Warum Protokolle einen Sonderfall darstellen
Die allgemeine Prüfung der Dateiintegrität schützt Dateien, die sich nur selten ändern sollten. Protokolldateien ändern sich dagegen konstruktionsbedingt ständig: Jede Betriebsminute fügt neue Einträge hinzu. Ein einfacher Vergleich mit der Basislinie von gestern meldet deshalb Tausende erwarteter Unterschiede und verdeckt den einen, der zählt. Die protokollspezifische Prüfung stellt daher eine engere Frage: Hat sich die Datei auf eine Weise verändert, die bloßes Anhängen nicht erklären kann?
Der zweite Grund ist beweisrechtlich. Bei der Untersuchung eines Vorfalls ist das Protokoll die wichtigste Quelle, um einen Zeitablauf zu rekonstruieren: wer sich angemeldet hat, was geöffnet und was kopiert wurde. Wer das Protokoll kontrolliert, kontrolliert die Darstellung der Ereignisse, und ein privilegierter Benutzer kann oft selbst die Einträge schreiben, die seine Handlungen beschreiben.
So wird die Integrität von Protokollen geprüft
Mehrere Kontrollen greifen ineinander. Die wichtigsten sind:
| Kontrolle | Was sie leistet |
|---|---|
| Kryptografisches Hashing | Erkennt jede Änderung, auch Bearbeitungen, die die Dateigröße beibehalten |
| Hash-Verkettung | Die Kette bricht, wenn früherer Inhalt geändert, umsortiert oder entfernt wird |
| Digitale Signaturen | Ermöglichen die Prüfung der Echtheit unabhängig vom Speicher |
| Zentralisierte Weiterleitung | Kopien fast in Echtzeit an einen Sammler außerhalb der Kontrolle der Quelle |
| Nur-Anhänge-Speicherung | Verhindert Änderung oder Löschung physisch für einen festgelegten Zeitraum |
| Zeitintegrität | Synchronisierte Uhren und Überwachung von Uhrzeitänderungen |
Was als Manipulation gilt
Manipulation nimmt erkennbare Formen an, und diese zu kennen ist die halbe Erkennung:
- Änderung von Einträgen: Ein Datensatz (Benutzername, Aktion oder Ergebnis) wird umgeschrieben, während die umgebenden Zeitstempel und Zeilenzahlen erhalten bleiben.
- Kürzung: Entfernen des Dateiendes, wo die neuesten und belastendsten Einträge stehen.
- Selektives Löschen: Einzelne Einträge werden entfernt und Lücken geschlossen, oder ganze Dateien werden gelöscht und die Rotation als Grund angegeben.
- Missbrauch der Rotation: Erzwungene schnelle Rotation, damit unbequeme Einträge vorzeitig aus der Aufbewahrung fallen.
- Deaktivierte Protokollierung: Die Audit-Protokollierung wird abgeschaltet, gehandelt und wieder aktiviert. Die Lücke selbst ist der Beweis.
- Manipulation von Zeitstempeln: Änderung der Systemuhr oder Einfügen von Einträgen außer der Reihe, um die Ereignisfolge zu verzerren.
Verhältnis zur Überwachung der Dateiintegrität
Die Prüfung der Integrität von Protokolldateien ist eine spezialisierte Anwendung der Dateiintegritätsprüfung und von FIM. Sie nutzt dieselbe Idee aus Hashwert und Basislinie. Die Unterschiede liegen in der Gewichtung, nicht im Prinzip.
| Aspekt | Dateiintegrität allgemein | Prüfung von Protokollen |
|---|---|---|
| Erwartete Änderungen | Sollten selten vorkommen | Ständig, da jede Minute neue Einträge bringt |
| Vergleichsmethode | Periodischer Vergleich der ganzen Datei, durch hohes Volumen geschwächt | Streaming-Methoden: Weiterleitung, Verkettung, Signatur beim Schreiben |
| Hauptziel | Erkennen, dass sich eine Datei geändert hat | Den Beweiswert jedes Eintrags über die gesamte Aufbewahrungszeit wahren |
Compliance- und forensischer Kontext
Sicherheits-Frameworks behandeln Audit-Protokolle als geschützte Datensätze. PCI DSS verlangt den Schutz von Protokolldaten vor Änderungen, die ISO-27000-Familie erwartet Kontrollen für Protokollierung und Überwachung, und SOC-2-Prüfungen untersuchen die Integrität von Protokollen. Die gemeinsame Erwartung ist, dass sich belegen lässt, dass Protokolle über ihre gesamte Aufbewahrungszeit vollständig und unverändert sind.
