Lokitietoon

Lokitieto on tallennettua tapahtumadataa, jota tietojärjestelmät, sovellukset ja laitteet tuottavat. Lokitietoon sisältyy aikaleima, tapahtumantyyppi ja konteksti kuten käyttäjä, prosessi tai laite. Lokitieto palvelee sekä operatiivisia että turvallisuus- ja auditointitarpeita.

Lähteet ja muodot: järjestelmä- ja sovelluselokit, verkkolokit, turvallisuuslokit sekä infrastruktuurin lokit. Ne voivat olla paikallisia tekstitiedostoja, tietokantaan tallennettuja tai keskitetysti hallittuja kuten SIEM-järjestelmissä. Lokitieto voi olla strukturoidua tai puolistrukturoitua.

Rakenne: yleisimpiä kenttiä ovat aikaleima, tapahtumankuvaus, tapahtumankoodi, käyttäjä- tai prosessitiedot sekä lähde. Lisätietoja voivat olla IP-osoitteet, URL-osoitteet, virhekoodit ja suorituskykymittarit.

Käyttötarkoitukset: virheiden diagnosointi, suorituskyvyn seuranta, turvallisuusanalyyse sekä auditointi ja säädösten noudattamisen varmistaminen. Tietosuoja- ja yksityisyysohjeet voivat vaikuttaa siihen, miten lokitietoa kartutetaan ja säilytetään.

Hallinta ja standardit: suositellaan yhdenmukaista formaattia, keskitettyä tallennusta, pääsynhallintaa ja salattua siirtoa. Säilytysajat sekä arkaluontoisen tiedon käsittely on määritettävä lainsäädännön ja organisaation käytäntöjen mukaisesti. Yleisimmät muodot: RFC 5424 syslog, Common Log Format web-palvelimille sekä JSON Lines.