Audit Protokoll

Einleitung #

Mit der Version 5.25 ist in Relution in der Global Organisation ein Audit Protokoll eingeführt worden. Dies ermöglicht das Nachvollziehen von Aktivitäten auf dem gesamten Server, ohne dass Logs durchsucht werden müssen.

Audit Protokoll #

Das Audit Protokoll steht in der Global Organisation unter Einstellungen → Audit-Protokoll zur Verfügung. Der Zugriff ist rollenbasiert: Auditor-Konten können alle Einträge einsehen; Manager-Konten sehen nur gerätebezogene Einträge für ihre zugewiesenen Gruppierungen; alle anderen Kontotypen haben keinen Zugriff. Die Daten werden im Standard für 180 Tage gespeichert und können bequem innerhalb des Relution Portals durchsucht werden.

Als Informationen stehen folgende Spalten zur Verfügung:

• Zeitstempel
• Benutzername
• Methode (POST, GET, PUT, DELETE)
• Beschreibung
• Status
• Organisation
• IP
• Endpunkt

Damit lassen sich alle Änderungen nachvollziehen.

Speicherlimit-Verhalten #

Audit-Einträge werden automatisch gelöscht, wenn sie den konfigurierten Aufbewahrungszeitraum von 180 Tagen überschreiten. Die Bereinigung erfolgt periodisch in Zeiten geringer Auslastung und löscht Einträge in Stapeln, um Datenbanksperren zu vermeiden.

Wenn der Speicherplatz vor der Bereinigung erschöpft ist, können neue Audit-Einträge möglicherweise nicht geschrieben werden. Der Systemadministrator muss die Speichernutzung überwachen und sicherstellen, dass für den konfigurierten Aufbewahrungszeitraum ausreichend Speicherplatz verfügbar ist. Es gibt keine automatische Benachrichtigung bei niedrigem Speicherplatz — dies liegt in der Verantwortung des Systemadministrators.

Audit-Trail-Integrität #

Der Audit-Trail ist eine Sicherheitseigenschaft, keine konfigurierbare Funktion.

nginx-Zugriffsprotokolle #

Der nginx Reverse Proxy protokolliert jede HTTP/HTTPS-Anfrage, einschließlich des TLS-Protokolls und der Cipher-Suite, die für die Verbindung ausgehandelt wurden. Diese Protokolle ergänzen das Relution-Anwendungs-Auditprotokoll auf der Netzwerkkanal-Ebene.

Zugriff auf die Protokolle:

docker logs nginx

Oder zur Echtzeitverfolgung:

docker logs -f nginx

Jede Zugriffsprotokollzeile hat das in relution-nginx.conf definierte Format:

<remote_addr> - <user> [<time>] "<request>" <status> <bytes> "<referer>" "<user_agent>" "<x_forwarded_for>" <request_time> <upstream_time> <pipe> <ssl_protocol> <ssl_cipher>

Die Felder $ssl_protocol und $ssl_cipher am Ende jeder Zeile zeichnen die TLS-Version und die Cipher-Suite der jeweiligen Verbindung auf (z. B. TLSv1.3 TLS_AES_256_GCM_SHA384). Diese werden nur für HTTPS-Anfragen befüllt; bei HTTP-Anfragen (die auf HTTPS umgeleitet werden) wird für beide Felder - protokolliert.

Das Fehlerprotokoll wird auf stderr geschrieben und ist ebenfalls über docker logs nginx abrufbar.

Audit-Ereignisreferenz #

Server-Log-Referenzen #

Integritätsfehler bei Verschlüsselung/Entschlüsselung:

INTEGRITY_FAILURE operation=ENCRYPT entity={} attribute={} outcome=FAILURE subject={}
INTEGRITY_FAILURE operation=DECRYPT entity={} attribute={} outcome=FAILURE subject={}
TLS_INTEGRITY_FAILURE host={} outcome=FAILURE reason="{}" error="{}"

Kryptographische Schlüsselableitung:

CRYPTO_KEY_DERIVATION category={} algorithm={} purpose="{}"
CRYPTO_KEY_DERIVATION category={} algorithm={} iterations={} purpose="{}"
TLS_KEY_DERIVATION outcome={} info="{}"

TLS-Kanäle:

TLS_CHANNEL_ATTEMPT host={} port={} tls={} cipher={} cert_subject="{}" cert_fingerprint={}
TLS_CHANNEL_SUCCESS host={} outcome=SUCCESS
TLS_CHANNEL_FAILURE host={} outcome=FAILURE reason="{}"