Bei der Reaktion auf Vorfälle hängt der Wert eines Protokolls vom Vertrauen darin ab. Ein Ermittler, der Manipulation nicht ausschließen kann, muss den Zeitablauf als unzuverlässig behandeln und durch unabhängige Quellen bestätigen. Integritätskontrollen machen ein Protokoll zu einer verlässlichen Grundlage statt zu einem bloßen Hinweis.
In der eigenen Konsole führt Anexet dieselbe Art von Nachweis. Das Ermittlungsprotokoll zeigt, wann jeder Fall angelegt wurde und wer ihn geöffnet hat, sodass die Arbeit an jedem Fall nachvollziehbar bleibt. Der Ereignisverlauf lässt sich vor der Prüfung außerdem nach Datum und Schweregrad eingrenzen.
1 / 2
Praktische Hinweise für den Einsatz
Bewährte Umgebungen haben einige gemeinsame Merkmale. Protokolle verlassen das Quellsystem zügig und landen in einem Speicher, auf den die Administratoren der Quelle selbst nicht schreiben können. Die Uhren sind über die gesamte Infrastruktur synchronisiert, denn Integrität ohne genaue Zeit ergibt trotzdem einen fehlerhaften Zeitablauf. Die Überwachung achtet auf das Ausbleiben von Protokollen ebenso wie auf Änderungen: Ein Server, dessen Protokolle nicht mehr eintreffen, verdient einen Alarm.
Die Prüfung erfolgt bei der Aufnahme und nach der Speicherung. Aufbewahrung und Integrität werden gemeinsam festgelegt, denn eine mehrjährige Aufbewahrung setzt dieselbe mehrjährige Fähigkeit voraus, nachzuweisen, dass der Datensatz unverändert ist.
Weiterlesen: Was sind SIEM-Systeme für die Verwaltung der Informationssicherheit?.
Ein Protokoll ist nur so viel wert wie der Nachweis, dass niemand es seit seiner Erstellung verändert hat.
Anexet TeamWie Anexet das löst
Die Prüfung der Integrität von Protokolldateien gehört im klassischen Sinne zu Sicherheitswerkzeugen auf Systemebene: Anexet ist keine Engine zur Überwachung der Dateiintegrität und überprüft nicht die Protokolldateien von Betriebssystemen oder Anwendungen Dritter. Die Überschneidung ist enger gefasst. Anexet erzeugt seine eigene Ereignisaufzeichnung datenbezogener Aktivitäten, konzipiert für denselben Zweck: festzustellen, was geschehen ist, wann, und welches Konto dafür verantwortlich war.
Da Anexet on-premise läuft, verbleiben die von ihm erfassten Ereignisse, einschließlich des Audit-Trails darüber, wie Untersuchungen durchgeführt wurden, innerhalb der Infrastruktur der Organisation und unter ihren eigenen Zugriffskontrollen.
Ereigniserfassung mit Metadaten
jedes überwachte Ereignis, eine Übertragung, eine Blockierung, eine Quarantäne, ein Alarm, wird mit Metadaten erfasst: Benutzer, Zeitstempel, Kanal, Inhaltsklassifizierung und die ergriffene Maßnahme, zentral gespeichert statt nur auf dem Endpunkt.
Durchsuchbare, exportierbare Historie
erfasste Ereignisse können in gängigen Formaten durchsucht, gefiltert und exportiert werden, darunter PDF, CSV, XLSX und HTML, zur Überprüfung, Aufbewahrung und zum Teilen mit Prüfern.
Untersuchungen als Fälle
Sicherheitsvorfälle werden als Untersuchungsfälle behandelt: zugehöriges Material, beteiligte Personen, Aktivitäten und deren Ergebnisse sowie Erkenntnisse bleiben als strukturierter Fall zusammen statt als lose Dateien.
Audit-Trail der Untersuchung selbst
jeder Fall führt ein eigenes Protokoll darüber, wer daran gearbeitet hat, wer ihn verändert und wer ihn nur ohne Änderungen eingesehen hat, , sodass sich die Integritätsfrage auch auf die Untersuchung selbst erstreckt.
Ergänzend, nicht überlappend
für die Integrität von Betriebssystem- und Anwendungsprotokolldateien bleiben dedizierte Werkzeuge zum Protokollschutz die richtige Antwort; der Beitrag von Anexet ist der vollständige, zurechenbare Audit-Trail der Datenverarbeitung, eingesetzt neben diesen Systemprotokollen.
Anexet DLP
Mehr erfahren