Logboeken van je VPN: bijhouden wie wanneer binnenkwam, en hoelang
Logboeken van je VPN registreren wie wanneer verbinding maakte, vanaf welk IP-adres en hoelang, en wat er op het toestel zelf veranderde. Ze houden geen aanval tegen, maar zonder logboeken weet je na een inbraak niet hoe de aanvaller binnenkwam of welke accounts hij gebruikte. Internationale richtlijnen van onder meer het Australische ACSC en het Amerikaanse CISA raden aan logboeken centraal en buiten het toestel te bewaren, lang genoeg voor een onderzoek. Deze gids legt uit wat een zelfstandige of kmo bijhoudt, waar en hoelang.
Of: waarom je de camera pas mist als er iets weg is
Wie zijn VPN-toegang wil bewaken, moet kunnen nagaan wie er binnenkwam. Dat doen logboeken: per verbinding het account, het tijdstip, het IP-adres van herkomst en de duur, en daarnaast elke aanmelding op de beheerinterface en elke wijziging aan de instellingen. De richtlijn Best practices for event logging and threat detection, in augustus 2024 gepubliceerd door het Australische ACSC samen met CISA, de FBI en andere diensten, rekent VPN-oplossingen en randapparaten uitdrukkelijk tot de systemen die je moet loggen.
Even belangrijk als wat erin staat, is waar het staat. Een logboek dat alleen op de firewall zelf bewaard wordt, verdwijnt als het geheugen vol is, en is niet te vertrouwen als het toestel zelf is overgenomen. Stuur het naar een andere plek.
Logboeken van de VPN: wat erin hoort
Wat je bijhoudt
| Gebeurtenis | Waarom |
|---|---|
| Geslaagde VPN-aanmelding: account, tijdstip, IP-adres van herkomst, toegewezen intern adres, duur | wie was er binnen, en van waar |
| Mislukte aanmeldingen en geblokkeerde accounts | wie probeert er binnen te raken |
| Gebeurtenissen van de tweede factor: geweigerd, nieuw toestel geregistreerd | een nieuwe tweede factor die niemand verwachtte, is een alarmsignaal |
| Aanmeldingen op de beheerinterface | wie kan de deur herconfigureren |
| Wijzigingen aan de configuratie en de accounts | wat er veranderde, en door wie |
| Firmware-updates en herstarts | om een incident in de tijd te plaatsen |
Zorg ook dat de klok klopt. De richtlijn van 2024 vraagt gesynchroniseerde tijdservers en raadt UTC aan als tijdstandaard, omdat die geen zomer- en wintertijd kent. Een logboek waarvan de klok vijf minuten afwijkt, is lastig te leggen naast dat van je server.
Buiten het toestel
Toen Cisco in augustus 2023 de aanvallen van de ransomwarebende Akira op zijn VPN’s beschreef, merkte het op dat op getroffen toestellen geen logging was ingesteld. Daardoor viel niet meer te achterhalen hoe de aanvallers precies waren binnengekomen. Cisco raadde aan de logboeken naar een externe syslog-server te sturen.
Voor een kleine zaak hoeft dat geen groot project te zijn. Drie opties, van eenvoudig naar uitgebreid:
- De cloudconsole van de fabrikant. Veel firewalls kunnen hun logboeken doorsturen naar een beheerportaal van het merk, vaak met een abonnement.
- Een syslog-ontvanger op een server of NAS die je al hebt, op voorwaarde dat die niet bereikbaar is met dezelfde beheerderswachtwoorden als de firewall.
- Een beheerde dienst van je IT-partner, die de logboeken bewaart en waarschuwt bij afwijkingen.
De richtlijn van 2024 wijst erop dat veel systemen oude logboeken overschrijven als hun opslag vol is. Kijk dus ook na hoeveel ruimte de ontvanger heeft.
Hoelang
Er is geen universele termijn. De richtlijn van augustus 2024 vraagt een bewaartermijn op basis van je risico’s, en herinnert eraan dat het tot 18 maanden kan duren voor een incident ontdekt wordt, en dat sommige kwaadaardige software 70 tot 200 dagen in een netwerk zit voor ze schade aanricht. De termijn moet ook passen bij de regels die voor je organisatie gelden.
Mijn vuistregel voor een kmo: minstens een jaar voor aanmeldingen en wijzigingen aan de configuratie, korter voor gedetailleerd verkeer dat veel ruimte inneemt. Een VPN-logboek bevat persoonsgegevens van je medewerkers, dus leg vast waarom je het bijhoudt en hoelang, en bewaar het niet langer dan nodig.
Wie ernaar kijkt
Een logboek dat niemand leest, is een archief. Je hoeft geen beveiligingscentrum te hebben om er iets mee te doen. Een paar eenvoudige waarschuwingen vangen al veel op:
- een aanmelding vanuit een land waar niemand van de zaak werkt;
- een reeks mislukte aanmeldingen op hetzelfde account;
- een aanmelding om drie uur ’s nachts op een account dat altijd om negen uur begint;
- een nieuw beheeraccount of een nieuw toestel voor de tweede factor.
Het CyberFundamentals-kader van het CCB vraagt op het basisniveau dat logboeken bijgehouden, gedocumenteerd en opgevolgd worden. Dat laatste woord is het belangrijkste.
Kmo-Kristof: Onze firewall houdt alles bij. Dat heeft de installateur gezegd.
Security-Sofie: Hoelang?
Kmo-Kristof: Tot hij vol is, denk ik.
Security-Sofie: En wanneer is hij vol?
Kmo-Kristof: Dat staat waarschijnlijk in het logboek.
Accounts die er niet horen
Het eerste wat een logboek vaak laat zien, zijn accounts waarvan niemand nog wist dat ze bestonden. Hoe je die opruimt, staat bij accounts die niemand meer gebruikt.
Na een inbraak
Logboeken zijn het eerste wat een onderzoeker vraagt na een aanval. Hoe zo’n aanval via de VPN verloopt, lees je bij ransomwarebendes aan de VPN-poort.