Revision och efterlevnad

Hitta en ändring i loggen och se vem som gjorde den och vad som ändrades.

Det här behöver ni

En inloggning till appliancen. Viewer kan läsa loggen, se Användare och inloggning.
En tidpunkt, ett användarnamn eller ett objekt att undersöka.

Hitta ändringen

Öppna Appliance › Logg › Aktivitet.
Avgränsa med användare, åtgärd, objekt eller Från och Till och klicka på Filtrera.
Öppna raden. Se åtgärden, användaren och fältens värden före och efter.

Kontrollera att det fungerar

Raden visar den åtgärd och det objekt ni söker. De utfällda uppgifterna visar IP-adress och ändrade fält. Lösenord och privata nycklar skrivs inte i loggen.

Om det inte fungerar

Listan är tom → utöka tidsintervallet och ta bort filter. Händelsen kan också ha raderats efter licensens lagringsperiod.
Export är inte tillgänglig → använd minst Operator och Professional eller Enterprise, se Exportera loggen.
Utan hash → raden ingår inte i hashkedjan. Behandla den inte som kedjeverifierad.
Syslog-testet misslyckas → läs felet på sidan. Det säger om namnet inte finns, servern inte svarar eller certifikatet inte kunde godkännas.
Certifikatet kunde inte godkännas → klistra in CA-certifikatet från er egen CA under CA-certifikat, och kontrollera att Värd är namnet som serverns certifikat är utfärdat till.
Testet säger skickat men mottagaren har inget → kontrollera mottagarens port, protokoll och brandvägg. Ett skickat UDP-anrop bekräftar inte mottagning.
Kedjekontrollen säger att en hash inte stämmer med sslbrain Cloud → se Kedjans hash i sslbrain Cloud.
NIS2-paketet säger ofullständigt → loggen före ett datum har raderats efter licensens lagringsperiod, eller appliancen kunde inte jämföra med kedjans hash i sslbrain Cloud. Orsaken står på första sidan i explanation.pdf och i audit-chain-check.json.
sha256sum -c skriver FAILED → filen har ändrats efter att appliancen skapade paketet. Skapa ett nytt paket, se Hämta NIS2-paketet.

Skicka loggen till er SIEM

Appliancen skickar varje rad i revisionsloggen till er SIEM eller loggserver med syslog när den skrivs. Det kräver Professional eller Enterprise och en administratörsinloggning. På Basic visar sidan att det ingår i Professional.

Öppna Appliance › Logg › Vidarebefordran och aktivera Syslog-vidarebefordran.
Fyll i Värd och Port. Välj TLS (RFC 5425) som Protokoll; standardporten är 6514.
Använder servern ett certifikat från er egen CA, klistra in CA-certifikatet under CA-certifikat. Ett certifikat från en publik CA godkänns utan.
Klicka på Spara och sedan Skicka testmeddelande.

Kontrollera att servern tar emot sslbrain syslog test message. Sidan visar sedan den senast skickade raden och tidpunkten.

Varje rad skickas som RFC 5424 med kedjenummer och hash i structured data, [sslbrain-audit@32473 chain="appliance" seq="…" hash="…" prev_hash="…"], så att er SIEM själv kan kontrollera att ingen rad saknas. Vidarebefordran börjar med de rader som skrivs efter att den har aktiverats.

Är servern nere väntar raderna på appliancen och skickas i ordning när anslutningen fungerar igen. Sidan visar felet så länge det varar. TCP och UDP är för insamlare utan TLS: båda är okrypterade, och med UDP kan rader försvinna utan besked.

Exportera loggen

Klicka på Exportera CSV eller Exportera JSON ovanför loggen. Det kräver Professional eller Enterprise och minst Operator. Filen heter audit-log-<datum>. CSV-kolumnernas rubriker är på danska.

Hämta NIS2-paketet

NIS2-paketet är en signerad ZIP-fil med er egen dokumentation till revisorn. Revisorn kan kontrollera den utan sslbrain. Det kräver Professional eller Enterprise och minst Operator. På Basic visar kortet att det ingår i Professional.

