Log Temizleme ve Anti-Forensics
MITRE ATT&CK çerçevesinde "Indicator Removal: Clear Windows Event Logs" (T1070.001) olarak sınıflandırılan bu teknik, saldırganların sisteme yaptıkları müdahalenin kanıtlarını silmek için kullandıkları yöntemdir.
Neden Kritik?
Normal IT operasyonlarında güvenlik loglarının temizlenmesi neredeyse hiç gerekmez. Bu olayın gerçekleşmesi, ya bir saldırganın izlerini sildiğine ya da yetkisiz bir kişinin kasıtlı olarak delil karartma yaptığına işaret eder.
ACKLOG'un Koruma Mekanizması
ACKLOG, Windows Event loglarını gerçek zamanlı olarak merkezi veritabanına aktarır. Saldırgan uç noktadaki logları temizlese bile, ACKLOG'un Columnar Database'inde tüm geçmiş loglar korunur ve KamuSM zaman damgasıyla imzalanır. Bu sayede adli bilişim süreçlerinde delil bütünlüğü garanti altındadır.