Forensische logging op soevereine infrastructuur is het gestructureerd verzamelen, beveiligen en bewaren van auditlogs op systemen die volledig onder Europese jurisdictie vallen, zodat die logs ook na een cyberaanval als juridisch betrouwbaar bewijs kunnen worden gebruikt. Voor compliance officers en IT-beslissers in overheid, juridische dienstverlening en gereguleerde sectoren is dit geen bijzaak: het is de feitelijke ruggengraat van incidentrespons en toezichthouderverantwoording.
Welke wettelijke eisen gelden voor logging en audittrails
NIS-2, DORA en de Nederlandse Cyberbeveiligingswet formuleren elk overlappende maar niet identieke logeisen. Het is essentieel die eisen naast elkaar te kennen voordat u een architectuur kiest.
NIS-2 Artikel 21 (Richtlijn 2022/2555) verplicht essentiële en belangrijke entiteiten tot het nemen van “passende en evenredige technische, operationele en organisatorische maatregelen” om de beveiliging van netwerk- en informatiesystemen te waarborgen. Logging en monitoring worden expliciet benoemd als onderdeel van die maatregelen. Lidstaten vullen de concrete bewaartermijnen in, maar de richtlijn vereist dat logs voldoende zijn om incidenten te reconstrueren.
DORA (Verordening 2022/2554), van toepassing op financiële entiteiten, gaat verder via de bijbehorende Regulatory Technical Standards. DORA RTS ICT risk management artikel 9 specificeert dat ICT-gerelateerde loggegevens voor minimaal vijf jaar bewaard moeten worden en integer, toegankelijk en verifieerbaar moeten zijn. De European Banking Authority benadrukt in de toelichting op die RTS:
“ICT-gerelateerde incidenten moeten kunnen worden gereconstrueerd aan de hand van betrouwbare, integere loggegevens die onafhankelijk verifieerbaar zijn.” (EBA, DORA RTS on ICT Risk Management)
De Cyberbeveiligingswet (Cbw), waarmee Nederland de NIS-2-richtlijn implementeert, legt een zorgplicht op aan aanbieders van essentiële diensten en digitaledienstverleners. De NCSC hanteert daarbij als richtsnoer dat beveiligingsgebeurtenissen minimaal 12 maanden bewaard worden, waarbij de meest recente drie maanden direct opvraagbaar zijn.
Statistiek: IBM berekende in het Cost of a Data Breach Report 2023 dat organisaties gemiddeld 277 dagen nodig hebben om een datalek te identificeren én in te dammen. Zonder complete, integere loghistorie is die reconstructie onmogelijk.
Waarom Big Tech cloudlogging onvoldoende soevereiniteit biedt
Azure Monitor, AWS CloudTrail en Google Cloud Logging zijn technisch capabele oplossingen, maar ze plaatsen de auditdata onder de jurisdictie van de aanbieder en daarmee potentieel onder de reikwijdte van de Amerikaanse CLOUD Act en de Foreign Intelligence Surveillance Act.
Concreet betekent dit dat een Amerikaanse rechter of inlichtingendienst toegang kan vorderen tot logdata die in een EU-datacenter van een Amerikaans bedrijf staan, zonder dat de Europese klant hiervan op de hoogte wordt gesteld. Voor overheidsorganisaties en juridische dienstverleners die vertrouwelijke dossierdata verwerken, is dit een onacceptabel risico. Bovendien zijn logexports uit cloudplatforms formatgebonden en niet altijd voorzien van de cryptografische hashketens die nodig zijn voor forensisch bewijs.
Soevereine SIEM-architectuur die voldoet aan forensische bewijsvereisten
Een soevereine SIEM draait on-premise of bij een gecertificeerde Europese cloudprovider zonder Amerikaanse eigenaars, en is zo ingericht dat de integriteit van logdata ook achteraf aantoonbaar is.
Wazuh als open-source SIEM-kern
Wazuh is een volledig open-source beveiligingsplatform dat log-aggregatie, File Integrity Monitoring (FIM), kwetsbaarheidsbeheer en compliance-rapportage combineert. Omdat de broncode openbaar is, kunnen organisaties de werking onafhankelijk laten verifiëren. Wazuh integreert standaard met OpenSearch Security Analytics, waarmee events gecorreleerd en forensisch doorzocht kunnen worden zonder dat data de eigen omgeving verlaat.
