Unveränderliches Audit-Log
Ein unveränderliches Audit-Log ist eine nur anfügbare Aufzeichnung von Systemereignissen, bei der jeder Eintrag kryptografisch mit dem vorherigen verknüpft ist, sodass kein Eintrag bearbeitet oder gelöscht werden kann, ohne die Kette zu brechen. Es liefert manipulationssicheren Nachweis darüber, wer was wann in der Geschichte eines Systems getan hat.
Ein unveränderliches Audit-Log funktioniert durch Hash-Verkettung: Jedes Mal, wenn ein Eintrag geschrieben wird - eine Anmeldung, eine Berechtigungsänderung, das Löschen einer Ressource - berechnet das System einen kryptografischen Fingerabdruck des Inhalts dieses Eintrags zusammen mit dem Fingerabdruck des unmittelbar vorangegangenen Eintrags. Dieser kombinierte Fingerabdruck wird mit dem neuen Eintrag gespeichert, was bedeutet, dass der nächste geschriebene Eintrag wiederum dagegen gehasht wird. Das Ergebnis ist eine Kette von Einträgen, von denen jeder mathematisch von allem abhängt, was ihm vorausging, zurück bis zum allerersten Eintrag im Log. Kein Eintrag existiert isoliert; seine Gültigkeit lässt sich nur im Kontext der gesamten Sequenz belegen.
Das unterscheidet ein unveränderliches Audit-Log von einem gewöhnlichen. Eine herkömmliche Logdatei oder Datenbanktabelle kann meist von jedem mit ausreichendem Schreibzugriff bearbeitet oder gelöscht werden - wer diesen Zugriff hat, zu begrenzen, ist eine Richtlinie, und Richtlinien können falsch konfiguriert, umgangen oder von innen außer Kraft gesetzt werden. Hash-Verkettung ändert, was Manipulation erfordert: Das Ändern oder Löschen eines alten Eintrags macht den Fingerabdruck jedes danach geschriebenen Eintrags ungültig, sodass das Verschleiern der Änderung bedeutet, die gesamte restliche Kette neu zu berechnen, statt eine einzelne Zeile isoliert zu bearbeiten. Das ist für jemanden mit uneingeschränktem Zugriff auf den Rohspeicher immer noch möglich, weshalb unveränderliche Logs Hash-Verkettung mit einer Möglichkeit kombinieren, die Kette gegen eine Referenz zu prüfen, die der Manipulierende nicht kontrolliert - eine exportierte Kopie, ein periodischer Prüfpunkt, oder ein Speicher, der ein Überschreiben oder Löschen schlicht verweigert. So oder so verschiebt sich die Frage von „wem vertrauen wir" zu „geht die Kette noch auf?"
Warum es wichtig ist
Audit-Logs existieren, um unter Druck eine Frage zu beantworten: Wer hat das getan, und wann. Das ist die Frage, die ein Sicherheitsteam bei der Vorfallsreaktion stellt, ein Regulator bei einer Compliance-Prüfung, und ein Gericht bei einem Rechtsstreit. Ein gewöhnliches Log beantwortet sie nur so lange, wie niemand einen Grund hatte, es zu verändern - und in dem Moment, in dem ein Angreifer Schreibzugriff auf ein System erlangt, ist das Log seiner eigenen Aktionen meist das Erste, was er verändert oder löscht. Ein hash-verkettetes Log macht das sauber durchzuziehen schwerer: Das Löschen eines vergangenen Eintrags bedeutet, jeden nachfolgenden Fingerabdruck neu zu berechnen, und das Ergebnis muss immer noch mit einer Referenz übereinstimmen, die der Angreifer nicht kontrolliert, sodass die Manipulation auffällt, sobald jemand nachprüft. Genau diese Eigenschaft macht aus einem Log einen Nachweis statt nur einer Annehmlichkeit.
Wie Sencai hilft
Sencai führt ein nur anfügbares, hash-verkettetes Audit-Log jeder Aktion über alle verbundenen Cloud-Konten und jeden per Fleet verwalteten Server hinweg - Provisioning, Konfigurationsänderungen, Zugriffsänderungen, alles. Weil die Kette lückenlos ist, wird die Beantwortung von „wer hat das wann geändert" zu einer Abfrage gegen das Log statt zu einem Rekonstruktionsprojekt. Sencai hält keine ISO-27001- oder SOC-2-Zertifizierung und sagt das offen; stattdessen liefert es einer Sicherheits- oder Compliance-Prüfung die zugrunde liegenden Nachweise, einschließlich eines exportierbaren Audit-Trails, was oft näher an dem liegt, was eine solche Prüfung tatsächlich verlangt, als ein Zertifikat.
Sicherheit und Compliance erkunden →