ISO 27002:2022, Beheer 8.15 – Aantekening

Eienaarskap van beheer 8.15

Beheer 8.15 handel oor IKT-bedrywighede wat met behulp van stelseladministrateurtoegang uitgevoer word, en val onder die sambreel van netwerkbestuur en instandhouding. As sodanig behoort eienaarskap van Beheer 8.15 by die IT-hoof, of organisatoriese ekwivalent, te berus.

Leiding – Gebeurtenisloginligting

'n 'Gebeurtenis' is enige aksie wat uitgevoer word deur 'n logiese of fisiese teenwoordigheid op 'n rekenaarstelsel – bv. 'n versoek vir data, 'n afstandaanmelding, 'n outomatiese stelselafskakeling, 'n lêeruitvee.

Beheer 8.15 spesifiek dat elke individuele gebeurtenislogboek 5 hoofkomponente moet bevat, sodat dit sy operasionele doel kan vervul:

• Gebruikers-ID – Wie of watter rekening het die aksies uitgevoer.
• Stelselaktiwiteit – Wat het gebeur
• Tydstempels – Datum en tyd van genoemde gebeurtenis
• Toestel- en stelselidentifiseerders, en ligging – Op watter bate het die gebeurtenis plaasgevind
• Netwerkadresse en protokolle – IP-inligting

Leiding – Gebeurtenistipes

Vir praktiese doeleindes is dit dalk nie haalbaar om elke enkele gebeurtenis wat op 'n gegewe netwerk voorkom, aan te teken nie.

Met dit in gedagte, identifiseer Beheer 8.15 die onderstaande 10 gebeurtenisse as besonder belangrik vir logdoeleindes, gegewe hul vermoë om risiko te verander en die rol wat hulle speel in die handhawing van voldoende vlakke van inligtingsekuriteit:

1. Stelseltoegangpogings.
2. Data- en/of hulpbrontoegangpogings.
3. Stelsel/OS konfigurasie veranderinge.
4. Gebruik van verhoogde voorregte.
5. Gebruik van nutsprogramme of instandhoudingsfasiliteite (sien Beheer 8.18).
6. Lêertoegangversoeke en wat gebeur het (skrap, migrasie, ens.).
7. Toegangsbeheeralarms en kritieke onderbrekings.
8. Aktivering en/of deaktivering van voor- en agterkantsekuriteitstelsels, soos kliënt-kant antivirus sagteware of firewall beskerming stelsels.
9. Identiteitsadministrasiewerk (beide fisies en logies).
10. Sekere aksies of stelsel-/dataveranderings wat as deel van 'n sessie binne 'n toepassing uitgevoer word.

Soos verduidelik in Beheer 8.17, is dit uiters belangrik dat alle logboeke aan dieselfde gesinchroniseerde tydbron (of stel kursusse) gekoppel word, en in die geval van derdeparty-toepassingslogboeke, enige tydsverskille wat na en aangeteken word.

Leiding – Logbeskerming

Logs is die laagste gemene deler vir die vasstelling van gebruikers-, stelsel- en toepassingsgedrag op 'n gegewe netwerk, veral wanneer 'n ondersoek in die gesig gestaar word.

Dit is dus uiters belangrik vir organisasies om te verseker dat gebruikers – ongeag hul toestemmingsvlakke – nie die vermoë behou om hul eie gebeurtenislogboeke uit te vee of te wysig nie.

Individuele logs moet volledig, akkuraat en beskerm wees teen enige ongemagtigde veranderinge of operasionele probleme, insluitend:

• Boodskaptipe wysigings.
• Geskrap of geredigeer loglêers.
• Enige versuim om 'n loglêer te genereer, of onnodige oorskryf van loglêers as gevolg van heersende probleme met bergingmedia of netwerkwerkverrigting.

ISO beveel aan dat, om inligtingsekuriteit te verbeter, logs beskerm moet word deur die volgende metodes te gebruik:

• Kriptografiese hashing.
• Byvoeg-opname.
• Leesalleen-opname.
• Gebruik van openbare deursigtigheidlêers.

