Log Bütünlüğü Nasıl Korunur?

Bütünlük, kaydın doğru olmasından ayrı bir niteliktir. Doğru bir kayıt, sonradan değişmediği gösterilemiyorsa bir iddia olarak kalır.

Birinci Adım. Kaydı Yerinden Ayır

Bir cihazın üzerinde duran kayıt, o cihaz ele geçirildiğinde delil değerini yitirir. Saldırgan izini silmek için ilk oraya bakar.

Bu yüzden kayıtların üretildikleri yerden hızla merkezî bir toplayıcıya aktarılması, bütünlüğün ilk şartıdır. Aktarımın kendisi de güvenilir olmalıdır; syslog UDP üzerinden çalışıyorsa kayıp sessizce gerçekleşir.

İkinci Adım. Mühürle

Arşivlenen dosyanın özet değeri alınır ve bu değer, dosyanın kendisinden ayrı bir yerde saklanır; dosyada tek bir baytın değişmesi özeti tamamen değiştirdiği için en küçük müdahale bile fark edilir hale gelir. Ayrı yerde durması şart.

Özet değerinin dosyayla aynı yerde durması bu korumayı ortadan kaldırır: dosyayı değiştiren, özeti de yeniden hesaplayabilir.

Üçüncü Adım. Tarihle

Özet değerinin ne zaman alındığı, bağımsız bir kaynaktan gelen bir zaman damgasıyla belgelenir. Kendi sunucunuzun saatiyle atılan bir tarih, o sunucuya erişebilen biri için değiştirilebilir bir veridir.

Bu adım atlandığında geriye şu boşluk kalır: kaydın değişmediği gösterilebilir, ama mührün ne zaman atıldığı gösterilemez. Bir uyuşmazlıkta sorulacak soru tam olarak budur.

Sınanması

Zincirin işlediği, arşivden rastgele bir dosya çekilip özetinin hâlâ tutup tutmadığına bakılarak sınanır ve yılda bir yapılan bu basit kontrol, sessizce bozulmuş bir arşivi denetim anından çok önce ortaya çıkarır. Yapılmadığı sürece arşivin durumu bilinmez.