Loggning är en oskiljaktig del av lagringen. Och det finns många skäl till att logga, konstaterade Stefan B Grinneby, chef för Sitic, Sveriges it-incidentcentrum, när han talade på CS och Techdatas konferens Storageworld i onsdags. Det handlar om sådant som att kunna hålla koll på faktureringen, verksamhetskontroll och lagar som föreskriver viss loggning.

Men loggning är också nödvändig för att kunna ha en väl fungerande incidenthantering. Intressanta loggrader kan visa vilka som varit anslutna, autentisering, transaktioner, prestanda och resursanvändning, användarnas kommandostatistik, brandväggar och intrångshantering, passersystem och samtalslistor.

–? Ofta finns det mobiltrafik kopplad till en incident. Om företaget har koll på de anställdas mobiltrafik kan det vara intressant att korrelera det som hänt i de digitala systemen med mobiltrafiken, säger Stefan B Grinneby.

Men även om det finns mycket att hitta i loggarna är det inte lätt att hitta det. Många har en bild av att de skapar ett slags bibliotek där det går att bara plocka ut rätt information ur hyllorna. I själva verket ligger informationen snarare utkastad som på en soptipp. Om man inte vet vad man letar efter är det väldigt svårt, konstaterar Stefan B Grinneby.

Tiden är knapp när det verkligen är en attack på gång och då måste man vara väl förberedd.

– Det är viktigt att redan i förväg bestämma sig för vad man vill kunna göra, säger han.

Och så gäller det att sälja in det till chefen, för en väl fungerande incidenthantering är inte billig. Där är organisationens mognad avgörande. Det bästa sättet är att göra en analys av vad som skulle kunna inträffa och vilka skadeverkningar det skulle kunna få.

– Gör det bästa av det ni har till att börja med. Du vet redan vilka data du har – gör du inte det har du andra problem. Alla loggrader som inte i förväg är klassade och organiserade är förmodligen ointressanta, säger Stefan B Grinneby.
När det gäller sådant som sparas för att det är ”bra att ha” är hans råd skoningslöst:

– Kasta det. Det är bättre att slänga för mycket än för lite.
Det finns en inneboende vilja att hitta brottslingen när det skett en attack, men det är ofta fruktlöst.

– Det finns oändlig mängd ”bad guys”. I första hand ska man nog koncentrera sig på att hålla verksamheten rullande, säger Stefan B Grinneby.

Här kan du se seminarierna från Storageworld