Ereignisattribute

Jeder Protokolleintrag muss ausreichend detaillierte Informationen für die Überwachung und Analyse enthalten. Sie könnten vollständige Inhaltsdaten protokollieren, aber es ist effizienter, einen Extrakt oder eine Zusammenfassung der Eigenschaften zu protokollieren. Die Anwendungsprotokolle müssen das wenn, woher, wer, was und welche von jeder Veranstaltung aufzeichnen. Die Eigenschaften für diese sind je nach Architektur, Anwendungsklasse und Hostsystem oder -gerät unterschiedlich.

Verwenden Sie bei der Protokollierung von Datums- und Zeitstempeln die koordinierte Weltzeit (UTC) und die international anerkannten Datums- und Uhrzeitformate in ISO 8601 (ISO-Webseite).

Anmerkung

Erwägen Sie die Verwendung eines Netzwerkzeitsynchronisierungsservices, um sicherzustellen, dass die Zeitstempel korrekt sind. Amazon bietet den Amazon Time Sync Service, der von vielen AWS-Services genutzt wird, einschließlich Amazon Elastic Compute Cloud (Amazon EC2). Amazon Time Sync Service nutzt eine Flotte an mit Satelliten verbundenen und atomaren Referenzuhren in jeder AWS-Region für die Bereitstellung von aktuellen Zeitangaben des globalen Standards der koordinierten Weltzeit (UTC) über das Network Time Protocol (NTP). Weitere Informationen finden Sie unter Zeitmessung mit Amazon Time Sync Service (AWS-Blogbeitrag).

Die folgenden Ereignisattribute sind üblicherweise in Protokollen enthalten.

