Was ist Log Management?

Das Log Management umfasst das Empfangen, Sammeln, Analysieren, Archivieren und Löschen der sogenannten Log- oder Protokolldaten eines Computersystems. Diese fallen beim Betrieb von Hard- und Software an und enthalten unterschiedlichste Informationen sowohl über den Betrieb des jeweiligen Geräts/ der jeweiligen Applikation, als auch über den Zustand des umgebenden Netzwerks. Die Auswertung dieser Daten kann Ihnen, wenn sie richtig durchgeführt wird, dabei helfen, Fehler in Ihrem System zu finden, die Gründe für den Ausfall einer Netzwerkkomponente nachzuvollziehen und sogar Nutzerdaten zu sammeln.

Was sind Logdaten?

Bei den untersuchten Logdaten handelt es sich, recht vereinfacht ausgedrückt, um Informationen über “Events”. Noch einfacher ausgedrückt ließe sich sagen: Wann immer irgendetwas mit einer Hardware- oder Softwarekomponente in einem Netzwerk geschieht, erstellt diese Komponente eine entsprechende “Log Message”, aus der sich ablesen lässt, was passiert ist, wann es passiert ist und von welcher Komponente die jeweilige Message kommt. Letzteres ist eine wichtige Information, da Logdaten an unterschiedlichen Stellen in Ihrem System landen können und es ohne die entsprechende Source-Information schwierig wäre, die Quelle der Message zu bestimmen.

Log Messages können aus vielen verschiedenen Quellen stammen

Screenshot: www.graylog.org

Es gibt verschiedene Arten von Log Messages:

• Informational: Informational Log Messages dienen in erster Linie der Information darüber, dass etwas geschehen ist, was für die loggende Komponente ganz normal ist, zum Beispiel ein Reboot. So lässt sich prüfen, ob geplante Aktionen auch wie geplant durchgeführt wurden, oder ob sie ausbleiben oder zu ungewöhnlichen Zeiten stattfinden.
• Debug: Debug Messages stammen in der Regel von Software-Anwendungen und dienen Entwicklern und Programmierern dazu, Fehler im laufenden Programmcode ausfindig zu machen und zu beheben.
• Warning: Warnungen sind Fehlermeldungen, die eigentlich keine sind. Es kann sich dabei um inhaltliche Fehler handeln, die keinen Systemabbruch hervorrufen oder auf veraltete Komponenten hinweisen, die ausgetauscht werden sollen. Da sich solch kleinere Fehler schnell zu großen entwickeln können, sind Warnings höchst relevant für den Log Manager.
• Error: Error Messages zeigen grobe Fehler in der Funktionsweise eines Systems auf und können in allen Komponenten (Software und Hardware) vorkommen. In der Regel dient ein Error als Startpunkt einer detaillierteren Untersuchung des Systems auf tiefsitzende Fehler.
• Alert: Alarme oder Alert Messages stammen gemeinhin von Security-Komponenten wie Antivirenprogramme oder Firewalls. Sie zeigen Normabweichungen an, deren Auswertung dazu dient, Sicherheitslücken zu finden und zu schließen.

Beispiel für den Nutzen von Logdaten

Logdaten lassen sich auf vielfältige Weise nutzen. In der Regel dienen Sie Ihrem IT- und Entwicklungsteam als Analysewerkzeug, um mit den gesammelten Informationen das Netzwerk “sauber” zu halten und effektiver zu steuern.

Systemsicherheit

Ernstzunehmende Sicherheitsvorfälle lassen sich mithilfe von Logdaten oft bis zu ihrer Ursache hin zurückverfolgen. So lassen sich Sicherheitslücken in der Netzwerkumgebung schließen. Nicht umsonst ist ein umfangreiches Log Management oft grundlegender Bestandteil von SIEM-Lösungen (Security Information & Event Management).

