01Amaç ve kapsam
Bulut ve e-posta kanıtını, saklama süreleri dolmadan ya da düzeltme onu değiştirmeden, kökeni ve eksiksizliği gösterilebilir bir biçimde yakalamak.
Microsoft 365, Google Workspace ve benzeri hizmetler; IaaS etkinlik izleri ve anlık görüntüler; yerinde posta sunucuları; uç noktalardaki posta kutusu depoları.
02Ön koşullar
- Kiracıyı, hesapları ve veri kategorilerini ve kullanılacak yönetim rolünü belirten yazılı yetki.
- İnceleyici eylemlerinin denetim günlüğünde ayırt edilebilmesi için özel bir inceleyici hesabı ya da günlüklenen bir yönetim oturumu.
- Belgelerinden alınmış, her günlük türü için hizmetin saklama ve lisans sınırları bilgisi.
03Adımlar
Başlangıç konumunu kaydedin
Tarih ve saat (UTC), inceleyici hesabı ve rolü, lisans katmanı, hangi denetim özelliklerinin etkin olduğu ve sağlayıcının belgelediği her günlük türünün saklama süresi.
KayıtKoruma kaydı başlığı.
Tutmaları uygulayın ve saklamayı uzatın
Kapsamdaki hesaplara ve sitelere dava ya da hukuki tutma uygulayın; lisans izin veriyorsa denetim günlüğü saklamayı uzatın. Kanıt olarak tutma yapılandırmasını zaman ve hesapla dışa aktarın.
KayıtTutma yapılandırması dışa aktarımı.
Kullanılabilir tüm pencere için günlükleri dışa aktarın
Oturum açma günlükleri, birleşik denetim günlükleri, posta kutusu denetimi, yönetici denetimi, OAuth onay günlükleri, dosya etkinliği. Sağlayıcının ham biçiminde (tüm sütunlarla JSON ya da CSV), mümkünse API ile dışa aktarın. Her dışa aktarım için tam sorguyu, filtreleri, zaman aralığını ve sonuç sayısını kaydedin.
KayıtDışa aktarım günlüğü: sorgu, aralık, sayı, dosya, hash.
İçeriği doğrulukla dışa aktarın
Posta kutularını hizmetin e-keşif dışa aktarımıyla (internet başlıklı PST/EML), sürücüleri sunuluyorsa üst veri ve sürüm geçmişiyle, sohbeti dizi bağlamıyla. Kullanıcı istemcisi üzerinden iletmeyin ya da indirmeyin.
KayıtHash değerli içerik dışa aktarım girişleri.
Her dışa aktarımın hash değerini alın ve kaydedin
Her dışa aktarım dosyasının SHA-256 değerini alımda hesaplayın; kendi koruma kaydıyla (SOP-03) dijital delil öğesi olarak kaydedin.
KayıtDijital koruma kayıtları.
Boşlukları belgeleyin
Etkinleştirilmemiş günlükler, saklama süresini aşan dönemler, lisans katmanında bulunmayan özellikler, kısmi sonuç döndüren dışa aktarımlar. Her biri için sağlayıcının belgelerine atıf yapın.
KayıtAtıflı boşluk listesi.
04Üretilen kayıtlar
- Koruma kaydı (başlangıç konumu, tutmalar, dışa aktarımlar, boşluklar)
- Sorgular ve hash değerleriyle dışa aktarım günlüğü
- Dışa aktarım başına dijital koruma kayıtları
05Tuzaklar
- Bir CSV dışa aktarımını elektronik tablo uygulamasında açıp kaydetmek zaman biçimlerini ve kodlamaları değiştirir; özgün dosyayı dokunulmamış tutun.
- Korumadan önce düzeltme (parola sıfırlama, belirteç iptali, posta kutusu temizleme), saldırganın ne yaptığını gösteren kayıtların kendisini yok eder.
- Ortak yönetici hesabıyla yapılan dışa aktarımlar diğer yöneticilerin eylemlerinden ayırt edilemez.
- Sağlayıcı tarafı 'konum' alanları IP tahminleridir ve dışa aktarıldığında öyle etiketlenmelidir.