[Musica]
Sono qui per parlare della varietà Velocity
e il volume che guadagna intuizioni è il mio nome
Henrik se vuoi parlare con me dopo
questa conferenza si prega di utilizzare il mio Twitter
gestire perché è probabilmente l’ unico
scuola dovrebbe meteora sapere che sto usando
al momento e sono un po ‘strano
compagno per andare almeno perché io sono
non uno sviluppatore, ma scrivo molto
codice Non sono necessariamente un sistema
amministratore da esso
Ho molti sistemi e ministro
Sono coinvolto nell’architettura senza
essendo un architetto quindi sono una specie di a
generalista che fa molto
cose interessanti quando si tratta di accedere
gestione la mia prima gestione del mio registro
la soluzione era qualcosa che ho costruito sedici anni
anni fa dare o prendere ed è stato
lo standard di settore centralizzato è la registrazione
un paio di anni dopo abbiamo fatto qualcosa
che in realtà aveva un mio database sequel
back-end e che cosa non è riuscito piuttosto
spettacolare quando immagini di avere
un database di due terabyte nel 2006
2007 e per provare a eseguire tutto il tavolo
affermare i mondi appena fondati su a
fermarsi nel 2000 2011 ho scoperto noi
ho scoperto elasticsearch che ero io
pensa subito prima della versione 0.10 e
serrature – anche prima dell’1. oh e noi abbiamo
l’ho gestito per un paio d’anni
nel 2013 passiamo al blocco grigio che
abbiamo usato per un paio di anni
e data l’esperienza che noi
ti ho guadagnato facendo tutte queste cose
essenzialmente finito per costruire il nostro
conduttura di gestione dei registri perché amo
serrature e perché mi capita spesso di scavare
serrature a volte sono chiamato
affettuosamente chiamato sir serrature molto
Lavoro per un’entità del settore pubblico il
regione della Danimarca meridionale e per quelli di
voi che non sono intrinsecamente familiari
con ciò che una regione fa la Danimarca
diviso in cinque diverse aree geografiche
regioni e le principali responsabilità di
una regione è la fertilità facilita il
operazioni di assistenza sanitaria all’interno di aa
regione specifica per noi che significa I
Non conosco 14 15 16 ospedali un enorme
numero di licenziamenti delle istituzioni sociali
registrare i reparti e mentre le regioni hanno
altre responsabilità come il monitoraggio
contaminazione del suolo e tutti i tipi di
altre cose l’ assistenza sanitaria è ciò che è
probabilmente 99 punti qualcosa del nostro
intero bilancio di un’organizzazione di queste dimensioni
può generare una tonnellata di dati quindi siamo io
penso che stiamo registrando un paio di
terabyte ogni giorno possiamo ingerire e
generare centinaia di migliaia di volte
anche milioni di messaggi al secondo e
vediamo una quantità enorme di bene e
formati di registrazione davvero molto brutti
di cosa parleremo oggi?