Wartung

Festplatten geben Logdaten aus, wenn es zu kleineren Fehlern bei der Hardware kommt. Selbst, wenn diese Fehler die Funktionsweise der jeweiligen Festplatte nicht unmittelbar beeinträchtigen, kann eine Untersuchung der Log Message dennoch hilfreich sein, um drohende größere Probleme zu erkennen und im Vorhinein zu verhindern.

Datensicherheit

Web Server und Betriebssysteme erzeugen Logdaten, wenn Nutzer sich einloggen oder authentifizieren. Mithilfe dieser Daten lässt sich nachvollziehen, wann etwa ein Mitarbeiter auf das Netzwerk oder eine etwaige Cloud zugegriffen hat. Kommt es hier zu Normabweichungen, beispielsweise zu einem Zugriff mitten in der Nacht oder zu anderen ungewöhnlichen Zeiten, könnte dies ein Hinweis auf versuchten Datendiebstahl/Industriespionage sein.

Wie funktioniert Log Management?

Das Sammeln und Auswerten von Logdaten ist oft umständlich, da Logdaten aus vielen verschiedenen Quellen stammen, über diverse verschiedene Kanäle weitergeleitet und an unterschiedlichen Orten in Ihrem System gespeichert werden. Zudem weisen viele Logdaten unterschiedliche Dateiformate auf, was ein einheitliches Log Management zusätzlich erschwert.

Die von trusted.de vorgestellten Softwarelösungen haben es sich daher zur Aufgabe gemacht, das Log Management so weit als möglich zu standardisieren. Zu diesem Zweck setzen sie einen zentralen Logserver als Knotenpunkt aller möglichen Datenquellen ein und sammeln auf diesem alle Log Messages. Vereinfacht könnte ein solcher Logserver in Ihrer Netzwerkumgebung etwa so funktionieren:

Die Logdaten aller Hard- und Softwarekomponenten laufen auf einen zentralen Server

Screenshot: trusted.de

Brauchen Sie ein Log Management System?

Ob Sie ein Log Management benötigen, hängt in erster Linie davon ab, in welcher Branche Ihr Unternehmen tätig ist. Einige Firmen sind gesetzlich dazu verpflichtet, die eigenen Logdaten zu sammeln, zu archivieren und regelmäßig auszuwerten. Die jeweils genauen Bestimmungen sind in verschiedenen Regularien verankert. Zu solchen Unternehmen gehören…

• Unternehmen, die Kreditkarteninformationen speichern oder verarbeiten (Payment Card Industry Data Security Standard; PCI-DSS)
• Unternehmen, die Wertpapiere in den USA handeln (Sarbanes-Oxley-Act; SOX)
• Kreditinstitute und Finanzdienstleister (Basel II)
• Versicherungsunternehmen (Solvency II)
• Unternehmen, die dem Health Insurance Portability and Accountability Act (HIPAA) der Vereinigten Staaten unterliegen

Für alle anderen Unternehmen ist die Anschaffung und Implementierung eines Log Management Systems freiwillig. Vor allem Firmen, die in besonderem Maße abhängig von ihrem Netzwerk sind oder selbst IT-Dienstleistungen (beispielsweise in der Cloud) anbieten, profitieren jedoch in hohem Maße von den Möglichkeiten des dynamischen Log Managements.

Beachten Sie: Selbst wenn Ihr Unternehmen nicht unter die oben genannten Regularien fällt, sollte die Unverfälschtheit und Nachvollziehbarkeit Ihrer Logdaten gesichert sein. Unabhängige Auditoren oder die Polizei könnten sie für Steuerfragen oder im Falle von Cyberkriminalität benötigen.

