有 一 个 人 应 该 拥 有 能 够 掩 盖 自 己 或 者 其 他 人 踪 迹 的 控 制 权 。 1 . 2 常 见 角 色 和 职 责 常 见 角 色 和 职 责 常 见 角 色 和 职 责 总 结 角 色 职 责 涉 及 工 作 示 例 应 用 系 统 管 理 员 管 理 应 用 程 序 配 置 应 用 程 序 日 志 记 录 设 置 ， 可 能 进 行 日 常 日 志 审 核 系 统 或 者 网 络 管 理 员 管 理 底 层 操 作 系 统 或 者 网 络 配 置 应 用 程 序 日 志 记 录 设 置 ， 可 能 进 行 日 常 日 志 审 核 应 用 程 序 业 务 负 责 人 负 责 应 用 程 序 的 业 务 经 理 批 准 日 志 记 录 和 日 志 审 核 所 需 的 应 用 程 序 配 置 更 改 安 全 管 理 员 管 理 一 个 或 者 多 个 系 统 / 应 用 程 序 的 安 全 控 制 配 置 安 全 和 日 志 记 录 设 置 ， 进 行 日 常 日 志 审 核 安 全 分 析 人 员 处 理 运 营 安 全 性 过 程 访 问 安 全 系 统 并 分 析 日 志 和 其 他 数 据 安 全 主 管 或 者 经 理 监 督 安 全 策 略 、 过 程 和 运 营 负 责 日 志 审 核 规 程 、 更 新 规 程 事 故 响 应 人 员 参 与 安 全 事 故 响 应 处 理 安 全 事 故 ， 在 响 应 过 程 中 审 核 日 志 上 面 指 出 的 角 色 ， 你 的 企 业 可 能 没 有 定 义 这 些 角 色 ， 大 多 企 业 都 是 一 人 兼 顾 多 责 。 1 . 3 P C I 和 日 志 数 据 和 日 志 数 据 P C I   D S S 对 于 日 志 记 录 和 监 控 的 强 制 关 键 领 域 是 需 求 1 0 和 需 求 1 1 的 各 个 部 分 。 为 了 达 到 依 从 性 ， 你 必 须 实 现 需 求 ； 它 是 必 要 的 条 件 。 在 P C I   D S S 文 档 中 ， 需 求 1 0 陈 述 “ 跟 踪 和 监 控 对 网 络 资 源 和 持 卡 人 数 据 的 所 有 访 问 ” 。 需 求 1 1 陈 述 “ 定 期 测 试 安 全 系 统 和 过 程 ” 。 需 求 1 2 陈 述 “ 维 护 一 个 处 理 所 有 个 人 信 息 安 全 的 策 略 ” 。 1 . 3 . 1 关 键 需 求 关 键 需 求 1 0 . 1 需 求 1 0 . 1 涵 盖 的 是 “ 建 立 一 个 过 程 ， 将 对 系 统 组 件 的 所 有 访 问 （ 特 别 是 使 用 根 用 户 等 管 理 权 限 完 成 的 访 问 ） 与 每 个 单 独 用 户 联 系 起 来 。 ” 这 确 实 是 一 个 而 有 趣 的 需 求 ； 它 不 仅 强 制 日 志 的 存 在 或 者 建 立 日 志 记 录 过 程 ， 还 提 到 日 志 必 须 与 个 人 绑 定 （ 不 是 计 算 机 或 者 生 成 日 志 的 “ 设 备 ” ） 。 这 个 需 求 常 常 给 P C I 实 施 者 造 成 问 题 ， 因 为 许 多 人 认 为 日 志 是 “ 人 的 操 作 记 录 ” ， 而 现 实 中 他 们 只 拥 有 “ 计 算 机 的 操 作 记 录 ” 。 将 后 者 映 射 到 实 际 用 户 往 往 带 来 额 外 的 挑 战 。 顺 便 说 一 句 ， P C I   D S S 需 求 8 . 1 强 制 企 业 “ 在 允 许 用 户 访 问 系 统 组 件 或 者 持 卡 人 数 据 之 前 ， 要 为 他 们 分 配 唯 一 的 I D ” ， 这 一 条 目 使 日 志 在 此 更 加 有 用 。   1 0 . 2 1 0 . 2 定 义 了 需 要 记 录 的 系 统 事 件 的 最 小 列 表 ， 这 些 需 求 的 动 机 是 为 了 评 估 和 监 控 用 户 操 作 ， 以 及 可 能 影 响 信 用 卡 数 据 的 其 他 事 件 。 下 面 是 P C I   D S S 需 求 中 的 列 表 ：
1 0 . 2 . 1   访 问 持 卡 人 数 据 的 所 有 单 独 用 户 。 1 0 . 2 . 2   具 有 根 或 者 管 理 权 限 的 任 何 个 人 进 行 的 所 有 操 作 。 1 0 . 2 . 3   对 所 有 审 计 跟 踪 的 访 问 。 1 0 . 2 . 4   无 效 的 逻 辑 访 问 企 图 。 1 0 . 2 . 5   标 识 和 身 份 认 证 机 制 的 使 用 。 1 0 . 2 . 6   审 计 日 志 初 始 化 。 1 0 . 2 . 7   系 统 级 对 象 的 创 建 和 删 除 。 可 以 看 出 ， 上 述 列 表 覆 盖 了 数 据 访 问 、 特 权 用 户 操 作 、 日 志 访 问 和 初 始 化 、 失 败 和 无 效 的 访 问 请 求 、 身 份 认 证 和 授 权 决 策 和 系 统 对 象 更 改 。 重 要 的 是 ， 这 样 的 列 表 来 源 于 I T 治 理 “ 最 佳 实 践 ” ， 这 些 最 佳 实 践 指 出 ， 要 监 控 访 问 、 身 份 认 证 、 授 权 变 更 管 理 、 系 统 可 用 性 和 可 疑 活 动 。   1 0 . 3 而 且 ， P C I   D S S 需 求 1 0 更 加 深 入 ， 包 括 了 每 个 事 件 中 需 要 记 录 的 具 体 数 据 字 段 或 者 数 值 。 它 们 提 供 了 健 康 状 况 的 最 低 需 求 ， 各 种 I T 平 台 上 的 日 志 记 录 机 制 一 般 都 能 超 过 这 个 要 求 。 1 0 . 3 . 1   用 户 标 识 。 1 0 . 3 . 2   事 件 类 型 。 1 0 . 3 . 3   日 期 和 时 间 。 1 0 . 3 . 4   成 功 或 者 失 败 的 指 示 。 1 0 . 