Log-Management: Was protokollieren, wie aufbewahren und auswerten

„Wir wissen nicht was passiert ist" - dieser Satz nach einem Sicherheitsvorfall ist vermeidbar. Zentrales Log-Management ist die Voraussetzung für Incident Response, Forensik und Compliance-Nachweise. Und es ist günstiger als die meisten denken: Open-Source-Lösungen wie ELK Stack oder Graylog sind leistungsfähig und kostenfrei.

Was muss protokolliert werden?

KRITISCH (ohne diese ist Incident Response unmöglich):

Active Directory / Entra ID:

• Event ID 4624: Erfolgreicher Login
• Event ID 4625: Fehlgeschlagener Login (Brute Force!)
• Event ID 4648: Login mit explizitem Credential (Pass-the-Hash?)
• Event ID 4720: User-Account erstellt
• Event ID 4726: User-Account gelöscht
• Event ID 4728/4732/4756: User zu privilegierter Gruppe hinzugefügt
• Event ID 4740: Account gesperrt (Brute Force?)
• Event ID 4768/4769: Kerberos TGT/Ticket requested
• Event ID 4771: Kerberos pre-authentication failed

Firewall / Perimeter:

• Alle verworfenen eingehenden Verbindungen
• Erlaubte eingehende Verbindungen auf Port 22, 3389, 443
• Alle ausgehenden Verbindungen auf ungewöhnliche Ports
• VPN-Logins und -Logouts

Endpunkte (Windows Event Log):

• Event ID 4688: Neuer Prozess gestartet (Process Creation)
• Event ID 7045: Neuer Dienst installiert (Persistence!)
• Event ID 4657/4663: Registry- / Datei-Zugriff auf kritische Pfade
• Event ID 4698: Geplante Aufgabe erstellt (Persistence!)
• Event ID 1102/104: Event Log gelöscht (Angreifer verwischt Spuren!)

WICHTIG:

Web Server / Reverse Proxy:

• Alle HTTP-Requests mit Status-Code 4xx, 5xx
• User-Agent, Source-IP, URL
• Authentifizierungsversuche

Datenbank:

• Fehlerhafte Login-Versuche
• DDL-Operationen (CREATE TABLE, DROP TABLE)
• Große Data-Exports (SELECT * mit vielen Zeilen)

E-Mail-Gateway:

• Blockierte E-Mails (Phishing-Versuche!)
• E-Mails mit verdächtigen Anhängen
• Spam-Score-Überschreitungen

VPN:

• Alle Logins mit IP-Adresse
• Verbindungsdauer
• Transfervolumen pro Session

DNS:

• Alle DNS-Abfragen (wertvoll für C2-Erkennung)
• NXDOMAIN-Antworten (Typosquatting-Versuche?)
• Abfragen für bekannte Malware-Domains

Log-Aufbewahrungsfristen

Regulatorische Mindestfristen:

• DSGVO: Keine direkte Vorschrift für Log-Retention. Art. 5(1)(e) Speicherbegrenzung - nicht länger als nötig. Art. 30: Verarbeitungsverzeichnis muss Log-Kategorien enthalten. Praxis: 6-12 Monate für Security-Logs, Einzelfälle dokumentieren.
• NIS2 (Art. 21): "Sicherheitsmaßnahmen" implizieren Logs für Incident Response. Branchenempfehlung: 12 Monate für sicherheitsrelevante Logs.
• ISO 27001:2022 A.8.15: "Ereignisprotokollierung: Aufzeichnungen erzeugen, schützen, analysieren". Keine spezifische Retention-Dauer - Orientierung an Risikobewertung.
• BSI IT-Grundschutz OPS.1.1.5: Min. 6 Monate für sicherheitsrelevante Ereignisse.
• PCI DSS v4 Req. 10.7: Min. 12 Monate, davon 3 Monate sofort verfügbar.
• SOX (Sarbanes-Oxley, US-börsennotiert): 7 Jahre für Finanz-relevante Logs.

Empfohlene Retention-Zeiten:

Log-Aufbewahrung sicher:

• Schreibschutz: Logs dürfen nicht gelöscht oder modifiziert werden
• Unveränderlichkeit: WORM-Storage oder kryptographische Integrität
• Zugriff: nur Sicherheitsteam, nicht die Admins deren Aktionen geloggt werden!
• Trennung: Log-Server separat vom übrigen Netz

Zentrales Log-Management

Klein (< 50 Mitarbeiter):

Syslog + Logwatch - Minimallösung: rsyslog sammelt Logs, Logwatch sendet Daily-Report. Kosten: 0 EUR, Aufwand: 2h Einrichtung. Nachteil: kein SIEM, manuelle Analyse.

