Angående "Sikkerhetsutfordringer med logging: Log4J som eksempel" about tillitsrammeverk

[steinarnoem]

Synes du at den siste versjonen av teksten klinger bedre @troelde?

[steinarnoem]

Hei @troelde, veldig godt å se at du er med :)

Risikoen jeg ønsker å synliggjøre er at det er vanskelig/umulig å ha kontroll over alle programvarekomponenter som er i bruk. Log4J problematikken er i mitt syn først og fremst et eksempel på at man ikke kan vite hvilke sårbarheter man åpner for, og at man bør designe med tanke på å redusere risiko.

For øvrig tror jeg at Log4J (og lignende programvarebibliotek) brukes i forbindelse med forskjellige logger, også audit events.

Ellers er det også greit å vite at man ikke kan stole blindt på WAF for å stoppe angrep..

[troelde]

Ja, jeg er med :-) Jeg er skeptisk til bruk av denne typen bibliotek for auditlogging hvis det gjøres likt med vanlig systemlogging, men er enig i at man som prinsipp ikke kan ha kontroll på hvilke programvarebibliotek som er i bruk. Poenget mitt var bare å si at det er langt strengere krav til hvordan en audit-/innsynslogg lagres og oppbevaring enn en standard dump av en tekstbasert loggfil (*.log). Den må være transaksjonssikker og beskyttet mot endring. Det samme kravet til integritet som man ellers vil forvente av lagring av payload i body.