Site icon bintorosoft.com

Log-Dateien analysieren: Wer greift auf deinen Pi zu?

Red Snapper

Log-Dateien analysieren: Wer greift auf deinen Pi zu? Diese Frage ist nicht nur für professionelle Administratoren relevant, sondern gerade im Heimnetz ein entscheidender Sicherheitsfaktor. Ein Raspberry Pi läuft oft 24/7, stellt Dienste bereit (SSH, Web-Apps, Docker-Container, Smart-Home-Software) und wird dadurch früher oder später Ziel automatisierter Scans und Login-Versuche. Ohne Log-Analyse bemerken Sie Angriffe, Fehlkonfigurationen oder ungewöhnliche Zugriffe häufig erst dann, wenn etwas nicht mehr funktioniert. Mit einer sauberen Auswertung von Systemprotokollen, SSH-Logs, Webserver-Logs und Firewall-Ereignissen erkennen Sie Muster: von harmlosen Portscans über Brute-Force-Versuche bis hin zu legitimen Zugriffen aus dem eigenen Netz. In diesem Artikel erfahren Sie praxisnah, welche Log-Dateien unter Raspberry Pi OS (Debian-basiert) besonders wichtig sind, wie Sie Zugriffe sicher zuordnen, welche Werkzeuge (journalctl, grep, awk, fail2ban) Ihnen helfen und wie Sie aus Zahlen und Mustern konkrete Schutzmaßnahmen ableiten. Ziel ist ein verständlicher, wartbarer Ablauf, mit dem Sie zuverlässig beantworten können, wer wann und wie auf Ihren Pi zugegriffen hat.

Warum Log-Analyse auf dem Raspberry Pi so wichtig ist

Logs sind die „Beweisspur“ eines Systems. Sie zeigen nicht nur erfolgreiche Anmeldungen, sondern auch Fehlversuche, Konfigurationsprobleme, Abstürze und ungewöhnliche Netzwerkaktivität. Besonders beim Raspberry Pi sind typische Szenarien:

Wenn Sie Log-Analyse als Routine etablieren, erkennen Sie Probleme früher, sparen Zeit bei der Fehlersuche und können Sicherheitsmaßnahmen gezielt dort verstärken, wo sie wirklich nötig sind.

Grundlagen: Wo Raspberry Pi OS Logs speichert

Raspberry Pi OS basiert auf Debian, daher finden Sie klassische Log-Dateien unter /var/log und parallel die systemd-Journale. In modernen Debian- und Raspberry-Pi-OS-Versionen ist journalctl häufig die zentrale Stelle, weil viele Dienste ihre Ausgaben ins systemd-Journal schreiben. Dennoch bleiben textbasierte Log-Dateien wichtig.

Hilfreich als offizieller Einstieg: die systemd-Dokumentation zu Journal und journalctl sowie Debian-nahe Grundlagen. Eine kompakte Referenz ist die manpage zu journalctl sowie die systemd-Journal-Dokumentation: systemd-journald.

Erste Quick-Checks: In 5 Minuten einen Überblick bekommen

Bevor Sie tief einsteigen, machen Sie einen kurzen Sicherheits- und Aktivitätscheck. Diese Schritte sind bewusst einfach und liefern sofort verwertbare Hinweise.

Wenn Sie feststellen, dass regelmäßig viele fehlgeschlagene SSH-Logins auftauchen, ist das ein sehr typisches Zeichen für automatisierte Scans. Das ist nicht automatisch ein „Einbruch“, aber ein klarer Hinweis, dass Hardening (Schlüssel-Login, Fail2Ban, Firewall, VPN) Priorität haben sollte.

