EN18031日志机制在4G无线路由器中的应用
EN18031日志机制（LGM）概述
日志机制（LGM）是设备记录内部活动的功能，这些活动与隐私资产及其保护相关。其主要目的是提供事件信息，以帮助识别潜在的异常设备行为、安全/数据泄露等。
日志机制（LGM）是EN 18031-2:2024欧洲标准中定义的一项关键安全要求，旨在提高无线电设备对网络和隐私资产的保护能力。它适用于互联网连接的无线电设备 和处理个人数据、流量数据或位置数据的无线电设备，同时涵盖网络设备。因此，4G无线路由器作为一种互联网连接的无线电设备和网络设备，其日志机制应遵循LGM的要求。
▶ 日志机制（LGM）在4G无线路由器中的应用
1. LGM-1：日志机制的适用性
要求：设备应使用日志机制来记录与隐私资产及其保护相关的内部活动（事件），除非法律义务禁止此类日志记录。
原理：日志信息有助于识别异常设备行为、安全/数据泄露。制造商应确定日志的目的、收集的数据以及日志数据的保护和处理要求，例如提供数据给安全信息和事件管理（SIEM）系统。典型的日志事件包括：系统访问成功和拒绝事件、个人数据、流量数据或位置数据的更改、文件访问类型以及重要数据文件的删除。防篡改日志记录至关重要。
在4G无线路由器中的应用：
- 连接事件：记录用户或设备连接到路由器的尝试（成功或失败），包括Wi-Fi和蜂窝网络连接。
- 配置更改：记录对路由器设置的所有更改，例如密码更改、防火墙规则修改、端口转发设置等。
- 数据流事件：记录异常的网络流量模式、潜在的拒绝服务（DoS）攻击指示、以及与隐私功能相关的任何数据处理活动。
- 固件更新：记录固件更新的开始、成功或失败。
- 设备状态：记录设备启动、关机或重启事件。
- 隐私数据访问：如果路由器存储或处理用户的个人数据（如连接历史、位置信息），则需要记录对这些隐私资产的访问和修改尝试。
2. LGM-2：日志数据的持久存储
要求：LGM-1所要求的日志机制应将相关事件的日志数据存储在设备的持久存储器中，除非日志数据存储在设备外部。
原理：事件日志在设备断电后必须保持持久性，以防止意外或故意的擦除。
在4G无线路由器中的应用：
- 内部存储：4G路由器通常应在其内部非易失性存储器（如闪存）中存储日志，以确保重启后日志不会丢失。这对于事后分析和故障排除至关重要。
- 外部存储（可选）：如果路由器支持外部日志功能（例如，将日志发送到云端日志服务器），则可以免除在设备内部持久存储某些日志的义务。然而，这通常需要用户进行配置，并且外部存储的安全性也需要确保。
3. LGM-3：持久存储的最低事件数量
要求：LGM-1所要求的日志机制在设备持久存储中存储的所有日志数据，应始终包含最低数量的最新事件。
原理：保留最低数量的最新事件，是为了确保有足够的审计线索，以便有效进行调查。
在4G无线路由器中的应用：
- 存储容量管理：考虑到路由器通常存储容量有限，需要合理定义并实现日志数据的循环写入机制，确保总是保留最新且足够数量的日志。
- 配置选项：用户文档应说明可以持久存储的最新事件的最小数量。
- 优先级：关键安全事件（如入侵尝试、认证失败）的日志优先级高于普通操作事件。
4. LGM-4：持久存储日志数据的时间相关信息
要求：LGM-1所要求的日志机制在设备持久存储中存储的所有日志数据应包含时间戳（如果设备具备实时时钟），或者时间相关信息（如果设备不具备实时时钟）。
原理：包含事件发生时间戳或时间相关信息，有助于调查以理解事件的时间顺序，并与其他设备上的日志进行比较。
在4G无线路由器中的应用：
- 实时时钟（RTC）：大多数现代4G路由器都包含实时时钟，因此应记录精确的时间戳（年、月、日、时、分、秒）。这些时间戳对于跨多个设备进行事件关联和取证分析至关重要。
- 时间同步：路由器应支持网络时间协议（NTP）等机制，以确保其实时时钟与标准时间源同步，避免时间漂移导致日志时间不准确。
