Paketfilter
Einführung
Paketfilter-Audit-Ereignisse auf IRF1000 und IRF3000 zeigen an, dass weitergeleiteter Layer‑3‑Datenverkehr auf eine Paketfilterregel mit aktivierter Option Audit zutraf. Das Ereignis erfasst die IPv4-Quelladresse, die Zieladresse und das Protokoll des weitergeleiteten Pakets und macht dies sowohl im Webinterface als auch in audit.log sichtbar.
Diese Ereignisse helfen Ihnen dabei, erwartete Kommunikationspfade in OT-Netzwerken zu bestätigen und unerwartete Gegenstellen oder Protokolle zu erkennen, die kritische Anlagen erreichen. Verwenden Sie diesen Ereignistyp nicht für eine vollständige Verkehrsabrechnung, da die Protokollierung auf eine Meldung pro Minute pro auditierter Regel begrenzt ist. Korrelieren Sie für das Security-Monitoring diese stichprobenartig erfassten Ereignisse mit Ihren Firewall-Regeln und, wo erforderlich, mit einer dedizierten Flow- oder Paketüberwachung.
Webinterface-Ansicht
Das VIEW-Webinterface zeigt diese Ereignisse im Abschnitt Paketfilter-Audit an. Die Webansicht liest NETFILTER_PKT-Einträge aus audit.log, extrahiert die relevanten Felder und wandelt den numerischen Protokollwert in einen Protokollnamen um, zum Beispiel 1 in icmp oder 6 in tcp. Es werden nur Treffer auf dem Weiterleitungspfad angezeigt. Regelnamen, Ports, Schnittstellen und Aktionen werden nicht angezeigt.
Die Tabellenspalten im Webinterface haben die folgende Bedeutung:
| Feld | Beschreibung | Beispiel |
|---|---|---|
| Datum | Lokales Kalenderdatum des Geräts, an dem das Audit-Ereignis aufgezeichnet wurde. | 10/15/25 |
| Uhrzeit | Lokale Uhrzeit des Geräts, zu der das Audit-Ereignis aufgezeichnet wurde. | 09:46:26 |
| Quelladresse | IPv4-Quelladresse des weitergeleiteten Pakets. | 172.16.0.40 |
| Zieladresse | IPv4-Zieladresse des weitergeleiteten Pakets. | 192.168.0.253 |
| Protokoll | IP-Protokollname, abgeleitet aus dem numerischen Feld proto im Audit-Datensatz. |
icmp / tcp |
Einträge in dieser Ansicht sind wegen der Ratenbegrenzung stichprobenartig. Wenn eine große Anzahl von Paketen auf dieselbe auditierte Regel zutrifft, sehen Sie für diese Regel dennoch höchstens eine Zeile pro Minute. Verwenden Sie für die SIEM- oder SOC-Integration die rohe Datei audit.log als primäre Datenquelle und behandeln Sie die Webansicht als menschenlesbare Zusammenfassung.
Erläuterung des rohen audit.log-Eintrags
Zeilen mit type=NETFILTER_PKT in audit.log werden von der Kernel-Netfilter-Audit-Integration über die iptables-Erweiterung audit erstellt. Jede Zeile enthält grundlegende Paket-Metadaten. Regelnamen und explizite Aktionen sind nicht Teil dieses Datensatzes. Generische auditd-Felder verhalten sich wie in den Standard-auditd-Handbüchern dokumentiert und werden hier nicht im Detail beschrieben.
Ein typischer NETFILTER_PKT-Datensatz sieht wie folgt aus und enthält die folgenden Komponenten:
| Feld | Beschreibung | Beispiel |
|---|---|---|
| type | Audit-Datensatztyp. Für Paketfilter-Audit-Ereignisse ist dies NETFILTER_PKT. |
type=NETFILTER_PKT |
| msg | Audit-Metadaten mit Zeitstempel und Datensatz-ID im auditd-Format. | msg=audit(1760514386.800:94) |
| mark | Netfilter-Mark-Wert, falls vorhanden. Die IRF ändert diesen standardmäßig nicht. | mark=0x0 |
| saddr | IPv4-Quelladresse des weitergeleiteten Pakets. | saddr=172.16.0.40 |
| daddr | IPv4-Zieladresse des weitergeleiteten Pakets. | daddr=192.168.0.253 |
| proto | IP-Protokollnummer, wie von der IANA zugewiesen (zum Beispiel 1 = ICMP, 6 = TCP, 17 = UDP). | proto=1 / proto=6 |
Filtern Sie für die SIEM- oder SOC-Nutzung nach type=NETFILTER_PKT, extrahieren Sie saddr, daddr und proto und ordnen Sie die Protokollnummern anhand der offiziellen IANA-Protokollliste den Protokollnamen zu. Beachten Sie, dass diese Datensätze auf eine Meldung pro Minute pro auditierter Regel begrenzt sind, sodass sie stichprobenartige Treffer darstellen und nicht jedes Paket, das die Regel durchläuft.
Wann das Ereignis erzeugt wird
Ein NETFILTER_PKT-Audit-Ereignis wird nur unter bestimmten technischen Bedingungen auf dem IRF-Gerät erzeugt.
- Ein Paket durchläuft den Linux-Netfilter-FORWARD-Pfad auf der IRF. Das bedeutet, dass das Gerät das Paket zwischen zwei Netzwerken weiterleitet; es handelt sich nicht um Datenverkehr, der auf der IRF selbst endet.
- Das Paket trifft auf eine konfigurierte Layer‑3‑Paketfilterregel zu, bei der in der Regeldefinition das Kontrollkästchen Audit aktiviert ist.
- Das Paket ist IPv4-Layer‑3‑Datenverkehr. Die aktuelle Implementierung deckt nur weitergeleitete IPv4-Pakete ab.
Für eine solche Regel erstellt die IRF eine iptables-Chain und fügt einen Sprung zum AUDIT-Target ein. Wenn ein Paket in diese Chain gelangt, sendet die iptables-Erweiterung audit Paket-Metadaten an das Audit-Subsystem, das daraufhin einen NETFILTER_PKT-Datensatz in audit.log schreibt. Regelnamen sind nicht im Datensatz enthalten. Um das Gerät und den Log-Speicher vor Überlastung zu schützen, ist die Protokollierung auf höchstens eine Meldung pro Minute pro auditierter Regel begrenzt, selbst wenn während dieser Minute viele Pakete zutreffen.
Beispiel eines audit.log-Eintrags
(1) type=NETFILTER_PKT msg=audit(1760514386.800:94): mark=0x0 saddr=172.16.0.40 daddr=192.168.0.253 proto=1
(2) type=NETFILTER_PKT msg=audit(1760515499.024:96): mark=0x0 saddr=172.16.0.40 daddr=192.168.0.253 proto=6