V7.1.3 Log Content

Requirement:

Verify that the application logs security relevant events including successful and failed authentication events, access control failures, deserialization failures and input validation failures. (C5, C7)

Explanation:

Для проверки соответствия этому требованию приложение должно быть тщательно изучено с целью выявления всех событий, имеющих отношение к безопасности. Приложение также должно быть проверено на предмет регистрации всех таких событий, включая успешные и неудачные попытки аутентификации, сбои контроля доступа, сбои десериализации, сбои проверки ввода и любые другие события, имеющие отношение к безопасности.

После выявления всех событий, имеющих отношение к безопасности, приложение должно быть проверено на предмет их надлежащего протоколирования. Журналы должны быть достаточно подробными, чтобы обеспечить эффективный мониторинг и анализ потенциальных угроз или проблем безопасности. Кроме того, журналы должны быть защищены от несанкционированного доступа, модификации или удаления.

Удачные/неудачные попытки аутентификации следует логировать с целью, например, предоствращения атак типа brute-force.

Неправильная проверка ввода может использоваться для эксплуатации уязвимостей приложения. К таким относится, например:

• Переполнение буфера
• Cross-site scripting
• SQL-injection

В рейтинге критических рисков веб-приложений OWASP Top Ten на восьмой позиции расположены недостатки десериализации недоверенных данных. Эта уязвимость имеет идентификатор CWE-502 и заключается в том, что приложение десериализует данные из недоверенного источника без достаточной их валидации. В результате атаки на механизмы десериализации злоумышленник нередко получает возможность удаленно исполнять команды в скомпрометированной системе. 

Remediation:

• Используйте централизованный механизм ведения журнала, поддерживающий несколько уровней детализации.
• Убедитесь, что все успехи и сбои, связанные с безопасностью, могут быть зарегистрированы.
• Убедитесь, что уровень ведения журнала задан соответствующим образом в рабочей среде. Необходимо регистрировать достаточно данных, чтобы системные администраторы могли обнаруживать атаки, диагностировать ошибки и восстанавливаться после атак. В то же время регистрация слишком большого количества данных (CWE-779) может вызвать те же проблемы.

Additional:

CWE-778: Insufficient Logging

OWASP Logging