Voor forensische geschiktheid moet Wazuh gecombineerd worden met:
- Write-once indexen in OpenSearch of een afzonderlijk WORM-opslagsysteem (Write Once Read Many), zodat ingeschreven logregels niet overschreven kunnen worden.
- Cryptografische hashing per logregel of logbatch (SHA-256 of hoger), waarmee later aangetoond kan worden dat de data ongewijzigd is.
- Gesegmenteerde loginfrastructuur: de SIEM ontvangt logs via een one-way datadiode of syslog-forwarder vanuit het productienetwerk, maar heeft zelf geen schrijftoegang tot productiesystemen.
Out-of-band logging als laatste verdedigingslinie
Ransomware-groepen als LockBit en BlackCat richten zich bewust op logbestanden en SIEM-agents als eerste stap om forensisch bewijs te vernietigen. De verdediging hiertegen is out-of-band logging: een logstroom die via een afzonderlijk beheernetwerk (geen overlap met het productienetwerk) naar een geïsoleerd opslagsysteem wordt geschreven.
Statistiek: Het ENISA Threat Landscape 2023 documenteert dat bij meer dan 90 procent van de onderzochte ransomware-incidenten bewijs werd gevonden van doelbewuste log-manipulatie of -verwijdering door de aanvallers vóór detectie. Out-of-band opslag die niet bereikbaar is via de aangetaste omgeving, is de enige betrouwbare tegenmaategel.
| Opslagmethode | Tamper-resistance | Forensische bruikbaarheid | Complexiteit implementatie |
|---|---|---|---|
| Lokale logfiles op productieserver | Laag (aanvaller heeft schrijftoegang) | Beperkt | Laag |
| SIEM in hetzelfde netwerksegment | Matig (bereikbaar bij zijwaartse beweging) | Matig | Gemiddeld |
| WORM-opslag + gesegmenteerde SIEM | Hoog (schrijven is eenmalig) | Hoog | Gemiddeld tot hoog |
| Out-of-band logging via aparte beheerinterface | Zeer hoog (netwerk fysiek gescheiden) | Zeer hoog | Hoog |
Bewaartermijnen versus AVG-opslagbeperkingen
Security logs bevatten regelmatig persoonsgegevens: IP-adressen, gebruikersnamen, tijdstippen van activiteit. Dat maakt de AVG direct van toepassing, naast de sectorale logeisen.
De AVG schrijft in artikel 5(1)(e) voor dat persoonsgegevens niet langer bewaard worden dan noodzakelijk voor het doel. Beveiligingslogging valt onder de rechtsgrondslag van een wettelijke verplichting (artikel 6(1)(c) AVG) wanneer NIS-2, DORA of de Cbw die logging voorschrijven. Daarmee is langere bewaring dan voor andere doeleinden gerechtvaardigd, mits:
- de bewaring is beperkt tot logcategorieën die daadwerkelijk noodzakelijk zijn voor de wettelijke verplichting;
- pseudonimisering wordt toegepast waar dat forensisch toelaatbaar is (bij identiteitsrelevante incidenten is dit niet altijd mogelijk);
- toegang tot de logopslag strikt wordt beperkt en gelogd (meta-logging).
Immutable logging: technische implementatie
Onveranderlijke logopslag vereist meer dan een instelling in software. De architectuur zelf moet schrijven na de eerste opslag onmogelijk maken.
Bewezen methoden zijn: S3-compatibele objectopslag met Object Lock in Compliance Mode (beschikbaar in zelfgehoste oplossingen zoals MinIO), optische WORM-media voor archieven met een lange bewaartermijn, en append-only bestandssystemen zoals ZFS met snapshots die niet verwijderd kunnen worden zonder fysieke toegang. De ENISA benadrukt in de Good Practice Guide on Forensics dat immutabiliteit niet alleen technisch maar ook procedureel geborgd moet zijn: geen enkele beheerder mag individueel de mogelijkheid hebben om logs te wissen, ook niet in noodsituaties.
Cryptografische hashketens (Merkle-trees of sequentiële SHA-256-hashing) voegen een verificatielaag toe: zelfs als een aanvaller of insider toch een logregel zou verwijderen, is de keten gebroken en daarmee de manipulatie detecteerbaar.
