Mitä on lokienhallinta?
Kaikki tietojärjestelmät ja laitteet tallentavat tapahtumia. Esimerkiksi käyttäjien sisäänkirjautumisista muodostuu tapahtuma tai esimerkiksi aurinkopaneeli voi tallentaa tuottamansa energiamäärän sekunnin välein. Tällaista yksittäistä tapahtumaa kutsutaan lokitapahtumaksi. Lokeista saadaan tietoa esimerkiksi käyttäjien ja ICT-ympäristön eri järjestelmien ja laitteiden toiminnasta sekä virheistä. Lisäksi lokit toimivat myös järjestelmien ja tietoverkkojen optimoimisessa tai haitallisen toiminnan havainnoimisessa. Oikein toteutettu lokijärjestelmä ja lokiympäristö luovat luotettavan ja aukottoman tapahtumaketjun, jota voidaan käyttää tapahtumien todentamiseen sekä poikkeamien selvittämiseen. Moderni ICT-ympäristö voi tuottaa miljardeja rivejä lokitietoa kuukaudessa. Kaikkea tietoa ei välttämättä ole järkevää säilyttää, eikä lokia tuottava laite välttämättä ole edes kykenevä siihen. Toisaalta liian vähäisellä lokien keräämisellä ei saada tarpeeksi suurta näkymää yrityksen laite- ja verkkoinfrastruktuurista tai tietoturvapoikkeamista.
Lokitietojen merkitys
- Lokista selviää, mitä, miksi, ja milloin jotakin tapahtui
- Lokista saadaan tietoa järjestelmän toiminnasta ja tehdyistä muutoksista
- Lokien avulla tietovirtoja pystytään seuraamaan
- Lokista saatavat virhelokit ovat keskeisiä vianselvityksessä
- Lokien avulla käyttäjien toimintaa ja pääsyä pystytään valvomaan ja hallinnoimaan
- Lokien avulla ohjelman käyttötapoja voidaan tarkkailla ja optimoida
Lokienhallinta
Keskitetty lokienhallinta
Lokienhallinta on prosessi lokien luomiselle, kuljettamiselle, säilyttämiselle, analysoimiselle ja poistamiselle. Lokienhallintaa tarvitaan, jos järjestelmä tuottaa jonkinlaista lokia. Sama periaate pätee kaikenkokoisissa organisaatioissa, oli kyseessä yhtä palvelinta tai kymmeniä tuhansia palvelimia hallinnoiva organisaatio.
Lokienhallintaa tarvitaan nykypäivänä enemmän lisääntyvien palvelimien, työasemien ja muiden verkkolaitteiden myötä, joka taas itsessään lisää yritysten tietoturvariskejä ja uhkia lisäämällä tietoturvahyökkäyksien hyökkäyspinta-alaa. Tästä on syntynyt tarve keskitetylle lokienhallinnalle, jonka avulla voidaan analysoida eri lähteistä syntyneitä lokeja yhdestä paikasta. Koostetusta tiedosta muodostetaan tapahtumia, jotka kertovat lokien käsittelijälle, mitä verkossa tapahtuu tai on jo tapahtunut.
Lokienhallinta on hyödyksi yritykselle monesta eri näkökulmasta. Rutiininomainen lokien katselmointi ja analysointi auttavat tietoturvapoikkeamien tunnistamista, käytänteiden laiminlyönnin tai vilpillisen toiminnan havaitsemista tai muiden järjestelmän ongelmien löytämistä. Lokienhallinnan avulla lainsäädännölliset aspektit kuten sähköisen viestinnän välitystiedot, GDPR ja henkilöihin kohdistuva valvonta pysysvät ajantasalla ja hallinnassa. Lisäksi eri järjestelmien käyttöoikeudet pystytään määrittelemään tarpeellisuusvaatimuksen mukaan eli tietotarpeen perusteella. Lokienhallinan avulla ICT-kokonaisuuden eri komponentit ovat vuorovaikutuksessa keskenään.
Keskitetty lokienhallinta on järjestelmä, joka yhdistää kaikki verkkojen, infrastruktuurin ja sovellusten lokitiedot yhteen paikkaan tallennusta ja analysointia varten. Toisin sanoin keskitetyllä lokienhallinnalla saa yhden näkymän koko IT-ympäristön tapahtumavirtaan. Tämän avulla voidaan automaattisesti reagoida erilaisiin häiriö- ja vikatilanteisiin, nopeuttaa vikojen ja tietoturvahäiriöiden selvitystä sekä saada uutta tietoa, jonka avulla voidaan kehittää esimerkiksi käyttäjäkokemuksia ja palveluita. Myös asiantuntijoiden manuaalinen työ vähenee, kun lokeja ei tarvitse hakea useista eri järjestelmistä. Näin ollen keskitettyjen lokitietojen avulla ympäristöä saadaan siis kehitettyä entistä vikasietoisemmaksi ja tehokkaammaksi.
Keskitetty lokienhallintaratkaisu on suunniteltu lokien turvalliseen säilyttämiseen ja käyttöoikeudet on helppo määrittää roolipohjaisesti. Lisäksi järjestelmälle voidaan määrittää omat käyttäjät, jolloin vältytään tilanteelta jossa valvottavat valvovat itseään. Kolmas keskitetyn lokijärjestelmän etu on lokien tallennuspaikassa. Kun lokit tallennetaan sitä tarkoitusta varten toteutettuun järjestelmään ei niitä tarvitse säilyttää liiketoiminnan tuotantopalvelimilla kuluttamassa niiden kapasiteettia.
Kun keskitettyyn lokienhallintaan kerätään tietoa koko ympäristöstä, voidaan käyttöönottaa SIEM-työkalu, joka analysoi sisäänotettua dataa reaaliaikaisesti ja ilmoittaa onko ympäristössä mahdollisesti jotain epäilyttävää toimintaa tietoturvaan liittyen.
SIEM
SIEM on termi, joka koostuu kahden erillisen ja toisiaan täydentävien teknologioiden kokonaisuudesta: Security event management (SEM) ja Security information 20 management (SIM). Nämä teknologiat muodostavat nykypäivänä tunnetun Security Information and Event Management (SIEM) -järjestelmän.
SIEM-järjestelmä yhdistää tapahtumat, uhkat ja riskit yhteen järjestelmään, jonka avulla voidaan parantaa tietoturvatapahtumien havainnointi- ja reaktiokykyä. Sen avulla saadaan nostettua niin tietojärjestelmien puolustustasoa kuin tietoturvatilannekuvaa paremmaksi. SIEM-järjestelmän yksi tärkeimpiä kykyjä on huomata uhka organisaation tietoverkossa tai tietojärjestelmissä.
Magic Cloudin lokienhallintaratkaisu
Magic Cloudin ylläpitämä ympäristö sijaitsee vikasietoisessa konesalissa ja lokienhallinnassa noudatetaan organisaation lokien säilytyskäytäntöjä. Varmuuskopioita säilytetään aina kahdessa fyysisesti erillään olevassa paikassa. Palvelimille asennetut agentit siirtävät lokit keskitettyyn järjestelemään, jossa agentteja hallinnoidaan ja päivitetään keskitetysti. Huolehdimme, että lainsäädännölliset velvoitteet täyttyvät ja pääsynhallinta lokitietoihinne on järjestetty asianmukaisesti
Asiantuntijamme auttavat asiakasta käyttöönotossa, käytössä sekä tarvittaessa lokitietojen analysoinnissa. Lisäksi asiakkaalla on asiakaskohtainen näkymä ja pääsynhallinta, joka mahdollistaa omien näkymien rakentamisen.