3 . 5   事 件 来 源 1 0 . 3 . 6   受 影 响 的 数 据 、 系 统 组 件 或 者 资 源 的 标 识 或 者 名 称 。 可 以 看 到 ， 上 述 最 小 列 表 包 含 了 事 故 分 析 所 需 的 基 本 属 性 ， 能 够 回 答 如 下 问 题 ： 何 时 、 谁 、 何 地 、 发 生 何 事 、 来 自 何 处 。   1 0 . 4 需 求 1 0 . 4 ， 处 理 常 常 被 忽 略 但 是 很 关 键 的 一 个 需 求 ： 所 有 日 志 具 备 准 确 而 一 致 时 间 的 需 求 。 时 间 和 安 全 事 件 监 控 的 紧 密 结 合 似 乎 相 当 简 单 。 在 家 庭 或 者 小 型 办 公 室 网 络 中 ， 系 统 时 间 往 往 是 随 机 的 。 不 管 你 的 服 务 器 时 间 设 成 什 么 ， 为 了 设 计 有 一 定 可 靠 性 的 网 络 ， 你 的 系 统 应 该 配 置 为 从 可 靠 来 源 （ 如 网 络 时 间 协 议 （ N T P ） 服 务 器 ） 获 得 时 间 同 步 。   1 0 . 5 人 们 必 须 解 决 日 志 的 机 密 性 、 完 整 性 和 可 用 性 （ C I A ） 。 1 0 . 5 . 1 ： P C I   D S S 的 1 0 . 5 . 1 介 绍 了 机 密 性 ： “ 将 对 审 计 跟 踪 的 查 看 限 制 在 与 工 作 相 关 的 需 求 上 ” 。 这 意 味 着 ， 只 有 必 须 查 看 日 志 才 能 完 成 工 作 的 人 才 能 够 查 看 日 志 ， 原 因 之 一 是 和 身 份 认 证 相 关 的 日 志 总 是 包 含 用 户 名 。 虽 然 不 是 真 正 的 秘 密 ， 但 是 用 户 名 称 信 息 提 供 了 密 码 猜 测 所 需 的 5 0 % 信 息 。 而 且 ， 因 为 用 户 错 误 输 入 证 书 ， 而 在 日 志 中 显 示 密 码 的 情 况 并 不 少 见 。 编 写 质 量 低 劣 的 w e b 应 用 程 序 可 能 造 成 密 码 和 w e b 统 一 资 源 定 位 符 （ U R L ） 一 起 记 录 在 w e b 服 务 器 日 志 中 。 1 0 . 5 . 2 ： 接 下 来 是 “ 完 整 性 ” ， 根 据 P C I   D S S 的 1 0 . 5 . 2 ， 必 须 “ 保 护 审 计 跟 踪 文 件 免 遭 未 授 权 修 改 ” 。 这 是 显 而 易 见 的 ， 因 为 如 果 日 志 被 未 授 权 方 修 改 ， 它 们 就 不 再 是 系 统 和 用 户 活 动 的 客 观 评 估 个 弄 脏 。 但 是 人 们 不 仅 必 须 保 留 来 自 恶 意 用 户 的 日 志 ， 还 应 该 保 留 系 统 故 障 和 系 统 配 置 错 误 结 果 的 日 志 。 这 涉 及 日 志 数 据
的 “ 可 用 性 ” 和 “ 完 整 性 ” 。 P C I   D S S   1 0 . 5 . 3 明 确 指 出 ， 必 须 “ 立 即 将 审 计 跟 踪 文 件 备 份 到 集 中 日 志 服 务 器 或 者 难 以 修 改 的 媒 介 ” 。 确 实 ， 将 日 志 集 中 到 一 个 或 者 一 组 用 于 日 志 分 析 的 服 务 器 ， 对 于 日 志 保 护 和 增 加 日 志 实 用 性 都 是 不 可 或 缺 的 ， 将 日 志 备 份 到 C D 或 者 D V D （ 或 者 磁 带 ） 是 这 一 需 求 的 另 一 种 结 果 。 人 们 应 该 始 终 记 住 ， 磁 带 上 的 日 志 不 容 易 访 问 ， 在 出 现 事 故 时 也 无 法 搜 索 。 许 多 网 络 基 础 设 施 （ 如 路 由 器 和 交 换 机 ） 被 设 计 为 将 日 志 放 到 外 部 服 务 器 ， 在 设 备 自 身 上 只 保 留 极 少 量 （ 或 者 没 有 ） 日 志 。 因 此 ， 对 于 这 些 系 统 来 说 ， 集 中 化 的 日 志 最 为 重 要 。 P C I D S S 的 需 求 1 0 . 5 . 4 说 明 了 这 种 需 求 ， “ 将 无 线 网 络 的 日 志 复 制 到 内 部 L A N 上 的 日 志 服 务 器 中 ” 。 为 了 进 一 步 降 低 日 志 修 改 的 风 险 ， 并 证 明 这 样 的 修 改 没 有 发 生 ， 需 求 1 0 . 5 . 5 要 求 “ 在 日 志 上 使 用 文 件 完 整 性 监 控 和 变 更 检 测 软 件 ， 确 保 现 存 日 志 数 据 不 能 在 没 有 警 告 的 情 况 下 更 改 ” 。 与 此 同 时 ， 在 日 志 文 件 中 添 加 新 的 日 志 数 据 不 应 该 生 成 警 报 ， 因 为 日 志 文 件 不 断 增 长 ， 不 会 自 己 压 缩 。 文 件 完 整 性 监 控 系 统 使 用 加 密 哈 希 算 法 ， 将 文 件 和 一 个 已 知 的 正 确 副 本 比 较 。 问 题 是 ， 日 志 文 件 因 为 新 纪 录 的 添 加 而 不 断 增 长 ， 从 而 导 致 完 整 性 检 查 的 削 弱 。 为 了 解 决 这 一 矛 盾 ， 应 该 注 意 完 整 性 监 控 只 能 保 证 没 有 被 日 志 记 录 组 件 不 断 写 入 的 日 志 的 完 整 性 。   1 0 . 6 许 多 P C I   D S S 实 施 者 忘 记 了 ， P C I 需 求 1 0 不 仅 要 求 “ 有 日 志 ” ， 还 要 求 “ 有 日 志 ， 并 且 查 看 它 们 ” ， 1 0 . 6 明 确 指 出 P C I 组 织 应 该 按 照 P C I   D S S ， “ 至 少 每 天 一 次 审 核 所 有 系 统 组 件 的 日 志 。 日 志 审 核 必 须 至 少 包 含 执 行 I D S 和 A A A 服 务 器 等 安 全 功 能 的 服 务 器 ” 。 