- 无实时时钟情况：如果路由器不具备实时时钟，可以记录设备启动以来的秒数或事件序列号作为时间相关信息。虽然不如精确时间戳有用，但仍能提供事件的相对顺序。
总之，LGM要求4G无线路由器产品不仅要记录与安全和隐私相关的关键事件，还要确保这些日志数据的持久性、数量足够且包含准确的时间信息。这对于保障用户隐私、提高设备网络弹性以及在发生安全事件时进行有效调查都至关重要。
▶ 日志机制（LGM）与其他安全机制的协同
日志机制（LGM）与其他多项安全机制紧密关联，共同构成了设备全面的安全和隐私保护体系。这些关联既有直接的功能依赖，也有在更广泛的安全目标下相互支持的作用。
安全存储机制(SSM)
- 直接关联：LGM要求记录的日志数据需要持久存储，除非这些数据存储在设备外部。而SSM的核心要求之一就是保护设备上持久存储的安全资产和隐私资产。由于日志数据通常与隐私资产及其保护相关，因此LGM生成的日志数据（作为一种敏感的隐私资产）的持久存储理应受到SSM的保护。
- 实现细节：SSM通过提供完整性保护（例如数字签名、访问控制、一次性可编程存储器或硬件保护）和机密性保护（例如加密、访问控制或硬件保护）来确保存储的数据不被篡改或泄露。这意味着存储日志的完整性和机密性将由SSM的各项要求来保障。
访问控制机制(ACM)
- 事件记录：LGM的指导原则中提到，典型的日志事件包括“系统访问成功和拒绝事件”以及“文件访问类型”。这些都直接与用户或实体对设备资源（包括安全资产和隐私资产）的访问尝试和结果相关，而这些访问正是由ACM进行管理和控制的。因此，LGM记录了ACM的活动，以提供审计线索。
认证机制(AUM)
- 事件记录：与ACM类似，LGM日志中包含的“成功和拒绝的系统访问事件”以及日志事件可能包含的“用户ID”，都直接涉及用户或实体的身份验证过程。AUM负责验证实体身份的真实性。LGM通过记录这些认证尝试和结果，能够帮助识别未经授权的访问尝试或暴力破解攻击（AUM-6相关）。
删除机制(DLM)
- 事件记录：LGM的指导原则中明确提到要记录“重要数据文件的删除”。这与DLM的要求相关，DLM旨在允许用户删除设备上存储的个人数据和敏感安全参数，以防止数据在设备处置或更换时泄露。LGM记录删除事件有助于审计和确保数据删除的合规性。
安全通信机制(SCM)
- 外部日志存储：如果日志数据不存储在设备内部，而是存储在设备外部（例如发送到远程日志服务器），那么这些日志数据在传输过程中就需要通过SCM进行保护。SCM确保通信的完整性、真实性、机密性和防重放保护。
- 网络活动记录：LGM日志中可能包含“网络地址和协议”等信息，这些是SCM所处理的通信活动的核心要素。
机密加密密钥(CCK) 和 加密机制 (CRY)
- 底层安全保障：虽然LGM本身不直接管理密钥或加密算法，但它所关联的SSM和SCM往往会依赖CCK和CRY来提供强大的保护。例如，SSM-3要求对机密个人信息、隐私功能配置和机密安全参数进行机密性保护，这通常通过加密来实现。SSM-2的完整性保护也可能涉及数字签名。这些加密和签名操作都离不开CCK（机密加密密钥）和CRY（加密机制）的最佳实践。LGM的指导原则中也提到制造商应确定“日志数据的保护和处理要求”，这涉及使用加密。
用户通知机制(UNM)
- 间接关联：UNM旨在通知用户影响个人信息保护或隐私的变更。虽然LGM负责记录内部活动以检测问题，但如果这些活动（例如日志设置的重大更改，这会影响个人信息的保护）发生变化并达到需要用户关注的程度，UNM可能会被触发以通知用户。在STRIDE威胁模型中，UNM和LGM都属于“检测（Detect）”类别，并且UNM可以帮助缓解“信息泄露”的威胁，LGM则可用于检测“篡改”和“信息泄露”。
这些机制共同作用，确保了设备的安全性、数据隐私性以及在发生安全事件时能够进行有效的追溯和分析。LGM作为事件记录的核心，为其他机制的有效运行和审计提供了关键信息。