VPN und SIEM: Erfassung, Normalisierung und Ereignisprüfung

Beginnen Sie für SIEM mit UTC-Zeit, Nutzer-ID, Ereignistyp, Ergebnis und Sitzungs-ID. Prüfen Sie Zustellung, Deduplizierung und Zeitabgleich; testen Sie Regeln mit Testereignissen statt erfundenen Fällen.

Wichtige Arten von VPN-Logs

• Authentifizierung: erfolgreiche/fehlgeschlagene Logins, Ablehnungsgründe (falsches Passwort, MFA-Ausfall, verbotene Gruppe, Richtlinienverstoß des Geräts).
• Sitzungen: Start/Stop, Dauer, zugewiesene IP, eingehende/ausgehende Bytes, Tunnelprotokoll, Split-/Full-Tunnel-Modus.
• Administration: Konfigurationsänderungen, Zertifikat-Updates, Firmware-Uploads, Module aktivieren/deaktivieren, Login-Versuche im Admin-Interface.
• Infrastruktur: Schnittstellenstatus, Ausfall der Hardwarebeschleunigung, IPSec-Fehler (Aushandlung, SA), TLS-Abbrüche, Neustart von Daemons.

Minimal notwendiges Normalisierungsschema

• event.category: authentication, session, configuration
• event.action: vpn_auth_success, vpn_auth_failure, vpn_session_start, vpn_session_stop, vpn_config_change
• user.name, user.domain, user.id
• src.ip, src.port, src.geo.country, src.asn
• dst.ip (Gateway), assigned.ip (Kundenadresse im VPN), session.id
• tunnel.protocol (openvpn, wireguard, ikev2, ssl-vpn, l2tp, sstp), mfa.result, device.os, device.id
• bytes.in, bytes.out, duration, reason, status

Warum das so wichtig ist

• Zugangskontrolle: Transparenz darüber, wer wann und wo sich einloggt. In Kombination mit IdP, PAM und EDR – kontextbewusste Kontrolle.
• Bedrohungserkennung: Passwort-Spray-Angriffe, Brute-Force, unmögliche Ortswechsel, Sitzungen aus TOR/Proxies, Traffic-Spitzen, Richtlinienverstöße der Geräte.
• Untersuchung: Rekonstruktion der Ereignis-Timeline, Korrelation mit E-Mail, Proxy, DNS und EDR-Logs.
• Compliance: Audit-Trails, Nachweis für MFA, Zugriffspolitiken und Reaktionsmaßnahmen.

Praktische Prüfung

Beginnen Sie mit einer Übersicht über Nutzer, Anwendungen, Standorte und Datenflüsse. Bestimmen Sie Verantwortliche für Zugriffe und deren Entzug. Ein VPN liefert einen Netzwerkkanal, ersetzt aber weder Geräteverwaltung noch Identität, Ausfallsicherheit oder die Prüfung anwendbarer Vorgaben. Versprechen Sie keine Rechtskonformität allein aufgrund von Protokoll oder Serverland.

Prüfen Sie vor Einführung die konkreten Versionen von Gateway, Client und Identitätsanbieter. Erlauben Sie nur nötige Routen und Rollen; eine Anmeldung darf nicht das gesamte Netz öffnen. Nutzen Sie unterstützte MFA, Zertifikatsprüfung und geschützte Geheimnisspeicherung. Bestätigen Sie Integrationen anhand der Produktdokumentation.

Starten Sie einen begrenzten Piloten mit Testressourcen. Prüfen Sie Anmeldung, verweigerten Zugriff, Gerätewechsel, Rechteentzug, Knotenausfall und Wiederherstellung. Vereinbaren Sie vorher Kriterien für Wiederherstellungszeit, Verluste, Anwendungsverfügbarkeit und vollständige Protokolle. Bewahren Sie Ausgangskonfiguration und Rückrollplan auf. Legen Sie minimale Protokollfelder, Aufbewahrung und Leserechte fest; vermeiden Sie unnötiges Sammeln von Verkehrsinhalten.

Offizielle Dokumentation

• Splunk Documentation