因 此 ， P C I   D S S 需 求 还 覆 盖 了 需 要 “ 每 天 审 核 ” 的 日 志 源 范 围 ， 而 不 仅 是 需 要 配 置 日 志 、 保 留 或 者 集 中 化 日 志 。 考 虑 到 大 型 I T 环 境 每 天 可 能 生 成 以 G B 计 算 的 日 志 ， 人 工 阅 读 所 有 日 志 是 不 可 能 的 。 因 此 ， P C I   D S S 在 这 个 需 求 上 有 个 注 释 ： “ 可 以 使 用 日 志 收 集 、 解 析 和 警 报 工 具 实 现 需 求 1 0 . 6 的 依 从 性 ”   1 0 . 7 最 后 一 个 需 求 （ 1 0 . 7 ） 处 理 另 一 个 非 常 重 要 的 日 志 记 录 问 题 - - 日 志 保 存 ， 它 规 定 ： “ 保 存 审 计 跟 踪 历 史 至 少 一 年 ， 保 持 在 线 可 用 性 至 少 三 个 月 ” 。 和 其 他 无 数 需 求 不 同 ， 这 一 需 求 直 接 处 理 复 杂 的 日 志 保 存 问 题 。 因 此 ， 如 果 你 无 法 查 看 1 年 前 的 日 志 ， 就 违 反 了 规 定 。 而 且 ， P C I   D S S 在 更 新 后 的 版 本 1 . 1 中 还 明 确 地 增 加 了 一 年 的 需 求 规 定 。 总 结 一 下 目 前 为 止 学 习 的 P C I   日 志 记 录 需 求 ： P C I 需 求 1 0 规 定 以 预 先 定 义 的 细 节 水 平 记 录 来 自 范 围 内 所 有 系 统 的 特 定 事 件 。 P C I 要 求 日 志 中 所 有 操 作 与 实 际 用 户 挂 钩 。 范 围 内 的 系 统 上 的 时 钟 和 时 间 应 该 同 步 。 应 该 保 护 所 有 收 集 日 志 的 C I A （ 机 密 性 、 完 整 性 、 可 用 性 ） 。 日 志 应 该 定 期 审 核 ： 特 定 的 日 志 应 该 至 少 一 天 审 核 一 次 。 范 围 内 的 所 有 日 志 应 该 留 存 至 少 一 年 。 下 面 更 深 入 的 研 究 日 志 和 监 控 ， 这 些 日 志 和 监 控 不 仅 在 需 求 1 0 中 规 定 ， 还 出 现 在 所 有 其 他 P C I 需 求 中 。 许 多 人 可 能 认 为 P C I 中 的 日 志 都 在 需 求 中 说 明 ， 但 实 际 情 况 更 为 复 杂 ： 日 志 出 现 和 隐 藏 在 所 有 其 他 的 小 节 中 。 1 . 3 . 2 与 日 志 记 录 相 关 的 其 他 需 求 与 日 志 记 录 相 关 的 其 他 需 求 几 乎 所 有 满 足 P C I   D S S 需 求 的 规 定 （ 如 数 据 加 密 或 者 防 病 毒 更 新 ） ， 都 可 能 使 用 日 志 文 件 来 证 明 。
例 如 ， 需 求 1 “ 安 装 和 维 护 防 火 墙 配 置 ， 以 保 护 持 卡 人 数 据 ” 中 提 到 ， 企 业 必 须 有 “ 批 准 和 测 试 所 有 外 部 网 络 连 接 以 及 防 火 墙 配 置 变 更 的 正 式 过 程 ” 。 但 是 ， 在 建 立 这 种 过 程 之 后 ， 人 们 必 须 验 证 防 火 墙 配 置 变 更 确 实 得 到 授 权 ， 并 且 按 照 书 面 的 变 更 管 理 规 程 进 行 。 这 时 日 志 记 录 变 得 极 其 方 便 ， 因 为 它 说 明 了 实 际 发 生 的 情 况 ， 而 不 是 “ 应 该 发 生 ” 的 情 况 。 需 求 1 . 3 包 含 防 火 墙 配 置 的 指 导 原 则 ， 有 关 于 入 站 和 出 站 连 接 性 的 具 体 陈 述 。 必 须 使 用 防 火 墙 日 志 来 验 证 这 些 配 置 ， 仅 仅 审 核 配 置 还 不 够 ， 因 为 只 有 日 志 才 能 说 明 “ 实 际 发 生 了 什 么 ” 而 不 是 “ 如 何 配 置 ” 。 类 似 地 ， 需 求 2 讨 论 密 码 管 理 “ 最 佳 实 践 ” 和 一 般 的 安 全 加 固 ， 例 如 不 运 行 没 有 必 要 的 服 务 。 日 志 可 以 说 明 何 时 启 动 了 之 前 禁 用 的 服 务 ， 这 可 能 是 不 知 情 的 系 统 管 理 员 或 者 攻 击 者 的 操 作 造 成 的 。 需 求 3 更 进 一 步 ， 处 理 数 据 加 密 ， 这 和 日 志 记 录 有 着 直 接 而 明 确 的 联 系 。 例 如 ， 3 . 6 小 节 隐 含 了 一 个 要 求 ： 拥 有 验 证 这 些 活 动 是 否 真 正 进 行 的 日 志 。 确 切 的 说 ， 大 部 分 加 密 系 统 记 录 秘 钥 生 成 、 分 发 和 废 止 的 日 志 ， 这 些 日 志 对 于 满 足 上 述 需 求 是 至 关 重 要 的 。 需 求 4 处 理 的 也 是 加 密 ， 由 于 同 样 的 原 因 ， 和 日 志 记 录 也 有 隐 含 的 联 系 。 需 求 5 针 对 病 毒 防 御 。 当 然 ， 为 了 满 足 5 . 2 小 节 的 需 求 - - “ 确 保 所 有 防 病 毒 机 制 更 新 、 活 跃 地 运 行 ， 并 且 能 够 生 成 审 计 日 志 ” 必 修 查 看 所 提 到 的 这 些 日 志 。 所 以 ， 即 使 是 “ 使 用 和 定 期 更 新 防 病 毒 软 件 ” 也 可 以 在 评 估 期 间 需 要 请 求 日 志 数 据 ， 因 为 这 些 信 息 由 防 病 毒 评 估 日 志 提 供 。 著 名 的 “ 防 病 毒 更 新 失 败 ” 问 题 也 在 日 志 中 反 映 ， 它 说 明 公 司 正 处 于 恶 意 软 件 的 威 胁 之 下 ， 因 为 没 有 更 新 最 新 特 征 码 的 防 病 毒 软 件 只 能 造 成 虚 假 的 安 全 感 ， 损 害 依 从 性 工 作 。 