beh, penso che dovremmo iniziare con a
discussione generale sul motivo per cui penso log
la gestione è importante per un
organizzazione mentre è importante per
sviluppatori perché è importante per le operazioni
team di sicurezza del team, ecc . spero
ti guidi con un tour di cosa
abbiamo finito per costruire per gestire tutto
di quella complessità e ne mostrerò alcuni
si spera che casi d’uso interessanti di cosa
facciamo effettivamente con tutti i dati che
sono un po ‘strani, quindi perché diavolo dovrebbe
ti interessa la gestione dei log che ho
credenza abbastanza forte nella gestione dei log
essere un ottimo strumento per la gestione
complessità se si guarda a
organizzazione della dimensione della nostra che abbiamo
venticinquemila dipendenti di decine e
decine e decine di migliaia di dispositivi
e sistemi e workstation e
Stampanti e problemi di infusione di droga e
tutti i tipi di altre cose questo intero
la cosa in effetti assomiglia molto a
complesso sistema autonomo siamo così grandi
Voglio dire che non è insolito per un
organizzazione che la mano sinistra non ha
so davvero cosa sta facendo la mano destra
ma nella nostra taglia un dito di una mano
non sa che altro dito
la stessa mano è fino a fornire e serrature
una visione unica di ciò che è
succede in questo macchinario gigante, intendo
Ho visto alcune delle tue facce diventare bianche
dopo essere andato tutto filosofico su di te ma
Voglio dire, tutto si riduce davvero a quello
le serrature possono aiutare i lupi dell’organizzazione
può aiutare il vostro team di sviluppo voi
gente amministrativa che corre
i tuoi server fanno una sicurezza per
superare alcune delle sfide implicite
di un tale sistema e roba sta diventando
sempre più complesso ogni singolo giorno
intendo come siamo passati dal dispiegare il nostro
app su una singola macchina a tutto di a
improvvisamente dovendo gestire i kubernetes no
abbandonando Kubernetes ma ma
la complessità sta aumentando ogni singolo
giorno come ho brevemente menzionato che abbiamo
decine e decine e decine in decine di
migliaia di diversi dispositivi alcuni di
sono abbastanza inutilizzabili
Penso che la minoranza di voi abbia la risonanza magnetica
scanner e pompe per l’infusione di farmaci e tutto
tipi di altre cose ma abbiamo il
solite workstation servo telefoni e noi
avere una presenza in più di cento
luoghi diversi all’interno del nostro piccolo
una piccola parte di questi sono i dati necessari
capire le complesse interazioni in
il nostro sistema distribuito a volte le cose
può fallire senza una ragione ovvia e
a volte un input per il sistema può
hanno un output radicalmente diverso da
allora ti rendi conto che i dati possono entrare
un sacco di metriche diverse forme
documentazione dei controlli di monitoraggio
linee guida ma
i registri sono anche una forma piuttosto significativa
di dati ciò che è un log in realtà intendo se
ci pensi, in realtà è carino
un semplice log non è praticamente niente di più
niente di meno che un record di attività
è successo qualcosa che viene scritto
giù in un file di registro ma anche i log
intrinsecamente multidimensionale rispetto a
le metriche se tu raccogli le metriche
ottenere una panoramica dell’infrastruttura
normalmente hanno un numero che rappresenta a
cosa così utilizzo della memoria di utilizzo della CPU
I log di I / O su disco sono multidimensionali
perché se pensi a qualcosa
davvero semplice come una linea di registro da a
telefono da qualche server web di solito
contiene 7 8 9 10 pezzi diversi di
informazioni all’interno di quella linea di registro
richiesta stato del percorso byte elaborati
trasferito i tempi di risposta forse anche
l’utente che ha effettuato l’accesso in questo modo
quindi i log sono intrinsecamente
i registri multidimensionali sono anche dati
i dati possono diventare conoscenza se tratti
correttamente la conoscenza può a un certo punto
diventare dentro e dentro può fornire un
buona parte del contesto in termini di cosa
cosa sta succedendo nella tua infrastruttura
cosa sta succedendo nella tua applicazione
quindi cosa abbiamo finito per fatturare bene
