Audit-logning

En auditpost skal besvare hvem, hvad, hvornår, hvor, på hvilket objekt og med hvilket resultat, hvilket næsten ordret er indholdskravet i kontrol AU-3 i NIST SP 800-53. Resten af AU-familien fastlægger designet: AU-2 (hvilke hændelser der logges), AU-8 (tidsstempler), AU-9 (beskyttelse af auditoplysninger), AU-11 (opbevaring) og AU-12 (generering af auditposter). ISO/IEC 27001:2022 dækker det samme i Annex A-kontrollerne 8.15 (logning), 8.16 (overvågningsaktiviteter) og 8.17 (synkronisering af ure). Forskellen fra en almindelig applikations- eller debuglog er formål og integritet: et revisionsspor er bevismateriale og skal derfor være komplet for de definerede hændelser, kunne henføres til en bestemt identitet og være manipulationssikret.

På Windows skrives Security-eventloggen af Local Security Authority efter Advanced Audit Policy; ofte brugte event-id'er er 4624 og 4625 (vellykket og mislykket logon), 4672 (særlige rettigheder tildelt ved logon), 4688 (procesoprettelse, eventuelt med kommandolinje), 4720 (konto oprettet), 4728/4732 (medlem tilføjet til en sikkerhedsgruppe) og 1102 (auditlog ryddet). PowerShell script block logging (event 4104) og Sysmon giver ekstra dybde. På Linux registrerer kernens audit-subsystem, styret af auditd og regler som -w /etc/shadow -p wa -k shadow, systemkald med loginuid (auid), som overlever sudo og su, så handlinger kan henføres til den oprindelige bruger. Databaser, SaaS-platforme og fagsystemer har deres egne revisionsspor, som ofte er det eneste sted, der registrerer, hvem der læste en bestemt patientjournal eller sag.

Integriteten er den svære del, fordi en angriber med administratorrettigheder på en maskine kan stoppe eller rydde lokale logs (MITRE ATT&CK T1070.001 og T1562.002). Standardmodtrækkene er videresendelse i realtid til en separat opsamler eller et SIEM, som maskinens administratorer ikke kan ændre, WORM- eller uforanderlig objektlagring, hashkæder eller signerede logbatches, så huller og rettelser kan opdages, og alarmer, når auditservicen stopper, eller loggen ryddes. Funktionsadskillelse er vigtig: systemadministratorer bør ikke kunne ændre sporet af deres egne handlinger. Synkroniserede ure (NTP, helst med UTC-tidsstempler) er en forudsætning for at korrelere hændelser på tværs af systemer.

Designfejl er almindelige i begge retninger. Logges der for lidt, mangler læsninger af følsomme data, som netop er det, undersøgelser af misbrug fra insidere har brug for; logges der for meget, drukner detektionen, og loggen kan selv blive et persondataproblem, fordi auditlogs er personoplysninger efter databeskyttelsesforordningen og kræver hjemmel, formålsbegrænsning, adgangsstyring og en fastlagt opbevaringsperiode. OWASP placerer mangler i sikkerhedslogning og alarmering som A09 i Top 10:2025. En auditlog er ikke en audit: loggen er systemets registrering, mens en audit er en uafhængig vurdering, der ofte udtager stikprøver af registreringen for at teste, om kontroller som gennemgang af adgange faktisk er udført.