需 求 6 页 处 于 同 一 范 畴 ： 它 要 求 组 织 “ 开 发 和 维 护 安 全 的 系 统 和 应 用 程 序 ” ， 没 有 强 大 的 评 估 日 志 记 录 功 能 和 应 用 程 序 安 全 监 控 ， 这 是 无 法 想 象 的 。 需 求 7 规 定 “ 根 据 业 务 按 需 了 解 的 原 则 限 制 对 持 卡 人 数 据 的 访 问 ” ， 需 要 日 志 来 验 证 谁 能 够 访 问 文 中 所 指 的 数 据 。 如 果 不 应 该 看 到 数 据 的 用 户 出 现 在 访 问 数 据 的 日 志 文 件 中 ， 就 需 要 采 取 纠 正 措 施 。 为 每 个 访 问 系 统 的 用 户 分 配 一 个 唯 一 的 I D 符 合 其 他 安 全 “ 最 佳 实 践 ” 。 在 P C I 中 ， 这 不 仅 是 一 个 “ 最 佳 实 践 ” ， 还 是 一 个 需 求 。 显 然 ， 人 们 必 须 “ 控 制 用 户 I D 、 证 书 和 其 他 标 识 符 对 象 的 添 加 、 删 除 和 修 改 ” 。 大 部 分 系 统 记 录 这 些 活 动 的 日 志 。 除 此 之 外 ， 8 . 5 . 9 小 节 “ 每 9 0 天 至 少 更 改 用 户 密 码 一 次 ” 也 可 以 通 过 审 核 服 务 器 日 志 来 验 证 ， 以 便 确 保 所 有 账 户 在 9 0   天 内 至 少 修 改 一 次 密 码 。 需 求 9 介 绍 了 安 全 的 一 个 新 领 域 - - 物 理 访 问 控 制 ， 甚 至 连 包 含 来 访 者 日 志 维 护 的 9 . 4 小 节 也 和 日 志 管 理 有 关 ， 对 于 这 类 日 志 有 单 独 的 数 据 保 存 需 求 ： “ 使 用 访 问 者 日 志 维 护 访 问 者 活 动 的 物 理 评 估 跟 踪 ， 保 存 这 些 日 志 至 少 3 个 月 ， 除 非 法 律 有 其 他 限 制 ” 需 求 1 1 说 明 扫 描 范 围 内 系 统 漏 洞 的 必 要 性 。 但 是 ， 在 1 1 . 4 小 节 中 要 求 使 用 I D S 或 者 I P S ： “ 使 用 网 络 入 侵 检 测 系 统 、 基 于 主 机 的 入 侵 检 测 系 统 和 入 侵 防 御 系 统 ， 监 控 所 有 网 络 流 量 ， 并 向 有 关 人 员 发 出 可 疑 入 侵 的 警 报 。 保 持 所 有 入 侵 检 测 和 预 防 引 擎 最 新 ” 。 入 侵 检 测 只 在 审 核 日 志 和 警 报 时 才 有 用 。 需 求 1 2 涵 盖 了 更 高 级 的 问 题 - - 安 全 策 略 、 安 全 标 准 和 日 常 运 营 规 程 （ 例 如 ， 需 求 1 0 中 强 制 的 每 日 日 志 审 核 规 程 应 该 在 这 里 反 映 ） 。 但 是 ， 它 也 和 日 志 记 录 相 关 ， 因 为 评 估 日 志 记 录 应 该 是 每 个 安 全 策 略 的 一 部 分 。 除 此 之 外 ， 事 故 响 应 需 求 也 和 日 志 记 录 相 关 ： “ 建 立 、 记 录 和 发 布 安 全 事 故 响 应 和 升 级 规 程 ， 确 保 及 时 和 有 效 地 处 理 所 有 情 况 ” ， 如 果 没 有 高 效 的 日 志 数 据 收 集 和 及 时 审 核 ， 上 述 要 求 难 以 想 象 。 因 此 P C I   D S S 中 的 事 件 日 志 记 录 和 安 全 监 控 远 不 止 需 求 1 0 。 只 有 通 过 精 心 的 数 据 收 集 和 分 析 ， 才 能 满 足 P C I 的 广 泛 需 求 。
1 . 4 日 志 记 录 策 略 日 志 记 录 策 略 根 据 P C I   D S S 需 求 ， 源 于 P C I 的 日 志 记 录 策 略 至 少 必 须 包 含 如 下 内 容 ： 足 够 的 日 志 记 录 ， 包 括 日 志 事 件 类 型 （ 登 录 / 注 销 、 资 源 访 问 、 防 火 墙 接 受 / 拒 绝 、 I P S / I D S 警 报 等 ） 和 细 节 。 日 志 聚 合 和 留 存 （ 1 年 ） 。 日 志 保 护 （ 确 保 日 志 不 被 篡 改 ） 。 日 志 审 核 日 志 记 录 策 略 定 义 应 该 捕 获 日 志 数 据 的 哪 些 属 性 供 以 后 审 核 、 升 级 和 响 应 。 同 样 ， 本 章 中 使 用 P C I   D S S 的 概 念 ， 但 是 这 个 策 略 是 通 用 的 ， 可 以 应 用 于 非 P C I 活 动 、 应 用 程 序 等 场 合 。 现 在 ， 我 们 将 重 点 放 在 日 志 审 核 上 。 P C I   D S S 指 出 ： “ 至 少 每 天 一 次 审 核 所 有 系 统 组 件 的 日 志 。 日 志 审 核 必 须 包 含 执 行 入 侵 检 测 系 统 （ I D S ） 和 身 份 认 证 、 授 权 等 安 全 功 能 的 服 务 器 ， 以 及 计 费 协 议 服 务 器 ” 然 后 ， 它 又 增 加 了 这 一 条 ： “ 可 以 使 用 日 志 收 集 、 解 析 和 报 警 工 具 满 足 需 求 1 0 . 6 的 依 从 性 ” 。 P C I 日 志 审 核 测 试 和 验 证 规 程 强 制 ， 合 格 安 全 评 审 员 （ Q S A ） 应 该 “ 获 得 和 检 查 安 全 策 略 及 规 程 ， 验 证 他 们 包 含 每 天 至 少 一 次 审 核 安 全 日 志 的 规 程 ， 并 且 要 求 对 异 常 情 况 进 行 后 续 调 查 ” 。 Q S A 还 必 须 确 定 “ 通 过 观 察 和 面 谈 ， 验 证 所 有 系 统 组 件 都 进 行 了 定 期 日 志 审 核 ” 。 