Analysen, Alerts, Ereignisse und Zeitstempel verstehen

Ziel

Dieser Artikel erklärt, was Securantis unter „Analysen“, „Alerts“ und „Ereignissen“ versteht, wie diese Einträge in Ihrem Kundenbereich ankommen, warum deren Zeitstempel abweichen können und wie Sie reagieren sollten. Er richtet sich an Kontoadministratoren, die mehrere Websites und Lizenzen aus dem Securantis-Kundenbereich verwalten.

Warum das wichtig ist

Das Verständnis dieser Begriffe hilft Ihnen dabei:

• einen Bericht oder eine Benachrichtigung korrekt zu interpretieren;
• festzustellen, ob eine Aktion (Lizenzsperrung, Versenden einer Alert, Erstellung einer Lizenz) von einem Scan, einem Webhook oder einer manuellen Aktion ausgelöst wurde;
• zeitliche Abweichungen und Verzögerungen bei Alerts zu diagnostizieren.

Definitionen und Rollen

• Analyse : Ergebnis eines Scans oder einer Überprüfung, die vom auf Ihrer Website installierten Agent (oder durch eine Cloud-seitige Analyse) ausgeführt wird. Eine Analyse erzeugt einen strukturierten Bericht (erfasste Dateien, Schwachstellen, verdächtige Aktivitäten) und kann Ereignisse generieren.

• Ereignis : rohe oder strukturierte Eintragung, die eine Aktion oder einen Zustand darstellt (z. B. geblockte Anfrage, Änderung einer Datei, erfolgreiche/fehlgeschlagene Admin-Anmeldung, Lizenzänderung). Ereignisse sind die Rohdaten, die in den Logs angezeigt werden und für Untersuchungen nützlich sind.

• Alert : Benachrichtigung, abgeleitet aus einem oder mehreren Ereignissen/Analysen. Ein Alert soll Aufmerksamkeit erregen (per E‑Mail, Dashboard oder Zusammenfassung), wenn eine Schwelle oder Regel ausgelöst wird.

Datenfluss (vereinfacht)

1. Der Agent auf der Website führt eine Analyse aus oder erkennt lokal ein Ereignis.
2. Der Agent sendet die Daten (Ereignisse/Analysebericht) an die Securantis-Cloud.
3. Die Cloud normalisiert und speichert diese Einträge, korreliert sie und kann gemäß Ihren Einstellungen Alerts generieren.
4. Alerts werden versendet (oder in die Warteschlange gestellt) und sind im Kundenbereich sichtbar.

Hinweise zur Synchronisation von Lizenzen und externen Ereignissen

• Ereignisse von externen Diensten (z. B. eine Zahlungsbenachrichtigung von Stripe) werden durch separate Mechanismen verarbeitet, die den Lizenzstatus ändern können (Erstellung, Sperrung, Reaktivierung). Diese Prozesse sind darauf ausgelegt, Duplikate zu vermeiden (Locking/Transaktion) und stützen sich auf den aktuellen Abonnementstatus.

• Einige automatische Lizenzsperrungen werden durch Abrechnungsereignisse ausgelöst (z. B. Zahlungsausfall oder Kündigung des Abonnements). Die Sperrung verhindert die Nutzung der Lizenzen, die endgültige Entscheidung zur Wiederherstellung oder Löschung einer Lizenz bleibt jedoch menschlich.

Zeitstempel: warum die Daten unterschiedlich datiert sein können

Für denselben Eintrag können mehrere Zeitstempel erscheinen:

• Quellzeitstempel : Zeitpunkt, zu dem das Ereignis auf der Website beobachtet wurde (durch den Agent) oder von einem externen Dienst;
• Ingest-Zeitstempel : Zeitpunkt, zu dem Securantis das Ereignis empfangen und persistiert hat;
• Anzeigezeitstempel : lokale Transformation (z. B. im Browser), die eine andere Zeitzone oder ein anderes Format anwenden kann.

Häufige Ursachen für Abweichungen

• Lokale Uhr des Agent nicht synchronisiert (kein NTP): Der Agent kann ein Ereignis mit einer falschen lokalen Zeit versehen.
• Netzwerk-Latenz oder Warteschlangen: Ein großer Analysebericht kann einige Augenblicke benötigen, bis er ankommt und verarbeitet wird, bevor er sichtbar ist. E‑Mails werden der Versandwarteschlange hinzugefügt und können verzögert ausgeliefert werden.
• Webhooks und Wiederholungen: Externe Webhooks (z. B. Zahlungen) können erneut gesendet werden; der Dienst filtert Wiederholungen, aber der Stripe‑Zeitstempel bleibt mit dem ursprünglichen Ereignis verknüpft.

Wie Sie Zeitinformationen korrekt lesen

1. Prüfen Sie die Herkunft des Eintrags (Agent vs. externer Dienst). Die Herkunft ist in der Regel im Ereignisdetail angegeben.
2. Ziehen Sie den Quellzeitstempel für die Analyse der Chronologie auf der Website heran (z. B. bei einer Kompromittierung).
3. Verwenden Sie den Ingest‑Zeitstempel, um nachzuvollziehen, wann Securantis tatsächlich Kenntnis vom Ereignis erhielt (nützlich zur Korrelation mit automatisierten Maßnahmen wie einer Lizenzsperrung).
4. Wenn Sie mehrere Zeitstempel sehen, bedenken Sie, dass sie unterschiedliche Verarbeitungsschritte widerspiegeln und eine leichte Abweichung normal ist.

