Revision og compliance

Find en ændring i loggen, og se, hvem der udførte den, og hvad der blev ændret.

Det skal I bruge

Et login til appliancen. Viewer kan læse loggen, se Brugere og login.
Et tidspunkt, brugernavn eller objekt, I vil undersøge.

Find ændringen

Åbn Appliance › Log › Aktivitet.
Afgræns med bruger, handling, objekt eller Fra og Til, og klik på Filtrer.
Åbn rækken. Se handlingen, brugeren og felternes værdi før og efter.

Kontrollér, at det virker

Rækken viser den handling og det objekt, I leder efter. De udfoldede oplysninger viser IP-adresse og ændrede felter. Adgangskoder og private nøgler skrives ikke i loggen.

Hvis det fejler

Listen er tom → udvid tidsrummet, og fjern filtre. Hændelsen kan også være slettet efter licensens opbevaringsperiode.
Eksport er ikke tilgængelig → brug mindst Operator og Professional eller Enterprise, se Eksportér loggen.
Uden hash → rækken indgår ikke i hash-kæden. Behandl den ikke som kædeverificeret.
Syslog-testen fejler → læs fejlen på siden. Den siger, om navnet ikke findes, serveren ikke svarer, eller certifikatet ikke kunne godkendes.
Certifikatet kunne ikke godkendes → indsæt CA-certifikatet fra jeres egen CA under CA-certifikat, og kontrollér, at Host er det navn, serverens certifikat er udstedt til.
Testen siger sendt, men modtageren har intet → kontrollér modtagerens port, protokol og firewall. Et afsendt UDP-kald bekræfter ikke modtagelse.
Kædekontrollen siger, at en hash ikke passer med sslbrain Cloud → se Kædens hash i sslbrain Cloud.
NIS2-pakken siger ufuldstændig → loggen før en dato er slettet efter licensens opbevaringsperiode, eller appliancen kunne ikke sammenligne med kædens hash i sslbrain Cloud. Årsagen står på første side af explanation.pdf og i audit-chain-check.json.
sha256sum -c skriver FAILED → filen er ændret, efter appliancen lavede pakken. Lav en ny pakke, se Hent NIS2-pakken.

Send loggen til jeres SIEM

Appliancen sender hver række i revisionsloggen til jeres SIEM eller logserver med syslog, mens den skrives. Det kræver Professional eller Enterprise og et administratorlogin. På Basic viser siden, at det følger med Professional.

Åbn Appliance › Log › Videresend, og slå Syslog-videresendelse til.
Udfyld Host og Port. Vælg TLS (RFC 5425) som Protokol; standardporten er 6514.
Bruger serveren et certifikat fra jeres egen CA, så indsæt CA-certifikatet under CA-certifikat. Et certifikat fra en offentlig CA godkendes uden.
Klik på Gem og derefter Send testbesked.

Kontrollér, at serveren modtager sslbrain syslog test message. Siden viser derefter den senest sendte række og tidspunktet.

Hver række sendes som RFC 5424 med kædenummer og hash i structured data, [sslbrain-audit@32473 chain="appliance" seq="…" hash="…" prev_hash="…"], så SIEM’en selv kan kontrollere, at ingen række mangler. Videresendelsen starter med de rækker, der skrives, efter den er slået til.

Er serveren nede, venter rækkerne på appliancen og sendes i rækkefølge, når forbindelsen virker igen. Siden viser fejlen, så længe den varer. TCP og UDP er til samlere uden TLS: begge er ukrypterede, og med UDP kan rækker gå tabt uden besked.

Eksportér loggen

Klik på Eksporter CSV eller Eksporter JSON over loggen. Det kræver Professional eller Enterprise og mindst Operator. Filen hedder audit-log-<dato>. CSV-kolonnernes overskrifter er på dansk.

Hent NIS2-pakken

NIS2-pakken er én signeret ZIP-fil med jeres egen dokumentation til revisor. Revisor kan efterprøve den uden sslbrain. Den kræver Professional eller Enterprise og mindst Operator. På Basic viser kortet, at den følger med Professional.

