# Zero\-Trust\-Auditprotokolle abfragen

Canonical: https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/audit/view-audit-logs/

Language: de-DE

Updated: 2026-11-15T04:12:05.390755Z

Die Auditseite bietet Aufzeichnungen zu Netzwerkzugriff, DNS-Abfragen, Laufzeitereignissen und veröffentlichten Anwendungen. Sie unterstützt die Analyse anhand von Zeit, Endpunkt und Ergebnis. Die Protokolle betreffen unterschiedliche Schritte: Ein Eintrag beweist keinen vollständigen Erfolg, ein fehlender Eintrag allein keinen ausgebliebenen Zugriff.

Für vorhandene Protokolle können Sie mit den erforderlichen Leserechten und dem passenden Sichtbereich direkt zu den Abfrageschritten unten gehen. Ändern Sie nicht allein für eine Abfrage die Konfiguration und erzeugen Sie keine Testereignisse. Prüfen Sie für neue Protokolle zuerst die jeweilige Funktion und bestehende Konfiguration; nur bei Bedarf ändert eine entsprechend berechtigte Person diese vor dem passenden Pilottest. Die Entstehungsbedingungen unterscheiden sich je Protokollart.

## Vorbereitung für Anzeige und Test

-   Verwenden Sie ein Superadministratorkonto mit Zero-Trust-Leserecht. Für veröffentlichte Anwendungen muss zudem ein sichtbarer Veröffentlichungsdienst vorhanden sein. Sichtbarkeit hängt von Konto und Deployment ab.
-   Bereiten Sie autorisierte Testendpunkte, Ziele und Zeiten vor. Datensätze hängen von Ereigniserzeugung, Meldung durch Endpunkt oder Dienst, Serverspeicherung und Abfrage ab; Fehler können die Anzeige beeinträchtigen. Die Seite schaltet nicht die Erfassung aller Protokolle zentral ein.
-   Protokolle können Benutzer, Endpunkte, Adressen, Domänen und Pfade enthalten. Beachten Sie bei Anzeige, Weitergabe und Aufbewahrung Autorisierung und Datenschutz der Organisation.

## Netzwerkzugriffstest vorbereiten

Die folgenden Schritte dienen bei Bedarf zum Erzeugen von Testdatensätzen. Prüfen und verwenden Sie zuerst vorhandene Zugriffsgruppen und Richtlinien, die den Testanforderungen entsprechen. Bewerten Sie vor Änderungen an Mitgliedern oder Richtlinien andere Referenzen und Geschäftsauswirkungen; erweitern Sie den Zugriff nicht nur zur Protokollerzeugung.

1.  Nur wenn die Testknoten noch nicht zu einer geeigneten Quellgruppe gehören, erstellen oder wählen Sie unter Zero Trust und Zugriffskontrolle eine Quellzugriffsgruppe. Öffnen Sie ihre Details und wählen Sie im Tab „Endpoints“ die Aktion „Add Endpoints“. Wählen Sie autorisierte Testknoten und bestätigen Sie. Prüfen Sie andere Referenzen vor Änderung bestehender Gruppen.
2.  Prüfen Sie unter „Policies“ Quelle, Ziel, Erlauben oder Verweigern, Protokoll, Richtung und Ports der geltenden Richtlinie. Nur bei Bedarf erstellt oder ändert eine berechtigte Administration die Richtlinie und wählt Testgruppe oder Knoten als Quelle und Testknoten, Gruppe oder Netzwerkressource als Ziel; die Bedingungen folgen dem Geschäftsbedarf. Geben Sie bei `TCP` oder `UDP` die Testports ein; leer bedeutet alle Ports. Speichern Sie Änderungen und prüfen Sie Aktivierung und Bedingungen.
3.  Falls Route oder DNS benötigt wird, konfigurieren Sie diese getrennt und prüfen den Zieldienst. Leere „Policy Target Groups“ einer Route erzeugen eine Standarderlaubnis, keine Standardverweigerung. Wählen Sie zur Einschränkung Zielgruppen und prüfen Sie die Richtlinie.
4.  Nach Empfang der Konfiguration führen Sie im autorisierten Rahmen kontrollierte Zugriffe von vorgesehenen erlaubten und nicht erlaubten Knoten durch und notieren Zeit und Ergebnis. Richtlinien steuern Zugriff, garantieren aber kein vollständiges Protokoll jeder Verbindung. Siehe [Gruppen und Richtlinien](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/access-control/) und [Routen](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/network-resources/network-routes/).

