ISO 27001:2022 Anhang A Kontrolle 8.15

Anleitung zu Ereignisprotokollinformationen

Ein Ereignis ist jede Aktivität, die von einer physischen oder logischen Einheit auf einem Computersystem ausgeführt wird, beispielsweise eine Datenanforderung, eine Remote-Anmeldung, ein automatisches Herunterfahren des Systems oder das Löschen einer Datei.

ISO 27001:2022 Anhang A 8.15 besagt, dass jedes Ereignisprotokoll fünf Hauptkomponenten enthalten muss, um seinen Zweck zu erfüllen:

• Die mit der Person verknüpfte Benutzer-ID.
• Die Systemaktivität kann überwacht werden, um festzustellen, was passiert ist.
• Zu einem bestimmten Datum und zu einer bestimmten Uhrzeit ist ein Ereignis eingetreten.
• Das Ereignis fand auf dem Gerät/System statt und sein Standort wurde identifiziert.
• Netzwerkadressen und Protokolle – IP-Informationen.

Anleitung zu Veranstaltungstypen

Aus praktischen Gründen ist es möglicherweise nicht möglich, jedes Vorkommnis in einem Netzwerk zu protokollieren. Die Protokollierung jedes einzelnen Ereignisses ist möglicherweise nicht möglich.

ISO 27001:2022 Anhang A 8.15 spezifiziert zehn Ereignisse, die protokolliert werden sollten, da sie das Risiko beeinflussen und ein angemessenes Risikoniveau aufrechterhalten können Informationssicherheit:

1. Versuche, auf das System zuzugreifen, werden verfolgt und überwacht.
2. Versuche, auf Daten und/oder Ressourcen zuzugreifen, werden überwacht. Jede solche Aktivität, die als verdächtig angesehen wird, wird gemeldet.
3. Änderungen an der System-/Betriebssystemkonfiguration.
4. Die Verwendung von High-Level-Berechtigungen.
5. Nutzen Sie Hilfsprogramme oder Wartungseinrichtungen (gemäß ISO 27001:2022 Anhang A 8.18).
6. Dateizugriffsanfragen mit Löschungen, Migrationen usw.
7. Zugriffskontrolle Alarme und wichtige Unterbrechungen.
8. Aktivierung und/oder Deaktivierung von Front- und Back-End-Sicherheitssystemen, z. B. clientseitiger Antivirensoftware und Firewall-Schutzsystemen.
9. Identitätsverwaltung.
10. Bestimmte Aktionen oder Änderungen am System/den Daten, die während einer Sitzung innerhalb einer Anwendung durchgeführt werden.

Wie in ISO 27001:2022 Anhang A 8.17 dargelegt, ist es wichtig sicherzustellen, dass alle Protokolle mit derselben Zeitquelle (oder denselben Zeitquellen) synchronisiert werden, und im Falle von Anwendungsprotokollen von Drittanbietern müssen alle Zeitabweichungen behoben und dokumentiert werden.

Anleitung zum Protokollschutz

Protokolle sind die grundlegendste Möglichkeit, Benutzer-, System- und Anwendungsaktivitäten in einem Netzwerk zu ermitteln, insbesondere wenn Untersuchungen durchgeführt werden.

Für Organisationen ist es wichtig zu gewährleisten, dass Benutzer, unabhängig von ihrer Berechtigungsstufe, ihre eigenen Ereignisprotokolle nicht löschen oder ändern können.

Protokolle sollten vollständig und genau sein und vor unbefugten Änderungen oder Störungen geschützt sein, einschließlich:

• Gelöschte oder bearbeitete Protokolldateien.
• Änderungen des Nachrichtentyps.
• Es sollte vermieden werden, dass aufgrund von Speicher- oder Netzwerkproblemen kein Protokoll erstellt oder Protokolle überschrieben werden.

ISO empfiehlt, Protokolle zur Verbesserung der Informationssicherheit mit den folgenden Techniken zu schützen:

• Schreibgeschützte Aufzeichnung.
• Nutzung öffentlicher Transparenzdateien.
• Kryptografisches Hashing.
• Nur-Anhang-Aufzeichnung.

Organisationen müssen möglicherweise Protokolle an Anbieter senden, um Vorfälle und Fehler zu beheben. Wenn dies erforderlich ist, sollten Protokolle „deidentifiziert“ werden (gemäß ISO 27001:2022 Anhang A 8.11), wobei die folgenden Informationen maskiert werden:

• IP-Adressen.
• Hostnamen.
• Benutzernamen.

Um sicherzustellen, dass PII geschützt sind, sollten Maßnahmen in Übereinstimmung mit den Datenschutzbestimmungen der Organisation und den bestehenden Gesetzen ergriffen werden (siehe ISO 27001:2022 Anhang A 5.34).

