Analiza logów i SIEM dla JST
Zdarzenia z wielu systemów. Jeden kontekst do podjęcia decyzji.
Zaczynamy od źródeł, które mają znaczenie
Inwentaryzujemy logowania, zmiany uprawnień, działania administracyjne, połączenia VPN, zdarzenia firewalli, ochrony stacji i usług chmurowych. Priorytet wynika z roli systemu w pracy urzędu. Nie każde urządzenie dostarczy te same dane; możliwości i koszty integracji potwierdzamy przed wdrożeniem.
Korelacja zamiast stosu komunikatów
SIEM porządkuje zdarzenia i łączy je według czasu, konta, hosta i źródła. Nieudane logowania, późniejszy dostęp uprzywilejowany i zmiana ustawień backupu mogą wymagać wspólnej analizy. Analityk sprawdza kontekst i wiarygodność sygnału przed eskalacją.
Jakość logów jest częścią ochrony
Kontrolujemy synchronizację czasu, działanie kolektorów, opóźnienia i brak danych. Urządzenie, które przestało wysyłać logi, nie może bez końca wyglądać na bezpieczne tylko dlatego, że nie generuje alarmów. Połączenia i buforowanie dobieramy do warunków łączności.
Retencja dobrana do celu
Ustalamy zakres zbieranych pól, okres szybkiego wyszukiwania i ewentualnej archiwizacji. Wycenę opieramy m.in. na wolumenie danych, liczbie źródeł oraz retencji. Logi chronimy przed nieuprawnionym odczytem i zmianą zgodnie z projektem; lokalizację przetwarzania, podwykonawców i dostęp zapisujemy w umowie.
Reguły dostrojone do urzędu
Tworzymy listę scenariuszy wykrywania, testujemy je i opisujemy warunki eskalacji. Utrzymujemy uzasadnione wyjątki oraz ich terminy przeglądu. Ograniczanie powtarzalnych alertów nie polega na wyłączaniu ważnego źródła danych.
Co otrzymujesz
Wykaz podłączonych źródeł, mapę pokrycia, listę reguł, procedury obsługi braków danych, uzgodnioną retencję oraz raport działań. Eksport materiału dowodowego i przekazanie danych przy zakończeniu współpracy uzgadniamy już na początku.
Zacznijmy od Twojej infrastruktury.
Istniejąca serwerownia, jeden urząd lub kilka jednostek. Dobierzemy zakres SOC, XDR i NOC.
Logi pod kontrolą — od analizy do archiwum.
Dla dzienników systemów objętych KRI punktem wyjścia są 2 lata przechowywania od dnia zapisu, jeżeli przepisy odrębne nie wskazują innego okresu. Okres szybkiego wyszukiwania w SOC i całkowity czas zachowania zapisów to dwa osobne ustalenia.
Dwie warstwy przechowywania
- Bieżąca analiza: przykładowo 90 dni w szybkich indeksach SIEM. To wariant projektowy, a nie termin ustawowy ani automatycznie gwarantowany zakres usługi.
- Archiwum: zachowanie wymaganych zapisów do pełnych 2 lat od ich utworzenia, z uwzględnieniem przepisów odrębnych. Przeniesienie do archiwum nie rozpoczyna okresu od nowa.
Jakie zapisy obejmujemy?
KRI wymaga rejestrowania dostępu administracyjnego, dostępu do konfiguracji i zabezpieczeń oraz dostępu do danych prawnie chronionych w zakresie wymaganym prawem. Pozostałe zdarzenia dobieramy na podstawie analizy ryzyka. Ustalamy źródła, znaczniki czasu, kompletność i sposób odczytu. Same alerty SIEM lub raport PDF nie zastępują wymaganych logów źródłowych. Zasady te nie oznaczają obowiązku rejestrowania całego ruchu sieciowego ani dwuletniej retencji wszystkich nagrań CCTV.
Oddzielny serwer lub NAS w innej lokalizacji
Archiwum może znajdować się poza serwerem analitycznym, także na odpowiednio zabezpieczonym NAS, np. QNAP. Model urządzenia, funkcje systemu, pojemność i warunki utrzymania wymagają weryfikacji. Zapisy przesyłamy szyfrowanym kanałem; interfejsów administracyjnych i udziałów plikowych nie publikujemy bezpośrednio w Internecie.
- Oddzielne uprawnienia i archiwa jednostek, kontrola dostępu oraz ochrona kluczy szyfrowania.
- Kontrola kompletności, integralności i wieku ostatniego poprawnego transferu; buforowanie podczas przerw w łączności.
- Ochrona przed zmianą i usunięciem, w tym WORM lub niezmienność, jeżeli wybrane rozwiązanie je obsługuje.
- Usunięcie kopii roboczej dopiero po potwierdzeniu zapisu i weryfikacji archiwum; niezależna kopia oraz test odczytu i przywrócenia do analizy.
Retencja wpisana do zakresu usługi
Przed wdrożeniem ustalamy z jednostką kategorie danych, właściwe przepisy, okresy przechowywania, lokalizacje, pojemność, uprawnienia oraz czas udostępnienia archiwum. Dokumentujemy zasady usuwania po upływie retencji i zabezpieczenia materiału dotyczącego incydentu. Archiwizacja nie jest tym samym co kopia zapasowa; RAID nie zastępuje niezależnej kopii.
Podstawa: § 20 ust. 1–5 rozporządzenia KRI z 21 maja 2024 r., Dz.U. 2024 poz. 773. Stan prawny sprawdzono 28.09.2026. ELI wskazuje utratę mocy aktu 23.02.2027; wymagania trzeba ponownie zweryfikować przed zmianą przepisów. Okresy dla konkretnych systemów ustalamy z uwzględnieniem przepisów odrębnych.