12.6 Logauswertung, Monitoring und Dokumentation bei Netzwerkfehlern
Logs und Monitoring sind wichtige Hilfsmittel bei der Fehlersuche.
Ein Paketmitschnitt zeigt, welche Pakete übertragen werden.
Logs zeigen, was Systeme, Dienste, Firewalls und Anwendungen entschieden oder gemeldet haben.
Monitoring zeigt, ob Systeme und Dienste dauerhaft verfügbar und leistungsfähig sind.
Merksatz:
Mitschnitt zeigt Verkehr.
Logs zeigen Ereignisse.
Monitoring zeigt Zustand über Zeit.
Warum Logs wichtig sind
Viele Fehler sind ohne Logs schwer zu verstehen.
Beispiele:
Benutzer kann sich nicht anmelden.
Firewall blockiert Verbindung.
Webserver liefert HTTP 500.
Datenbank lehnt Verbindung ab.
Zertifikat wird abgelehnt.
VPN-Verbindung wird getrennt.
DHCP vergibt keine Adresse.
DNS liefert falsche Antwort.
Ohne Logs sieht man oft nur das Symptom.
Merksatz:
Logs liefern Hinweise auf die Ursache.
Was ist ein Log?
Ein Log ist ein Ereignisprotokoll.
Darin steht, was ein System oder Dienst festgestellt hat.
Typische Angaben:
- Zeitpunkt
- Quelle
- Ziel
- Benutzer
- Dienst
- Aktion
- Fehlercode
- Meldung
- Schweregrad
- betroffene Komponente
Merksatz:
Ein Log ist ein technisches Ereignistagebuch.
Typische Logquellen
Wichtige Logquellen in Netzwerken:
- Firewall-Logs
- Router-Logs
- Switch-Logs
- DNS-Logs
- DHCP-Logs
- VPN-Logs
- Webserver-Logs
- Reverse-Proxy-Logs
- Authentifizierungslogs
- Mailserver-Logs
- Datenbank-Logs
- Betriebssystem-Logs
- Anwendungslogs
- Cloud-Logs
- Monitoring-Alarme
Merksatz:
Die richtige Logquelle hängt vom Fehlerbild ab.
Firewall-Logs
Firewall-Logs zeigen, ob Verkehr erlaubt oder blockiert wurde.
Wichtige Informationen:
- Quelle
- Ziel
- Quellport
- Zielport
- Protokoll
- Aktion
- Regelname
- Interface
- Zone
- NAT-Übersetzung
- Zeit
Beispiele für Aktionen:
allow
deny
drop
reject
Merksatz:
Firewall-Logs zeigen,
welche Regel wirklich gegriffen hat.
Firewall-Log richtig lesen
Bei Firewall-Logs prüft man:
Kommt der Verkehr an der Firewall an?
Welche Quelle sieht die Firewall?
Welches Ziel sieht die Firewall?
Welcher Port wird genutzt?
TCP oder UDP?
Wird erlaubt oder blockiert?
Welche Regel trifft?
Ist NAT sichtbar?
Gibt es Rückverkehr?
Merksatz:
Nicht die gedachte Regel zählt,
sondern die tatsächlich getroffene Regel.
Keine Firewall-Logs sichtbar
Wenn kein passender Logeintrag sichtbar ist, kann das bedeuten:
Verkehr kommt gar nicht bei der Firewall an.
falsche Firewall wird geprüft.
falsches Interface wird geprüft.
Logging ist deaktiviert.
DNS zeigt auf ein anderes Ziel.
Route geht anderen Weg.
Client sendet keine Anfrage.
vorgeschaltetes Gerät blockiert.
Zeitfilter ist falsch gesetzt.
Merksatz:
Kein Log heißt nicht automatisch:
Firewall ist unschuldig.
Router-Logs
Router-Logs helfen bei:
Routingproblemen
Verbindungsabbrüchen
WAN-Störungen
VPN-Tunneln
Interface-Fehlern
Nachbarschaftsproblemen
Routing-Protokollen
Typische Hinweise:
Interface up/down
Route geändert
Tunnel down
Paket verworfen
Gateway nicht erreichbar
Merksatz:
Router-Logs zeigen Wege und Verbindungszustände.
Switch-Logs
Switch-Logs sind wichtig für Schicht 2.
