Audit-Log & Rewind

Jedes Plugin kann ein Log schreiben. Das Problem an einem Log ist, dass genau die Leute, die es am ehesten bearbeiten können, diejenigen sind, gegen die du ermitteln würdest.

Argus hängt jede erfasste Aktion an eine Hashkette: Jeder Eintrag speichert den SHA-256-Hash des vorherigen. Änderst du irgendwo eine Zeile, passt ab da kein Hash mehr.

Die Kette prüfen

/argus verify

Argus prüft eine Stichprobe von bis zu 5.000 Einträgen und meldet eines von zwei Dingen:

• „Audit chain intact across the sampled entries." — nichts wurde bearbeitet.
• „Tampering detected! Chain breaks at entry #N" — bei Eintrag N hört die Datei auf, in sich stimmig zu sein.

Diese zweite Meldung ist das eigentliche Produkt. Sie sagt dir nicht, was geändert wurde — das Original ist weg — aber sie sagt dir, dass jemand mit Dateizugriff eingegriffen hat, und ungefähr wann.

Was im Log landet

Jede Aktion, die Argus bewertet — plus Kontext, den es nicht bewertet:

Auch ausgenommene Mitglieder werden protokolliert. argus.exempt unterdrückt die Bewertung, nicht die Aufzeichnung — eine Lücke in einer Hashkette ist schlimmer als ein langweiliger Eintrag.

Im Netzwerkmodus trägt jeder Eintrag die server-id, auf der er entstanden ist. Eine Timeline über drei Backends bleibt so in der richtigen Reihenfolge lesbar.

Die Rewind-Timeline

Das Log ist der Beweis; die Rewind-Ansicht ist, wie du ihn liest. Öffne /argus, wähle ein Mitglied, öffne Rewind, und du siehst die letzten Aktionen der Reihe nach mit Inventar-Diffs — was die Person vor und nach jedem Schritt getragen hat.

Das macht aus „hat viermal /give ausgeführt" ein „hat vier Stacks Netherit erzeugt, drei davon weggeworfen und sich mit einem ausgeloggt". Der Diff ist der Unterschied zwischen einem Verdacht und einem Fall.

Aufbewahrung

Einträge werden standardmäßig unbegrenzt behalten. Auf einem großen Netzwerk wächst die Datei stetig, aber langsam — es ist eine Zeile pro sensibler Aktion, nicht pro Event-Tick.

Wenn du aufräumen musst, archiviere die alte Datei, statt die laufende zu kürzen. Kürzen zerstört die Kette per Definition, und /argus verify meldet das danach völlig zu Recht für immer als Manipulation.

Beweise exportieren

Ein Beweis-Export nach PDF/HTML steht auf der Roadmap. Heute gibt es zwei unterstützte Wege, eine Ermittlung weiterzugeben: den Endpunkt /api/audit des Web-Panels, der die Einträge als JSON liefert, und die Rohdatei unter plugins/Argus/.