Was ist Sicherheitsüberwachung?
Sicherheitsüberwachung (Security Monitoring) heißt, die Spuren einer IT-Anlage laufend zu lesen, um Angriffe früh zu bemerken. Wer nichts aufzeichnet, erfährt von einem Einbruch erst, wenn die Kundschaft anruft.
Ein Webshop in Leipzig schreibt jeden Tag tausende Zeilen. Fast alle sind harmlos. Das Team muss wissen, welche es lesen soll.
Am Ende dieser Lektion
Notiz
Ich kann entscheiden, was ein Team protokolliert und überwacht.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Protokoll (Log) | eine Datei, in die ein Programm schreibt, was es getan hat | |
| Ereignis | eine einzelne Zeile im Protokoll | |
| Quelle | das Programm, das die Zeile geschrieben hat | sshd |
| Metrik | eine Zahl über die Zeit | Anmeldungen pro Minute |
| Signal | ein Ereignis, das auf einen Angriff hindeuten kann | |
| Rauschen | alltägliche Ereignisse ohne Bedeutung für die Sicherheit |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein Log hält Ereignisse fest, eine Metrik zählt
Ein Log hat für jedes Ereignis eine Zeile mit Zeit, Quelle und Meldung. So sehen Sie, was genau geschah.
Eine Metrik ist eine Zahl über die Zeit, etwa fehlgeschlagene Anmeldungen pro Minute. Sie zeigt auf einen Blick, wenn etwas ungewöhnlich wird. Gute Überwachung nutzt beides.
Welche Quelle beantwortet welche Frage?
| Quelle | Was sie festhält | Eine Frage, die sie klärt |
|---|---|---|
| Anmeldelog | Anmeldungen und Fehlversuche | Wer kam wann hinein? |
| Weblog | Jede Anfrage an den Webserver | Welche Seite wurde abgerufen? |
| Systemlog für Zeitpläne (Cron) | Geplante Aufgaben, die gelaufen sind | Welcher Job lief um 03:00 Uhr? |
| Firewall-Log | Verbindungen, die durchgelassen oder blockiert wurden | Wer klopfte an welchem Port? |
| Datenbank-Log | Abfragen und Fehler der Datenbank | Wer las die Kundentabelle? |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Wie viele Zeilen haben die zwei Logs?
wc -l case/var/log/auth.log case/var/log/nginx/access.logHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Welche Quellen schreiben im Anmeldelog am meisten?
awk '{print $5}' case/var/log/auth.log | sed 's/\[.*//' | sort | uniq -c | sort -rn | head -n 3Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Das meiste im Log ist Rauschen
Ein Cron-Job, der jede Stunde läuft, schreibt jeden Tag viele Zeilen. Das ist Rauschen: normal und ohne Bedeutung für die Sicherheit.
Ein Signal ist selten. Es ist ein Ereignis, das nicht zum Alltag passt. Überwachung heißt, das Rauschen zu kennen, damit das Signal auffällt.
Ein Beispiel: Anteil je Quelle im Anmeldelog
| Quelle | Zeilen | Anteil an 1366 Zeilen |
|---|---|---|
| sshd | 798 | 58 Prozent |
| CRON | 560 | 41 Prozent |
| systemd-logind | 6 | weniger als 1 Prozent |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Das Weblog nach Statuscode zählen
awk '{print $9}' case/var/log/nginx/access.log | sort | uniq -cHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Ein häufiger Fehler
Warnung
Viele glauben, mehr Protokolle seien immer besser. Doch jede Quelle ohne Frage dazu fügt nur Rauschen hinzu. Fragen Sie zuerst, welchen Angriff Sie erkennen wollen. Wählen Sie dann die Quellen, die ihn zeigen würden.
Drei Regeln für gutes Protokollieren
Eine Uhr für alle. Alle Maschinen gehen gleich, sonst lassen sich Logs nicht in eine Reihenfolge bringen.
Lange genug aufbewahren. Ein Einbruch wird oft erst nach Wochen bemerkt.
Eine Kopie an einem anderen Ort. Wer einbricht, löscht gern die Spuren auf der eigenen Maschine.
Weiterführend
Zählen Sie im Weblog, wie oft jede Seite abgerufen wurde. Die Seite steht in Spalte 7.
Behalten Sie die drei häufigsten und sagen Sie in einem Satz, ob sie normalen Besuch oder Rauschen zeigen.