Sie zeigen zum Beispiel:
Port up/down
VLAN-Fehler
STP-Änderungen
Loop-Erkennung
Port-Security-Verletzungen
Duplex- oder Speed-Probleme
MAC-Flapping
PoE-Probleme
Trunk-Probleme
Merksatz:
Switch-Logs helfen bei lokalen Netz- und VLAN-Problemen.
MAC-Flapping
MAC-Flapping bedeutet:
dieselbe MAC-Adresse erscheint schnell wechselnd an verschiedenen Switchports.
Mögliche Ursachen:
- Netzwerkschleife
- falsch angeschlossener Switch
- falsche Link Aggregation
- virtuelle Umgebung
- fehlerhafte Redundanz
- Loop über Patchkabel
Merksatz:
MAC-Flapping ist ein Warnzeichen für Schicht-2-Probleme.
STP-Logs
STP steht für:
Spanning Tree Protocol
STP verhindert Schleifen in Layer-2-Netzen.
STP-Logs zeigen zum Beispiel:
Topology Change
Port Blocking
Port Forwarding
Root Bridge Wechsel
Loop erkannt
Merksatz:
STP-Logs sind wichtig bei Schleifen und Broadcast-Stürmen.
DNS-Logs
DNS-Logs zeigen Namensauflösungen.
Wichtige Fragen:
Welcher Client fragt?
Welcher Name wird gefragt?
Welche Antwort wird geliefert?
Gibt es NXDOMAIN?
Gibt es SERVFAIL?
Wird intern oder extern gefragt?
Gibt es ungewöhnlich viele Anfragen?
Merksatz:
DNS-Logs zeigen,
welche Namen tatsächlich aufgelöst werden.
DHCP-Logs
DHCP-Logs zeigen, wie IP-Adressen vergeben werden.
Wichtige Informationen:
- Client-MAC-Adresse
- angebotene IP-Adresse
- vergebene IP-Adresse
- Lease-Zeit
- Scope
- DHCP-Optionen
- Konflikte
- Fehlermeldungen
Typische Fehler:
Scope voll
falscher Scope
DHCP-Relay fehlt
Lease-Konflikt
unbekannter Client
Merksatz:
DHCP-Logs erklären,
warum ein Client welche IP bekommt oder nicht bekommt.
VPN-Logs
VPN-Logs zeigen, ob ein Tunnel aufgebaut wird und warum er scheitert.
Wichtige Hinweise:
Benutzername
Client-IP
VPN-IP
Authentifizierung erfolgreich oder fehlgeschlagen
Zertifikatsfehler
MFA-Fehler
Gruppenrichtlinie
zugewiesene Routen
Tunnel aufgebaut oder getrennt
Fehlercode
Merksatz:
VPN verbunden heißt nicht automatisch:
Zugriff auf interne Systeme erlaubt.
Webserver-Logs
Webserver-Logs zeigen HTTP-Anfragen und Antworten.
Typische Angaben:
- Client-IP
- Zeitpunkt
- Methode
- Pfad
- Statuscode
- User-Agent
- Antwortgröße
- Bearbeitungszeit
Beispiele:
GET /index.html 200
POST /login 401
GET /admin 403
GET /missing 404
GET /app 500
Merksatz:
Webserver-Logs zeigen,
was die Anwendung oder der Webserver geantwortet hat.
Reverse-Proxy-Logs
Reverse-Proxy-Logs sind besonders wichtig bei veröffentlichten Webdiensten.
Sie zeigen:
- externer Client
- Hostname
- Pfad
- Backend-Ziel
- HTTP-Status
- TLS-Informationen
- Weiterleitungsfehler
- Timeout
- 502 oder 504
- ausgewähltes Backend
Merksatz:
Reverse-Proxy-Logs zeigen den Übergang vom Client zum Backend.
Authentifizierungslogs
Authentifizierungslogs zeigen, ob eine Anmeldung erfolgreich war oder nicht.
Typische Hinweise:
- Benutzername
- Quelle
- Zeitpunkt
- Erfolg oder Fehler
- falsches Passwort
- Konto gesperrt
- MFA erforderlich
- Token ungültig
- Gruppenmitgliedschaft
- Kerberos- oder LDAP-Fehler
Merksatz:
Authentifizierungslogs beantworten:
Wer wollte sich anmelden,
und warum ging es nicht?
Autorisierungsfehler in Logs
Autorisierung bedeutet:
Ein Benutzer ist bekannt,
hat aber nicht die nötigen Rechte.
