Nilai log audit muncul ketika tim dapat menjelaskan keputusan sebelum membahas implementasi. Ruang lingkup praktisnya adalah mencatat aktor, tindakan, target, waktu, hasil, dan konteks permintaan tanpa menyimpan rahasia. Risiko utamanya adalah log yang dapat diedit, tidak lengkap, atau tidak mungkin dicari memberikan keyakinan yang salah.
Ubah "selesai" menjadi perilaku yang dapat diamati: Log Audit
Kriteria penerimaan untuk log audit harus mengidentifikasi aktor, status awal, tindakan, hasil tahan lama, jalur yang ditolak, tindakan berulang, dan bukti pemulihan. Antarmuka mungkin melaporkan keberhasilan sementara log yang dapat diedit, tidak lengkap, atau tidak mungkin dicari memberikan keyakinan yang salah. Oleh karena itu, kriterianya harus membandingkan umpan balik yang terlihat dengan kebijakan yang diterapkan di server dan transisi status yang dapat diaudit.
Tutupi status yang mengubah keputusan: Log Audit
Tes siap, kosong, tidak valid, ditolak, tertunda, duplikat, sebagian, berhasil, dan dipulihkan status jika diterapkan. Tambahkan kasus di mana akses dicabut, pemilik tidak ada, atau permintaan berulang muncul setelah penyelesaian sebagian. Setiap kasus harus menyatakan apakah masukan dipertahankan, apakah coba ulang aman, dan catatan mana yang diperiksa oleh peninjau. Hindari kriteria seperti "berhasil" atau "dilaksanakan" karena dua pengulas dapat menafsirkannya secara berbeda.
Otoritas pengujian, bukan visibilitas: Log Audit
Perilaku yang diharapkan harus berlaku untuk aktor yang diizinkan, aktor yang ditolak, peran yang dicabut, dan permintaan langsung yang melewati antarmuka normal. Penyangkalan harus membuat status yang dilindungi tidak berubah dan menghasilkan catatan audit yang berguna tanpa mengungkap rahasia. Aktor yang bertanggung jawab hanya boleh memiliki izin yang diperlukan untuk log audit.
Lampirkan bukti pada setiap klaim penting: Log Audit
Gunakan pengujian yang diizinkan dan ditolak, catatan audit, tanggal kepemilikan, catatan pemulihan, dan log yang disunting. Catat lingkungan, konfigurasi, dan rentang waktu sehingga pengulas lain dapat mereproduksi hasilnya. Tes kelulusan hanya mendukung perilaku yang dilakukannya; itu tidak membuktikan setiap klaim keamanan, aksesibilitas, kinerja, atau operasional. Pantau keakuratan tindakan yang ditolak sebagai sinyal pelepasan.
Peta keputusan: Log Audit
- Identitas aktor. Beri nama pemilik, catatan resmi, status yang diharapkan, dan respons saat ditolak untuk bagian log audit ini.
- Tindakan. Dokumentasikan transisi normal, satu transisi terputus, dan pemulihan aman terkecil.
- Sasaran. Lampirkan tes yang dapat direproduksi, tanggal hasil, dan peninjau yang menerima risiko yang tersisa.
- Stempel waktu. status input, output, batas izin, dan kriteria penghentian sebelum menambahkan otomatisasi.
- Hasil. Catat perilaku tindakan berulang dan bukti mana yang membedakan coba ulang dari duplikasi.
kasus batas: Log Audit
- Ketika nilai tercatat untuk identitas aktor berubah setelah tindakan disimpan, sebutkan nilai mana yang menang dan bagaimana status yang kalah direkonsiliasi.
- Jika bukti untuk target tidak tersedia saat permintaan log audit sedang berlangsung, pertahankan konteks yang cukup untuk membedakan penolakan dan penyelesaian sebagian.
- Tindakan berulang yang melibatkan stempel waktu akan mengembalikan hasil yang ada atau mengekspos kemungkinan efek duplikat sebelum coba ulang.
