Het eindbeeld is per cel een eigen bewakingsvoorziening buiten het platform en buiten het vlootbeheer, met vergrendelde logopslag, verkeersstromen, metingen van apparatuur en een langere historie. Zij komt in groeipadstap 2, vóór de vrijgave voor reguliere productie; tot dan geldt een uitzondering.
Nog niet bevestigd door een mens. Eigenaar: vdo89. Bron in de atlas
De eigen bewakingsvoorziening is het eindbeeld van de bewaking: per cel een eigen, compact cluster op eigen servers,
buiten de platformclusters en buiten het vlootbeheer. Daar komen de vergrendelde logopslag, de historie van
verkeersstromen en metingen en de bewaking van apparatuur samen in één stapel. Tot zij er is, werkt de eerste levering
met de bewaking per cluster, het vlootoverzicht en de audit bij het SOC, onder een goedgekeurde uitzondering.
Waarom zo
Logboeken en metingen zijn het hardst nodig als het beheer zelf uitvalt of is aangetast. Een voorziening die alleen
netwerk, stroom, naam, tijd en de voeding van haar accounts met de cel deelt, blijft dan bruikbaar, en omdat zij buiten
het vlootbeheer staat, raakt een aangetast vlootbeheer het bewijs niet. Eén stapel voor clusters en apparatuur voorkomt
dubbele meldingsroutes.
Opbouw, inhoud, bewaartermijnen en voorwaarden zijn een voorstel; het ontwerpbesluit voor de voorziening berekent de
capaciteit uit de metingen van de eerste levering.
Het eindbeeld is een eigen bewakingsvoorziening buiten de platformclusters, met eigen servers, eigen opslag en eigen toegang. Daar komen beheer- en applicatielogboeken, verkeersstromen, metingen van apparatuur en de langere historie van metingen samen in één bewakingsstapel, met Loki voor de logopslag, Prometheus-metingen en exporters voor apparatuur, zonder afzonderlijk bewakingsproduct.
Toelichting
De voorziening blijft werken als het clusterbeheer, de werkervirtualisatie of de basisdiensten van een cel uitvallen, want juist dan zijn logboeken en metingen het meest nodig. Afgewezen: logopslag op het basisdienstencluster; die deelt capaciteit, aanvalsoppervlak en levenscyclus met het geheimenbeheer en de toegangsvoorziening.
Iedere cel krijgt een eigen bewakingsvoorziening, buiten het vlootbeheer. Zo raakt een aangetast of uitgevallen vlootbeheer het bewijs niet, en maakt de bewaking de cellen niet van elkaar afhankelijk.
Toelichting
Afgewezen: één voorziening voor de hele vloot, want die maakt de cellen van elkaar afhankelijk; en een voorziening onder het vlootbeheer, want dan raakt een aangetast vlootbeheer ook het bewijs. De automatisering richt de voorziening in vanuit de opslagplaats Platform, zoals het opslagcluster.
Met de cel deelt de eigen bewakingsvoorziening alleen netwerk, stroom, naam- en tijdvoorziening en de voeding van haar accounts. Van de platformclusters van de cel en van het vlootbeheer hangt zij niet af: bij hun uitval werkt zij door en meldt zij dat hun gegevens uitblijven.
De eigen bewakingsvoorziening is in groeipadstap 2 in bedrijf, vóór de vrijgave voor reguliere productie: de vergrendelde logopslag is een voorwaarde voor dat profiel. Tot dan blijft de dienst in ontwikkelen en beproeven.
Toelichting
De voorziening ligt daarmee op het kritieke pad naar reguliere productie. Het ontwerpbesluit voor de voorziening en de bestelling van de apparatuur starten direct na de oplevering van de eerste bewaking.
Per cel is de eigen bewakingsvoorziening een compact OpenShift-cluster op drie eigen servers, één per rek, van het type besturingsknooppunt of, als de opslagbehoefte dat vraagt, van het type werkerknooppunt.
De objectopslag is Data Foundation in interne modus op de eigen servers, met Object Lock in COMPLIANCE-modus, ook tegen opslag- en back-upbeheerders. Loki schrijft naar een bucket met die vergrendeling, met een retentie gelijk aan de bewaartermijn van 30 dagen, en ruimt pas op na afloop van de vergrendeling. Teams kunnen in de logopslag alleen lezen.
De voorziening heeft een eigen exemplaar van Keycloak met meerfactoraanmelding, gevuld door het identiteitsbeheer met alleen de groepen voor bewaking en onderzoek, zodat zij ook zonder de toegangsvoorziening van de cel werkt. Het noodaccount ligt in de kluis.