Typische Hinweise:
Access denied
Forbidden
Permission denied
Insufficient privileges
Missing role
Group required
Scope missing
Merksatz:
Authentifizierung prüft Identität.
Autorisierung prüft Rechte.
Mailserver-Logs
Mailserver-Logs helfen bei E-Mail-Problemen.
Sie zeigen:
- eingehende Verbindung
- ausgehende Verbindung
- Absender
- Empfänger
- SMTP-Statuscode
- Spamfilter-Entscheidung
- TLS-Fehler
- Zustellversuch
- Bounce
- Queue-Status
Merksatz:
Mailserver-Logs zeigen,
wo eine E-Mail hängen bleibt oder abgelehnt wird.
Datenbank-Logs
Datenbank-Logs helfen bei Anwendungsfehlern.
Typische Hinweise:
- Verbindung fehlgeschlagen
- Benutzer nicht berechtigt
- Passwort falsch
- Datenbank nicht erreichbar
- SQL-Fehler
- langsame Abfragen
- Locking-Probleme
- Speicher- oder Verbindungsgrenze erreicht
Merksatz:
HTTP 500 kann seine Ursache in der Datenbank haben.
Betriebssystem-Logs
Betriebssystem-Logs zeigen Systemereignisse.
Beispiele:
Dienst gestartet
Dienst gestoppt
Dienst abgestürzt
Speicher voll
Festplatte voll
Netzwerkinterface down
Treiberfehler
Berechtigungsfehler
Zeitproblem
Zertifikatproblem
Merksatz:
Systemlogs zeigen,
ob das Betriebssystem selbst Probleme meldet.
Anwendungslogs
Anwendungslogs sind oft die wichtigste Quelle bei Schicht-7-Problemen.
Sie zeigen zum Beispiel:
Konfigurationsfehler
fehlende Datei
Datenbankfehler
API-Fehler
Berechtigungsfehler
ungültiges Datenformat
ungültige Session
Fehler beim Start
Stacktrace
Timeout zu Backend
Merksatz:
Wenn Netzwerk steht,
aber Anwendung fehlschlägt,
Anwendungslogs prüfen.
Cloud-Logs
In Cloud-Umgebungen gibt es zusätzliche Logquellen.
Beispiele:
- Security Groups
- Network Security Groups
- Load Balancer Logs
- Cloud Firewall Logs
- IAM Logs
- Audit Logs
- DNS Logs
- API Gateway Logs
- Container Logs
- Kubernetes Events
Merksatz:
In Cloud-Umgebungen liegen Netzwerkentscheidungen oft in mehreren Diensten.
Container-Logs
Container-Logs zeigen Ausgaben der Anwendung im Container.
Typische Hinweise:
Dienst startet nicht.
Port ist belegt.
Datenbank nicht erreichbar.
Umgebungsvariable fehlt.
Berechtigung fehlt.
Volume fehlt.
DNS-Name im Docker-Netz falsch.
Backend nicht erreichbar.
Zertifikat fehlt.
Merksatz:
Container-Logs zeigen,
was die Anwendung im Container meldet.
Zeitstempel in Logs
Zeitstempel sind entscheidend.
Man muss prüfen:
Stimmen Uhrzeiten der Systeme?
Welche Zeitzone wird verwendet?
Ist NTP korrekt?
Passt der Fehlerzeitpunkt?
Sind Logs in UTC oder lokaler Zeit?
Sind Client,
Server
und Firewall zeitlich vergleichbar?
Merksatz:
Ohne korrekte Zeit sind Logs schwer vergleichbar.
NTP und Logs
NTP sorgt für korrekte Zeitsynchronisation.
Falsche Uhrzeiten verursachen Probleme bei:
Logvergleich
Zertifikaten
Kerberos
MFA
Tokens
Monitoring
Vorfallanalyse
Merksatz:
Korrekte Zeit ist Grundlage für sinnvolle Logauswertung.
Schweregrade in Logs
Logs haben oft Schweregrade.
Typische Stufen:
| Stufe | Bedeutung |
|---|---|
| Debug | sehr detaillierte Diagnoseinformationen |
| Info | normale Information |
| Warning | Warnung, mögliches Problem |
| Error | Fehler |
| Critical | schwerer Fehler |
| Alert | sofortige Aufmerksamkeit nötig |
| Emergency | System praktisch nicht mehr nutzbar |
Merksatz:
Nicht jede Warnung ist die Ursache,
aber jede Warnung ist ein Hinweis.
