Audit log, yönetim panelinde kimin hangi kaydı ne zaman değiştirdiğini araştırmaya yarayan olay günlüğüdür. Güvenlik olayı incelemesi ve hata ayıklama için işlem zamanı, aktör, eylem, hedef ve sonuç birlikte kaydedilmelidir. Günlüğün tek başına saldırıyı engellediğini veya değiştirilemez olduğunu varsaymayın.
Hangi olayları kaydetmeli?
Oturum açma ve başarısız girişler, yetki değişiklikleri, veri dışa aktarma, kritik ayar güncellemeleri ve yönetici işlemleri önceliklidir. Her olay için sunucu zamanı, olay kimliği, kullanıcı veya servis kimliği, hedef kayıt kimliği, sonuç ve uygun bir ilişkilendirme kimliği tutun. Gereksiz kişisel veriyi ve tüm istek gövdesini kopyalamayın.
Örneğin bir rol değişikliğinde “kullanıcı 42, hedef 91, rol editörden yöneticiye, sonuç başarılı” kaydı soruşturmayı kolaylaştırır. Parola, erişim anahtarı ve oturum çerezi ise loga girmemelidir.
Yönetim panelinde nasıl sunulur?
Olayları zaman aralığı, aktör, eylem ve sonuçla filtreleyin. Saat dilimini ekranda açıkça gösterin; depolamada tutarlı bir zaman standardı kullanın. Ayrıntı sayfasında ilgili isteğin veya işin kimliğini gösterin, ancak kullanıcıya yalnızca yetkili olduğu kayıtları açın.
Log görüntüleme ve dışa aktarma yetkilerini ayrı tanımlayın. Paneldeki log metnini HTML olarak çalıştırmayın; kullanıcı girdisini güvenli biçimde kaçışlayın.
Saklama ve doğrulama
Saklama süresini veri ihtiyacı ve ilgili yükümlülüklere göre belirleyin. Logları uygulama verisinden ayrı erişim kontrolleriyle koruyun; silme ve değiştirme yetkisini sınırlandırın. “Değiştirilemez” iddiasını ancak kullanılan depolama ve yetki modeli gerçekten sağlıyorsa kullanın.
Örnek olaylarla test edin: başarısız giriş, yetki değişikliği ve toplu silme sonrası kaydın oluştuğunu, filtrelerin doğru çalıştığını ve hassas verinin görünmediğini doğrulayın.
Kaynaklar ve İleri Okuma
