Wie DMCS sichere Betriebsabläufe mit einem Logging-Framework unterstützt, das zur Erfüllung besonderer Kundenanforderungen erweitert werden kann
Beschreibung der Protokolle in DMCS
In DMCS verwenden wir zwei Ansätze für die Protokollierung in unserem laufenden System. Einer ist hauptsächlich auf die technische Analyse ausgerichtet, während wir den Benutzerzugriff mit einem normalen und – auf Wunsch unserer Kunden – einem erweiterten Ansatz protokollieren.
Technische Protokollierung: Aktivitäten in den Containern werden in unterschiedlichem Umfang protokolliert, abhängig von der Komplexität und dem Bedarf an technischer Analyse. Diese Protokolle werden von Docker verwaltet und beim Neustart des Containers gelöscht.
Sicherheitsprotokollierung: Alle Benutzeraktivitäten in der Toolbox (unserer Weboberfläche) werden protokolliert und auf dem Server in persistenten .log-Dateien zur möglichen Analyse gespeichert. In unserem Standardansatz wird dies in unseren Benutzerprotokollen verwaltet. Dies ist der Detaillierungsgrad, der für die meisten Fälle erforderlich ist. Auf Wunsch können wir einen zusätzlichen Dienst mit mehr Details und der Möglichkeit anbieten, Protokolle an Drittanbieter-Tools weiterzuleiten, die der Kunde möglicherweise verwendet.
Alle für den Betrieb von DMCS erforderlichen Daten werden hauptsächlich in Elasticsearch und teilweise in Postgres gespeichert. Diese Daten können forensisch über die analytischen Funktionen der Toolbox und die Kibana-Installation analysiert werden. Diese laufende Zustandspflege im System wird nicht als Protokollierung betrachtet.
Das folgende Diagramm gibt einen Überblick über die Komponenten, die auf jedem DMCS-Server ausgeführt werden. Einige unserer Server hosten mehrere Kunden, die meisten Server hosten jedoch einen einzelnen Kunden.
Logging-Architektur
Unsere Standard-Logging-Architektur funktioniert wie folgt:
Die Container, die für die Erfassung von Benutzer- und Sicherheitsaktivitäten wichtig sind, werden alle im Dateisystem des Servers protokolliert und können je nach gewünschter Logging-Architektur von einem Logging-Agenten abgerufen werden.
Andere Container, bei denen die Protokollierung hauptsächlich zu Debugging-Zwecken dient, werden lediglich im Container verwaltet und folgen dem Lebenszyklus des Containers.
Auf Wunsch kann das System so konfiguriert werden, dass auch andere als die in der Standardkonfiguration vorgesehenen Protokolle persistent gespeichert werden. Der api-Container protokolliert alle Benutzeraktivitäten in der Toolbox und ist daher der geeignete Ort zur Analyse spezifischer Benutzeraktivitäten. Alle Anmeldungen werden in dm-service-iam erfasst.
In der Standardkonfiguration erfasst ein Benutzerprotokoll die wichtigsten Benutzeraktionen. Das Benutzerprotokoll ist eine vereinfachte Version des api-Protokolls, das wichtige Benutzerereignisse aufzeichnet. Diese werden zur weiteren Verarbeitung im Dateisystem des Servers gespeichert.
Für eine detailliertere Erfassung von Protokollen stehen den Docker-Containern eine Reihe verfügbarer Treiber
zur Protokollierung (vollständige Liste anzeigen) zur Verfügung, die für jeden Container in der docker-compose-Datei konfiguriert werden können:
Im Rahmen unseres Standarddienstes stellen wir die Persistenz der Benutzerprotokolle sicher und überwachen die Protokolle aus betrieblichen und sicherheitsbezogenen Gründen.
Wenn unsere Kunden erweiterte Anforderungen an die Protokollüberwachung haben, können wir andere Protokollierungskonfigurationen bereitstellen, bei denen die Kunden oder Drittanbieter die Protokollerfassung übernehmen – beispielsweise über Splunk oder SYSLOG. Wir konfigurieren dann die relevanten Docker-Container so, dass sie an den vom Kunden bereitgestellten gewünschten Protokollierungsendpunkt protokollieren.
Benutzerprotokolldateien
Aufzeichnungen von Aktionen, die von Benutzern durchgeführt wurden, wie z. B. Bearbeitungen, Datenabfragen, Konfigurationsänderungen oder sonstige Interaktionen mit den Funktionen und Möglichkeiten des Systems.
Dateiformat
Protokollname: logs-YYYY-MM-DD.log
Speicherort: /mnt/docker/volumes/logs/_data/[Company ID]
Format: Kommagetrennte ASCII-Datei (Typ-Wert-Paare)
Externer Zugriff auf Benutzerprotokolle:
Benutzerprotokolle können in Echtzeit an einen externen Protokollierungsendpunkt weitergeleitet werden.
Die Endpunkt-URL und das Token müssen an support@dataandmore.com gesendet werden, um die externe Protokollierung einzurichten.
Der Kunde muss den Datenverkehr von unserem Server zum API-Endpunkt zulassen. Der Data&More-Support stellt die IP-Adresse oder den IP-Adressbereich zur Verfügung, der freigegeben werden soll.