Zum Inhalt

Audit-Log-Referenz

Einführung

Die ADS‑TEC Industrial IT IRF1000 und IRF3000 sind industrielle VPN-Router-Firewalls, die für sicheren Fernzugriff, Netzwerksegmentierung und zuverlässigen Betrieb in anspruchsvollen Umgebungen konzipiert sind. Eine zentrale Sicherheitsfunktion dieser Geräte ist das Audit-Log. Es liefert eine vertrauenswürdige, manipulationssichere Aufzeichnung relevanter Sicherheits- und Systemereignisse, sodass Administratoren und Auditoren nachvollziehen können, wer wann und in welchem Teil des Systems welche Aktion durchgeführt hat.

Dieses Kapitel erläutert, wie die Audit-Protokollierung auf den Geräten funktioniert, was Sie im Webinterface sehen können, wie Sie die Rohprotokolldatei herunterladen und welche Arten von Ereignissen aufgezeichnet werden. Es richtet sich an Endanwender und Administratoren und vermeidet nach Möglichkeit Linux-Interna – bietet aber dennoch genügend Kontext, um die Funktion effektiv zu nutzen.

Was ist das Audit-Log auf IRF1000/IRF3000?

  • Das Audit-Log der IRF-Serie basiert auf dem Linux-Standarddienst "auditd" (dem Linux Auditing System).
  • ADS‑TEC ergänzt gerätespezifische Einträge und eine einheitliche Formatierung, sodass die Ereignisse für die Geräteadministration aussagekräftig sind.
  • Das Webinterface des Geräts bietet eine "Audit-Log"-Ansicht, in der Sie ausgewählte Ereignisse lesen können, ohne den Browser zu verlassen.
  • Für eine eingehende Analyse oder eine Compliance-Archivierung können Sie die Rohdatei audit.log genau so herunterladen, wie sie von auditd auf dem Gerät erzeugt wird. Diese enthält deutlich mehr Ereignisse, darunter standardmäßige interne auditd-Start- und Konfigurationsänderungsereignisse oder Betriebssystemereignisse, die im Webinterface nicht sichtbar sind.

Warum das wichtig ist:

  • Bietet Nachvollziehbarkeit für Konfigurationsänderungen und administrative Aktionen.
  • Hilft, verdächtige Aktivitäten zu erkennen (zum Beispiel wiederholte fehlgeschlagene Anmeldungen).
  • Unterstützt Compliance-Prozesse und die Reaktion auf Vorfälle, indem es eine verbindliche Ereignishistorie bereitstellt.

Wo Sie das Audit-Log einsehen können

Sie können auf das Audit-Log über das Webinterface des Geräts zugreifen:

  1. Melden Sie sich am Webinterface der IRF1000/IRF3000 an. Alle Webinterface-Konten haben die Berechtigung, Protokolle einzusehen.
  2. Öffnen Sie: Diagnose → Audit. Wählen Sie eine der Registerkarten, um eine bestimmte Kategorie anzuzeigen.
  3. Öffnen Sie die Registerkarte Download, um die Rohdatei audit.log als .tar.gz-Archiv zu exportieren.

Wie auditd auf dem Gerät funktioniert (Kurzfassung)

  • auditd ist der Dienst des Linux Auditing System, der für die zuverlässige Aufzeichnung sicherheitsrelevanter Ereignisse verantwortlich ist.
  • Die IRF-Firmware konfiguriert auditd mit Regeln, die gängige administrative und sicherheitsrelevante Aktionen auf dem Gerät abdecken.
  • Einige Ereignisse stammen direkt aus den Standard-Linux-Audit-Funktionen (zum Beispiel die Authentifizierung), während andere Ereignisse von ADS‑TEC-Komponenten ergänzt oder angereichert werden, um gerätespezifische Vorgänge besser abzubilden (zum Beispiel den VPN-Status oder Paketfilteraktivität).

Sie müssen die auditd-Regeln nicht manuell verwalten. Das Gerät stellt eine einsatzbereite Konfiguration und ein einfaches Webinterface zum Lesen und Exportieren von Protokollen bereit.