SSH-Zugriffe sauber auswerten: Erfolgreich vs. fehlgeschlagen

SSH ist der häufigste Remote-Zugang zum Pi. Deshalb lohnt sich eine gezielte Auswertung. In /var/log/auth.log (oder im Journal) finden Sie Einträge, die grob in drei Gruppen fallen:

Beispiel: Erfolgreiche SSH-Logins finden

In einer klassischen Logdatei erkennen Sie erfolgreiche Logins oft über „Accepted“. Ein typisches Muster ist: Benutzername, Authentifizierungstyp, Quell-IP. Sie können mit einfachen Filtern beginnen, zum Beispiel:

grep "Accepted" /var/log/auth.log

Für systemd-journalbasierte Systeme ist der Dienstfilter häufig noch bequemer:

journalctl -u ssh | grep "Accepted"

Beispiel: Brute-Force und „Invalid user“ erkennen

Automatisierte Angriffe versuchen oft Standardnamen wie „admin“, „pi“, „root“ oder zufällige Accounts. Das erscheint in Logs als „Invalid user“. Ein schneller Check:

grep "Invalid user" /var/log/auth.log | tail -n 50

Wenn Sie viele unterschiedliche Usernamen von vielen IPs sehen, ist das typisch für Internet-Scanning. Wenn Sie hingegen immer wieder dieselbe IP sehen, kann es auch ein falsch konfigurierter Client oder ein legitimer Nutzer mit Tippfehlern sein.

IP-Adressen zuordnen: Heimnetz, VPN, Provider und Standort

Eine IP-Adresse ist der wichtigste Ankerpunkt, um Zugriffe einzuordnen. Im Heimnetz sind private IP-Bereiche (z. B. 192.168.x.x, 10.x.x.x) normal. Externe Zugriffe kommen mit öffentlichen IPs. Wichtig: Eine IP allein beweist keine Identität, aber sie hilft bei der Klassifikation.

Für eine grobe, manuelle Einschätzung können Whois- und IP-Informationen helfen. Nutzen Sie dafür seriöse Quellen und behandeln Sie Geolokalisierung als Näherung, nicht als Beweis. Als neutrale Referenz ist beispielsweise RIPE (für Europa) hilfreich: RIPE NCC.

Webserver-Logs: Wer greift auf deine Dienste zu?

Wenn auf Ihrem Pi ein Webserver läuft (Nginx/Apache), sind Access-Logs die zentrale Quelle für HTTP/HTTPS-Zugriffe. Dort sehen Sie Quell-IP, Zeit, angefragte Pfade, Statuscodes und User-Agent. Das ist ideal, um Angriffe auf Weboberflächen (Admin-Panels, Login-Seiten, APIs) zu erkennen.

Statuscodes verstehen: 200, 401, 403, 404, 500

Wenn Ihr Pi gar kein WordPress betreibt, aber Sie sehen massenhaft Anfragen auf /wp-login.php, ist das ein klassisches Muster automatisierter Scans.

Journalctl richtig nutzen: Zeiträume, Dienste und Prioritäten

Mit journalctl können Sie Logs sehr präzise filtern. Das ist besonders hilfreich, wenn Sie wissen, welches Problem oder welcher Dienst betroffen ist. Drei Filter sind in der Praxis entscheidend: Zeitraum, Dienst, Priorität.

Die Details zur Syntax finden Sie zuverlässig in der journalctl manpage.

Häufige Muster: Was in Logs „verdächtig“ ist

Nicht jeder ungewöhnliche Eintrag ist ein Angriff. Dennoch gibt es wiederkehrende Muster, bei denen Sie genauer hinschauen sollten:

Bewerten Sie Auffälligkeiten immer im Kontext: Läuft ein VPN? Haben Sie Gäste? Hat Ihr ISP eine neue IP vergeben? Gab es ein Update, das Dienste neu startet?

Aus Logs Kennzahlen machen: Wie Sie Angriffsintensität bewerten

Eine strukturierte Bewertung hilft, nicht in Einzelereignissen zu versinken. Zwei einfache Kennzahlen sind besonders nützlich: Fehlversuche pro Stunde und Unique IPs pro Tag. Damit sehen Sie, ob ein Problem „sporadisch“ ist oder dauerhaft eskaliert.

