Definieren Sie eine Protokollinspektionsregel zur Verwendung in Richtlinien

Hinweis Protokollinspektionsregeln, die einem oder mehreren Computern zugewiesen sind oder Teil einer Richtlinie sind, können nicht gelöscht werden.

• Erstellen Sie eine neue Protokollinspektionsregel
• Decoder
• Unterregeln
• Echte Beispiele aus der Praxis
• Schweregrad der Protokollinspektionsregeln und deren empfohlene Verwendung
• strftime()-Umwandlungsspezifikatoren
• Untersuchen Sie eine Protokollinspektionsregel

Erstellen Sie eine neue Protokollinspektionsregel

1. Navigieren Sie in der Server- und Workload Protection-Konsole zu Policies → Common Objects → Rules → Log Inspection Rules.
2. Klicken Sie auf New → New Log Inspection Rule.
3. Geben Sie auf der Registerkarte General einen Namen und eine optionale Beschreibung für die Regel ein.
4. Die Registerkarte Content ist der Ort, an dem Sie die Regel definieren. Der einfachste Weg, eine Regel zu definieren, besteht darin, Basic Rule auszuwählen und die bereitgestellten Optionen zu nutzen, um die Regel zu definieren. Wenn Sie weitere Anpassungen benötigen, können Sie Custom (XML) auswählen, um zu einer XML-Ansicht der Regel zu wechseln, die Sie definieren.

   Hinweis Alle Änderungen, die Sie in der benutzerdefinierten (XML) Ansicht vornehmen, gehen verloren, wenn Sie zur Basisregelansicht zurückkehren.

   Für weitere Unterstützung beim Erstellen eigener Log-Inspektionsregeln mit der XML-basierten Sprache konsultieren Sie die OSSEC-Dokumentation oder wenden Sie sich an Ihren Support-Anbieter.

• Rule ID: Die Regel-ID ist ein eindeutiger Bezeichner für die Regel. OSSEC definiert 100000 - 109999 als Bereich für benutzerdefinierte Regeln. Server- und Workload Protection wird das Feld mit einer neuen eindeutigen Regel-ID vorab ausfüllen.
• Level: Weisen Sie der Regel eine Stufe zu. Null (0) bedeutet, dass die Regel niemals ein Ereignis protokolliert, obwohl andere Regeln, die auf diese Regel achten, ausgelöst werden können.
• Groups: Weisen Sie die Regel einer oder mehreren durch Kommas getrennten Gruppen zu. Dies kann nützlich sein, wenn Abhängigkeiten verwendet werden, da Sie Regeln erstellen können, die beim Auslösen einer Regel ausgelöst werden, oder eine Regel, die zu einer bestimmten Gruppe gehört.
• Rule Description: Beschreibung der Regel.
• Pattern Matching: Dies ist das Muster, nach dem die Regel in den Protokollen suchen wird. Die Regel wird bei einem Treffer ausgelöst. Die Mustererkennung unterstützt reguläre Ausdrücke oder einfachere Zeichenfolgenmuster. Der "Zeichenfolgenmuster"-Pattern-Typ ist schneller als RegEx, unterstützt jedoch nur drei spezielle Operationen:
  • ^ (caret): gibt den Anfang des Textes an
  • $ (dollar sign): gibt das Ende des Textes an
  • | (pipe): um ein "ODER" zwischen mehreren Mustern zu erstellen. Weitere Informationen zur Syntax regulärer Ausdrücke, die vom Protokollinspektionsmodul verwendet wird, finden Sie unter https://www.ossec.net/docs/syntax/regex.html.
• Dependency: Das Festlegen einer Abhängigkeit von einer anderen Regel führt dazu, dass Ihre Regel ein Ereignis nur protokolliert, wenn die in diesem Bereich angegebene Regel ebenfalls ausgelöst wurde.
• Frequency: Die Anzahl der Male, die die Regel innerhalb eines bestimmten Zeitrahmens übereinstimmen muss, bevor die Regel ausgelöst wird.
• Time Frame: Der Zeitraum in Sekunden, innerhalb dessen die Regel eine bestimmte Anzahl von Malen (die Häufigkeit, siehe oben) ausgelöst werden muss, um ein Ereignis zu protokollieren.

