Remote-Sicherheitsereignisse aufzeichnen in IGEL

Dieser Artikel beschreibt die Funktion Remote-Aufzeichnung sicherheitsrelevanter Ereignisse für die IGEL Universal Management Suite (UMS), das IGEL Cloud Gateway (ICG) und das IGEL Management Interface (IMI). Mit dieser Funktion werden sicherheitsrelevante Ereignisse in einer separaten Logdatei aufgezeichnet, die von einem konfigurierten Log Collector/SIEM abgerufen werden kann.

Die Remote-Aufzeichnung sicherheitsrelevanter Ereignisse ist unabhängig von der normalen Protokollierung und ist standardmäßig deaktiviert.

Remote-Aufzeichnung sicherheitsrelevanter Ereignisse aktivieren

Sie können die Funktion in der UMS Konsole aktivieren unter UMS Administration > Globale Konfiguration > Logging > Sicherheitsaufzeichnung aktivieren. Dadurch wird die Aufzeichnung für alle Komponenten aktiviert, einschließlich UMS Server, UMS Konsole, UMS Web App, IMI und ICG.

Speicherort der Logdateien

Sie finden die von der Remote-Sicherheitsaufzeichnung erstellte UMS Server Logdatei:

• Unter Windows:
  C:\Program Files\IGEL\RemoteManager\rmguiserver\logs\ums-server\ums-server-security.log

• Unter Linux:
  /opt/IGEL/RemoteManager/rmguiserver/logs/ums-server/ums-server-security.log

Sie finden die von der Remote-Sicherheitsaufzeichnung erstellte UMS Administrator Logdatei:

• Unter Windows:
  C:\Program Files\IGEL\RemoteManager\rmguiserver\logs\ums-admin\ums-admin-security.log

• Unter Linux:
  /opt/IGEL/RemoteManager/rmguiserver/logs/ums-admin/ums-admin-security.log

Sie finden die von der Remote-Sicherheitsaufzeichnung erstellte ICG Logdatei:

• Unter Linux:
  /opt/IGEL/icg/usg/logs/icg-security.log

Sie finden die von der Remote-Sicherheitsaufzeichnung erstellte UMS Web App Logdatei:

• Unter Windows:
  C:\Program Files\IGEL\RemoteManager\rmguiserver\logs\wums-app-security.log

• Unter Linux:
  /opt/IGEL/RemoteManager/rmguiserver/logs/wums-app-security.log

Aufgezeichnete Ereignisse

In der Logdatei sind einige aufgezeichnete Ereignisse mit Quellen-Tags (Source Tags) versehen:

• UMS-Server-Ereignisse enthalten das Quellentag: UMS-Server.

• ICG-Ereignisse enthalten das Quellentag: ICG.

• IMI-Ereignisse enthalten das Quellentag: IMI.

• UMS Web App-Ereignisse enthalten das Quellentag: UMS-Webapp.

Aufgezeichnete UMS Ereignisse

• UMS Benutzeranmeldung und -abmeldung

• UMS erfolgreiche und fehlgeschlagene Benutzeranmeldungen

• UMS Benutzern Passwortänderungen

• Alle direkten und indirekten Zuweisungsänderungen an Geräte ("privilegierte Richtlinienänderungen")

• Alle Konfigurationsänderungen an Geräten

• Herunterfahren von UMS- oder ICG-Diensten/Prozessen

• UMS Administrator-Benutzerkonto Erstellung/Löschung

• UMS Administrator-Benutzern Passwortänderungen

Aufgezeichnete UMS Web App-Ereignisse

• Authentifizierungsereignisse

• Löschen einer Suche

• Aktualisierung oder Löschung eines Profils oder Priority Profile

• Zuweisung oder Aufhebung der Zuweisung der folgenden Objekte an einen Ordner oder ein Gerät:

  • Profile

  • Priority Profile

  • Variablen

  • Firmware-Anpassungen

• Gerätebefehle:

  • Auf Werkseinstellungen zurücksetzen

  • Geräteeinstellungen aktualisieren

Aufgezeichnete-ICG Ereignisse

• Erstellung und Löschung von Benutzern

• Erfolgreiche und fehlgeschlagene Authentifizierung

• Datei-Uploads

Aufgezeichnete IMI-Ereignisse

• Authentifizierungsereignisse

• Hinzufügeoperationen

• Aktualisierungsoperationen

• Löschoperationen