Öppna Appliance › Logg › Aktivitet och hitta kortet NIS2-paket.
Välj Från och Till och klicka på Skapa NIS2-paket.
Bekräfta er inloggning. Paketet innehåller användarnamn och IP-adresser.
Vänta medan kortet visar hur långt appliancen har kommit. En stor logg tar några minuter.
Klicka på Hämta NIS2-paketet. Bara den som skapade paketet kan hämta det. Appliancen raderar det efter ett dygn.

Fil	Innehåll
`explanation.pdf`	Förklaring till revisorn med hänvisning till NIS2 artikel 21, kommandot för kontroll och fingeravtrycket för appliancens nyckel
`audit-log.csv`, `audit-log.json`	Revisionsloggen för perioden med kedjenummer och hash för varje rad
`audit-chain-check.json`	Kontrollen av hashkedjan, körd när paketet skapades, och jämförelsen med kedjans hash i sslbrain Cloud
`certificates.csv`	Certifikaten på dagen: namn, CA, nyckeltyp och -storlek, utfärdat, går ut, och var de är installerade
`renewals-and-installations.csv`	Förnyelser och installationer under perioden, fel, och när ett fel löstes
`policies.json`	Policyer på dagen: användare och roller, inloggningskälla, export av privata nycklar, domänlås, skript per server, uppdateringssätt och vidarebefordran till SIEM
`versions.json`	Versioner av appliance, moduler och serviceagenter, och om deras signaturer är giltiga
`manifest.json`, `SHA256SUMS`, `SHA256SUMS.sig`, `installation-public-key.pem`	Innehållsförteckning, kontrollsummor, signatur och appliancens publika nyckel

Policyerna är som de var den dag paketet skapades. Ändringar under perioden står i revisionsloggen. Paketet innehåller inga privata nycklar, lösenord eller token.

Era egna dokument

Paketet innehåller också de dokument ni annars skriver själva, ifyllda med appliancens inställningar den dag paketet skapades. Varje dokument finns som PDF att läsa och som Word-fil eller kalkylblad ni redigerar. Ni fyller själva i ägare, godkännare och datum och ändrar det som är ert val. Ett värde som appliancen inte känner till står som okänt eller som ett tomt fält.

Fil	Dokument
`crypto-policy.pdf`, `crypto-policy.docx`	Kryptografipolicy och rutin för nycklar enligt genomförandeförordning (EU) 2024/2690, bilagans punkt 9: algoritmer, era profiler och certifikatkällor, och de 12 punkterna om nyckelhantering med vad sslbrain gör, er inställning och er uppgift
`risk-register.pdf`, `risk-register.xlsx`	Riskregister för certifikat: utgångna certifikat, komprometterad nyckel, en CA som förlorar förtroendet, felaktigt utfärdade certifikat, sslbrain Cloud nere, förlorad appliance och kopierad backup, med förslag på sannolikhet och konsekvens, kvarstående risk och fält för godkännande
`incident-procedure.pdf`, `incident-procedure.docx`	Incidentrutin för en komprometterad nyckel och en CA som förlorar förtroendet, och ett formulär med era tidsfrister enligt NIS2 artikel 23
`responsibilities.pdf`, `responsibilities.docx`	Ansvarsfördelning enligt NIS2 artikel 21.2 a till j, med era inställningar
`mapping.pdf`, `mapping.xlsx`	Hur artikel 21, förordningens bilaga och ISO/IEC 27001:2022 bilaga A hänger ihop
`effectiveness.pdf`, `effectiveness.docx`	När återställning och leverans av varningar senast testades, om appliancen vet det, annars ett fält för ert datum

Förordning 2024/2690 gäller bara verksamheterna i dess artikel 1, till exempel leverantörer av moln- och DNS-tjänster, datacentraler och leverantörer av hanterade tjänster. För andra är den en bra referens. Dokumenten är stöd för ert NIS2-arbete, inte juridisk rådgivning. Varje dokument har ett versionsnummer i manifest.json och omfattas av signaturen.