Anleitung zur Protokollanalyse

Berücksichtigen Sie bei der Auswertung von Protokollen zur Lokalisierung, Bewältigung und Erklärung von Cybersicherheitsvorfällen – mit dem Ziel, Wiederholungen zu verhindern – Folgendes:

• Das die Analyse durchführende Personal verfügt über ein hohes Maß an Fachwissen.
• Protokolle werden gemäß dem Unternehmensprotokoll analysiert.
• Die zu analysierenden Ereignisse müssen kategorisiert und nach Typ und Attribut identifiziert werden.
• Ausnahmen, die sich aus Netzwerkregeln ergeben, die von Sicherheitssoftware, -hardware und -plattformen generiert werden, sind anzuwenden.
• Der typische Verlauf des Netzwerkverkehrs im Gegensatz zu unvorhersehbaren Mustern.
• Eine spezielle Datenanalyse deckt bemerkenswerte Trends auf.
• Bedrohungsinformationen.

Anleitung zur Protokollüberwachung

Die Protokollanalyse sollte gemeinsam und gründlich durchgeführt werden Überwachungsaktivitäten die wesentliche Muster und ungewöhnliches Verhalten erkennen.

Um ihre Ziele zu erreichen, sollten Organisationen einen zweigleisigen Ansatz verfolgen:

• Überprüfen Sie alle Versuche, auf sichere und geschäftskritische Ressourcen wie Domänenserver, Webportale und Dateifreigabeplattformen zuzugreifen.
• Untersuchen Sie DNS-Einträge, um ausgehenden Datenverkehr zu identifizieren, der mit bösartigen Quellen und schädlichen Serverprozeduren in Zusammenhang steht.
• Sammeln Sie Datennutzungsaufzeichnungen von Dienstanbietern oder internen Systemen, um böswilliges Verhalten zu erkennen.
• Sammeln Sie Aufzeichnungen von physischen Zugangspunkten, z. B. Schlüsselkarten-/Schlüsselanhängerprotokolle und Raumzugangsdaten.

Zusatzinformationen

Unternehmen sollten darüber nachdenken, spezielle Hilfsprogramme zu verwenden, um die immense Menge an Informationen zu durchsuchen, die von Systemprotokollen erzeugt werden, und so Zeit und Ressourcen bei der Untersuchung von Sicherheitsvorfällen zu sparen, z. B. ein SIEM-Tool.

Wenn eine Organisation für irgendeinen Teil ihrer Abläufe eine cloudbasierte Plattform einsetzt, sollte die Protokollverwaltung in der gemeinsamen Verantwortung des Dienstanbieters und der Organisation liegen.

Begleitende Anhang-A-Kontrollen

• ISO 27001:2022 Anhang A 5.34
• ISO 27001:2022 Anhang A 8.11
• ISO 27001:2022 Anhang A 8.17
• ISO 27001:2022 Anhang A 8.18

Änderungen und Unterschiede zu ISO 27001:2013

ISO 27001:2022 Anhang A 8.15 ersetzt drei Kontrollen aus ISO 27001:2013 die die Speicherung, Verwaltung und Analyse von Protokolldateien umfassen:

• 12.4.1 - Ereignisprotokollierung
• 12.4.2 – Schutz von Protokollinformationen
• 12.4.3 – Administrator- und Bedienerprotokolle

ISO 27001:2022 Anhang A 8.15 gleicht weitgehend die Leitlinien der drei zuvor besprochenen Kontrollen an und bildet ein klares Protokoll, das die Protokollierung abdeckt, zusammen mit einigen bemerkenswerten Ergänzungen wie:

• Richtlinien, die den Schutz von Protokollinformationen erweitert behandeln.
• Hinweise zu den verschiedenen Arten von Vorkommnissen, die genau untersucht werden sollten.
• Anleitung zur Überwachung und Analyse von Protokollen zur Verbesserung der Informationssicherheit.
• So verwalten Sie Protokolle, die von cloudbasierten Plattformen generiert werden.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.

Wie ISMS.online hilft

Die ISMS.online-Plattform ermöglicht das Ganze Implementierung von ISO 27001, beginnend mit Risikobewertungsaktivitäten und abschließend mit der Festlegung von Richtlinien, Verfahren und Leitlinien zur Erfüllung der Standardkriterien.

ISMS.online bietet Unternehmen mit seinem automatisierten Toolset einen unkomplizierten Weg zur ISO 27001-Konformität. Seine benutzerfreundlichen Funktionen machen es einfach, die Einhaltung der Norm nachzuweisen.

Nehmen Sie jetzt Kontakt mit uns auf Vereinbaren Sie eine Vorführung.