Re: [FYI] DNA Fingerprinting for All!

[Lutz Donnerhacke <lutz@iks-jena.de>]

* Kristian Koehntopp wrote:
> On Tue, Apr 29, 2003 at 08:49:18AM +0000, Lutz Donnerhacke wrote:
>> Natürlich halte ich meine Handlungsweise für richtig. Das
>> schrieb ich ja schon mehrfach: "Ich bin Admin, ich mach das
>> schon richtig."
>
> Das hat, wie Du an den Auswüchsen dieser Diskussion gesehen
> hast, wenig mit der Tatsache zu tun, daß Du Admin bist. Es würde
> die Diskussion voranbringen, wenn Du genauer spezifizierst, was
> Du tust und wieso Du das tust, denn es gibt offensichtlich eine
> ganze Menge Leute mit demselben Titel wie Du, die das nicht auf
> die Reihe bekommen.

Ich kann es nur generell machen.

Für die verschiedensten Dienste (HTTP, FTP, POP3, SMTP, Radius, ...) gibt es
Logfiles, die die Aktivitäten und Fehlerzustände mitschreiben. Diese werden
dann und nur dann benötigt, wenn man herausfinden muß, ob ein bestimmter
Dienst für einen bestimmten Nutzer benutzbar war, oder nicht. Deswegen ist
es auch nicht ausreichend, nur die Fehler zu loggen, weil anhand nicht
vorhandener Fehler nicht auf Funktion geschlossen werden kann.

Darüberhinaus generieren wir tägliche Nutzungsstatistiken, um ungewöhnliche
Zustände frühzeitig erkennen zu können, z.B. eine amoklaufende Webcam, die
Bilder per FTP auf einen Server schiebt. Von diesen täglichen Statistiken
kommen nur Abweichungen vom Normalzustand an. Der Normalzustand definiert
sich aus dem, was die initialen Statistiken so bringen. Er wird von Hand
konfiguriert und bei der Statistikgenerierung zur Ausblendung benutzt.

Für Abrechnungen einiger Kunden benötigen wir Netflow, da Dienstabhängig
unterschiedlich viel in Rechnung gestellt wird (z.B. Newspeering ist frei,
so man auch mit uns peert). Diese tagsüber anfallenden Netflowdaten werden
nachts ausgewertet und in aggregierter Form in die Datenbank geworfen.

Außerdem wird in seltenen Fällen auch Netflow benötigt, um Netzprobleme und
Angriffe zurückzuverfolgen. Das ist hier oft genug beschrieben worden.

Die Haltezeiten liegen bei Dienstelogfiles im Bereich einiger Wochen, die
von Netflow im Bereich einiger Tage.

Syslog von Routern und Co. werden wie Dienstelogfiles behandelt. Hier wird
jedoch eine besondere Statistik hinsichtlich der Ablehnung an Access-Listen
geführt, die auch die Normalfälle ausblendet. Diese Logfiles gestatten es,
Maschinen bei Kunden zu identifizieren, die falsch konfiguriert sind. Der
entsprechende Admin des Kunden wird über ungewöhnliche Traffikmuster seiner
Maschinen informiert. Er sagt, ob das normal ist, behebt den Fehler oder
zieht den Nutzer zur Rechenschaft.

Alles klar?

-- 
To unsubscribe, e-mail: debate-unsubscribe@lists.fitug.de
For additional commands, e-mail: debate-help@lists.fitug.de