Auditní záznamy a logy

Proč logy a auditní stopy rozhodují

Logy a auditní stopy představují základní infrastrukturu důvěry: umožňují detekci incidentů, forenzní rekonstrukci, prokázání souladu a nepopiratelnost klíčových operací. Bez nich je reakce na incidenty pomalá, kontroly jsou formalitou a riziko eskaluje. Současně však platí, že neuvážený sběr vytváří soukromnostní a právní rizika. Cílem je sbírat pouze to, co potřebujeme, ve strukturované podobě, s kontrolovanou retencí a technickou integritou.

Terminologie a rámec

Log: strukturovaný záznam o události systému nebo aplikace.
Auditní stopa: konzistentní sled událostí navázaných na identitu, systém nebo proces s cílem prokazatelnosti.
Telemetrie: metriky, trasy (traces) a logy využívané k observabilitě.
Nepopiratelnost (non-repudiation): vlastnost, že původ a integrita záznamu jsou prokazatelné (podpisy, časová razítka, WORM úložiště).

Princip minimalismu: co opravdu sbírat

Každá kategorie logů musí mít účel, schéma a retenci. Pokud některá chybí, nesbírejte ji. Obzvláště užitečné jsou:

Identita a přístup: přihlášení, neúspěšné pokusy, změny hesel/2FA, přidělení/odebrání rolí, elevation (JIT/JEA).
Správa konfigurace: změny politiky (GPO/MDM), firewall/ACL, IAM policies, infra-as-code rozdíly, nasazení (CI/CD).
Citlivé operace: čtení/export dat, změny limitů, finanční transakce, schválení, deaktivace ochranných mechanismů.
Síť a perimetr: VPN/ZTNA události, proxy/HTTP souhrny, IDS/IPS, DNS dotazy (agregované), e-mailové brány.
Endpoint/EDR: spuštění procesů, změny registru, karantény, detekované indikátory kompromitace.
Aplikační logy: chyby (error/exception), přístup k API (kdo/kdy/endpoint/výsledek), limity a anomálie.
Integrita a verzování: kontrola integrity konfigurací, kontrolní součty artefaktů, podpisy.

Co nesbírat nebo agresivně redigovat

Osobní obsah (těla e-mailů, zprávy, dokumenty) – pokud není nezbytné; preferujte metadata a kontrolované vzorkování.
PII v surové podobě (rodná čísla, adresy, celá čísla karet) – používejte maskování/hashe se „saltem“ podle účelu.
Plné IP/UA pro dlouhou retenci – pro analytiku postačují zkrácené IP nebo kategorie.
Tajemství (tokeny, klíče, hesla) – nikdy nelogujte; validujte to lintery a runtime filtry.

Strukturované logování a schéma

JSON s pevnou schémou (verze schémy, povinná pole, enumy, časová pásma UTC).
Identifikace: korelační ID (trace/span), request ID, ID souhlasu/zdroje.
Kontext: účel zpracování, citlivost (štítek „confidential“), výsledek (allow/deny), důvod zamítnutí.
Čas: standard RFC3339, synchronizovaný přes NTP/PTP; zaznamenávejte drift a stav synchronizace.

Integrita a nepopiratelnost

Podpisování dávky logů (JWS) nebo jednotlivých záznamů; klíče v HSM/KMS, rotace a audit přístupů.
Merkle řetězení (hash chain) pro důkaz nezměnitelnosti mezi časovými okny.
WORM úložiště (object lock) s politikami retence a legal hold; životně důležité pro forenziku.
Časová razítka (TSA) pro klíčové události – podpisy, změny politiky, schválení.

Pipeline: příjem, obohacení, ukládání

Ingest: spolehlivý transport (TLS/mTLS, backpressure, retry), ochrana před log injection (escape, validace).
Obohacení: normalizace polí, mapování IP→ASN (agregované), geo-kategorie, štítky citlivosti, mapování identit.
Filtrování & redakce: pravidla pro server-side drop/mask (regex, pole), PII firewall.
Ukládání: horká vrstva (SIEM/search), teplá (objektové úložiště), studená (archiv s WORM); definujte TTL a tiering.

Přístupy a oddělení rolí

Least privilege k logům; analytik nevidí PII, pouze pseudonymy/štítky; DPO/DPA má řízený přístup k de-pseudonymizaci.
Segregation of duties: kdo mění retenční politiky, nesmí mazat incidentní logy; změny vyžadují princip 4 očí.
Just-in-time přístupy s časovým omezením a auditem; zákaz permanentních admin tokenů.

Retence a právní soulad

Retenční doby vycházejí z účelu, regulace a rizika. Příklady:

Bezpečnostní logy (IAM, EDR, síť): 6–24 měsíců podle rizika; horká vrstva 30–90 dní.
Finanční transakce a schválení: podle místních účetních/finančních předpisů (často 5–10 let) – s přísným omezením přístupu.
PII těžké logy: minimalizovat, zkracovat, anonymizovat po skončení účelu; dokumentovat právní základ (legitimní zájem, právní povinnost).

GDPR a práva dotčených osob v logech

Informování o kategoriích logování a retencích v zásadách ochrany soukromí.
Přístup a výmaz: pro PII v logách definujte proveditelný proces (pseudonymizace, „selective purge“) bez narušení forenziky.
Minimalizace a účel: nelze logy táhnout do BI bez zhodnocení účelu; oddělte observabilitu od marketingu.

