Audit-Log

Einen Vorgang später nachvollziehen

Ein Audit-Log hält ausgewählte, für die Nachvollziehbarkeit wichtige Anwendungsereignisse fest. Es soll erkennen lassen, wer wann welche Aktion an welchem Objekt versucht oder durchgeführt hat und mit welchem Ergebnis. Dazu gehören ein geeigneter Zeitstempel und eine Vorgangsreferenz, die zusammengehörige Ereignisse verbindet. Ein allgemeiner Fehlerzähler beantwortet diese Fragen nicht.

In einem fiktiven Projektportal versucht user-17, die Rolle bei project-8 von viewer auf editor zu ändern. Der Server lehnt den Versuch ab und protokolliert das Ergebnis denied. Wer nur den gewünschten Rollenwechsel liest, könnte eine erfolgte Änderung annehmen. Erst das Ergebnis zeigt, dass dieser Versuch keine neue Berechtigung vergeben hat.

Die Aussagekraft des Protokolls schützen

Das Team legt fest, welche Ereignisse es braucht und wer die Aufzeichnungen lesen, schreiben oder löschen darf. Passwörter, Zugriffstoken und vollständige vertrauliche Dokumente gehören nicht als bequeme Zusatzinformation in dieses Protokoll. Auch die Aufbewahrungsdauer braucht eine begründete Regel.

Die Bezeichnung Audit-Log allein macht eine Datei weder vollständig noch manipulationssicher. Schutz vor unbefugter Änderung und Löschung, Erkennung von Manipulationen und Kontrolle der Protokollierungsausfälle gehören zur Umsetzung. Ein verlorener oder nachträglich veränderter Eintrag kann eine Untersuchung in die falsche Richtung führen.

Quellen

• OWASP — Logging