ci siamo seduti intorno a un tavolo
e disegnare alcune cose su di lui e sul
lavagna e perché abbiamo abbiamo
provato questo un numero di volte, intendo noi
ho provato diverse soluzioni e tutto
di loro non è riuscito a un certo punto a causa di
vari vincoli dovuti a vari
cose che non abbiamo nemmeno pensa possa
sarebbe interessante per noi guardare
a così se guardi al puramente
requisiti tecnici erano
in realtà abbastanza semplice di cui avevamo bisogno
qualcosa che potrebbe tranquillamente ingerire a
milioni di eventi al secondo
avevamo bisogno di qualcosa che potesse essere affidabile
ingerire terabyte e terabyte di dati
e hanno forse una cosa più interessante
abbiamo bisogno di qualcosa che possa funzionare
con una quantità arbitraria di diverso
formati perché non lo facciamo noi
controllare il formato dei dati che quello
finisce per essere ingerito nel nostro sistema
i requisiti architettonici erano
in realtà un po ‘ più interessante noi
volevo qualcosa che fosse affidabile e
ops amichevole perché abbiamo avuto un po ‘male
esperienze in esecuzione un paio di
sistemi precedenti che era qualcosa che
era veramente interessante per noi
l’ intera pipeline è stata costruita e
mantenuto, gestito e gestito da a
Squadra molto piccola quindi meno tempo
speso risolvere questo più il tempo che possiamo
spendere per i nostri altri doveri e migliorare
questo piccolo sistema che volevamo
incoraggiare un alto grado di disaccoppiamento
rendilo come un’architettura di micro-servizi
come possibile perché vorremmo
essere in grado di far crescere il cambiamento e di devolvere
parti di questa infrastruttura
indipendentemente l’uno dall’altro, volevamo
utilizzare lo sviluppo moderno e
operazioni che strategie che potrebbero
venire come un po ‘uno shock dato che io
provengono da dal settore pubblico
non è necessariamente qualcosa di più
penseresti a quando pensi
su un’entità governativa e noi
volevo davvero che questa cosa funzionasse
come piattaforma di integrazione asincrona
quindi essenzialmente potremmo assumere qualsiasi forma
input fa qualcosa e lo butta
in qualsiasi tipo di output
quindi essenzialmente quello con cui siamo finiti
una piattaforma di elaborazione del flusso distribuito
per i contaminanti avevamo bisogno che fosse
ottimizzato per alte velocità e alte
volume volevamo il risultato di quelli
eventi da ottimizzare per certo
analitica
pur consentendo un alto grado di
variabilità nei dati di input che volevamo
per essere resistente al fallimento, ma noi
volevo anche che incoraggiasse
sperimentazione in modo che potessimo
continuare ad evolvere e giocare e e
scoprire nuove cose interessanti che noi
può fare con tutti i nostri dati e noi
volevo un’architettura che ci permettesse di
cambiare quasi tutti i componenti senza
avere un impatto importante sulla piattaforma
stesso e doveva essere abbastanza facile
correre e facile da ridimensionare quindi cosa
ci siamo uniti per costruire il nostro
piccolo piccolo bambino bene se tu se
sai di Kafka se sei forse
anche già usando Kafka allora tu
probabilmente capisco che quello che ho
parlato di urla Kafka come
molte persone qui sanno cosa sia Kafka
molte persone gestiscono e gestiscono Kafka su a
base giornaliera per quelli di voi che non lo fanno
Ti darò molto molto breve
svolta o rottura di cosa cosa
Kafka è tutto su Kafka è un evento
bus di un sistema di messaggistica che è venuto fuori
LinkedIn un paio di anni fa
concettualmente e Kafka rileva Kafka
i server sono chiamati broker che puoi avere
più broker per formare un cluster Kafka
è il dato che viene ingerito in Kafka
Metti in un argomento che puoi pensare di a
argomento come un database è un argomento
quindi diviso in un numero di partizioni
quali sono i file reali che finiscono
essere su disco e tu hai consumatori
che può leggere i dati dagli argomenti di Kafka
e tu hai produttori che lo faranno
in realtà producono dati e li inseriscono
per contrastare il
Kefka può essere un po ‘ impegnativo se tu
può estatico con esso ma ma voglio dire se
sta diventando sempre meglio e