Hinweis Die Content-Registerkarte erscheint nur für Log-Inspektionsregeln, die Sie selbst erstellen. Von Trend Micro ausgegebene Log-Inspektionsregeln haben stattdessen eine Konfiguration-Registerkarte, die die Konfigurationsoptionen der Log-Inspektionsregel anzeigt (falls vorhanden).

1. Geben Sie auf der Files-Registerkarte den vollständigen Pfad zu der/den Datei(en) ein, die Ihre Regel überwachen soll, und geben Sie den Dateityp an.
2. Auf der Options-Registerkarte im Alert-Abschnitt wählen Sie aus, ob diese Regel eine Warnung in Server- und Workload Protection auslöst. Der minimale Schweregrad der Warnung legt den minimalen Schweregrad fest, der eine Warnung für Regeln auslöst, die mit der Basisregel oder der benutzerdefinierten (XML) Vorlage erstellt wurden.

   Hinweis Die Vorlage für die Grundregel erstellt jeweils eine Regel. Um mehrere Regeln in einer einzigen Vorlage zu schreiben, können Sie die benutzerdefinierte (XML) Vorlage verwenden. Wenn Sie mehrere Regeln mit unterschiedlichen Stufen innerhalb einer benutzerdefinierten (XML) Vorlage erstellen, können Sie die Einstellung Alert Minimum Severity verwenden, um die minimale Schwere auszuwählen, die eine Warnung für alle Regeln in dieser Vorlage auslöst.

3. Die Assigned To-Registerkarte listet die Richtlinien und Computer auf, die diese Protokollinspektionsregel verwenden. Da Sie eine neue Regel erstellen, wurde sie noch nicht zugewiesen.
4. Klicken Sie auf OK. Die Regel ist bereit, Richtlinien und Computern zugewiesen zu werden.

Decoder

• log: der Nachrichtenteil des Ereignisses
• full_log: das gesamte Ereignis
• location: Herkunft des Protokolls
• hostname: Hostname der Ereignisquelle
• program_name: Programmname aus dem Syslog-Header des Ereignisses
• srcip: die Quell-IP-Adresse innerhalb des Ereignisses
• dstip: die Ziel-IP-Adresse innerhalb des Ereignisses
• srcport: die Quellportnummer innerhalb des Ereignisses
• dstport: die Zielportnummer innerhalb des Ereignisses
• protocol: das Protokoll innerhalb des Ereignisses
• action: die durchgeführte Aktion innerhalb des Ereignisses
• srcuser: der ursprüngliche Benutzer innerhalb des Ereignisses
• dstuser: der Zielbenutzer innerhalb des Ereignisses
• id: jede ID, die als ID aus dem Ereignis dekodiert wurde
• status: der dekodierte Status innerhalb des Ereignisses
• command: der Befehl, der innerhalb des Ereignisses aufgerufen wird
• url: die URL innerhalb des Ereignisses
• data: alle zusätzlichen Daten, die aus dem Ereignis extrahiert wurden
• systemname: der Systemname innerhalb des Ereignisses

• Ein Alarm kann ausgelöst werden. (Konfigurierbar auf der Options-Registerkarte des Eigenschaften-Fensters der Protokollinspektionsregel.)
• Das Ereignis kann in syslog geschrieben werden. (Konfigurierbar im SIEM-Bereich auf der Administration → System Settings → Event Forwarding-Registerkarte.)
• Das Ereignis kann an Server- und Workload Protection gesendet werden. (Konfigurierbar in der Einstellung Log Inspection Syslog Configuration auf der Registerkarte Policy or Computer Editor → Settings → Event Forwarding.)

Unterregeln

Gruppen

<group name="syslog,sshd,">
</group>

Hinweis Beachten Sie das nachgestellte Komma im Gruppennamen. Nachgestellte Kommas sind erforderlich, wenn Sie beabsichtigen, das <if_group></if_group>-Tag zu verwenden, um bedingt eine weitere Unterregel an diese anzuhängen.

