• F5 behob am 6. September eine Beeinträchtigung beim Distributed Cloud Global Log Receiver, von der seit dem Vortag ein Kunde betroffen war
  • Der Kundenverkehr blieb unbeeinträchtigt, und die Dienste der Distributed Cloud Console blieben betriebsbereit; F5 teilte jedoch nicht mit, ob betroffene Protokolldaten verspätet eintrafen, verloren gingen oder später wiederhergestellt wurden

Der Sachverhalt

F5 behob am 6. September um 07:54 UTC einen Vorfall, der den Distributed Cloud Global Log Receiver beeinträchtigte. Das Unternehmen war seit dem 5. September Meldungen über eine Beeinträchtigung des Dienstes nachgegangen.

F5 erklärte, die Auswirkungen seien auf einen Kunden begrenzt gewesen, den das Unternehmen direkt kontaktierte. F5 erklärte außerdem, der Kundenverkehr sei nicht beeinträchtigt gewesen und die Dienste der Distributed Cloud Console seien betriebsbereit geblieben. Der Global Log Receiver wird zum Empfang von Protokolldaten verwendet; das gemeldete Problem betraf daher die Übermittlung von Protokolldaten und nicht den zugrunde liegenden Anwendungsverkehr.

Ein Statusdienst eines Drittanbieters verzeichnete zwischen der Erkennung und der Behebung etwa 12 Stunden und 50 Minuten. Dieser Zeitraum bezeichnet das Überwachungsfenster des Vorfalls und bedeutet nicht, dass der Kundenverkehr während dieser gesamten Zeit nicht verfügbar war.

Die Einschätzung

Für den betroffenen Kunden bestand das Problem nicht darin, den Anwendungsverkehr über F5 zu leiten. Betroffen war vielmehr der Empfang der Protokolldaten, mit denen sich nachvollziehen und untersuchen lässt, was rund um diesen Verkehr geschah. Anwendungen konnten verfügbar bleiben, während die von Sicherheits- und Betriebsteams genutzte Informationsgrundlage beeinträchtigt war.

Wiederherstellung bedeutet daher mehr, als den Global Log Receiver wieder in Betrieb zu nehmen. Der Kunde muss außerdem wissen, was mit den während des Vorfalls erzeugten Protokolldaten geschah: ob sie verspätet eintrafen, verworfen wurden oder nach Wiederherstellung des Dienstes verfügbar wurden. Die Statusmeldung von F5 enthält diese Angaben nicht und belegt daher nicht, dass Protokolldaten dauerhaft verloren gingen.

Für BTW-Leserinnen und -Leser gilt: Wer nur darauf geschaut hätte, ob der Anwendungsverkehr weiterlief, hätte diesen Vorfall übersehen. Teams, die den Dienst nutzen, müssen die Protokollübermittlung gesondert überwachen, wenn diese Datensätze Teil ihrer Sicherheitsuntersuchungen oder betrieblichen Prüfungen sind.

Worauf zu achten ist

Zu beobachten ist, ob F5 erläutert, ob die während des Vorfalls erzeugten Protokolldaten verspätet zugestellt oder verworfen wurden oder nach der Wiederherstellung des Dienstes wieder verfügbar waren, und ob das Unternehmen die Grundursache nennt. Eine erneute Beeinträchtigung des Global Log Receiver würde zudem Aufschluss darüber geben, ob es sich um einen isolierten Vorfall bei einem Kunden oder ein wiederkehrendes Dienstproblem handelte.