最 后 ， 在 下 一 个 小 节 ， 我 们 讨 论 日 志 审 核 规 程 的 应 用 和 工 作 流 程 ， 包 括 ： 1 .   日 志 审 核 方 法 、 模 式 和 任 务 。 2 .   异 常 调 查 和 分 析 。 3 .   规 程 和 管 理 报 告 的 验 证 。 这 些 规 程 可 以 使 用 自 动 化 的 日 志 管 理 工 具 ， 当 这 些 工 具 不 可 用 或 者 不 兼 容 应 用 程 序 生 成 的 日 志 格 式 时 ， 也 可 以 人 工 进 行 。 1 . 5 审 核 、 响 应 、 升 级 规 程 审 核 、 响 应 、 升 级 规 程 日 志 管 理 的 定 期 审 核 规 程 ， 这 种 审 核 由 应 用 管 理 员 或 者 安 全 管 理 员 进 行 ， 可 以 使 用 自 动 化 工 具 ， 如 果 这 些 自 动 化 工 具 不 可 用 或 者 不 支 持 P C I 应 用 程 序 中 的 日 志 类 型 ， 则 人 工 进 行 。 P C I   D S S 定 期 日 志 审 核 的 基 本 原 则 是 实 现 如 下 目 标 ： 确 定 持 卡 人 数 据 没 有 遭 到 攻 击 者 的 入 侵 。 尽 早 检 测 出 持 卡 人 数 据 的 可 能 风 险 。 满 足 P C I   D S S 日 志 审 核 的 明 确 需 求 。 P C I   D S S 是 每 天 日 志 审 核 的 动 机 ， 但 是 它 还 能 实 现 其 他 的 目 标 ： 确 保 处 理 持 卡 人 数 据 的 系 统 安 全 有 效 地 运 行 。 协 调 日 志 中 观 察 到 的 与 其 他 系 统 和 活 动 之 间 所 有 可 能 被 的 异 常 情 况 （ 例 如 应 用 程 序 代 码 变 化 或 者 补 丁 部 署 ） 。 根 据 上 述 目 标 ， 每 天 日 志 审 核 围 绕 “ 基 线 ” 或 者 常 规 日 志 消 息 集 的 学 习 和 文 档 记 录 构 建 。 1 . 5 . 1 用 日 志 管 理 工 具 构 建 一 个 初 始 基 线 用 日 志 管 理 工 具 构 建 一 个 初 始 基 线 执 行 如 下 步 骤 ， 用 日 志 管 理 工 具 构 建 一 个 基 线 ： 1 ） 确 保 日 志 管 理 工 具 收 集 P C I 应 用 程 序 中 的 相 关 日 志 。 2 ） 确 定 工 具 能 够 “ 理 解 ” 消 息 ， 并 标 识 每 个 日 志 的 “ 事 件 I D ” 或 者 消 息 类 型 。 3 ） 为 初 始 基 线 选 择 一 个 事 件 周 期 ： “ 9 0 天 ” ， 或 者 在 日 志 收 集 不 到 9 0 天 时 “ 全 时 ” 。
4 ） 运 行 一 个 报 告 ， 显 示 每 个 消 息 类 型 的 计 数 。 这 个 报 告 指 出 系 统 运 营 9 0 天 内 遇 到 的 所 有 日 志 类 型 。 5 ） 如 果 没 有 发 现 任 何 卡 数 据 泄 露 ， 我 们 可 以 接 受 如 上 报 告 ， 作 为 “ 例 行 运 营 ” 基 线 。 6 ） 创 建 基 线 的 同 时 应 该 执 行 一 个 附 加 步 骤 ： 即 使 我 们 断 定 卡 数 据 没 有 遭 到 入 侵 ， 在 9 0 天 内 记 录 的 某 些 日 志 消 息 也 可 能 触 发 某 种 行 动 或 者 补 救 措 施 。 这 样 的 消 息 成 为 “ 已 知 错 误 ” ， 应 该 标 记 出 来 。 1 . 5 . 2 人 工 构 建 初 始 基 线 人 工 构 建 初 始 基 线 在 日 志 不 兼 容 可 用 工 具 或 者 可 用 工 具 不 能 很 好 地 理 解 日 志 数 据 时 ， 必 须 在 不 使 用 日 志 管 理 工 具 的 情 况 下 人 工 构 建 基 线 。 为 此 ， 执 行 如 下 步 骤 ： 1 ） 确 保 来 自 P C I 应 用 程 序 的 相 关 日 志 保 存 在 某 个 位 置 。 2 ） 为 初 始 基 线 选 择 一 个 时 间 周 期 ： “ 9 0 天 ” 或 者 在 日 志 收 集 不 到 9 0 天 时 “ 全 时 ” ； 检 查 最 早 的 日 志 时 间 戳 确 定 这 一 点 。 3 ） 从 最 旧 的 日 志 条 目 开 始 审 核 ， 直 到 最 新 的 条 目 ， 尝 试 识 别 它 们 的 类 型 。 4 ） 人 工 创 建 所 有 观 测 类 型 的 摘 要 ； 如 果 现 实 的 话 ， 收 集 每 条 消 息 出 现 的 次 数 。 5 ） 如 果 没 有 发 现 任 何 卡 数 据 泄 露 ， 我 们 可 以 接 受 如 上 报 告 ， 作 为 “ 例 行 运 营 ” 基 线 。 6 ） 创 建 基 线 的 同 时 应 该 执 行 一 个 附 加 步 骤 ： 即 使 我 们 断 定 卡 数 据 没 有 遭 到 入 侵 ， 在 9 0 天 内 记 录 的 某 些 日 志 消 息 也 可 能 触 发 某 种 行 动 或 者 补 救 措 施 。 这 样 的 消 息 被 称 为 “ 已 知 错 误 ” ， 应 该 标 记 出 来 。 确 定 “ 已 知 错 误 ” 消 息 的 原 则 ： 1 ） 在 不 寻 常 的 时 间 发 生 的 登 录 和 其 他 “ 授 权 访 问 ” 日 志 消 息 。 2 ） 发 生 在 更 改 窗 口 之 外 的 证 书 和 权 限 修 改 日 志 消 息 。 3 ） 到 期 的 用 户 账 户 生 成 的 任 何 日 志 消 息 。 4 ） 维 护 窗 口 之 外 的 重 启 消 息 。 5 ） 在 备 份 窗 口 之 外 进 行 的 数 据 备 份 / 导 出 。 6 ） 日 志 数 据 删 除 。 7 ） 系 统 或 者 应 用 程 序 日 志 记 录 终 止 。 8 ） 系 统 或 者 应 用 程 序 记 录 配 置 的 任 何 变 更 。 9 ） 在 过 去 触 发 了 任 何 行 动 （ 系 统 配 置 、 调 查 等 等 ） 的 日 志 消 息 。 