meglio con ogni versione e sono
aggiungendo sempre più funzionalità che rendono
è sempre più facile da usare, quindi è così
in realtà non è stato così doloroso come te
pensare
manteniamo sempre un numero di giorni del nostro
i dati all’interno di Kafka Kafka possono fare e per
argomento in cui puoi effettivamente configurare Kafka
per dire che voglio conservare gli ultimi tre
ore gli ultimi sette giorni gli ultimi due
settimane quindi tutto ciò che spediamo da
i nostri server dai nostri switch dai nostri
endpoint da varie scatole di apparecchi
dispositivi tecnici medici qualunque cosa tu
potrei pensare a una volta che raggiunge Kafka
è persistente sul disco che significa qualunque cosa
Altrimenti succede al nostro sistema fino a quando
Kafka sta correndo e Kafka è felice di noi
può sempre recuperare i dati perché noi
avere dati in Kafka possiamo rieseguire alcuni di
le cose che abbiamo scritto alcuni dei nostri
servizi se pensiamo di aver avuto nel
regressione se vogliamo giocare con nuovi
algoritmi quindi possiamo semplicemente eseguire il nostro
codice e istruire il consumatore grafico
client per iniziare al massimo disponibile
o l’ offset disponibile più basso e lo farà
in realtà leggere in un giorno alla settimana al mese di
dati di produzione in modo che i test che siamo
facendo in realtà ho fatto contro il tempo reale
un vero dato di produzione dal vivo sono loro
il tema che è stato si è evoluto
durante l’ultimo anno è un po ‘così
abbiamo diversi produttori che spingono i dati
in esso in diversi argomenti che poi
avere un gruppo di consumatori che è un gruppo
dei consumatori Kafka tirare i dati fuori
l’argomento che fanno qualcosa con quello
dati in cui vengono ingeriti tali dati
un altro argomento che ottiene picks viene scelto
da un altro gruppo di consumatori che lo fa
qualcosa e lo ingerire in un nuovo argomento
e la lista va avanti e avanti e avanti e
finché non abbiamo finalmente trovato una qualche forma di
destinazione in cui tali registri sono sempre
spedito a
la parte interessante di questo è
in realtà cosa sta succedendo in tutto
quei gruppi di consumatori perché ciò che noi
finito per costruire è stato scritto un numero
di piccoli servizi che possono funzionare
indipendentemente l’ uno dall’altro e lo fanno
qualcosa a tutti i dati
attualmente abbiamo 29 servizi distinti
che fanno cose distinte per i nostri registri e
la cosa interessante di micro
servizi perché di nuovo non sono un
sviluppatore ma ma guardando indietro al
la storia penso che il micro servizio sia
un po ‘vecchio voglio dire, se ci pensate
quel comando in sé potrebbe essere
interpretato come un numero di micro
servizi che lavorano insieme per formare un
funzione se siete d’accordo con una nozione che
dovresti scrivere servizi che ne facciano uno
cosa e fare una cosa bene e se tu
d’accordo con l’idea che dovresti
ampi servizi per lavorare insieme e quello
i servizi dovrebbero essere esposti a
interfaccia universale in questo caso tech
flussi in realtà hai solo
riconosciuto che i micro servizi sono
risalente alla fine degli anni ’70 all’inizio degli anni ’80
quando era la filosofia UNIX
cristallizzato da Rob Pike e Bryan
Cronin in un articolo del 1984 che è gentile
di interessante ancora abbiamo 29 distinti
servizi e ho pensato che sarebbe
interessante da guardare in alcuni di loro
capire cosa stiamo facendo a tutti
dei dati che arrivano in a
flusso infinito di diversi formati
dobbiamo avere un qualche tipo di evento
passaggio e qualche tipo di normalizzazione
in modo che i dati abbiano un senso quando vengono
dall’altra parte questo particolare
il servizio è scritto in Ruby che utilizziamo
alcune delle stesse librerie elastiche
serrature – fa per supportare i modelli di croc a
permettici di non dover essenzialmente
reinventare la ruota ogni volta
perché non ce ne sono molti
modelli di blocco interessanti là fuori per
molti dei normali formati di blocco che tu
vorrei vedere
questo essenzialmente ci permette di incontrare a
numero di regole di passaggio a un determinato argomento
quindi ogni messaggio che colpisce è questo argomento