Hinweis Wenn eine Reihe von Log-Inspektionsregeln an einen Agenten gesendet werden, nimmt die Log-Inspektions-Engine auf dem Agenten die XML-Daten aus jeder zugewiesenen Regel und fügt sie zu einer im Wesentlichen einzigen langen Log-Inspektionsregel zusammen. Einige Gruppendefinitionen sind allen von Trend Micro geschriebenen Log-Inspektionsregeln gemeinsam. Aus diesem Grund hat Trend Micro eine Regel namens "Standardregelkonfiguration" eingefügt, die diese Gruppen definiert und die immer zusammen mit anderen Trend Micro-Regeln zugewiesen wird. (Wenn Sie eine Regel zur Zuweisung auswählen und nicht auch die Regel "Standardregelkonfiguration" ausgewählt haben, erscheint eine Benachrichtigung, die Sie darüber informiert, dass die Regel automatisch zugewiesen wird.) *Wenn Sie Ihre eigene Log-Inspektionsregel erstellen und sie einem Computer zuweisen, ohne Trend Micro-geschriebene Regeln zuzuweisen, müssen Sie entweder den Inhalt der Regel "Standardregelkonfiguration" in Ihre neue Regel kopieren oder auch die Regel "Standardregelkonfiguration" zur Zuweisung an den Computer auswählen.

Regeln, ID und Ebene

<group name="syslog,sshd,">
    <rule id="100120" level="5">
    </rule>
    <rule id="100121" level="6">
    </rule>
</group>

Hinweis Benutzerdefinierte Regeln müssen ID-Werte von 100.000 oder höher haben.

Hinweis Wenn das automatische Tagging von Ereignissen aktiviert ist, wird das Ereignis mit dem Gruppennamen gekennzeichnet. Von Trend Micro bereitgestellte Log-Inspektionsregeln verwenden eine Übersetzungstabelle, die die Gruppe in eine benutzerfreundlichere Version umwandelt. So würde beispielsweise "login_denied" als "Login verweigert" erscheinen. Benutzerdefinierte Regeln werden mit ihrem Gruppennamen aufgeführt, wie er in der Regel erscheint.

Beschreibung

<group name="syslog,sshd,">
    <rule id="100120" level="5">
        <group>authentication_success</group>
        <description>SSHD testing authentication success</description>
    </rule>
    <rule id="100121" level="6">
        <description>SSHD rule testing 2</description>
    </rule>
</group>

Dekodiert als

<rule id="100123" level="5">
    <decoded_as>sshd</decoded_as>
    <description>Logging every decoded sshd message</description>
</rule>

Hinweis Um die verfügbaren Decoder anzuzeigen, gehen Sie zur Seite Log Inspection Rule und klicken Sie auf Decoders.. Klicken Sie mit der rechten Maustaste auf 1002791-Default Log Decoders und wählen Sie Eigenschaften aus. Gehen Sie zum Tab Konfiguration und klicken Sie auf View Decoders.

Übereinstimmung

Jan 1 12:34:56 linux_server sshd[1231]: Failed password for invalid user jsmith from 192.168.1.123 port 1799 ssh2

<rule id="100124" level="5">
    <decoded_as>sshd</decoded_as>
    <match>^Failed password</match>
    <description>Failed SSHD password attempt</description>
</rule>

Hinweis Beachten Sie das Regex-Caret ("^"), das den Anfang eines Strings anzeigt. Obwohl "Failed password" nicht am Anfang des Logs erscheint, hat der Log-Inspektionsdecoder das Log in Abschnitte unterteilt. Siehe Decoder für weitere Informationen. Einer dieser Abschnitte ist "log", der den Nachrichtenteil des Logs darstellt, im Gegensatz zu "full_log", das das gesamte Log umfasst.

Bedingte Anweisungen

<group name="syslog,sshd,">
    <rule id="100123" level="2">
        <decoded_as>sshd</decoded_as>
        <description>Logging every decoded sshd message</description>
    </rule>
    <rule id="100124" level="7">
        <if_sid>100123</if_sid>
        <match>^Failed password</match>
        <group>authentication_failure</group>
        <description>Failed SSHD password attempt</description>
    </rule>
    <rule id="100125" level="3">
        <if_sid>100123</if_sid>
        <match>^Accepted password</match>
        <group>authentication_success</group>
        <description>Successful SSHD password attempt</description>
    </rule>
</group>

Hierarchie der Bewertung

Hinweis Die hierarchische Eltern-Kind-Struktur kann verwendet werden, um die Effizienz Ihrer Regeln zu verbessern. Wenn eine übergeordnete Regel nicht als wahr bewertet wird, wird die Protokollinspektions-Engine die Kinder dieser übergeordneten Regel ignorieren.

