17.4 Logs, Monitoring und Dienstprüfung in der Praxis
Logs, Monitoring und Dienstprüfung gehören zu den wichtigsten Werkzeugen in der Systemadministration.
Sie helfen dabei,
- Fehler zu erkennen
- Angriffe zu erkennen
- Ursachen einzugrenzen
- Änderungen nachzuvollziehen
- Dienste zu überwachen
- Ausfälle schneller zu beheben
- Sicherheitsvorfälle zu untersuchen
- Betrieb zu dokumentieren
Merksatz:
Logs zeigen,
was passiert ist.
Monitoring zeigt,
was gerade passiert oder sich anbahnt.
Warum Logs wichtig sind
Logs protokollieren Ereignisse auf Systemen, Diensten, Anwendungen und Netzwerkkomponenten.
Beispiele:
Benutzer meldet sich an.
Dienst startet.
Dienst stoppt.
Fehler tritt auf.
Firewall blockiert Verbindung.
Backup schlägt fehl.
Admin ändert Konfiguration.
SSH-Login wird abgelehnt.
Webserver liefert Fehlercode.
Datenbank meldet Verbindungsfehler.
Merksatz:
Ohne Logs ist Fehlersuche oft nur Raten.
Warum Monitoring wichtig ist
Monitoring überwacht den Zustand von Systemen und Diensten.
Typische Fragen:
Ist der Server erreichbar?
Läuft der Dienst?
Ist die Festplatte voll?
Ist die CPU überlastet?
Ist genug Arbeitsspeicher frei?
Ist das Backup erfolgreich?
Antwortet die Webseite?
Läuft das Zertifikat bald ab?
Gibt es ungewöhnlich viele Loginfehler?
Merksatz:
Monitoring erkennt Probleme früh,
bevor Benutzer sie melden.
Logs und Monitoring unterscheiden
| Bereich | Zweck | Beispiel |
|---|---|---|
| Logs | Ereignisse nachvollziehen | Benutzerlogin fehlgeschlagen |
| Monitoring | Zustand überwachen | CPU dauerhaft bei 95 Prozent |
| Alerting | Verantwortliche alarmieren | Backup fehlgeschlagen |
| Reporting | Verlauf dokumentieren | Verfügbarkeit im Monat |
Merksatz:
Logs erklären Ereignisse.
Monitoring beobachtet Zustände.
Alerting meldet kritische Abweichungen.
Typische Logquellen
Wichtige Logquellen in der Praxis:
Betriebssystemlogs
Anwendungslogs
Webserverlogs
Datenbanklogs
Authentifizierungslogs
SSH-Logs
RDP-Logs
Firewall-Logs
VPN-Logs
DNS-Logs
DHCP-Logs
E-Mail-Logs
Backup-Logs
Cloud-Audit-Logs
EDR-Logs
SIEM-Ereignisse
Merksatz:
Jede wichtige Komponente sollte nachvollziehbare Logs erzeugen.
Betriebssystemlogs
Betriebssystemlogs zeigen Ereignisse des Systems.
Beispiele:
Start und Stopp des Systems
Kernelmeldungen
Treiberprobleme
Benutzeranmeldungen
Dienststarts
Dienstfehler
Speicherprobleme
Hardwarefehler
Merksatz:
Betriebssystemlogs sind die Grundlage vieler Fehleranalysen.
Anwendungslogs
Anwendungslogs stammen von Programmen oder Diensten.
Beispiele:
Webanwendung meldet Fehler.
Datenbankverbindung schlägt fehl.
API gibt Fehler zurück.
Anwendung kann Datei nicht schreiben.
Lizenzprüfung schlägt fehl.
Benutzeraktion wird protokolliert.
Merksatz:
Anwendungslogs zeigen,
was innerhalb der Anwendung passiert.
Authentifizierungslogs
Authentifizierungslogs zeigen Anmeldeereignisse.
Beispiele:
erfolgreiche Anmeldung
fehlgeschlagene Anmeldung
gesperrtes Konto
falsches Passwort
unbekannter Benutzer
MFA-Fehler
Anmeldung von ungewöhnlichem Ort
Rechteerhöhung mit sudo
Adminlogin
Merksatz:
Authentifizierungslogs sind wichtig für Sicherheit und Zugriffskontrolle.
