Was sind Vorfälle?
Jedes Mal, wenn die SeenSecure-Firewall eine eingehende Anfrage blockiert — sei es aufgrund von SQL-Injection, XSS, LFI, Geoblocking, Blacklist, Rate Limiting, TOR oder einer anderen Regel — wird automatisch eine eindeutige Vorfall-ID generiert. Diese ID ist eine alphanumerische Kennung, mit der Sie den Blockierungsvorgang genau im Vorfallsprotokoll lokalisieren können.
📋 Daten, die jeder Vorfall enthält
- Vorfall-ID: Eindeutige Kennung der Blockierung.
- IP-Adresse: IP, von der die blockierte Anfrage stammt.
- Angriffsart: Blockierungskategorie (SQLi, XSS, LFI, Geo, Blacklist, usw.).
- Grund: Detaillierter Grund für die Blockierung (erkannte Nutzlast, ausgelöste Regel usw.).
- URI: Die vollständige URL, die blockiert wurde.
- User Agent: Der Browser oder HTTP-Client, der die Anfrage gestellt hat.
- Datum: Genaues Datum und Uhrzeit der Blockierung.
🔍 Vorfälle nach ID suchen
Die Vorfallssuche ermöglicht es Ihnen, eine bestimmte Blockierung durch Eingabe ihrer eindeutigen ID zu lokalisieren. Dies ist besonders nützlich, wenn ein Benutzer meldet, blockiert worden zu sein, und die ID angibt, die er auf dem Blockierungsbildschirm gesehen hat.
📖 So verwenden Sie die Suche
- Kopieren Sie die vom Benutzer bereitgestellte Vorfall-ID (z.B.
98C0B381846F). - Fügen Sie die ID in das Suchfeld ein und drücken Sie die Eingabetaste oder klicken Sie auf die Suchschaltfläche.
- Wenn die ID existiert, werden alle Vorfallsdetails angezeigt. Falls nicht, erscheint eine Meldung, dass sie nicht gefunden wurde.
🗂️ Vorfallskategorien & Filter
Nicht jede Blockierung ist gleich, und nicht jeder Administrator möchte denselben Detailgrad sehen. Deshalb gruppiert SeenSecure jede Blockierung in eine von fünf Kategorien und lässt Sie entscheiden, welche einen vollständigen Vorfall erzeugen sollen (mit IP, Benutzer, Grund und Datum in der Tabelle gespeichert) und welche nur im allgemeinen Datenverkehrsprotokoll verbleiben sollen, ohne Platz in Ihrer Vorfallsliste zu beanspruchen.
🔑 Login (Brute-Force)
Wiederholte fehlgeschlagene Passwortversuche gegen denselben Benutzer. Enthält den Namen des angegriffenen Kontos, nützlich um den Administrator zu warnen, welche Konten aktiv angegriffen werden.
🚦 Rate-Limiting
Blockierungen aufgrund zu vieler Anfragen in kurzer Zeit, sei es von einem authentifizierten Benutzer oder einer anonymen IP. Kennzeichnet Clients oder Bots, die Ihren Server mit zu vielen Anfragen überlasten.
🌊 Flood-Ereignisse
Wird protokolliert, wenn Ihre Website den Widerstandsmodus gegen massiven Datenverkehr betritt oder verlässt — ein Ereignis pro Übergang, niemals eines pro einzelner Anfrage, damit die Tabelle bei einem echten Verkehrsspitzenwert nicht überlastet wird.
🚨 Eskalation / Markierte IP
Wiederholungstäter-IPs, die in mehreren Wellen angreifen und für Stunden blockiert werden, oder die bereits als blockiert markiert waren. Diese Kategorie signalisiert am besten einen hartnäckigen Angreifer statt eines isolierten Versuchs.
🛡️ Firewall (übrige Schutzmaßnahmen)
Der "Sammeltopf": Angriffe, die durch die übrigen Firewall-Regeln blockiert werden, wie Anti-Injection (SQLi/XSS), Sicherheitsheader, Geo-Blocking, TOR-Ausgangsknoten, IPs auf der Blacklist oder erkannte Bots. Meist die Kategorie mit dem höchsten Volumen.
🔎 Schnellfilter in der Tabelle
Neben der Suche nach exakter ID enthält die Vorfallstabelle Schnellfilter-Schaltflächen, damit Sie nicht alle 50 Datensätze einzeln durchsehen müssen: Alle (ungefiltert), Benutzer (zeigt nur Vorfälle mit zugeordnetem Benutzernamen, ideal um Angriffe gegen bestimmte Konten zu erkennen), Login (nur Brute-Force-Blockierungen) und Ereignisse (nur Flood-Modus-Übergänge). Sie können auch einen Benutzernamen in das Suchfeld der Tabelle eingeben, um nur die Vorfälle dieses Kontos zu sehen — sehr nützlich, wenn ein Benutzer wiederholte Anmeldeprobleme meldet und Sie dessen vollständigen Verlauf ohne Rauschen von anderen Konten überprüfen möchten.
