UniFi: Syslog, SIEM und SNMP anbinden

Aus maxTechCorner
(Weitergeleitet von UniFi CEF)

Auf einen Blick

Gilt fürUniFi Network 9.3 bis 10.x mit UniFi Cloud Gateway; SIEM z. B. Wazuh, Graylog, Splunk, Microsoft Sentinel; SNMP-Monitoring z. B. Zabbix, PRTG
BereichIT-Security
Dauerca. 30–60 Minuten
RechteAdministrator in UniFi Network, Administrator des SIEM bzw. Monitoring-Systems
StandOktober 2026

UniFi an Syslog, SIEM und SNMP anbinden bedeutet, die Ereignisse des UniFi-Netzes – Firewall-Treffer, IDS/IPS-Alarme, Anmeldungen von Administratoren, Konfigurationsänderungen, ausgefallene Geräte – an ein zentrales System zu senden, dort lange aufzubewahren und mit anderen Quellen zu korrelieren. UniFi exportiert seine System-Logs im Common Event Format (CEF) per Syslog, liefert Verkehrsdaten per NetFlow/IPFIX und stellt Leistungswerte per SNMP bereit. Dieser Artikel zeigt alle drei Wege, die eingebauten Alarme und die Anbindung an Wazuh als Beispiel.

Logging in UniFi: Das Cloud Gateway sendet System-Logs der Kategorien Security, System, Monitoring, Internet und Power im CEF-Format per Syslog an ein SIEM wie Wazuh, Verkehrsdaten per NetFlow/IPFIX an einen Collector; Switches und Access Points liefern Messwerte per SNMP v3 an Zabbix oder PRTG; der Alarm Manager verschickt Push, E-Mail und Webhooks.

Welche Daten wohin?

Datenart Inhalt Weg Ziel
System-Logs Sicherheitsereignisse, Admin-Aktivität, Geräte, WLAN, Internet, PoE Syslog im CEF-Format SIEM, Log-Server
Traffic Flows einzelne Verbindungen mit Quelle, Ziel, Port, Richtlinie, Risiko Ansicht Insights › Flows, CSV, NetFlow/IPFIX Analyse, Netflow-Collector
Firewall-Treffer Treffer einzelner Richtlinien und Portweiterleitungen Option Syslog in der Richtlinie SIEM
Leistungswerte Interface-Zähler, Auslastung, Status SNMP v1/v2c/v3 (Abfrage) Zabbix, PRTG, Nagios
Alarme ausgewählte Ereignisse Push, E-Mail, Webhook Bereitschaft, Ticketsystem, Automatisierung

Log-Kategorien

Die Logs sind in UniFi Network über das Logs-Symbol in der Seitenleiste erreichbar und nach Schweregrad, Zeitraum, Kategorie, Typ und Ereignis filterbar.

Kategorie Typen Beispiele
Security Firewall, Honeypot, Intrusion Prevention Threat Detected and Blocked, Blocked by Firewall, Honeypot Triggered
System Admin Activity, Devices, Network, VPN, WiFi, Wired Admin Made Config Changes, Device Adopted, Device Offline
Monitoring Guest Hotspot, WiFi, Wired, Status Client Connected/Disconnected, WiFi Client Roaming
Internet Outage & Failover, Performance WAN Failover, High Latency Detected, Packet Loss Detected
Power PoE, Redundancy Insufficient PoE Output, AP Underpowered

Für ein SIEM sind Security und System Pflicht; Monitoring (Client-Verbindungen) erzeugt viel Volumen und ist vor allem für die Nachverfolgung von Geräten nützlich.

Schritt 1: Log-Export an das SIEM

  1. In UniFi Network Integrations › System Logging / SIEM öffnen (laut Ubiquiti Integration › System Logging / SIEM).
  2. Als Ziel SIEM Server wählen.
  3. Die Kategorien auswählen, z. B. Security, System, Internet.
  4. IP-Adresse und Port des SIEM bzw. Syslog-Servers eintragen, typischerweise UDP 514 oder ein eigener Port pro Quelle.
  5. Speichern und im SIEM prüfen, ob Meldungen ankommen.
  • Die Firewall muss den Verkehr vom Gateway zum SIEM erlauben. Liegt das SIEM an einem anderen Standort, läuft der Export über das VPN.
  • Zusätzlich können einzelne Firewall-Richtlinien und Portweiterleitungen ihre Treffer per Syslog melden (Option Syslog in der Richtlinie) – sinnvoll für Regeln zu kritischen Systemen und für Block-Regeln.

