← Torna alla pagina precedente
Sicurezza e controlli
I log sono il registro di quello che succede dentro i sistemi aziendali. Nessuno li guarda finché non servono — e quando servono, o ci sono o non ci sono.
Ogni volta che qualcuno accede a un computer, apre una cartella condivisa, sbaglia una password, si collega da fuori, oppure il firewall blocca qualcosa, il sistema scrive una riga in un registro. Quelle righe sono i log. Prese una per una non dicono nulla; messe insieme e conservate raccontano chi ha fatto cosa, da dove e quando. Il log management è semplicemente tenerle in ordine: raccoglierle in un posto solo, conservarle per un tempo deciso e poterle rileggere.
• Dopo un incidente: capire da dove è entrato l'attacco, che cosa ha toccato e se ha portato via qualcosa. Senza registri si tira a indovinare.
• Per rispondere nei tempi: la notifica di una violazione dei dati si misura in ore, e le informazioni vanno prese da qualche parte.
• Per i controlli: privacy e normative sulla sicurezza chiedono di poter ricostruire gli accessi, e un cliente che manda un questionario chiede esattamente la stessa cosa.
• Per i problemi di tutti i giorni: il gestionale che si blocca sempre alla stessa ora, la stampante che sparisce dalla rete, il collega che «non riesce più a entrare».
Se i log restano solo sulla macchina che li ha prodotti, chi entra nei sistemi può cancellarli, ed è la prima cosa che fa. Per questo vanno copiati altrove, su un sistema separato a cui gli utenti normali non arrivano. Poi c'è la durata: tenerli per sempre non ha senso e crea un problema di privacy, tenerli tre giorni non serve a niente perché molti attacchi si scoprono settimane dopo. Si decide un periodo, lo si mette per iscritto e lo si rispetta. E l'orario dei sistemi va sincronizzato, altrimenti i registri di macchine diverse non si riescono a mettere in fila.
Leggi anche: come riconoscere una mail di phishing →Il malinteso più comune. «Abbiamo le telecamere, quindi siamo a posto»: le telecamere riprendono il capannone, i log riprendono la rete. Una password rubata e usata di notte da un altro continente non la vede nessuna telecamera. La vede solo un registro che qualcuno ha avuto l'accortezza di conservare.
Configuriamo la raccolta dei log dai server, dai computer e dal firewall verso un punto unico, decidiamo insieme quanto conservarli, sincronizziamo l'orario dei sistemi e impostiamo qualche segnalazione automatica sulle cose che non devono succedere: troppi tentativi di accesso falliti, un collegamento da un paese dove non lavorate, un amministratore creato di notte. Non serve una sala di controllo: serve che i registri esistano, siano al sicuro e che ogni tanto qualcuno li guardi.
Scopri i servizi di sicurezza informatica →Reti, server e infrastruttura: come le teniamo in ordine →