So lesen Sie Protokoll und Sitzungen

Wer hat was geändert, wer hat wann worauf zugegriffen, wer ist gerade angemeldet? Der Bereich Protokoll beantwortet alle drei Fragen.

Der Bereich hat drei Register: Änderungsprotokoll (jede Änderung an der Verwaltung, dauerhaft), Audit (die letzten Zugriffe seit dem Start des Dienstes) und Sitzungen (eröffnete Sitzungen des zweiten Faktors). Änderungsprotokoll und Audit sind nach Tag und Person gruppiert, die neuesten Tage oben, innerhalb eines Tages die Personen von Z bis A und ihre Einträge die neuesten zuerst. Die Sitzungen stehen nach ihrer Eröffnung, die neuesten oben.

Eine Änderung nachvollziehen

1. Öffnen Sie Protokoll, Register Änderungsprotokoll.
2. Klappen Sie den Tag und darunter die Person auf.
3. Jede Zeile nennt Aktion (insert, update, delete, command), Menge, Zeile, Zeitpunkt und die Werte Vorher und Nachher.

Einen Zugriff nachvollziehen

1. Wechseln Sie auf das Register Audit und klappen Sie Tag und Aufrufer auf.
2. Jede Zeile nennt Ressource, Methode, Datenquelle, Ergebnis und Status (etwa 200, 401, 403), bei eigenen SQL-Anweisungen dazu die Anweisung. Hat eine Anmelderegel die Anfrage abgewiesen, nennt Abweisende Anmelderegel sie mit Nummer und Version (7@…).

Eine Sitzung beenden

1. Wechseln Sie auf das Register Sitzungen. Zustand zeigt „offen“, „abgelaufen“ oder „beendet“. Sitzungs-Kennung (t…) benennt die Sitzung, Schlüssel-Kennung (k…) den Schlüssel, mit dem sie eröffnet wurde (leer bei Windows- oder SQL-Anmeldung). Beide Kennungen sind zufällig vergeben und verraten nichts über Schlüssel oder Code.
2. Haken Sie bei der Sitzung Beendet an. Die nächste Anfrage der Person verlangt einen neuen Code. Dasselbe geht unter Personen und Schlüssel: Person wählen, unter der Liste das Register Sitzungen (Weitere > Darunter zeigen > Sitzungen der Person), Sitzung markieren, Weitere > Zweiter Faktor und Sitzung > Sitzung beenden und die Rückfrage bestätigen.

Ergebnis: Sie sehen, wer wann gehandelt hat, und können eine verdächtige Sitzung sofort beenden.

• Das Audit ist ein Ausschnitt. Es zeigt die letzten 10 000 Zugriffe seit dem Start des Dienstes und ist nach einem Neustart leer. Vollständig steht es im Protokoll des Dienstes auf dessen Rechner.
• Zugangsgeheimnisse erscheinen nicht. Eine geänderte Verbindungszeichenfolge steht im Änderungsprotokoll nur als „neu gesetzt“; Schlüssel erscheinen nur mit ihrer Kennung (k…). Sichtbar sind dagegen der Text eigener SQL-Anweisungen im Audit und die Werte vorher und nachher jeder Änderung an Personen (Name, Konten, E-Mail-Adresse). Steht in einer SQL-Anweisung ein Wert, den jemand geheim halten will (etwa ein Kennwort in einer Prozedur), steht er also auch im Audit.
• anonym … 401 vor einer Windows-Anmeldung ist der erste Schritt des Verfahrens, kein Angriff.
• Exportieren: Exportieren … in der Befehlsleiste oder im Kontextmenü (Excel, XML oder JSON). Die Datei enthält personenbezogene Daten (wer wann von wo zugegriffen oder was geändert hat) und liegt danach außerhalb der Anwendung. Legen Sie sie nur dort ab, wo auch das Protokoll hingehört, und löschen Sie sie, wenn der Zweck erfüllt ist (siehe Sicherheit und Datenschutz).
• Aufbewahrung: Das Audit in der Anwendung zeigt nur, was der Dienst seit seinem letzten Start im Arbeitsspeicher hält; in seinem Protokollziel (Ereignisprotokoll, Journal) gilt die Aufbewahrung, die der Betreiber dort einstellt. Das Änderungsprotokoll bleibt unbegrenzt im Verwaltungsspeicher. Der Dienst kürzt es nie und bietet keinen Weg, Einträge zu löschen oder zu pseudonymisieren (siehe Sicherheit und Datenschutz).
• Filtern und suchen: Filterliste im Spaltenkopf, Suche mit Strg+F.

• So erzeugen Sie Nachweisberichte
• So sperren Sie einen Schlüssel oder eine Person
• Referenz: HTTP: Verwaltung (Referenz), Menge AuditEntries (Dokumentation des Datendienstes)