Auditlog

Een handeling later kunnen reconstrueren

Een auditlog legt geselecteerde applicatiegebeurtenissen vast die belangrijk zijn voor herleidbaarheid. Het moet laten zien wie wanneer welke handeling aan welk object probeerde of uitvoerde, en met welk resultaat. Daarbij horen een geschikte tijdstempel en een interactieverwijzing die samenhangende gebeurtenissen verbindt. Een algemene foutenteller beantwoordt deze vragen niet.

In een fictief projectportaal probeert user-17 de rol op project-8 van viewer naar editor te wijzigen. De server weigert de poging en legt resultaat denied vast. Wie alleen de gevraagde rolwijziging leest, kan denken dat deze is uitgevoerd. Het resultaat laat zien dat deze poging geen nieuwe bevoegdheid heeft toegekend.

De bewijskracht van het log beschermen

Het team bepaalt welke gebeurtenissen nodig zijn en wie de vastleggingen mag lezen, schrijven of verwijderen. Wachtwoorden, toegangstokens en volledige vertrouwelijke documenten horen niet als handige extra informatie in dit log. Ook de bewaartermijn vraagt een onderbouwde regel.

Een bestand auditlog noemen maakt het niet volledig of manipulatiebestendig. Bescherming tegen onbevoegde wijziging en verwijdering, detectie van manipulatie en controle op uitval van logging horen bij de uitvoering. Een verloren of achteraf gewijzigde regel kan een onderzoek de verkeerde kant op sturen.

Bronnen

• OWASP — Logging