## DNS-, Laufzeit- und Veröffentlichungstests vorbereiten

-   **DNS Queries:** Prüfen Sie Zero-Trust-Anbindung des Testendpunkts und dass er nicht von DNS-Verwaltung ausgeschlossen ist. Prüfen Sie bei der vorhandenen DNS-Nameservergruppe Aktivierung, Geltungsbereich, Erreichbarkeit der Server und benötigte passende Domänen; verwenden Sie eine für den Test geeignete Konfiguration weiter. Nur bei Änderungsbedarf bewertet eine berechtigte Administration die Auswirkungen, konfiguriert und speichert die Änderungen und prüft die Aktivierung. Fragen Sie nach Empfang einen vollständigen, organisationszugehörigen oder autorisiert testbaren Namen ab. Schritte und Suchdomänenbegrenzungen: [DNS-Nameservergruppen](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/dns/dns-nameservers/). Umgeht die Anwendung die Systemauflösung oder passiert die Anfrage die Komponente nicht, ist ein Eintrag nicht garantiert.
-   **Runtime Events:** Prüfen Sie Testendpunkt und Komponenten. Führen Sie im autorisierten Wartungsfenster eine kontrollierte Verbindung oder Konfigurationsänderung durch und notieren Sie die Zeit. Ereignisse hängen von Komponente und Ergebnis ab; unterbrechen Sie Produktion nicht nur zur Protokollerzeugung.
-   **Application Publishing Access:** Prüfen Sie für neue Testdatensätze den konfigurierten und aktivierten Zieldienst, den zugehörigen Proxy und die Authentifizierung. Greifen Sie mit einem autorisierten Testclient zu und notieren Sie Zeit und Ergebnis. Die Abfrageseite benötigt die Auswahl eines sichtbaren veröffentlichten Dienstes. Ist keiner auswählbar, kann die Seite nicht dienstbezogen abfragen; das allein beweist keine Löschung historischer Protokolle. Prüfen Sie Dienstliste und Rechte und kontaktieren Sie bei Bedarf die Administration; veröffentlichen Sie keinen unautorisierten Dienst nur für Testdaten.

## Protokoll und Abfragebereich wählen

1.  Öffnen Sie in Zero Trust „Audit“ und wählen Sie nach Problem. Wählen Sie auf der benötigten Karte **View Records**.

| Seite | Inhalt |
| --- | --- |
| Network Access | Erfasste Erlaubnis, Blockierung und Verbindungsende; Filter für Ergebnis, Richtung und Protokoll. |
| DNS Queries | Erfasster Name, Typ, Ergebnis, Resolver, Upstream und Dauer; Filter für Ergebnis und Namen. |
| Runtime Events | Clientverbindung, Komponentenstatus oder Konfigurationsereignisse; Filter für Komponente und Ergebnis. |
| Application Publishing Access | Zugriffs- und Authentifizierungsergebnisse je Veröffentlichungsdienst. |

2.  Wählen Sie Daten und prüfen Sie Filter. Anfangs sind der aktuelle und die sechs vorherigen Tage enthalten; für ältere Ereignisse ändern Sie den Bereich. Bei Abweichungen prüfen Sie Uhrzeit und Zeitzone von Endpunkt und Browser.
3.  Verwenden Sie die Seitennavigation; eine Seite zeigt 50 Einträge. Prüfen Sie nach Datums- oder Filteränderungen erneut und nicht nur die erste Seite.

Die Datumsabfrage verwendet Kalendertage in der Zeitzone des Verwaltungsbrowsers und umfasst den gewählten Anfangs- und Endtag. Rechnen Sie bei unterschiedlichen Zeitzonen die Testzeit vor der Datumsauswahl in die Browserzeitzone um. Ein Tag mit Zeitumstellung kann von 24 Stunden abweichen.

## Netzwerkzugriff und DNS analysieren

1.  Wählen Sie in Network Access Ergebnis, ein- oder ausgehende Richtung und Protokoll. Vergleichen Sie Endpunkt, Quelle, Ziel, Regel, Verkehr und Zeit. Entfernen Sie unnötige Filter vor weiterer Eingrenzung.
2.  Geben Sie in DNS Queries einen Namen ein und drücken Sie Enter oder verlassen Sie das Feld, um den Filter anzuwenden. Filtern Sie nach Erfolg, nicht gefunden oder Fehler und prüfen Sie Name, Typ, Resolver, Upstream, Ergebnis und Dauer.
3.  Ordnen Sie Einträge Testendpunkt, Zeit und Ziel zu und prüfen Sie DNS, Route, Richtlinie und Dienst. Erlaubnis beweist keine erfolgreiche Anwendungsantwort; fehlender DNS-Eintrag beweist keine fehlende Anfrage.

Öffnet eine interne Anwendung nicht, prüfen Sie beispielsweise zuerst die vollständige Namensauflösung am Testendpunkt, dann DNS- und Netzwerkprotokolle sowie Richtlinie, Route und Dienst. Protokolle liefern Hinweise auf erfasste Schritte und ersetzen keinen Geschäftstest.

