← Technische Daten

Leitfaden für Protokollierung und SIEM

Leitfaden zur Sicherheitsüberwachung. Aktualisiert am 3. November 2026.

PDF herunterladen (auf Englisch)

1. Zweck und Geltungsbereich

Dieser Leitfaden erklärt, wie Sie IntelliSuite-Protokolle und -Metriken prüfen und in Ihr System für Sicherheitsinformations- und Ereignismanagement (SIEM) integrieren. OEE IntelliSuite arbeitet mit Ihrem IT-Team zusammen, um Ihre SIEM-Anforderungen zu erfüllen.

Das Produkt IntelliSuite umfasst die nachfolgend beschriebenen Komponenten. Klären Sie mit Ihrem IT-Team, welche installiert sind, wie sie erreichbar sind, wer darauf zugreifen darf und welche Sicherheitskontrollen eingerichtet sind. Dieser Leitfaden belegt nicht, dass ein bestimmter Dienst, eine Protokollquelle, ein Konto, ein Netzwerkpfad oder eine Sicherheitskontrolle an Ihrem Standort konfiguriert ist oder funktioniert.

2. Die lokale Überwachungsplattform

Das Produkt IntelliSuite enthält eine lokale Überwachungsplattform aus offenen Standardkomponenten:

  • Grafana ist die Weboberfläche zum Anzeigen und Abfragen von Daten.
  • Loki speichert Protokolldatensätze: Textmeldungen von Diensten mit ihren Feldern.
  • Prometheus speichert Metriken: über die Zeit erfasste Zahlenwerte wie Anzahlen und Raten.
  • Tempo speichert Traces, die zeigen, wie eine Anfrage mehrere Dienste durchlaufen hat.
  • Grafana Alloy ist der Collector. Er empfängt Telemetriedaten von IntelliSuite-Diensten und schreibt sie in Loki, Prometheus und Tempo.

Protokolle und Metriken sind verschieden. Lesen Sie mit Loki, was ein Dienst gemeldet hat. Mit Prometheus sehen Sie, wie sich ein Wert über die Zeit verändert hat. Keines von beiden bildet für sich allein einen Sicherheitsauditpfad.

Grundlage im Quellcode: Der Produktquellcode definiert diese Komponenten und richtet die Grafana-Datenquellen für Prometheus, Loki und Tempo ein. Außerdem legt er standardmäßige Aufbewahrungsfristen für jeden Speicher fest.
Für Ihre Installation prüfen: ob die Plattform bereitgestellt ist, von wo Grafana erreichbar ist, wer Konten und Rollen hat und welche Aufbewahrung Ihre Organisation benötigt. Die Standardeinstellungen im Quellcode sind ein Ausgangspunkt. Sie eignen sich erst für den Produktionseinsatz, wenn Ihre Zugangs- und Sicherheitsanforderungen umgesetzt wurden.

3. Zugang bereitstellen

  1. Ihr IT-Team und IntelliSuite klären, wo Grafana läuft und unter welcher Adresse Benutzer darauf zugreifen, und vereinbaren, ob der Zugriff nur aus Ihrem Netzwerk möglich ist.
  2. Stimmen Sie den Zugang mit den autorisierten Verantwortlichen ab. Konfigurieren und validieren Sie vor der Freigabe die Grafana-Authentifizierung und Zugriffskontrollen. Prüfen Sie, dass jeder Leser nur die vereinbarten Rechte hat und ohne gesonderte Berechtigung weder administrieren noch schreiben kann.
  3. Wählen Sie eine repräsentative, nicht sensible Protokollquelle und einen kurzen Zeitraum. Wählen Sie in Grafana Explore die Loki-Datenquelle, den Dienst und den Zeitraum und bestätigen Sie, dass Datensätze mit den erwarteten Feldern erscheinen.
  4. Prüfen Sie gemeinsam einen Beispieldatensatz: Zeitstempel, Zeitzone, Feldnamen und ob ein Feld sensible Daten enthält.
  5. Vereinbaren Sie gemeinsam den SIEM-Pfad (siehe Abschnitt 4) und benennen Sie auf jeder Seite einen Verantwortlichen.
  6. Führen Sie einen Ende-zu-Ende-Test durch: Ein bekanntes Ereignis eines Quelldienstes sollte innerhalb der vereinbarten Zeit im SIEM erscheinen. Dokumentieren Sie das Ergebnis.

4. Daten an das SIEM übertragen

OEE IntelliSuite arbeitet mit Ihrem IT-Team zusammen, um eine Verbindung zu Ihrem SIEM herzustellen. Die Teams vereinbaren Ereignisquellen, Format und Transport. Je nach SIEM können unter anderem OTLP, Syslog, Dateiübertragung und Abruf per API bewertet werden. Die Integration muss für Ihre Installation überprüft werden.