Bewährte Vorgehensweisen

  • Überprüfen Sie regelmäßig fehlgeschlagene Authentifizierungsversuche und unerwartete Konfigurationsänderungen.
  • Verwenden Sie den Download der Rohdatei audit.log für die Untersuchung von Vorfällen und um Beweise gemäß den Richtlinien Ihrer Organisation aufzubewahren.
  • Halten Sie die Gerätezeit synchronisiert. Wenn Sie eine Anbindung an eine externe Protokollierung oder ein SIEM vornehmen, gleichen Sie Zeitzonen und Formate ab. Sie müssen NTP verwenden, da die Geräte keine batteriegepufferte RTC bieten.

Hinweise zur Ereignisabdeckung und zu Unterschieden gegenüber generischem Linux

  • Auf IRF-Geräten konzentriert sich die Audit-Protokollierung auf sicherheitsrelevante Geräteaktionen und nicht auf jedes systemnahe Kernel-Ereignis.
  • Einige Einträge sind mit menschenlesbaren Feldern angereichert (zum Beispiel Namen von Konfigurationsobjekten), um sie im Webinterface leichter interpretierbar zu machen.
  • Beim Vergleich mit standardmäßigen Linux-Audit-Logs sind Benennungen und zusätzliche Felder zu erwarten, die den ADS‑TEC-Gerätekontext widerspiegeln.

Wichtige Ratenbegrenzungen und Aufbewahrung:

  • Die audit.log ist ein 50-MB-Ringpuffer, der von allen Audit-Meldungstypen gemeinsam genutzt wird; die ältesten Einträge werden überschrieben, sobald er voll ist.
  • Der Ringpuffer verwendet 5 Dateien mit je 10 MB, somit beträgt der minimale Speicher 40 MB und der maximale Speicher 50 MB.
  • Paketfilter (NETFILTER_PKT): ein Eintrag pro Minute je auditierter Regel.
  • Geräteschnittstelle (USER_DEVICE): LINK max. 20 Meldungen/Tag; IO max. 20 Meldungen/Stunde; USB nicht ratenbegrenzt.
  • Remote-Dienst (CUSTOM_REMOTE_SERVICE): max. 5 Meldungen/Stunde.

Audit-Log an Syslog

Ab Firmware-Version 2.2.5 können die IRF1000/IRF3000 Audit-Log-Einträge an einen Syslog-Server weiterleiten. Dies ist nützlich für die zentralisierte Protokollierung, die Langzeitaufbewahrung und das Compliance-Reporting.

So aktivieren Sie dies:

  1. Melden Sie sich am Webinterface des Geräts an.
  2. Öffnen Sie: Diagnose → Eventlog → Konfiguration.
  3. Geben Sie die IP-Adresse des Syslog-Servers ein.
  4. Aktivieren Sie die Option Audit-Log einschließen.
  5. Wenden Sie die Einstellungen an oder speichern Sie sie.

Ab diesem Zeitpunkt werden ausgewählte Audit-Log-Einträge zusätzlich zur Speicherung in audit.log auf dem Gerät an den konfigurierten Syslog-Server gesendet.

Wichtig

Der Standard-Syslog-Transport ist unverschlüsselt und nicht authentifiziert. Um die Protokolldaten während der Übertragung zu schützen, platzieren Sie den Syslog-Server in einem vertrauenswürdigen Netzwerksegment und verwenden Sie IPsec oder OpenVPN, um den Datenverkehr zwischen dem Gerät und dem Syslog-Server zu verschlüsseln.

Audit-Log-Ansichten im Webinterface

Das Webinterface des Geräts unterstützt derzeit die folgenden Audit-Log-Ansichten. Die Kapitel in diesem Dokument erläutern sie im Detail.

  • AUDITVIEW — Authentifizierungs-Audit (umfasst USER_LOGIN, USER_LOGOUT, USER_END)
  • AUDITCONF — Konfigurations-Audit (USYS_CONFIG)
  • AUDITSYSTEM — System-Audit
  • AUDITNETFILTER — Paketfilter-Audit (NETFILTER_PKT)
  • AUDITACCESS — Zugriffs-Audit
  • AUDITANOMALY — Anomalie-Audit (noch keine Ereignisse zum Stand der Firmware-Version 2.2.4)
  • AUDITDEVICE — Geräte-Audit (USER_DEVICE)
  • AUDITREMOTESERVICE — Remote-Dienst-Audit (CUSTOM_REMOTE_SERVICE)

Die angegebenen Konstanten stellen den Pfad auf dem Webserver des Geräts dar. D. h. https://192.168.0.254/priv/priv.php?id=AUDITNETFILTER öffnet die Ansicht AUDITNETFILTER.