Protokollintegrität: Warum viele Logdateien noch keine belastbare Ereignisspur ergeben

Nach einer Störung sind zahlreiche Logdateien vorhanden. Trotzdem lässt sich ein Vorgang nicht zuverlässig nachvollziehen: Ein Teil fehlt, Zugriffe waren zu weit gefasst oder eine Quelle meldete schon länger nichts mehr. Der Nutzen von Protokollen hängt daher auch davon ab, wie ihre Entstehung, Übertragung und Aufbewahrung geschützt werden.

Schreiben und Auswerten trennen

Ein Konto, das eine Anwendung betreibt, sollte nicht automatisch jede zugehörige Protokollkopie verändern können. Eine getrennte Ablage kann die nachträgliche Manipulation erschweren. Das ist jedoch kein automatischer Beweis der Unveränderlichkeit: Auch Administrationsrechte, Sicherungskopien und Änderungen an der Protokollkonfiguration gehören zum Schutzkonzept. Zuständigkeiten werden ausdrücklich festgelegt.

Vollständigkeit ist selbst ein Überwachungsziel

Ein leeres Ergebnis kann bedeuten, dass nichts passiert ist. Es kann aber auch einen ausgefallenen Sender, eine volle Platte oder einen unterbrochenen Transport anzeigen. Ein fiktives Betriebsteam überwacht deshalb zusätzlich, wann jede wichtige Quelle zuletzt gemeldet hat und ob Einträge verworfen wurden. Eine erwartete Meldungsrate braucht dabei Spielraum für normale Ruhezeiten.

Prüfsummen haben eine begrenzte Aussage

Eine Prüfsumme kann helfen, Veränderungen an einer Datei zu erkennen, wenn ein vertrauenswürdiger Vergleichswert vorhanden ist. Werden Datei und Vergleichswert gemeinsam ungeschützt ersetzt, entsteht daraus kein verlässlicher Nachweis. Ebenso bestätigt die Unversehrtheit einer Datei nicht automatisch, dass die ursprüngliche Anwendung richtige oder vollständige Ereignisse erzeugt hat. Diese Fragen bleiben getrennt.

Nur notwendige Informationen erfassen

Mehr Inhalt ist nicht immer besser. Passwörter, vollständige Zugangstoken und unnötige personenbezogene Angaben gehören nicht in gewöhnliche Diagnoselogs. Für den jeweiligen Zweck werden benötigte Felder, Zugriffsrollen und Aufbewahrung festgelegt. Ein nützlicher Abnahmetest verfolgt einen künstlichen Vorgang durch die gesamte Kette und prüft gleichzeitig, ob eine unterbrochene Protokollquelle als Störung erkannt wird.