ZInfV-1 in NIS2
Dnevniški zapisi po ZInfV-1: kaj beležiti, kako dolgo hraniti in kje
Praktičen seznam, kaj morate beležiti, na katerem sistemu in kako to dokažete. Uporabite ga kot izhodišče za pilot SIEM.
Kaj zahteva 24. člen
Kratek odgovor
Katere dnevnike mora zbirati zavezanec ZInfV-1?
Najmanj tiste, ki omogočajo odkrivanje in rekonstrukcijo incidentov: izhodni in vhodni omrežni promet, dostope do sistemov, aplikacij in baz podatkov, spremembe uporabniških računov in avtentikacijske dogodke. Dnevniki morajo imeti sinhroniziran čas in se hraniti najmanj šest mesecev.
Kontrolni seznam po virih
| Vir | Kaj beležiti | Primer dogodka |
|---|---|---|
| Domenski kontrolnik | Uspešne in neuspešne prijave, spremembe računov in skupin, zaklepi | Windows 4624, 4625, 4720, 4728, 4740 |
| Strežniki | Prijave, spremembe pravic, brisanje dnevnikov | Windows 4672, 1102 |
| Požarni zid in VPN | Dovoljen in zavrnjen promet, oddaljene prijave, spremembe pravil | Syslog: allow/deny, VPN login |
| Identiteta v oblaku | Prijave, MFA, sumljive lokacije, spremembe vlog | Entra ID sign-in, audit |
| Poštni sistem | Pravila posredovanja, prijave | Microsoft 365 audit |
| Aplikacije z občutljivimi podatki | Dostop do podatkov, izvozi | Aplikacijski audit |
| Varnostna orodja | Alarmi antivirusa, EDR, IDS | EDR alarmi |
Opomba
Windows ID-ji so splošno znani dogodki (4624 uspešna prijava, 4625 neuspešna, 4720 nov račun, 4728 dodajanje v skupino, 4740 zaklep, 4672 posebne pravice, 1102 izbris revizijskega dnevnika). Vklop revizijskih politik je pogoj, da se dogodki sploh zapišejo.
Čas, hramba in lokacija
- čas: vsi sistemi sinhronizirani (24. člen, 3. odstavek), da je korelacija mogoča
- hramba: najmanj šest mesecev, daljša po analizi tveganj (24. člen, 4. odstavek)
- lokacija: za bistvene subjekte, določene kot kritične po zakonu o kritični infrastrukturi, prvotna hramba v Sloveniji (druga kopija lahko v EU); za ključne dele nacionalnega varnostnega sistema samo v Sloveniji; za digitalno infrastrukturo v EU (po oceni tveganj tudi zunaj); za druge zavezance posebne lokacije ni, veljajo pa pravila GDPR; preverite uradno besedilo
- varnost: dnevniki morajo biti zaščiteni pred spremembami in nepooblaščenim dostopom
Kako Huntress SIEM pomaga
Huntress zbira Windows Event Logs (Security in izbrane Application) prek agenta, syslog požarnih zidov, identiteto Microsoft 365 in Entra ID prek ITDR ter AWS CloudTrail. Podatki se hranijo privzeto eno leto. Kategorije, ki jih Smart Filtering shrani, potrdimo za vsak vir ob uvedbi.
Pogosta vprašanja
Kaj je, če dnevnikov nimam?
Ob incidentu ne boste mogli rekonstruirati poteka, kar otežuje prijavo, preiskavo in odgovornost. Poleg tega je lahko kršena zahteva iz 22. in 24. člena.
Ali je dovolj, da dnevnike hranijo sami sistemi?
Običajno ne. Dnevniki na samem sistemu so ranljivi (napadalec jih izbriše), omejene velikosti in težko iskani. Osrednja hramba je zato običajna rešitev.
Sorodne strani
Viri
Avtor: strokovna ekipa družbe 4secnet. Zadnji pregled vsebine: 28. 10. 2026. Vsebina je informativna in ni pravni nasvet. Zakonske zahteve preverite v uradnem besedilu.
Povpraševanje
Pošljite podatke o okolju, ponudbo pripravimo mi
Potrebujemo število virov, status po ZInfV-1 in želeno hrambo. Cen ne objavljamo, ker so odvisne od števila virov.