Lernfeld 11 · Prüfung Teil 2

Monitoring, Logging und Verfügbarkeit

Monitoring und Logging: SNMP mit Polling und Traps, Syslog, zentrale Logs, Zeitsynchronisation, Schwellwerte und Verfügbarkeit in Reihe und parallel.

22 Aufgaben dazu übenKostenlos, ohne Anmeldung, mit Lösungsweg

Darum geht es

Ein Monitoring überwacht Geräte und Dienste, damit Störungen auffallen, bevor Nutzer sie melden. Geprüft wird zum Beispiel per Ping (erreichbar), per Portprüfung (Dienst antwortet), per SNMP (Zustandswerte) oder mit Agenten auf dem System. Bei SNMP fragt die Überwachung die Werte regelmäßig ab (Polling, UDP-Port 161); dringende Ereignisse wie ein Stromausfall an der USV schickt das Gerät sofort als Trap (UDP-Port 162). Die Werte sind in der MIB beschrieben und über OIDs adressiert. SNMPv3 bietet Authentifizierung und Verschlüsselung, ältere Versionen nur einen Community-String im Klartext.

Schwellwerte unterteilen in Warnung und kritisch; ein Alarm erst nach mehreren Fehlversuchen hintereinander vermeidet Fehlalarme. Mit dem Wachstum eines Wertes kannst du vorhersagen, wann etwa eine Platte voll ist. Logs von Firewall, Servern und Netzgeräten sammelst du per Syslog (meist UDP-Port 514) zentral. So lassen sich Ereignisse verschiedener Systeme verknüpfen, und ein Angreifer kann seine Spuren auf einem System nicht einfach löschen. Ein SIEM wertet die Logs automatisch aus. Dafür brauchen alle Systeme eine gemeinsame, per NTP synchronisierte Zeit.

Die Protokollierung von Benutzeraktivitäten unterliegt dem Datenschutz und der Mitbestimmung des Betriebsrats: Zweck festlegen, nur Nötiges erfassen, Zugriff begrenzen, Löschfristen setzen. Bei einem Sicherheitsvorfall folgen Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung. Für die Verfügbarkeit gilt: Hängen Komponenten in Reihe, multiplizierst du die Verfügbarkeiten; arbeiten sie redundant parallel, multiplizierst du die Ausfallwahrscheinlichkeiten.

Das solltest du dir merken

SNMP-Polling auf Port 161, Traps auf Port 162.
Zentrale Logs nur mit gemeinsamer Zeit per NTP sinnvoll auswertbar.
Komponenten in Reihe senken die Gesamtverfügbarkeit, parallele Redundanz erhöht sie.
Mehrere Fehlversuche vor dem Alarm verhindern Fehlalarme, verzögern aber die Meldung.
Protokollierung von Personen braucht Zweck, Löschfrist und Beteiligung des Betriebsrats.

Formeln

Verfügbarkeit aus Ausfallzeit: $V = \frac{T - T _{A}}{T}$; $T$ Betrachtungszeit, $T_{A}$ Ausfallzeit, beide in h, zum Beispiel 8760 h für ein Jahr
Verfügbarkeit in Reihe: $V_{ges} = V_{1} \cdot V_{2} \cdot \dots \cdot V_{n}$; $V_{i}$ Verfügbarkeiten der Komponenten als Dezimalzahl
Verfügbarkeit parallel (redundant): $V_{ges} = 1 - (1 - V_{1}) \cdot (1 - V_{2})$; der Dienst fällt nur aus, wenn beide Wege gleichzeitig ausfallen
Zulässige Ausfallzeit: $T_{A,max} = (1 - V) \cdot T$; $V$ zugesagte Verfügbarkeit als Dezimalzahl, $T$ Betrachtungszeit in h
Restzeit bis Speicher voll: $t = \frac{C - B}{w}$; $C$ Kapazität, $B$ belegter Speicher, $w$ Zuwachs je Tag, Ergebnis in Tagen

Typische Fehler in der Prüfung

Bei Komponenten in Reihe die Verfügbarkeiten addiert oder gemittelt.
Bei Redundanz die Verfügbarkeiten statt der Ausfallwahrscheinlichkeiten multipliziert.
Minuten der Ausfallzeit nicht in Stunden umgerechnet.
Polling und Trap verwechselt.

Tipps aus der Werkstatt

Verfügbarkeit = (Gesamtzeit − Ausfallzeit) / Gesamtzeit, Minuten vorher in Stunden umrechnen. Zwei unabhängige Wege parallel: Ausfallwahrscheinlichkeiten multiplizieren, nicht die Verfügbarkeiten.
SNMP fragt Zustände ab, Syslog sammelt Logs zentral, damit sie bei einem Angriff oder Ausfall nicht mit dem Gerät verschwinden. Schwellwerte in zwei Stufen: Warnung, bevor es kritisch wird, dann handeln, nicht erst beim Ausfall.

Sitzt das Thema? Teste dich mit echten Prüfungsfragen.

22 Aufgaben zu „Monitoring, Logging und Verfügbarkeit“, falsche Antworten kommen in der Runde noch einmal.

Jetzt üben

Grundlage: Rahmenlehrplan IT-Berufe (KMK 2019), Lernfeld 11; RFC 3411 bis 3418 (SNMP), RFC 5424 (Syslog); BSI IT-Grundschutz-Kompendium (OPS.1.1.5 Protokollierung, DER.2.1 Behandlung von Sicherheitsvorfällen). Eigene Erklärung, keine Originalaufgaben der Prüfungsausschüsse.