Debug-Logs
Debug-Logs sind sehr detailliert.
Vorteil:
liefern viele Informationen
Nachteil:
erzeugen große Datenmengen
können sensible Informationen enthalten
können Leistung beeinflussen
sind schwerer zu lesen
Debug sollte oft nur gezielt und zeitlich begrenzt aktiviert werden.
Merksatz:
Debug nur gezielt und vorübergehend nutzen.
Logrotation
Logrotation bedeutet:
alte Logdateien werden archiviert,
komprimiert
oder gelöscht,
damit Speicherplatz nicht voll läuft.
Wichtig:
Logs dürfen nicht unkontrolliert wachsen.
Problem:
Wenn Speicher voll läuft,
können Dienste ausfallen.
Merksatz:
Logrotation schützt vor volllaufenden Systemen.
Logaufbewahrung
Logaufbewahrung beschreibt, wie lange Logs gespeichert werden.
Dabei spielen eine Rolle:
- gesetzliche Vorgaben
- Datenschutz
- Sicherheitsanforderungen
- Speicherplatz
- Vorfallanalyse
- Unternehmensrichtlinien
Merksatz:
Logs so lange wie nötig,
aber nicht unnötig lange speichern.
Datenschutz bei Logs
Logs können personenbezogene oder sensible Daten enthalten.
Beispiele:
Benutzername
IP-Adresse
E-Mail-Adresse
Standort
Login-Zeit
Gerät
Fehlerdetails
Tokens
Session-Informationen
Deshalb:
Zugriff beschränken
Zweck beachten
Aufbewahrung regeln
sensible Daten vermeiden
Logs sicher speichern
Merksatz:
Logs sind oft personenbezogen und müssen geschützt werden.
Zentrale Logsammlung
In größeren Umgebungen werden Logs zentral gesammelt.
Vorteile:
- einheitliche Suche
- bessere Korrelation
- langfristige Auswertung
- Alarmierung
- Schutz vor Manipulation auf Einzelsystem
- bessere Vorfallanalyse
Beispiele für Konzepte:
Syslog
SIEM
Logserver
zentraler Monitoring-Stack
Merksatz:
Zentrale Logs erleichtern Analyse und Sicherheit.
Syslog
Syslog ist ein verbreitetes Verfahren, um Logs von Netzwerkgeräten und Servern zentral zu sammeln.
Typische Quellen:
Router
Switches
Firewalls
Linux-Systeme
Appliances
Merksatz:
Syslog sammelt Ereignisse zentral.
SIEM
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt, korreliert und bewertet sicherheitsrelevante Ereignisse.
Es kann helfen bei:
Angriffserkennung
Compliance
Vorfallanalyse
Alarmierung
Korrelation von Ereignissen
ungewöhnlichem Verhalten
Merksatz:
SIEM verbindet Logs zu sicherheitsrelevanten Erkenntnissen.
Korrelation
Korrelation bedeutet:
Ereignisse aus mehreren Quellen werden zusammen betrachtet.
Beispiel:
Firewall meldet blockierte Verbindung.
Webserver meldet viele 404.
Auth-Log meldet viele Loginfehler.
IDS meldet Angriffsmuster.
Zusammen kann daraus ein Angriff erkennbar werden.
Merksatz:
Einzelne Logs sind Hinweise,
korrelierte Logs ergeben Zusammenhang.
Monitoring
Monitoring überwacht Systeme und Dienste dauerhaft.
Es beantwortet Fragen wie:
Ist der Dienst erreichbar?
Ist der Server ausgelastet?
Ist Speicherplatz knapp?
Läuft der Prozess?
Ist das Zertifikat bald abgelaufen?
Ist die Latenz erhöht?
Gibt es Paketverlust?
Ist ein Standort offline?
Merksatz:
Monitoring erkennt Probleme,
bevor Benutzer sie melden.
Monitoring-Arten
Typische Monitoring-Arten:
- Verfügbarkeitsmonitoring
- Performance-Monitoring
- Netzwerkmonitoring
- Dienstmonitoring
- Logmonitoring
- Sicherheitsmonitoring
- Zertifikatsmonitoring
- Kapazitätsmonitoring
Merksatz:
Monitoring kann Verfügbarkeit,
Leistung,
Sicherheit
und Kapazität prüfen.
