Grundlagen der Event Log Monitoring und Log Audit Software

Ereignisprotokolle können Ihnen dabei helfen, Sicherheitsereignisse zu erkennen und zu beheben, um Ihre Systeme und Daten zu schützen. Allerdings können Protokollaufzeichnungen schwer zu lesen sein und Protokolle so umfangreich, dass Sie oft Seiten von Ereignissen durchsuchen müssen, um kritische Ereignisse und potenzielle Bedrohungen zu identifizieren.

Lesen Sie weiter, um mehr über Audit-Protokolle, Protokollanalyse und Protokoll-Auditing-Software zu erfahren.

Was ist ein Audit-Protokoll?

Ein Audit-Log ist ein Verzeichnis von Änderungen und Ereignissen in IT-Systemen. Viele Anwendungen, Dienste, Betriebssysteme und Netzwerkgeräte erzeugen Ereignisprotokolle; Beispiele hierfür sind Microsoft Windows-Ereignisprotokolle und Syslog. IT-Manager und Administratoren nutzen Audit-Logs, um verdächtige Aktivitäten zu erkennen und Vorfälle zu untersuchen.

Das Format von Protokolldaten kann je nach Quelle erheblich variieren, aber Protokolle erfassen im Allgemeinen Ereignisse, indem sie aufzeichnen:

• Der Zeitpunkt, zu dem das Ereignis eintrat
• Details darüber, was passiert ist und wo
• Informationen darüber, welcher Benutzer das Ereignis verursacht hat
• Details über die Reaktion des Systems, einschließlich Nachrichten wie „Audit Failure“, „Request accepted“ oder „Access denied“.

Die Aufrechterhaltung einer guten Audit-Trail ist so wichtig, dass das Center for Internet Security (CIS) das Log-Management als eine seiner critical security controls auflistet. Darüber hinaus fordern viele Standards und Vorschriften – wie der Payment Card Industry Data Security Standard (PCI DSS), der Health Insurance Portability and Accountability Act (HIPAA), der Sarbanes-Oxley (SOX) Act und der Gramm-Leach-Bliley Act – von Unternehmen, Audit-Logs zur Einhaltung der Compliance zu erstellen und zu führen, und können die Abdeckung spezifischer Ereigniskategorien verlangen. Zum Beispiel erfordert PCI DSS die Überwachung des Zugriffs auf Karteninhaberdaten und verschiedene Verbraucher-data privacy laws regulieren, wie Unternehmen Kundendaten sammeln, speichern und teilen.

Was ist bei der Überwachung von Audit-Protokollen beteiligt?

Die Überwachung von Audit-Protokollen besteht üblicherweise aus den folgenden Schritten:

1. Protokollerfassung

Der erste Schritt beim Überwachen von Ereignisprotokollen ist die Entscheidung:

• Von welchen Computern, Software, Geräten und anderen Systemen Ereignisse gesammelt werden sollen
• Welche Einstellungen für jedes Protokoll verwendet werden sollen, wie zum Beispiel, ob die Standardprotokollgröße verwendet werden soll
• Wie die Daten gespeichert und gesammelt werden
• Wie die normalisierten Zeiteinstellungen aussehen sollten (Quelle und Zeitzone)

Obwohl es klug erscheinen mag, alle Informationen aus allen Quellen zu sammeln, kann diese Strategie aufgrund der Notwendigkeit, riesige Datenmengen zu speichern und zu verarbeiten, ziemlich teuer sein. Stattdessen sollten Organisationen sorgfältig bestimmen, welche Ereignisse sie von welchen Quellen sammeln, und das Verlangen nach umfassender Datensammlung gegen die damit verbundenen Kosten abwägen.

2. Log-Aggregation

Sobald Sie damit begonnen haben, Protokolldaten zu sammeln, müssen Sie diese an einem Ort aggregieren. Eine gute Option ist die Implementierung einer Protokollmanagementlösung, die große Datenmengen aus vielen Quellen aggregieren kann.

3. Log Parsing

Als Nächstes müssen die aggregierten Protokolldateien geparst werden. Das einfachste Beispiel ist das Aufteilen nahtloser Protokollstrings in separate Felder.

4. Log-Normalisierung

Verschiedene Systeme verwenden unterschiedliche Formate für ihre Protokolldateien, wie zum Beispiel CEF, JSON oder CSV. Um Benutzern und Systemen das Lesen und Analysieren der Daten zu ermöglichen, müssen diese in ein einheitliches Format standardisiert werden.

