Журналы ИСПДн: регистрация событий и контроль доступа

Журнал — единственный способ доказать, кто и когда получал доступ к персональным данным, и первое, что проверяют при расследовании утечки. Требования к ИСПДн отдельно упоминают электронные журналы: фиксация изменения полномочий по доступу и ограничение доступа к самим журналам. Ниже практический порядок для небольшой организации: что записывать, как настроить аудит на Linux, как защитить журналы от изменений и разбирать их.

Оговорка. Статья не юридическая консультация. Положения о журналах взяты из постановления Правительства РФ № 1119 (пункты 15 и 16 о доступе к электронному журналу сообщений и автоматической регистрации изменения полномочий; текст сверен в базе «Гарант», действующую редакцию проверяйте: постановление). Состав мер регистрации событий безопасности для вашего уровня защищённости определяется актами ФСТЭК России. Структура соответствует разделу об обеспечении безопасности ПДн в методике контроля Группы Сбер (источник); мы пересказываем её своими словами. Команды перед применением проверяйте на тестовой машине.

Что требуют от журналов

Требование	Источник
Для 2-го уровня защищённости: доступ к содержимому электронного журнала сообщений только у должностных лиц, которым сведения нужны для работы	Постановление № 1119, пункт 15
Для 1-го уровня: автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудников по доступу к ПДн в системе	Постановление № 1119, пункт 16
Правила доступа к ПДн и регистрация и учёт всех действий с ними (в методике Группы Сбер как мера безопасности ПДн)	Методика контроля Группы Сбер
Порядок обнаружения фактов несанкционированного доступа и реагирования на компьютерные атаки	Методика контроля Группы Сбер, часть 12 статьи 19 152-ФЗ как основание

Даже если ваш уровень защищённости ниже, журналы нужны: без них невозможно выполнить срок уведомления об утечке (24 часа на первичное уведомление): как уведомить Роскомнадзор.

Какие события фиксировать

Группа	События
Вход и выход	Успешные и неуспешные входы, выход, блокировка учётной записи, смена пароля
Права доступа	Создание, изменение и удаление учётных записей, изменение групп и ролей, выдача и отзыв доступа к ПДн
Действия с данными	Просмотр, изменение, экспорт, массовая выгрузка, удаление записей с ПДн; печать; передача
Привилегированные действия	Использование sudo или административных прав, изменение конфигурации
Система и защита	Остановка и запуск служб, отключение агента защиты, изменение правил firewall, ошибки журналирования
Подрядчики	Доступ внешних специалистов, сессии удалённой поддержки

Для каждой записи нужны: время (синхронизированное), пользователь, источник (адрес), действие, объект, результат. Синхронизация времени критична: без неё события разных систем не сопоставить.

Linux: аудит доступа к каталогу с ПДн (auditd)

Подсистема аудита фиксирует доступ к файлам и системные вызовы. Пример для каталога /srv/pd с файлами, содержащими ПДн (пути замените своими):

sudo apt install auditd          # Debian и Ubuntu; в Rocky: sudo dnf install audit
sudo auditctl -w /srv/pd -p rwxa -k pd_access
sudo auditctl -w /etc/passwd -p wa -k identity
sudo auditctl -w /etc/sudoers -p wa -k identity
sudo auditctl -l

Что делают команды: -w следит за путём, -p rwxa фиксирует чтение, запись, выполнение и изменение атрибутов, -k задаёт метку для поиска, последняя команда показывает активные правила. Правила, добавленные через auditctl, пропадают после перезагрузки: для постоянства поместите их в файл в каталоге /etc/audit/rules.d/ (например, pd.rules) и загрузите командой sudo augenrules --load. Риск: слишком широкое наблюдение (например, за каталогом с большим числом обращений) создаёт огромные журналы и нагрузку; начинайте с узких путей.