Graylog Open (graylog.org/products/open, kostenlos) - zentrales Log-Management mit Dashboards, Alerting, Suche, Visualisierung. Benötigt ~8 GB RAM für Basisinstallation, Kosten: 0 EUR + Server-Betriebskosten.

Mittelstand (50-500 Mitarbeiter):

ELK Stack (Elasticsearch + Logstash + Kibana):

• Elasticsearch: Speicher und Suche
• Logstash: Parsing und Normalisierung
• Kibana: Visualisierung und Dashboards
• Filebeat/Winlogbeat: Log-Shipper auf Clients/Servern

Docker-Compose Beispiel:

version: '3'
services:
  elasticsearch:
    image: elasticsearch:8.11.0
    environment:
      - discovery.type=single-node
      - xpack.security.enabled=true
    volumes:
      - es-data:/usr/share/elasticsearch/data

  kibana:
    image: kibana:8.11.0
    ports:
      - "5601:5601"
    depends_on:
      - elasticsearch

  logstash:
    image: logstash:8.11.0
    volumes:
      - ./logstash/pipeline:/usr/share/logstash/pipeline

OpenSearch (AWS-Fork von ELK, kostenlos) - gute Alternative zu ELK, kein X-Pack-Lizenzproblem, mit OpenSearch Dashboards (=Kibana-Fork).

Enterprise (500+ Mitarbeiter):

• Microsoft Sentinel (Cloud-SIEM): nahtlos in M365/Azure integriert, KQL-basierte Abfragen und Alerts, ~2 USD/GB injested data, 90-Tage-Retention inklusive.
• Splunk Enterprise: Marktführer bei Enterprise SIEM, mächtige SPL (Search Processing Language), teuer (ab ~50k EUR/Jahr), aber sehr leistungsfähig.
• Elastic Security (kostenpflichtig): ELK + Security Analytics, SIEM-Funktionen und Detection Rules, günstigere Alternative zu Splunk.

Wichtigste Security-Alerts

Alert 1: Brute Force Login-Versuche - Trigger: >10 fehlgeschlagene Logins für gleichen Account in 5 Min. oder >50 fehlgeschlagene Logins verschiedener Accounts von gleicher IP. Graylog-Suche: EventID:4625, Aggregation: count() > 10 per user per 5min, Aktion: E-Mail an Security + Account sperren (optional).

Alert 2: Erfolgreicher Login nach vielen Fehlversuchen - Trigger: EventID 4624 (Erfolg) nach >5x EventID 4625 (Fehlschlag). Bedeutet: Brute-Force erfolgreich!

Alert 3: Privilegierte Gruppe verändert - Trigger: EventID 4728 (User zu Admin-Gruppe hinzugefügt). Aktion: Sofort benachrichtigen, manuell prüfen.

Alert 4: Event Log gelöscht - Trigger: EventID 1102 oder 104. Angreifer versucht Spuren zu löschen! Aktion: Sofortiger Alarm, Incident Response starten.

Alert 5: Neuer Dienst / geplante Aufgabe - Trigger: EventID 7045 (Dienst) oder 4698 (Scheduled Task) außerhalb Wartungsfenster - verdächtig!

Alert 6: Ausgehende Verbindungen zu ungewöhnlichen Ports - Trigger: TCP ausgehend Port 4444, 1337, 31337, 8080, 9001. Typische C2/Backdoor-Ports.

Alert 7: Große Datenmenge ausgehend - Trigger: >100 MB an eine externe IP in einer Stunde (von einem Host). Mögliche Datenexfiltration!

Alert 8: DNS-Anomalien - Trigger: >500 DNS-Queries in einer Stunde von einem Host oder DNS-Anfragen an Domain <7 Tage alt. Hinweis auf DNS-Tunneling / C2 via DNS.

Alert-Kanal-Empfehlung:

Ohne Logs ist Incident Response blind. AWARE7 hilft beim Aufbau zentraler Log-Management-Infrastruktur - von der einfachen Graylog-Instanz bis zum vollständigen Microsoft Sentinel SIEM.

Log-Management-Beratung anfragen | SIEM und SOC