27 / 43
「那時候,我在睡覺」
凌晨的一次登入,紀錄卻散在各處、已經過期。
(示意情境,非真實事件)
小哲是一家金融科技新創的工程師。某天早上,他發現自己的帳號,凌晨有一筆登入紀錄。那時候,他確定自己在睡覺。
這家六十人的公司,開始調查。
單一登入的紀錄,只保存三十天。郵件系統,要看方案。密碼工具的紀錄,要另外匯出。雲端服務的存取紀錄,根本沒開。
花了好幾天,才拼出一段不完整的時間線。最早的可疑登入,比發現的那天,早了好幾週。有些紀錄,已經過期刪掉了。
每一份紀錄,格式不同,時區不同,保存期限也不同。
你們看到的,是一筆凌晨的登入。你們沒看到的,是在那之前,好幾週的安靜。
我以前以為,有留紀錄就好。後來才發現,紀錄的價值不在「有」,而在找得到、對得上,而且,有人在看。
心靜下來,才聽得見異常的聲音。
今天就能做
- 列出每個系統的紀錄保存天數。
- 重要系統的稽核紀錄,先打開。
- 集中到一個地方,統一時區。
- 設幾條告警,讓異常會響。
看完的心情