Hur DMCS stödjer säkra verksamheter med ett loggningsramverk som kan utökas för att tillgodose särskilda kundkrav
Beskrivning av loggar i DMCS
I DMCS tillämpar vi två metoder för loggar i vårt aktiva system. En är primärt inriktad på teknisk analys, medan vi loggar användaråtkomst med en normal metod och – om så önskas av våra kunder – en utökad metod.
Teknisk loggning: Aktivitet i containrarna loggas i varierande grad, baserat på komplexiteten och behovet av teknisk analys. Dessa loggar hanteras av Docker och rensas när containern startas om.
Säkerhetsloggning: All användaraktivitet i verktygslådan (vårt webbgränssnitt) loggas och lagras på servern för möjlig analys i beständiga .log-filer. I vår normala metod hanteras detta i våra användarloggar. Detta är den detaljnivå som krävs för de flesta. Om så önskas kan vi tillhandahålla en utökad tjänst med mer detaljer och möjligheten att skicka loggar till tredjepartsverktyg som kunden eventuellt använder.
All data som krävs för att DMCS ska fungera lagras huvudsakligen i Elasticsearch och delvis i Postgres. Dessa data kan analyseras forensiskt via verktygslådans analysfunktioner och Kibana-installationen. Detta löpande underhåll av systemets tillstånd betraktas inte som loggning.
Följande diagram ger en översikt över de komponenter som körs på varje DMCS-server. Vissa av våra servrar är värd för flera kunder, men de flesta servrar är värd för en kund.
Loggningsarkitektur
Vår standardloggningsarkitektur gör följande:
De containrar som är viktiga för att fånga upp användar- och säkerhetsaktivitet loggas alla till serverns filsystem och kan hämtas av en loggningsagent beroende på önskad loggningsarkitektur.
Övriga containrar där loggning huvudsakligen sker i felsökningssyfte hanteras enbart i containern och följer containerns livscykel.
Om så önskas kan systemet konfigureras för att lägga till beständighet för andra loggar än de som föreslås i standardkonfigurationen. api-containern loggar all användaraktivitet i verktygslådan och är därför det ställe där specifik användaraktivitet kan analyseras. Alla inloggningar registreras i dm-service-iam.
I standardkonfigurationen registrerar en användarlogg viktiga användaråtgärder. Användarloggen är en förenklad version av api-loggen, som registrerar viktiga användarhändelser. Dessa skrivs till filsystemet på servern för vidare bearbetning.
För mer detaljerad loggning har Docker-containrarna ett antal tillgängliga drivrutiner
för loggning (se fullständig lista) som kan konfigureras för varje container i docker-compose-filen:
För vår normala tjänst tillhandahåller vi beständig användarloggning och vi övervakar loggar av operativa och säkerhetsmässiga skäl.
Om våra kunder har utökade behov av loggövervakning kan vi tillhandahålla andra loggkonfigurationer, där våra kunder eller tredjeparter ansvarar för logginhämtning via exempelvis Splunk eller SYSLOG. Vi konfigurerar då de relevanta Docker-containrarna att logga till den önskade logginhämtningsändpunkt som kunden tillhandahåller.
Användarloggfiler
Poster över åtgärder som utförs av användare, såsom redigeringar, datafrågor, konfigurationsändringar eller andra interaktioner med systemets funktioner och funktionaliteter.
Filformat
Loggnamn: logs-YYYY-MM-DD.log
Plats: /mnt/docker/volumes/logs/_data/[Företags-ID]
Format: kommaseparerad ASCII-fil (typ-värdepar)
Extern åtkomst till användarloggar:
Användarloggar kan vidarebefordras till en extern loggningsändpunkt i realtid.
Ändpunktens URL och token behöver skickas till support@dataandmore.com för att konfigurera den externa loggningen.
Kunden behöver tillåta trafik från vår server till API-ändpunkten. Data&More support tillhandahåller den IP-adress eller det adressintervall som ska tillåtas.