In molte infrastrutture esistono giornali ma rimangono poco sfruttati. Eppure sono una merce chiave per comprendere gli incidenti e migliorare la sicurezza.
Perché i log sono essenziali
- Analisi di un guasto o malfunzionamento
- Individuazione di comportamenti anomali
- Tracciare un'azione amministrativa
- Documento un incidente di sicurezza
Fonti di grandi tronchi
- Windows Event Viewer: sistema, sicurezza, applicazioni
- Firewall: connessioni bloccate e autorizzate
- Web server: accesso, errori, query sospette
- NPV: connessioni e anomalie a distanza
- Active Directory: Autentituzioni e modifiche
Centralizzare e correlare
La raccolta a livello locale è utile, ma centralizzare i log in una piattaforma di supervisione o SIEM consente uno sfruttamento molto più rilevante.
Un incidente senza log è spesso un incidente incompreso. E un incidente inammissibile è difficile da correggere in un lungo cammino.