Verfügbarkeitsmonitoring
Verfügbarkeitsmonitoring prüft, ob ein System oder Dienst erreichbar ist.
Beispiele:
Ping erfolgreich?
TCP-Port offen?
HTTP-Status 200?
DNS antwortet?
VPN-Tunnel up?
Datenbank erreichbar?
Merksatz:
Verfügbarkeit bedeutet:
Dienst antwortet grundsätzlich.
Performance-Monitoring
Performance-Monitoring prüft Leistungswerte.
Beispiele:
CPU-Auslastung
RAM-Auslastung
Festplatten-I/O
Netzwerklast
Latenz
Paketverlust
Antwortzeit
Datenbankabfragezeit
Merksatz:
Performance-Monitoring zeigt,
ob ein Dienst langsam oder überlastet ist.
Netzwerkmonitoring
Netzwerkmonitoring prüft Netzwerkkomponenten.
Beispiele:
Switchports
Router
Firewalls
Access Points
VPN-Tunnel
WAN-Leitungen
Bandbreite
Interface-Fehler
Paketverlust
Latenz
Merksatz:
Netzwerkmonitoring zeigt Zustand der Infrastruktur.
Dienstmonitoring
Dienstmonitoring prüft konkrete Dienste.
Beispiele:
Webserver läuft?
Datenbank erreichbar?
DNS antwortet?
DHCP verfügbar?
Mailqueue wächst?
Reverse Proxy antwortet?
API liefert erwarteten Status?
Merksatz:
Dienstmonitoring prüft,
ob ein Dienst fachlich nutzbar ist.
Zertifikatsmonitoring
Zertifikatsmonitoring prüft TLS-Zertifikate.
Wichtige Fragen:
Wann läuft das Zertifikat ab?
Passt der Hostname?
Ist die Zertifikatskette gültig?
Wird das richtige Zertifikat ausgeliefert?
Ist die CA vertrauenswürdig?
Merksatz:
Zertifikate sollten überwacht werden,
bevor sie ablaufen.
Kapazitätsmonitoring
Kapazitätsmonitoring prüft, ob Ressourcen knapp werden.
Beispiele:
Speicherplatz
RAM
CPU
Bandbreite
Datenbankgröße
Loggröße
Anzahl Verbindungen
DHCP-Leases
Lizenzgrenzen
Merksatz:
Kapazitätsprobleme kündigen sich oft vorher an.
Alarmierung
Monitoring ist nur hilfreich, wenn wichtige Probleme auch gemeldet werden.
Alarmierung kann erfolgen über:
E-Mail
SMS
App
Dashboard
Ticket
Chat
Pager
Wichtig:
Nicht zu viele unnötige Alarme,
sonst werden wichtige Alarme ignoriert.
Merksatz:
Gute Alarmierung ist relevant,
verständlich
und handlungsfähig.
False Positive und False Negative
False Positive:
Alarm,
obwohl kein echtes Problem vorliegt.
False Negative:
Kein Alarm,
obwohl ein echtes Problem vorliegt.
Beides ist problematisch.
Merksatz:
Monitoring muss sinnvoll eingestellt und regelmäßig geprüft werden.
Schwellwerte
Schwellwerte legen fest, wann ein Alarm ausgelöst wird.
Beispiele:
CPU über 90 Prozent
Speicherplatz unter 10 Prozent frei
Zertifikat läuft in 14 Tagen ab
Ping-Verlust über 5 Prozent
Antwortzeit über 2 Sekunden
HTTP-Status nicht 200
Merksatz:
Schwellwerte müssen zum Dienst passen.
Trends
Monitoring zeigt nicht nur aktuelle Werte, sondern auch Entwicklungen.
Beispiele:
Speicherplatz wird jede Woche knapper.
Antwortzeiten steigen langsam.
Bandbreite ist montags überlastet.
Logdateien wachsen ungewöhnlich stark.
DHCP-Leases reichen bald nicht mehr.
Merksatz:
Trends helfen,
Probleme vor dem Ausfall zu erkennen.
Baseline
Eine Baseline beschreibt, was für ein System normal ist.
Beispiel:
normale CPU-Auslastung
normale Antwortzeit
normale Anzahl Verbindungen
normale DNS-Anfragen
normale Bandbreite
Ohne Baseline weiß man schwer, ob ein Wert auffällig ist.
