Logging ו-Monitoring — אי אפשר להגן על מה שלא רואים

אחת הקטגוריות ב-OWASP Top 10 היא דווקא "כישלון בתיעוד וניטור". למה זה כל כך חשוב?

הכלל

אי אפשר לזהות, לחקור או לעצור מה שלא תיעדת. הזמן הממוצע לגילוי פריצה הוא חודשים — בעיקר כי אין לוגים טובים.

מה כדאי לתעד?

• התחברויות (הצלחות וכשלונות).
• שינויי הרשאות ופעולות אדמין.
• גישה לנתונים רגישים.
• שגיאות ואירועים חריגים.

מה לא לתעד?

סיסמאות, מספרי כרטיס, נתונים אישיים גולמיים — לוג יכול בעצמו לדלוף.

עקרונות

• ריכוז — שלחו לוגים למקום מרכזי (SIEM), לא רק מקומית (תוקף ימחק מקומיים).
• שלמות — לוגים שאי אפשר לשנות.
• התראות — לוג בלי שמישהו מסתכל עליו = חסר ערך. הגדירו התראות על דפוסים חשודים.
• שמירה — לתקופה מספקת לחקירה.

הלקח: לוגים הם "מצלמות האבטחה" של המערכת. בלעדיהם אתם עיוורים.