V7.3.3 Log Protection

Requirement:

Verify that security logs are protected from unauthorized access and modification.

Explanation:

Чтобы обеспечить целостность и конфиденциальность журналов безопасности, важно защитить их от несанкционированного доступа и модификации. Это означает, что доступ к журналам должен иметь только уполномоченный персонал, а любые изменения или модификации журналов должны быть запрещены.

Требование подчеркивает важность защиты журналов безопасности, поскольку они содержат конфиденциальную информацию, которая может быть использована для нарушения безопасности приложения и его пользователей. Обеспечив защиту журналов безопасности от несанкционированного доступа и запрет модификации, разработчики могут повысить безопасность приложения и выполнить требования соответствия.

Remediation:

Механизмы ведения журнала и собранные данные о событиях должны быть защищены от неправильного использования, такого как подделка при передаче, несанкционированный доступ, изменение и удаление после хранения. Собранная информация в журналах может сама по себе иметь деловую ценность, например, позволяющая оценивать доходы или предоставляя информацию о производительности сотрудников. Эти данные могут храниться на конечных устройствах, в промежуточных точках, в централизованных репозиториях, а также в архивах и резервных копиях.

Необходимо:

• Встроенный механизм обнаружения несанкционированного доступа, чтобы было известно, была ли запись изменена или удалена.
• Сохранение или копирование данных журнала на носитель, доступный только для чтения.
• Регистрация и контроль всего доступа к журналам (потенциально с предварительным одобрением).
• Ограничить и периодически пересматривать привилегии на чтение данных журнала.
• Если данные журнала отправляются по ненадежным сетям (например, для сбора, отправки в другое место, анализа, отчетности) - использовать безопасный протокол передачи.

Additional:

https://owasp.org/www-project-proactive-controls/#div-numbering

OWASP Logging

CWE - CWE-200: Раскрытие конфиденциальной информации неавторизованному субъекту (4.9) (mitre.org)