Firewall-Logs
Firewall-Logs zeigen, welcher Verkehr erlaubt oder blockiert wurde.
Typische Informationen:
Zeit
Quell-IP
Ziel-IP
Quellport
Zielport
Protokoll
Aktion
Regelname
Interface
Benutzer je nach System
Merksatz:
Firewall-Logs helfen bei Verbindungsproblemen und Angriffserkennung.
VPN-Logs
VPN-Logs zeigen Zugriffe über VPN.
Typische Informationen:
Benutzer
Anmeldezeit
Abmeldezeit
Quell-IP
zugewiesene VPN-IP
Authentifizierungsergebnis
MFA-Status
Verbindungsabbrüche
Fehlercodes
Merksatz:
VPN-Logs zeigen,
wer wann aus der Ferne verbunden war.
DNS-Logs
DNS-Logs zeigen Namensauflösungen.
Beispiele:
welcher Client fragt welchen Namen an?
welcher Name wird häufig abgefragt?
gibt es verdächtige Domains?
gibt es Namensauflösungsfehler?
nutzt ein Client ungewöhnliche DNS-Ziele?
Merksatz:
DNS-Logs helfen bei Fehlersuche und Malware-Erkennung.
DHCP-Logs
DHCP-Logs zeigen automatische IP-Vergaben.
Typische Informationen:
MAC-Adresse
vergebene IP-Adresse
Hostname
Lease-Zeit
Zeitpunkt
DHCP-Server
Fehler bei Vergabe
Merksatz:
DHCP-Logs helfen,
IP-Konflikte und Clientzuordnungen nachzuvollziehen.
Webserverlogs
Webserverlogs zeigen Zugriffe auf Webseiten und APIs.
Typische Informationen:
Client-IP
Zeitpunkt
HTTP-Methode
URL
Statuscode
Antwortgröße
User-Agent
Referrer
Antwortzeit
Merksatz:
Webserverlogs zeigen,
welche Anfragen ein Webdienst erhalten hat.
HTTP-Statuscodes in Logs
Wichtige HTTP-Statuscode-Gruppen:
| Bereich | Bedeutung |
|---|---|
| 2xx | erfolgreich |
| 3xx | Weiterleitung |
| 4xx | Clientfehler |
| 5xx | Serverfehler |
Beispiele:
200:
Anfrage erfolgreich
301 oder 302:
Weiterleitung
401:
nicht authentifiziert
403:
verboten
404:
nicht gefunden
500:
interner Serverfehler
502:
fehlerhafte Antwort vom Backend
503:
Dienst nicht verfügbar
Merksatz:
4xx deutet oft auf Client- oder Berechtigungsproblem.
5xx deutet oft auf Server- oder Backendproblem.
Backup-Logs
Backup-Logs zeigen, ob Sicherungen erfolgreich waren.
Zu prüfen:
Backup gestartet?
Backup abgeschlossen?
Datenmenge plausibel?
Fehler aufgetreten?
Ziel erreichbar?
Speicherplatz ausreichend?
Verschlüsselung aktiv?
Aufbewahrung korrekt?
Restore-Test durchgeführt?
Merksatz:
Backup gilt erst als zuverlässig,
wenn Erfolg und Wiederherstellung geprüft wurden.
Cloud-Audit-Logs
Cloud-Audit-Logs zeigen sicherheitsrelevante Aktionen in Cloud-Umgebungen.
Beispiele:
Benutzer angemeldet
Rolle geändert
Firewall-Regel geöffnet
Speicher öffentlich gemacht
API-Schlüssel erzeugt
VM gestartet
Datenbank gelöscht
Backup geändert
MFA deaktiviert
Merksatz:
Cloud-Audit-Logs zeigen,
wer was in der Cloud geändert hat.
Loglevel
Logs haben oft verschiedene Schweregrade.
Typische Loglevel:
| Loglevel | Bedeutung |
|---|---|
| Debug | sehr detaillierte Informationen für Fehlersuche |
| Info | normale Betriebsinformation |
| Warning | Warnung, noch kein vollständiger Fehler |
| Error | Fehler ist aufgetreten |
| Critical | schwerer Fehler mit hoher Auswirkung |
| Fatal | Dienst oder Anwendung kann nicht weiterarbeiten |
Merksatz:
Nicht jede Warnung ist ein Ausfall,
aber Warnungen können frühe Hinweise sein.