1 0 ） 与 安 全 策 略 违 规 明 显 相 关 的 其 他 日 志 。 构 建 初 始 基 线 之 后 ， 我 们 就 开 始 每 天 审 核 日 志 。 1 . 5 . 3 主 要 工 作 流 程 ： 主 要 工 作 流 程 ： 每 天 日 志 审 计 每 天 日 志 审 计 这 是 日 志 审 核 中 非 常 核 心 的 部 分 - - 将 最 后 一 天 产 生 的 日 志 与 积 累 的 基 线 想 比 较 。 定 期 日 志 审 核 的 频 率 P C I   D S S 需 求 1 0 . 6 明 确 规 定 ， “ 每 天 至 少 一 次 审 核 所 有 系 统 组 件 的 日 志 ” ， 假 定 日 志 审 核 规 程 每 天 进 行 。 下 面 是 日 志 审 核 执 行 频 率 低 于 每 天 一 次 的 理 由 ： 应 用 程 序 或 者 系 统 没 有 每 天 生 成 日 志 。 如 果 日 志 记 录 没 有 每 天 添 加 ， 就 没 有 必 要 每 天 进 行 日 志 审 核 。 日 志 审 核 使 用 以 批 模 式 收 集 日 志 的 日 志 管 理 系 统 ， 日 志 批 次 到 达 频 率 低 于 每 天 一 次 。 应 用 程 序 没 有 处 理 或 者 存 储 信 用 卡 数 据 ； 只 因 为 直 接 连 接 而 被 列 入 范 围 。 每 天 日 志 审 核 的 比 较 方 法 总 结 如 下 ：
基 本 方 法 ： 前 所 未 见 的 日 志 类 型 （ 新 日 志 消 息 类 型 ） 。 高 级 方 法 ： 前 所 未 见 的 日 志 类 型 （ 新 日 志 消 息 类 型 ） 。 比 基 线 中 出 现 频 率 更 高 的 日 志 类 型 。 比 基 线 中 出 现 频 率 更 低 的 日 志 类 型 。 前 所 未 见 的 日 志 类 型 （ 对 于 特 定 用 户 ） 。 前 所 未 见 的 日 志 类 型 （ 对 于 特 殊 应 用 程 序 模 块 ） 。 前 所 未 见 的 日 志 类 型 （ 在 周 末 ） 。 前 所 未 见 的 日 志 类 型 （ 在 工 作 日 内 ） 。 遵 循 高 级 方 法 的 同 时 ， 日 志 管 理 工 具 也 可 以 使 用 其 他 比 较 算 法 。 在 消 息 被 标 记 为 异 常 之 后 ， 我 们 转 入 日 常 工 作 流 的 不 同 阶 段 - - 从 每 天 审 核 转 向 调 查 分 析 。 0 2 日 志 的 依 存 性 日 志 记 录 和 通 过 日 志 管 理 软 件 或 者 其 他 工 具 跟 踪 此 类 活 动 ， 是 实 现 I T 可 审 核 性 的 主 要 手 段 ， 因 为 大 部 分 用 户 和 系 统 操 作 可 能 记 录 在 日 志 中 。 实 现 组 织 中 的 可 审 核 性 可 能 需 要 许 多 其 他 手 段 ， 但 是 日 志 是 遍 及 各 个 I T 领 域 的 一 个 机 制 ， 甚 至 延 伸 到 技 术 的 范 围 之 外 。 如 果 你 的 I T 运 营 不 可 审 核 ， 也 就 意 味 着 你 的 业 务 无 法 审 核 。 如 果 你 的 企 业 没 有 认 真 地 对 待 日 志 ， 那 么 就 可 以 说 明 你 对 I T 可 审 核 性 并 不 重 视 ， 这 也 就 是 日 志 记 录 成 为 一 种 完 善 的 依 从 性 技 术 ， 许 多 法 规 和 法 律 以 及 最 佳 实 践 框 架 都 对 此 作 出 强 制 性 要 求 的 原 因 。 总 体 来 说 ， 法 规 在 日 志 数 据 上 有 如 下 的 某 些 或 者 全 部 要 求 ， 有 充 足 的 日 志 记 录 ， 各 种 法 规 在 “ 充 足 ” 的 含 义 上 有 显 著 的 不 同 。 有 些 法 规 只 规 定 企 业 有 审 计 日 志 记 录 。 集 中 收 集 日 志 ， 有 些 法 规 要 求 收 集 日 志 并 集 中 存 储 和 分 析 。 审 核 日 志 数 据 ， 许 多 法 规 中 最 困 难 的 部 分 是 强 制 日 志 审 核 。 例 如 ， P C I   D S S 要 求 每 天 审 核 来 自 范 围 内 系 统 的 日 志 。 很 明 显 ， 这 并 不 意 味 着 每 个 单 独 的 日 志 条 目 都 必 须 人 工 阅 读 。 留 存 日 志 一 段 时 间 。 法 规 要 求 各 种 不 同 的 日 志 保 存 期 - - 从 几 个 月 到 几 年 。 有 些 法 规 只 要 求 企 业 必 须 有 日 志 保 存 策 略 ， 而 没 有 规 定 具 体 的 数 字 。 监 控 安 全 性 。 有 些 法 规 规 定 了 网 络 和 W E B 警 报 的 审 核 ， 在 必 要 时 可 以 部 署 一 个 事 故 响 应 过 程 。 其 他 任 务 包 括 日 志 数 据 保 护 、 时 间 同 步 等 。 “ 法 规 只 强 制 要 求 拥 有 日 志 数 据 ” 是 常 见 的 错 误 概 念 。 下 面 是 几 种 流 行 的 法 规 ， 看 看 他 们 与 日 志 记 录 、 日 志 分 析 和 日 志 管 理 的 相 关 性 。 2 . 1   P C I   D S S 在 2 . 日 志 管 理 规 程 中 提 到 了 P C I   D S S 与 日 志 ， 这 里 不 再 做 罗 列 。 总 体 上 ， 日 志 记 录 和 监 控 不 只 限 于 需 求 1 0 ， 而 是 遍 及 P C I   D S S 的 全 部 1 2 个 需 求 ； 在 P C I   D S S 中 强 制 日 志 记 录 和 监 控 的 关 键 领 域 是 需 求 1 0 ， 和 需 求 1 1 及 需 求 1 2 的 一 些 部 分 。  
