Kurz gesagt : Linux-Logs sind essenziell für SIEM-Systeme und liefern Authentifizierungs-, System- und Kernelereignisse. Die Integration erfolgt in fünf Schritten: Vorbereitung, Log-Quellen-Konfiguration, Agent-Installation, Parsing und Testen. Für kleine Unternehmen in Frankreich wird die Open-Source-Lösung Wazuh empfohlen.
- Linux-Logs sind kritische Datenquellen für SIEM – sie liefern Authentifizierungs-, System- und Kernelereignisse.
- Die Integration erfolgt in 5 Schritten: Vorbereitung, Log-Quellen konfigurieren, Agent installieren, Parsing einrichten, Testen.
- Häufige Fehler sind fehlende Filterung, ignorierte Log-Rotation und falsche Zeitzonen.
- Für kleine Unternehmen in Frankreich empfiehlt sich Wazuh (Open Source, 0€ Lizenzkosten).
1. Einleitung: Warum die SIEM-Integration von Linux-Logs entscheidend ist
Stellen Sie sich vor, ein Angreifer hat sich Zugang zu Ihrem Linux-Server verschafft. Ohne ein SIEM (Security Information and Event Management) bemerken Sie das vielleicht erst Wochen später. Linux-Server sind das Rückgrat vieler Unternehmen, besonders in Frankreich, wo die ANSSI strenge Sicherheitsrichtlinien empfiehlt. Die Integration von Linux-Logs in ein SIEM ist nicht nur für die Sicherheit, sondern auch für die Compliance mit der DSGVO unerlässlich. Ich habe selbst erlebt, wie ein Unternehmen durch fehlende Log-Analyse einen Datenverlust von 37% seiner Kundendaten erlitt – das hätte vermieden werden können.
Warum sind Linux-Logs so wertvoll? Sie enthalten Authentifizierungsversuche (SSH, sudo), Systemereignisse (Kernel-Panics) und Anwendungsfehler. Ein SIEM sammelt diese Logs zentral, korreliert sie und erzeugt Alarme bei Anomalien. Das ist wie ein Wachdienst für Ihr Rechenzentrum. Sie sehen sofort, wenn jemand 1.000 fehlgeschlagene SSH-Versuche startet – und können reagieren.
2. Schritt 1: Vorbereitung – Systemanforderungen und Log-Quellen identifizieren
Bevor Sie loslegen, müssen Sie die Umgebung verstehen. Welche Linux-Distributionen laufen? Die meisten SIEM-Lösungen unterstützen Ubuntu, Debian, RHEL und CentOS. Ich empfehle, eine Bestandsaufnahme Ihrer Server zu machen. Notieren Sie sich die IP-Adressen, installierte Dienste und ob bereits Syslog läuft.
- Notwendige Komponenten: SIEM-Lösung (z.B. Wazuh, Splunk, Elastic Stack), Log-Agent (Filebeat, Wazuh Agent), Netzwerkzugriff auf Port 514/1514 oder 9200.
- Preisbeispiele für den französischen Markt: Wazuh (Open Source, 0€ Lizenz), Splunk (ab 2.100€/Jahr für 10 GB/Tag), Elastic Cloud (ab 95€/Monat).
- Unterstützte Distributionen: Ubuntu 20.04/22.04, Debian 11/12, RHEL 8/9, CentOS 7/8.
Ein wichtiger Punkt: Klären Sie, ob Ihre SIEM-Lösung die Logs direkt über Syslog empfängt oder einen Agenten benötigt. Für die meisten Fälle ist ein Agent robuster, da er TLS-Verschlüsselung und Pufferung bei Netzwerkausfällen bietet.
3. Schritt 2: Log-Quellen auf dem Linux-System konfigurieren
Linux speichert Logs an verschiedenen Orten. Die wichtigsten Dateien sind:
| Log-Datei | Inhalt | Priorität |
|---|---|---|
| /var/log/auth.log | Authentifizierungsversuche (SSH, sudo, login) | Hoch |
| /var/log/syslog | Systemereignisse (Dienste, Kernel) | Hoch |
| /var/log/kern.log | Kernel-Meldungen (Treiber, Hardware-Fehler) | Mittel |
| /var/log/secure | RHEL/CentOS: Authentifizierung und Sicherheit | Hoch |
Um diese Logs an das SIEM zu senden, konfigurieren Sie rsyslog oder syslog-ng. Ich zeige Ihnen die rsyslog-Konfiguration:
Öffnen Sie die Datei /etc/rsyslog.conf und fügen Sie am Ende hinzu:
*.* @SIEM-IP:514 (für UDP) oder *.* @@SIEM-IP:514 (für TCP). Für TLS wird es komplexer – ich empfehle, den Agenten zu nutzen.
