Bulut ve SaaS incelemesi

01Kapsam

Kimlik ve oturum açma günlükleri: etkileşimli ve etkileşimsiz oturumlar, MFA, koşullu erişim, riskli olaylar
Birleşik denetim günlükleri: posta kutusu erişimi, gelen kutusu kuralları, dosya erişimi, paylaşım, indirme, yönetici değişiklikleri
Koruma: dava tutması, saklama ilkeleri, e-keşif dışa aktarımları ve hash değerleri
IaaS: sanal makine anlık görüntüleri, depolama erişim günlükleri, API etkinlik izleri, anahtar kullanımı
Üçüncü taraf OAuth uygulamaları ve onaylanmış izinleri

Hesaba beklenmedik bir konumdan ya da istemciden erişildi mi; ne zaman?
Olay penceresinde gelen kutusu kuralı, yönlendirme ya da OAuth onayı oluşturuldu mu?
Hangi dosyalara erişildi, indirildi ya da dışarıyla paylaşıldı; hangi hesapla?
Veri, biri değiştirmeden ya da silmeden önce korundu mu?
Her günlük için sağlayıcının saklama süresi neydi; neler zaten silinmişti?

Kaynak	Ne verir	Not
Yönetim arabiriminden ya da API'den oturum açma ve denetim günlüğü dışa aktarımları (CSV/JSON)	Hesap, zaman (UTC), IP, kullanıcı aracısı, işlem, hedef nesne, sonuç	Tüm sütunlarla tam dönemi dışa aktarın; dışa aktarımın hash değerini alın; sorguyu ve çalıştırmada kullanılan hesabı kaydedin.
Posta kutusu ve sürücü dışa aktarımları (PST/EML/MBOX, üst verili dosyalar)	İçerik, başlıklar, sürüm geçmişi, paylaşım bağlantıları	Dışa aktarımlar içeriği yeniden sarar; özgün internet başlıklarını ve sağlayıcının öğe tanımlayıcılarını saklayın.
Koruma anındaki tutma ve saklama yapılandırması	İçeriğin belirli bir tarihten sonra değiştirilemediğinin kanıtı	İlkeyi ekran görüntüsüyle ve dışa aktarımla belgeleyin; uygulayan hesabı ve zamanı not edin.
IaaS etkinlik izleri ve anlık görüntüler	API çağrıları, konsol oturumları, anahtar oluşturma, örnek ve depolama değişiklikleri; sanal makine disk imajları	Anlık görüntü bir imajdır: hash değerini alın ve disk incelemesi prosedürüyle ele alın.

Önce, yazılı yetkiyle koruyun
Herhangi bir düzeltmeden önce tutmaları uygulayın, saklamayı uzatın ve kullanılabilir tüm pencere için günlükleri dışa aktarın. Kiracıya erişimi kimin, hangi rolle yetkilendirdiğini belgeleyin.
Kimlik kronolojisini kurun
IP, istemci, MFA sonucu ve konum tahminiyle hesap başına oturum açmalar; hesabın kendi temel çizgisine karşı. Etkileşimli oturumları hizmet oturumlarından ayırın.
Yalnızca oturumları değil, işlemleri izleyin
Gelen kutusu kuralı oluşturma, posta kutusu yetkilendirme, dosya indirme, paylaşım değişiklikleri, OAuth onayı, yönetici rolü değişiklikleri: her biri bir aktörü ve hedefi olan denetlenmiş bir işlemdir.
Her dışa aktarımın hash değerini alın ve kataloglayın
Dışa aktarımlar kanıttır. Dosya adını, boyutunu, hash değerini, onu üreten sorguyu, hesabı ve zamanı kaydedin; koruma zinciri kaydıyla birlikte saklayın.
Sağlayıcı sınırlarını bulgu olarak raporlayın
Bir günlük etkinleştirilmemişse, süresi dolmuşsa ya da yalnızca daha yüksek bir lisans katmanında mevcutsa, sağlayıcının belgelerine atıfla bunu belirtin.

Bu alanın arkasındaki kütüphane kayıtları:

Denetim günlüğü zaman damgaları UTC'dir, ancak dışa aktarılan CSV'ler bir elektronik tablo uygulaması tarafından yeniden biçimlendirilebilir; ham dışa aktarımı saklayın.
Sağlayıcının bir IP için konum tahmini, bir kişinin nerede olduğunun kanıtı değildir.
Eski kimlik doğrulama ve uygulama belirteçleri MFA'yı atlayabilir; MFA istemi olmaması oturumun meşru olduğu anlamına gelmez.
Düzeltmenin kendisi (parola sıfırlama, belirteç iptali) günlük kaydı üretir; müdahale ekibinin etkinliğini saldırgan etkinliğinden ayırın.
Varsayılan saklama çoğu zaman 90 gün ya da daha azdır; geç bir talep hiçbir şey döndürmez ve bu yokluk belgelenmelidir.

Kiracı, hizmetler, lisans katmanı, hangi günlüklerin etkin olduğu ve o andaki saklama süreleri.
Kim, neyi, ne zaman, hangi sorguyla dışa aktardı ve her dışa aktarımın hash değeri.
Satır başına günlük kaynağı ve kayıt tanımlayıcısıyla kimlik kronolojisi ve işlem kronolojisi.
Açık boşluklar: süresi dolmuş günlükler, devre dışı denetim, lisans sınırları.

Düzeltmeden önce tutma uygulandı mı; dışa aktarım hash'lenip kataloglandı mı?
Hangi günlükler mevcut değildi; bu, sağlayıcının saklama belgeleriyle belirtilmiş mi?
Kronolojide müdahale ekibinin eylemleri saldırgan eylemlerinden nasıl ayrıldı?
Rapor IP konumunu bir tahmin olarak mı ele alıyor?