Kontrollera paketet

Packa upp ZIP-filen och kör kommandot i mappen. Det fungerar i Linux och Git Bash på Windows. På macOS skriver ni shasum -a 256 -c i stället för sha256sum -c.

openssl dgst -sha384 -verify installation-public-key.pem -signature SHA256SUMS.sig SHA256SUMS && sha256sum -c SHA256SUMS

Kommandot skriver Verified OK och OK för varje fil. Har en fil ändrats skriver det FAILED. En fil som inte står i SHA256SUMS hör inte till paketet. En äldre installation med en P-256-nyckel använder -sha256; första sidan i explanation.pdf visar alltid rätt kommando.

Kontrollera sedan att nyckeln är appliancens:

openssl pkey -pubin -in installation-public-key.pem -outform DER | sha256sum

Fingeravtrycket ska vara detsamma som Identitetsnyckel (SHA-256) på installationens sida i sslbrain Cloud och på första sidan i explanation.pdf.

Signaturen bevisar att filerna är oförändrade sedan appliancen skapade dem. Den bevisar inte att appliancen var oskadd när den skapade dem.

Så hänger loggens rader ihop

Varje rad har en hash av sitt innehåll och föregående rads hash. Kedjad betyder att raden ingår i kedjan; Utan hash betyder att den inte gör det.

Appliancen kontrollerar kedjan varje natt efter ändrade, raderade och infogade rader. Resultatet skrivs i loggen och visas på kortet Kedjekontroll under Appliance › Logg › Aktivitet.

En logg som någon med åtkomst till databasfilen har skrivit om helt hänger ihop igen. Den upptäcks med kedjans hash i sslbrain Cloud eller i er SIEM.

Kedjans hash i sslbrain Cloud

På Professional och Enterprise skickar appliancen varje timme kedjenummer och hash för den senaste raden till sslbrain Cloud (EU). Cloud sparar dem med tidpunkten de kom. Bara nummer och hashar skickas, inget av loggens innehåll.

Rapporterar appliancen en annan hash för ett nummer som Cloud har, eller ett lägre nummer än tidigare, får kontots mottagare av säkerhetsvarningar ett mejl. En återställning från backup under Backuper rapporterar appliancen själv, och den ger inget mejl.
Den nattliga kedjekontrollen jämför appliancens rader med hasharna i Cloud och skriver resultatet i loggen.
Till en revisor: öppna installationen i sslbrain Cloud, fliken Revisionslogg-hash, och hämta listan som CSV eller JSON. Exportera loggen från appliancen. Raden med samma nummer ska ha samma hash.

Cloud sparar hasharna lika länge som licensens logg i sslbrain Cloud, se tabellen nedan.

Så länge sparas loggen

Licens	På appliancen	I sslbrain Cloud (EU)
Free	30 dagar	7 dagar
Basic	90 dagar	90 dagar
Professional	730 dagar	365 dagar
Enterprise	2555 dagar	1095 dagar

Kortet Granskningslogg under Appliance › Licens och status › Status visar perioden på appliancen. Vid en kortare period väntar appliancen 30 dagar före radering och visar datumet.

Hitta inspelningen av en konsolsession

Ett root-shell från den virtuella appliancens konsol kräver ett svar från sslbrain Cloud och spelas in. Cloud loggar vem som hämtade svaret och tar emot inspelningen. Inspelningen finns också på maskinen. Välj 9 Danger zone och 3 View recorded shell sessions för de senaste 10 sessionerna, se Konsolmeny.

Se vem som kan hämta privata nycklar

En Owner bestämmer det under Appliance › Användare och inloggning › Inloggning och sessioner › Export av privata nycklar. Hämtningar skrivs i loggen, se Export av privata nycklar.

Begränsa vem som får utfärda för domänen

CAA är en DNS-post som anger vilka CA:er som får utfärda certifikat för domänen. Använd CAA-generatorn under Certifikat › Verktyg, se Verktyg. Kontots domängräns beskrivs under Policy och revision.

Se vad appliancen gör automatiskt

Appliance › Licens och status › Driftläge visar automatiken. Ändringar görs under Uppdateringar och skrivs i revisionsloggen. Förnyelse körs alltid; installationsplanens Installera vid förnyelse avgör om certifikatet installeras automatiskt.