Cél

A védett adatbázisban tevékenykedő felhasználók által végzett műveletek gyűjtése és biztonsági elemzése egy külső rendszerben. Ide tartozik például egy-egy kiemelt adatkörre vonatkozó lekérdezés, felhasználói aktivitás meghatározása.

Üzleti igény/eredmény

A felhasználói aktivitások felügyelete. A felhasználói oldalon keletkező rekordok azonnal, online módon kerülnek be a központi logelemzőbe. A biztonsági menedzser által használható aktivitás napló böngészésén túl, például az alábbi speciális kérdésekre lehet választ adni:

• Adott időszakban volt-e olyan felhasználó, aki egyidejűleg egynél többször volt bejelentkezve?
• Egy meghatározott adathoz hozzáfért-e a felhasználó?
• Ki férhet hozzá egy meghatározott adathoz?
• Egy adminisztrátor milyen beállításokat végzett?
• Egy felhasználó számára mit állítottak be az adminisztrátorok?

Megoldás

A felhasználói oldalon keletkező naplórekordok rekordok azonnal, online módon töltődnek a központi elemzőbe a következő adatkörökkel:

• bejelentkezési adatok (ki, mikor, hogyan: chip kártya, univaz és jelszó, honnan: IP cím),
• kijelentkezések és sikertelen bejelentkezési kísérletek,
• jelszóváltozások (ki, kinek a jelszavát, mikor változtatta),
• jogosultság változások,
• felfedő gombok használata,
• felhasználói aktivitás adatok,
• eredmény-hozzáférés adatok.

A felhasználók önhatalmúlag nem, csak külső vagy belső megkeresés alapján indíthatják a lekérdezéseket. Megkeresés esetén, a lekérdezés elindítása előtt, a felhasználónak lehetősége van arra, hogy a lekérdezés okát rögzíthesse a rendszerbe. A rögzítés lehet szabad szavas, ahova szükség esetén a megkeresés e-mail üzenetének csatolása biztosított. Minden lekérdezéshez a rendszer által generált iktatószám tartozik, amely alapja lehet a lekérdezések számonkérésének.

A betöltött rekordokra automatikus szabályfigyelés építhető. Amennyiben a minősített adatokat tartalmazó adatbázisban (például) az alábbi eseményeket észleli:

• lezáratlan belépések,
• munkaidőn kívüli be- vagy kilépés,
• többszöri belépés,
• új adatbázis felhasználó megjelenése,

azonnali riasztást küld a biztonsági menedzsernek. Az értesítés nem tartalmaz naplórekordokat, csak azt, hogy riasztási esemény történt. A felhasználó a rendszerbe belépve nézheti meg a riasztási eseményt kiváltó adatokat.