Auditointilokit

Auditointilokit ovat järjestelmän tai sovelluksen tapahtumien ja muutosten kirjaamisia, jonka tarkoituksena on tarjota jäljitettävyys ja vastuullisuus. Lokeja tuottavat useat komponentit, kuten sovellukset, tietokannat, verkot ja infrastruktuurikomponentit, ja niiden tarkoituksena on antaa näkyvä polku tapahtumien historioihin.

Yleisiä lokitietoja ovat aikaleima, käyttäjän identiteetti, toimeksi, kohde, onnistuminen tai virhe, lähde IP-osoite, laite sekä mahdolliset ennen/ jälkeen -arvot ja muutokset.

Auditointilokit käytetään todentamiseen, turvallisuusvalvontaan, rikostutkintaan sekä säädösten ja standardien noudattamisen osoittamiseen. Ne tukevat myös jatkuvaa valvontaa, haavoittuvuuksien havaitsemista ja forensiikkaa.

Hallitsemisen näkökulmasta lokien kerääminen tulisi rajata tarpeellisiin tietoihin, määritellä säilytysajat ja varmistaa tiedon eheyys; käytetään suojausmekanismeja, kuten salaus, digitaalinen allekirjoitus ja muutoksenvalvonta. Joissakin järjestelmissä on immutability- tai WORM-ominaisuuksia.

Haasteina ovat volyymi ja hälytykset, epästandardoidut muotoilut sekä ajan synkronointi. Lokit voivat olla hajautettuja, jolloin korrekoitu ja keskitetty analyysi vaatii harmonisointia sekä yhteisiä formaatteja ja metatietoja.

Käytössä olevia standardiformaatteja ovat esimerkiksi syslog, RFC 5424, JSON-pohjaiset muodot, Common Event Format (CEF) ja OpenTelemetry mukaiset lokit. NIST- ja ISO/IEC 27001 -viitekehykset antavat ohjeistusta hallinnointiin ja riskien hallintaan.

Hallinnoinnissa määritellään mitä lokitiedoista kerätään, miten niitä säilytetään, kuka pääsee lukemaan niitä ja miten tiedot poistetaan säilytysajan päättyessä. Tietosuoja ja minimointi ovat keskeisiä oikeudellisen ja turvallisuussellisen vaatimusten täyttämisessä.