Lokitieto voi pelastaa katastrofilta – kadonnutta tietoa ei saa takaisin .

Tietoturvapoikkeama voi yllättää minkä tahansa yrityksen. Kun näin sattuu, lokitietojen on paras olla kunnossa, sanoo Enfon tietoturva-asiantuntija Jarkko Kinnunen.

Yritykset saattavat luottaa siihen, että palvelutarjoaja huolehtii lokitiedoista. Esimerkiksi yleisimmät pilvipalveluiden tarjoajat säilyttävät tietoa kuitenkin vain 30 päivää. Menetettyä lokitietoa ei myöhemmin saa takaisin.

Kinnusen kokemuksen mukaan yrityksissä ei ymmärretä lokitiedon keräämisen periaatteita. Saatetaan olettaa, että asia on kunnossa, mutta poikkeaman sattuessa huomataan, ettei olekaan. Lisähaasteena on tietojen hajanaisuus: lokitiedot tallentuvat tyypillisesti useampaan eri järjestelmään. Pilvipalveluita ja konesalia yhdistävä hybridiympäristö tuo lisähaasteita lokitiedon keskitettyyn keräämiseen.

Kun tietoturvapoikkeama sattuu kohdalle, lokitiedot auttavat sen selvittämisessä. Niiden koostaminen voi kuitenkin osoittautua hankalaksi, erityisesti monitoimittajaympäristössä, jossa lokitietoja on kerätty erillisiin järjestelmiin keskitetyn sijaan. ”Tietojen kaivaminen manuaalisesti eri järjestelmistä on hidasta ja käsityö näkyy asiakkaalle suurempana laskuna. Työ helpottuu, jos lokitiedot ovat kunnossa”, Kinnunen sanoo.

Häiriötilanteessa lokitiedot säästävät aikaa ja rahaa

Kun lokitiedot kerätään keskitetysti, ne ovat häiriötilanteessa helposti saatavilla. ”Selvitystyössä voidaan hypätä datan keruun yli suoraan sen analysointiin. Tämä säästää kustannuksia ja kokonaisia henkilötyöpäiviä sekä nopeuttaa koko prosessia”, Kinnunen sanoo.

Kootun lokitiedon avulla tietoturvapoikkeamien selvittäminen on helpompaa, sillä datankeräysalustojen laskentakapasiteetti on parempi ja alustoihin on rakennettu tietojen käsittelyä helpottavia ratkaisuja. Datan avulla voidaan tutkia käyttäjäidentiteetin toimia ja verrata dataa muihin tallennettuihin lokilähteisiin. Sen sijaan eri lähteistä manuaalisesti koottujen tietojen käsittely on haastavaa.

"Toisaalta lokitiedon hallintajärjestelmä ei itsessään tee autuaaksi. Yrityksessä pitää myös tunnistaa, mitkä järjestelmät ja liiketoiminnan osa-alueet kuuluvat keskitetyn lokienhallinnan piiriin ja minkä lokilähteiden data tuo lisäarvoa, sillä kaikkea ei tarvitse kerätä. Esimerkiksi tietoliikennelaitteiden tuottamasta lokidatasta poikkeamia on melko hankala löytää, jos laite ei tunnista uhkia liikenteestä tai laitteen tuottamaa dataa ei rikasteta ulkoisella uhkatiedolla”, Kinnunen muistuttaa.

Identiteettikaappaus vaatii nopeita toimia

Lokitiedoille tulee tarvetta esimerkiksi silloin, jos halutaan selvittää tietyn käyttäjäidentiteetin tekemisiä yrityksen toimintaympäristössä. Lokitiedon perusteella voidaan arvioida, onko identiteetti kaapattu tai varmistaa, onko identiteetillä tehty poikkeavaa toimintaa epäillyn poikkeaman jälkeen.

Joskus tämä voi pelastaa todelliselta katastrofilta. Näin kävi eräässä yrityksessä, jonka avainhenkilön identiteetti kaapattiin. Liiketoiminnallinen riski oli merkittävä, mutta yrityksen tietoturva-asiat oli onneksi juuri laitettu kuntoon. Niinpä tilanne havaittiin ja siihen reagoitiin välittömästi.

Monesti organisaatioiden identiteetit on jaettu kahteen eri paikkaan – perinteiseen Windows Active Directoryyn ja Microsoft-pilvipalveluiden tarjoamaan Azure Active Directory -identiteettiin. Poikkeamien selvitystä helpottaa, jos dataa kerätään ja voidaan tutkia yhdestä keskitetystä paikasta.

Lokitiedot voi valjastaa hyötykäyttöön

Lokitiedoista on hyötyä myös silloin, kun häiriöitä ei ole. Dataa voidaan hyödyntää esimerkiksi raportoinnissa tai tunnistaa siitä erilaisia trendejä. Lokitiedon avulla voidaan myös ennakoida riskejä ja metsästää uhkia säännöstöjen avulla. Havainnoista saatuihin herätteisiin voidaan reagoida nopeasti, osin automaattisesti.

Lisäksi lokitietojen avulla voidaan rajoittaa vahinkojen laajuutta, Kinnunen mainitsee. ”Jos tietoturvauhka havaitaan heti alkutekijöissään, potentiaalista hyökkäyspinta-alaa voidaan pienentää esimerkiksi eristämällä käyttäjä tai hänen päätelaitteensa verkosta.”

Lokitiedoista on hyötyä myös silloin, jos yrityksen käyttämästä palvelusta löytyy kriittinen haavoittuvuus. ”Yrityksissä herää huoli, onko haavoittuvuutta käytetty hyväksi heidän organisaatiossaan. Lokitietojen avulla tämä voidaan selvittää pitkänkin ajan takaa.”

Omakohtainen kokemus herättää

Monilla yrityksillä on puutteita lokitiedon hallinnassa. Asiaa koskeva säännöstely on tulkinnanvaraista, eivätkä organisaatiot itsekään aina ole määritelleet tallennettavia lokitietoja. Lokienhallinta saatetaan kokea vaikeaksi tai nähdä pelkkänä kulueränä, johon ei haluta investoida. Monet pilvipalvelut tarjoavat kuitenkin hyviä ja kustannustehokkaita ratkaisuja ongelmaan.

”Yleensä tähän havahdutaankin vasta omakohtaisen ennakkotapauksen myötä. Kalliiksi tullut häiriön selvittäminen motivoi parantamaan lokitietojen hallintaa”, Kinnunen kertoo.

Tietoturvariskin toteutumista ei kuitenkaan kannata odotella. ”Mitä aikaisemmin lokienhallinta otetaan käyttöön, sitä pidemmältä ajalta tiedot saadaan talteen. Lokitiedot eivät ole pelkkää teknistä puurtamista vaan on yritysjohdon intressi huolehtia siitä, että ne ovat kunnossa.”

Tiedätkö, ovatko yrityksesi lokitiedot kunnossa? Asiantuntijamme auttavat sinua mielellään - tutustu tietoturvapalveluihimme tai jätä meille yhteydenottopyyntö!

Artikkeli on julkaistu ensimmäisen kerran Tivissä 28.6.2021.