Proč jsou logy a auditní stopy rozhodující
Logy a auditní stopy představují základní infrastrukturu důvěry: umožňují detekci incidentů, forenzní rekonstrukci, prokázání souladu a nepopiratelnost klíčových úkonů. Bez nich je reakce na incidenty pomalá, kontroly jsou formální záležitostí a riziko eskaluje. Současně však platí, že bezhlavý sběr vytváří rizika soukromí a právní problémy. Cílem je sbírat pouze to, co skutečně potřebujeme, ve strukturované podobě, s kontrolovanou retencí a technickou integritou.
Terminologie a rámec
- Log: strukturovaný záznam o události systému nebo aplikace.
- Auditní stopa: konzistentní sled událostí vázaný na identitu, systém nebo proces za účelem prokazatelnosti.
- Telemetrie: metriky, trasy (traces) a logy používané pro observabilitu.
- Nepopiratelnost (non-repudiation): vlastnost, že původ a integrita záznamu jsou prokazatelné (podpisy, časová razítka, WORM úložiště).
Princip minimalismu: co opravdu sbírat
Každá kategorie logů musí mít účel, schéma a retenci. Pokud některý prvek chybí, log nevybírejte. Nejvíce užitečné jsou především:
- Identita a přístup: přihlášení, neúspěšné pokusy, změny hesel/2FA, přidělení/odebrání rolí, zvýšení oprávnění (JIT/JEA).
- Správa konfigurace: změny politiky (GPO/MDM), firewall/ACL, IAM politiky, infra-as-code rozdíly, nasazení (CI/CD).
- Citlivé operace: čtení/export dat, změny limitů, finanční transakce, schválení, deaktivace ochranných mechanismů.
- Síť a perimetr: VPN/ZTNA události, proxy/HTTP souhrny, IDS/IPS, DNS dotazy (agregované), e-mailové brány.
- Endpoint/EDR: spuštění procesů, změny registru, karantény, detekované indikátory kompromitace.
- Aplikační logy: chyby (error/exception), přístup k API (kdo/kdy/end-point/výsledek), limity a anomálie.
- Integrita a verzování: integrity kontroly konfigurací, kontrolní součty artefaktů, podpisy.
Co nesbírat nebo agresivně upravovat
- Osobní obsah (těla e-mailů, zprávy, dokumenty) – pokud to není nezbytné; preferujte raději metadata a kontrolované vzorkování.
- PII v surové podobě (rodná čísla, adresy, kompletní čísla karet) – používejte maskování/hashe se „salt“ dle účelu.
- Plné IP/UA pro dlouhou retenci – pro analytiku postačí zkrácené IP adresy nebo kategorie.
- Tajemství (tokeny, klíče, hesla) – nikdy nelogujte; validujte to lintery a runtime filtry.
Strukturované logování a schéma
- JSON s pevnou schémou (verze schématu, povinná pole, výčty, časová pásma UTC).
- Identifikace: korelační ID (trace/span), request ID, ID souhlasu/zdroje.
- Kontext: účel zpracování, citlivost (štítek „confidential“), výsledek (allow/deny), důvod zamítnutí.
- Čas: RFC3339, synchronizován přes NTP/PTP; zaznamenejte drift a stav synchronizace.
Integrita a nepopiratelnost
- Podepisování dávek logů (JWS) nebo jednotlivých záznamů; klíče v HSM/KMS, rotace a audit přístupů.
- Merkle řetězení (hash chain) pro důkaz nezměnitelnosti mezi časovými okny.
- WORM úložiště (object lock) s politikami retence a legal hold; zásadní pro forenzní účely.
- Časová razítka (TSA) pro klíčové události – podpisy, změny politiky, schválení.
Pipeline: příjem, obohacení, ukládání
- Ingest: spolehlivý přenos (TLS/mTLS, backpressure, retry), ochrana proti log injection (escape, validace).
- Enrichment: normalizace polí, mapování IP→ASN (agregované), geokategorie, štítky citlivosti, mapování identit.
- Filtrování a redakce: server-side drop/mask pravidla (regex, pole), PII firewall.
- Storage: horká vrstva (SIEM/search), teplá (objektová), studená (archiv s WORM); definujte TTL a tiering.
Přístupy a oddělení rolí
- Princip nejmenších oprávnění u logů; analytik nevidí PII, pouze pseudonymy/štítky; DPO/DPA má řízený přístup k de-pseudonymizaci.
- Oddělení povinností: kdo mění retenční politiky, nesmí mazat incidentní logy; změny vyžadují princip 4 očí.
- Just-in-time přístupy s časovým omezením a auditem; zákaz trvalých administrátorských tokenů.
Retence a právní soulad
Retenční doby vycházejí z účelu, regulace a rizika. Příklady:
- Bezpečnostní logy (IAM, EDR, síť): 6–24 měsíců podle rizika; horká vrstva 30–90 dní.
- Finanční transakce a schválení: dle místních účetních/finančních předpisů (obvykle 5–10 let) – s přísným omezením přístupu.
- PII náročné logy: minimalizovat, zkracovat, anonymizovat po skončení účelu; dokumentovat právní základ (legitimní zájem, právní povinnost).
GDPR a práva dotčených osob v logech
- Informování o kategoriích logování a retenčních dobách v zásadách ochrany soukromí.
- Přístup a výmaz: pro PII v logech definujte proveditelný proces (pseudonymizace, „selective purge“) bez narušení forenziky.
