Sto cercando di capire come gestite nella pratica la documentazione delle modifiche di sicurezza.
Parlo di operazioni come:
- modifica di una regola firewall
- creazione di un account amministratore
- cambio delle impostazioni DNS
- modifica di un inoltro email
- aggiornamento di una VPN
- modifica dei permessi di accesso
Sulla carta sarebbe facile registrare tutto. Il problema è che, se il processo diventa troppo pesante, dopo qualche settimana nessuno lo segue più.
Secondo me, per ogni modifica dovrebbero almeno rimanere queste informazioni:
- chi ha fatto la modifica
- quando è stata fatta
- cosa è cambiato
- perché era necessaria
- chi l’ha approvata
- quale test è stato eseguito
- come tornare alla configurazione precedente
Quello che non mi è chiaro è quanto dettaglio sia davvero utile quando bisogna ricostruire un incidente.
Per esempio, secondo voi è sufficiente conservare un ticket con una breve descrizione oppure è meglio salvare anche la configurazione prima e dopo la modifica?
Nel caso di firewall e server, avrebbe senso conservare:
- esportazione della configurazione precedente
- esportazione della nuova configurazione
- differenze tra le due versioni
- log dell’amministratore
- risultato dei test
- eventuale procedura di rollback
Lavoro con la documentazione dei sistemi di gestione e mantengo isochecklist.com. Per spiegare meglio il tipo di controllo che sto cercando, ho raccolto qui alcuni appunti sul controllo delle modifiche e delle informazioni documentate. La pagina è mia e non la considero una guida tecnica per firewall o SIEM. Serve solo come contesto per la parte documentale.
Nella vostra esperienza, quali registrazioni si sono rivelate davvero utili dopo un errore, un incidente o una modifica non autorizzata?
E per quanto tempo le conservate?