De verzamelaars op de clusters blijven ongewijzigd en krijgen de eigen voorziening als tweede uitvoer; de clusterbewaking levert haar metingen met remote write. Ieder cluster krijgt een FlowCollector met een eBPF-agent en een steekproef van één op de 50 pakketten. De aansluiting wordt vóór de overgang beproefd.
De voorziening krijgt per cel een eigen segment in vrf-platform, zodat de stroom van de switches naar de bewaking haar zonder nieuwe zoneovergang bereikt. Haar schijven zijn versleuteld met TPM2, en haar objectopslag is versleuteld.
Het ontwerpbesluit voor de voorziening berekent de capaciteit uit de referentiemetingen van de eerste levering: het gemeten volume maal de bewaartermijn, met reserve voor uitval van één server en voor groei tot de beoogde omvang van de cel. Daarop volgen de bestelling en de inrichting.
Toelichting
De referentiemetingen zijn het volume van samengevatte metingen en audit per cluster per dag, de vertraging per logbron en de tijd tot melding. Zij toetsen ook de drempels van de bewaking.
Clusters en apparatuur komen in dezelfde bewakingsstapel en meldingsroutes: vanaf groeipadstap 2 bewaken exporters in de eigen voorziening de apparatuur. Zabbix blijft in de eerste levering de apparatuurbewaking en wordt pas na aantoonbare overname afgebouwd.
Toelichting
Afgewezen: Zabbix naast de platformbewaking houden. Dat geeft dubbele meldingsroutes en een tweede product om te beheren en te beveiligen. Hoe de overname verloopt, staat bij de draaiboeken van de bewaking.
Apparatuur wordt alleen lezend bewaakt, met SNMP versie 3, Redfish en productkoppelingen: snmp_exporter voor switches, firewalls en NetScaler, een Redfish-exporter voor iLO, de koppeling van OneView en de manager-exporter van Ceph. De stromen naar het apparatuurbeheer zijn expliciet vastgelegd.
Toelichting
Open standaarden en geen dubbele routes. Voor de switches is streaming telemetry de keuze, met SNMP versie 3 als terugvaloptie. De regels per apparaatsoort staan in de opslagplaats Platform.
In de eerste levering bewaakt de bestaande apparatuurbewaking de 28 servers, de switches, de firewalls en de verkeersverdeling. Vanaf groeipadstap 2 nemen de exporters in de eigen voorziening dat over, waarna de bestaande bewaking wordt afgebouwd.
Tot de eigen voorziening in bedrijf is, ontbreken centrale logopslag en een zoekomgeving voor beheerlogboeken, opslag van verkeersstromen, metingen van apparatuur in dezelfde stapel en de SOC-koppeling van andere logbronnen dan de audit- en beveiligingslogboeken. Dat voldoet niet aan de beveiligingsbaseline voor logging en netwerkinzicht en geldt daarom als goedgekeurde uitzondering met eigenaar en einddatum, met de dienst in ontwikkelen en beproeven.
Toelichting
De uitzondering dekt niet de ontvangst en de kopie bij het SOC: die zijn vóór de overdracht aangetoond.
De einddatum van de uitzondering ligt ten hoogste zes maanden vooruit. Zij kan binnen ontwikkelen en beproeven worden verlengd na een nieuwe beoordeling vóór de einddatum, sluit bij de vrijgave voor reguliere productie en wordt daarna niet opnieuw geaccepteerd.
Toelichting
Iedere afwijking van de baseline staat met compenserende maatregel, eigenaar en een einddatum van ten hoogste zes maanden in het uitzonderingsregister, met een kwartaalrapportage. Over de uitzondering besluit de bevoegde verantwoordelijke, na beoordeling door de CISO-functie.
Bij de ingebruikname ondersteunt de leverancier Thanos als ontvanger buiten Advanced Cluster Management en Data Foundation in interne modus met Object Lock, verwerkt de ontvanger de telemetry van NX-OS, en laat Loki vergrendelde objecten staan.
Toelichting
Terugvalopties: clustermetingen alleen in de samengevatte metingen en apparatuur in hun eigen bewaking; een eigen realm met Object Lock op het opslagcluster van de cel, dat dan een gedeelde afhankelijkheid wordt; SNMP versie 3 voor de switches; en een levenscyclusregel van de bucket in plaats van de opruiming door Loki.
Vóór de vrijgave voor reguliere productie tonen de uitvalproef van de eigen voorziening, een verwijderpoging op de vergrendelde logopslag, de proef met de opruiming door Loki en de overname van de apparatuurbewaking aan dat de voorziening werkt. Pas dan sluit de uitzondering.