Vorteile von Log Monitoring Tools

Dies sind die Vorzüge der Implementierung eines Log Monitoring Tools:

• Schnelleres Beheben von leichten und frühzeitiges Erkennen von schweren Fehlern
• Tiefere Einblicke in Ihr Netzwerk, dessen Funktionsweise und Optimierungspotential
• Mehr Sicherheit für Ihre Daten, Softwareanwendungen und Devices
• Vereinfachung der Auswertung verschiedenerformatiger Logdaten aus unterschiedlichen Quellen

Das kosten Log Analysis Tools

Einen Preisüberblick für Log Analysis Software zu bieten ist kaum möglich. Viele der hier vorgestellten Provider haben ihre eigenen Konditionen und Zahlungsmodalitäten: Während die einen nach der Laufzeit der Software abrechnen, berechnen die anderen pro GB Datenvolumen im Netzwerk. Die meisten Anbieter lassen sich überhaupt nicht zu einer verbindlichen Preisauskunft hinreißen, da Funktions- und Leistungsumfang der jeweiligen Software an Ihr Netzwerk angepasst wird. Um ein persönliches Preisgespräch mit den Providern werden Sie daher leider nicht herumkommen.

Log Manager - Die wichtigsten Funktionen

Um ihrem Anspruch, das Log Management zu vereinfachen und zu zentralisieren, gerecht zu werden, sind Log Management Systeme mindestens mit den folgenden Grundfunktionalitäten ausgestattet:

• Sammeln und Indizieren: Eine zentrale Sammelstelle für alle relevanten Log- und Maschinendaten aus allen möglichen Quellen. Diese Datenbank soll dazu dienen, alle Logdaten zu sammeln, an einer zentral zugänglichen Stelle zu speichern und direkt von dort aus auszuwerten. Die Archivierung (oder ggf. das Löschen) von Logdaten ist ebenfalls Teil einer solchen Datenbank.

In der zentralen Datenbank werden alle Log Messages gesammelt und können ausgewertet werden

Screenshot: www.sematext.com

• Reporting: Die zentrale Anhäufung der Logdaten gibt Ihnen außerdem die Möglichkeit, die enthaltenen Informationen zu kopieren, zu umfangreichen Berichten zusammenzufügen, und diese Berichte ebenfalls zu speichern oder ggf. weiterzuleiten.
• Analyse: Umfangreiche Analysewerkzeuge für die gesammelten Logdaten. Selbst die größte Sammlung an Informationen nützt Ihnen nichts, wenn Sie keine Schlüsse daraus ziehen können. Daher sind die hier vorgestellten Tools mit Möglichkeiten ausgestattet, die gesammelten Daten auszuwerten und damit etwa Probleme oder Fehler in Ihrer IT-Umgebung aufzuspüren.
• Überwachen und Alarmieren: Eine der wichtigsten Funktionen. Ihre Software informiert Sie in Echtzeit, wenn es zu einem unerwarteten Fehler, einem Error oder einem Alarm kommt und zeigt Ihnen gleichzeitig an, welche Komponente den Fehler verursacht hat und wann er genau aufgetreten ist.

Der Markt um Log Management Software

Mittlerweile gibt es einige Anbieter auf dem Gebiet Log Monitoring und Log Management. trusted.de hat die gängigsten Tools für Sie hier aufgelistet.

• Azure
• EventLogAnalyzerLogz.io
• Stackify
• Logsene
• Logentries
• Takipi
• syslog-ng
• Ipswitch Log Management Suite
• SecurityCenter CV
• GrayLog Splunk
• LogPoint
• Log & Event Manager

Fazit

Das dynamische Auswerten Ihrer Logdaten kann Ihnen dabei helfen, Ihre IT-Umgebung effizienter und sicherer zu gestaltet. Manuelles Log Management ist jedoch eine aufwändige und oft undankbare Aufgabe, die viel Know-How und Zeit in Anspruch nimmt. Schneller und einfacher geht es mit einem zentralen Log Server, der alle relevanten Daten abruft und für Sie sammelt. Die hier vorgestellten Tools helfen Ihnen dabei, einen solchen zentralen Sammelpunkt für Ihre Logdaten zu implementieren. trusted.de wünscht viel Erfolg.