Was wir tun · Betrieb: Netzwerk- und Stromtelemetrie, Protokollierung, DDoS-Erkennung
Unter unserem Alarmsystem betreiben wir drei eigene Plattformen: Observium für Netzwerk- und Stromgraphen, Graylog für die Logs jedes Geräts und Wanguard für die Erkennung von Denial-of-Service-Angriffen an der Netzgrenze. Und jede davon hat etwas Unabhängiges, das sie überwacht.
Was es ist
- Observium fragt jeden Switch, Router, jede Firewall, USV und Rack-Steckdosenleiste per SNMP ab und bewahrt die Historie: Traffic pro Port, Fehler, Optiken, Temperaturen und die Last auf jeder Stromzuführung.
- Graylog empfängt das Systemlog jedes Geräts, das wir betreiben: Cisco-Router und -Switches, Firewalls, HPE 3PAR-Arrays, Brocade Fibre-Channel-Switches, Blade-Chassis-Controller und Linux-Hosts. Die Logs werden geparst, bereinigt und in Streams pro Rolle sortiert, und die Ereignisse, die zählen, lösen Alarme aus.
- Wanguard liest gespiegelten Traffic von den Border-Routern und wacht ständig über volumetrische und Denial-of-Service-Muster gegen jede Adresse, die wir announcen.
Wie wir es bauen
Jede Quelle normalisiert. Verschiedene Hersteller schreiben Logs unterschiedlich, und manche Geräte lassen ihren eigenen Hostnamen weg. Graylog schreibt jede Quelle beim Eingang auf einen sauberen, einheitlichen Gerätenamen um, sodass eine Suche nach einem Router alles zurückgibt, was dieser Router gesagt hat, in welchem Format auch immer. Die Logs landen in zweckgebauten Streams (Core-Routing, Fabric, Firewalls, Storage, Hosts) statt in einem undifferenzierten Datenstrom.
Alarme für das, was einem Ausfall vorausgeht. Ereignisdefinitionen lösen im Betriebs-Chat einen Alarm aus für die Dinge, die vor dem Ärger kommen: eine abgebrochene BGP-Session, ein flappender Link, BFD meldet einen toten Pfad, Verschlüsselungs-Churn auf dem Backbone, ein Hardwarefehler, ein Fibre-Channel-Fehler auf der Storage-Fabric, ein NAT-Pool, dem die Adressen ausgehen.
Jede Steckdosenleiste, auf beiden Zuführungen. Jede Rack-PDU, auf der A-Zuführung und auf der B-Zuführung, ist in Observium. Damit sind die Last pro Rack und die Reserve, die bleibt, wenn eine Zuführung ausfällt, gemessene Zahlen, keine Annahmen.
Border-Traffic, analysiert. Port-Mirrors auf den Border-Routern speisen die Wanguard-Sensoren, sodass ein Angriff etwas ist, das wir bereits messen, wenn er beginnt.
Die Wächter bewachen. Ein Monitor, der stehen bleibt, ist schlimmer als kein Monitor, weil man der Stille vertraut. Die DDoS-Sensoren haben ihren eigenen unabhängigen Watchdog auf getrennter Infrastruktur: einen bewusst einfachen Dienst, der prüft, dass die Sensoren Daten sammeln, und lange vor jeder Lizenzverlängerung warnt.
Gemessen, nicht geraten. Wenn ein Carrier uns eine geplante Wartung ankündigt, messen wir hinterher von zwei Seiten, was tatsächlich passiert ist: von außen mit öffentlichen Probe-Daten und von innen mit Link-Status, BGP-Session-Zeitverläufen und unseren Kunden-URL-Checks. Die Antwort auf «hat uns die Wartung letzte Nacht betroffen?» ist ein Zeitverlauf mit Zeitstempeln.
Wovor es Sie schützt
- Vor einem Erkennungssystem, das stillschweigend stehen geblieben ist, ohne dass jemand die Stille bemerkt.
- Vor einem Gerät, das auf seiner eigenen Konsole gesund aussieht, aber keine Logs mehr sendet.
- Vor einem Angriff, der zuerst von Ihren Kunden gemeldet wird statt von unseren Sensoren.
- Vor einem Rack, das näher an seiner Stromgrenze läuft, als irgendjemandem bewusst war.
- Vor einer Vorfallsanalyse, die die Ereignisse aus dem Gedächtnis rekonstruieren muss.
- Vor «wir glauben, es war der Carrier», wenn Sie eine gemessene Antwort brauchen.
Warum EuroVPS
- Die Logs jedes Geräts, vom Router bis zum Storage-Array, an einem Ort durchsuchbar.
- Die DDoS-Erkennung liest echten Traffic an unseren eigenen Border-Routern.
- Stromtelemetrie auf beiden Zuführungen jedes Racks, nicht nur eine Monatsrechnung.
- Unsere Monitoring-Systeme werden selbst von unabhängigen Watchdogs überwacht.
- Fragen zur Vergangenheit werden mit Daten beantwortet, nicht aus der Erinnerung.
Häufige Fragen
Können Sie die Logs meiner Firewall oder meines Servers an Ihr Graylog senden? Ja, für Dienste, die wir verwalten. Die Logs liegen in Streams, mit Zugriff beschränkt auf die Ingenieure, die Ihre Plattform betreiben.
Wie lange bewahren Sie Logs auf? Das hängt vom Dienst und Ihren Anforderungen ab. Sagen Sie uns, was Ihre Auditoren oder Richtlinien brauchen, und wir gestalten die Aufbewahrung passend.
Zeichnen Sie auch meine eigenen Switch-Ports oder Links auf? Für Netzwerkdienste, die wir bereitstellen, ja. Sie können die Graphen jederzeit anfordern.
Wenn Sie Antworten wollen, die an der Leitung gemessen und nicht geraten sind, sprechen Sie mit einem Ingenieur.
Ihr nächster Infrastrukturpartner
Sehen wir uns Ihre Umgebung an.
Erzählen Sie uns, was Sie heute betreiben und was besser werden muss. Ein Ingenieur sieht Ihre Anfrage durch und hilft Ihnen, den nächsten Schritt zu planen.
+357 222 32280
Beginnen wir mit Ihrer Umgebung.
Ein wenig Kontext hilft uns, das richtige Gespräch zu beginnen.