U hebt geen SIEM nodig om een incident te onderzoeken. U hebt de juiste logs nodig die aanstaan, minstens zes maanden bewaard worden, beschermd zijn tegen manipulatie en doorzoekbaar zijn zonder dat u op elke machine apart hoeft in te loggen.
De zes categorieën hieronder zijn onze eigen indeling en geen standaard. Ze herschikken de drie tabellen uit de NCSC introduction to logging for security purposes en voegen applicatielogging uit de OWASP-richtlijnen toe, plus details over Microsoft 365 uit de documentatie van Microsoft.
Begin bij de vragen
Kies logbronnen op basis van de vragen die u in de eerste uren van een incident te horen krijgt. Het NCSC formuleert ze breed: wat is er gebeurd, wat is de impact, wat moeten we nu doen, heeft het herstel gewerkt en werken onze beveiligingsmaatregelen wel. In de tabellen worden deze uitgewerkt tot concrete vragen, zoals wie er buiten kantooruren op afstand heeft ingelogd, of dat iemand op een bepaalde link heeft geklikt. Kunt u niet zeggen welke vraag een log beantwoordt, dan komt die later aan de beurt.
De minimale set
| Bron | Vraag die ze beantwoordt | Waar het vandaan komt |
|---|---|---|
| Identiteit en toegang op afstand | Wie heeft wanneer en van waaruit ingelogd? Waren er mislukte pogingen op diensten die vanaf internet bereikbaar zijn? | Active Directory, LDAP, ADFS, VPN, remote desktop en VDI-logs |
| Wie heeft een bericht als dit ontvangen en wie heeft op de link geklikt? | SMTP-servers, MS Exchange, mailscanning-appliances, API's van cloudproviders | |
| Endpoints en servers | Is dit binary uitgevoerd, bestaat dit bestand, is er iets vreemds gebeurd op een host? | Windows EVTX, Syslog, Microsoft Sysmon, host-agents |
| Firewall, DNS en proxy | Praat een systeem met een verdacht IP-adres of domein? | Firewall- of netflow-logs, DNS-logs, webproxylogs |
| Webserver en applicatie | Wat deed de gebruiker en wat was de uitkomst? | Applicatiecode, webserver |
| Assets en wijzigingen | Welk apparaat had dit IP-adres, wat is er gewijzigd, van wie is deze server? | DHCP-, router-, firewall- en switchlogs, een CMDB |
Een aantal details bepaalt wat u verzamelt. Volgens het NCSC moeten de vastgelegde firewalllogs rekening houden met Network Address Translation, zodat u zowel het interne als het externe IP-adres registreert. DNS-logs tonen het domein waarop een gebruiker klikte, maar niet de volledige URL. Beschouw ze dus als een zwakker alternatief wanneer u geen webproxy hebt.
Host-agents, waaronder het gratis Microsoft Sysmon, kunnen procesinformatie, DNS-opvraaggebeurtenissen, wijzigingen in het bestandssysteem en bestandshashes leveren. Ze dekken alleen af waar iemand ze heeft geïnstalleerd en geconfigureerd. Shadow IT, netwerkapparatuur, niet-ondersteunde besturingssystemen en hosts waar malware de agent heeft uitgeschakeld blijven daardoor onzichtbaar.
Webserverlogs zijn geen applicatielogging. De applicatie kent de identiteit en rollen van de gebruiker en de uitkomst van een handeling, terwijl infrastructuurapparaten die vaak niet kennen.
Microsoft 365
Gebruikt u Microsoft 365, controleer dan Microsoft Purview voordat u iets aanschaft. Audit (Standard) staat standaard aan voor organisaties met het juiste abonnement. U moet nog wel rechten toekennen om erin te zoeken, in het Purview-portaal of met de cmdlet Search-UnifiedAuditLog in Exchange Online PowerShell.
Standard bewaart records 180 dagen. Records die vóór 17 oktober 2023 zijn aangemaakt, werden slechts 90 dagen bewaard. Audit (Premium) bewaart records van Microsoft Entra ID, Exchange, OneDrive en SharePoint standaard een jaar.