2 . 2   I S O   2 7 0 0 X 系 列 系 列 I S O   2 7 0 0 1 属 于 I S O   2 7 0 0 0 标 准 家 族 。 它 是 由 国 际 标 准 化 组 织 （ I S O ） 发 布 的 一 个 信 息 安 全 管 理 系 统 （ I S M S ） 标 准 ， 全 名 为 I S O / I E C   2 7 0 0 1 : 2 5 0 0 “ 信 息 技 术 - - 安 全 技 术 - - 信 息 安 全 管 理 系 统 - - 需 求 ” 。 该 规 范 可 以 在 h t t p : / / w w w . 2 7 0 0 0 . o r g 和 其 他 位 置 找 到 。 重 点 放 在 与 日 志 记 录 和 监 控 相 关 的 I S O 控 制 上 。 集 中 在 “ A . 1 0 . 1 0 监 控 ” 小 节 ， 其 目 标 是 ： “ 检 测 未 经 授 权 的 信 息 处 理 活 动 。 ” 这 与 I S O   2 7 0 0 1 框 架 的 安 全 任 务 保 持 一 致 ， 强 调 安 全 问 题 的 检 测 ， 而 非 调 查 。 I S O   A . 1 0 . 1 0 . 1 小 节 “ 审 计 日 志 记 录 ” 有 如 下 陈 述 ： “ 应 该 生 成 记 录 用 户 活 动 、 异 常 和 信 息 安 全 事 件 的 审 计 日 志 ， 并 保 存 一 定 的 周 期 ， 以 辅 助 未 来 的 调 查 和 访 问 控 制 监 控 。 ” 这 规 定 要 拥 有 日 志 ， 而 且 在 一 个 预 算 定 义 的 时 间 周 期 （ 在 你 的 日 志 保 存 策 略 中 定 义 ） 内 保 存 。 它 还 简 短 地 强 调 了 日 志 中 需 要 记 录 的 事 件 类 型 ， 遵 循 本 章 引 言 中 提 到 的 传 统 依 从 性 相 关 日 志 类 别 。 扩 展 上 述 定 义 ， 并 接 入 A . 1 0 . 1 0 . 4 小 节 “ 管 理 员 和 操 作 员 日 志 ” （ “ 系 统 管 理 员 和 系 统 操 作 员 活 动 应 该 记 入 日 志 ” ） 和 A . 1 0 . 1 0 . 5 “ 故 障 日 志 ” （ “ 故 障 应 该 记 录 、 分 析 并 采 取 相 应 的 行 动 ” ） 中 的 附 加 需 求 ， 我 们 可 以 总 结 I S O 环 境 中 所 有 系 统 需 求 记 录 的 事 件 类 型 。 所 有 这 些 事 件 可 以 提 供 对 安 全 事 故 （ 如 数 据 窃 取 ） 有 用 的 初 始 证 据 。 在 w i n d o w s 上 ， 这 些 事 件 包 括 了 从 登 陆 到 策 略 更 改 ， 再 到 应 用 程 序 更 新 及 用 户 对 数 据 的 操 纵 等 广 泛 的 事 件 。 在 网 络 设 备 上 ， 将 包 含 安 全 性 和 可 用 性 问 题 。 对 于 特 权 用 户 的 监 控 （ 如 “ 系 统 管 理 员 和 系 统 操 作 员 活 动 ” ） 应 该 加 以 特 别 注 意 。 这 种 日 志 记 录 实 际 上 是 在 I S O 计 划 指 导 下 创 建 的 最 重 要 的 日 志 ， 因 为 它 们 可 以 作 为 全 能 I T 管 理 员 的 关 键 可 审 核 性 手 段 。 但 是 ， 为 了 用 于 这 样 的 目 的 ， 日 志 必 须 通 过 日 志 管 理 解 决 方 案 ， 脱 离 这 些 管 理 员 的 控 制 。 上 述 几 个 小 节 还 包 含 了 日 志 保 存 和 调 查 的 其 他 需 求 。 和 P C I   D S S 不 同 ， I S O 没 有 明 确 规 定 1 年 的 日 志 保 存 期 ， 只 是 提 到 日 志 保 存 ， 要 求 有 单 独 的 策 略 定 义 日 志 保 存 期 。 实 际 上 ， 保 护 安 全 相 关 日 志 1 年 是 常 见 的 行 业 惯 例 。 建 议 所 有 企 业 在 整 个 环 境 中 对 物 理 和 虚 拟 组 件 都 实 施 这 样 的 日 志 保 存 。 还 要 注 意 1 0 . 1 0 . 5 小 节 中 的 “ 采 取 行 动 ” 需 求 。 这 提 示 我 们 不 仅 要 收 集 日 志 ， 还 要 定 义 监 控 、 调 查 和 异 常 跟 踪 的 策 略 及 规 程 。 I S O   2 7 0 0 2 提 供 实 践 中 实 施 I S O 系 列 标 准 的 其 他 有 用 细 节 。 例 如 ， 1 0 . 1 0 . 1 “ 审 计 日 志 记 录 ” 附 件 的 原 则 规 定 ， “ 特 权 的 使 用 ” 和 “ 系 统 工 具 及 应 用 程 序 的 使 用 ” 必 须 记 入 日 志 。
下 一 小 节 A . 1 0 . 1 0 . 2 “ 监 控 系 统 使 用 ” 中 明 确 强 制 规 定 “ 应 该 建 立 监 控 信 息 处 理 设 施 使 用 情 况 的 规 程 ， 活 动 监 控 的 结 果 定 期 进 行 审 核 。 ” 这 要 求 一 个 日 志 记 录 策 略 和 监 控 的 操 作 规 程 。 I S O 还 暗 示 着 这 些 策 略 和 规 程 的 持 续 审 核 ， 例 如 ， 对 于 I S O 项 目 范 围 内 的 系 统 和 应 用 程 序 ， 操 作 规 程 必 须 包 含 定 期 或 者 实 时 日 志 审 核 工 作 流 。 这 种 审 核 由 应 用 程 序 管 理 员 或 者 安 全 管 理 员 用 自 动 化 工 具 或 者 人 工 进 行 （ 但 是 由 于 收 集 和 保 存 的 日 志 体 积 ， 后 者 在 较 大 的 环 境 中 不 可 能 进 行 ） 。 I S O   2 7 0 0 2 建 议 “ 单 独 设 施 的 监 控 级 别 应 该 通 过 风 险 评 估 确 定 ” ， 这 为 安 全 监 控 活 动 提 供 了 合 理 的 基 础 ， 不 会 缺 乏 或 者 过 度 控 制 。 “ I / O 设 备 连 接 / 断 开 ” 明 确 地 成 为 监 控 目 标 。 