📊 Vorfallsstatistiken
Das Statistikpanel gibt Ihnen einen schnellen Überblick über den Sicherheitsstatus Ihrer Website. Es wird in Echtzeit aktualisiert und zeigt die gesammelten Daten seit der Installation von SeenSecure an.
Vorfälle gesamt
Was es bedeutet: Die Gesamtzahl der blockierten Anfragen seit Aktivierung der Firewall. Eine hohe Zahl weist nicht unbedingt auf ein Problem hin — sie kann bedeuten, dass die Firewall ihre Arbeit gut macht. Ein plötzlicher Anstieg kann jedoch auf einen laufenden Angriff hindeuten.
Heutige Vorfälle
Was es bedeutet: Blockierungen der letzten 24 Stunden. Nützlich, um aktuelle Spitzen bösartiger Aktivitäten zu erkennen. Wenn Sie eine ungewöhnlich hohe Zahl sehen, überprüfen Sie die Vorfallstabelle, um das Muster zu identifizieren.
Einzigartige blockierte IPs
Was es bedeutet: Anzahl der verschiedenen IP-Adressen, die mindestens einmal blockiert wurden. Wenn diese Zahl viel niedriger ist als die Gesamtzahl der Vorfälle, bedeutet dies, dass es wiederholte Angreifer-IPs gibt, die wiederholt angreifen.
📋 Tabelle der letzten Vorfälle
Die Tabelle zeigt die letzten 50 aufgezeichneten Vorfälle, sortiert vom neuesten zum ältesten. Jede Zeile stellt eine Blockierung mit allen verfügbaren Informationen dar, damit Sie Angriffsmuster analysieren können.
📌 Tabellenspalten
- ID: Eindeutige Vorfallskennung. Klicken Sie für vollständige Details.
- IP: IP-Adresse des blockierten Angreifers oder Anforderers.
- Typ: Angriffskategorie (SQLi, XSS, LFI, RFI, Geo, Rate Limit usw.).
- Grund: Detaillierte Beschreibung, warum die Anfrage blockiert wurde.
- URI: Die genaue URL, die blockiert wurde.
- User Agent: HTTP-Client-Identifikation.
- Datum: Genaue Zeit der Blockierung.
🔎 Angriffsmuster erkennen
Gleiche IP, gleicher Typ
Eine IP, die mehrere Vorfälle desselben Typs (z.B. SQLi) generiert, deutet auf einen gezielten automatisierten Angriff hin. Erwägen Sie, diese IP dauerhaft zu blockieren.
Gleiche URI, mehrere IPs
Viele verschiedene IPs, die dieselbe URL angreifen, deuten auf einen verteilten Angriff (DDoS) oder Massenscan hin. Aktivieren Sie Rate Limiting, falls noch nicht geschehen.
Mehrere Typen, gleiche IP
Ein Angreifer testet verschiedene Vektoren (SQLi, XSS, LFI) gegen Ihre Website. Zeichen eines erfahrenen Angreifers. Blockieren Sie die IP und überwachen Sie.
🗑️ Alle Vorfälle löschen
Die Schaltfläche 🗑️ Vaciar Lista (im Plugin aktuell nur auf Spanisch verfügbar) entfernt alle Vorfallsdatensätze aus der Datenbank. Dieser Vorgang ist sicher: Er löscht nur historische Aufzeichnungen und beeinträchtigt weder den Firewall-Betrieb noch aktive Regeln.
Wann sollten Sie Vorfälle löschen?
- Vor einem Audit: Um mit einer sauberen Liste zu beginnen und neue Vorfälle genau zu messen.
- Nach einem Massenangriff: Nach der Analyse und Eindämmung hilft das Löschen, neue Bedrohungen ohne historisches Rauschen zu erkennen.
- Regelmäßig: Einige Administratoren ziehen es vor, den Verlauf monatlich zu bereinigen. Die Firewall funktioniert normal weiter.
🧹 Automatische Bereinigung vs. manuelles Löschen
Neben der Schaltfläche "Vaciar Lista" (spanisch für "Liste leeren"; die alles auf einmal löscht) bereinigt SeenSecure regelmäßig die ältesten Vorfälle, damit die Tabelle nicht unbegrenzt wächst oder Ihr Admin-Panel verlangsamt. Daneben finden Sie die Schaltfläche "Podar >30 días" ("Über 30 Tage bereinigen"), die nur Datensätze löscht, die älter als dieses Aufbewahrungsfenster sind, und aktuelle unangetastet lässt — anders als "Vaciar Lista", das unabhängig vom Datum absolut alles entfernt.