MASA
Konsolidierung von Logdateien mittels OpenSearch
Referenzen in den Bereichen
- ControlSeries
- SQL
- SharePoint
- OpenSearch
Das Unternehmen
Masa ist ein mittelständisches Unternehmen mit Wurzeln in Deutschland, das sich auf die Planung und Herstellung von Anlagen und Maschinen für die Baustoffindustrie spezialisiert hat. Unter dem Dach der Marke Masa sind die Produktionsstandorte in Deutschland und Vertriebsgesellschaften in aller Welt angesiedelt.
Alois Smaritschnik, Firmengründer und Namensgeber der Masa, hätte sich wohl kaum träumen lassen, dass die blau-gelben Masa-Maschinen an Kunden in der ganzen Welt geliefert werden.
Die weltweit derzeit etwa 500 Beschäftigten der Masa planen, konstruieren und realisieren dabei Anlagenkonzepte, die exakt auf die Bedürfnisse der Handelspartner zugeschnitten sind.
Masa hat sich als deutscher Maschinenbauer mit soliden Produkten weltweit positioniert. Die Marke Masa steht seit über 110 Jahren für exzellente Qualität, kundenorientierten Service und fachkompetente Beratung.
(Quelle https://www.masa-group.com/)
Das Projekt
Konsolidierung von Logdateien mittels OpenSearch.
Die Aufgabenstellung
Bisher haben die Masa Mitarbeiter durch eine manuelle Sichtkontrolle, auf den einzelnen Systemen, Ereignisse bei Bedarf nachvollziehen können. Diese mussten dann aufwendig miteinander in Beziehung gesetzt werden. Aufgrund der zahlreichen Logdateien und der verschiedenen Systeme war dies kaum zu bewerkstelligen.
Konsequent wurde der Entschluss gefasst, Ausschau nach einem zentralen System zu halten, um die Events aller Systeme zentral auswerten zu können. Es wurde beschlossen, dass zukünftig die gesamten Protokolldaten der Infrastruktur der Masa zentral durchsucht, analysiert, aufbereitet, erweitert, indiziert und visualisiert werden sollen. Von Anfang an war dabei wichtig, dass alle kritischen Daten On-Premise, d.h. auf den lokalen Systemen, verbleiben.
Der Weg
Die Distribution OpenDistro von Amazon wurden bereitgestellt.
Innerhalb weiterer Meetings wurden die Anforderungen konkretisiert. Des Weiteren wurde eine Bestandsaufnahme angefertigt.
- Welche Probleme hatte man in der Vergangenheit?
- Welche Geräte sowie Hersteller sind im Einsatz?
- Welche konkreten Anforderungen bestehen?
Im weiteren Verlauf wurde eine Liste aller relevanten Systeme erstellt. Für die Systeme wurde ein Regelwerk geschaffen und unter anderem festgehalten, wie lange die protokollierten Daten der betroffenen Systeme vorgehalten werden sollen oder sogar müssen.
Entsprechend einer hohen Priorität, wurden daraufhin alle Logs der Netzwerkinfrastruktur (Firewall, Switche, …), sowie der Authentifizierungsdienste (Radius, Domain Controller, …) gesammelt.
Weitere Systeme wie die zentrale Microsoft SQL Server Farm wurden ergänzt.
Im Projektverlauf wurde von OpenDistro auf OpenSearch migriert.
Die Vorteile
- Logeinträge werden zentral gesammelt
- Aufbewahrungsfristen können eingehalten werden
- Über Dashboards können Auswertungen angefertigt werden
- Jederzeit kann skaliert werden
Die Herausforderung
Während der Umsetzung ist eine regelmäßig stattfindende, gemeinsame Abstimmung über Anpassungen und Erweiterungen notwendig, um ein bestmögliches Ergebnis zu erzielen. Grundsätzlich gilt, ein OpenSearch System ist nie fertig. Man schafft eine Basis, die durch immer neue Anforderungen erweitert oder angepasst werden muss. So kann es je Anwendungsfall sinnvoll werden, vorhandene Daten auf immer neuen Wegen auszuwerten oder mit Daten anderer Herkunft zu kombinieren.
Der Release-Termin
Installationstermin: August 2019
Danach kontinuierlicher Ausbau.
Das Projektteam
Kunde: 2 Mitarbeiter
S&L: 4 Mitarbeiter
Die Anwender
Mit der Zahl der berücksichtigten Systeme immer mehr.
masa-group.com
YouTube
Christian Miltz
Head of IT & Organisation
Masa GmbH
„SIEM ist ein Thema was sicherlich in jeder IT-Abteilung schon mal auf dem Tisch war und bei den meisten nach genauerem Hinschauen wegen der extremen finanziellen und ressourcenseitig zu erwartenden Aufwänden zunächst wieder in die Schublade wandert. Dies war bei uns nicht anders, viele Standardsysteme am Markt passen nicht zu den Anforderungen oder sind einfach gesagt eine „Nummer zu groß“. Umso mehr waren wir daran interessiert, gemeinsam mit unserem langjährigen Partner S&L ein System aufzubauen, welches die Anforderungen erfüllt und trotzdem Luft nach oben hat.
So konnten wir gemeinsam das OpenSearch-System mit Leben füllen und haben nun die Möglichkeit in Echtzeit wie auch rückwirkend die Logs verschiedenster Systeme zu einem spezifischen Zeitpunkt innerhalb dieses Systems zu sichten und zu analysieren.
Die weitere Herausforderung wird nun sein, die Infrastruktur der Niederlassungen und Schwesterunternehmen mit anzubinden und gleichzeitig ein vernünftiges Maß an Datenmengen und Haltezeiten zu erreichen. Eine Verbindung vom OpenSearch mit den anderen Systemen der S&L, wie z.B. der ControlSeries und der MoSo ist ein weiteres Ziel für die nächsten Monate, um die Verwaltung weiter zu vereinfachen.“
Das Ergebnis
Bereit nach einigen Tagen, wurden mehrere Millionen Logeinträge gesammelt.
Bei der nachfolgenden Auswertung galt es nun zu ermitteln, welche Einträge keinen relevanten Informationsgehalt haben und somit künftig aussortiert werden können. Wichtige Einträge wurden somit sichergestellt und im Anschluss aufbereitet, sowie mit weiteren nützlichen Daten verknüpft.