Debug-Logs
Debug-Logs sind sehr detailliert.
Vorteil:
helfen bei genauer Fehlersuche
Nachteil:
erzeugen viele Daten
können sensible Informationen enthalten
können Performance belasten
Merksatz:
Debug-Logging gezielt aktivieren
und danach wieder reduzieren.
Logrotation
Logrotation bedeutet:
Logdateien werden regelmäßig umbenannt,
archiviert
komprimiert
oder gelöscht.
Ziel:
Festplatte läuft nicht voll.
Logs bleiben übersichtlich.
Aufbewahrung wird kontrolliert.
Merksatz:
Ohne Logrotation können Logs Speicherplatzprobleme verursachen.
Logaufbewahrung
Logaufbewahrung legt fest, wie lange Logs gespeichert werden.
Zu beachten:
gesetzliche Vorgaben
Datenschutz
Sicherheitsanforderungen
Speicherplatz
Nachvollziehbarkeit
forensische Analyse
interne Richtlinien
Merksatz:
Logs so lange wie nötig,
aber nicht unbegrenzt ohne Grund speichern.
Datenschutz bei Logs
Logs können personenbezogene Daten enthalten.
Beispiele:
Benutzername
IP-Adresse
E-Mail-Adresse
Zeitpunkte
Geräteinformationen
aufgerufene URLs
Standortinformationen
Deshalb wichtig:
Zugriff begrenzen
Aufbewahrung regeln
Zweck festlegen
sensible Inhalte vermeiden
Protokollierung dokumentieren
Merksatz:
Logs sind sicherheitsrelevant,
aber auch datenschutzrelevant.
Zentrale Logsammlung
Zentrale Logsammlung bedeutet:
Logs mehrerer Systeme werden an einem zentralen Ort gesammelt.
Vorteile:
bessere Suche
bessere Korrelation
Schutz vor lokaler Manipulation
einfachere Auswertung
bessere Nachvollziehbarkeit
Grundlage für SIEM
Merksatz:
Zentrale Logs helfen,
Ereignisse systemübergreifend zu verstehen.
Syslog
Syslog ist ein verbreiteter Standard zur Übertragung von Logmeldungen.
Häufig genutzt bei:
Linux-Systemen
Netzwerkgeräten
Firewalls
Switches
Routern
Appliances
Merksatz:
Syslog transportiert Logmeldungen zu einem Logserver.
Windows-Ereignisanzeige
Windows-Systeme verwenden Ereignisprotokolle.
Typische Bereiche:
Anwendung
Sicherheit
System
Setup
weitergeleitete Ereignisse
Wichtige Ereignisse:
Anmeldung
Fehlanmeldung
Dienstfehler
Richtlinienänderung
Kontoänderung
Systemfehler
Merksatz:
Die Windows-Ereignisanzeige ist zentrale Logquelle auf Windows-Systemen.
journalctl
Auf vielen Linux-Systemen werden Systemlogs über systemd-journald verwaltet.
Das Werkzeug zur Anzeige heißt:
journalctl
Typische Nutzung:
Systemmeldungen anzeigen
Logs eines Dienstes prüfen
Logs seit bestimmtem Zeitpunkt prüfen
Bootvorgänge untersuchen
Merksatz:
journalctl zeigt systemd-Journal-Logs auf Linux-Systemen.
Dienstprüfung
Dienstprüfung bedeutet:
Es wird geprüft,
ob ein Dienst läuft,
erreichbar ist
und korrekt arbeitet.
Zu prüfen:
läuft der Dienst?
lauscht der Port?
ist die Konfiguration korrekt?
gibt es Fehlerlogs?
antwortet der Dienst?
erreicht er Backend-Systeme?
gibt es Berechtigungsprobleme?
wurde etwas geändert?
Merksatz:
Dienst läuft nicht automatisch gleich Dienst funktioniert vollständig.
Dienststatus
Der Dienststatus zeigt, ob ein Dienst gestartet, gestoppt oder fehlerhaft ist.
Beispiele:
running
stopped
failed
active
inactive
disabled
Merksatz:
Dienststatus ist der erste Blick,
aber nicht die vollständige Prüfung.
Portprüfung
Ein Dienst kann nur erreicht werden, wenn er auf einem Port lauscht und der Netzwerkweg erlaubt ist.
