Webclient-Login-Historie (IP-Adressen) nach Sicherheitsvorfall ohne Verbose-Logging finden?

[chrishi]

Hallo zusammen,
wir hatten einen Sicherheitsvorfall, bei dem sich Unbefugte Zugriff auf den Webclient eines Benutzerprofils verschafft und darüber unberechtigt telefoniert haben.
Ich muss nun rekonstruieren, von welchen IP-Adressen diese Logins erfolgten. Das Problem: Zum Zeitpunkt des Vorfalls war das Aktivitätsprotokoll nicht auf „Ausführlich“ (Verbose) gestellt, sondern lief auf Standard-Einstellungen.
Im Dashboard (v20) sehe ich zwar die aktuell aktiven Verbindungen, aber ich benötige die historischen Daten der letzten Tage.
Meine Fragen dazu:

1. Gibt es in der v20 (versteckte) System-Logs, die Webclient-Logins inklusive Quell-IP standardmäßig mitzeichnen, auch wenn das 3CX-Logging nicht auf "Verbose" stand?
2. Werden erfolgreiche Authentifizierungen am Webclient irgendwo in der Datenbank der 3CX dauerhaft mit der IP-Adresse hinterlegt?
3. Hat jemand Erfahrung damit, solche Login-Daten über das Support-Bundle nachträglich zu extrahieren, wenn nur das Standard-Logging aktiv war?

Es geht hier um die Beweissicherung nach einem Missbrauch der Anlage. Für jeden Tipp, in welcher Datei (evtl. via SSH/Shell) man fündig werden könnte, wäre ich sehr dankbar.
Vielen Dank im Voraus!

 

[mbehrens]

Gibt es in der v20 (versteckte) System-Logs, die Webclient-Logins inklusive Quell-IP standardmäßig mitzeichnen, auch wenn das 3CX-Logging nicht auf "Verbose" stand?

Evtl. findet sich noch etwas in historischen Backups oder unter /var/lib/3cxpbx/Instance1/Data/Logs

 

[chrishi]

Danke, leider war da nichts mehr zu machen die Logs waren schon überschrieben.

 

[Claas Beyersdorf]

Audit Log? Da sollten Logins verzeichnet werden.

 

[chrishi]

Auch die eines normalen Users?

 

[Claas Beyersdorf]

So weit ich weiß Logins auch von normalen Nutzern.
Nur halt keine Änderungen die abseits des Admin Bereichs gemacht werden.

 

[avraammich_3CX]

Hi,

1. Gibt es in der v20 (versteckte) System-Logs, die Webclient-Logins inklusive Quell-IP standardmäßig mitzeichnen, auch wenn das 3CX-Logging nicht auf "Verbose" stand?
2. Werden erfolgreiche Authentifizierungen am Webclient irgendwo in der Datenbank der 3CX dauerhaft mit der IP-Adresse hinterlegt?
3. Hat jemand Erfahrung damit, solche Login-Daten über das Support-Bundle nachträglich zu extrahieren, wenn nur das Standard-Logging aktiv war?

Generell kannst du Logins (erfolgreiche) im audit Log erkennen, NST, IP, Datum Uhrzeit.
3CX Management Console Log (Ausführlichen Modus/Log level) bekommen wir alle https Attempts von IPs

 

[chrishi]

du hast recht, vielen Dank da waren die public IP´s alle enthalten