Zakaj sta varnostno beleženje in spremljanje pomembna?

Question

Accepted Answer

**Varnostno beleženje in spremljanje** omogočata odkrivanje in odziv na varnostne grožnje in incidente. Brez ustreznega beleženja/spremljanja napadi ostanejo neopaženi — zato je »nezadostno beleženje in spremljanje« priznano kot varnostno tveganje (OWASP).

## Zakaj sta beleženje in spremljanje pomembna za varnost

```text
You can't respond to (or even know about) attacks you can't DETECT:
  → without logging/monitoring, breaches go UNNOTICED (often for months) → far more damage
  → "Security Logging and Monitoring Failures" is an OWASP Top 10 risk
→ detection is essential — you can't stop every attack, but you must DETECT and respond.
```

## Kaj beležiti in spremljati

```text
✓ AUTHENTICATION events → logins, failures, lockouts (detect brute force/credential stuffing)
✓ ACCESS to sensitive data/actions → audit trail (who did what, when)
✓ AUTHORIZATION failures → repeated denied access (probing/attacks)
✓ Anomalies → unusual patterns, spikes, suspicious behavior, errors
✓ ADMINISTRATIVE/privileged actions; config changes; security-relevant events
⚠️ but DON'T log sensitive data (passwords, full card numbers, secrets) — that's a risk itself
```

## Odkrivanje in odziv

```text
✓ ALERTING → notify on suspicious activity (so you can respond quickly)
✓ SIEM tools → aggregate/analyze logs; correlate events; detect threats
✓ Centralized, tamper-resistant logs (attackers try to delete logs); retention
✓ Connect to INCIDENT RESPONSE → detection triggers the response process
✓ Regular review; baseline normal to spot anomalies; threat detection (GuardDuty etc.)
```

## Zakaj je to pomembno

Razumevanje, zakaj sta varnostno beleženje in spremljanje pomembna, je dragoceno znanje na ravni starejšega strokovnjaka, ker je **odkrivanje bistveno za varnost** — ne morete se odzvati na grožnje, ki jih ne vidite — zato je pomembno za zaščito sistemov, priznano kot varnostna pomanjkljivost samo po sebi.

Temeljna spoznanja je, da **ne morete se odzvati niti vedeti za napade, ki jih ne morete zaznati**, in brez ustreznega beleženja in spremljanja **so kršitve podatkov neopažene (pogosto mesece), kar povzroči drastično večjo škodo** — zato je »Odpoved varnostnega beleženja in spremljanja« tveganje v OWASP Top 10.

Ker ne morete preprečiti vsakega napada, je odkrivanje in odziv bistveni, kar beleženje in spremljanje naredi za kritično varnostno sposobnost.

Razumevanje **kaj beležiti in spremljati** — dogodki avtentikacije (odkrivanje brute force in credential stuffing), dostop do občutljivih podatkov in dejanj (revizijske sledi), neuspeli avtorizacijski poskusi (odkrivanje raziskovanja), anomalije (nenavadni vzorci in vedenje), ter upravni/privilegirani ukrepi — zajema varnostno relevantne dogodke za zajemanje, s pomembnim opozorilom, da **ne smete beležiti občutljivih podatkov** (gesla, številke kartic, skrivnosti — kar je samo po sebi tveganje).

Razumevanje **odkrivanja in odziva** — **obvestila** (obveščanje o sumljivi dejavnosti za hiter odziv), **SIEM orodja** (zbiranje in korelacija dnevnikov za odkrivanje grožnje), hranjenje dnevnikov **centralizirano in zaščiteno pred spreminjanjem** (ker napadalci poskušajo izbrisati dnevnike), povezava odkrivanja s **odzivom na incidente**, in vzpostavljanje referenčne vrednosti normalnega vedenja za zaznavanje anomalij — odraža, kako spremljanje omogoči dejansko zaznavanje in odziv na grožnje.

Beleženje in spremljanje omogočata zaznavo kršitev podatkov in odziv na incidente, pri čemer nevidne napade spremenijo v zaznane, nanje pa je mogoče odzvati.

Ker je odkrivanje bistveno za varnost (ne morete se odzvati na nezaznane napade, nezaznane kršitve podatkov pa povzročijo drastično večjo škodo) in beleženje/spremljanje (zajemanje varnostnih dogodkov, obvestila, SIEM, povezava na odziv na incidente) je tisto, kar to omogoči, in ker je nezadostno beleženje/spremljanje priznano tveganje, je razumevanje, zakaj sta varnostno beleženje in spremljanje pomembna, dragoceno znanje na ravni starejšega strokovnjaka — bistveno za zaznavanje in odziv na napade, ki se bodo zgodili, priznano kot varnostna pomanjkljivost samo po sebi, ter odraža operativno varnostno ozaveščenost, ki se pričakuje za starejše vloge, odgovorne za sisteme, ki morajo zaznati in se odzvati na grožnje, ne le poskušati jih preprečiti.