A09:2025 – Eșecuri de Jurnalizare și Alertare a Securității
Security Logging & Alerting Failures
Eșecurile de jurnalizare și monitorizare a securității se referă la lipsa sau insuficiența mecanismelor de jurnalizare, detectare, monitorizare și răspuns activ la incidente de securitate. Această vulnerabilitate permite atacatorilor să persiste în sistem, să pivoteze către alte sisteme și să manipuleze, extragă sau distrugă date fără a fi detectați.
1. Jurnalizare insuficientă
Aplicații care nu jurnalizează evenimente critice de securitate, cum ar fi autentificările eșuate, modificările de permisiuni sau accesul la date sensibile. Aceasta face dificilă sau imposibilă detectarea și investigarea incidentelor de securitate.
2. Jurnalizare la nivel nepotrivit
Aplicații care jurnalizează prea puține informații pentru a fi utile sau prea multe informații, făcând dificilă identificarea evenimentelor relevante. De exemplu, jurnalizarea doar a faptului că a avut loc o eroare, fără detalii despre natura erorii sau contextul în care a apărut.
3. Jurnalizare nesigură
Aplicații care jurnalizează date sensibile, cum ar fi parole, token-uri de sesiune sau date personale, fără a le masca sau criptă. Aceasta poate duce la expunerea datelor sensibile în cazul accesului neautorizat la jurnale.
4. Lipsa monitorizării
Organizații care nu monitorizează activ jurnalele de securitate sau care nu au implementat sisteme de alertare pentru evenimente suspecte. Aceasta permite atacatorilor să opereze nedetectați pentru perioade lungi de timp.
5. Lipsa răspunsului la incidente
Organizații care nu au implementat procese de răspuns la incidente sau care nu răspund prompt la alertele de securitate. Aceasta permite atacatorilor să persiste în sistem și să cauzeze daune semnificative înainte de a fi opriți.
6. Jurnale Nesincronizate pe Ceas
Serverele au ore diferite și jurnalele au timestamp-uri inconsecvente, dificultând correlarea evenimentelor. Atacatorii pot exploata aceasta pentru a ascunde activitatea lor.
7. Jurnale Șterse sau Modificate
rm -rf /var/log/auth.log # Stergere track-ului de intruziune
Un atacator cu acces filesystem stochează local jurnalele sau le modifică pentru a ascunde urmele. Jurnalele nu sunt protejate și sunt ușor de manipulat.