Merksatz:
Baseline = normales Verhalten als Vergleichswert.
Dokumentation
Dokumentation beschreibt, wie ein System aufgebaut ist und wie es betrieben wird.
Wichtige Inhalte:
- Netzplan
- IP-Adressplan
- VLAN-Plan
- Firewall-Regeln
- NAT-Regeln
- DNS-Zonen
- DHCP-Scopes
- Serverrollen
- Dienste
- Zugangspfade
- Ansprechpartner
- Änderungen
- Notfallverfahren
Merksatz:
Gute Dokumentation beschleunigt Fehlersuche.
Netzplan
Ein Netzplan zeigt, wie Netzbereiche und Geräte verbunden sind.
Er enthält zum Beispiel:
Router
Switches
Firewalls
Server
VLANs
Standorte
VPNs
DMZ
Internetanschluss
IP-Netze
Merksatz:
Netzplan zeigt,
wie das Netzwerk aufgebaut ist.
IP-Adressplan
Ein IP-Adressplan zeigt, welche Netze und Adressen verwendet werden.
Beispiele:
192.168.10.0/24 Clients
192.168.20.0/24 Server
192.168.30.0/24 DMZ
192.168.40.0/24 Management
192.168.50.0/24 Gäste
Merksatz:
IP-Adressplan verhindert Verwechslungen und Doppelvergaben.
VLAN-Dokumentation
Eine VLAN-Dokumentation enthält:
VLAN-ID
Name
Subnetz
Gateway
DHCP-Scope
Zweck
zugehörige Switchports
Trunks
Firewall-Zone
Merksatz:
VLANs ohne Dokumentation führen schnell zu Fehlkonfigurationen.
Firewall- und NAT-Dokumentation
Dokumentiert werden sollten:
Quelle
Ziel
Dienst
Port
Protokoll
Richtung
Zone
NAT-Ziel
Zweck
Verantwortlicher
Ticket
Ablaufdatum bei temporären Regeln
Merksatz:
Firewall-Regeln ohne Zweck sind später schwer bewertbar.
DNS-Dokumentation
DNS-Dokumentation enthält:
Zonen
A-Records
AAAA-Records
CNAMEs
MX-Records
TXT-Records
interne und externe Namen
Split-DNS-Regeln
TTL
zuständige Systeme
Merksatz:
DNS-Dokumentation verhindert falsche Zielauflösungen.
DHCP-Dokumentation
DHCP-Dokumentation enthält:
Scope
Adressbereich
Ausschlüsse
Reservierungen
Lease-Zeit
Gateway-Option
DNS-Option
Relay-Adresse
VLAN-Zuordnung
Merksatz:
DHCP-Dokumentation erklärt,
warum Clients welche Konfiguration bekommen.
Änderungsdokumentation
Änderungen sollten nachvollziehbar sein.
Wichtige Angaben:
Was wurde geändert?
Warum wurde es geändert?
Wann wurde es geändert?
Wer hat es geändert?
Welche Systeme sind betroffen?
Wie wurde getestet?
Gibt es Rollback?
Gibt es ein Ticket?
Merksatz:
Ohne Änderungsdokumentation ist Fehlersuche nach Änderungen schwer.
Incident-Dokumentation
Bei Störungen sollte dokumentiert werden:
Startzeit
Endezeit
betroffene Systeme
betroffene Benutzer
Fehlerbild
Ursache
Maßnahmen
Lösung
Workaround
Kommunikation
Nacharbeiten
Merksatz:
Incident-Dokumentation hilft,
aus Fehlern zu lernen.
Root Cause Analysis
Root Cause Analysis bedeutet:
die eigentliche Ursache eines Problems finden.
Nicht nur:
Dienst neu starten
Sondern fragen:
Warum ist der Dienst abgestürzt?
Warum war Speicher voll?
Warum gab es keinen Alarm?
Warum wurde die Logrotation nicht eingerichtet?
Merksatz:
Root Cause Analysis sucht die Ursache hinter dem Symptom.
Post-Mortem
Ein Post-Mortem ist eine Nachbesprechung nach einer Störung.
Ziele:
Ursache verstehen
Ablauf rekonstruieren
Verbesserungen finden
Schuldzuweisungen vermeiden
Maßnahmen ableiten
Wiederholung verhindern
Merksatz:
Post-Mortem soll Systeme verbessern,
nicht Personen beschuldigen.
