Os três cenários apresentados neste trabalho usam sistemas de gestão de registos que no essencial são mito semelhantes entre si. Todos eles respeitam os princípios típicos de uma infraestrutura de gestão de registos. Permitem configurar entradas para receber dados enviados por clientes remotos ou recolher dados de ficheiros. Estão preparados para extrair os campos das mensagens recebidas e indexar os respetivos dados, para poderem ser pesquisados e visualizados. Incluem interfaces Web para gerir o sistema e para realizar pesquisas nos índices. As páginas de pesquisa e apresentação dos resultados são muito semelhantes, com os diversos componentes localizados nas posições típicas: barra de pesquisa no topo; seleção da janela de tempo localizada ao lado direito da barra; os campos das mensagens apresentados em baixo, no lado esquerdo e as mensagens apresentadas por linhas, no lado direito. Entre a barra de pesquisa e a lista de mensagens costuma haver um histograma que permite visualizar o fluxo de dados, com possibilidade de filtrar as mensagens por janelas de tempo.
As soluções permitem criar perfis e novos utilizadores. No entanto, estas funcionalidades apenas costumam estar disponíveis nas versões comerciais.
Graylog
O Graylog, estudado no primeiro cenário, é um sistema mais limitado que os outros dois, no que respeita ao processamento de mensagens.
As transformações de dados dos campos são possíveis através da configuração de pipelines, mas as funções de hash disponíveis são limitadas. A função HMAC não está disponível, embora seja possível implementar este algoritmo usando as funções existentes.
Uma grande vantagem do Graylog em relação às outras soluções, é o facto de incluir a gestão de perfis de utilizadores numa versão gratuita.
Splunk
O Splunk, estudado no segundo cenário, é o servidor mais fácil de instalar. No entanto, devido ao facto da documentação de suporte ser pouco detalhada, a utilização de funções complexas torna-se um pouco difícil. Outra desvantagem é o facto das funções apenas poderem ser aplicadas a campos internos do servidor, o que origina atrasos no processo de ingestão. A configuração de perfis de utilizadores apenas está disponível na versão Enterprise, embora esta versão possa ser testada por um período de 30 dias.
ELK Stack
A ELK Stack, estudada no terceiro cenário, revela-se como a solução mais versátil. Os módulos da Stack têm de ser instalados individualmente e interligados através de ficheiros de configuração. Cada componente corresponde a um serviço que pode correr em separado. Esta solução dispõe de um conjunto muito interessante de módulos e extensões. O Logstash, por exemplo, integra um grande número de filtros de processamento. Além disso, a documentação disponibilizada é extensa e muito completa.
O protótipo desenvolvido com a ELK Stack é o único que permite implementar, ao mesmo tempo, duas funcionalidades requeridas à partida, nomeadamente: a pseudonimização de dados através da utilização de uma função HMAC e o arquivo de identidades num índice separado de acesso restrito.
Uma réplica deste protótipo está instalada em cloud para que seja possível verificar as várias funcionalidades. As instruções de acesso ao servidor estão disponíveis no Anexo I – Protótipo
A tabela seguinte apresenta um resumo comparativo das principais funcionalidades das soluções desenvolvidas:
Tabela 5.1 - Resumo comparativo das principais funcionalidades das três soluções desenvolvidas
Graylog Splunk ELK Stack
Formato da
Mensagem GELF Plain Text JSON
Configuração
de Entradas Interface Web
Interface Web ou Ficheiro de Config.
Interface Web ou Ficheiro de Config.
Extração
de Campos GROK Expressões Regulares GROK
Transformação
de mensagens Interface Web
Ficheiro de Configuração
Ficheiro de Configuração
Função de Resumo
usada SHA-256 SHA-256 HMAC SHA-256
Geração de pares
identidade/resumo Sim Não Sim
Descarte de pares
repetidos Não - Sim
Configuração de
perfis de utilizador Sim
Sim, na versão Enterprise
Sim, na versão Enterprise
5.5. Síntese
Neste capítulo foram apresentadas três soluções concretas para a pseudonimização da informação contida nos registos de sistemas e aplicações. Para cada solução foram apresentadas as respetivas particularidades para a respetiva implementação: configuração de entradas, extração de campos das mensagens, pesquisa e visualização de registos. No final, foi efetuada uma análise comparativa das três soluções e são apresentadas algumas conclusões.
No último capítulo são observadas as conclusões, apresentadas as principais contribuições disponibilizadas por este trabalho e sugeridos tópicos para desenvolvimento futuro.
Conclusões
Pretendeu-se com este trabalho, em primeiro lugar, identificar a informação contida nos logs gerados por sistemas e aplicações que necessita pseudonimizada, para estar em conformidade com o RGPD. Para isso, foi necessário estudar e analisar os processos de registo dos sistemas operativos e aplicações mais comuns, entre os quais, os registos dos eventos dos sistemas operativos Windows e Linux, os registos de acesso de servidores Web, registos de firewalls e registos de servidores SSH.
A fim de reduzir os riscos do ponto de vista de segurança da informação, aumentar a privacidade e facilitar o processamento de dados pessoais para além dos propósitos originais de recolha, foram estudas e avaliadas diversas estratégias para a pseudonimização da informação contida nos logs de sistemas e aplicações.
No final, foram desenvolvidas, testadas e comparadas três soluções concretas de pseudonimização da informação contida nos logs de sistemas e aplicações, usando cada uma delas um servidor de gestão centralizada de registos distinto.