Was verrät ein Protokoll dem geschulten Auge?

Jede Aktion in einem System hinterlässt eine Spur. Ein Wachprotokoll wirkt auf den ersten Blick wie eine lange Liste harmloser Routinevorgänge – doch echte Vorfälle verstecken sich meist als eine einzelne, unauffällige Zeile darin:

1. Zeitliche Auffälligkeiten: Zugriffe außerhalb der üblichen Arbeitszeiten eines Kontos.
2. Unmögliche Wege: Zwei Anmeldungen desselben Kontos von weit entfernten Orten in zu kurzer Zeit.
3. Muster nach Fehlversuchen: Viele gescheiterte Anmeldungen, gefolgt von einem plötzlichen Erfolg.
4. Unbegründete Rechteausweitung: Ein einfaches Konto führt plötzlich Befehle aus, für die es nie freigeschaltet wurde.
5. Lücken in der Zählung: Fortlaufende Protokoll-Nummern, bei denen Einträge fehlen – ein Hinweis auf nachträgliche Löschung.