Konzept Logging: Einleitung
1. Einleitung
Dieses Dokument beschreibt die konzeptionellen Grundlagen des Loggings in der IsyFact. Es adressiert die einheitliche Erstellung von Logs in den entwickelten Anwendungen sowie deren Auswertung. Es bildet damit die Grundlage der technisch und fachlich einheitlichen Umsetzung des Loggings in der gesamten Anwendungslandschaft und die davon abhängige effiziente Auswertung der Logeinträge.
Die daraus abgeleitete Umsetzung des Loggings im Rahmen einer Anwendungsentwicklung und die möglichen Auswertungen der Logs sind in den Nutzungsvorgaben Logging beschrieben. Zu beachten ist, dass die Nutzungsvorgaben an einen größeren Leserkreis gerichtet sind und einige Aspekte, sind nicht nur für das Logging-Konzept sondern auch für die Nutzungsvorgaben relevant. Um Redundanzen zu vermeiden, werden diese Aspekte alle in den Nutzungsvorgaben beschrieben und im vorliegenden Dokument darauf verwiesen.
2. Aufbau und Zweck des Dokuments
Ziel des Dokuments ist die Definition eines ganzheitlichen Standards für das Logging, von Erstellung (Inhalt und Ausgabe) der Logs durch die Systeme, über Verarbeitung der Logs durch die Infrastruktur, bis hin zur anwendungslandschaftsübergreifenden Auswertung der Logeinträge. Hierbei werden die Anforderungen von Betrieb, Test, Softwareentwicklungsreferat und Softwarelieferanten berücksichtigt.
Das Dokument ist entsprechend dieser Zielsetzungen in die folgenden Kapitel untergliedert:
Im Kapitel Anforderungen an das Logging werden die Zielsetzungen und Anforderungen an das Logging definiert, die die Grundlage für die nachfolgenden Kapitel bilden.
Im Kapitel Vorgaben zur Logerstellung werden die Vorgaben zur Erstellung der Logs innerhalb der Anwendungen gemäß der IsyFact definiert.
Im Kapitel Log Auswertung werden die Informationen beschrieben, die letztendlich im Auswertungstool zur Verfügung stehen und damit die Grundlagen zur Durchführung von Analysen darstellen.
Im Kapitel Anhang: Logging Glossar werden die Begriffe und Abkürzungen definiert, die spezifisch für das Themenfeld „Logging“ sind.
Abgrenzung
Logging ist ein querschnittliches Thema einer Anwendungslandschaft mit Schnittstellen zu zahlreichen weiteren Themen. Folgende Abgrenzungen werden dabei getroffen:
-
In diesem Dokument werden die Grundlagen geschaffen, um eine effiziente Auswertung der Logs zu ermöglichen. Die eigentliche Auswertung mit Hilfe von Analysetools ist nicht Teil des Dokuments.
-
Konfiguration von Drittsystemen: Die Konfiguration des Loggings von Systemen, die nicht mit der IsyFact entwickelt wurden (bspw. Apache Webserver, Apache Tomcat, Mailserver), wird in den Konzepten der einzelnen Systeme adressiert. Das Logging-Konzept definiert jedoch, welche Informationen durch die einzelnen Systeme bereitgestellt werden (Kapitel Log Auswertung).
-
Monitoring, Logging, Protokollierung: Unter „Logging“ wird in diesem Dokument „Logging zu technischen Zwecken“ verstanden.
Die Protokollierung behandelt das Mitschreiben von Informationen zu durchgeführten Geschäftsvorfällen auf Grund fachlicher Anforderungen.
Das Monitoring zur betrieblichen Überwachung der Anwendungslandschaft und frühzeitigen Eskalation von Problemen ist im Konzept Überwachung beschrieben.
In folgender Tabelle werden die drei verschiedenen Disziplinen detailliert voneinander abgegrenzt:
Logging | Monitoring/Überwachung | Protokollierung | |
---|---|---|---|
erfasst werden |
Anwendungszustände, Fehlermeldungen |
Anwendungszustände, Fehlermeldungen |
Aktionen innerhalb der Anwendung |
wo erfasst |
Log-Server |
zentrales Monitoring System, z.B. Nagios |
Datenbank Protokollrecherche |
Auswertung erfolgt |
kontinuierlich |
kontinuierlich |
bei Verdacht auf security incident |
Auswerteart |
automatisch - inklusive Korrelation von Ereignissen und ggf. Meldung an Überwachungs-System anlassbezogen - Prüfung einzelner Logdateien bei Störung oder Verdacht auf security incident |
automatisch - inklusive Alarmierungsfunktionen |
nur manuell |
Einschränkung der Auswertung auf |
Administratoren |
Administratoren |
dedizierte Fachadministratoren der Protokollrecherche |
Zielsetzung |
zeitnahe Feststellung von Störungen und potentiellen Angriffen |
Überwachung des Betriebszustands der Anwendungen plus Alarmierung bei Störungen |
Nachvollziehbarkeit, Vorfallsaufklärung |