Fake Log-Generator

Fake Logs werden häufig zum Testen von Log-Analyse-Tools (wie ELK Stack, Splunk oder Graylog), zum Trainieren von Security-Teams, für Schulungen und Tutorials sowie zum Entwickeln und Debuggen von Log-Parsing-Pipelines eingesetzt. Sie ermöglichen realistische Tests ohne echte Server-Daten zu verwenden.

Das Common Log Format (CLF) enthält die grundlegenden Felder: IP-Adresse, Identität, Benutzer, Zeitstempel, Request, Statuscode und Antwortgröße. Das Combined Log Format erweitert dies um den Referrer und den User-Agent-String. Das Combined-Format ist der de-facto-Standard für Apache-Webserver und bietet deutlich mehr Informationen für die Analyse.

Syslog ist ein standardisiertes Protokoll zum Senden und Empfangen von Log-Nachrichten in Netzwerken. RFC 5424 definiert das aktuelle Syslog-Nachrichtenformat mit strukturierten Feldern wie Priority, Version, Timestamp, Hostname, App-Name, Process-ID und Message-ID. Es wird von Unix/Linux-Systemen, Netzwerkgeräten und vielen Applikationen verwendet.

JSON-Logging bietet mehrere Vorteile: Die Daten sind maschinell leicht zu parsen, Felder haben klar definierte Schlüssel, verschachtelte Strukturen sind möglich und es gibt keine Probleme mit mehrzeiligen Log-Einträgen. Tools wie Elasticsearch, Loki oder CloudWatch können JSON-Logs direkt indexieren, ohne komplexe Parsing-Regeln (Grok-Patterns) zu benötigen.

Die gängigsten Log-Analyse-Tools sind: ELK Stack (Elasticsearch, Logstash, Kibana), Splunk für Enterprise-Umgebungen, Grafana + Loki als leichtgewichtige Alternative, Graylog als Open-Source-Lösung, sowie Kommandozeilen-Tools wie awk, grep, GoAccess und jq für schnelle Ad-hoc-Analysen.

HTTP-Statuscodes sind in fünf Klassen unterteilt: 1xx (Informational), 2xx (Erfolg – z.B. 200 OK), 3xx (Weiterleitung – z.B. 301 Moved Permanently, 304 Not Modified), 4xx (Client-Fehler – z.B. 403 Forbidden, 404 Not Found) und 5xx (Server-Fehler – z.B. 500 Internal Server Error, 503 Service Unavailable). In Server-Logs geben sie Auskunft über den Erfolg oder Misserfolg jeder Anfrage.

Das Combined Log Format hat folgende Struktur: %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\". Dabei ist %h die Client-IP, %l die Identität (meist „-"), %u der authentifizierte Benutzer, %t der Zeitstempel, %r die Request-Zeile, %>s der Statuscode, %b die Antwortgröße in Bytes, gefolgt von Referrer und User-Agent.

Log Rotation ist der Prozess des regelmäßigen Archivierens und Erneuerns von Log-Dateien. Ohne Rotation würden Log-Dateien unbegrenzt wachsen und den Speicherplatz füllen. Tools wie logrotate unter Linux komprimieren alte Logs automatisch, benennen sie um (z.B. access.log.1.gz) und löschen sie nach einer definierten Aufbewahrungsdauer. Typische Intervalle sind täglich oder wöchentlich mit 4–12 Wochen Aufbewahrung.

Der ELK Stack besteht aus drei Komponenten: Elasticsearch (Suchmaschine und Datenspeicher), Logstash (Daten-Pipeline zum Parsen und Transformieren) und Kibana (Visualisierung und Dashboards). Logs werden über Logstash oder Filebeat gesammelt, geparst und in Elasticsearch indexiert. In Kibana können dann Dashboards, Alerts und Suchanalysen erstellt werden. Die mit diesem Tool generierten Fake Logs eignen sich hervorragend zum Testen einer ELK-Installation.

Server-Logs enthalten personenbezogene Daten wie IP-Adressen, die laut DSGVO als personenbezogene Daten gelten. Betreiber müssen daher: Logs nur so lange aufbewahren wie nötig (empfohlen: 7–30 Tage), die Speicherung in der Datenschutzerklärung dokumentieren, den Zugang zu Logs beschränken und ggf. IP-Adressen anonymisieren (z.B. letztes Oktett auf 0 setzen). Unser Fake Log-Generator erzeugt rein zufällige Daten und ist daher vollständig DSGVO-konform.