o un argomento è dello stesso tipo e lo farebbe
essere sostanzialmente passato allo stesso modo in cui noi
avere qualche condizionale lì dentro
consentire piccole piccole varianti nel
effettivi dati in arrivo e guardare bene
se rileviamo questa stringa, esegui questo
passer se rileviamo questa stringa
un’altra possum ma ma essenzialmente questo
è il primo passo tutto in un blocco ottiene
viene analizzato e convertito in JSON
facciamo alcune cose interessanti se vedi
questo in realtà ti dice quando io quando
Ho iniziato a scrivere molte righe oggi
esempio eccellente questo è un box Cisco
inviando un oscuro formato syslog ma
con le giuste regole ciò che viene fuori
l’altra estremità ha molto più senso per te
potrebbe ora scomporre gli ID di connessione
può guardare i dispositivi su cui è possibile filtrare
Direzione porti destinazioni che noi
sono se il traffico ti ha attraversato
può fare un sacco di cose interessanti come
Non appena si avvia suddividendoli
in campi separati per effettuare la ricerca in
analisi quello che abbiamo capito abbastanza
all’inizio di questo processo siamo noi
non voglio davvero scherzare troppo
il formato originale dell’evento così noi
Praticare il non un secondo non vorrei
veramente lo chiamano non invadente ma al
piccola quantità la più piccola quantità di
intrusione che possiamo farla franca
in sostanza dovresti essere sempre in grado di farlo
riconosci il formato originale se lo sei
abituato a guardare eventi syslog da a
particolare apparecchio o un particolare
venditore di rete o evento di Windows ti registra
dovrebbe essere sempre in grado di riconoscere
qualunque cosa tu stia vedendo come un tale evento
ma questo ha anche alcuni problemi inerenti
perché penso che nel nostro ambiente noi
avere dodici o tredici campi diversi
nomi per i campi che contengono una fonte
Indirizzo IP che diventa veramente
complessa perché bisogna mantenere tutti
quelle regole nella tua testa su come
struttura il tuo
a seconda dei dati che hai detto che sei
guardando così quello che effettivamente facciamo noi
aggiungere un numero di campi a ciascuno e
ogni registro che utilizzano la stessa notazione del
stessa nomenclatura quindi abbiamo sempre
fonte underscore IP indipendentemente da cosa
è nel formato evento originale che
hanno sempre host di origine ecc ecc perché
che quindi ci consente una ricerca più facile
una volta che i dati escono dall’altra parte e noi
conserva sempre una copia dell’evento originale
in un campo separato e per vari
ragioni per cui uno di loro è la conformità
prossimo servizio che suona un po ‘
in realtà è ridicolo contare che contiamo
il verificarsi di tutto ciò che vedi
ogni processo ogni DLL ogni accesso utente
ogni file ha cancellato ogni dominio che ottiene
visitato ogni indirizzo IP viene contato
e questo è in realtà un bel
problema interessante che ho iniziato
riscrivendo questo in C perché II no
so che mi sono sentito dispiaciuto per me stesso un giorno e
voluto essere veramente veramente veramente fare
cose ancora più difficili ma le
la cosa interessante è distribuita
il conteggio è un problema interessante noi
abbiamo un certo numero di noi abbiamo un consumatore
gruppo facendo questo significato abbiamo 10 15
20 30 100 servizi diversi o invece
istanze dello stesso servizio
contando e facendo questo in modo affidabile in a
modo distribuito lo rende un po ‘
interessante una volta che abbiamo un conteggio che
in realtà ci permette di dare un contesto
a un evento quante volte abbiamo visto
questa cosa particolare nel nostro ambiente
se guardo un processo che ottiene
eseguito 500.000 volte in una settimana in tutto
25.000 workstation che probabilmente sono ok
se vedo un eseguibile eseguito su uno
macchina e questa è l’unica volta
L’ho visto eseguibile, comincio a ottenere un
un po ‘curioso di sapere cosa sta succedendo
questo ci consente anche di implementare
tipi di rilevamento come prima sembrava
come la prima volta in cui vediamo qualcosa
il nostro ambiente
un file hash un’eccezione che è
intrinsecamente interessante per noi più bassi