Поиск событий и сводки:

sudo ausearch -k pd_access --start today
sudo aureport -f --summary
sudo aureport -au --failed

Ожидаемый результат: список обращений к каталогу с ПДн за сегодня, сводка по файлам и неудачные попытки аутентификации. Для приложений (CRM, базы данных) включайте и собственный аудит приложения, потому что файловый аудит не покажет, какие записи в базе открывал пользователь.

Windows: аудит

На Windows включается расширенная политика аудита (входы, управление учётными записями, доступ к объектам, использование привилегий). Проверка: auditpol /get /category:*. Подробнее: hardening Windows. Для файловых ресурсов с ПДн включайте аудит доступа на уровне каталога и просматривайте журнал безопасности.

Защита журналов

Отправка на отдельный сервер. Журнал, который лежит только на атакуемой системе, злоумышленник изменит или удалит: централизованный сбор логов.
Ограничение доступа. Читать журналы могут только те, кому это нужно по работе (для уровня 2 это прямое требование); права на изменение у администраторов систем отсутствуют.
Целостность. Включите контроль целостности файлов журналов, храните копии в режиме без изменения и сверяйте контрольные суммы.
Синхронизация времени на всех источниках и сервере сбора.
Ёмкость. Рассчитайте объём и ротацию, чтобы журналы не переполняли диски и не отключали аудит.
Конфиденциальность. В журналах не должно быть лишних ПДн и паролей: фильтруйте поля, если приложение их пишет.

Срок хранения

Срок определяется вашими правилами и требованиями: достаточно долго для расследования (обычно месяцы) и не дольше необходимого для цели, потому что журналы тоже могут содержать ПДн. Закрепите срок в политике и учитывайте его при уничтожении данных: уничтожение ПДн.

Регулярный разбор

Периодичность	Что смотреть
Ежедневно (автоматически)	Оповещения: массовые неудачные входы, вход вне рабочего времени, выгрузка большого объёма, отключение аудита
Еженедельно	Изменения прав и привилегированных учётных записей, новые учётные записи, использование административных прав
Ежемесячно	Доступ к ПДн по ролям: кто чаще всех открывал данные, нетипичные обращения, доступ уволенных
Ежеквартально	Проверка полноты: все ли системы с ПДн присылают журналы; сверка с реестром активов

Настройте оповещения в системе мониторинга и сбора событий: Wazuh умеет собирать журналы аудита, контролировать целостность файлов и оповещать о срабатываниях.

Диагностика

Симптом	Причина и что делать
Журнал есть, но кто открыл запись, не видно	Аудит только на уровне ОС. Включите аудит приложения или базы данных
Журналы переполнили диск	Широкие правила и нет ротации. Сузьте правила, настройте ротацию и выгрузку на сервер сбора
Администратор может стереть журнал	Журнал хранится только локально. Отправляйте на отдельный сервер с ограниченными правами
События разных систем не сопоставляются	Время не синхронизировано. Настройте единый источник времени
В журнале пароли и номера документов	Приложение пишет лишнее. Фильтруйте или маскируйте поля

Где это в моделях

Материал продолжает раздел «Регуляторика ПДн» и относится к направлениям «Безопасность данных» и «Мониторинг кибербезопасности» (материалы направления, самопроверка оператора ПДн, карта зрелости). Регистрация и учёт действий с ПДн — отдельные меры обеспечения безопасности в методике Группы Сбер.

Как проверить

Для каждой ИСПДн определён перечень фиксируемых событий, журналы отправляются на отдельный сервер.
Тестовое действие (вход, изменение прав, открытие каталога с ПДн) видно в журнале с правильным временем и пользователем.
Доступ к журналам ограничен, администратор систем не может их изменить.
Разбор журналов проводится по расписанию, найденные события записываются в журнал инцидентов.

Источники

Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»: Гарант. Проверяйте действующую редакцию.
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 19: КонсультантПлюс.
Руководство по auditd: страницы man auditctl, man ausearch, man aureport для вашей версии; проект Linux Audit: github.com/linux-audit.
Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.