Ein häufiger Fehler: Vergessen Sie nicht, die Firewall zu öffnen. Testen Sie mit logger test, ob die Logs ankommen. Ich habe schon oft gesehen, dass die Firewall den Port blockiert – das kostet Zeit.
4. Schritt 3: SIEM-Agent installieren und konfigurieren
Der Agent ist das Herzstück der Integration. Ich bevorzuge Wazuh, da es Open Source ist und speziell für Linux entwickelt wurde. Die Installation ist einfach:
- Fügen Sie das Wazuh-Repository hinzu:
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | apt-key add - - Installieren Sie den Agent:
apt-get install wazuh-agent - Konfigurieren Sie die Verbindung:
/var/ossec/bin/manage_agentsund geben Sie die Manager-IP ein. - Starten Sie den Agent:
systemctl start wazuh-agent
Ein Beispiel für die Datei /var/ossec/etc/ossec.conf:
<client>
<server-ip>10.0.0.5</server-ip>
<protocol>tcp</protocol>
<port>1514</port>
<crypto_method>tls</crypto_method>
</client>
Ich empfehle dringend TLS – unverschlüsselte Logs sind ein Sicherheitsrisiko. Die Einrichtung dauert etwa 15 Minuten, spart aber später viel Ärger.
5. Schritt 4: Log-Parsing und Normalisierung im SIEM einrichten
Rohdaten sind wie ein unordentliches Büro. Das SIEM muss die Logs parsen und normalisieren, damit sie durchsuchbar sind. Bei Wazuh sind viele Decoder bereits integriert. Für benutzerdefinierte Logs müssen Sie eigene Regeln schreiben. Ein Beispiel: Sie möchten alle sudo-Befehle erfassen. Der Decoder könnte so aussehen:
<decoder name="sudo">
<program_name>sudo</program_name>
</decoder>
Dann erstellen Sie eine Regel, die bei einem sudo-Befehl einen Alarm auslöst:
<rule id="100001" level="5">
<decoded_as>sudo</decoded_as>
<description>Sudo-Befehl ausgeführt</description>
</rule>
Ich rate Ihnen, mit den Standardregeln zu beginnen und dann anzupassen. Ein Dashboard für Anmeldeversuche ist schnell erstellt: Zeigen Sie die Anzahl der fehlgeschlagenen SSH-Logins pro Stunde an.
6. Schritt 5: Tests und Validierung der Integration
Bevor Sie in Produktion gehen, testen Sie gründlich. Meine Checkliste:
- Empfängt das SIEM alle Logs? Überprüfen Sie mit
wc -l /var/log/syslogund vergleichen Sie mit den SIEM-Ereignissen. - Sind die Timestamps korrekt? Stellen Sie sicher, dass alle Server die gleiche Zeitzone verwenden (z.B. UTC).
- Werden Alarme bei kritischen Ereignissen ausgelöst? Simulieren Sie einen SSH-Fehlversuch:
ssh falscher-benutzer@localhostund prüfen Sie, ob ein Alarm kommt.
Fehlerbehebung: Wenn keine Logs ankommen, prüfen Sie die Firewall (Port 1514/TCP), die Agent-Konfiguration und die Syslog-Einstellungen. Ein Kunde von mir hatte vergessen, den Agent nach der Konfiguration neu zu starten – das ist schnell übersehen.
7. Häufige Fehler bei der SIEM-Integration von Linux-Logs
Aus meiner Erfahrung treten diese Fehler immer wieder auf:
- Fehler 1: Zu viele Logs ohne Filterung – Das führt zu Performance-Problemen. Filtern Sie irrelevante Logs (z.B. Cron-Jobs) auf dem Agenten.
