Восемнадцать тем про состав записи, срок и чтение
Вопрос «кто это сделал» задают не в день события, а через несколько месяцев после него. К этому моменту решение уже принято — и принято оно было тогда, когда кто-то настраивал журналы или не настраивал их вовсе. Эта лекция про плановую дисциплину спокойного дня: что пишется постоянно, куда, сколько живёт и как это потом читается.
Главный ответ, ради которого стоит дочитать до седьмой темы: универсального срока хранения журналов не существует. Любая формулировка вида «логи надо хранить N месяцев» без указания режима — ошибка. Режимов в лекции разобрано пять, и ответы у них разные: от трёх месяцев до пяти лет.
Второй ответ, который многих удивляет: на типовой машине глубина хранения журнала — это не решение администратора, а частное от деления выделенного места на скорость записи. Настройка по умолчанию решает за вас, и решает не в вашу пользу.
Здесь нет форензики первых минут инцидента, нет мониторинга, метрик и оповещений, нет журнала уничтожения персональных данных, нет резервного копирования и нет уголовных составов. Всё это разобрано в соседних лекциях каталога. Здесь — обязанность в спокойный день: состав записи, срок хранения, чтение.
Настроек конкретных средств защиты и правил корреляции тоже не будет. Единственное исключение — значения по умолчанию journald: это проверенный документацией факт о поведении системы, а не рецепт для инструмента.
Журнал — это обязанность с составом и сроком
Начнём с определения, потому что от него зависит всё остальное. Электронный журнал по п. 3.4 ГОСТ Р 59548-2022 — это объект (файл в электронном виде) или их совокупность в информационной (автоматизированной) системе, предназначенный для хранения записей о событиях безопасности.
Ключевое слово здесь — «предназначенный». Файл, который пишется сам собой, потому что так вела себя система из коробки, определению соответствует случайно. Обязанность начинается там, где кто-то назвал состав записи и срок её жизни.
По методическому документу ФСТЭК России — любое проявление состояния информационной системы и её системы защиты, указывающее на возможность нарушения конфиденциальности, целостности или доступности информации, доступности компонентов системы, нарушения процедур, установленных организационно-распорядительными документами, а также на нарушение штатного функционирования средств защиты информации.
Из определения следует то, что в практике игнорируется чаще всего: событием считается и возможность нарушения, а не только состоявшееся нарушение. Неуспешный вход — событие. Штатная загрузка операционной системы — тоже событие. Не потому, что что-то сломалось, а потому, что состояние системы изменилось и это изменение имеет отношение к безопасности.
Паспорт стандарта
| Реквизит | Значение |
|---|---|
| Обозначение | ГОСТ Р 59548-2022 «Защита информации. Регистрация событий безопасности. Требования к регистрируемой информации» |
| Утверждён | приказом Росстандарта от 13 января 2022 г. № 2-ст |
| Дата введения | 01.02.2022, введён впервые |
| Статус на 01.06.2026 | действующий |
| Разработчики | ФСТЭК России и ООО «Центр безопасности информации», внесён ТК 362 «Защита информации» |
Область применения по разделу 1: стандарт устанавливает требования к составу и содержанию информации, которая подлежит регистрации средствами защиты информации, в том числе встроенными в программное обеспечение и (или) программно-технические средства, средствами обеспечения безопасности информационных технологий, иными программно-техническими средствами, применяемыми в информационных (автоматизированных) системах.
Он не устанавливает требования к технической реализации и формату хранения событий безопасности. То есть спорить «syslog или JSON», ссылаясь на этот стандарт, бессмысленно: он про то, какие сведения обязаны быть в записи, а не про то, в каком виде они лежат на диске.
Отдельно про обязательность. Приказ ФСТЭК России от 11.04.2025 № 117, действующий с 1 марта 2026 года, в п. 63 «в» называет регистрацию событий безопасности базовой мерой защиты информации — наряду с идентификацией и аутентификацией и управлением доступом. Это не факультатив и не то, что делается после всего остального.
Дальше нужен аккаунт
Прогресс и монеты сохранятся.