Zašto su sigurnosno bilježenje i praćenje važni?

Question

Accepted Answer

**Sigurnosno bilježenje i praćenje** omogućuju otkrivanje i reagiranje na sigurnosne prijetnje i incidente. Bez adekvatnog bilježenja/praćenja, napadi ostaju neotkriti — što je razlog što se "nedostatno bilježenje i praćenje" prepoznaje kao sigurnosni rizik (OWASP).

## Zašto bilježenje i praćenje važni za sigurnost

```text
You can't respond to (or even know about) attacks you can't DETECT:
  → without logging/monitoring, breaches go UNNOTICED (often for months) → far more damage
  → "Security Logging and Monitoring Failures" is an OWASP Top 10 risk
→ detection is essential — you can't stop every attack, but you must DETECT and respond.
```

## Što bilježiti i pratiti

```text
✓ AUTHENTICATION events → logins, failures, lockouts (detect brute force/credential stuffing)
✓ ACCESS to sensitive data/actions → audit trail (who did what, when)
✓ AUTHORIZATION failures → repeated denied access (probing/attacks)
✓ Anomalies → unusual patterns, spikes, suspicious behavior, errors
✓ ADMINISTRATIVE/privileged actions; config changes; security-relevant events
⚠️ but DON'T log sensitive data (passwords, full card numbers, secrets) — that's a risk itself
```

## Otkrivanje i reagiranje

```text
✓ ALERTING → notify on suspicious activity (so you can respond quickly)
✓ SIEM tools → aggregate/analyze logs; correlate events; detect threats
✓ Centralized, tamper-resistant logs (attackers try to delete logs); retention
✓ Connect to INCIDENT RESPONSE → detection triggers the response process
✓ Regular review; baseline normal to spot anomalies; threat detection (GuardDuty etc.)
```

## Zašto je to važno

Razumijevanje zašto su sigurnosno bilježenje i praćenje važni je vrijedna znanja za razinu seniora jer je **otkrivanje bitno za sigurnost** — ne možete reagirati na prijetnje koje ne vidite — pa je važno za zaštitu sustava, prepoznato kao sigurnosna briga samo po sebi.

Temeljni uvid je da **ne možete reagirati ili čak znati o napadima koje ne možete otkriti**, i bez adekvatnog bilježenja i praćenja, **povrede ostaju neotkrile (često mjesecima), što uzrokuje daleko veću štetu** — što je razlog što je "Neuspjeh sigurnosnog bilježenja i praćenja" rizik u OWASP Top 10.

Budući da ne možete spriječiti svaki napad, otkrivanje i reagiranje su bitni, čineći bilježenje i praćenje kritičnom sigurnosnom sposobnosti.

Razumijevanje **što bilježiti i pratiti** — događaje autentifikacije (otkrivanje grubom silom i napadima sa otkrivenim vjerodajnicama), pristup osjetljivim podacima i akcije (zapisnici revizije), neuspješne autorizacije (otkrivanje sondiranja), anomalije (neobični obrasci i ponašanja), i administrativne/privilegirane akcije — pokriva sigurnosno relevantne događaje za bilježenje, s važnom napomenom da **ne bilježite osjetljive podatke** (lozinke, brojeve kartica, tajne — što je samo po sebi rizik).

Razumijevanje **otkrivanja i reagiranja** — **upozorenja** (obavijest o sumnjivoj aktivnosti za brzo reagiranje), **SIEM alati** (agregiranje i koreliranje zapisnika za otkrivanje prijetnji), čuvanje zapisnika **centraliziranih i otpornih na manipulaciju** (jer napadači pokušavaju izbrisati zapisnike), povezivanje otkrivanja s **reagiranjem na incidente**, i uspostavljanje bazne linije normalnog ponašanja za pronalaženje anomalija — odražava kako praćenje omogućava stvarno otkrivanje prijetnji i reagiranje.

Bilježenje i praćenje čine otkrivanje povrede i reagiranje na incident moguće, pretvarajući nevidljive napade u detektabilne, na koje se može reagirati, događaje.

Budući da je otkrivanje bitno za sigurnost (ne možete reagirati na neotkrivene napade, a neotkrivene povrede uzrokuju daleko više štete) i bilježenje/praćenje (bilježenje sigurnosnih događaja, upozorenja, SIEM, povezivanje na reagiranje na incidente) je ono što to omogućuje, i budući da je nedostatno bilježenje/praćenje prepoznati rizik, razumijevanje zašto su sigurnosno bilježenje i praćenje važni je vrijedna znanja za razinu seniora — bitna za otkrivanje i reagiranje na napade koji će se dogoditi, prepoznata kao sigurnosna briga sama po sebi, i odražavajući sigurnosnu svjesnost na operativnoj razini koja se očekuje za uloge seniora odgovorne za sustave koji moraju otkriti i reagirati na prijetnje, ne samo pokušati ih spriječiti.