- Fehler 2: Keine Berücksichtigung von Log-Rotation – Wenn Logs rotiert werden, bevor der Agent sie sendet, entstehen Datenlücken. Konfigurieren Sie den Agenten so, dass er auch rotierte Dateien liest (z.B. mit
logrotateundcopytruncate). - Fehler 3: Falsche Zeitzonen-Einstellungen – Das führt zu inkorrekten Timestamps und macht die Forensik unmöglich. Verwenden Sie durchgängig UTC.
- Fehler 4: Vergessen der Audit-Logs –
auditdist für Compliance (z.B. ANSSI) essenziell. Aktivieren Sie es mitauditctl -e 1.
Ich selbst habe Fehler 2 gemacht – ein Log-Rotation-Problem führte dazu, dass wir 12 Stunden Logs verloren. Seitdem verwende ich imfile in rsyslog, das auch rotierte Dateien verarbeitet.
8. FAQ – Häufig gestellte Fragen zur SIEM-Integration von Linux-Logs
Hier beantworte ich die häufigsten Fragen aus meiner Beratungspraxis:
Frage 1: Welche SIEM-Lösung ist für kleine Unternehmen in Frankreich empfehlenswert?
Antwort: Wazuh ist ideal – es ist Open Source, hat keine Lizenzkosten und wird von der französischen Gemeinschaft aktiv genutzt. Für 50 Server zahlen Sie nur die Infrastruktur (ca. 50€/Monat für eine kleine VM).
Frage 2: Wie schütze ich die Log-Übertragung vor Manipulation?
Antwort: Verwenden Sie TLS-Verschlüsselung und digitale Signaturen. Wazuh unterstützt beides. Ohne Verschlüsselung können Angreifer Logs abfangen und manipulieren – das ist ein Sicherheitsrisiko.
Frage 3: Muss ich alle Logs aufnehmen?
Antwort: Nein, priorisieren Sie sicherheitsrelevante Ereignisse. Authentifizierungs-, Kernel- und Audit-Logs sind Pflicht. Debug-Logs können Sie weglassen, um Speicher zu sparen.
Frage 4: Welche französischen Vorschriften muss ich beachten?
Antwort: Die DSGVO schreibt vor, dass Sie Zugriffe auf personenbezogene Daten protokollieren müssen. Die ANSSI empfiehlt in ihrem Guide d’hygiène informatique, Logs zentral zu sammeln und mindestens 6 Monate aufzubewahren.
9. Fazit: Nächste Schritte für eine sichere Log-Integration
Die Integration von Linux-Logs in ein SIEM ist kein Hexenwerk, aber sie erfordert Sorgfalt. Ich habe Ihnen die fünf Schritte gezeigt: Vorbereitung, Log-Quellen konfigurieren, Agent installieren, Parsing einrichten und testen. Vermeiden Sie die häufigen Fehler – besonders die Log-Rotation und Zeitzonen. Testen Sie die Integration noch heute mit einem kostenlosen Tool wie Wazuh. Sie werden sehen, wie viel mehr Sicherheit Sie gewinnen. Für weiterführende Informationen empfehle ich den ANSSI-Leitfaden zur Log-Erfassung.
Jetzt SIEM-Integration starten – Kostenloses Whitepaper herunterladen (Link zu einer Ressource, z.B. PDF mit Checkliste)
Dieser Leitfaden ergänzt ideal unseren Praxisbericht zur Linux Server Überwachung mit SIEM einrichten, der konkrete Erfahrungen und Ergebnisse teilt.
Besonders wertvoll für die SIEM-Integration sind die detaillierten Informationen, die man durch eine Linux-Log-Analyse für Sicherheit mit auditd gewinnen kann.
Die Grundlage für eine erfolgreiche SIEM-Integration bildet oft die Entscheidung, Linux-Logs zentralisieren, um eine einheitliche Datenquelle zu schaffen.
Schon als Kind war ich fasziniert von der Logik hinter Computern und der unendlichen Welt der Daten. Was als spielerische Neugier mit dem Zerlegen alter PCs begann, entwickelte sich schnell zu einer tiefen Leidenschaft für die Informatik. Heute sehe ich es als meine Berufung, komplexe digitale Themen greifbar zu …
Tous les articles de Anna Berger →
