對於業務線應用程序進行哪些安全事件審計？

Question

我已經審覈授權成功，失敗和註銷。

我已經考慮審計（日誌記錄）每一個方法調用，並保持每一行的修改版本，但這兩個選項都會大大增加審計的複雜性。審計一個隨機子集看起來太過隨機。

法律規範（FISMA，C & A）只是說一些事情需要審計。

是否有任何其他非域特定的審計策略我忘了？

Answer 1

考慮到審計是經常約問責你不妨登錄可能有助於如果有人/有什麼需要交代任何情況下這些行動 ..

1. 維修的客戶記錄
配置的變更
3. 數據
的刪除

將這些內容中的一部分保留爲版本是一個好主意，以便您可以回滾對重要數據的更改。首先添加「誰改變」是非常簡單的。

除非有人可以直接訪問數據庫，否則任何影響數據庫的事件的應用程序日誌記錄都會經常發生變化......比如變更多個表的事務......可能就足夠了。只要您可以將可審計的邏輯操作鏈接到一個邏輯責任單位，無論它影響哪個子系統，您都應該能夠追蹤責任。

您不應直接記錄方法調用和數據庫更改，而是導致這些調用和更改的業務邏輯以及誰使用該邏輯。一些少量的後端代碼將調用/表更改和某些審覈消息之間的因果關係鏈接起來也是有益的（如果有資源）。

將您的應用程序的審覈元素視爲事件樹。根目錄就是你的日誌，例如'Dave刪除了客戶記錄2938'。任何根目錄的孩子可以登錄，如果將它作爲審計事件的一部分記錄很重要，則可以將其綁定到根目錄。例如，您可以斷言，某些審計事件'Dave刪除...'與某些結算信息綁定，並且作爲約束條件的一部分或某事

但我不是專家。

Answer 2

我同意很多Aiden所說的，但我堅信審計應該在數據庫級別。使用動態sql訪問的數據庫太多，因此權限位於表級別（至少在SQL Server中）。因此，進行欺詐的人可以繞過所有規則在數據庫中輸入刪除或更改數據。在一個設計良好的系統中，只有幾個人（dba和備份）有權改變審計觸發器，因此如果他們更改了無權更改的數據，大多數人可能會被捕。通過應用審覈將永遠不會吸引這些人。當然，如果dbas選擇這樣做，幾乎沒有辦法防止dbas進行欺詐，但是某個人必須對數據庫擁有管理權限，因此在選擇這些人時必須格外小心。

我們審計數據庫中大多數表上的所有數據更改，所有插入和所有刪除操作。這樣可以輕鬆退出變更以及提供審計線索。根據數據庫存儲的內容，您可能不需要這樣做。但是我會審覈每筆金融交易，每筆人事交易以及與訂單，倉儲或其他任何可能會受到犯罪活動有關的交易。

如果你真的想知道什麼是絕對必須審計的，請與正在審計你的人談談，詢問他們想看什麼。