Erfolgreiche Anmeldungen sind wichtige Belege. Im SQL Server Error Log können sie jedoch große Mengen redundanter Meldungen erzeugen, Logrotation beschleunigen und genau die Fehler verdecken, die Operatoren im Vorfall benötigen.
Bedeutung für den Betrieb
Das Design beginnt mit einer präzisen Frage: welche Principals, Quellen, Anwendungen und Ergebnisse müssen wie lange durch wen untersuchbar sein? Die Forderung 'alles protokollieren' ist noch keine betriebliche Spezifikation.
SQL Server Audit, Extended Events, Error Log und Logon Trigger besitzen unterschiedliche Kosten und Risiken. Der Kanal wird nach Struktur, Manipulationsschutz, Filterbarkeit und Performance gewählt; Trigger im Loginpfad können selbst Verfügbarkeit gefährden.
Ein Pilot misst Ereignisrate, Speicher, Schreiblast, Rollover, Weiterleitungsverzug und Alarmqualität. Health Checks werden nur mit stabiler Identität ausgefiltert und der Sammelpfad gegen unbemerkte Änderung geschützt.
Praktische Konsequenz
Die Konsequenz: Mehr Auditvolumen kann weniger Sichtbarkeit schaffen. Erfolgreiche Logins gehören in einen strukturierten, kontrollierten Kanal, der die konkrete Ermittlungsfrage zuverlässig beantwortet.