Das CEF-Format

Jede Meldung folgt dem Schema CEF:Version|Hersteller|Produkt|Version|Ereignis-ID|Name|Schweregrad|Erweiterungen. Beispiel für eine Admin-Anmeldung: 

CEF:0|Ubiquiti|UniFi Network|9.3.33|544|Admin Accessed UniFi Network|1|UNIFIcategory=System UNIFIsubCategory=Admin UNIFIhost=Office UDM Pro UNIFIaccessMethod=web UNIFIadmin=Craig src=105.5.138.59 msg=Craig accessed UniFi Network using the web. Source IP: 105.5.138.59
  • Neben Standardfeldern wie src, suser und msg nutzt UniFi eigene Schlüssel mit dem Präfix UNIFI, z. B. UNIFIcategory, UNIFIclientMac, UNIFIdeviceName, UNIFInetworkVlan.
  • Die Felder sind Schlüssel=Wert-Paare, getrennt durch Leerzeichen – Werte selbst enthalten aber ebenfalls Leerzeichen (z. B. Gerätenamen). Ein Decoder muss deshalb am nächsten Schlüssel trennen, nicht am Leerzeichen.

Schritt 2: Beispiel Wazuh

Wazuh nimmt Syslog direkt im Manager an. In der ossec.conf des Managers: 

<remote>
  <connection>syslog</connection>
  <port>514</port>
  <protocol>udp</protocol>
  <allowed-ips>10.10.1.1/32</allowed-ips>
  <local_ip>10.10.30.15</local_ip>
</remote>

allowed-ips ist die Absenderadresse des UniFi-Gateways. Danach den Wazuh-Manager neu starten und mit wazuh-logtest eine Beispielmeldung prüfen. Für die CEF-Meldungen von UniFi werden eigene Decoder und Regeln benötigt; Lösungen für die typischen Stolperstellen zeigen:

Sinnvolle Alarme im SIEM

Ereignis Warum
IPS hat eine Bedrohung blockiert (Risiko hoch/mittel) möglicher kompromittierter Client
Honeypot ausgelöst Scan oder Angreifer im internen Netz
Admin-Anmeldung von unbekannter IP oder außerhalb der Arbeitszeit Kontomissbrauch
Konfigurationsänderung durch Admin Nachvollziehbarkeit, Change-Management
Gerät offline, WAN-Failover Betriebsstörung

Schritt 3: Alarme direkt aus UniFi

Der Alarm Manager erzeugt aus Log-Ereignissen Benachrichtigungen per Push, E-Mail oder Webhook (GET oder POST). Webhooks lassen sich an Ticketsysteme, Chat-Kanäle oder Automatisierungen (z. B. n8n) weiterleiten. Für Bereitschaftsalarme ist das schneller eingerichtet als eine SIEM-Regel – ersetzt aber nicht die zentrale Aufbewahrung.

Schritt 4: Traffic Flows und NetFlow

  • Ansicht: Insights › Flows zeigt abgeschlossene Verbindungen mit Ports, erlaubt/blockiert, Risiko und angewendeten Richtlinien (IPS, Inhaltsfilter, NAT …), mit Filtern und gespeicherten Ansichten.
  • Voraussetzungen: UniFi Network 9.1 und UniFi OS 4.2.8 oder neuer, ein unterstütztes Gateway – nicht UDR, UDR7, UDM (alt), UCG Ultra, Express und UXG Lite – sowie eine interne SSD oder zusätzlicher Speicher.
  • Aufbewahrung: je nach Gerät und Speicher von etwa 10.000 Einträgen (UDM Pro, UCG Max, UCG Fiber ohne Zusatzspeicher) bis zu 10 Millionen (EFG). Für Nachweise über Wochen und Monate reicht das nicht – Export ist Pflicht.
  • Export: CSV aus der Ansicht oder NetFlow (IPFIX) unter Settings › CyberSecure › Traffic Logging an einen Collector (z. B. ntopng, Elastic, ein SIEM mit NetFlow-Eingang). Der Export der vollständigen Traffic-Logs per Syslog ist von Ubiquiti angekündigt.

Schritt 5: SNMP-Monitoring

  1. Settings › CyberSecure › Traffic Logging › Abschnitt SNMP aktivieren.
  2. SNMP v3 wählen: Benutzername und Passwort, Authentifizierung SHA, Verschlüsselung AES-128. v1/v2c nur, wenn das Monitoring kein v3 kann – dann die Community public unbedingt ändern.
  3. Optional pro Gerät Settings › SNMP-Standort und -Kontakt eintragen.
  4. Im Monitoring-System (Zabbix, PRTG, Nagios) die Geräte mit den v3-Zugangsdaten anlegen und die UI-MIB importieren, damit Werte lesbar benannt sind.
  • Zwischen Monitoring und Geräten muss UDP 161 offen sein.
  • USW Flex und Ultra unterstützen kein SNMP; SNMP-Traps gibt es derzeit nicht.

Aufbewahrung und Datenschutz

  • Aufbewahrungsfristen festlegen, z. B. 90 Tage für Verbindungsdaten und ein Jahr für Sicherheits- und Admin-Ereignisse – abhängig von Anforderungen aus NIS2, ISO 27001 oder Cyberversicherung.
  • Client-Logs enthalten Gerätenamen, MAC- und IP-Adressen und damit personenbeziehbare Daten. Zweck, Zugriffsrechte und Löschfristen im Verzeichnis der Verarbeitungstätigkeiten dokumentieren und mit dem Datenschutzbeauftragten abstimmen.

Hinweise

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=UniFi:_Syslog,_SIEM_und_SNMP_anbinden&oldid=4710“