Alarme

Wann NODE64 sich meldet – per E-Mail, Webhook oder Glocke.

Ein Dashboard hilft nur, wenn man hineinschaut. Alarme drehen das um: NODE64 meldet sich, wenn etwas passiert.

Regeln #

Eine Regel besteht aus Auslöser, Schwelle und Kanälen.

Es gibt zwei Sorten. Ereignisgetriebene Auslöser greifen in dem Moment, in dem etwas passiert. Zustandsgetriebene prüfen alle fünf Minuten, ob ein Messwert eine Grenze überschreitet – und die meisten von ihnen erst, wenn er sie eine Mindestdauer lang überschritten hat, damit ein einzelner Ausschlag nichts auslöst.

Auslöser	Wann er greift	Vorgabe
Auffälligkeit erkannt (Einbruch, Verschlüsselung)	Veränderte Ankerdatei, Hintertür, neue Gegenstelle eines Dienstes, Anmeldung aus fremder Herkunft — alles, was auf einen laufenden Vorfall hindeutet	ab „hoch"
Neue Schwachstelle (CVE)	Sobald ein Befund ab der gewählten Einstufung entsteht	ab „hoch"
Kritischer Check durchgefallen	Wenn eine Härtungs- oder Best-Practice-Prüfung anschlägt	ab „hoch"
Gerät meldet sich nicht mehr	Wenn ein Gerät deutlich über sein Intervall hinaus schweigt	–
Datenträger läuft voll	Wenn ein Einhängepunkt so voll ist	85 %
Inodes gehen aus	Wenn die Inodes eines Einhängepunkts knapp werden	85 %
Arbeitsspeicher knapp	Belegter Arbeitsspeicher über der Grenze	90 %
Auslagerung stark genutzt	Belegter Swap über der Grenze	50 %
Dauerhafte Prozessorlast	CPU-Auslastung über der Grenze	90 %
Systemlast je Kern zu hoch	Last je Kern – 200 % heißt doppelt überbucht	200 %
Temperatur zu hoch	Gehäuse oder ein Laufwerk zu warm	70 °C
Ungewöhnliches Datenvolumen	Durchsatz einer Schnittstelle gegenüber ihrem eigenen Wochenmittel	400 %
Laufwerk meldet Probleme	Ein Laufwerk meldet sich selbst als angeschlagen	–
Verbund nicht mehr gesund	Ein ZFS-, btrfs- oder RAID-Verbund ist beeinträchtigt	–
Zertifikat läuft ab	Restlaufzeit unter der Grenze	21 Tage
Agent ist veraltet	Auf einem Gerät läuft eine alte Agent-Fassung	–
Container-Image hinkt hinterher	Der Tag ist in der Registry weitergezogen	30 Tage
Container nahe seiner Speichergrenze	Ein Container nutzt fast so viel Arbeitsspeicher, wie ihm zugeteilt ist. Was darüber liegt, schiesst der Kernel ab	90 %
Container wird gedrosselt	Ein Container bekommt weniger Rechenzeit, als er verlangt — er läuft, aber langsam, und das ist von aussen kaum zu sehen	25 % der Zeit
Container wurde abgeschossen (OOM)	Der Kernel hat einen Container wegen Speichermangels beendet. Kein Schwellwert: Es ist passiert oder nicht	–

Der Betreff: nur dieser eine #

Sieben Auslöser können mehrere Dinge auf demselben Gerät betreffen – Speicher voll, Inodes voll, Temperatur, Traffic-Spitze und die drei Container-Auslöser. Bei ihnen gibt es das Feld Betreff: Bleibt es leer, gilt die Regel für alle; steht dort /var, nvme0n1, eth0 oder ein Containername, gilt sie nur dafür.

Beim Temperatur-Auslöser meint system den Gehäuse- oder Prozessorfühler, jeder andere Wert ein Laufwerk.

Am schnellsten geht es über den Reiter Puls eines Geräts: Neben jedem Füllstandsbalken, jedem Temperaturwert und jeder Schnittstelle steht Alarm einrichten – das öffnet dieses Formular mit bereits ausgefülltem Betreff.

Regeln gelten global, für eine Gruppe oder für ein einzelnes Gerät. Gibt es mehrere, gewinnt die speziellste: Gerät vor Gruppe vor global. So kannst du für den Produktivserver strenger sein als für den Testrechner.

Beim ersten Öffnen des Bereichs legt NODE64 eine sinnvolle Standardregel an – neue Befunde ab „hoch" per E-Mail.

Kanäle #

E-Mail an die Mitglieder deines Kontos und an zusätzliche Empfänger, die du einträgst. Zusätzliche Adressen müssen bestätigt werden – sonst könnte jemand fremde Adressen zumüllen.

Webhook: ein HTTP-POST an deine eigene URL, mit dem Befund als JSON. Damit hängst du NODE64 an Matrix, Slack, Gotify, eine eigene Automatisierung oder was auch immer.

{
  "event": "finding.new",
  "device": "mein-server",
  "severity": "high",
  "title": "SSH erlaubt Passwort-Anmeldung",
  "url": "https://app.node64.de/security/123"
}

Die Glocke in der Kopfzeile zeigt alles, was aufgelaufen ist – auch ohne E-Mail.

Webhooks nur über HTTPS und nur an öffentliche Adressen. Interne Bereiche (127.0.0.1, 192.168.x.x, Cloud-Metadaten) werden abgelehnt, und der Name wird nach der DNS-Auflösung erneut geprüft. Sonst wäre der Webhook ein bequemer Weg, unseren Server in dein internes Netz zu schicken.

Testen #

Neben jeder Regel steht ein Testalarm. Er läuft durch denselben Weg wie ein echter Alarm – Glocke, E-Mail, Webhook. Kein Sonderpfad, keine Attrappe: Wenn der Test ankommt, kommt auch der Ernstfall an. Und wenn ein Empfänger abgelehnt wird, siehst du das am Ergebnis.

Ruhe bewahren #

Alarme sind nur so nützlich wie ihre Trefferquote. Zwei Hebel dagegen, dass sie zu Rauschen werden:

Schwelle hochsetzen – nicht jeder niedrige Befund muss nachts klingeln.
Befunde vertagen oder akzeptieren – wer bewusst entschieden hat, wird nicht mehr erinnert. Siehe Befunde verstehen.