imported>TechCorner-Redaktion: Neuer Artikel: Log-Kategorien, CEF-Export, Wazuh, Alarm Manager, Traffic Flows/NetFlow, SNMP v3

2026-10-16T00:00:00Z

Neuer Artikel: Log-Kategorien, CEF-Export, Wazuh, Alarm Manager, Traffic Flows/NetFlow, SNMP v3

Neue Seite

{{Steckbrief
| gilt_fuer = UniFi Network 9.3 bis 10.x mit UniFi Cloud Gateway; SIEM z. B. Wazuh, Graylog, Splunk, Microsoft Sentinel; SNMP-Monitoring z. B. Zabbix, PRTG
| bereich = IT-Security
| dauer = ca. 30–60 Minuten
| rechte = Administrator in UniFi Network, Administrator des SIEM bzw. Monitoring-Systems
| stand = Oktober 2026
}}
'''UniFi an Syslog, SIEM und SNMP anbinden''' bedeutet, die Ereignisse des UniFi-Netzes – Firewall-Treffer, IDS/IPS-Alarme, Anmeldungen von Administratoren, Konfigurationsänderungen, ausgefallene Geräte – an ein zentrales System zu senden, dort lange aufzubewahren und mit anderen Quellen zu korrelieren. UniFi exportiert seine System-Logs im '''Common Event Format (CEF)''' per Syslog, liefert Verkehrsdaten per '''NetFlow/IPFIX''' und stellt Leistungswerte per '''SNMP''' bereit. Dieser Artikel zeigt alle drei Wege, die eingebauten Alarme und die Anbindung an Wazuh als Beispiel.

[[Datei:UniFi-Syslog-SIEM.png|thumb|center|750px|Logging in UniFi: Das Cloud Gateway sendet System-Logs der Kategorien Security, System, Monitoring, Internet und Power im CEF-Format per Syslog an ein SIEM wie Wazuh, Verkehrsdaten per NetFlow/IPFIX an einen Collector; Switches und Access Points liefern Messwerte per SNMP v3 an Zabbix oder PRTG; der Alarm Manager verschickt Push, E-Mail und Webhooks.]]

== Welche Daten wohin? ==
{| class="wikitable"
! Datenart !! Inhalt !! Weg !! Ziel
|-
| '''System-Logs''' || Sicherheitsereignisse, Admin-Aktivität, Geräte, WLAN, Internet, PoE || Syslog im CEF-Format || SIEM, Log-Server
|-
| '''Traffic Flows''' || einzelne Verbindungen mit Quelle, Ziel, Port, Richtlinie, Risiko || Ansicht ''Insights › Flows'', CSV, NetFlow/IPFIX || Analyse, Netflow-Collector
|-
| '''Firewall-Treffer''' || Treffer einzelner Richtlinien und Portweiterleitungen || Option ''Syslog'' in der Richtlinie || SIEM
|-
| '''Leistungswerte''' || Interface-Zähler, Auslastung, Status || SNMP v1/v2c/v3 (Abfrage) || Zabbix, PRTG, Nagios
|-
| '''Alarme''' || ausgewählte Ereignisse || Push, E-Mail, Webhook || Bereitschaft, Ticketsystem, Automatisierung
|}

== Log-Kategorien ==
Die Logs sind in UniFi Network über das '''Logs'''-Symbol in der Seitenleiste erreichbar und nach Schweregrad, Zeitraum, Kategorie, Typ und Ereignis filterbar.
{| class="wikitable"
! Kategorie !! Typen !! Beispiele
|-
| '''Security''' || Firewall, Honeypot, Intrusion Prevention || Threat Detected and Blocked, Blocked by Firewall, Honeypot Triggered
|-
| '''System''' || Admin Activity, Devices, Network, VPN, WiFi, Wired || Admin Made Config Changes, Device Adopted, Device Offline
|-
| '''Monitoring''' || Guest Hotspot, WiFi, Wired, Status || Client Connected/Disconnected, WiFi Client Roaming
|-
| '''Internet''' || Outage & Failover, Performance || WAN Failover, High Latency Detected, Packet Loss Detected
|-
| '''Power''' || PoE, Redundancy || Insufficient PoE Output, AP Underpowered
|}
Für ein SIEM sind '''Security''' und '''System''' Pflicht; '''Monitoring''' (Client-Verbindungen) erzeugt viel Volumen und ist vor allem für die Nachverfolgung von Geräten nützlich.