Zu prüfen:
lauscht der Dienst auf richtiger IP?
lauscht der Dienst auf richtigem Port?
blockiert lokale Firewall?
blockiert Netzwerkfirewall?
stimmt DNS?
stimmt Routing?
ist der Dienst nur lokal gebunden?
Merksatz:
Dienst erreichbar bedeutet:
Prozess,
Port,
Firewall,
DNS
und Routing müssen passen.
Dienst lauscht nur lokal
Ein Dienst kann nur auf localhost lauschen.
Beispiel:
127.0.0.1
Dann ist er nur vom eigenen System erreichbar.
Wenn andere Systeme zugreifen sollen, muss geprüft werden, ob der Dienst auf der passenden Netzwerkschnittstelle lauscht.
Merksatz:
127.0.0.1 bedeutet nur lokal auf demselben System.
Typische Dienstfehler
Häufige Ursachen:
Dienst nicht gestartet
falsche Konfiguration
Port bereits belegt
fehlende Berechtigung
Zertifikat abgelaufen
Datenbank nicht erreichbar
DNS-Fehler
Firewall blockiert
Speicher voll
falsche Zugangsdaten
Update hat Abhängigkeit geändert
Merksatz:
Dienstfehler entstehen oft durch Konfiguration,
Abhängigkeiten
Berechtigungen
oder Ressourcen.
Abhängigkeiten von Diensten
Viele Dienste hängen von anderen Diensten ab.
Beispiele:
Webanwendung braucht Datenbank.
Anwendung braucht Redis oder Cache.
Login braucht Verzeichnisdienst.
Backup braucht Speicherziel.
Monitoring braucht Netzwerkzugriff.
E-Mail-Dienst braucht DNS.
Merksatz:
Bei Fehlern immer auch abhängige Dienste prüfen.
Metriken im Monitoring
Metriken sind messbare Werte.
Typische Metriken:
CPU-Auslastung
RAM-Nutzung
Festplattenbelegung
I/O-Last
Netzwerklast
Paketverlust
Latenz
Antwortzeit
Fehlerquote
Anzahl Loginfehler
Queue-Länge
Verfügbarkeit
Merksatz:
Metriken zeigen messbare Zustände von Systemen und Diensten.
CPU-Auslastung
Hohe CPU-Auslastung kann bedeuten:
Dienst ist überlastet
Prozess hängt
Malware oder Cryptominer aktiv
zu viele Anfragen
schlecht optimierte Anwendung
Backup oder Scan läuft
Hardware zu schwach
Merksatz:
Hohe CPU ist ein Symptom,
nicht automatisch die Ursache.
RAM-Nutzung
Hohe RAM-Nutzung kann bedeuten:
Anwendung braucht viel Speicher
Speicherleck
zu viele Prozesse
Caching
falsche Dimensionierung
Containerlimit zu klein
Datenbank nutzt Speicher intensiv
Merksatz:
RAM-Auslastung immer im Zusammenhang mit Anwendung und System bewerten.
Festplattenbelegung
Volle Festplatten verursachen viele Probleme.
Mögliche Folgen:
Dienst stoppt
Datenbank kann nicht schreiben
Logs können nicht gespeichert werden
Updates schlagen fehl
Backup schlägt fehl
System wird instabil
Merksatz:
Volle Festplatte ist eine häufige Ursache für Dienstfehler.
I/O-Last
I/O beschreibt Ein- und Ausgabe auf Speichergeräten.
Hohe I/O-Last kann auftreten durch:
Datenbank
Backup
Virenscan
Logflut
große Dateioperationen
langsamen Speicher
zu viele gleichzeitige Zugriffe
Merksatz:
Hohe I/O-Last kann Systeme langsam machen,
auch wenn CPU frei ist.
Netzwerklast
Netzwerklast zeigt, wie stark eine Verbindung genutzt wird.
Hohe Netzwerklast kann entstehen durch:
Backup
Dateiübertragung
Streaming
DDoS
Malware
Synchronisation
falsche Schleife
große Updates
Merksatz:
Netzwerklast immer mit Quelle,
Ziel
und Anwendung betrachten.
Latenz und Paketverlust
Latenz:
Verzögerung bei der Übertragung
Paketverlust:
Pakete gehen verloren
Folgen:
langsame Verbindungen
Verbindungsabbrüche
schlechte Sprachqualität
langsame Remote-Sitzungen
Timeouts
schlechte Anwendungserfahrung
Merksatz:
Latenz und Paketverlust beeinflussen spürbar die Qualität von Netzwerkdiensten.
