Framework / Thema / Logging & Nachvollziehbarkeit

topicV2.9

THEMA

Logging & Nachvollziehbarkeit

Relevante Aktivitäten und Zustandsänderungen werden so protokolliert, dass Ereignisse erkannt, untersucht und nachvollzogen werden können.

VERSTEHEN

Worum geht es?

Logs sind zugleich Betriebs-, Sicherheits- und Nachweisdaten. Ihr Wert hängt von Vollständigkeit, Zeitbezug, Schutz, Aufbewahrung und dem Kontext der betroffenen Assets und Identitäten ab.

Erfassen

Relevante Ereignisse und Änderungen an geeigneten Stellen protokollieren.

Schützen

Logs gegen unberechtigte Veränderung und Verlust absichern.

Nutzen

Daten für Monitoring, Incident-Analyse und Nachweise verfügbar machen.

ANWENDEN

Wie aus technischen Ereignissen belastbare Spuren werden

AKTIVITÄTEN NACHVOLLZIEHEN

01Logging-BedarfLogging-Bedarf bestimmen

02QuelleGeeignete Datenquelle anbinden

03SammlungEreignisse vollständig zusammenführen

04AuswertungEreignisse gezielt analysieren

05AufbewahrungNachweise verfügbar halten

Die Schritte greifen ineinander. Erkenntnisse und Veränderungen führen zurück in den Kreislauf.

BEISPIEL AUS DEM ALLTAG

Wer hat die Berechtigung geändert?

01 Logging-Bedarf

Konkrete Nachweisfrage festlegen, etwa wer eine Berechtigung geändert oder eine kritische Konfiguration angepasst hat.

02 Quelle

Sicherstellen, dass die Quellsysteme Benutzer, Zeitpunkt, Aktion, Zielobjekt und Ergebnis ausreichend vollständig protokollieren.

03 Sammlung

Relevante Logs zentral, zeitlich synchronisiert und gegen unbemerkte Veränderung geschützt sammeln.

04 Auswertung

Ereignisse über Systeme hinweg auswerten, auffällige Muster erkennen und bei Bedarf eine Untersuchung auslösen.

05 Aufbewahrung / Review

Aufbewahrung und Zugriffe an Zweck und Risiko ausrichten und regelmäßig prüfen, ob Ereignisse noch zuverlässig rekonstruierbar sind.

Wichtig: Viele Protokolle allein schaffen noch keine Nachvollziehbarkeit. Entscheidend ist, dass die richtigen Ereignisse vollständig, zeitlich korrekt und vor nachträglicher Veränderung geschützt erfasst werden.

FÄHIGKEITEN

Welche Fähigkeiten müssen zusammenspielen?

CAPABILITYErkennen & ÜberwachenAbweichungen rechtzeitig erkennen und in Entscheidungen oder Reaktion überführen.→CAPABILITYTransparenz, Nachweis & VerbesserungWirksamkeit durch Evidenz, Prüfung, Kennzahlen und Verbesserung sichtbar machen.→CAPABILITYPlattformbetriebPlattformen gehärtet, überwacht und wiederherstellbar betreiben.→CAPABILITYDaten & InformationsschutzDaten nach Bedeutung, Nutzung und Lebenszyklus angemessen schützen.→

VERNETZEN

Im Framework weiterarbeiten

Security MonitoringLogs für Erkennung nutzen→Incident ManagementForensischen Kontext bereitstellen→PAMPrivilegierte Tätigkeiten nachvollziehen→NachweiseEvidenz belastbar sichern→

MERKSATZ

Logging & Nachvollziehbarkeit

Nachvollziehbarkeit entsteht vor dem Vorfall. Relevante Ereignisse müssen rechtzeitig, geschützt und mit ausreichend Kontext protokolliert werden.