Jurnalul santinelei

Originea

Polibiu, în aceeași carte a VI-a a Istoriilor în care descrie parola zilnică (fișa 1), explică și cum se asigurau romanii că santinelele chiar stau de pază. Fiecare post de gardă din tabără primea, la începutul nopții, o tăbliță mică de lemn cu un semn. Noaptea era împărțită în patru schimburi, și în fiecare schimb patru călăreți făceau rondul posturilor. La fiecare post, santinela trebuia să-i predea tăblița; dacă rondul o găsea dormind sau lipsă, nu lua tăblița, ci chema martori. Dimineața, tăblițele erau predate tribunului. Dacă lipsea una, se știa exact care post și care schimb, iar santinela vinovată era judecată și, de regulă, bătută cu bețe de propriii camarazi, de obicei până la moarte. Polibiu notează, cu o anume admirație, că din această cauză străjile de noapte ale romanilor erau de o rigoare impecabilă.

Sistemul are patru componente și toate patru contează — paza, adică santinela; dovada, adică tăblița; verificarea, adică rondul și tribunul; și consecința, adică pedeapsa. Scoateți oricare dintre ele și celelalte trei devin teatru.

Marina a adăugat a doua idee, jurnalul de bord. Pe orice navă, ofițerul de cart consemnează, la intervale fixe, poziția, cursul, vântul, vremea, orice vas întâlnit și orice eveniment. Nu pentru că i-ar folosi lui în acel moment, ci pentru că, dacă nava se scufundă, jurnalul este singurul martor, și pentru că, în caz de litigiu, un jurnal ținut regulat este probă în instanță, iar unul cu pagini lipsă este probă împotriva celui care l-a ținut. Jurnalul Titanicului s-a scufundat cu nava, dar cel al navei Californian, aflată în apropiere, a fost citit rând cu rând în anchetă, inclusiv orele la care fuseseră observate rachetele de semnalizare, fără ca cineva să acționeze.

La începutul secolului XX, paznicii de noapte ai fabricilor primeau un „ceas de rond”, un dispozitiv purtat la brâu, în care se introduceau, în ordine, chei fixate pe ziduri în diferite puncte ale clădirii; fiecare cheie imprima ora pe o bandă de hârtie sigilată în interior. Dimineața, patronul deschidea ceasul și vedea dacă paznicul a trecut pe la toate punctele și la ce ore. Tăblița lui Polibiu, cu mecanism de ceasornic.

Surse: Polibiu, Istorii, VI, 35–37; British Wreck Commissioner's Inquiry (1912), depozițiile ofițerilor navei Californian; cataloagele de ceasuri de rond Detex/Bürk, începutul secolului XX.

Principiul

Un sistem informatic produce, în fiecare secundă, mii de înregistrări despre ce se întâmplă în el — cine s-a autentificat, de unde, ce a deschis, ce a schimbat, ce a eșuat. Acestea sunt tăblițele santinelelor. Majoritatea organizațiilor le lasă să se acumuleze și să se suprascrie, pe aceleași mașini pe care le descriu, fără să le citească nimeni. Au santinela și tăblița. Nu au rondul, tribunul și consecința.

Jurnalul santinelei cere patru lucruri. Înregistrarea evenimentelor care contează, cu ora exactă, ceea ce înseamnă că sistemele trebuie să aibă ceasul sincronizat, altfel reconstituirea devine un exercițiu de ghicit. Păstrarea înregistrărilor în alt loc decât sistemul care le produce, pentru ca un atacator care controlează sistemul să nu poată șterge dovada că l-a controlat. Verificarea periodică, de către cineva, a înregistrărilor critice, adică rondul. Și reacția la ce se găsește, adică consecința.

Amenințarea de azi

Unul dintre primele lucruri pe care le fac mulți atacatori după ce obțin drepturi de administrator pe o mașină Windows este să șteargă jurnalele de evenimente. Comanda are o singură linie. Apoi dezactivează jurnalizarea. Când firma descoperă atacul, săptămâni mai târziu, nu mai există nimic de citit — nu se știe când a intrat, pe unde, ce a copiat, câte sisteme a atins. Notificarea către ANSPDCP trebuie să descrie natura încălcării și categoriile de date afectate; fără jurnale, singura descriere onestă este „nu știm”, iar legea nu acceptă „nu știm” ca răspuns.

Al doilea scenariu este cel al jurnalului care există și pe care nimeni nu l-a citit. Într-un număr mare de incidente investigate, urmele atacatorului erau în jurnale cu zile sau săptămâni înainte de criptare — autentificări reușite la ore imposibile, din țări în care firma nu are angajați, crearea unui cont de administrator nou, dezactivarea antivirusului, modificarea politicii de retenție a copiilor de rezervă (fișa 5). Fiecare dintre acestea era tăblița lipsă pe care rondul ar fi observat-o. Nu exista rond.

