Was hat Log-Management mit der ISO 27001 zu tun?

November 13, 2020

ISO 27001 ist der internationale Standard zum Aufbau und Betrieb eines ISMS (Informationssicherheits-Managementsystems). Im Mittelpunkt dessen stehen Management-Prozesse für die Herstellung und kontinuierliche Verbesserung der Informationssicherheit.

‍

Durch einen kontinuierlichen Verbesserungsprozess wird die Informationssicherheit verbessert.

Die Norm selbst beschreibt diesen Prozess und ist recht übersichtlich. Sie besteht lediglich aus ca. 15 Seiten. Der normative Anhang ist entscheidend, er besteht nochmals aus ca. 15 Seiten und beschreibt die Ziele sowie die dafür notwendigen 114 Maßnahmen (Controls), um die Norm zu erfüllen. Dieser Anhang ist auch die Grundlage für eine Zertifizierung!

‍
Übrigens: Für spezielle KRITIS-Sektoren und Branchen gelten ggf. noch weitere Normen und Vorschriften. Zum Beispiel für die Energieversorgung gibt es speziell die ISO-Norm 27019. Während der Standard 27001 und 27002 branchenunabhängig formuliert ist, liefert die Norm 27019 noch weitere Definitionen zu Sicherheitsmaßnahmen und deren Umsetzungen speziell für den Energiesektor.

‍

Im normativen Anhang der ISO 27001, in der Sektion A 12.4 „Protokollierung und Überwachung“ wird dabei konkret auf das Thema Log Management mit folgenden Unterpunkten verwiesen:

‍

12.4.1 Event Logging

Es werden Informationen über den Zugang und die Aktionen von Usern, Fehlern, Events usw. in einem Informationssystem gesichert. Bei mehreren Applikationen empfiehlt sich das zentrale Erfassen dieser Logs in einem zentralen System.

‍

12.4.2 Schutz der Log-Informationen

‍
Die Logdaten müssen geschützt werden und dürfen nicht von unautorisierten Personen verändert oder gelöscht werden. Sollte es zu nicht-autorisierten Zugriffen auf das System kommen, werden Hacker in der Regel versuchen, Hinweise auf ihre Handlungen aus den Logs zu löschen. Es ist daher elementar, dass die Logs selbst auch einen entsprechenden Berechtigungsschutz erhalten.

‍

12.4.3 Logs für Systemadministratoren

‍
Systemadministratoren haben in der Regel besondere Zugriffsrechte in den Systemen, weshalb sie Aktionen ausführen können, die einem normalen User nicht möglich sind. Manchmal werden Aktionen von Systemadministratoren nicht erfasst und überwacht. Daraus resultiert eine Sicherheitslücke, insbesondere bei einem Angriff, bei dem sich der Angreifer Zugang zu einem Administrations-Konto verschafft hat. Systeme sollten deshalb Informationen über alle User und Usergruppen erfassen, egal welche Rechte und Zugriffe sie auf den Systemen haben.

‍

12.4.4 Synchrone Uhrzeiten

‍
Alle Systeme und Informationsquellen sollen mit identischem Datum und Uhrzeit betrieben werden. Sonst besteht die Gefahr, dass sich Fehler oder andere Vorfälle nicht mehr eindeutig nachvollziehen lassen, da unklar ist, welche Prozesse wann und wo durchgeführt wurden.

‍

Für Firmen und Organisationen, die sich nach ISO27001 zertifizieren lassen wollen, stellt sich also nicht die Frage, ob sie ein Log.-Management benötigen.
Vielmehr stellt sich die Frage, wie ein Log-Management sinnvollerweise implementiert werden kann, um die Anforderungen der Norm 27001 zu erfüllen!
Nachfolgend ein Beispiel!

Wie funktioniert ein Log-Management-System?

Architekturbild: Log-Management mit NetEye

Es geht beim Log-Management (von englisch Log file; deutsch „Protokolldatei“) also um das Definieren, Empfangen, Auswerten, Speichern und Löschen von Protokolldaten, die ein IT-System während seines Betriebs erzeugt.

‍
Die linke Seite des Architekturbildes mit nBox, Safed und Beats liefert die Log-Daten. Bei unserer Lösung geht es optional noch darüber hinaus, da nBox-Systeme auch NetFlow-Daten bereitstellen, die Auskunft geben über die Art und Weise des Netzwerkverkehrs.

