Problemas de seguridad con un registro de solo apéndice en UNIX

Haré una revisión de seguridad rápida: tenga en cuenta que, debido a que es rápido, es probable que esté lejos de ser exhaustivo.

Amenazas

1. Eliminando o modificando una entrada de registro existente.
2. Restauración del archivo de registro. (Técnicamente, un caso particular de eliminación de entradas antiguas, pero uno peculiar que merece una consideración especial).
3. Inserción de entradas falsificadas.
4. Evitar el uso legítimo de los registros.
5. Acceso no autorizado a los registros.

Ataques, con algunas contramedidas

1. Acceso físico ilegítimo al hardware que alberga los registros.

   • Control de acceso físico.
   • Redundancia geográfica (despacho de registros a múltiples hosts).
   • Registre todos los intentos de acceso a una ubicación remota.

2. Acceso remoto ilegítimo a la máquina que aloja los registros.

   • Restrinja los posibles métodos de acceso a un mínimo (firewall, autenticación, etc.).
   • Use un software de control de acceso seguro y actualizado.
   • Registre todos los intentos de acceso a una ubicación remota.

3. Omisión de los mecanismos de seguridad locales que imponen la naturaleza de solo lectura de los registros.

   • Use un método seguro para implementar un registro de solo lectura (por ejemplo, el atributo de solo aplicación de Linux).
   • Use software seguro para recibir y almacenar las entradas del registro.

4. Uso indebido de un acceso administrativo legítimo a la máquina que aloja los registros.

   • Restrinja los métodos de acceso legítimos al mínimo.
   • Requiere autorización múltiple (claves divididas) para el acceso físico y cualquier acceso lógico peligroso.
   • Registre todos los intentos de acceso a una ubicación remota.

5. Envío de mensajes de registro mal formados.

   • Utilice un software seguro y robusto para enviar, transmitir y recibir mensajes.
   • Autenticar remitentes.
   • Utilice un método de transmisión que garantice la integridad de los datos.
   • Audite el origen de las entradas de registro que no coincidan con el formato esperado.

6. Captura o subversión de registros en tránsito.

   • Utilice un método de transmisión que garantice la confidencialidad e integridad de los datos.
   • Use un método de transmisión que asegure una entrega adecuada.
   • No valide una transacción hasta que se confirme la transmisión de la entrada de registro correspondiente.
   • Firme y encripte cada entrada en su punto de origen (además de los mecanismos de integridad general).
   • Audite el origen de las entradas de registro que no coincidan con el formato esperado.
   • Audite la frecuencia de las entradas de registro de cada fuente.

7. Snooping en las copias de seguridad del registro.

   • Encripta los registros y sus copias de seguridad.

8. Captura o subversión de archivos de registro.

   • Cifre y firme los registros y sus copias de seguridad.
   • Archivar registros en medios de solo escritura. Haga copias múltiples.
   • Los archivos de registro de auditoría regularmente.

9. Subversión del mecanismo de rotación del archivo de registro.

   • Diseñe un mecanismo robusto de rotación de archivos de registro.
   • Gire los registros en diferentes momentos en diferentes copias de los datos.

Para obtener una respuesta autorizada, consulte a su instructor.

Aquí hay algunos posibles problemas de seguridad:

1. ¿Cómo aplicaremos / garantizaremos que el registro solo se pueda adjuntar y que no se puedan eliminar / eliminar / modificar entradas anteriores?

2. ¿Quién / qué tendrá autoridad para agregar elementos al registro?

3. ¿Quién / qué tendrá autoridad para leer el registro?

4. ¿Qué debemos hacer para asegurarnos de que la información confidencial no se almacene en el registro, o de lo contrario se proteja adecuadamente?

5. ¿Cómo se levantará esto en el tribunal, si los registros alguna vez deben usarse como evidencia en una disputa legal?

6. ¿Qué información / eventos debo registrar?

7. ¿Cómo protegeremos la información que se registrará mientras está en tránsito desde el sistema que genera el registro al sistema que almacena los registros?

8. ¿Cómo protegeremos la información de registro en el almacenamiento?

9. ¿Cómo se utilizarán los registros? ¿Cómo pueden usarse para detectar ataques / fraudes / anomalías? ¿Qué herramientas / técnicas se utilizarán para analizar los registros?

Para las técnicas que puede usar para abordar estos problemas de seguridad, puede comenzar por leer las siguientes preguntas en este sitio (deberían cubrir una buena parte del espacio y, si falta algo específico, puede hacer otra pregunta más específica). pregunta por separado):

• Técnicas para garantizar la verificabilidad de los archivos de registro de eventos

• Tipos de medios WORM

• ¿Qué datos deben registrarse?

• ¿Hay algún sistema de almacenamiento en la nube que ofrezca un modo de solo apéndice para grupos, directorios, etc.?

• ¿Cómo puedo proteger mis archivos de registro?

• ¿Cómo registro todo lo que está haciendo un determinado programa?

• ¿Es legal registrar contraseñas de inicios de sesión fallidos?

• ¿Cuál es el riesgo si escribo accidentalmente mi contraseña en un campo de nombre de usuario (inicio de sesión de Windows)?

• requisitos de registro para PCI para aplicaciones web