Newsgroup: it.comp.os.win.xp
Titolo: Privacy e Gestione degli Access Log

Salve a tutti...
Il mese scorso ho chiesto un suggerimento su come implementare su 
Windows XP la gestione degli Access Log per la Privacy, secondo le nuove 
norme relative alla gestione degli accessi da parte degli Amministratori 
di Sistema, i quali in pratica devono predisporre e mantenere un 
adeguato sistema per tenere traccia dei loro interventi.
http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499
in particolare:
---
4.5 Registrazione degli accessi
Devono essere adottati sistemi idonei alla registrazione degli accessi 
logici (autenticazione informatica) ai sistemi di elaborazione e agli 
archivi elettronici da parte degli amministratori di sistema. Le 
registrazioni (access log) devono avere caratteristiche di completezza, 
inalterabilitï¿œ e possibilitï¿œ di verifica della loro integritï¿œ adeguate 
al raggiungimento dello scopo di verifica per cui sono richieste.
Le registrazioni devono comprendere i riferimenti temporali e la 
descrizione dell'evento che le ha generate e devono essere conservate 
per un congruo periodo, non inferiore a sei mesi.
---
Mi ï¿œ stato detto che posso implementare questa funzionalitï¿œ tramite 
"Local Security Policy"...
Dopo alcune prove e altre ricerche su google, sono riuscito ad 
implementare correttamente la Policy (creando anche un documento da 
seguire passo passo per l'implementazione).
Premetto che sto guardando il problema dal punto di vista di una rete di 
computer senza dominio.
Il problema che sorge ora ï¿œ in questo modo riesco a soddisfare solo 
alcune delle caratteristiche richieste:
- caratteristiche di completezza
- inalterabilitï¿œ
- possibilitï¿œ di verifica della loro integritï¿œ adeguate al 
raggiungimento dello scopo di verifica per cui sono richieste
- Mantenimento dei log per almeno 6 mesi
Per il primo punto non credo che ci siano problemi... insomma basta che 
ci sia il nome utente, la data e l'ora dell'accesso
Il secondo punto ï¿œ certamente piï¿œ problematico: l'inalterabilitï¿œ, cosa 
che ï¿œ difficilmente raggiungibile. Pare che una soluzione sia quella di 
firmare digitalmente le singole righe di log... OK ma come?
C'ï¿œ qualche software che fa questo?
Il Terzo Punto ï¿œ altrettanto problematico... come si fa a stabilire che 
sono integri e che qualche istante prima della cifratura le singole 
righe di log non sono state alterate?
Il quarto punto sembra semplice... ma attualmente io ho poco meno di un 
mese memorizzato perchï¿œ prima teneva solo 512 Kb di Log. Ora l'ho 
impostato a 2048 sperando che sia sufficiente.
Ho inserito inoltre di sovrascrivere eventi anteriori a 200 giorni (ne 
basterebbero 180 ma mi tengo un po largo).
Una soluzione per il punto 2 e 3 sarebbe quella di salvare regolarmente 
i file di log in un disco esterno non accessibile all'amministratore di 
sistema... operazione che sembra possibile manualmente ma non so se ï¿œ 
possibile farla automaticamente... altrimenti ï¿œ una bella scocciatura 
per il titolare del trattamento fare questa operazione che so ogni 
giorno su ogni Computer.
Se fosse possibile fare questa esportazione automaticamente si potrebbe 
impostare un software (es Cobian Backup) in modo da copiare il file 
dell'esportazione su un disco esterno collegato alla rete locale o cmq 
condiviso in rete, usando i privilegi di scrittura di un utente 
"fittizio" (con credenziali note solo Titolare del trattamento) che puï¿œ 
scrivere su una particolare del disco esterno).
E' possibile tutto questo in questo modo?
Se non ï¿œ possibile cosï¿œ... che cosa aveva in mente il garante?
Ha pensato ad un servizio o programma commerciale specifico?
E se si perchï¿œ non l'ha citati direttamente nella Legge? :-|
Ringrazio Anticipatamente per le Risposte
(e scusate lo sfogo finale :-) )
-- 
Daniele Pinna
DAPINNA.COM
(leva oops per rispondere)
www.dapinna.com
www.ildocfainpillole.it

[quote]
Mi è stato detto che posso implementare questa funzionalità tramite
"Local Security Policy"...
Dopo alcune prove e altre ricerche su google, sono riuscito ad
implementare correttamente la Policy (creando anche un documento da
seguire passo passo per l'implementazione).
[/quote]
La policy di cui parli è questa?
gpedit.msc
impostazioni di windows
impostazioni protezione
criteri locali
criteri di controllo
controlla eventi di accesso
io ho provato così ma scrive una tonnellata di roba nel log, è
scomodissimo...

 - Mantenimento dei log per almeno 6 mesi
....
Un approccio un pò datato potrebbe essere quello di mandare subito
quanto utile su printer.
Per le menti burocratiche una stampa, magari con timbro e firma, è un
notevole risultato finale.
Per esempio, tempo fa avevo predisposto un collettore di log che
filtrava i messaggi da archiviare, mandando immediatamente in stampa
quelle utili, su due stampanti a modulo continuo. La riga usciva
immediatamente su carta, inalterabile, conservabile, fotocopiabile a
richiesta.
Una piccola precauzione potrebbe essere di invitare gli amministratori
a usare due account: quello potente per le operazioni speciali, magari
utilizzato via remote desktop, e quello base, da usare per navigare
scrivere, eccetera.
Altro suggerimento, utilizzare molto scripting da far eseguire da
utenze impersonali via schedulatore. Le modifiche amministrative
saranno replicabili, dimostrabili, documentate, eseguite anche a orari
strampalati ma svincolate dalla registrazione di accesso dell'account
amministrativo personale.
My 2 cents...
Charlie
My 2 cents.

 scomodissimo...
Si concordo...
Ma hai trovato un sistema per esportare in automatico?
Io ho trovato del codice per 
VB.NET
 ma supporta solo Vista :-(


 amministrativo personale.
Questa non l'ho capita :-)
Per� mi hai dato un'idea...
E' possibile creare uno script che, ad esempio ad ogni avvio di Windows 
o ad ogni login utente, fa un salvataggio del log, sfruttando la 
"pressione dei tasti".
Cio� si avvia eventvwr.msc, si preme il tasto "P" per selezionare la 
voce protezione, si preme il tasto che fa comparire il menu contestuale, 
e si preme il tasto "S" che fa salvare con nome il file.
Sono sicuro di riuscire a fare una cosa simile con VB6
Il problema sono eventuali interferenze dell'utente
