Logs, Syslog und Warnmeldungen

Ein Log ist eine mit einem Zeitstempel versehene Aufzeichnung eines Ereignisses: einer Anmeldung, einer Änderung an einer Schnittstelle, eines verworfenen Pakets oder eines Fehlers. Logs sind das Gedächtnis des Netzwerks. Wenn etwas ausfällt, können Sie mithilfe der Logs rekonstruieren, was wann passiert ist. Ohne Protokollierung wird die Fehlersuche zum Rätselraten. Mit ihr verfügen Sie über Belege, anhand derer Sie die Spur bis zur Grundursache zurückverfolgen können.

Syslog ist der seit Langem etablierte Standard zum Erzeugen und Senden von Ereignismeldungen auf Netzwerk- und Unix-ähnlichen Systemen. Geräte erzeugen Syslog-Nachrichten und können sie an einen zentralen Syslog-Server weiterleiten. Diese Zentralisierung ist leistungsfähig: Statt sich bei 50 Geräten anzumelden, durchsuchen Sie eine einzige Stelle. Syslog wird typischerweise über den UDP-Port 514 übertragen.

Bei der zentralen Protokollierung werden Logs vieler Geräte auf einem Server oder in einer Plattform gesammelt. Das hilft auf drei Arten: Sie können Ereignisse geräteübergreifend korrelieren, Logs bleiben auch erhalten, wenn ein Gerät gelöscht wird oder ausfällt, und Sie können alles gleichzeitig durchsuchen. Ein zentraler Log-Speicher ist außerdem für die Sicherheit entscheidend, da Angreifer häufig versuchen, lokale Logs zu löschen, um ihre Spuren zu verwischen.

Syslog ordnet Nachrichten nach ihrem Schweregrad auf einer Skala von 0 bis 7 ein. Niedrigere Zahlen sind dringlicher:

• 0 Emergency, 1 Alert, 2 Critical
• 3 Error, 4 Warning
• 5 Notice, 6 Informational, 7 Debug

Üblicherweise filtern Sie so, dass die zahlreichen Debug-Meldungen die kritischen Meldungen nicht verdecken. Wenn Sie wissen, dass 0 den höchsten Schweregrad darstellt, können Sie Prioritäten setzen.

Jede Syslog-Nachricht enthält außerdem einen Facility-Code, der angibt, woher sie stammt, etwa vom Kernel, vom Mailsystem oder vom Authentifizierungs-Subsystem. Zusammen mit dem Schweregrad hilft die Facility dabei, Nachrichten weiterzuleiten und zu filtern, beispielsweise indem alle Authentifizierungsfehler an ein Sicherheitsteam gesendet werden. Facility und Schweregrad beschreiben gemeinsam sowohl das „Was“ als auch das „Woher“ eines Ereignisses.

Eine typische Logzeile enthält einen Zeitstempel, den Quell-Host oder das Quellgerät, Facility und Schweregrad sowie eine für Menschen lesbare Nachricht. Genaue Zeitstempel sind unverzichtbar. Deshalb synchronisieren Geräte ihre Uhren mit NTP. Wenn zwei Geräte unterschiedliche Uhrzeiten anzeigen, wird die Korrelation ihrer Logs während eines Vorfalls nahezu unmöglich.

Logs sind passive Aufzeichnungen, aber Sie können darauf Warnmeldungen aufbauen. Ein Monitoring-System überwacht eingehende Logs und reagiert auf Muster, etwa fünf fehlgeschlagene Anmeldungen innerhalb einer Minute oder jede Nachricht mit dem Schweregrad „critical“. Die Warnmeldung kann das Personal per E-Mail, SMS oder Pager benachrichtigen. So wird aus einem stillen Log-Datenstrom eine aktive, zeitnahe Warnung, die Aufmerksamkeit erfordert.

Ein SIEM (Security Information and Event Management)-System sammelt Logs aus dem gesamten Netzwerk, normalisiert sie und korreliert Ereignisse, um Bedrohungen zu erkennen. Ein SIEM könnte beispielsweise eine Firewall-Blockierung, eine fehlgeschlagene Anmeldung und ein neues Administratorkonto zu einem zusammenhängenden verdächtigen Vorgang verknüpfen. SIEMs kombinieren Protokollierung, Warnmeldungen und Analyse und sind ein zentraler Bestandteil moderner Sicherheitsabläufe.

Aufbewahrung bezeichnet den Zeitraum, über den Sie Logs speichern. Ist er zu kurz, verlieren Sie für Untersuchungen wichtige historische Daten; ist er zu lang, steigen die Speicherkosten. Viele Organisationen und Vorschriften verlangen, Logs Monate oder Jahre lang aufzubewahren. Eine Aufbewahrungsrichtlinie bringt Untersuchungswert, Compliance-Vorgaben und Speicherkapazität ins Gleichgewicht und wird im Voraus festgelegt, nicht erst nach einem Vorfall.

Da die Korrelation von Logs von einer konsistenten Zeitangabe abhängt, sollte jedes Gerät NTP (Network Time Protocol) verwenden, um seine Uhr mit einer gemeinsamen Quelle zu synchronisieren. Bei synchronisierten Uhren stimmen ein Log der Firewall und ein Log des Servers sekundengenau überein, sodass Sie den Weg eines Ereignisses nachvollziehen können. Nicht übereinstimmende Uhren sind eine klassische und frustrierende Ursache verwirrender Untersuchungen.

Wie bei jedem Monitoring müssen Warnmeldungen abgestimmt werden. Zu viele Warnmeldungen führen zu Warnmeldungsmüdigkeit, sodass wichtige Hinweise ignoriert werden; zu wenige lassen echte Vorfälle unbemerkt. Gute Praxis ist, bei Ereignissen mit hohem Schweregrad und aussagekräftigen Mustern zu warnen, bekannte störende Meldungen zu unterdrücken und die Warnregeln regelmäßig zu überprüfen, wenn sich das Netzwerk verändert.

Testen Sie Ihr Wissen über Protokollierung.

Sie haben Protokollierung und Warnmeldungen kennengelernt. Die wichtigsten Punkte:

• Logs sind mit Zeitstempeln versehene Ereignisaufzeichnungen; Syslog standardisiert sie (UDP 514).
• Zentrale Protokollierung unterstützt Korrelation, Aufbewahrung und Suche.
• Der Schweregrad reicht von 0 (Emergency) bis 7 (Debug); niedrigere Werte sind dringlicher.
• Ein SIEM korreliert Logs, um Bedrohungen zu erkennen.
• NTP hält die Uhren synchron, damit die Logs zeitlich übereinstimmen.