Das Produkt enthält einen optionalen OTLP-über-HTTP-Exporter, der Protokolle, Metriken und Traces an einen zweiten Endpunkt senden kann. Die Bereitstellungskonfiguration im Quellcode stellt bestimmte Anforderungen an Transport und Authentifizierung; die Kompatibilität mit Ihrem SIEM oder einem Vermittler muss geklärt werden. Die Teams müssen Endpunkt, Datenumfang, Verschlüsselung und Zugriffsverfahren vereinbaren und anschließend den gesamten Pfad konfigurieren und testen, bevor sie sich darauf verlassen.

Integration: Der optionale OTLP-Exporter bietet einen möglichen Pfad. Die Teams wählen und testen den Pfad, der zu Ihrem SIEM und Ihren Sicherheitsanforderungen passt.

5. Änderungshistorie der Produktion (getrennt von Protokollen)

Pulse stellt für unterstützte Änderungen an Produktionsdaten eine Änderungshistorie in seiner Anwendungsdatenbank bereit, die auf der Änderungsprotokollseite von Pulse angezeigt wird. Einträge können den Änderungszeitpunkt, das Gerät, den Elementtyp, die Beschreibung, geänderte Werte und, falls verfügbar, die Identität des Bearbeiters enthalten.

Bei deaktivierter Authentifizierung kann der Bearbeiter unbekannt sein. Dies ist eine Geschäftshistorie und kein vollständiger Sicherheitsauditpfad. Wir haben die Weiterleitung dieser Datensätze an Loki oder ein SIEM nicht überprüft.

6. Was Sie überwachen können und was zu prüfen ist

Wählen Sie die Überwachung nach Quelle und verlassen Sie sich nur auf Punkte, die bei der Einrichtung bestätigt wurden.

  • Identitätsereignisse wie fehlgeschlagene Anmeldungen oder Kontosperren können von Ihrem Identitätsanbieter verfügbar sein, falls er entsprechend konfiguriert ist. Bestätigen Sie die Abdeckung mit Ihrem IT-Team.
  • Anwendungsereignisse wie lokale Berechtigungsänderungen, fehlgeschlagene Anmeldungen, Datenexporte und Konfigurationsänderungen erfordern gesonderte Abdeckungsprüfungen. Der geprüfte Quellcode belegt nicht, dass diese als Sicherheitsereignisse aufgezeichnet werden; prüfen Sie die tatsächlichen Quellen und die Abdeckung.
  • Betriebszustand wie Dienstausfälle, Telemetrielücken und ungewöhnliche Mengen kann über Protokolle und Metriken überwacht werden, sofern dies bei der Einrichtung überprüft wurde.
  • Geschäftliche Änderungen können auf der Änderungsprotokollseite von Pulse geprüft werden, sofern diese Funktion in Ihrer Version vorhanden ist.

Ein umfassender Katalog von Sicherheitsprotokollereignissen oder Ereigniskennungen wurde nicht überprüft. Ereignisnamen, Kennungen, Schema, Aufbewahrung und automatische Weiterleitung müssen bei der Einrichtung bestätigt werden. Dieser Leitfaden dient der Einrichtung. Er belegt nicht, dass ein bestimmtes Ereignis erfasst, aufbewahrt oder weitergeleitet wird.

7. Checkliste für die Einrichtung

Vereinbaren und prüfen Sie jeden Punkt mit Ihrem IT-Team.

  1. Verantwortliche: je eine benannte Person in Ihrer Organisation und bei IntelliSuite für Protokolle, Zugang und SIEM-Verbindung.
  2. Lesezugriff: namentliche Konten, Rollen und Genehmigungsverfahren für Änderungen.
  3. Netzwerk und Transport: erlaubte Netzwerkpfade und wie der Verkehr verschlüsselt und authentifiziert wird.
  4. Zeitstempel und Felder: eine Stichprobe echter Datensätze mit geprüfter Zeitzone und geprüften Feldnamen.
  5. Aufbewahrung: wie lange jeder Speicher auf jeder Seite Daten behält und wer sie löscht.
  6. Sensible Daten: welche Felder gefiltert oder ausgeschlossen werden müssen, bevor Daten den Standort verlassen.
  7. Alarmschwellen: welche Bedingungen einen Alarm auslösen und welche Schwellenwerte vereinbart sind.
  8. Ende-zu-Ende-Test: ein bekanntes Ereignis von der Quelle bis zum SIEM verfolgen und das Ergebnis dokumentieren.
  9. Verantwortung und Eskalation: wer auf einen Alarm reagiert, wie er eskaliert und welche Reaktionszeiten vereinbart sind.
  10. Änderungskontrolle: wie Konfigurationsänderungen beantragt, genehmigt und dokumentiert werden.