Hinweis Obwohl das <if_sid></if_sid>-Tag verwendet werden kann, um auf Unterregeln innerhalb einer völlig anderen Protokollinspektionsregel zu verweisen, sollten Sie dies vermeiden, da es die Regel später sehr schwer überprüfbar macht.

<rule id="100127" level="10">
    <if_sid>100125</if_sid>
    <time>6 pm - 8:30 am</time>
    <description>Login outside business hours.</description>
    <group>policy_violation</group>
</rule>

Einschränkungen der Größe des Logeintrags

<rule id="100127" level="10" maxsize="2000">
    <if_sid>100125</if_sid>
    <time>6 pm - 8:30 am</time> 
    <description>Login outside business hours.</description>
    <group>policy_violation</group>
</rule>

Zusammengesetzte Regeln

<rule id="100130" level="10" frequency="x" timeframe="y">
</rule>

<rule id="100130" level="10" frequency="5" timeframe="600">
    <if_matched_sid>100124</if_matched_sid>
    <description>5 Failed passwords within 10 minutes</description>
</rule>

<rule id="100130" level="10" frequency="5" timeframe="600">
    <if_matched_group>authentication_failure</if_matched_group>
    <same_source_ip />
    <description>5 Failed passwords within 10 minutes</description>
</rule>

<rule id="100130" level="10" frequency="5" timeframe="600">
    <if_matched_regex>^Failed password</if_matched_regex>
    <same_source_ip />
    <description>5 Failed passwords within 10 minutes</description>
</rule>

Reale Weltbeispiele

1. Wohin protokolliert die Anwendung?
2. Welcher Log-Inspektionsdecoder kann verwendet werden, um die Protokolldatei zu dekodieren?
3. Wie ist das allgemeine Format einer Protokolldateinachricht?

1. Windows-Ereignisanzeige
2. Windows-Ereignisprotokoll (eventlog)
3. Windows-Ereignisprotokollformat mit den folgenden Kerneigenschaften:
   • Quelle: CMS
   • Kategorie: Keine
   • Ereignis: <Application Event ID>

• CMS-Anwendungsprotokoll (Quelle: CMS)
  • Authentifizierung (Ereignis: 100 bis 119)
    • Benutzeranmeldung erfolgreich (Ereignis: 100)
    • Benutzeranmeldung fehlgeschlagen (Ereignis: 101)
    • Administrator-Anmeldung erfolgreich (Ereignis: 105)
    • Administrator-Anmeldung fehlgeschlagen (Ereignis: 106)
  • Allgemeine Fehler (Typ: Fehler)
    • Datenbankfehler (Ereignis: 200 bis 205)
    • Laufzeitfehler (Ereignis: 206-249)
  • Anwendungsprüfung (Typ: Information)
    • Inhalt
      • Neuer Inhalt hinzugefügt (Ereignis: 450 bis 459)
      • Vorhandener Inhalt geändert (Ereignis: 460 bis 469)
      • Vorhandener Inhalt gelöscht (Ereignis: 470 bis 479)
    • Administration
      • Benutzer
        • Neuer Benutzer erstellt (Ereignis: 445 bis 446)
        • Bestehender Benutzer gelöscht (Ereignis: 447 bis 449)

1. Gehen Sie in der Server- und Workload Protection-Konsole zu Richtlinien → Common Objects → Regeln → Log Inspection Rules und klicken Sie auf Neu, um das New Log Inspection Rule Properties-Fenster anzuzeigen.
2. Geben Sie der neuen Regel einen Namen und eine Beschreibung, und klicken Sie dann auf die Inhalt-Registerkarte.
3. Der schnellste Weg, eine neue benutzerdefinierte Regel zu erstellen, besteht darin, mit einer grundlegenden Regelvorlage zu beginnen. Wählen Sie die Basic Rule-Optionsschaltfläche.
4. Das Rule ID-Feld wird automatisch mit einer ungenutzten ID-Nummer von 100.000 oder höher gefüllt, die für benutzerdefinierte Regeln reserviert sind.
5. Stellen Sie die Einstellung Stufe auf Low (0) ein.
6. Geben Sie der Regel einen geeigneten Gruppennamen. In diesem Fall "cms".
7. Geben Sie eine kurze Regelbeschreibung an.
   