Lessons Learned
Lessons Learned sind Erkenntnisse aus einer Störung.
Beispiele:
Monitoring muss erweitert werden.
Zertifikate müssen überwacht werden.
Firewall-Regeln müssen dokumentiert werden.
Backups müssen getestet werden.
Change-Prozess muss angepasst werden.
Runbook muss erstellt werden.
Merksatz:
Lessons Learned machen aus Störungen Verbesserungen.
Runbook
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen.
Beispiele:
Webdienst neu starten
Zertifikat erneuern
VPN-Tunnel prüfen
DHCP-Scope erweitern
Firewall-Regel prüfen
Backup wiederherstellen
Merksatz:
Runbooks machen wiederkehrende Arbeiten sicherer und schneller.
Checkliste für Logauswertung
1. Fehlerzeitpunkt bestimmen.
2. Betroffene Systeme bestimmen.
3. Passende Logquelle auswählen.
4. Zeitfilter setzen.
5. Fehlermeldungen suchen.
6. Schweregrad beachten.
7. Ereignisse vor und nach dem Fehler prüfen.
8. Logs mehrerer Systeme vergleichen.
9. Zeitabweichungen beachten.
10. Ergebnis dokumentieren.
Merksatz:
Logs immer zeitlich und fachlich einordnen.
Checkliste für Monitoring
1. Wird der Dienst überwacht?
2. Wird der richtige Port geprüft?
3. Wird die Anwendung geprüft oder nur Ping?
4. Gibt es sinnvolle Schwellwerte?
5. Gibt es Alarmierung?
6. Werden Zertifikate überwacht?
7. Werden Ressourcen überwacht?
8. Werden Trends betrachtet?
9. Gibt es zu viele Fehlalarme?
10. Werden Alarme bearbeitet?
Merksatz:
Monitoring muss den Dienst wirklich abbilden.
Checkliste für Dokumentation
1. Netzplan aktuell?
2. IP-Adressplan aktuell?
3. VLANs dokumentiert?
4. Firewall-Regeln dokumentiert?
5. NAT-Regeln dokumentiert?
6. DNS-Einträge dokumentiert?
7. DHCP-Scopes dokumentiert?
8. Verantwortliche bekannt?
9. Änderungen dokumentiert?
10. Notfallverfahren vorhanden?
Merksatz:
Dokumentation ist ein Werkzeug,
nicht nur Verwaltung.
Typische Fehler bei Logs und Monitoring
Häufige Fehler:
Logs werden nicht aktiviert.
Logs werden zu kurz gespeichert.
Logs laufen voll.
Zeitstempel stimmen nicht.
falsche Zeitzone wird übersehen.
Monitoring prüft nur Ping.
Zertifikate werden nicht überwacht.
Alarme gehen an niemanden.
zu viele Fehlalarme entstehen.
Dokumentation ist veraltet.
Änderungen werden nicht dokumentiert.
Root Cause wird nicht gesucht.
Merksatz:
Logs und Monitoring müssen gepflegt werden.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum sind Logs bei der Fehlersuche wichtig?
- Welche Informationen enthält ein Firewall-Log?
- Warum ist die Uhrzeit bei Logs wichtig?
- Warum ist NTP für Logauswertung wichtig?
- Was ist Monitoring?
- Was ist der Unterschied zwischen Verfügbarkeits- und Performance-Monitoring?
- Warum reicht Ping-Monitoring nicht immer aus?
- Was ist ein Schwellwert?
- Was ist eine Baseline?
- Warum müssen Zertifikate überwacht werden?
- Was gehört in eine Netzwer dokumentation?
- Warum ist Änderungsdokumentation wichtig?
- Was ist eine Root Cause Analysis?
- Was ist ein Runbook?
- Warum können Logs personenbezogene Daten enthalten?
Typische Prüfungsfallen
Logs zeigen Ereignisse,
nicht automatisch die Ursache.
Monitoring zeigt Zustand über Zeit.
Ping-Monitoring reicht nicht für Anwendungserfolg.
Firewall-Logs zeigen getroffene Regeln.
Kein Log kann auch falschen Weg bedeuten.
Zeitstempel müssen vergleichbar sein.
NTP ist wichtig für Logs,
Zertifikate
und Authentifizierung.
Debug-Logs nur gezielt aktivieren.
Logs können sensible Daten enthalten.
Logrotation verhindert volle Datenträger.
