A09:2025 — Security Logging and Alerting Failures؛ وقتی حمله اتفاق می‌افتد و کسی متوجه نمی‌شود
چرا نبود لاگ و هشدار کافی، میانگین زمان کشف یک نفوذ را از چند ساعت به چند ماه می‌رساند.
این دسته درباره‌ی *پس از* وقوع یک تلاش حمله است: اگر رویدادهای حساس (لاگین‌های ناموفق متعدد، تغییر سطح دسترسی، دسترسی به داده‌ی حجیم) لاگ نشوند یا هیچ سیستم هشداری روی آن‌ها فعال نباشد، یک نفوذ می‌تواند ماه‌ها بدون کشف ادامه یابد.
آمار نگران‌کننده
در بسیاری از گزارش‌های صنعتی، میانگین زمان کشف یک نفوذ (Mean Time to Detect) در سازمان‌های بدون مانیتورینگ مناسب، به چند ماه می‌رسد — زمانی که مهاجم کاملاً آزادانه در شبکه حرکت می‌کند.
چه چیزی باید لاگ شود
- تلاش‌های ورود ناموفق متوالی (نشانه‌ی brute force)
- تغییرات سطح دسترسی و نقش کاربران
- دسترسی‌های غیرعادی به حجم زیادی از داده (نشانه‌ی احتمالی استخراج داده)
نکته‌ی مهم: خودِ لاگ‌ها باید ایمن نگه‌داری شوند؛ مهاجمی که به سرور دسترسی دارد معمولاً اولین کاری که می‌کند حذف یا دستکاری لاگ‌هاست.