Filsystemauditering

Filsystemauditering är processen att registrera och bevara spår av filsystemrelaterad aktivitet. Genom att logga vilka användare som får tillgång till vilka filer, när ändringar görs och hur behörigheter förändras kan organisationer övervaka säkerhet, stödja efterlevnad och underlätta forensiska undersökningar. Vanliga händelser som loggas inkluderar läsning, skrivning och körning av filer, skapande och radering av objekt samt ändringar av behörigheter eller ägarskap.

Implementeringen varierar mellan operativsystem. På Linux används vanligtvis auditd med regler som anger vilka händelser som ska fångas och hur detaljerad information som loggas. Windows använder säkerhetsloggarna och avancerad audit-policy för att fånga objektåtkomst och ändringar av rättigheter. macOS stöder OpenBSM:s auditeringssystem för liknande granskningsmöjligheter. Oavsett plattform bör loggarna lagras säkert, ofta i en central loggtjänst eller SIEM, och skyddas mot manipulation.

Logghanteringen kräver tydlig policy och korrekt konfiguration samt mekanismer för lagring, sökning och analys. Loggarna bör innehålla tidpunkt, användaridentitet, filväg och typ av händelse. Analysverktyg kan användas för filtrering och korrelation för att minska brus och förbättra upptäckt av misstänkt aktivitet.

Användningsområden inkluderar säkerhetsövervakning, efterlevnad av regler som GDPR, PCI DSS och HIPAA, samt rättsmedicinska utredningar. Utmaningar är bland annat stora loggmängder, potentiell prestandapåverkan, integritets- och sekretessfrågor samt behov av säkra, redundanta lagringslösningar.

Bästa praxis omfattar att definiera tydliga mål och händelsetyper, minimera loggning till relevanta data, centralisera loggningsinfrastruktur, skydda loggarna mot manipulation och regelbundet granska konfigurationen och tillgången till loggarna.