Proxmox-Infrastrukturmanagement mit LoboGuard-DC

Alejandro Pasquín · Direktor Consultoría y Gestión Sociolaboral

Bei Consultoría y Gestión Sociolaboral arbeiten wir mit einer auf Proxmox basierenden Infrastruktur, die derzeit aus vier Clustern besteht, davon zwei On-Premise und zwei weitere, die bei OVH gehostet werden.

In diesen Clustern befinden sich die Maschinen unserer Kunden. Normalerweise hat jeder Kunde seine eigene Maschine und greift über ein VPN darauf zu, um die benötigte Software zu nutzen.

Bislang hat die Infrastruktur problemlos funktioniert. Mit ihrem Wachstum sind wir jedoch auch auf das Problem gestoßen, viele Dinge unabhängig voneinander verwalten zu müssen. Da wir kein Tool hatten, das uns einen umfassenderen Überblick ermöglicht, mussten wir für bestimmte Aufgaben die verschiedenen Cluster einzeln aufrufen und alles separat überprüfen.

Ein gutes Beispiel dafür war die Überprüfung der Backups. Für uns war es schon immer wichtig, uns nicht einfach darauf zu verlassen, dass ein Backup erfolgreich durchgeführt wurde, sondern zu wissen, dass wir die Maschine im Ernstfall tatsächlich wiederherstellen können. Das Problem dabei ist, dass eine solche Überprüfung Zeit benötigt. Unsere Maschinen verfügen im Durchschnitt über etwa 500 GB Daten, und eine vollständige Wiederherstellung zusammen mit den anschließenden Prüfungen und der Dokumentation der Nachweise nimmt pro Maschine ziemlich viel Zeit in Anspruch.

Früher konnten wir diese Überprüfungen höchstens ungefähr einmal alle drei Monate durchführen, weil es schwierig war, die nötige Zeit zu finden, um den gesamten Prozess für alle unsere Kunden zu wiederholen. Da mir dieses Thema sehr wichtig ist, hat es mich immer etwas beunruhigt, dass zwischen den einzelnen Überprüfungen so viel Zeit lag.

Jetzt sind wir nicht mehr darauf angewiesen, einen passenden Zeitpunkt dafür zu finden. Wir planen die Überprüfung, sie wird automatisch durchgeführt und sobald sie abgeschlossen ist, erhalten wir das Ergebnis direkt per E-Mail.

Auch der Betreff der E-Mail ist sehr praktisch, weil er uns anzeigt, welche Aktion durchgeführt wurde, auf welcher Maschine sie durchgeführt wurde und ob das Ergebnis erfolgreich war oder fehlgeschlagen ist. Wenn alles in Ordnung ist, wissen wir schon beim Blick auf die E-Mail, dass die Aufgabe korrekt abgeschlossen wurde. Und wenn es ein Problem gibt, schauen wir uns genauer an, was passiert ist.

Der Bericht liefert uns außerdem wesentlich mehr Informationen als ein einfaches „alles OK“, und genau das brauchen wir. Wir können die Nachweise der Wiederherstellung sehen, die Dienste, die auf der wiederhergestellten Maschine aktiv waren, und sogar einen Screenshot der Konsole. Diese Nachweise werden zusätzlich über eine vertrauenswürdige Zeitstempelstelle signiert, was wir als wirklich gute Funktion empfunden haben. Falls wir diese Informationen irgendwann einem Auditor vorlegen müssen, verfügen wir über die entsprechende Dokumentation, ohne dafür die vielen Arbeitsstunden aufwenden zu müssen, die dies früher erforderlich gemacht hat.

Eine weitere Funktion, die wir integriert haben, ist der Schwachstellenscanner. Dabei nutzen wir die Tatsache, dass dieses Modul in der von uns erworbenen Lizenz enthalten ist. Die Analyse erfolgt auf Cluster-Ebene, wodurch wir einen Gesamtüberblick über die Umgebung erhalten. Wir können unterschiedliche Prüfintervalle festlegen, abhängig von der Kritikalität und der jeweiligen Angriffsfläche der Umgebung.

Wir nutzen außerdem den Anti-Ransomware-Schutz, der für uns ebenfalls interessant ist, obwohl wir bereits andere Sicherheitstools wie Bitdefender GravityZone einsetzen. Er basiert nicht auf einer einzigen Schutzschicht, sondern auf verschiedenen Mechanismen, die parallel arbeiten. Zum einen gibt es den Schutz auf Ebene der virtuellen Maschine, sofern wir ihn aktivieren, mit automatischer Isolierung und forensischen Snapshots. Zum anderen haben wir die Sperrung ausgehender Tor-Verbindungen sowie die Blockierung von Bedrohungen auf Cluster-Ebene mithilfe der FireHOL-Level-1-Reputationsliste.

Dass diese verschiedenen Schutzschichten gemeinsam arbeiten, bietet uns einen zusätzlichen Schutz, der sich unserer Meinung nach lohnt. Je mehr Schutz, desto besser.

Letztendlich ist die größte Veränderung, die wir mit LoboGuard-DC festgestellt haben, eine Veränderung unserer Arbeitsweise. Früher hingen viele dieser Aufgaben direkt von uns und davon ab, den richtigen Zeitpunkt dafür zu finden. Jetzt können wir festlegen, wie und wie oft sie durchgeführt werden sollen, sie planen und anschließend das Ergebnis erhalten.