Kodėl svarbus saugos žurnalizavimas ir stebėjimas?

Question

Accepted Answer

**Saugos žurnalizavimas ir stebėjimas** leidžia aptikti saugos grėsmes ir incidentus bei juos gerai valdyti. Be tinkamo žurnalizavimo ir stebėjimo, atakos lieka nepastebėtos — todėl "nepakankamas žurnalizavimas ir stebėjimas" yra pripažįstamas saugos risiko (OWASP).

## Kodėl žurnalizavimas ir stebėjimas yra svarbūs saugai

```text
You can't respond to (or even know about) attacks you can't DETECT:
  → without logging/monitoring, breaches go UNNOTICED (often for months) → far more damage
  → "Security Logging and Monitoring Failures" is an OWASP Top 10 risk
→ detection is essential — you can't stop every attack, but you must DETECT and respond.
```

## Ką žurnalizuoti ir stebėti

```text
✓ AUTHENTICATION events → logins, failures, lockouts (detect brute force/credential stuffing)
✓ ACCESS to sensitive data/actions → audit trail (who did what, when)
✓ AUTHORIZATION failures → repeated denied access (probing/attacks)
✓ Anomalies → unusual patterns, spikes, suspicious behavior, errors
✓ ADMINISTRATIVE/privileged actions; config changes; security-relevant events
⚠️ but DON'T log sensitive data (passwords, full card numbers, secrets) — that's a risk itself
```

## Aptikimas ir reagavimas

```text
✓ ALERTING → notify on suspicious activity (so you can respond quickly)
✓ SIEM tools → aggregate/analyze logs; correlate events; detect threats
✓ Centralized, tamper-resistant logs (attackers try to delete logs); retention
✓ Connect to INCIDENT RESPONSE → detection triggers the response process
✓ Regular review; baseline normal to spot anomalies; threat detection (GuardDuty etc.)
```

## Kodėl tai svarbu

Supratimas, kodėl saugos žurnalizavimas ir stebėjimas yra svarbūs, yra vertingos aukštos lygio žinios, nes **aptikimas yra esminė saugos dalis** — negalite reaguoti į grėsmes, kurių nematote — todėl tai svarbu sistemų apsaugai, suvoikiama kaip savarandi saugos problema.

Pagrindinė įžvalga yra ta, kad **negalite reaguoti arba net sužinoti apie atakas, kurių negalite aptikti**, ir be tinkamo žurnalizavimo ir stebėjimo, **saugos pažeidimai lieka nepastebėti (dažnai kelis mėnesius), sukeliamos daug daugiau žalos** — todėl "Saugos žurnalizavimo ir stebėjimo trūkumai" yra OWASP Top 10 risiko.

Kadangi negalite išvengti kiekvienos atakos, aptikimas ir reagavimas yra būtini, todėl žurnalizavimas ir stebėjimas yra kritinė saugos galimybė.

Supratimas **ką žurnalizuoti ir stebėti** — autentifikacijos įvykius (brute force ir credential stuffing aptikimą), prieigą prie jautrių duomenų ir veiksmų (audito šlaptis), autorizacijos nesėkmes (aptikimą bandyti proverti), anomalijas (neįprastus modelius ir elgesį), ir administracinius/privilegijuotus veiksmus — apima saugumo atžvilgiu svarbius įvykius, kuriuos reikia įrašyti, su svarbia išlyga **neregistruoti jautrių duomenų** (slaptažodžius, kortelių numerius, sekrety — pats tai yra risiko).

Supratimas **aptikimo ir reagavimo** — **perspėjimai** (pranešimas apie įtartinas veiklas greitam reagavimui), **SIEM įrankiai** (žurnalų agregavimas ir koreliacija grėsmių aptikimui), žurnalų **centralizavimas ir atsparumas dėl keitimo** (kadangi užpuolikai bando pašalinti žurnalus), aptikimo susietas su **incidentų valdymu**, ir normalaus elgesio nustatymas anomalijoms aptikti — atspindi, kaip stebėjimas galina faktinį grėsmių aptikimą ir reagavimą.

Žurnalizavimas ir stebėjimas yra tai, kas daro saugos pažeidimų aptikimą ir incidentų valdymą galimą, virsdami nematomomis atakomis į atpažintinas, kurioms galima reaguoti, įvykius.

Kadangi aptikimas yra esminė saugos dalis (negalite reaguoti į neaptiktus ataksus, ir neaptikti saugos pažeidimai sukelia daug daugiau žalos) ir žurnalizavimas bei stebėjimas (saugos įvykių rengimas, perspėjimai, SIEM, susietas su incidentų valdymu) tai galina, ir kadangi nepakankamas žurnalizavimas ir stebėjimas yra pripažintinas risiko, supratimas, kodėl saugos žurnalizavimas ir stebėjimas yra svarbūs, yra vertingos aukštos lygio žinios — būtina tam, kad aptiktumėte ir valdytumėte atakas, kurios įvyks, pripažintina kaip savarandi saugos problema, ir atspindinti operacinės saugos sąmoningumą, kurio tikimasi iš aukštos lygio specialistų, atsakingų už sistemas, kurios turi aptikti ir reaguoti į grėsmes, o ne tik stengtu jas išvengti.