Jeden z naszych analityków bezpieczeństwa IT jest na urlopie macierzyńskim
Wyczyściła logi Windows Event Viewer z komputera. Zanim się z nią skonfrontowaliśmy, chcieliśmy dowiedzieć się, czy istnieje jakiś powód biznesowy do usunięcia tych dzienników zdarzeń.
Nie jestem informatykiem, więc nie jestem pewien, ale chcemy się upewnić, że dajemy jej uczciwą szansę wyjaśnienia jej działań, gdy wróci do pracy.
Odpowiedzi:
W typowej konfiguracji korporacyjnej dzienniki zdarzeń są archiwizowane według rozmiaru, co powoduje utworzenie pliku archiwum. Więc zanim skonfrontujesz się z kimś, o czymś, o czym wiesz, że niewiele wiesz, możesz sprawdzić konfigurację maszyny. Ta sama funkcjonalność może obracać dzienniki, więc NIE jest tworzone archiwum, co oznacza, że starsze zdarzenia zostaną ostatecznie zastąpione przez nowsze działania.
Na podstawie samego tego stwierdzenia nie należy konfrontować się z analitykiem bezpieczeństwa, o którym mowa, ponieważ wydaje się, że nie jesteś zaznajomiony z konfiguracją systemu. Jako administrator sam, jeśli ktoś przyszedłby do mnie, który własnymi słowami opisałby siebie jako „nie informatyka”, natychmiast udałbym się do swojego menedżera i upewnił się, że jest zdyscyplinowany.
Gdyby przyszedł do mnie inny Administrator, wytłumaczyłbym swoje działania i ruszyłby z życiem. Jako administrator istnieje wiele sytuacji, w których usunięcie zarejestrowanych zdarzeń byłoby zachowaniem akceptowalnym.
źródło
Wiele różnych aplikacji „czyszczących” sugeruje ich usunięcie, aby zaoszczędzić miejsce. Mogła zainstalować jedną z nich, aby rozwiązać inny problem, i nie rozumiała konsekwencji, jakie może pozwolić takiej aplikacji na czyszczenie dzienników.
źródło