Информационная безопасность

? может помочь определить, как далеко зашло нарушение, подсказать метод его расследования и способы исправления ситуации.

Содержимое системного журнала и других наборов данных, хранящих информацию о результатах контроля, должны подвергаться периодическому просмотру и анализу (аудит) с целью проверки соблюдения политики безопасности
Под протоколированием понимается сбор и накопление информации о событиях, происходящих в информационной системе предприятия. У каждого сервиса свой набор возможных событий, но в любом случае их можно подразделить на внешние — вызванные действиями других сервисов, внутренние — вызванные действиями самого сервиса, и клиентские — вызванные действиями пользователей и администраторов.
Аудит — это анализ накопленной информации, проводимый оперативно, почти в реальном времени, или периодически. Реализация протоколирования и аудита преследует следующие главные цели :
обеспечение подотчетности пользователей и администраторов; обеспечение возможности реконструкции последовательности событий;
обнаружение попыток нарушений информационной безопасности;
предоставление информации для выявления и анализа проблем

Необходимо следить за тем, чтобы, с одной стороны, достигались перечисленные выше цели, а, с другой, расход ресурсов не выходил за разумные рамки.
Слишком обширное или детальное протоколирование не только снижает производительность сервисов, что отрицательно сказывается на доступности, но и затрудняет аудит, уменьшая, а не увеличивая информационную безопасность. Разумный подход к данному вопросу предлагается в «Оранжевой книге». Еще одна особенность протоколирования и аудита — зависимость от других средств безопасности.
Идентификация и аутентификация служит отправной точкой подотчетности пользователей, логическое управление доступом защищает конфиденциальность и целостность регистрационной информации. Возможно, для защиты привлекаются и криптографические методы.
Учет действий программ и пользователей. Регистрация системных событий
В операционной системе Windows NT ведется три журнала аудита:
? журнал безопасности представляет собой файл с именем SecEvent.evt,
? системный журнал (SysEvent.evt),
? журнал приложений (AppEvent.evt),
расположенные в поддиректории system32/config системной директории.
Формат этих файлов недокументирован. Информация хранится в журнале аудита в открытом виде, защита журнала аудита организуется исключительно средствами подсистемы разграничения доступа. Поэтому администраторы Windows NT обязательно должны убедиться, что никто, кроме аудиторов, не имеет доступа к файлу журнала аудита.