- Minimalizace a účel: nelze táhnout logy do BI bez vyhodnocení účelu; oddělte observabilitu od marketingu.
Observabilita bez úniku: bezpečný design
- Strukturované logování + OpenTelemetry pro traces/metrics; jednotný kontext a korelace.
- Sampling pro vysoké objemy (tail-based pro chyby a anomálie); selektivní rozšíření při incidentu.
- Redakce na okraji (edge redaction): citlivá pole se maskují ještě před opuštěním aplikační zóny.
- Data contracts pro logy: schémata verzovaná, testovaná v CI; nasazení blokováno při přidání PII bez schválení.
Detekce a reakce: od pravidel po ML
- Use-cases: bruteforce IAM, exfiltrace (velké exporty), změna politiky mimo úřední hodiny, nové admin role, deaktivace EDR.
- Correlation rules a behaviorální modely: vícerozměrné anomálie (SIM-change + nové zařízení + změna 2FA).
- SOAR playbooky: u vysoce rizikových událostí automatické zablokování tokenu, step-up autentifikace, tiket a notifikace DPO.
Testování a kvalita logů
- Log chaos testing: simulace výpadků ingestu, dropování polí, poruchy časové synchronizace.
- Canary events: syntetické události pro ověření end-to-end toku (aplikace → SIEM → alert).
- Data quality KPI: procento záznamů se schémou v1/v2, podíl „unknown“ polí, latence ingestu, procento podepsaných dávek.
Bezpečnostní zásady při práci s logy
- Šifrování v přenosu (mTLS) i v klidu (AES-256/KMS), oddělené klíče pro prostředí (dev/test/prod).
- Privátní spojení (VPC peering/PrivateLink) mezi aplikacemi a SIEM; žádné veřejné endpointy bez důvodu.
- Kontrola exportů: povoleny jen kurátorské exporty; velké dumpy vyžadují schválení a časová razítka.
- Monitoring přístupu k logům samotným (meta-audit) – kdo četl citlivé stopy a proč.
Specifika: cloud, mobil, zdravotnictví a bankovnictví
- Cloud: využijte nativní auditní logy (control plane/data plane), cloud-trail-like proudy ukládejte do vlastního účtu se zámkem.
- Mobil: diagnostika bez osobního obsahu; crash reporty bez PII, anonymizovaná zařízení, opt-in pro rozšířenou telemetrii.
- Zdravotnictví/finance: zpřísněné retenční a přístupové režimy; role-based zobrazení s de-identifikací.
Procesy: governance a odpovědnosti
- Správci dat (data stewards) pro logové toky; odpovídají za schéma, účel, retenci a DLP pravidla.
- Change management: změny schémat a retenčních politik procházejí bezpečnostní radou (security review + DPO).
- Pravidelné audity: ověření podpisů, WORM zámků, náhodné kontroly přístupů a incidentních záznamů.
Kontrolní seznam pro architekty a vývojáře
- Loguji strukturovaně, se schématem a bez tajemství.
- Mám maskování/redakci na okraji a testy, které selžou při úniku PII do logu.
- Každý request má trace ID; korelační ID propagují napříč službami.
- Citlivé operace vyvolávají explicitní auditní událost s identitou a důvodem.
Kontrolní seznam pro provoz a bezpečnost
- NTP/PTP synchronizace je monitorována a drift je v toleranci.
- Logy jsou podepsané, uložené v WORM a přístupy jsou auditovány.
- Retenční politiky jsou automatizované (TTL, tiering) a testované.
- Existují SOAR playbooky pro klíčové scénáře (exfiltrace, zneužití účtu, změna politiky).
KPI a metriky řízení rizika
- Pokrývka logování: procento klíčových systémů s aktivním ingestem a schématem.
- Integrita: podíl dávek s platným podpisem/merkle hranou; počet neúspěšných ověření.
- Latence detekce: průměrný čas od události po alert; cíl < 5 minut u vysokého rizika.
- Privacy score: podíl záznamů s PII mimo povolená pole; cíl → 0.
Incident response: práce s logy během a po incidentu
- Stabilizovat ingest (buffering), zmrazit retence (legal hold) a zabránit přepisu.
- Forenzika: vytvořit immutable kopie, ověřit podpisy, vypočítat hashe; pracovat výhradně na klonech.
- Rekonstrukce: korelovat identitu, síť, endpoint, aplikaci; budovat časovou osu.
- Post-mortem: upravit pravidla, doplnit chybějící události pro „slepé zóny“, aktualizovat playbooky.
90denní plán zavedení nebo zlepšení
- Dny 1–30: inventarizace logových toků, definice schémat a účelů, audit NTP, nasazení edge redakce PII, základní SIEM pravidla.
- Dny 31–60: podepisování dávek, WORM pro kritické proudy, canary events, SOAR playbooky pro top 5 scénářů, první KPI dashboardy.
- Dny 61–90: sampling a optimalizace nákladů, rozšíření korelací, právní review retenčních politik, cvičný forenzní test.
Méně šumu, více důkazů
Silný program logování a auditních stop je kombinací minimalismu, struktury, integrity a řízení přístupu. Sbírejte pouze to, co má pro bezpečnost a soulad smysl, chraňte to jako citlivá data a udržujte schopnost kdykoli prokázat, kdo co provedl – aniž byste z logů udělali novou plochu útoku nebo riziko pro soukromí.