Nava Californian a văzut rachetele. Jurnalul a consemnat ora. Nimeni nu a trezit căpitanul.

Cum o implementezi luni dimineață

Firma de 20 de oameni

Alegeți cele șase evenimente care contează și configurați alerte doar pentru ele — autentificare reușită în contul de administrator, crearea unui cont nou, adăugarea unui cont în grupul de administratori, dezactivarea protecției antivirus, modificarea sau ștergerea sarcinilor de backup și autentificare reușită din afara țării pe Microsoft 365 sau Google Workspace. Toate pot fi configurate gratuit în instrumentele pe care le aveți deja, iar alertele vin pe e-mail sau pe telefon.

Jurnalele serverului se trimit automat pe un al doilea sistem, care poate fi un calculator vechi, un NAS sau un serviciu gratuit în cloud, cu credențiale diferite de cele ale domeniului. Cât timp le păstrați decideți în funcție de risc și de obligațiile care vi se aplică; pentru o firmă mică, 12 luni este un punct de plecare rezonabil, pentru că atacatorii stau în rețea săptămâni sau luni înainte de a lovi. Sincronizați ceasul tuturor sistemelor cu o sursă de timp de pe internet; este o setare, nu un proiect.

Rondul arată așa. Cineva, în fiecare luni, 15 minute, se uită la lista autentificărilor din săptămâna trecută și la alertele primite, și consemnează într-un rând data, cine, „nimic suspect” sau ce s-a găsit. Rândul acela este tăblița predată tribunului.

Firma de 500 de oameni

Jurnalele se centralizează într-un sistem dedicat (SIEM), cu înlănțuire criptografică a înregistrărilor (fișa 7), pe o infrastructură cu credențiale complet separate; perioada de retenție se stabilește din analiza de risc și din cerințele sectoriale aplicabile, iar 12–24 de luni este intervalul pe care îl întâlnim cel mai des în practică. Monitorizarea este continuă, internă sau printr-un furnizor de detecție și răspuns, cu reguli definite pentru tiparele cunoscute de atac, nu pentru „tot”, ci pentru ce contează. Pentru datele personale sensibile — sănătate, salarii, evaluări — granularitatea jurnalizării se decide proporțional cu riscul: acolo unde o plângere sau un incident ar cere să dovediți cine a deschis un anumit dosar și când, jurnalizarea la nivel de înregistrare este singura dovadă posibilă, și tot ea este cea care vă permite să demonstrați că accesul s-a limitat la necesar.

Jurnalizarea se testează periodic printr-un exercițiu în care un membru al echipei face o acțiune care ar trebui să producă o alertă și se măsoară dacă și când ajunge alerta la cineva. Rondul verifică santinela; cineva trebuie să verifice și rondul.

Unde eșuează

Jurnalul pe aceeași mașină este eșecul fundamental. Dacă atacatorul controlează sistemul, controlează și dovada, iar cel mai important pas este mutarea jurnalelor în altă parte, înainte de orice altceva. Zgomotul vine imediat după — jurnalizarea a tot produce milioane de rânduri pe care nu le citește nimeni și în care alarmele reale se îneacă. Începeți cu șase evenimente și adăugați altele doar când cele șase sunt verificate săptămânal.

Rondul formal este tăblița predată fără ca cineva să se fi uitat la post. Verificarea săptămânală trebuie să fie reală și consemnată, iar în audit rândul lipsă este dovada că nu a existat. Lipsa consecinței golește tot restul de sens. Romanii aveau o pedeapsă brutală și, prin urmare, străji impecabile; organizațiile nu au nevoie de brutalitate, dar au nevoie de consecință, pentru că alerta ignorată trebuie să aibă un răspuns, altfel următoarea va fi ignorată și ea.

Retenția scurtă, jurnale de 30 de zile pentru un atacator care a stat 60, se rezolvă stabilind perioada din risc, nu din spațiul de pe disc. Iar ceasul nesincronizat face din reconstituirea unui atac, cu două sisteme cu ore diferite, un exercițiu de ghicit.

Cadrul legal

Art. 5 alin. (2) GDPR (responsabilitatea) cere operatorului să poată demonstra conformitatea, iar art. 33 alin. (3) cere ca notificarea unei încălcări să descrie natura ei, categoriile și numărul aproximativ de persoane și înregistrări afectate, informații care nu există fără jurnale; art. 33 alin. (5) impune documentarea fiecărei încălcări, inclusiv a celor nenotificate. Art. 21 alin. (2) lit. (b) din Directiva NIS2 cere gestionarea incidentelor, iar lit. (f) politici și proceduri de evaluare a eficacității măsurilor de securitate, iar jurnalul verificat este dovada standard a amândurora. În ISO/IEC 27001:2022, controalele A.8.15 (jurnalizare), A.8.16 (monitorizare) și A.8.17 (sincronizarea ceasurilor) sunt, împreună, sistemul lui Polibiu.