Security-log-analyse wanneer een systeem niets laat zien
In een onderzoek ontbreken gebeurtenissen van een belangrijk systeem. Dat betekent niet vanzelf dat daar niets is gebeurd. Radorfa onderzoekt bij security-log-analyse in Hedel de dekking van de beschikbare gegevens. We bekijken bron, verzamelroute en onderzochte periode.
Zo wordt duidelijk welke informatie ontbreekt en wat nog verantwoord uit de overige gegevens kan worden afgeleid.
1Vergelijk de verwachte en beschikbare bronnen
Radorfa inventariseert welke servers, werkplekken, firewalls en applicaties bij de onderzoeksvraag horen. We leggen vast welke gebeurtenissen volgens de inrichting geregistreerd zouden moeten worden. Een systeem dat niet in het centrale overzicht staat, kan lokaal nog informatie hebben. Beschikbaarheid wordt onderzocht zonder te veronderstellen dat elke bron volledige historische gegevens bewaart.
2Onderzoek waar de informatie stopt
We bekijken relevante loginstellingen, verzamelverbindingen en beschikbare foutmeldingen. Radorfa onderscheidt een stille bron van ontbrekend transport, filtering of beperkte bewaring. Waar passend vergelijken we lokaal en centraal beschikbare aantallen of tijdvakken. Onderzoek verandert de instellingen niet ongemerkt, omdat een wijziging nieuwe gegevens kan opleveren maar verdwenen historie niet vanzelf terugbrengt.
3Maak de beperking bruikbaar voor een besluit
Radorfa beschrijft welke delen van de vraag met de aanwezige gegevens kunnen worden onderzocht. Aanvullende bronnen worden alleen gekozen als zij relevante context bieden. Een ontbrekende gebeurtenis wordt als ontbrekend bewijs genoteerd. De verantwoordelijke krijgt een gerichte vervolgstap voor onderzoek of verbetering van de logging, met duidelijke grenzen aan historische conclusies.
Waarop rust de conclusie?
Het overzicht koppelt ieder onderzocht systeem aan beschikbaar tijdvak, relevante instellingen en gevonden beperkingen. Radorfa vermeldt welke bronnen daadwerkelijk zijn geraadpleegd. Een geslaagde huidige test bewijst niet dat de logging tijdens een eerdere periode goed werkte. Historische onzekerheid blijft daarom afzonderlijk herkenbaar in het onderzoeksverslag.
Bevindingen zorgvuldig opvolgen
Radorfa kan afgesproken verzamel- of configuratieproblemen herstellen en een testgebeurtenis door de keten volgen. De organisatie bepaalt wie uitval van een bron opvolgt. Bij nieuwe systemen wordt de benodigde logging vooraf besproken. Daarmee kan toekomstige dekking worden verbeterd zonder ongefundeerde zekerheid over het verleden te geven.
Technische onderbouwing van de loganalyse
Server, firewall, applicatie en logcollector: bronconfiguratie, transportmelding, beschikbaar tijdvak, zoekcontrole en ketentest.
Welke beveiligingsmelding vraagt uitleg?
Van welk systeem mist u beveiligingsgegevens? Met de onderzoeksperiode en beschikbare bronnen bepalen we waar informatie ontbreekt en welke vervolgstap helpt.
Bespreek uw security-log-analyse