Antwortzeit
Antwortzeit beschreibt, wie lange ein Dienst für eine Antwort braucht.
Beispiele:
Webseite lädt langsam.
API antwortet verzögert.
Datenbankabfrage dauert lange.
Login dauert ungewöhnlich lange.
Merksatz:
Dienst ist erreichbar,
kann aber trotzdem zu langsam sein.
Verfügbarkeit
Verfügbarkeit beschreibt, ob ein Dienst nutzbar ist.
Monitoring kann prüfen:
Ping
TCP-Port
HTTP-Antwort
API-Antwort
Login-Test
Datenbankverbindung
Zertifikat
Backup-Erfolg
Merksatz:
Verfügbarkeit sollte aus Sicht der Nutzung geprüft werden.
Health Check
Ein Health Check prüft, ob ein Dienst gesund ist.
Beispiele:
Prozess läuft
Port offen
HTTP-Status 200
Datenbank erreichbar
Abhängigkeiten funktionieren
Antwortzeit im Grenzwert
Merksatz:
Ein guter Health Check prüft mehr als nur,
ob ein Prozess läuft.
Alerting
Alerting bedeutet:
Bei kritischen Zuständen wird automatisch alarmiert.
Beispiele:
Festplatte über 90 Prozent
Dienst nicht erreichbar
Backup fehlgeschlagen
Zertifikat läuft bald ab
viele Loginfehler
CPU dauerhaft sehr hoch
ungewöhnlicher Datenexport
Firewall blockiert ungewöhnlich viel
Merksatz:
Monitoring ohne sinnvolles Alerting wird leicht übersehen.
Alarmmüdigkeit
Alarmmüdigkeit entsteht, wenn zu viele unwichtige Alarme erzeugt werden.
Folge:
wichtige Alarme werden ignoriert.
Gegenmaßnahmen:
sinnvolle Schwellwerte
Prioritäten
Eskalationsregeln
Alarmzusammenfassung
regelmäßige Anpassung
klare Zuständigkeit
Merksatz:
Zu viele schlechte Alarme sind fast so problematisch wie keine Alarme.
Schwellwerte
Schwellwerte legen fest, wann ein Alarm ausgelöst wird.
Beispiele:
Festplatte über 90 Prozent
CPU länger als 10 Minuten über 95 Prozent
Zertifikat läuft in 14 Tagen ab
Backup zweimal hintereinander fehlgeschlagen
Merksatz:
Schwellwerte sollten zur Kritikalität des Dienstes passen.
SLA, SLO und SLI in der Praxis
SLI:
Messwert
SLO:
Zielwert
SLA:
vertragliche Zusage
Beispiel:
SLI:
gemessene Verfügbarkeit
SLO:
99,9 Prozent Verfügbarkeit als internes Ziel
SLA:
99,5 Prozent vertraglich zugesichert
Merksatz:
SLI misst.
SLO setzt Ziel.
SLA ist Zusage.
Uptime und Verfügbarkeit
Uptime beschreibt, wie lange ein System ohne Unterbrechung läuft.
Verfügbarkeit beschreibt, ob ein Dienst für Benutzer nutzbar ist.
Wichtig:
Ein Server kann laufen,
aber die Anwendung kann trotzdem nicht funktionieren.
Merksatz:
Uptime ist nicht automatisch Dienstverfügbarkeit.
Zertifikatsüberwachung
TLS-Zertifikate laufen ab.
Wenn ein Zertifikat abläuft, können Benutzer Warnungen erhalten oder Dienste funktionieren nicht mehr.
Monitoring sollte prüfen:
Ablaufdatum
Hostname passt
Zertifikatskette gültig
richtige Zertifizierungsstelle
automatische Erneuerung funktioniert
Merksatz:
Abgelaufene Zertifikate sind vermeidbare Ausfälle.
Backup-Monitoring
Backup-Monitoring prüft, ob Sicherungen erfolgreich laufen.
Zu überwachen:
letzter erfolgreicher Lauf
Fehlermeldungen
Datenmenge
Laufzeit
Speicherziel
verfügbare Kapazität
Verschlüsselung
Aufbewahrung
Restore-Test
Merksatz:
Backup-Erfolg muss aktiv überwacht werden.
