Wo finde ich welche Enginsight Logs?

Die Enginsight Plattform besteht aus vielen Komponenten und Services, deren Logs an unterschiedlichen Orten zu finden sind und die je nach Betriebssystem auf unterschiedliche Weise abgerufen und gespeichert werden können.

Im Folgenden zeigen wir dir, wo welche Enginsight Logs zu finden sind.

---

Pulsar

Der Name des Logs für den Enginsight Agenten Pulsar lautet ngs-pulsar.log. Du kannst das Pulsar-Log je nach Betriebssystem des Hosts unter folgenden Verzeichnispfaden finden:

Betriebssystem	Speicherort
Windows	C:\Program Files\Enginsight\Pulsar\ngs-pulsar.log
Linux	/opt/enginsight/pulsar/ngs-pulsar.log
macOS	/opt/enginsight/pulsar/ngs-pulsar.log

Bitte beachte: Das Pulsar-Log wird bei jedem Start des Pulsars automatisch auf 2 MB (letzte Einträge) gekürzt.

---

Hacktor, Observer und Watchdog

Für die Enginsight Komponenten Hacktor, Observer und Watchdog unterscheiden sich die Log-Verzeichnisse nach verwendetem Linux-Betriebssystem.

Debian 12 und spätere Versionen

Ab Debian 12 werden System-Logs standardmäßig über journalctl verwaltet. Die Logs der Enginsight Komponenten werden daher nicht mehr klassisch ins Syslog geschrieben.

Die Namen der Logs für die Enginsight Komponenten Hacktor, Observer und Watchdog lauten ngs-hacktor.log, ngs-observer.log und ngs-watchdog.log.

Du kannst das Log einer Komponente mit einem der folgenden Befehle anzeigen oder speichern:

Logs anzeigen:

sudo journalctl -u ngs-<Komponentenname> -n 50

Logs speichern:

sudo journalctl -u ngs-<Komponentenname> -n 50 > /tmp/ngs-<Komponentenname>.log

Vergiss dabei nicht, <Komponentenname> mit dem Namen der Komponente, dessen Logs du einsehen möchtest, zu ersetzen. Zudem werden mithilfe dieser Befehle die letzten 50 Log-Einträge angezeigt bzw. gespeichert. Passe die Zahl 50 an, wenn du mehr Log-Einträge einsehen möchtest.

Ältere Debian-Versionen und CentOS

Bei älteren Systemen werden die Komponenten-Logs weiterhin klassisch ins Syslog geschrieben.

Du kannst die Logs der entsprechenden Komponente mit folgenden Befehlen als .txt-Datei speichern:

Debian

cat /var/log/syslog | grep -a hacktor-m24 > /tmp/<BenutzerdefinierterDateiname>.txt
cat /var/log/syslog | grep -a observer-m9 > /tmp/<BenutzerdefinierterDateiname>.txt
cat /var/log/syslog | grep -a watchdog-m23 > /tmp/<BenutzerdefinierterDateiname>.txt

CentOS

cat /var/log/messages | grep -a hacktor-m24 > /tmp/<BenutzerdefinierterDateiname>.txt
cat /var/log/messages | grep -a observer-m9 > /tmp/<BenutzerdefinierterDateiname>.txt
cat /var/log/messages | grep -a watchdog-m23 > /tmp/<BenutzerdefinierterDateiname>.txt

Vergiss dabei nicht, <BenutzerdefinierterDateiname> mit einem Dateinamen deiner Wahl zu ersetzen.

---

Audits (Penetrationstests)

Die Logs von Penetrationstest-Audits findest du unter folgendem Verzeichnispfad:

/opt/enginsight/hacktor/logs/audit-<ID>.txt

Die <ID> entspricht der Audit-ID, wie sie in der Benutzeroberfläche der Enginsight Plattform angezeigt wird.

---

Docker-Container (z.B. für Enginsight Services)

Um die Logs einzelner Enginsight Docker-Container aufzurufen, kannst du folgende Schritte vornehmen:

1

Logge dich auf dem Enginsight Applikationsserver ein und navigiere mit folgendem Befehl in das Verzeichnis, in dem Enginsight installiert ist:

cd /opt/enginsight/enterprise

2

Rufe mit folgendem Befehl die laufenden Docker-Container auf, um die jeweiligen Container-IDs zu erhalten:

sudo docker ps

3

Lasse dir mit folgendem Befehl das gewünschte Log anzeigen:

sudo docker logs <ContainerID> 

Vergiss dabei nicht, <ContainerID> mit der korrekten ID des Containers, in dem der Service läuft, dessen Log du anzeigen möchtest, zu ersetzen.

4

Speichere das gewünschte Log wie folgt:

sudo docker logs <ContainerID> -t >& <BenutzerdefinierterDateiname>.txt

Vergiss dabei nicht, <ContainerID> mit der korrekten ID des Containers, in dem der entsprechende Service läuft, sowie <BenutzerdefinierterDateiname> mit einem Dateinamen deiner Wahl zu ersetzen.

---

Loggernaut (SIEM)

Der Loggernaut ist eine Komponente des Enginsight SIEM, die dazu dient, Logs, die in den Data Lake gebracht werden sollen, entgegenzunehmen und zu verarbeiten.

Loggernaut-Log

Der Name des Logs für den Loggernaut selbst lautet ngs-loggernaut.log. Du kannst das Log mit folgendem Befehl speichern:

sudo journalctl -u ngs-loggernaut.service -n 50000 > ngs-loggernaut.log

Backup-Logs

Du hast ebenfalls die Möglichkeit, Backups einzelner Organisationen zu erstellen und speichern. Diese Logs findest du unter folgendem Verzeichnispfad:

/opt/enginsight/loggernaut/backup/<OrganisationsID>/

Die <OrganisationsID> entspricht der ID der Organisation, wie sie in der Benutzeroberfläche der Enginsight Plattform angezeigt wird.

---