- Perubahan hasil yang ditolak harus membiarkan status resmi tidak tersentuh dan membuat catatan audit yang tidak mengungkapkan rahasia apa pun.
- Pemulihan harus memulihkan status terkecil yang dapat dipercaya terlebih dahulu, lalu memverifikasi hasil log audit yang terlihat terhadap catatan yang disimpan.
Ukur keputusan, bukan aktivitas: Log Audit
Lacak keakuratan tindakan yang ditolak dan pengecualian yang tidak dimiliki. Sebelum mengumpulkan hasil untuk log audit, tentukan populasi, lingkungan, rentang waktu, dan pemilik setiap pengukuran. Aktivitas hanya berguna jika aktivitas tersebut memperjelas apakah hasil log audit yang dilindungi menjadi lebih aman atau lebih mudah untuk dipulihkan.
Tetapkan ambang batas investigasi untuk log audit terlebih dahulu. Tinjauan penerimaan juga harus menyebutkan tanggapan yang diizinkan, bukti yang diperlukan untuk menyelesaikan masalah, dan tanggal peninjauan berikutnya. Hentikan pengumpulan data log audit ketika data tersebut tidak lagi dapat membedakan keberhasilan, penolakan, penundaan, duplikasi, atau pemulihan, atau ketika data tersebut tidak lagi mengubah keputusan.
Sumber dan bukti lokal: Log Audit
Referensi utama ini mendokumentasikan perilaku platform yang relevan dengan log audit. Untuk log audit, referensi tersebut menetapkan terminologi dan batasan; mereka tidak memverifikasi implementasi lokal.
- Panduan Perencanaan Pengelolaan Log Keamanan Siber
- Observability Primer
- Standar Verifikasi Keamanan Aplikasi OWASP
- Lembar Cheat Otorisasi
- Cheat Sheet Logging
Setiap klaim log audit yang dapat dipublikasikan masih memerlukan bukti lokal bertanggal: konfigurasi, hasil pengujian, tangkapan layar, log, kueri, atau hasil pemulihan dari produk yang disebutkan. Tinjauan penerimaan harus menyatakan dengan tepat artefak mana yang mendukung setiap klaim penting.
Contoh InMyDraft terkait: Log Audit
InMyCitizen memberikan contoh lokal batas produk yang dapat diperiksa dan relevan dengan log audit. Katalog proyeknya mencatat detail penerapan berikut: Garis waktu sipil, pesan langsung (warga negara, dukungan, komunitas, dan percakapan AI), dompet dokumen, laporan sipil dengan foto dan lokasi, tagihan, dan janji temu semuanya ditransfer ke akun penduduk yang sama.
Perbandingan antara InMyCitizen dan log audit sengaja dibuat sempit. Ini menunjukkan bagaimana satu produk membuat status dan bukti terlihat; hal ini tidak membuktikan bahwa setiap rekomendasi log audit telah diterapkan. Gunakan contoh InMyCitizen untuk meninjau log audit, bukan sebagai pengganti pengujian produk dalam cakupannya.
Tinjau daftar periksa: Log Audit
- Mengingat status awal yang valid, operator penanggung jawab dengan izin paling sempit yang diperlukan dapat menyelesaikan hasil log audit yang diinginkan.
- Permintaan yang tidak valid dan tidak sah membuat kebijakan yang diterapkan di server dan transisi status yang dapat diaudit tidak berubah.
- Tindakan berulang tidak menduplikasi efek samping yang dilindungi.
- Tim dapat menunjukkan bahwa mereka dapat mensimulasikan perubahan sensitif dan merekonstruksinya dari bukti yang disimpan.
- Kegagalan dan pemulihan menghasilkan bukti yang dapat direproduksi oleh pengulas lain.
Keputusan log audit siap untuk tahap berikutnya ketika orang yang bertanggung jawab lainnya dapat mereproduksi bukti, menjelaskan batas kegagalan, dan melakukan pemulihan tanpa bergantung pada ingatan penulis asli.