Fehlversuche pro Stunde berechnen (MathML)

Wenn Sie in einem Zeitraum F fehlgeschlagene Logins zählen und der Zeitraum t Stunden beträgt, ergibt sich:

Rate = F t

Beispiel: 240 Fehlversuche in 6 Stunden:

240 / 6 = 40

Eine Rate von 40 Fehlversuchen pro Stunde ist für offene SSH-Ports im Internet nicht ungewöhnlich, aber ein Hinweis, dass Schutzmechanismen (z. B. Schlüssel-Login und Fail2Ban) dringend sind.

Automatisches Blocken mit Fail2Ban: Auswertung trifft Gegenmaßnahme

Fail2Ban ist ein klassisches Werkzeug, das Logdateien analysiert und bei wiederholten Fehlversuchen automatisch IPs sperrt. Besonders für SSH und Web-Login-Formulare ist das sehr effektiv. Wichtig: Fail2Ban ersetzt keine saubere SSH-Härtung, aber es reduziert Lärm und Angriffsfläche erheblich.

Eine zuverlässige Referenz ist die Fail2Ban-Dokumentation: Fail2Ban Wiki.

Logrotate und Aufbewahrung: Damit Logs nützlich bleiben und nicht das System füllen

Logs sind nur hilfreich, wenn sie verfügbar sind. Gleichzeitig dürfen sie Ihren Speicher nicht füllen, insbesondere bei microSD-basierten Systemen. Dafür gibt es Logrotation und definierte Aufbewahrungsfristen. In Debian-Umgebungen ist dafür oft logrotate zuständig.

Eine solide Referenz ist die logrotate-Dokumentation und die manpage: logrotate manpage.

Docker- und App-Logs: Wenn Dienste nicht in /var/log auftauchen

Viele Raspberry-Pi-Projekte laufen in Containern. Dann liegen Logs oft nicht in klassischen Dateien, sondern werden über den Docker-Logging-Mechanismus verwaltet. Zudem schreiben Anwendungen manchmal in eigene Verzeichnisse oder nur ins Journal.

Wenn Sie containerisierte Dienste betreiben, planen Sie früh eine Logstrategie: Wo sollen Logs liegen, wie werden sie rotiert, wie lange werden sie behalten und wie überwachen Sie Ausreißer (z. B. stark steigende Fehlerraten)?

Praktischer Workflow: So bauen Sie eine Routine zur Zugriffsanalyse

Eine gute Routine ist kurz, wiederholbar und liefert klare Ergebnisse. Ein bewährter Ablauf sieht so aus:

Wenn Sie den Pi von außen erreichbar machen, sollte diese Routine deutlich strenger sein. In diesem Fall sind zusätzlich VPN-Ansätze sinnvoll, um SSH und Admin-UIs gar nicht erst öffentlich zu exponieren.

Datenschutz und Log-Inhalte: Was Sie aufbewahren sollten und was nicht

Logs enthalten Metadaten, die in Summe sehr aussagekräftig sein können (IP-Adressen, Zeitpunkte, genutzte Endpunkte). Halten Sie die Aufbewahrung zweckgebunden und begrenzt:

Weiterführende Informationsquellen (Outbound-Links)

IoT-PCB-Design, Mikrocontroller-Programmierung & Firmware-Entwicklung

PCB Design • Arduino • Embedded Systems • Firmware

Ich biete professionelle Entwicklung von IoT-Hardware, einschließlich PCB-Design, Arduino- und Mikrocontroller-Programmierung sowie Firmware-Entwicklung. Die Lösungen werden zuverlässig, effizient und anwendungsorientiert umgesetzt – von der Konzeptphase bis zum funktionsfähigen Prototyp.

Diese Dienstleistung richtet sich an Unternehmen, Start-ups, Entwickler und Produktteams, die maßgeschneiderte Embedded- und IoT-Lösungen benötigen. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Zuverlässig • Hardware-nah • Produktorientiert

CTA:
Planen Sie ein IoT- oder Embedded-System-Projekt?
Kontaktieren Sie mich gerne für eine technische Abstimmung oder ein unverbindliches Angebot. Finden Sie mich auf Fiverr.

 

Exit mobile version