Logauswertung bei Sicherheitsvorfällen
Bei Verdacht auf Sicherheitsvorfall helfen Logs.
Zu prüfen:
ungewöhnliche Loginzeiten
viele Fehlversuche
neue Adminrechte
neue Benutzer
neue Weiterleitungsregeln
Datenexporte
verdächtige DNS-Anfragen
ungewöhnliche Prozesse
Firewall-Drops
VPN-Zugriffe
EDR-Meldungen
Merksatz:
Sicherheitsvorfälle lassen sich nur gut untersuchen,
wenn Logs vorhanden und geschützt sind.
Zeitliche Korrelation
Zeitliche Korrelation bedeutet:
Ereignisse aus verschiedenen Logs werden zeitlich zusammengeführt.
Beispiel:
10:01 VPN-Login
10:03 Adminrechte vergeben
10:05 Zugriff auf Dateiserver
10:10 Datenexport
Merksatz:
Korrelation zeigt Zusammenhänge,
die einzelne Logs allein nicht zeigen.
NTP und Zeitbasis
NTP steht für:
Network Time Protocol
NTP synchronisiert Systemzeiten.
Warum wichtig?
Logs verschiedener Systeme müssen zeitlich vergleichbar sein.
Ohne korrekte Zeit:
Ereignisse sind schwer zuzuordnen.
Sicherheitsanalyse wird ungenau.
Nachweise werden schwieriger.
Merksatz:
Gemeinsame Zeitbasis ist wichtig für Logs und Forensik.
Manipulationsschutz für Logs
Logs können für Angreifer gefährlich sein, weil sie Spuren enthalten.
Deshalb versuchen Angreifer oft, Logs zu löschen oder zu verändern.
Schutz:
zentrale Logsammlung
eingeschränkte Rechte
unveränderliche Speicherung
regelmäßige Sicherung
getrennte Systeme
Alarm bei Logausfall
Auditierung
Merksatz:
Logs müssen vor Manipulation geschützt werden.
Dashboard
Ein Dashboard zeigt wichtige Zustände übersichtlich an.
Beispiele:
Systemstatus
Dienstverfügbarkeit
CPU und RAM
Netzwerkstatus
Backupstatus
Sicherheitsalarme
Zertifikatsstatus
offene Incidents
Merksatz:
Dashboard zeigt schnell,
wo Aufmerksamkeit nötig ist.
Runbook
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Situationen.
Beispiele:
Dienst ausgefallen
Backup fehlgeschlagen
Zertifikat abgelaufen
Speicherplatz voll
Benutzerkonto gesperrt
VPN funktioniert nicht
Malware-Verdacht
Merksatz:
Runbooks helfen,
Fehler schneller und einheitlicher zu beheben.
Dokumentation bei Störungen
Bei Störungen sollte dokumentiert werden:
Zeitpunkt
betroffene Systeme
Symptome
Fehlermeldungen
Logs
getroffene Maßnahmen
Verantwortliche
Ursache
Lösung
Restprobleme
Lessons Learned
Merksatz:
Gute Dokumentation verhindert,
dass derselbe Fehler immer wieder neu gesucht wird.
Typische Praxisreihenfolge bei Dienstproblemen
Sinnvolle Reihenfolge:
1. Ist das Problem reproduzierbar?
2. Wer ist betroffen?
3. Seit wann besteht das Problem?
4. Gab es Änderungen?
5. Läuft der Dienst?
6. Lauscht der Port?
7. Ist DNS korrekt?
8. Ist Netzwerkverbindung möglich?
9. Blockiert eine Firewall?
10. Gibt es Fehlerlogs?
11. Sind Abhängigkeiten erreichbar?
12. Sind Ressourcen ausreichend?
13. Funktioniert Authentifizierung?
14. Ist ein Zertifikat abgelaufen?
15. Wurde die Lösung dokumentiert?
Merksatz:
Fehlersuche wird schneller,
wenn sie systematisch erfolgt.