Åbn Appliance › Log › Aktivitet, og find kortet NIS2-pakke.
Vælg Fra og Til, og klik på Lav NIS2-pakke.
Bekræft jeres login. Pakken indeholder brugernavne og IP-adresser.
Vent, mens kortet viser, hvor langt appliancen er. En stor log tager nogle minutter.
Klik på Hent NIS2-pakken. Kun den, der lavede pakken, kan hente den. Appliancen sletter den efter et døgn.

Fil	Indhold
`explanation.pdf`	Forklaring til revisor med henvisning til NIS2 artikel 21, kommandoen til efterprøvning og fingeraftrykket for appliancens nøgle
`audit-log.csv`, `audit-log.json`	Revisionsloggen for tidsrummet med kædenummer og hash for hver række
`audit-chain-check.json`	Kontrollen af hash-kæden, kørt da pakken blev lavet, og sammenligningen med kædens hash i sslbrain Cloud
`certificates.csv`	Certifikaterne på dagen: navne, CA, nøgletype og -størrelse, udstedt, udløber, og hvor de er installeret
`renewals-and-installations.csv`	Fornyelser og installationer i tidsrummet, fejl, og hvornår en fejl blev løst
`policies.json`	Politikker på dagen: brugere og roller, login-kilde, eksport af private nøgler, domænelås, scripts pr. server, opdateringsform og videresendelse til SIEM
`versions.json`	Versioner af appliance, moduler og service-agenter, og om deres signaturer er gyldige
`manifest.json`, `SHA256SUMS`, `SHA256SUMS.sig`, `installation-public-key.pem`	Indholdsfortegnelse, kontrolsummer, signatur og appliancens offentlige nøgle

Politikkerne er, som de var den dag, pakken blev lavet. Ændringer i tidsrummet står i revisionsloggen. Pakken indeholder ingen private nøgler, adgangskoder eller tokens.

Jeres egne dokumenter

Pakken indeholder også de dokumenter, I ellers selv skal skrive, udfyldt med appliancens indstillinger den dag, pakken blev lavet. Hvert dokument kommer som PDF til læsning og som Word eller regneark, I retter i. I udfylder selv ejer, godkender og datoer, og retter det, der er jeres valg. En værdi, appliancen ikke kender, står som ukendt eller som et tomt felt.

Fil	Dokument
`crypto-policy.pdf`, `crypto-policy.docx`	Kryptografipolitik og procedure for nøgler efter gennemførelsesforordning (EU) 2024/2690, bilagets punkt 9: algoritmer, jeres profiler og certifikatkilder, og de 12 punkter om nøglehåndtering med det, sslbrain gør, jeres indstilling og jeres opgave
`risk-register.pdf`, `risk-register.xlsx`	Risikoark for certifikater: udløb, kompromitteret nøgle, en CA mister tilliden, fejludstedelse, sslbrain Cloud nede, appliance tabt og backup kopieret, med forslag til sandsynlighed og konsekvens, rest-risiko og felter til accept
`incident-procedure.pdf`, `incident-procedure.docx`	Hændelsesprocedure for en kompromitteret nøgle og en CA, der mister tilliden, og et skema med jeres frister efter NIS2 artikel 23
`responsibilities.pdf`, `responsibilities.docx`	Opdeling af ansvar efter NIS2 artikel 21, stk. 2, litra a til j, med jeres indstillinger
`mapping.pdf`, `mapping.xlsx`	Sammenhængen mellem artikel 21, forordningens bilag og ISO/IEC 27001:2022, bilag A
`effectiveness.pdf`, `effectiveness.docx`	Hvornår gendannelse og levering af advarsler sidst blev afprøvet, hvis appliancen ved det, ellers et felt til jeres dato

Forordning 2024/2690 binder kun virksomhederne i dens artikel 1, fx udbydere af cloud- og DNS-tjenester, datacentre og administrerede tjenester. For andre er den en god reference. Dokumenterne er støtte til jeres NIS2-arbejde, ikke juridisk rådgivning. Hvert dokument har et versionsnummer i manifest.json og er omfattet af signaturen.