Observabilita bez úniku: bezpečný design

Strukturované logování + OpenTelemetry pro traces/metrics; jednotný kontext a korelace.
Sampling pro vysoké objemy (tail-based pro chyby a anomálie); selektivní rozšíření při incidentu.
Redakce na okraji (edge redaction): citlivá pole se maskují ještě před opuštěním aplikační zóny.
Data contracts pro logy: schémata verzovaná, testovaná v CI; nasazení blokováno při přidání PII bez schválení.

Detekce a reakce: od pravidel po ML

Use-cases: brute force IAM, exfiltrace (velké exporty), změna politiky mimo úřední hodiny, nové admin role, deaktivace EDR.
Correlation rules a behaviorální modely: vícerozměrné anomálie (SIM-change + nové zařízení + změna 2FA).
SOAR playbooky: při high-risk události automatické zablokování tokenu, step-up autentifikace, ticket a notifikace DPO.

Testování a kvalita logů

Log chaos testing: simulace výpadků ingestu, dropování polí, poruch časové synchronizace.
Canary events: syntetické události pro ověření end-to-end cesty (aplikace → SIEM → alert).
Data quality KPI: procento záznamů se schémou v1/v2, podíl „unknown“ polí, latence ingestu, procento podepsaných dávek.

Bezpečnostní zásady při práci s logy

Šifrování v přenosu (mTLS) i v klidu (AES-256/KMS), oddělené klíče pro prostředí (dev/test/prod).
Privátní spojení (VPC peering/PrivateLink) mezi aplikacemi a SIEM; žádné veřejné endpointy bez důvodu.
Kontrola exportů: povoleny pouze kurátorské exporty; velké dumpy vyžadují schválení a časová razítka.
Monitoring přístupů do samotných logů (meta-audit) – kdo četl citlivé stopy a proč.

Specifika: cloud, mobil, zdravotnictví a bankovnictví

Cloud: využijte nativní auditní logy (control plane/data plane), cloud-trail-like proudy ukládejte do vlastního účtu se zámkem.
Mobil: diagnostika bez osobního obsahu; crash reporty bez PII, anonymizovaná zařízení, opt-in pro rozšířenou telemetrii.
Zdravotnictví/finance: zpřísněné retenční a přístupové režimy; role-based zobrazení s de-identifikací.

Procesy: governance a odpovědnosti

Vlastníci dat (data stewards) pro log streamy; odpovídají za schéma, účel, retenci a DLP pravidla.
Change management: změny schémat a retenčních politik procházejí bezpečnostní radou (security review + DPO).
Pravidelné audity: ověřování podpisů, WORM zámků, náhodné kontroly přístupů a incidentních případů.

Kontrolní seznam pro architekty a vývojáře

Loguji strukturovaně, se schématem a bez tajemství.
Mám maskování/redakci na okraji a testy, které selžou při úniku PII do logu.
Každý request má trace ID; korelační ID propagované napříč službami.
Citlivé operace vyvolávají explicitní auditní událost s identitou a důvodem.

Kontrolní seznam pro provoz a bezpečnost

NTP/PTP synchronizace je monitorována a drift je v toleranci.
Logy jsou podepsané, uložené v WORM a přístupy jsou auditovány.
Retenční politiky jsou automatizované (TTL, tiering) a testované.
Existují SOAR playbooky pro top scénáře (exfiltrace, zneužití účtu, změna politiky).

KPI a metriky řízení rizika

Pokrývka logování: procento klíčových systémů s aktivním ingestem a schématem.
Integrita: podíl dávek s platným podpisem/merkle hranou; počet neúspěšných verifikací.
Latence detekce: průměrný čas od události po alert; cíl < 5 minut pro vysoké riziko.
Privacy score: podíl záznamů s PII mimo povolená pole; cíl → 0.

Incident response: práce s logy během a po incidentu

Stabilizovat ingest (buffering), zmrazit retence (legal hold) a zabránit přepisu.
Forenzika: vytvořit immutable kopie, ověřit podpisy, spočítat hashe; pracovat pouze na klonech.
Rekonstrukce: korelovat identitu, síť, endpoint, aplikaci; sestavit časovou osu.
Post-mortem: upravit pravidla, doplnit události chybějící pro „slepá místa“, aktualizovat playbooky.

90denní plán zavedení nebo zlepšení

Dny 1–30: inventarizace log streamů, definice schémat a účelů, audit NTP, nasazení edge redakce PII, základní SIEM pravidla.
Dny 31–60: podpisování dávek, WORM pro kritické proudy, canary events, SOAR playbooky pro top 5 scénářů, první KPI dashboardy.
Dny 61–90: sampling a optimalizace nákladů, rozšíření korelací, právní review retenčních politik, cvičný forenzní test.

Méně šumu, více důkazů

Silný program logování a auditních stop je kombinací minimalismu, struktury, integrity a řízení přístupu. Sbírejte to, co má pro bezpečnost a soulad smysl, chraňte to jako citlivá data a udržujte schopnost kdykoliv prokázat, kdo co udělal – aniž byste z logů vytvořili novou plochu útoku nebo soukromnostní riziko.