Vorsichtseinstellungen und Best Practices

• Zeit­synchronisation: Stellen Sie sicher, dass Ihre Server/Websites NTP oder einen verlässlichen Zeitdienst verwenden. Eine korrekte Systemuhr reduziert Fehlalarme.
• Alert‑Regeln: Bevorzugen Sie vernünftige Schwellenwerte (vermeiden Sie Benachrichtigungen bei der ersten unbestätigten Anomalie). Konfigurieren Sie präzise Empfänger für kritische Alerts.
• Überwachung der Warteschlangen: Wenn Sie viele Websites verwalten, überwachen Sie Lieferzeiten für Berichte und E‑Mails (häufige Verzögerungen deuten auf Überlastung oder Infrastrukturprobleme hin).

Häufige Fehler und schnelle Diagnosen

• Alert wurde verspätet empfangen: Prüfen Sie den Zustand des Agent, die Netzverbindung und die Cloud‑Verarbeitungsmetriken. Bestätigen Sie, ob der Agent das Ereignis tatsächlich gesendet hat (Agent‑Logs).
• Agent‑Zeitstempel passt nicht: Prüfen Sie die NTP/Serverzeitkonfiguration und die Zeitzone des Betriebssystems.
• Auftreten von Ereignis‑Duplikaten: Prüfen Sie, ob der Agent neu gestartet wurde und Daten erneut gesendet hat; kontrollieren Sie, ob externe Webhooks wiederholt wurden. Das System versucht Duplikate zu vermeiden, doch simultane Fälle können nahe beieinander liegende Einträge erzeugen.
• Unerwartete Lizenzänderung nach Zahlung: Sehen Sie das historische Ereignisprotokoll zur Abrechnung ein. Abonnement‑Status und Zahlungs‑Webhooks (Erfolg/Fehlschlag/Kündigung) sind übliche Auslöser. Eine manuelle Synchronisation ist bei Bedarf aus dem Kundenbereich möglich.

Schritt‑für‑Schritt‑Fehlerbehebung

1. Identifizieren Sie das betroffene Element (fehlender/verspäteter Alert, inkonsistenter Zeitstempel, gesperrte Lizenz).
2. Öffnen Sie die Details des Ereignisses/Alerts im Kundenbereich, um die Herkunft (Agent, Cloud, Drittanbieter) zu ermitteln.
3. Bei Agent‑Herkunft: prüfen Sie Zustand und Logs des Agent auf der Website, die Zeit­synchronisation und die Konnektivität.
4. Bei externer Herkunft (Zahlung): prüfen Sie die Benachrichtigungen des Dienstleisters (z. B. Stripe) und die Zuordnung in der Abrechnungshistorie.
5. Bei Sperrungen oder Erstellung von Lizenzen: prüfen Sie die Lizenzhistorie; dort sehen Sie den Kontext (Abonnement, Menge, Zeitpunkt der Synchronisation).
6. Falls nötig, lösen Sie im Kundenbereich eine manuelle Synchronisation der Lizenzen aus, um einen sofortigen Abgleich zu erzwingen.

Sicherheits‑ und Verhaltensregeln

• Quarantänen, Wiederherstellungen und Löschungen von Dateien erfordern stets eine menschliche Entscheidung. Securantis löscht oder stellt kritische Elemente nicht automatisch ohne ausdrückliche Bestätigung wieder her.
• Übermitteln Sie niemals Passwörter oder geheime Schlüssel per E‑Mail oder Chat. Für jeden Zugriff, der für eine kostenpflichtige Intervention erforderlich ist, verwenden wir den sicheren Kundenbereich nach Zahlung.

Wann Sie den Support kontaktieren sollten

Kontaktieren Sie den Securantis‑Support, wenn:

• Sie nach NTP‑Prüfung systematische Zeitstempelabweichungen feststellen;
• erwartete Ereignisse/Analysen trotz eines Online‑Agent nicht erscheinen;
• Lizenzen ohne ersichtliches Abrechnungsereignis gesperrt wurden;
• Sie Hilfe bei der Interpretation einer Folge korrelierter Alerts benötigen.

Informationen, die die Hilfe beschleunigen

• Identifikator der betroffenen Website/Lizenz;
• Zeitstempel (Quelle und Ingest) der Ereignisse oder Alerts;
• Screenshot des Alert‑Details;
• Zustand und Version des installierten Agent sowie die lokale Serverzeit.

Erwartetes Ergebnis nach Intervention

Nach Prüfung erhalten Sie:

• eine Erklärung der Chronologie (Herkunft und Zeitstempel);
• eine korrigierende Maßnahme (Agent‑Konfiguration, NTP‑Korrektur, Re‑Synchronisation der Lizenzen) oder Empfehlungen, falls eine manuelle Aktion erforderlich ist;
• Nachverfolgung bis zur Lösung oder der Hinweis auf eine kostenpflichtige Intervention, falls nötig.

Zusammenfassung

Analysen, Ereignisse und Alerts sind komplementäre Schichten: Analysen erzeugen Ereignisse, Ereignisse speisen Alerts. Zeitstempel entsprechen unterschiedlichen Verarbeitungsphasen (Quelle und Ingest) und leichte Abweichungen sind normal. Prüfen Sie die Zeit­synchronisation und die Konnektivität der Agent, bevor Sie ein Ticket eröffnen, um Zeit zu sparen. Der Support steht Ihnen zur Verfügung, wenn Sie eine tiefere Diagnose oder eine unterstützte Intervention benötigen.