5. Ereigniskorrelation

Die Ereigniskorrelation ist der Prozess, Beziehungen zwischen Ereignissen in verschiedenen Protokollen zu finden, wie zum Beispiel Active Directory security Protokolle, Firewall-Protokolle und Datenbankprotokolle. Wenn Sie beispielsweise einen Serverausfall hatten, möchten Sie vielleicht feststellen, welche Anwendungen betroffen waren, indem Sie die Ereignisse in den Server- und Anwendungsprotokollen abgleichen.

Die häufigste Art der Ereigniskorrelation verwendet Regeln, um Logeinträge anhand von Ereignistyp, Zeitstempel, IP-Adresse und anderen Kriterien abzugleichen. Ereigniskorrelation stützt sich oft auf statistische Analysen.

6. Log-Analyse

Letztendlich müssen Sie, um sich auf tatsächliche Bedrohungen und andere kritische Ereignisse zu konzentrieren, Ihre Daten analysieren. Zentralisierte Log-Management-Plattformen können den Prozess der Logdatenanalyse automatisieren und optimieren. Sie verwenden Visualisierungen, um Ähnlichkeiten und Korrelationen zwischen Ereignissen hervorzuheben, was es einfacher macht, Probleme zu erkennen, Ursachen zu ermitteln und angemessene Reaktionsmaßnahmen zu bestimmen.

SIEM-Lösungen für die Überwachung von Audit-Protokollen

Lösungen für Security Information and Event Management (SIEM) können ein effizientes und zuverlässiges Log-Monitoring bieten. SIEM-Software sammelt typischerweise Log-Daten, die von verschiedenen Quellen generiert werden, korreliert Ereignisse, führt komplexe Bedrohungsanalysen durch und bietet Alarmierungsfunktionen, die es IT-Teams ermöglichen, schnell zu reagieren.

Allerdings haben SIEM-Log-Überwachungstools einige Nachteile. Insbesondere sind sie oft:

• Komplex und teuer: Im Vergleich zu Log-Management-Lösungen sind SIEM-Tools komplizierter zu bedienen und einzurichten. Daraus resultierend könnten sie spezialisiertes — und kostspieliges — Personal erfordern.
• Nicht darauf ausgelegt, Schwachstellen zu identifizieren: SIEMs sind darauf ausgelegt, aktive Bedrohungen zu erkennen, aber sie können keine Sicherheitslücken erkennen, um Ihre Angriffsfläche zu reduzieren oder Ihnen zu helfen zu verstehen, welche Daten sensibel sind und Schutz benötigen.
• Wahrscheinlich werden Fehlalarme erzeugt: SIEM-Tools können zahlreiche Fehlalarme erzeugen. IT-Teams werden enorme Mengen an Zeit mit der Untersuchung verbringen, wenn die Tools nicht richtig eingestellt sind.

Erweitern Sie Ihre Protokollüberwachungsfähigkeiten mit Netwrix Solutions

Netwrix-Produkte bieten einen ganzheitlicheren Ansatz für Sicherheit als SIEM-Lösungen:

• Netwrix Auditor wird Ihnen helfen, regelmäßige Risikobewertungen durchzuführen, um die Sicherheit zu verbessern, Compliance-Audits zu bestehen und IT-Operationen zu optimieren.
• Netwrix Change Tracker wird Ihnen helfen, sichere Konfigurationen kritischer Systeme zu etablieren und aufrechtzuerhalten.
• Netwrix Data Classification wird sensible und geschäftskritische Inhalte in Ihrer Organisation identifizieren und klassifizieren.
• Netwrix StealthDEFENDund Netwrix Threat Prevention helfen Ihnen dabei, abnormales Verhalten und fortgeschrittene Angriffe zu identifizieren und darauf zu reagieren.

FAQ

Was ist die Überwachung von Ereignisprotokollen?

Die Überwachung von Ereignisprotokollen ist der Prozess der Verarbeitung und Analyse der Protokolle aus IT-Systemen von Unternehmen.

Was ist Audit-Log-Überwachung?

Die Überwachung von Audit-Protokollen ist ein anderer Begriff für die Überwachung von Ereignisprotokollen. Ein weiterer austauschbarer Begriff ist die Überwachung von Protokolldateien.

Was verraten Ihnen Ereignisprotokolle?

Ereignisprotokolle enthalten Informationen über den Betrieb und die Nutzung von Betriebssystemen, Geräten und Anwendungen.