== Schritt 1: Log-Export an das SIEM ==
# In UniFi Network ''Integrations'' › '''System Logging / SIEM''' öffnen (laut Ubiquiti ''Integration › System Logging / SIEM'').
# Als Ziel '''SIEM Server''' wählen.
# Die Kategorien auswählen, z. B. Security, System, Internet.
# '''IP-Adresse und Port''' des SIEM bzw. Syslog-Servers eintragen, typischerweise UDP 514 oder ein eigener Port pro Quelle.
# Speichern und im SIEM prüfen, ob Meldungen ankommen.
* Die Firewall muss den Verkehr vom Gateway zum SIEM erlauben. Liegt das SIEM an einem anderen Standort, läuft der Export über das VPN.
* Zusätzlich können einzelne '''Firewall-Richtlinien''' und '''Portweiterleitungen''' ihre Treffer per Syslog melden (Option ''Syslog'' in der Richtlinie) – sinnvoll für Regeln zu kritischen Systemen und für Block-Regeln.

=== Das CEF-Format ===
Jede Meldung folgt dem Schema <code>CEF:Version|Hersteller|Produkt|Version|Ereignis-ID|Name|Schweregrad|Erweiterungen</code>. Beispiel für eine Admin-Anmeldung:
<syntaxhighlight lang="text">
CEF:0|Ubiquiti|UniFi Network|9.3.33|544|Admin Accessed UniFi Network|1|UNIFIcategory=System UNIFIsubCategory=Admin UNIFIhost=Office UDM Pro UNIFIaccessMethod=web UNIFIadmin=Craig src=105.5.138.59 msg=Craig accessed UniFi Network using the web. Source IP: 105.5.138.59
</syntaxhighlight>
* Neben Standardfeldern wie <code>src</code>, <code>suser</code> und <code>msg</code> nutzt UniFi eigene Schlüssel mit dem Präfix <code>UNIFI</code>, z. B. <code>UNIFIcategory</code>, <code>UNIFIclientMac</code>, <code>UNIFIdeviceName</code>, <code>UNIFInetworkVlan</code>.
* Die Felder sind '''Schlüssel=Wert'''-Paare, getrennt durch Leerzeichen – Werte selbst enthalten aber ebenfalls Leerzeichen (z. B. Gerätenamen). Ein Decoder muss deshalb am nächsten Schlüssel trennen, nicht am Leerzeichen.

== Schritt 2: Beispiel Wazuh ==
Wazuh nimmt Syslog direkt im Manager an. In der <code>ossec.conf</code> des Managers:
<syntaxhighlight lang="xml">
<remote>
<connection>syslog</connection>
<port>514</port>
<protocol>udp</protocol>
<allowed-ips>10.10.1.1/32</allowed-ips>
<local_ip>10.10.30.15</local_ip>
</remote>
</syntaxhighlight>
<code>allowed-ips</code> ist die Absenderadresse des UniFi-Gateways. Danach den Wazuh-Manager neu starten und mit <code>wazuh-logtest</code> eine Beispielmeldung prüfen. Für die CEF-Meldungen von UniFi werden eigene Decoder und Regeln benötigt; Lösungen für die typischen Stolperstellen zeigen:
* [[UniFi UDM Pro in Wazuh 4.12.0 integrieren: Logs sauber ablegen, Decoder stabil bauen, Regeln zuverlässig matchen]]
* [[Wazuh Decoder für UniFi CEF-Logs: Feld-Splitting, Formatabweichungen und Decoder-Konflikte sauber lösen]]
* [[Wazuh-Regeln für UniFi CEF-Logs: Warum Decoder funktionieren, aber Child Rules nicht auslösen]]
* allgemein: [[Syslog-Daten zuverlässig in Wazuh integrieren: Formate, Architektur und Best Practices]]

=== Sinnvolle Alarme im SIEM ===
{| class="wikitable"
! Ereignis !! Warum
|-
| IPS hat eine Bedrohung blockiert (Risiko hoch/mittel) || möglicher kompromittierter Client
|-
| Honeypot ausgelöst || Scan oder Angreifer im internen Netz
|-
| Admin-Anmeldung von unbekannter IP oder außerhalb der Arbeitszeit || Kontomissbrauch
|-
| Konfigurationsänderung durch Admin || Nachvollziehbarkeit, Change-Management
|-
| Gerät offline, WAN-Failover || Betriebsstörung
|}

== Schritt 3: Alarme direkt aus UniFi ==
Der '''Alarm Manager''' erzeugt aus Log-Ereignissen Benachrichtigungen per Push, E-Mail oder '''Webhook''' (GET oder POST). Webhooks lassen sich an Ticketsysteme, Chat-Kanäle oder Automatisierungen (z. B. n8n) weiterleiten. Für Bereitschaftsalarme ist das schneller eingerichtet als eine SIEM-Regel – ersetzt aber nicht die zentrale Aufbewahrung.