Organisasies sal dalk logs aan verskaffers moet stuur om voorvalle en foute op te los. Indien hierdie behoefte ontstaan, moet logs 'gede-identifiseer' word (sien Kontrole 8.11) en die volgende inligting moet gemasker word:

• gebruikers
• IP-adresse
• Gasheernaam

Hierbenewens moet maatreëls getref word om persoonlik identifiseerbare inligting (PII) te beskerm in ooreenstemming met die organisasie se eie dataprivaatheidsprotokolle, en enige heersende wetgewing (sien Beheer 5.34).

Leiding – Log Analise

Wanneer logboeke ontleed word vir die doeleindes om inligtingsekuriteitsgebeure te identifiseer, op te los en te ontleed – met die einddoel om toekomstige gebeurtenisse te voorkom – moet die volgende faktore in ag geneem word:

• Die kundigheid van die personeel wat die ontleding uitvoer.
• Hoe logs ontleed word, in ooreenstemming met die maatskappy se prosedure.
• Die tipe, kategorie en eienskappe van elke gebeurtenis wat ontleding vereis.
• Enige uitsonderings wat toegepas word via netwerkreëls wat voortspruit uit sekuriteitsagteware-hardeware en -platforms.
• Die verstekvloei van netwerkverkeer, in vergelyking met onverklaarbare patrone.
• Tendense wat geïdentifiseer word as gevolg van gespesialiseerde data-analise.
• Bedreigingsintelligensie.

Leiding – Log Monitering

Loganalise moet nie in isolasie uitgevoer word nie, en moet saam met streng moniteringsaktiwiteite gedoen word wat sleutelpatrone en abnormale gedrag vasstel.

Om 'n dubbelfront-benadering te bereik, moet organisasies:

1. Hersien enige pogings om toegang te verkry tot veilige en/of besigheidskritiese hulpbronne, insluitend domeinbedieners, webportale en lêerdelingplatforms.
2. Ondersoek DNS-logboeke om uitgaande verkeer te ontdek wat aan kwaadwillige bronne en skadelike bedienerbedrywighede gekoppel is.
3. Versamel datagebruikverslae van diensverskaffers of interne platforms om kwaadwillige aktiwiteit te identifiseer.
4. Versamel logs van fisiese toegangspunte, soos sleutelkaart-/fob-logboeke en kamertoegangsinligting.

Aanvullende inligting

Organisasies moet dit oorweeg om gespesialiseerde nutsprogramme te gebruik wat hulle help om deur die groot hoeveelhede inligting te soek wat stelselloglêers genereer, om tyd en hulpbronne te bespaar wanneer veiligheidsvoorvalle ondersoek word, soos 'n SIEM-instrument.

As 'n organisasie 'n wolk-gebaseerde platform gebruik om enige deel van hul operasie uit te voer, moet logbestuur beskou word as 'n gedeelde verantwoordelikheid tussen die diensverskaffer en die organisasie self.

Ondersteunende kontroles

• 5.34
• 8.11
• 8.17
• 8.18

Veranderinge en verskille vanaf ISO 27002:2013

ISO 27002:2002-8.15 vervang drie kontroles van ISO 27002:2003 wat handel oor die berging, bestuur en ontleding van loglêers:

• 12.4.1 – Gebeurtenisregistrasie
• 12.4.2 – Beskerming van loginligting
• 12.4.3 – Administrateur en operateur logs

27002:2002-8.15 bevestig grootliks al die riglyne van bogenoemde drie kontroles in een duidelike protokol wat handel oor logboeke, met 'n paar noemenswaardige uitbreidings, insluitend (maar nie beperk nie tot):

• 'n Uitgebreide stel riglyne wat handel oor die beskerming van loginligting.
• Bykomende leiding oor die verskillende tipe gebeurtenisse wat oorweeg moet word vir ondersoek.
• Leiding oor hoe logs beide gemonitor en ontleed moet word in 'n gesamentlike poging om inligtingsekuriteit te verbeter.
• Raad oor hoe om logs te bestuur wat deur wolkgebaseerde platforms vervaardig word.

Hoe ISMS.online help

Die ISMS.Online-platform help met alle aspekte van die implementering van ISO 27002, van die bestuur van risiko-assesseringsaktiwiteite tot die ontwikkeling van beleide, prosedures en riglyne om aan die standaard se vereistes te voldoen.

Met sy outomatiese gereedskapstel maak ISMS.Online dit maklik vir organisasies om voldoening aan die ISO 27002-standaard te demonstreer.

Kontak ons ​​vandag nog om beplan 'n demo.