Der DNS-Namensfilter gleicht den vollständigen aufgezeichneten Wert exakt ab; er sucht nicht nach Teilzeichenfolgen. Aufgezeichnete Namen können kleingeschrieben sein und mit einem Punkt enden. Die Eingabe ergänzt keinen Punkt und ändert die Groß- und Kleinschreibung nicht automatisch. Löschen Sie bei fehlenden Ergebnissen den Namensfilter, suchen Sie im passenden Datumsbereich einen Eintrag und geben Sie dessen angezeigten vollständigen Namen unverändert ein. Drücken Sie Enter oder verlassen Sie das Feld. Fehlen weiterhin Einträge, prüfen Sie den Weg über Zero Trust DNS und die Übermittlung.

## Laufzeit und veröffentlichten Zugriff analysieren

1.  Filtern Sie Runtime Events nach Komponente und Ergebnis. Vergleichen Sie Zeit und Status mit Endpunktverbindung und Konfigurationsanwendung.
2.  Öffnen Sie bei Veröffentlichung Application Publishing Access und prüfen Sie ausgewählten Dienst, Datum und Ergebnisse. Wechseln Sie bei Bedarf; die Seite kann einen Dienst vorauswählen, der nicht das gesuchte Ziel ist.
3.  Sind keine Dienste verfügbar oder schlägt das Laden fehl, prüfen Sie Dienstexistenz, Kontorechte und Verwaltungsdienst. Untersuchen Sie Veröffentlichung, Authentifizierung, Proxy und Anwendung gemeinsam. Ein Eintrag beweist keinen abgeschlossenen Geschäftsprozess.

**Authentifizierungsspalte einordnen:** Bei HTTP-Zugriffen kann die angezeigte Erfolgs- oder Fehlermeldung vom HTTP-Antwortstatus abhängen: `401` oder `403` kann als Fehler erscheinen, andere Status einschließlich Dienstfehlern können als Erfolg erscheinen. Bei Nicht-HTTP-Einträgen wie TCP, UDP oder TLS bedeutet eine Fehleranzeige nicht zwingend, dass eine Benutzerauthentifizierung fehlgeschlagen ist. Bewerten Sie Authentifizierungsart, Antwortcode, Zugriffsquelle und Protokolle der Zielanwendung gemeinsam in kontrollierten Tests; leiten Sie Erfolg, Fehlschlag oder Benutzeridentität nicht allein aus dieser Spalte ab. Die englischen Anzeigen lauten **Authentication**, **Success** und **Failed**.

## Häufige Probleme

-   **Eintrag fehlt:** Erweitern Sie Daten, entfernen Sie Filter und prüfen Sie Seiten, Endpunkt und Dienst. Prüfen Sie dann Konfigurationsanwendung, Testereignis, Erzeugung, Meldung und Speicherung.
    
-   **Laden fehlgeschlagen:** Prüfen Sie Rechte, Netzwerk und Dienst. Ein Abfragefehler unterscheidet sich von einer erfolgreichen Abfrage ohne Daten.
    
-   **DNS-Suche unverändert:** Drücken Sie nach Eingabe Enter oder verlassen Sie das Feld; prüfen Sie Datum und Ergebnisfilter.
    
-   **Zeit oder Ergebnis abweichend:** Prüfen Sie Zeitzone, Ereignisphase und Objekt. Verschiedene Protokolle erfassen nicht zwangsläufig alle Phasen.
    
-   **Weitere Untersuchung:** Dokumentieren Sie nach Freigabeverfahren nötige Zeit, Endpunkt, Testergebnis und Meldung; verbreiten Sie keine vollständigen Logs oder sensiblen Adressen unnötig.
    
-   **Ältere Einträge fehlen:** Ein zur Verwaltung der Plattformeinstellungen berechtigter Superadministrator kann unter **Data Cleanup** in den Systemeinstellungen **Enable automatic cleanup**, den Bereich **Zero Trust events** für Geschäftseinträge und dessen Aufbewahrungsdauer prüfen. Das Ausführungsergebnis steht im Datenbereinigungsprotokoll der Plattformprotokolle. Wird dieser Bereich aktiviert und ausgeführt, können abgelaufene Netzwerkzugriffs-, DNS-, Laufzeit- und Veröffentlichungszugriffseinträge bereinigt werden. Prüfen Sie vor Änderungen Aufbewahrungsvorgaben und Ausführungsprotokolle; ändern Sie die Frist nicht leichtfertig zur Fehlersuche. Das Abschalten stellt gelöschte Einträge nicht wieder her.
    
-   [Zugriffsrichtlinien](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/access-control/access-policy/)