Typische Fehler bei Logs und Monitoring
Häufige Fehler:
Logs nicht aktiviert
Logs nur lokal gespeichert
Logs werden zu früh gelöscht
Logs enthalten zu viele sensible Daten
keine zentrale Auswertung
keine Zeitsynchronisation
keine Alarmierung
zu viele unwichtige Alarme
Backupfehler werden nicht bemerkt
Zertifikatsablauf wird nicht überwacht
Dienst läuft,
aber Anwendung wird nicht geprüft
niemand ist für Alarme zuständig
Merksatz:
Monitoring muss betrieben und gepflegt werden,
sonst verliert es seinen Nutzen.
Checkliste: Logs und Monitoring sinnvoll einrichten
Wichtige Systeme erfassen.
Wichtige Dienste erfassen.
Relevante Logs aktivieren.
Logaufbewahrung festlegen.
Datenschutz beachten.
Zentrale Logsammlung nutzen.
Zeitsynchronisation per NTP sicherstellen.
Kritische Metriken überwachen.
Schwellwerte definieren.
Alarmwege festlegen.
Zuständigkeiten klären.
Backup-Erfolg überwachen.
Zertifikate überwachen.
Health Checks einrichten.
Runbooks erstellen.
Alarme regelmäßig prüfen.
Dokumentation aktuell halten.
Merksatz:
Logs und Monitoring brauchen Planung,
Zuständigkeit
und regelmäßige Pflege.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum sind Logs wichtig?
- Was ist der Unterschied zwischen Logging und Monitoring?
- Welche Logquellen gibt es?
- Was sind Authentifizierungslogs?
- Wofür nutzt man Firewall-Logs?
- Wofür nutzt man VPN-Logs?
- Was zeigen Webserverlogs?
- Was bedeuten HTTP-Statuscodes 4xx und 5xx?
- Was ist Logrotation?
- Warum ist Logaufbewahrung wichtig?
- Warum sind Logs datenschutzrelevant?
- Was ist zentrale Logsammlung?
- Was ist Syslog?
- Was ist journalctl?
- Was ist ein Health Check?
- Was ist Alerting?
- Was ist Alarmmüdigkeit?
- Warum ist NTP für Logs wichtig?
- Was ist ein Dashboard?
- Was ist ein Runbook?
- Warum sollte Backup-Monitoring eingerichtet werden?
Typische Prüfungsfallen
Logs und Monitoring nicht verwechseln.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet kritische Zustände.
Ohne Logs ist Sicherheitsanalyse schwierig.
Lokale Logs können manipuliert werden.
Zentrale Logsammlung verbessert Nachvollziehbarkeit.
Logs können personenbezogene Daten enthalten.
Logrotation verhindert volle Festplatten.
Debug-Logs nicht dauerhaft unnötig aktiv lassen.
Dienst läuft nicht automatisch gleich Anwendung funktioniert.
4xx bedeutet meist Client- oder Berechtigungsproblem.
5xx bedeutet meist Server- oder Backendproblem.
Uptime ist nicht automatisch Verfügbarkeit.
Health Check sollte mehr prüfen als Prozessstatus.
Backup-Erfolg aktiv überwachen.
Zertifikatsablauf überwachen.
NTP ist wichtig für zeitliche Korrelation.
Zu viele Alarme führen zu Alarmmüdigkeit.
Runbooks helfen bei wiederkehrenden Störungen.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Log | protokolliertes Ereignis |
| Logging | Aufzeichnung von Ereignissen |
| Monitoring | Überwachung von Zuständen |
| Alerting | automatische Alarmierung |
| Reporting | Auswertung über Zeitraum |
| Betriebssystemlog | Log des Betriebssystems |
| Anwendungslog | Log einer Anwendung |
| Authentifizierungslog | Log zu Anmeldungen |
| Firewall-Log | Log zu erlaubtem und blockiertem Verkehr |
| VPN-Log | Log zu VPN-Verbindungen |
| DNS-Log | Log zu Namensauflösungen |
| DHCP-Log | Log zu IP-Vergaben |
| Webserverlog | Log zu HTTP-Anfragen |
| HTTP-Statuscode | Ergebnis einer Webanfrage |
| Backup-Log | Log zu Sicherungen |
| Audit-Log | Log sicherheitsrelevanter Aktionen |
| Loglevel | Schweregrad einer Logmeldung |
| Debug | detaillierte Fehlersuche |
