23.03.2012 Balabits Logserver mit „Reliable Log Transfer Protocol“ (RLTP)

Beweise im IT-System sichern

Von: Christiane Schlayer

Null Datenverlust ist das Ziel von IT-Chefs, die strengsten gesetzlichen Auflagen genügen und lückenlosen Nachweis über alle Log-Meldungen führen müssen - selbst bei Leitungsunterbrechungen.

Balabit bietet die auf IBM i nutzbare Logging-Software Syslog-ng auch als Appliance an

Mit dem „Reliable Log Transfer Protocol“ (RLTP), das in der neuen Version der Logging-Software Syslog-ng PE 4 F2 integriert ist, verspricht das ungarische Unternehmen Balabit das richtige Werkzeug dafür, denn Grundlage für Bewertung und Analyse des Sicherheitsbetriebes seien nun einmal die „Logs“. Sie dokumentieren detailliert und machen nachvollziehbar, was im IT-System geschieht. Syslog-ng von Balabit IT Security ist dafür nach Herstellerangaben weltweit bei rund 650.000 Unternehmen im Einsatz, darunter auch Anwender der AS/400 und ihrer Nachfolgemodelle.

Die Syslog-ng Premium Edition als Anwendung auch auf dem System i (ab V5R3), wobei auch noch ein spezieller „Agent“ für IBM i nötig ist. Der Balabit-Server wird dabei in dem Portable Application Solutions Environment (PASE) des System i installiert, während der Agent als native Anwendung unter OS/400 bzw. IBM i läuft.

Die neuste Version, Syslog-ng Premium Edition 4 F2, ist eine Weiterentwicklung des „High Speed Reliable Logging“ mit Syslog-ng. Sie integriert zusätzlich die RLTP-Technologie; damit werden die Log-Meldungen von verschiedenen Geräten und Anwendungen gesammelt und klassifiziert und diese dann über verschlüsselte Kanäle zuverlässig an den Logserver übertragen. Dort werden die Meldungen weiter verarbeitet und verschlüsselt gespeichert. Zu den weiteren Neuerungen der aktuellen Version zählen die native Sammlung und Verarbeitung von Log-Meldungen aus SQL-Datenbanken und Unterstützung der aktuellen Betriebssystemversion AIX 7.1.

Im Vordergrund stehen aber die Verbesserungen im Hinblick auf „Zero Message Loss“, denn Möglichkeiten, Log-Daten zu verlieren gibt es viele - etwa aufgrund eines Stromausfalls, wenn beim Neustart eine Anwendung abstürzt oder wenn die Festplatte voll ist, auf der die Logs gespeichert werden. Das neue Übertragungsprotokoll RLTP soll solche Verluste verhindern, auch bei Verbindungsunterbrechungen. Das soll sicherstellen, dass Unternehmen auch den kategorischen Vorgaben von PCI-DSS oder HIPAA genügen können. „Zero Message Loss“ verspricht Balabit mit der neuen Version vor allem durch die Integration von drei Komponenten:

1. Der Einsatz der RLTP-Technologie auf Client, Relay und Server verhindert den Verlust von Meldungen während Verbindungsunterbrechungen. Das RLTP-Übertragungsprotokoll ermittelt die jeweils letzte Meldung, die empfangen worden ist und überträgt ab diesem Zeitpunkt alle weiteren Meldungen noch einmal.

2. Zuverlässiges Festplatten-basiertes Buffering verhindert ebenfalls den Verlust von Log-Meldungen bei unerwarteten Ereignissen, die zu längeren Verbindungsunterbrechungen führen: Eine Kopie der Log-Meldungen wird so lange als Backup vorgehalten, bis der Zielcomputer den Empfang der Nachrichten meldet. Das ist zwar eine langsamere Alternative, die jedoch sehr zuverlässig ist.

3. Flow Control: Die Funktion wird zur dynamischen Steuerung und Optimierung des gesamten Log-Verkehrs verwendet. Sie stellt zusammen mit RLTP sicher, dass alle Log-Meldungen des Clients auf dem Server ankommen - selbst in Zeiten von Leistungsspitzen.

„Eine Analyse der IT-Sicherheit ist immer nur so gut wie die Daten, die von Netzwerkgeräten und Anwendungen gesammelt werden, denn sie liefern die Grundlage dafür“, konstatiert Zoltán Györk, Business Development Director bei Balabit IT Security. Deshalb sei es auch so wichtig, alle Log-Meldungen akribisch genau zu sammeln und sicher zu speichern.

www.balabit.com