EventSentry kann Ereignisprotokoll- und/oder Syslog-Daten in eine beliebige Datei in einem der folgenden Formate exportieren:
•ASCII
•XHTML
•CSV
Filename / Dateiname
Der Name der Ausgabedatei, unterstützt Laufzeitvariablen wie $YEAR, $MONTH, $DAY usw.
Delimiter / Begrenzungszeichen
Geben Sie ein Begrenzungszeichen an, das Standardbegrenzungszeichen ist ein Komma (nur CSV).
File Type / Dateityp
Das gewünschte Ausgabeformat: Einfaches Format, (X)HTML oder CSV.
Wenn Sie die Option (X)HTML verwenden , können Sie auch die Schriftart und -größe konfigurieren, die in den (X)HTML-E-Mails verwendet wird. Die Standardeinstellung ist Verdana mit 11px.
|
Klicken Sie hier, um einen Eintrag der Häufig gestellten Fragen für diese Aktion anzuzeigen. |
Digitales Signieren von Dateien
Dateien können mit OpenSSL (welches in der Installation im Unterverzeichnis \resources\openssl inkludiert ist) digital signiert werden. Das digitale Signieren von Dateien unterliegt den folgenden Voraussetzungen und Einschränkungen:
•Dateien können nur auf dem Collector digital signiert werden, daher ist es notwendig, dass ein Collector aktiv ist und dass die Aktion so konfiguriert ist, dass sie den Collector verwendet.
•Es ist erforderlich Variablen im Dateinamen zu verwenden um dynamische Dateien zu erzeugen. Dateien können nur digital signiert werden wenn die Datei geschlossen und eine neue Datei erstellt wird. Der empfohlene Dateiname ist <PfadZumProtokollOrdner>\$YEAR\$MONTH\$DAY\$HOUR\$YEAR_$MONTH_$DAY_$HOUR_$MINUTE.txt
•Das Signieren muss über die Schaltfläche "Initialisieren" initialisiert werden, bevor Dateien signiert werden können. Bei der Initialisierung werden die erforderlichen öffentlichen und privaten Schlüsseldateien erstellt.
•Der Host, auf dem die Dateien signiert werden, muss Zugang zu einem Online-Zeitstempeldienst haben( standardmäßig https://www.freetsa.org/), welches vor Manipulationen schützt.
•Erhöht den Verarbeitungsaufwand, insbesondere bei großen Dateien
•Die Überprüfung von Signaturen ist ein manueller Prozess, der mit Skripten durchgeführt wird, es gibt keine Benutzeroberfläche
•Für einen verbesserten Schutz vor Manipulationen sollten Sie die Speicherung von Dateien auf entfernten WORM-Volumes in Betracht ziehen.
Initialization / Initialisierung
Wenn Sie auf die Schaltfläche Initialize klicken, wird ein öffentliches/privates Schlüsselpaar erstellt und Zertifikate von freetsa.org heruntergeladen. Alle Dateien werden im Unterverzeichnis LogSigning des Hauptinstallationsverzeichnisses (z. B. C:\Programme\EventSentry\LogSigning) gespeichert und beinhalten:
•es_logsign_private.pem
•es_logsign_public.pem
•freetsa\cacert.pem
•freetsa\tsa.crt
Wenn Sie auf "Initialize" klicken, wird das Skript scripts\logsigning\log_init.cmd aufgerufen; dieses kann auch manuell aufgerufen werden.
Datei-Signaturen
Nachdem eine Ausgabedatei geschlossen wurde, wird die Dateisignierung durch das Skript\logsigning\log_sign.cmd ausgelöst. Die Ausgabedatei wird generell geschlossen, wenn sich der dynamische Dateiname aufgrund der aktuellen Zeit ändert. Zum Beispiel, die Datei
D:\EventLogs\2025\12\15\22\2025_12_15_22_37.txt
wird an diesem Tag um 22:38:00 Uhr geschlossen, bevor die neue Datei
D:\EventLogs\2025\12\15\22\2025_12_15_22_38.txt
erstellt wird. Nachdem eine Datei signiert wurde, werden 3 weitere Dateien mit den folgenden Erweiterungen erstellt:
•.sig (the actual file signature)
•.tsq (timestamp request file)
•.tsr (timestamping response file)
Für das obige Beispiel werden die folgenden Dateien erstellt mit der Signierung erstellt:
D:\EventLogs\2025\12\15\22\2025_12_15_22_37.txt
D:\EventLogs\2025\12\15\22\2025_12_15_22_37.txt.sig
D:\EventLogs\2025\12\15\22\2025_12_15_22_37.txt.tsq
D:\EventLogs\2025\12\15\22\2025_12_15_22_37.txt.tsr
|
Keine der erzeugten Dateien sollte gelöscht werden, diese Dateien werden für eine eventuelle zukünftige Signaturprüfung benötigt. |
Überprüfung von Protokollsignaturen
Das Skript \logsigning\log_verify.cmd kann verwendet werden um die digitale Signatur einer Datei zu überprüfen. Das Skript nimmt den zu überprüfenden Dateinamen als einzelnes Befehlszeilenargument entgegen, z. B.:
C:\Programme\EventSentry\scripts\logsigning\log_verify.cmd D:\EventLogs\2025\12\15\22\2025_12_15_22_37.txt
Wenn die Überprüfung erfolgreich war, sollte die Ausgabe von log_verify.cmd ähnlich wie unten gezeigt aussehen und den folgenden Text enthalten: FILE SIGNED, TIMESTAMPED, AND VERIFIED:
Signature verification: OK
Timestamp verification: OK
TIMESTAMP DETAILS:
Policy OID: tsa_policy1
Serial number: 0x01BEECDB
Time stamp: Dec 15 22:37:03 2025 GMT
======================================
FILE SIGNED, TIMESTAMPED, AND VERIFIED
======================================
|
Es ist äußerst wichtig, den Zeitstempelwert "Time stamp" manuell zu überprüfen , der mit dem Namen der Datei und/oder den Daten der Protokolldatei übereinstimmen muss. Wenn die Datei am 10. Dezember erstellt wurde , der Zeitstempel aber den 15. Dezember anzeigt , bedeutet dies, dass die Datei möglicherweise nach ihrer ursprünglichen Erstellung geändert und später neu signiert wurde. |
Verbesserter Manipulationsschutz
Wie bereits oben erläutert, können EventSentry Administratoren, welche Zugriff auf den EventSentry Server haben, theoretisch schon erstellte Protokolldatein manipulieren und neu signieren. Es ist deswegen wichtig, dass ein Zeitstempel verwendet wird welcher Manipulationen nach dem Signieren aufdeckt. Es wird ausserdem empfohlen die Protokolle und die zugehörigen Dateien auf einem der folgenden Arten von Remote-Medien zu speichern:
•Ein entfernter Server, auf den der EventSentry Server und seine Administratoren nur WRITE- (nicht MODIFY-) Zugriff haben. Dieser Server sollte idealerweise nicht Teil der Domäne sein und von einer anderen Person/Gruppe verwaltet werden
•Ein Remote-NAS, der WORM-Volumes unterstützt, bei denen geschriebene Daten von niemandem geändert oder gelöscht werden können, nicht einmal vom NAS-Administrator