| Info | normale Information |
| Warning | Warnung |
| Error | Fehler |
| Critical | schwerer Fehler |
| Logrotation | Verwaltung alter Logdateien |
| Logaufbewahrung | Dauer der Speicherung |
| zentrale Logsammlung | Sammlung von Logs an zentralem Ort |
| Syslog | Standard für Logmeldungen |
| Ereignisanzeige | Windows-Loganzeige |
| journalctl | Werkzeug für systemd-Journal |
| Dienstprüfung | Prüfung eines Dienstes |
| Portprüfung | Prüfung erreichbarer Ports |
| Metrik | messbarer Wert |
| CPU-Auslastung | Prozessorlast |
| RAM-Nutzung | Arbeitsspeichernutzung |
| I/O-Last | Last durch Ein- und Ausgabe |
| Latenz | Verzögerung |
| Paketverlust | verlorene Netzwerkpakete |
| Antwortzeit | Dauer bis zur Antwort |
| Verfügbarkeit | Nutzbarkeit eines Dienstes |
| Health Check | Gesundheitsprüfung eines Dienstes |
| Schwellwert | Grenze für Alarm |
| SLI | Service-Messwert |
| SLO | Service-Zielwert |
| SLA | vertragliche Servicezusage |
| NTP | Zeitsynchronisation |
| Dashboard | Übersicht wichtiger Zustände |
| Runbook | Schritt-für-Schritt-Anleitung |
IHK-sichere Kurzformulierung
Logs protokollieren Ereignisse auf Systemen, Anwendungen, Netzwerkkomponenten und Sicherheitsdiensten. Monitoring überwacht aktuelle Zustände und Metriken wie Verfügbarkeit, CPU-Auslastung, Speicherplatz, Antwortzeiten, Backup-Erfolg und Zertifikatslaufzeiten. Alerting informiert Verantwortliche automatisch bei kritischen Abweichungen. Für eine sinnvolle Analyse sollten wichtige Logs zentral gesammelt, geschützt, mit korrekter Zeitbasis versehen und datenschutzgerecht aufbewahrt werden. Dienstprüfung umfasst die Kontrolle von Dienststatus, Port, Firewall, DNS, Routing, Logs, Ressourcen und Abhängigkeiten. Logs, Monitoring, Health Checks, Dashboards und Runbooks helfen, Fehler schneller zu erkennen, Sicherheitsvorfälle zu untersuchen und den Betrieb nachvollziehbar zu dokumentieren.
Merksätze
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet kritische Abweichungen.
Ohne Logs ist Fehlersuche schwierig.
Ohne Monitoring werden Probleme oft zu spät erkannt.
Authentifizierungslogs zeigen Anmeldungen.
Firewall-Logs zeigen erlaubten und blockierten Verkehr.
VPN-Logs zeigen Fernzugriffe.
DNS-Logs helfen bei Namensauflösung und Sicherheit.
DHCP-Logs helfen bei IP-Zuordnung.
Webserverlogs zeigen HTTP-Anfragen.
2xx bedeutet erfolgreich.
3xx bedeutet Weiterleitung.
4xx bedeutet Client- oder Berechtigungsproblem.
5xx bedeutet Server- oder Backendproblem.
Backup-Logs regelmäßig prüfen.
Cloud-Audit-Logs zeigen Änderungen in der Cloud.
Debug-Logs nicht dauerhaft unnötig aktiv lassen.
Logrotation schützt vor voller Festplatte.
Logs können personenbezogene Daten enthalten.
Zentrale Logsammlung verbessert Nachvollziehbarkeit.
Syslog transportiert Logmeldungen.
Windows nutzt Ereignisprotokolle.
journalctl zeigt systemd-Journal-Logs.
Dienststatus ist nur der erste Schritt.
Port,
Firewall,
DNS
und Routing mitprüfen.
127.0.0.1 bedeutet nur lokal erreichbar.
Abhängige Dienste prüfen.
Metriken zeigen messbare Zustände.
Hohe CPU ist Symptom,
nicht automatisch Ursache.
Volle Festplatte verursacht viele Dienstfehler.
Uptime ist nicht automatisch Verfügbarkeit.
Health Check soll echte Nutzbarkeit prüfen.
Zu viele Alarme führen zu Alarmmüdigkeit.
NTP ist wichtig für Logauswertung.
Logs vor Manipulation schützen.
Dashboard schafft Überblick.
Runbooks beschleunigen wiederkehrende Fehlerbehebung.
Störungen dokumentieren.
Logs und Monitoring brauchen Pflege.