== Schritt 4: Traffic Flows und NetFlow ==
* '''Ansicht:''' ''Insights › Flows'' zeigt abgeschlossene Verbindungen mit Ports, erlaubt/blockiert, Risiko und angewendeten Richtlinien (IPS, Inhaltsfilter, NAT …), mit Filtern und gespeicherten Ansichten.
* '''Voraussetzungen:''' UniFi Network 9.1 und UniFi OS 4.2.8 oder neuer, ein unterstütztes Gateway – '''nicht''' UDR, UDR7, UDM (alt), UCG Ultra, Express und UXG Lite – sowie eine interne SSD oder zusätzlicher Speicher.
* '''Aufbewahrung:''' je nach Gerät und Speicher von etwa 10.000 Einträgen (UDM Pro, UCG Max, UCG Fiber ohne Zusatzspeicher) bis zu 10 Millionen (EFG). Für Nachweise über Wochen und Monate reicht das nicht – Export ist Pflicht.
* '''Export:''' CSV aus der Ansicht oder '''NetFlow (IPFIX)''' unter ''Settings › CyberSecure › Traffic Logging'' an einen Collector (z. B. ntopng, Elastic, ein SIEM mit NetFlow-Eingang). Der Export der vollständigen Traffic-Logs per Syslog ist von Ubiquiti angekündigt.

== Schritt 5: SNMP-Monitoring ==
# ''Settings › CyberSecure › Traffic Logging'' › Abschnitt '''SNMP''' aktivieren.
# '''SNMP v3''' wählen: Benutzername und Passwort, Authentifizierung SHA, Verschlüsselung AES-128. v1/v2c nur, wenn das Monitoring kein v3 kann – dann die Community ''public'' unbedingt ändern.
# Optional pro Gerät ''Settings'' › SNMP-Standort und -Kontakt eintragen.
# Im Monitoring-System (Zabbix, PRTG, Nagios) die Geräte mit den v3-Zugangsdaten anlegen und die '''UI-MIB''' importieren, damit Werte lesbar benannt sind.
* Zwischen Monitoring und Geräten muss UDP 161 offen sein.
* USW Flex und Ultra unterstützen kein SNMP; SNMP-Traps gibt es derzeit nicht.

== Aufbewahrung und Datenschutz ==
* '''Aufbewahrungsfristen''' festlegen, z. B. 90 Tage für Verbindungsdaten und ein Jahr für Sicherheits- und Admin-Ereignisse – abhängig von Anforderungen aus NIS2, ISO 27001 oder Cyberversicherung.
* Client-Logs enthalten Gerätenamen, MAC- und IP-Adressen und damit personenbeziehbare Daten. Zweck, Zugriffsrechte und Löschfristen im Verzeichnis der Verarbeitungstätigkeiten dokumentieren und mit dem Datenschutzbeauftragten abstimmen.

== Hinweise ==
* '''Zeit:''' Gateway und SIEM brauchen eine korrekte Uhrzeit (NTP) – sonst lassen sich Ereignisse nicht korrelieren.
* '''Volumen:''' Kategorie ''Monitoring'' und NetFlow erzeugen viele Daten; Speicherbedarf des SIEM vorab abschätzen.
* '''Mehrere Standorte:''' Logs aller Gateways an ein zentrales SIEM senden und je Standort unterscheidbar ablegen, siehe [[Wazuh-Mandantentrennung für Syslog: Relays, Agent-Labels und getrennte Indizes]].
* Bei Aufbau, Regelpflege und Betrieb Ihres SIEM unterstützt Sie das [https://www.max-it.de/it-services/managed-siem/ Managed SIEM von m.a.x. it].

== Siehe auch ==
* [[Ubiquiti UniFi]] – Überblick und alle Artikel der Reihe
* [[UniFi: IDS/IPS und CyberSecure einrichten]]
* [[UniFi: Zone-Based Firewall konfigurieren]]
* [[SIEM]]
* [[SNMP]]
* [[NetFlow]]

== Links und Quellen ==
* [https://help.ui.com/hc/en-us/articles/33349041044119-UniFi-System-Logs-SIEM-Integration Ubiquiti Help Center: UniFi System Logs & SIEM Integration]
* [https://www.max-it.de/it-services/managed-siem/ Managed SIEM von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]
[[Kategorie:IT-Security]]

UniFi: Syslog, SIEM und SNMP anbinden - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Log-Kategorien, CEF-Export, Wazuh, Alarm Manager, Traffic Flows/NetFlow, SNMP v3