Loghåndtering

NIST SP 800-92 (2006) definerer loghåndtering som processen med at generere, overføre, lagre, analysere og bortskaffe logdata og opbygger den som en infrastruktur med lag til generering, indsamling og lagring samt analyse. Efterfølgeren, SP 800-92 Rev. 1, "Cybersecurity Log Management Planning Guide", blev udsendt som første offentlige udkast i 2023 og behandler emnet som planlægning på tværs af hele organisationen. CIS Controls v8, kontrol 8 (Audit Log Management), opdeler det i safeguards, bl.a. at etablere en proces (8.1), indsamle auditlogs (8.2), sikre tilstrækkelig lagerplads (8.3), standardisere tidssynkronisering (8.4), centralisere logs (8.9), opbevare dem i mindst 90 dage (8.10) og gennemgå dem (8.11). ISO/IEC 27001:2022, bilag A, dækker det samme i kontrollerne 8.15 (logning), 8.16 (overvågningsaktiviteter) og 8.17 (synkronisering af ure).

Den tekniske pipeline har genkendelige trin. Kilder udsender hændelser via syslog (RFC 5424 for meddelelsesformatet, mens RFC 5425 definerer transport over TLS; det ældre BSD-format er beskrevet i RFC 3164), Windows Event Log (indsamlet af agenter eller Windows Event Forwarding), audit-API'er i cloud og applikationslogs, i stigende grad som struktureret JSON. Collectors og forwarders buffer og sender hændelser, helst over autentificerede, krypterede kanaler med back-pressure, så spidsbelastninger ikke taber data. Parsing og normalisering mapper leverandørernes felter til et fælles skema som Elastic Common Schema (ECS) eller Open Cybersecurity Schema Framework (OCSF); berigelse tilføjer kontekst om aktiver, identiteter og geolokation. Lagringen er normalt delt i hot, warm og cold- eller arkivlag med forskellig søgeydelse og pris.

Tid er et hovedanliggende. Alle kilder bør synkronisere med en fælles reference via NTP (RFC 5905) eller PTP, logs bør registrere tidsstempler med tidszone eller i UTC, og pipelinen bør bevare både hændelsestidspunktet og indlæsningstidspunktet, fordi urforskydning og forsinket videresendelse ellers ødelægger korrelation og rekonstruktion af tidslinjer. Integritetskontroller omfatter hurtig videresendelse af logs væk fra den oprindelige maskine, lagring i en separat sikkerhedskonto eller tenant, som administratorerne af de overvågede systemer ikke kan ændre i, write-once-lagring (WORM) eller object lock samt hashkæder eller signering til brug som bevis.

De typiske fejl er tavse: en kilde holder op med at sende efter en agentopdatering eller et udløbet certifikat, en ændret parser taber et felt, som detektionsregler afhænger af, eller volumenbaseret licensering får teams til at udelade værdifulde, men støjende kilder som DNS eller procesoprettelse. Overvågning af logkildernes sundhed (seneste modtagelse pr. kilde, forventede volumenintervaller) er derfor en del af selve loghåndteringen. Loghåndtering adskiller sig fra en SIEM, der bruger de håndterede data til at korrelere og slå alarm, og fra observability-platforme, der bruger logs, metrikker og traces primært til driftsstabilitet frem for sikkerhed og ofte gemmer dem i langt kortere tid.