Насоките на CISA за водене на регистрационни файлове са приложими и извън държавния сектор

Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) иска федералните агенции да преструктурират своята стратегия за водене на регистрационни файлове (логове) около един основен въпрос: когато се извърши атака, можете ли действително да използвате събраните логове, за да я засечете и да възстановите хронологията на събитията след това?

Референтната архитектура за водене на логове (Logging Reference Architecture – LRA), публикувана през август 2026 г., има за цел да помогне на американските федерални граждански агенции да изпълнят изискванията за водене на логове, заложени в Меморандум M-26-14 на Службата за управление и бюджет (OMB). Въпреки това CISA изрично насърчава операторите на критична инфраструктура и други правителствени организации да използват документа като еталон за собствените си планове за водене на логове и мониторинг.

Ръководството съдържа няколко приложения, две от които на практика предоставят безплатни инструменти за оценка: едното служи за проверка дали архитектурните решения, свързани с плана за водене на логове, са добре обмислени, а другото – за проверка дали планът действително работи на практика (Използваеми ли се логовете? Навременни ли са данните? Достатъчна ли е точността на събитията? Работят ли защитите? Можете ли да откриете кога възможностите за водене на логове са влошени?).

Въпреки че LRA е правителствен документ, екипите за сигурност в частния сектор могат да оценят своите собствени програми за водене на логове спрямо същите контролни списъци.

Рамката LRA организира всичко около две оперативни цели:

• Непрекъснат мониторинг на събития (CEM): откриване и реагиране на подозрителна дейност в почти реално време.
• Търсене на заплахи, разследване, реагиране и компютърна криминалистика (THIRF): възстановяване на случилото се след компрометиране.

Всяко решение за телеметрия, задържане на данни и архитектура трябва да се свежда до конкретен въпрос, на който бизнесът трябва да си отговори по време на инцидент.

Събирането на логове не е същото като възможността за тяхното използване, отбелязва агенцията за киберсигурност.

Даден източник на логове може да бъде напълно свързан и въпреки това да бъде безполезен при реален инцидент, ако данните се появят твърде късно, липсват ключови подробности, времевите клейма са ненадеждни или данните са сведени до обобщения, които се разпадат, когато анализаторът започне да разследва.

LRA определя разграничението между данни с възможност за търсене, данни с възможност за извличане и неизменими данни като едно от най-важните решения за съхранение, което е пряко свързано с бюджета.

Не е необходимо цялата телеметрия да се съхранява в скъпо хранилище с ниска латентност. Дисциплината се състои в това да се реши какво трябва да остане незабавно достъпно за търсене с цел мониторинг и търсене на заплахи, какво може да се премести в по-евтини нива, като същевременно остане достъпно за извличане при възстановяване на събитията, и какво изисква неизменимо съхранение за доказателствени цели. (Федералното базово ниво – активно търсене в продължение на шест месеца и възможност за извличане в продължение на една година – е полезна отправна точка.)

Документът също така предупреждава да не се позволява на SIEM системата да се превърне в единствен източник на достоверна информация: обичайният модел на въвеждане на всичко в една платформа за анализи става скъп и нестабилен с нарастването на обема, посочва CISA, и може да отслаби точността на данните, ако обработката по време на въвеждането остане единственото трайно копие на дадено събитие.

Предпочитаният модел е събиране на данни, съобразено с всеки източник, което захранва споделена последваща обработка. Инфраструктурата за водене на логове трябва да се разглежда като „критична за сигурността възможност, чието компрометиране може да попречи на откриването, да повреди доказателствата, да наруши споделянето или да подкопае доверието в последващите решения“.

LRA също така отбелязва недостатъците на централизираното съхранение на логове: „Централизацията може да подобри съгласуваността и видимостта, но само ако данните останат навременни, надеждни и използваеми. Дизайн на централизирано съхранение, който премахва контекста, въвежда сериозно забавяне или създава крехка критична точка на претоварване, е по-слаб от по-децентрализиран дизайн със стабилно общо управление и споделена оперативна обработка“.

Документът разглежда използването на изкуствен интелект (AI) и машинно обучение (ML) за откриване на заплахи, приоритизиране на сигнали, триаж и разследване, като поставя граници, които са от значение за всяка организация, внедряваща същите инструменти.

LRA разглежда резултатите от AI като производни данни, а не като авторитетни записи за събития, и посочва, че действията със съществени оперативни, правни или свързани с поверителността последици трябва да останат предмет на преглед от човек.

„Агенциите трябва да запазят връзката между оригиналния запис и производния резултат и трябва да записват достатъчно метаданни, за да подпомогнат прегледа, възпроизвеждането и оспорването на резултата“, отбелязва LRA. За лидерите, подложени на натиск да демонстрират внедряване на AI в центъра за операции по сигурността (SOC), това е кратко и ясно дефиниране на границите на предпазните механизми.

Агенциите, обвързани с меморандума M-26-14, трябва да представят План за водене на логове на агенцията пред Службата за управление и бюджет и CISA в рамките на 90 дни от публикуването на LRA.

Планът трябва да документира как агенцията ще изпълни базовите изисквания и в кои области е необходимо да води логове извън тях. Оттам нататък агенциите ще работят по модел на зрялост, като (на теория) ще достигнат „напреднало“ ниво в рамките на 320 дни.

От CISA се изисква също така да преразглежда и актуализира LRA поне веднъж годишно, така че се очаква насоките да се развиват успоредно с промените в заплахите и технологиите.