Hva blir logget og hvorfor

Logging

Svært mye aktivitet på systemet blir logget. Dette gjelder f.eks. inn-/utlogginger, SFTP, samba, mail, IMAP og www. I tillegg hender det at andre ting blir logget når det er spesielt behov for det, f.eks. i forbindelse med mistanke om innbrudd. Med unntak av mail og web logger vi kun inngående trafikk. Webloggene er loggene over hvilke sider NTNU sin webserver leverer ut.

Innlogging

Drift logger all innlogging med SFTP og SSH på alle maskiner. Loggen inneholder; tid for innlogging, tid for utlogging, brukernavn, maskin brukeren logger inn fra.

Passordet eller det som overføres (det du ser på skjermen eller det du skriver selv) logges ikke.

Når du er innlogget på en Unix-maskin, kan du bruke kommandoen 'last' (uten fnuttene) for å se de siste innloggingene på maskinen. 'last |grep brukernavnetditt' gir deg oversikten over kun egne innlogginger. Kommandoene 'w' eller 'who' (uten fnuttene) viser brukere som er innlogget akkurat nå. Det er ikke lov å logge output fra w/who for å overvåke innlogginger over tid.

Sambastud

Når du bruker sambastud for å koble opp hjemmekatalogen din, blir dette logget. Det som logges, er tidspunkt for opp- og nedkobling, brukernavn og fra hvilken maskin oppkoblingen skjer. Loggen kan inneholde mer ved behov. Passord logges aldri.

Mail, SMTP

SMTP er inn- og utgående mail, dvs. når mail sendes ut fra og når mail kommer inn til NTNU sin mailserver.

Her logges tidspunkt, hvilken maskin mailen kommer fra, hvor den skal, mailadressen den er sendt fra og mailadressen den skal til. I tillegg logges en del systeminformasjon, som meldingsnummer (msgid), feilmeldinger og liknende.

Innholdet av mailen logges aldri. Drift kan se mailen din dersom det skjer ting som gjør systemet ubrukelig, f.eks. hvis mailserveren kjøres i senk av mailløkker (mer om det senere). Da vil drift så langt det er mulig forsøke å rydde opp i problemene utan å se innholdet i mailen, men i noen få tilfeller er dette ikke til å unngå. Mailinnholdet vil i ingen tilfeller bli logget.

IMAP

IMAP er en måte å lese mail på. Her logger vi inn- og utlogging, brukernavn, tidspunkt, hvilken maskin en bruker IMAP mot og hvilken maskin mailen kommer fra.

WEB

På stud logges ikke hvilke websider brukerne surfer på. Derimot logges all webtrafikk på www.stud.ntnu.no. Navnet på maskinen som henter siden, tidspunkt og filnavn blir logget. Du kan få tilgang til den delen av loggen som gjelder din webside ved å logge inn på følgende side: http://loghost.itea.ntnu.no/weblogger/. Her kan du aktivere webloggingen ved å velge subscribe, og ved å gå inn på samme side kan du se på statistikken på et senere tidspunkt. Du kan også velge unsubscribe, dersom du ikke lenger ønsker tilgang til loggene for websiden din.

En del av webstatistikken legges ut på web. Denne viser ingen statistikk som kan sporest direkte tilbake til bestemte personer eller sider.

Selv om det ikke lages logger over hvilke websider brukerene surfer på, må du være oppmerksom på at dette ligger lagret i minnet på maskinen du har brukt, samt i mange tilfeller også på harddisken. Dersom du har slått på "disk cache" i nettleseren din, vil sider/bilder du har sett på bli lagret på hjemmekatalogen din eller lokalt på disken på maskinen for at det skal gå raskere å hente ned siden på ny. Dette kan du skru av selv i nettleseren din. Dersom du surfer fra NTNUs nett (ikke modem), er det ingen grunn til å ha slik caching slått på siden nettet er tilstrekkeligt raskt.

Drift sjekker ikke diskcachen, men husk at nestemann som bruker maskinen kan gjøre det hvis den ligger på lokal harddisk, eller at det kan skje dersom uvedkommende får tilgang til hjemmkatalogen din.

Utlevering av logger

I utgangspunktet gir ikke drift ut loggene. Unntakene når det gjelder utlevering er:

• Systemansvarlige kan få utlevert deler av loggen for en bestemt maskin dersom de har skjellig grunn til mistanke om at det har skjedd ting som er i strid med IT-reglementet. Dette gjelder f.eks. logger fra samba.
• Logger utleveres ikke til eksterne ISP'er (Internet Service Provider) e.l. Dersom det fattes mistanke om misbruk av NTNU's system, vil saken etterforskes, og dette kan føre til en politianmeldelse av forholdet. Vedlegg til en anmeldelse kan være logger.

Hvorfor logge?

Loggene brukes til systemformål, i dette tilfelle statistikk, etterforsking av innbrudd, mistanke om regelbrudd o.l. Drift leser daglig logger for å avdekke uregelmessigheter. Dersom det er skjellig grunn til mistanke om at noe galt eller ulovlig har skjedd, kan drift gå inn på en brukers hjemmekatalog for å se på innholdet. Grunn til mistanke kommer som regel etter å ha lest logger. Eksempel:

• Stor økning i diskforbruket (kan være indikasjon på at uvedkommende har misbrukt kontoen til distribusjon av programvare, musikk, videoer m.m.)
• Innlogginger fra mange ulike maskiner utenfor ntnu.no.
• Mailløkker.

Vanligvis blir brukeren varslet før slike tiltak iverksettes. Unntak kan være tilfeller der bevis kan gå til spille eller mail til brukeren ikke kommer frem pga. mailløkken. I alle tilfeller blir brukeren varslet i etterkant.