总 体 来 说 ， 这 些 关 键 控 制 要 求 创 建 一 个 日 志 记 录 策 略 ， 定 义 日 志 记 录 、 日 志 收 集 和 保 存 以 及 审 核 和 分 析 - - 还 可 能 有 实 时 警 报 。 I S O   2 7 0 0 1 包 含 了 加 固 日 志 ， 使 之 免 遭 未 授 权 修 改 和 查 看 的 主 题 。 A . 1 0 . 1 0 . 3 小 节 “ 日 志 信 息 保 护 ” 中 规 定 “ 日 志 记 录 设 施 和 日 志 信 息 应 该 得 到 保 护 ， 免 遭 篡 改 和 未 授 权 访 问 。 ” 注 意 日 志 保 护 的 两 个 重 点 ： 访 问 控 制 （ 保 持 日 志 机 密 性 ） 和 完 整 性 保 护 （ 保 持 日 志 完 整 性 ） 。 大 部 分 现 代 日 志 管 理 和 S I E M 系 统 提 供 严 格 的 基 于 角 色 访 问 控 制 ， 按 照 “ 按 需 了 解 ” 的 原 则 ， 将 法 定 操 作 权 限 在 授 权 人 员 上 。 在 此 基 础 上 ， 系 统 还 采 用 加 密 机 制 进 行 完 整 性 检 查 ， 检 测 任 何 可 能 的 日 志 更 改 。 作 为 最 后 手 段 ， 日 志 可 以 写 入 “ 一 次 性 写 入 ” 媒 介 （ 如 D V D ） 或 者 网 络 备 份 存 档 。 虽 然 没 有 明 确 提 及 ， 但 是 这 种 控 制 暗 示 ， 恶 意 的 内 部 人 员 不 应 该 能 够 使 用 日 志 ， 进 一 步 实 现 其 邪 恶 的 目 的 - - 日 志 安 全 措 施 应 该 对 外 部 攻 击 者 和 恶 意 （ 以 及 不 谨 慎 的 ） 内 部 人 员 都 有 效 。 除 此 之 外 ， 企 业 必 须 监 控 “ 日 志 文 件 媒 体 的 存 储 容 量 超 限 ， 造 成 记 录 事 件 的 失 败 或 者 覆 盖 过 去 的 日 志 记 录 ” 。 这 种 日 志 数 据 的 意 外 丢 失 是 不 能 容 忍 的 。 最 后 ， I S O   A . 1 0 . 1 0 . 6 小 节 “ 时 钟 同 步 ” 规 定 “ 组 织 或 者 安 全 域 内 所 有 相 关 信 息 处 理 系 统 始 终 应 该 与 公 认 的 准 确 时 间 源 同 步 。 ” 和 P C I   D S S 一 样 ， 日 志 定 时 对 于 安 全 监 控 、 取 证 和 故 障 排 除 都 很 重 要 。 确 保 所 有 收 集 和 分 析 的 日 志 有 正 确 的 时 间 戳 ， 且 保 持 相 关 的 时 区 信 息 ， 是 行 业 的 最 佳 实 践 。 为 日 志 使 用 N T P 或 者 其 他 可 靠 定 时 机 制 ， 以 便 保 持 事 件 的 正 确 时 序 以 及 绝 对 时 间 。 2 . 3   H I P A A 有 两 个 主 要 的 法 律 来 规 范 医 疗 行 业 的 数 据 安 全 ： H I P A A （ 健 康 保 险 流 通 责 任 法 ） 和 H I T E C H （ 健 康 信 息 技 术 对 经 济 和 临 床 健 康 ） 。 后 者 是 在 2 0 0 9 年 撰 写 的 ， 并 作 为 H I P A A 的 补 充 。 它 增 加 了 对 违 规 行 为 的 罚 款 和 处 罚 。 一 般 来 说 ， 如 果 一 个 A P P 符 合 H I P A A ， 它 也 将 符 合 H I T E C H 法 规 。 1 9 9 6 年 的 H I P A A 概 述 了 健 康 信 息 的 相 关 安 全 和 隐 私 标 准 ， 包 括 电 子 和 物 理 信 息 。 该 法 案 的 主 要 使 命 是 “ 改 进 健 康 保 险 覆 盖 团 体 和 个 人 市 场 的 便 利 性 和 持 续 性 ， 和 健 康 保 险 和 保 健 服 务 中 的 浪 费 、 欺 诈 和 违 规 使 用 做 斗 争 ” 特 别 是 ， 该 法 的 第 2 条 “ 避 免 保 健 欺 诈 和 违 规 ； 管 理 简 化 ； 医 疗 责 任 改 革 ” 包 含 安 全 规 则 （ 2 . 3 节 ） 和 隐 私 规 则 （ 2 . 1 节 ） 和 P C I   D S S 不 同 , H I P A A 本 身 没 有 涉 及 安 全 控 制 级 别 和 所 采 用 的 技 术 ， 这 要 求 H I P A A 所 影 响 的 组 织 ， 也 称 为 “ 涵 盖 实 体 ” ， 遵 循 法 规 的 精 神 和 非 其 文 字 。 还 要 注 意 的 一 点 是 ， 接 受 支 付 卡 的 保 险 公 司 和 许 多 医 院 要 同 时 遵 守 H I P A A 和 P C I D S S 。 可 以 理 解 ， 不 同 组 织 中 ， 实 用 性 的 范 围 可 能 不 同 ， 因 为 支 付 处 理 系 统 不 应 该 保 存 患 者 的 健 康 信 息 ， 反 之 亦 然 。 然 而 ， 考 虑 符 合 两 种 法 规 的 技 术 和 管 理 控 制 是 谨 慎 的 做 法 ， 在 短 期 和 长 期 来 说 都 能 够 节 约 金 钱 。 H I P A A 需 求 广 泛 适 用 于 日 志 记 录 、 日 志 审 核 和 安 全 监 控 ： 1 6 4 . 3 0 8 小 节 “ 登 录 监 控 ” 要 求 监 控 记 录 患 者 信 息 的 系 统 的 登 录 和 访 问 。 这 一 需 求 适 用 于 失 败 和 成 功 的 “ 登 录 企 图 ” 。 1 6 4 . 3 1 2 小 节 “ 审 计 控 制 ” 广 泛 涵 盖 了 审 计 日 志 记 录 和 处 理 敏 感 健 康 信 息 的 系 统 上 的 其 他 审 计 跟 踪 。 这 条 需 求 隐 含 了 这
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理