Efterprøv pakken

Pak ZIP-filen ud, og kør kommandoen i mappen. Den virker i Linux og Git Bash på Windows. På macOS skriver I shasum -a 256 -c i stedet for sha256sum -c.

openssl dgst -sha384 -verify installation-public-key.pem -signature SHA256SUMS.sig SHA256SUMS && sha256sum -c SHA256SUMS

Kommandoen skriver Verified OK og OK ud for hver fil. Er en fil ændret, skriver den FAILED. En fil, der ikke står i SHA256SUMS, hører ikke til pakken. En ældre installation med en P-256-nøgle bruger -sha256; første side af explanation.pdf viser altid den rigtige kommando.

Kontrollér derefter, at nøglen er appliancens:

openssl pkey -pubin -in installation-public-key.pem -outform DER | sha256sum

Fingeraftrykket skal være det samme som Identitetsnøgle (SHA-256) på installationens side i sslbrain Cloud og på første side af explanation.pdf.

Signaturen beviser, at filerne er uændrede, siden appliancen lavede dem. Den beviser ikke, at appliancen var uskadt, da den lavede dem.

Sådan hænger loggens rækker sammen

Hver række har en hash af sit indhold og den forrige rækkes hash. Kædet betyder, at rækken indgår i kæden; Uden hash betyder, at den ikke gør.

Appliancen kontrollerer kæden hver nat for ændrede, slettede og indsatte rækker. Resultatet står i loggen og på kortet Kædekontrol under Appliance › Log › Aktivitet.

En log, som nogen med adgang til databasefilen har skrevet helt om, hænger sammen igen. Den opdages med kædens hash i sslbrain Cloud eller i jeres SIEM.

Kædens hash i sslbrain Cloud

På Professional og Enterprise sender appliancen hver time kædenummer og hash for den seneste række til sslbrain Cloud (EU). Cloud gemmer dem med tidspunktet, de kom. Der sendes kun numre og hashes, intet fra loggens indhold.

Melder appliancen en anden hash for et nummer, Cloud har, eller et lavere nummer end før, får kontoens modtagere af sikkerhedsadvarsler en mail. En gendannelse fra backup under Backups melder appliancen selv, og den giver ingen mail.
Den natlige kædekontrol sammenligner appliancens rækker med hashes i Cloud og skriver resultatet i loggen.
Til en revisor: åbn installationen i sslbrain Cloud, fanen Revisionslog-hash, og hent listen som CSV eller JSON. Eksportér loggen fra appliancen. Rækken med samme nummer skal have samme hash.

Cloud gemmer hashes lige så længe som licensens log i sslbrain Cloud, se tabellen herunder.

Så længe gemmes loggen

Licens	På appliancen	I sslbrain Cloud (EU)
Free	30 dage	7 dage
Basic	90 dage	90 dage
Professional	730 dage	365 dage
Enterprise	2555 dage	1095 dage

Kortet Audit log under Appliance › Licens og status › Status viser perioden på appliancen. Ved en kortere periode venter appliancen 30 dage før sletning og viser datoen.

Find optagelsen af en konsolsession

En root-shell fra den virtuelle appliances konsol kræver et svar fra sslbrain Cloud og optages. Cloud logger, hvem der hentede svaret, og modtager optagelsen. Optagelsen ligger også på maskinen. Vælg 9 Danger zone og 3 View recorded shell sessions for de seneste 10 sessioner, se Konsolmenu.

Se, hvem der kan hente private nøgler

En Owner bestemmer det under Appliance › Brugere og login › Login og sessioner › Eksport af private nøgler. Hentninger skrives i loggen, se Eksport af private nøgler.

Begræns, hvem der kan udstede til domænet

CAA er en DNS-record, der siger, hvilke CA’er der må udstede certifikater til domænet. Brug CAA-generatoren under Certifikater › Værktøjer, se Værktøjer. Kontoens domænegrænse er beskrevet under Politik og revision.

Se, hvad appliancen gør af sig selv

Appliance › Licens og status › Driftsform viser automatikken. Ændringer foretages under Opdateringer og skrives i revisionsloggen. Fornyelse kører altid; installationsplanens Installér ved fornyelse afgør, om certifikatet installeres automatisk.