Chain of custody voor forensisch bewijsmateriaal
De ENISA Good Practice Guide on Forensics stelt dat een log als forensisch bewijs alleen bruikbaar is als de herkomst, de integriteit en de toegangsgeschiedenis ervan gedocumenteerd zijn in een ononderbroken chain of custody.
Een compliance officer legt voor elk forensisch relevant logbestand minimaal vast:
- Het tijdstip van acquisitie en de gebruikte methode (directe export, forensische kopie, hashverificatie).
- De SHA-256-hash van het bewijsbestand direct na acquisitie, ondertekend door de verantwoordelijke functionaris.
- Een register van elke persoon die toegang heeft gehad, inclusief tijdstip en doel.
- De opslaglocatie en het beveiligingsniveau van het bewijsmedium.
- Elke overdracht aan een derde partij (forensisch onderzoeker, toezichthouder, rechtbank), met een nieuwe hashverificatie bij ontvangst.
Dit register is niet alleen relevant bij gerechtelijke procedures, maar ook bij onderzoek door de NCSC, de Autoriteit Persoonsgegevens of een sectorale toezichthouder als de DNB. Zonder dit register is het aangevochten bewijs niet houdbaar.
Praktische stappen voor implementatie
Organisaties die nu nog afhankelijk zijn van cloudlogging via Azure Monitor of AWS CloudTrail kunnen een gefaseerde transitie volgen: eerst een parallelle Wazuh-installatie naast de bestaande cloudlogging, dan validatie van de logvolledigheid, en vervolgens migratie naar gesegmenteerde WORM-opslag. De ENISA Good Practice Guide on Forensics biedt een gedetailleerd raamwerk voor de forensische inrichting van die omgeving, inclusief templates voor chain-of-custody-documentatie.
Veelgestelde vragen
Hoelang moeten security logs minimaal bewaard worden onder NIS-2?
NIS-2 schrijft geen universele minimumbewaartermijn voor in de richtlijntekst zelf, maar verwijst naar “passende” bewaartermijnen die lidstaten nader invullen. In Nederland geldt als richtsnoer minimaal 12 maanden, waarbij de meest recente drie maanden direct opvraagbaar zijn. Voor financiële instellingen die ook onder DORA vallen, geldt de strengere termijn van vijf jaar.
Mogen logs met persoonsgegevens langer bewaard worden voor forensische doeleinden dan de AVG normaliter toestaat?
Ja, mits de organisatie een gedocumenteerde rechtsgrondslag heeft (wettelijke verplichting op grond van NIS-2, DORA of de Cbw), dataminimalisatie toepast door pseudonimisering waar forensisch toelaatbaar, en toegang strikt beperkt en gelogd is. De AVG biedt hiervoor ruimte in artikel 5(1)(e), maar de rechtsgrondslag moet vooraf zijn vastgesteld.
Kan Wazuh voldoen aan de NIS-2 en DORA logeisen als zelfgehoste SIEM?
Wazuh biedt de kernfunctionaliteit voor log-aggregatie, integriteitsmonitoring en compliance-rapportage. Om volledig aan NIS-2 en DORA te voldoen, moet Wazuh gecombineerd worden met write-once opslag, cryptografische hashketens en een gedocumenteerd incidentresponsproces inclusief chain of custody. Wazuh alleen is niet voldoende, maar vormt een sterke open-source basis.
Wat moet een compliance officer vastleggen voor de chain of custody van forensisch bewijsmateriaal?
Minimaal: het tijdstip en de methode van acquisitie, de SHA-256-hash van elk bewijsbestand direct na acquisitie, de identiteit van elke persoon met toegang, de opslaglocatie en beveiliging, en elke overdracht met bijbehorende hashverificatie bij ontvangst. Dit register is juridisch onmisbaar bij toezichthoudersonderzoek of gerechtelijke procedures.
Hoe beschermt out-of-band logging auditlogs tijdens een actieve ransomware-aanval?
Out-of-band logging stuurt logdata via een netwerk dat fysiek of logisch gescheiden is van het productiesysteem, naar een opslagsysteem dat door de aanvaller niet bereikbaar is. Zelfs als de aanvaller volledige controle over het productienetwerk heeft en lokale logs wist, blijft de out-of-band kopie intact. Dit is de enige betrouwbare methode wanneer aanvallers doelbewust logbestanden targeten vóór detectie.