8. Wählen Sie nun die Custom (XML)-Option aus. Die von Ihnen für Ihre "Basic"-Regel ausgewählten Optionen werden in XML konvertiert.
   
9. Klicken Sie auf die Dateien-Registerkarte und dann auf die Datei hinzufügen-Schaltfläche, um Anwendungsprotokolldateien und Protokolltypen hinzuzufügen, auf die die Regel angewendet wird. In diesem Fall "Application" und "eventlog" als Dateityp.
   

   Hinweis Eventlog ist ein einzigartiger Dateityp in Server- und Workload Protection, da der Speicherort und der Dateiname der Protokolldateien nicht angegeben werden müssen. Stattdessen reicht es aus, den Protokollnamen so einzugeben, wie er im Windows-Ereignisanzeige angezeigt wird. Andere Protokollnamen für den Ereignisprotokoll-Dateityp könnten "Sicherheit", "System", "Internet Explorer" oder ein anderer Abschnitt sein, der in der Windows-Ereignisanzeige aufgeführt ist. Andere Dateitypen erfordern den Speicherort und den Dateinamen der Protokolldatei. (C/C++ strftime()-Umwandlungsspezifikatoren sind verfügbar, um auf Dateinamen abzugleichen. Siehe die Tabelle unten für eine Liste einiger der nützlichsten.)

10. Klicken Sie auf OK, um die Grundregel zu speichern.
11. Ausgehend von der erstellten Grundregel Custom (XML) können wir beginnen, neue Regeln zur Gruppe hinzuzufügen, basierend auf den zuvor identifizierten Protokollgruppierungen. Wir werden die Kriterien der Grundregel auf die Anfangsregel festlegen. Im folgenden Beispiel hat die CMS-Grundregel Windows-Ereignisprotokolle mit einem Quellattribut von "CMS" identifiziert:

    <group name="cms">
        <rule id="100000" level="0">
        <category>windows</category>
        <extra_data>^CMS</extra_data>
        <description>Windows events from source 'CMS' group messages.</description>
    </rule>

12. Nun erstellen wir nachfolgende Regeln aus den identifizierten Protokollgruppen. Das folgende Beispiel identifiziert die Authentifizierung sowie den Erfolg und Misserfolg von Anmeldungen und protokolliert diese anhand von Ereignis-IDs.

    <rule id="100001" level="0">
        <if_sid>100000</if_sid>
        <id>^100|^101|^102|^103|^104|^105|^106|^107|^108|^109|^110</id>
        <group>authentication</group>
        <description>CMS Authentication event.</description>
    </rule>
    
    <rule id="100002" level="0">
        <if_group>authentication</if_group>
        <id>100</id>
        <description>CMS User Login success event.</description>
    </rule>
    
    <rule id="100003" level="4">
        <if_group>authentication</if_group>
        <id>101</id> <group>authentication_failure</group>
        <description>CMS User Login failure event.</description>
    </rule>
    
    <rule id="100004" level="0">
        <if_group>authentication</if_group>
        <id>105</id>
        <description>CMS Administrator Login success event.</description>
    </rule>
    
    <rule id="100005" level="4">
        <if_group>authentication</if_group>
        <id>106</id>
        <group>authentication_failure</group>
        <description>CMS Administrator Login failure event.</description>
    </rule>

13. Nun fügen wir alle zusammengesetzten oder Korrelationsregeln unter Verwendung der festgelegten Regeln hinzu. Das folgende Beispiel zeigt eine zusammengesetzte Regel mit hoher Schwere, die auf Instanzen angewendet wird, bei denen wiederholte Anmeldefehler 5 Mal innerhalb eines 10-Sekunden-Zeitraums aufgetreten sind:

    <rule id="100006" level="10" frequency="5" timeframe="10">
        <if_matched_group>authentication_failure</if_matched_group>
        <description>CMS Repeated Authentication Login failure event.</description>
    </rule>

14. Überprüfen Sie alle Regeln auf angemessene Schweregrade. Beispielsweise sollten Fehlerprotokolle einen Schweregrad von 5 oder höher haben. Informationsregeln hätten einen niedrigeren Schweregrad.
15. Öffnen Sie schließlich die neu erstellte Regel, klicken Sie auf die Konfiguration-Registerkarte und kopieren Sie Ihr benutzerdefiniertes Regel-XML in das Regel-Feld. Klicken Sie auf Übernehmen oder OK, um die Änderung zu speichern.