Attributkategorie	Ereignisattribute	Beschreibung
Wann	Datum und Uhrzeit der Protokollierung	Notieren Sie das Datum und die Uhrzeit, zu der das Ereignis dem Protokoll hinzugefügt wurde.
	Startdatum und -zeit des Ereignisses	Zeichnen Sie den Zeitpunkt auf, an dem das Ereignis aufgetreten ist. Dies kann sich vom Protokollierungsdatensatz unterscheiden, z. B. wenn die Protokollierung verzögert wird, weil die Client-Anwendung auf einem Remote-Gerät gehostet wird, das regelmäßig oder zeitweise online ist.
	Ereignis-ID	Protokollieren Sie einen Benutzernamen, eine Kontonummer oder ein anderes eindeutiges Attribut, das sicherstellt, dass das Ereignis immer identifiziert werden kann.
Wo	Anwendungs-Identifikator	Protokollieren Sie den Namen und die Version der Anwendung.
	Adresse der Anwendung	Protokollieren Sie den Cluster- oder Hostnamen, die IPv4- oder IPv6-Adresse des Servers, die Portnummer, die Workstation-Identität und die lokale Gerätekennung.
	Service	Protokollieren Sie den Servicenamen und das Protokoll.
	Geo-Lokation	Protokollieren Sie die geografischen Standorte des Benutzers.
	Fenster, Formular oder Seite	Protokollieren Sie die URL des Einstiegspunkts, die HTTP-Methode für eine Webanwendung oder den Namen des Dialogfelds, in dem die Aktion ausgeführt wurde.
	Standort des Codes	Protokollieren Sie den Skript- oder Modulnamen.
Wer (menschlicher oder maschineller Benutzer)	Quelladresse	Protokollieren Sie die Gerätekennung, die IP-Adresse, die Mobilfunk- oder Hochfrequenz (RF)-Tower-ID oder die Mobiltelefonnummer des Benutzers.
	Benutzeridentität	Wenn der Benutzer authentifiziert ist oder anderweitig bekannt ist, protokollieren Sie den Primärschlüsselwert, den Benutzernamen oder die Lizenznummer der Benutzerdatenbanktabelle.
	Klassifizierung von Benutzertypen	Protokollieren Sie den Benutzertyp, z. B. öffentlich, authentifiziert, CMS, Suchmaschine, autorisierter Penetrationstester oder Uptime-Monitor. Weitere Informationen zu Uptime-Monitoren erhalten Sie unter Vorsichtsmaßnahmen und Ausschlüsse in diesem Leitfaden.
	HTTP-Header oder HTTP-Benutzeragenten anfordern	(Nur Webanwendungen) Protokollieren Sie die Header-Informationen der HTTP-Anfrage, einschließlich der HTTP-User-Agent-Zeichenfolge, da sich diese Werte auf die Informationen auswirken, die der Client an den Server sendet.
Was	Art der Veranstaltung	Protokollieren Sie, ob es sich bei dem Ereignis um ein Informationsereignis, eine Warnung oder einen Fehler handelt.
	Schweregrad des Ereignisses	Klassifizieren Sie den Schweregrad des Ereignisses, z. B. hoch, mittel und niedrig.
	Markierung für ein Sicherheitsereignis	Wenn das Protokoll Daten enthält, die nichts mit Sicherheitsereignissen zu tun haben, erstellen Sie eine Markierung für sicherheitsrelevante Ereignisse, um sie leichter identifizieren zu können.
	Beschreibung des Ereignisses	(Optional) Fügen Sie eine kurze Beschreibung des Ereignisses bei.
	Aktion oder Absicht	Protokollieren Sie den ursprünglichen Verwendungszweck der Anfrage, z. B. Anmelden, Aktualisieren der Sitzungs-ID, Abmelden oder Aktualisieren eines Profils.
	Benutzer- oder Anwendungsantwort	Protokolliert die Reaktion des Benutzers oder der Anwendung auf das Ereignis, z. B. einen Statuscode, benutzerdefinierte Textnachrichten, das Beenden der Sitzung oder Administratorwarnungen.
	Status des Ergebnisses	Protokollieren Sie, ob die Aktion erfolgreich war, z. B. erfolgreich, fehlgeschlagen oder verzögert.
	Grund des Ergebnisses	Protokollieren Sie den Grund, warum der Status aufgetreten ist. Beispielsweise kann eine Anmeldeanforderung fehlschlagen, weil der Benutzer nicht in der Datenbank authentifiziert ist.
	Erweiterte Details	Protokollieren Sie alle zusätzlichen Informationen im Zusammenhang mit dem Ereignis, z. B. einen Stack-Trace, Systemfehlermeldungen, Debug-Informationen und den HTTP-Anforderungstext.
	HTTP-Antwortstatuscode	(Nur Webanwendungen) Protokollieren Sie den an den Benutzer zurückgegebenen HTTP-Antwortstatuscode, z. B. 200 oder 301. Weitere Informationen finden Sie unter Protokollierungsebenen in diesem Handbuch.
Welche	Betroffene Ressourcen	Protokollieren Sie, auf welchen Ressourcen agiert wurde.
	Objekt	Protokollieren Sie die betroffenen Komponenten oder andere Objekte, z. B. ein Benutzerkonto, eine Datenressource, eine Datei, eine URL oder eine Sitzungs-ID.
	Name der Ressource	Protokollieren Sie die Namen der betroffenen Ressourcen.
	Ressourcen-Tags	Protokollieren Sie die den betroffenen Ressourcen zugewiesenen Tags. Weitere Informationen zu Tags finden Sie unter AWS-Ressourcen markieren (Allgemeines Referenzhandbuch von AWS).
Sonstige	Analytisches Vertrauen	Erfassen Sie das Vertrauen des Protokollierungsservices in die Erkennung von Ereignissen, z. B. die Zuweisung einer niedrigen, mittleren oder hohen Bewertung oder eines numerischen Werts.
	Interne Klassifizierungen	Protokollieren Sie alle internen Klassifizierungen im Hinblick auf die Einhaltung von Standards oder die Einhaltung von Vorschriften.
	Externe Klassifizierungen	Protokollieren Sie alle externen Klassifizierungen zur Einhaltung von Standards oder zur Einhaltung von Vorschriften, z. B. das NIST Security Content Automation Protocol (SCAP).