logginnsamling

Logginnsamling er prosessen med å samle inn, konsolidere og lagre loggdata fra ulike kilder i et systemlandskap. Loggdata kan komme fra operativsystemer, applikasjoner, nettverksenheter og sky-tjenester. Formålet er å muliggjøre overvåkning, feilsøking, ytelsesmåling, sikkerhetsovervåkning og etterlevelse av regler gjennom et sentralt arkiv og analysemuligheter.

I praksis brukes ofte agenter eller logginnsamlere som videresender loggene til en sentral lagringsplass eller SIEM. Loggene følger standarder og formater som Syslog (RFC 5424), JSON eller Common Event Format. Forsendelsen skjer ofte over sikre protokoller (TLS) og kan støtte ulike transportmekanismer (UDP, TCP, eller HTTP).

En logginnsamlingsarkitektur består av innsamling, normalisering, lagring og indeksiering. Tidsstempling og synkronisering via NTP er avgjørende for riktig tidsregistrering og korrelasjon. Retensjonspolicyer bestemmer hvor lenge data beholdes og hvordan de slettes eller arkiveres. Søkbarhet og skalerbarhet er viktig i større miljøer.

Sikkerhet og personvern er sentralt: tilgangskontroll, kryptering av data i hvile og i transitt, loggintegritet og uforanderlig lagring for å hindre manipulering. Mange regelverk krever sporbarhet av hendelser og bevaring av logger i bestemte tidsperioder, for eksempel PCI DSS, GDPR og HIPAA.

Vanlige bruksområder inkluderer feilsøking, ytelsesovervåkning, avvik- og trusselovervåkning, samt etterlevelse og revisjon. Anbefalte praksiser inkluderer å definere hva som logger, standardisere format, sentralisere logging, regelmessig revisjon av tilgang og lagringsløsninger, samt testing av sikkerhetskopier og gjenoppretting.