Erklärung
Fast jedes System führt Protokoll: Betriebssysteme, Server, Firewalls, VPN-Zugänge, Cloud-Dienste, Anwendungen. Ein Eintrag enthält in der Regel Zeitstempel, Ereignistyp, beteiligte Konten oder Adressen und das Ergebnis. Zusammengenommen ergeben sie ein Bild davon, was wann geschehen ist.
Die Aussagekraft hängt von der Konfiguration ab. Was nicht protokolliert wird, lässt sich später nicht nachlesen. Logs werden nach Ablauf einer Frist überschrieben oder gelöscht, sie können unvollständig sein, und Angreifer versuchen zum Teil, Spuren zu verwischen. Daher ist zentrale, manipulationsgeschützte Protokollierung (SIEM) ein wichtiger Baustein.
Ein einzelner Eintrag belegt selten einen Vorgang. Meist ergeben sich Aussagen erst im Zusammenspiel mehrerer Quellen (Timeline-Analyse). Auch lässt sich aus einer IP-Adresse oder einem Konto nicht ohne Weiteres auf eine Person schließen.
Typisches Beispiel (schematisch)
Im Anmeldeprotokoll eines Cloud-Dienstes erscheint eine erfolgreiche Anmeldung aus einem ungewöhnlichen Netz, kurz darauf eine Änderung der Postfachregeln. Gemeinsam mit weiteren Daten ergibt sich der Verdacht einer Kontoübernahme (Account Takeover).
Bedeutung für Forensik und Ermittlungen
Logdateien sind meist die ersten Quellen bei Vorfällen. Entscheidend sind Aufbewahrungsdauer, Genauigkeit der Zeit und Schutz vor Veränderung.
Erkennung und Prävention
Ausreichende Protokollierung, angemessene Aufbewahrungsfristen unter Beachtung des Datenschutzes, Schutz vor Manipulation und synchronisierte Zeit.
Auch gesucht als Logs, Logfiles, Protokolldateien, Ereignisprotokolle, Systemprotokolle, Log-Dateien, Logdaten, Audit-Log, Event Logs