Zentrale Logsammlung erleichtert Analyse.
SIEM korreliert sicherheitsrelevante Ereignisse.
Monitoring braucht sinnvolle Schwellwerte.
Zu viele Fehlalarme führen zu Alarmmüdigkeit.
Baseline zeigt normales Verhalten.
Dokumentation muss aktuell sein.
Änderung ohne Dokumentation erschwert Fehlersuche.
Root Cause ist wichtiger als nur Neustart.
Runbooks helfen bei wiederkehrenden Aufgaben.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Log | Ereignisprotokoll |
| Logquelle | System oder Dienst, der Logs erzeugt |
| Firewall-Log | Protokoll von erlaubtem oder blockiertem Verkehr |
| Systemlog | Betriebssystemereignisse |
| Anwendungslog | Meldungen einer Anwendung |
| Debug-Log | sehr detaillierte Diagnoseausgabe |
| Logrotation | Archivieren oder Löschen alter Logs |
| Logaufbewahrung | Zeitraum der Speicherung |
| Syslog | Verfahren zur zentralen Logsammlung |
| SIEM | System zur Sicherheitsauswertung von Logs |
| Korrelation | Zusammenführen mehrerer Ereignisse |
| Monitoring | dauerhafte Überwachung |
| Schwellwert | Grenze für Alarmierung |
| False Positive | Fehlalarm |
| False Negative | fehlender Alarm trotz Problem |
| Baseline | normales Verhalten als Vergleich |
| Netzplan | grafische Netzdokumentation |
| IP-Adressplan | Übersicht verwendeter Netze und Adressen |
| Änderungsdokumentation | Nachweis von Änderungen |
| Incident | Störung oder Sicherheitsvorfall |
| Root Cause Analysis | Suche nach eigentlicher Ursache |
| Post-Mortem | Nachbesprechung nach Störung |
| Lessons Learned | Erkenntnisse zur Verbesserung |
| Runbook | Schritt-für-Schritt-Anleitung |
IHK-sichere Kurzformulierung
Logs, Monitoring und Dokumentation sind zentrale Bestandteile der Netzwerkfehlersuche. Logs zeigen Ereignisse und Entscheidungen von Systemen, Diensten, Firewalls, Anwendungen und Betriebssystemen. Monitoring überwacht Verfügbarkeit, Leistung, Kapazität und Sicherheit über einen längeren Zeitraum und kann Probleme frühzeitig melden. Wichtig sind korrekte Zeitstempel, NTP, sinnvolle Schwellwerte, Logrotation, Datenschutz und zentrale Logsammlung. Dokumentation wie Netzplan, IP-Adressplan, VLAN-Plan, Firewall-Regeln, NAT-Regeln, DNS-Einträge und DHCP-Scopes hilft, Fehler schneller einzugrenzen. Nach Störungen sollten Ursache, Maßnahmen und Verbesserungen dokumentiert werden.
Merksätze
Mitschnitt zeigt Verkehr.
Logs zeigen Ereignisse.
Monitoring zeigt Zustand über Zeit.
Dokumentation zeigt Aufbau und Änderungen.
Firewall-Logs zeigen getroffene Regeln.
DNS-Logs zeigen Namensauflösung.
DHCP-Logs zeigen Adressvergabe.
VPN-Logs zeigen Tunnel und Anmeldung.
Webserver-Logs zeigen HTTP-Antworten.
Reverse-Proxy-Logs zeigen Backend-Probleme.
Authentifizierungslogs zeigen Loginprobleme.
Anwendungslogs zeigen Schicht-7-Fehler.
Zeitstempel müssen stimmen.
NTP ist wichtig für Logvergleich.
Debug nur gezielt aktivieren.
Logs können sensible Daten enthalten.
Logrotation verhindert volle Datenträger.
Zentrale Logs erleichtern Analyse.
SIEM korreliert Sicherheitsereignisse.
Monitoring erkennt Probleme früh.
Ping-Monitoring reicht oft nicht.
Schwellwerte müssen sinnvoll sein.
Baseline zeigt normales Verhalten.
Zertifikate überwachen.
Netzplan aktuell halten.
IP-Adressplan aktuell halten.
Firewall- und NAT-Regeln dokumentieren.
Änderungen dokumentieren.
Root Cause suchen,
nicht nur Symptom beheben.
Runbooks helfen bei wiederkehrender Fehlersuche.