Demasiado e demasiado pouco
Há duas formas de fracassar com os registos. A primeira: ativar tudo, pagar uma fatura de armazenamento enorme e não encontrar nada quando é preciso, porque ninguém sabe o que procurar entre milhões de linhas. A segunda: não ativar os registos que importam, e descobrir durante um incidente que não há forma de saber quem fez o quê.
O que registar
O imprescindível, quase sempre:
- Identidade: inícios de sessão, falhas, segundo fator, mudanças de permissões e de papéis.
- Controlo da cloud: cada mudança de configuração (quem, o quê, quando, de onde).
- Dados confidenciais: acessos e exportações.
- Chaves e segredos: cada utilização.
- Implementações: o que se implementou, com que impressão digital e quem o aprovou (a mesma cadeia de o que corre, onde e porquê).
O restante (registos de depuração de aplicações, tráfego detalhado) ativa-se onde acrescenta e durante o tempo que acrescenta.
Onde e durante quanto tempo
- Num lugar separado dos sistemas que registram, numa conta própria (a de registos da estrutura de contas), para que um atacante que entre num sistema não possa apagar o seu rasto.
- Protegidos contra modificação: só se escrevem e se leem; não se editam nem se apagam antes do tempo.
- Com retenção por tipo: o de segurança e conformidade, durante o prazo que a norma ou a regulação exija; o operacional, menos.
- Com um custo previsto: o volume de registos é mais um custo, e gere-se como tal (com ciclos de vida que movem o antigo para armazenamento barato).
Registar bem é a matéria-prima. O que transforma esses registos em proteção é detetar neles o que não devia estar a acontecer.
Como o aplicamos: Cibersegurança.