‍
In dem rot umrandeten Rechteck sind die Einzelkomponenten der NetEye-Lösung aufgeführt. NetEye ist eine technische Variante, um die geforderte zentrale Erfassung der Logs gemäß ISO27001 umzusetzen. Die Logs werden in eine zentrale Datenbank geschrieben (Elastic) und nach den Anforderungen des Projektes werden die Ergebnisse auf Dashboards dargestellt.

‍
Dabei ist zu beachten, dass die Logs revisionssicher aufbewahrt werden und eine nachträgliche Manipulation möglichst ausgeschlossen wird.

‍
NetEye fungiert dabei zusätzlich auch als ein Monitoringsystem um bei bestimmten (sicherheitsrelevanten) Ereignissen Alarmierungen auszulösen oder bestimmte Aktionen durchzuführen (z.B. ein System in Quarantäne zu versetzen).

Falls wir Sie neugierig gemacht haben und Sie weitere Informationen wünschen oder zu diesem Themenkomplex Fragen haben, stehen wir gerne zur Beratung zur Verfügung:

Zum Kontaktformular bitte hier klicken!

What does log management have to do with ISO 27001?

November 13, 2020

Log-Manangement

ISO 27001 is the international standard for establishing and operating an ISMS (Information Security Management System). It focuses on management processes for the establishment and continuous improvement of information security.

‍

Information security is improved through a continuous improvement process.

‍

The standard itself describes this process and is quite clear. It consists of only about 15 pages. The normative annex is crucial; it consists of another 15 pages and describes the objectives and the 114 measures (controls) required to meet the standard. This annex is also the basis for certification!

By the way: For special KRITIS sectors and industries, additional standards and regulations may apply. For example, for the energy supply sector, there is specifically ISO standard 27019.While standard 27001 and 27002 are formulated independently of the sector, standard 27019 provides further definitions of security measures and their implementation specifically for the energy sector.

‍

In the normative annex of ISO 27001, in section A 12.4 "Logging and monitoring", specific reference is made to the topic of log management with the following subsections:

‍

12.4.1 Event logging

Information about access and the actions of users, errors, events, etc. is saved in an information system. In the case of multiple applications, it is recommended that these logs be centrally recorded in a central system.

‍

12.4.2 Protection of Log Information

The log data must be protected and must not be modified or deleted by unauthorized persons. Should unauthorized access to the system occur, hackers will usually attempt to delete evidence of their actions from the logs. It is therefore elementary that the logs themselves also receive appropriate authorization protection.

‍

12.4.3 Logs for system administrators

System administrators usually have special access rights in the systems, which is why they can perform actions that are not possible for a normal user. Sometimes actions by system administrators are not recorded and monitored. This results in a security vulnerability, especially in the event of an attack where the attacker has gained access to an administration account. Systems should therefore record information about all users and user groups, regardless of their rights and access to the systems.

‍

12.4.4 Synchronous times

All systems and information sources should be operated with identical dates and times. Otherwise, there is a risk that errors or other incidents can no longer be clearly traced because it is unclear which processes were carried out when and where.

‍

For companies and organizations that want to be certified to ISO27001, the question is therefore not whether they need a log management system.Rather, the question is how a log management system can be implemented in a meaningful way to meet the requirements of standard 27001.The following is an example.

How does a log management system work?

Architectural image: Log management with NetEye

Log management is about defining, receiving, evaluating, storing and deleting log data that an IT system generates during its operation.

The left side of the architecture image with nBox, Safed and Beats provides the log data. In our solution, it optionally goes beyond that, as nBox systems also provide NetFlow data, which provides information about the nature and type of network traffic.

The rectangle outlined in red lists the individual components of the NetEye solution. NetEye is a technical variant to implement the required central log collection according to ISO27001. The logs are written to a central database (Elastic) and, according to the requirements of the project, the results are displayed on dashboards.

‍

It is important to ensure that the logs are stored in an audit-proof manner and that subsequent manipulation is excluded as far as possible.

‍

NetEye also acts as a monitoring system to trigger alarms in case of certain (security-relevant) events or to perform certain actions (e.g. quarantining a system).

If we have aroused your curiosity and you would like to receive more information or have any questions about this topic, we would be happy to advise you:

‍

Please click here for the contact form!

Gravitate