Der Prüfeintrag: die Antwort auf "wer war es", nicht auf "was ist passiert"

Überwachung und Prüfeintrag sind zwei verschiedene Dinge und werden verwechselt. Überwachung beantwortet "was ist passiert": die Platte lief voll, ein Dienst fiel aus, die Last stieg. Ein Prüfeintrag beantwortet wer es war. Der Wert des Zweiten zeigt sich an Tagen, die man sich nie wünscht.

Drei Momente

Etwas hat sich geändert und niemand erinnert sich, es geändert zu haben. Die Antwort lautet meist "du, vor drei Wochen", und das ist eine Erleichterung und kein Vorwurf: eine unbekannte Änderung beunruhigt weit mehr als eine bekannte.

Zwei Leute arbeiten an derselben Maschine und jeder nimmt an, der andere sei es gewesen. In dieser Lage beendet nur der Eintrag die Diskussion.

Es ist wirklich etwas schiefgegangen und du brauchst die Reihenfolge der Ereignisse. Der Endzustand sagt dir, was passiert ist; die Reihenfolge sagt dir, wie. Ohne das Zweite wiederholt sich dasselbe.

"Root war es" ist keine Antwort

Melden sich alle mit demselben Konto an, ist der Name im Eintrag für alle derselbe. Der Eintrag beantwortet weiter "was ist passiert", hört aber auf, "wer war es" zu beantworten. Deshalb ist ein Prüfeintrag in einer Ein-Personen-Umgebung unwichtig und wird an dem Tag kritisch, an dem eine zweite Person dazukommt.

Was nicht im Eintrag stehen darf

Der Anfragekörper. Passwörter, Schlüssel und Token laufen dort hindurch. Ein Eintrag, der alles einfängt, bedeutet einen neuen Ort, an dem deine Geheimnisse leben, und dieser Ort ist meist schlechter geschützt, weil er als "nur ein Protokoll" gilt.

Ein Prüfeintrag braucht fünf Dinge: wer, was, wann, woran und das Ergebnis. Willst du ein sechstes hinzufügen, frage zuerst, ob es ein Geheimnis trägt.

Wo er liegt, entscheidet, ob er Beweis ist

Ein Eintrag, den nur die Anwendung schreiben und neu schreiben kann, ist ein Tagebuch und kein Beweis. Wird die Anwendung selbst übernommen, korrigiert sie den Eintrag gleich mit.

Deshalb muss der Eintrag auch dort landen, wo die Anwendung nicht hinkommt. Das eigene Protokoll des Systems ist dafür da: die Anwendung schreibt dorthin, kann von dort aber nicht löschen.

Aufbewahrung

Ein drei Tage aufbewahrter Prüfeintrag beantwortet "wer war es gestern" und sonst nichts. Die meisten dieser Fragen kommen aber Wochen später, denn die Wirkung einer Änderung ist meist nicht sofort sichtbar. Bewahre den Prüfeintrag nach einer anderen Logik auf als deine Sicherungen: er braucht wenig Platz und bleibt lange wertvoll.

Was Atlas tut

Atlas schreibt nur fünf Dinge in den Prüfeintrag: wer, was, wann, woran, Ergebnis. Der Anfragekörper wird nie geschrieben, denn eine Anmeldeanfrage trägt ein Passwort, und es bringt nichts, wenn dieses Passwort ein zweites Mal in einer Protokolldatei existiert.

Der Eintrag landet an zwei Orten zugleich. Der eine ist das eigene Protokoll des Systems: Atlas schreibt dorthin, kann von dort aber nichts nehmen und nichts ändern. Der andere ist eine Datei im Datenordner des Produkts, die von Aktualisierungen nicht gelöscht wird. Du musst also nicht ins Systemprotokoll hinabsteigen, um den Eintrag zu lesen, aber er ist dort, wenn du ihn brauchst.

Ein kleines, aber bedeutsames Detail: der Zeitstempel wird ganz am Ende des Eintrags geschrieben. So kann die Seite, die den Eintrag erzeugt, ihn selbst dann nicht überschreiben, wenn sie einen eigenen Zeitstempel mitgibt. Heute versucht das nichts, aber in einem Prüfeintrag gehört die richtige Reihenfolge zur Natur der Sache.

Und abgelehnte Anfragen werden ebenfalls aufgezeichnet, nicht nur die ausgeführten. Die Information "jemand hat es versucht und es ging nicht" steht also auch im Eintrag; meistens ist genau das der gesuchte Satz.