<group name="cms">
    <rule id="100000" level="0">
        <category>windows</category>
        <extra_data>^CMS</extra_data>
        <description>Windows events from source 'CMS' group messages.</description>
    </rule>
    <rule id="100001" level="0">
        <if_sid>100000</if_sid>
        <id>^100|^101|^102|^103|^104|^105|^106|^107|^108|^109|^110</id>
        <group>authentication</group>
        <description>CMS Authentication event.</description>
    </rule>
    <rule id="100002" level="0">
        <if_group>authentication</if_group>
        <id>100</id>
        <description>CMS User Login success event.</description>
    </rule>
    <rule id="100003" level="4">
        <if_group>authentication</if_group>
        <id>101</id>
        <group>authentication_failure</group>
        <description>CMS User Login failure event.</description>
    </rule>
    <rule id="100004" level="0">
        <if_group>authentication</if_group>
        <id>105</id>
        <description>CMS Administrator Login success event.</description>
    </rule>
    <rule id="100005" level="4">
        <if_group>authentication</if_group>
        <id>106</id>
        <group>authentication_failure</group>
        <description>CMS Administrator Login failure event.</description>
    </rule>
    <rule id="100006" level="10" frequency="5" timeframe="10">
        <if_matched_group>authentication_failure</if_matched_group>
        <description>CMS Repeated Authentication Login failure event.</description>
    </rule>
    <rule id="100007" level="5">
        <if_sid>100000</if_sid>
        <status>^ERROR</status>
        <description>CMS General error event.</description>
        <group>cms_error</group>
    </rule>
    <rule id="100008" level="10">
        <if_group>cms_error</if_group>
        <id>^200|^201|^202|^203|^204|^205</id>
        <description>CMS Database error event.</description>
    </rule>
    <rule id="100009" level="10">
        <if_group>cms_error</if_group>
        <id>^206|^207|^208|^209|^230|^231|^232|^233|^234|^235|^236|^237|^238|
        ^239^|240|^241|^242|^243|^244|^245|^246|^247|^248|^249</id>
        <description>CMS Runtime error event.</description>
    </rule>
    <rule id="100010" level="0">
        <if_sid>100000</if_sid>
        <status>^INFORMATION</status>
        <description>CMS General informational event.</description>
        <group>cms_information</group>
    </rule>
    <rule id="100011" level="5">
        <if_group>cms_information</if_group> 
        <id>^450|^451|^452|^453|^454|^455|^456|^457|^458|^459</id>
        <description>CMS New Content added event.</description>
    </rule>
    <rule id="100012" level="5">
        <if_group>cms_information</if_group>
        <id>^460|^461|^462|^463|^464|^465|^466|^467|^468|^469</id>
        <description>CMS Existing Content modified event.</description>
    </rule>
    <rule id="100013" level="5">
        <if_group>cms_information</if_group>
        <id>^470|^471|^472|^473|^474|^475|^476|^477|^478|^479</id>
        <description>CMS Existing Content deleted event.</description>
    </rule>
    <rule id="100014" level="5">
        <if_group>cms_information</if_group>
        <id>^445|^446</id>
        <description>CMS User created event.</description>
    </rule>
    <rule id="100015" level="5">
        <if_group>cms_information</if_group>
        <id>^447|449</id>
        <description>CMS User deleted event.</description>
    </rule>
</group>

Schweregrad der Protokollinspektionsregeln und deren empfohlene Verwendung

strftime()-Umwandlungsspezifikatoren

Untersuchen Sie eine Protokollinspektionsregel

Struktur der Protokollinspektionsregel und der Ereignisabgleichprozess

• 3800 - Gruppierung von Exchange-Regeln - Ignorieren
  • 3801 - E-Mail-Empfänger ist nicht gültig (ungültiges Konto) - Mittel (4)
    • 3851 - Mehrere E-Mail-Versuche an ein ungültiges Konto - Hoch (9)
      • Frequenz - 10
      • Zeitrahmen - 120
      • Ignorieren - 120
  • 3802 - E-Mail 500 Fehlercode - Mittel (4)
    • 3852 - E-Mail 500 Fehlercode (Spam) - Hoch (9)
      • Frequenz - 12
      • Zeitrahmen - 120
      • Ignorieren - 240

Doppelte Unterregeln