Premium biedt daarnaast de eigenschap SensitivityLabel bij de activiteit MailItemsAccessed in Exchange Online. Gebruikers hebben een Premium-licentie nodig om die gebeurtenissen te laten genereren. Regel de licenties dus vóór een incident.
Bewaartermijn en bescherming
Het NCSC adviseert een minimum van 6 maanden voor logs die uw incidentvragen beantwoorden. Het voegt eraan toe dat M-Trends 2018 de gemiddelde detectietijd op 101 dagen stelde, dus bewaar langer als uw budget dat toelaat.
Lokale logs kunnen hier onopgemerkt onder blijven. Open elk log en lees de datum van de oudste regel. Is die jonger dan zes maanden, dan is het log mogelijk te klein of te druk om uw doel te halen. Controleer daarom ook de ingestelde grootte of bewaarinstelling.
Wie inbreekt, heeft er belang bij de logs aan te passen. Behandel de logservice daarom met dezelfde zorg als elke beheerinterface. Vraag u af wie de logs kan lezen, wie erin kan schrijven en of u een wijziging zou opmerken. OWASP geeft concrete maatregelen voor applicatielogs:
- Plaats bestandsgebaseerde logs op een aparte partitie, los van het besturingssysteem en door gebruikers gegenereerde content, met strikte rechten op mappen en bestanden.
- Houd logs buiten locaties die via het web bereikbaar zijn. Is dat onvermijdelijk, beperk dan de toegang en lever ze uit als platte tekst in plaats van als HTML.
- Gebruikt u een database voor logging, neem dan een account dat uitsluitend wordt gebruikt om logdata weg te schrijven, met zeer beperkte rechten.
- Gebruik een standaard gebeurtenisformaat via een beveiligd transport, zoals het syslog-berichtformaat over TLS.
Centraliseer alleen waar het loont
Het NCSC beschouwt gecentraliseerde en gedecentraliseerde logging als een echte keuze. Met een centrale opslag hoeft u tijdens een onderzoek niet langs elke machine, en ze wordt nuttiger met elke bron die u toevoegt. Logs ter plekke laten staan werkt wanneer ze al doorzoekbaar zijn en lang genoeg bewaard worden. Clouddiensten voor mail zijn het voorbeeld van het NCSC, waar extractie de kosten zelden rechtvaardigt.
Een verstandige verdeling voor een klein team is om logs van endpoints, servers, firewalls en VPN te centraliseren en goed ondersteunde clouddiensten te laten waar ze zijn. Op Windows stuurt Windows Event Forwarding logs van clients op een veilige manier naar een centrale opslag.
Het NCSC waarschuwt ook dat een gedecentraliseerd model langzaam kan verslechteren. Geef iemand de terugkerende taak om te controleren of elke bron nog logs produceert, en leg vast wie dat is.
Waar begint u
- Neem de concrete vragen uit de NCSC-tabellen, zoals wie er buiten kantooruren op afstand heeft ingelogd of of iemand op deze link heeft geklikt. Benoem bij elke vraag het systeem dat het antwoord zou geven.
- Leg voor elke bron vast waar ze wordt opgeslagen, hoe lang ze bewaard wordt en wie ze kan lezen of wijzigen. Meld alles wat korter dan zes maanden wordt bewaard.
- Controleer de standaardinstellingen. Logt een bron weinig details, pas dan de configuratie aan om meer vast te leggen. Controleer in Microsoft 365 of Audit aanstaat en ken zoekrechten toe.
- Stuur logs van endpoints, servers, firewalls en VPN door naar één opslag met beperkte schrijftoegang, met Windows Event Forwarding of syslog over TLS.
- Houd een oefening: kies een verdacht IP-adres en een onderwerpregel van een phishingmail en probeer de vragen alleen met de logs te beantwoorden. Herstel eerst de bron waarop u vastliep.
- Kunt u de oefening niet zelf uitvoeren, vraag dan hulp aan een incident response-team of een managed security-aanbieder.