l’involucro è in realtà un po ‘
esilarante ma ma abbiamo dedicato
servizio facendo nient’altro che involucro inferiore
dei nomi dei campi reali che sei
vedere e per alcuni formati di eventi anche
l’intero evento di nuovo il backend che
stiamo usando per fare ricerca e
scoperta e analisi e roba questo
case -sensitive quindi a volte tu
manca roba solo perché l’ hai dimenticato
ci sono alcuni formati di registro da qualche parte
che ha scritto qualcosa, ma la A maiuscola, se
è la prima lettera dell’evento e
questo aiuta davvero con la ricerca e
scoperta e parte analitica di cosa
siamo noi a fare ricerche DNS che possiamo
generare centinaia di migliaia di DNS
ricerche e molti formati di eventi
che stiamo ingerendo contengono un IP
indirizzo ma non il nome effettivo del
macchina che fa tutto ciò che sta facendo e
che nel nostro ambiente provoca un problema
perché il mio lavoro può benissimo avere un laptop
quattro o cinque indirizzi IP diversi in a
singolo giorno lavorativo cablato Wireless diverso
posizioni che inizio presto e lavoro da
a casa o lavoro in ritardo su VPN che abbiamo bisogno di
assegna un denominatore comune e quello
di solito tende ad essere il nome del
macchina, quindi abbiamo un aspetto piuttosto significativo
parte della nostra infrastruttura non fa nulla
ma nascondiamo le ricerche DNS in modo che non lo facciamo
non cancelliamo la nostra autorità di DNS
server con tutta questa entropia
calcolo abbiamo un gemello di servizio
calcolo di entropia shannon per stimare
il numero medio di bit necessari per
codifica una stringa di simboli questo
essenzialmente ci aiuta a filtrare i nomi
stringhe che sono intrinsecamente casuali in
la natura è perfetta per guardare qualcosa
come i blocchi DNS per guardare il processo
nomi per capire le cose
tipo di spicca rispetto al resto
di
il sistema facciamo anche una discreta quantità di
ricerca selettore di vettori ogni volta che
vedere qualcosa che possiamo identificare come a
macchina o come utente lo cerchiamo e
modifichiamo un numero di informazioni al
evento qualcosa come dove si trova questo
la persona lavora qual è il loro vero titolo
cosa fanno
dove si trova questa particolare macchina
per ragioni di cui parlerò in a
minuto abbiamo 29 di questi servizi come
quelli che ho appena passato facendo tutto
tipi di cose interessanti e il
parte più difficile di tutto il nostro
l’infrastruttura è in realtà questo se noi se
noi se abbiamo bisogno se vogliamo mantenere
velocità in termini di superamento di un milione
eventi al secondo non possiamo davvero aspettare
per le connessioni esterne, la roba appena muore
possiamo anche uccidere leggere come istanze in
il battito di ciglia, quindi dobbiamo essere
davvero abbastanza intelligente su quanti
istanze replicate qui noi le gestiamo come noi
girato i dati su di loro perché può
in realtà può essere abbastanza complicato ma
questo è essenzialmente ciò che ci aiuta
mantenere un’alta velocità nell’arangista
tariffe e poi c’è questa piccola gemma
significa che c’è un motivo per me
perdere i miei capelli e questo è in realtà uno
di loro i formati temporali sono probabilmente il
cosa che ha causato di più
quantità di frustrazione quando sei
parlando di gestione dei log intendo
il numero di cento nano secondi
intervalli dal 1 ° gennaio 1601 UTC perché
perché Microsoft è stato necessario inventare
ancora un altro formato di timestamp lo dico sul serio
semplicemente non ha alcun senso
essenzialmente ciò che tutto questo finisce con
abbiamo costruito dati multidimensionali
modello che ci permette di ispezionare e guardare e
correlare i dati e fondamentalmente su un numero
di diversi angoli
ipotesi possiamo guardare al processo
l’esecuzione per titolo come questo è l’uso
di questa applicazione è questo processo
normali stranieri che lavorano in un
unità di terapia intensiva si o no che possiamo fare
un sacco di davvero molto interessanti
cose perché abbiamo aggiunto molto
metadati e ogni strato nella nostra matrice
diventa un’altra opportunità per
capire e fare rilevamento e
facendo tutti i tipi di cose interessanti se
ti ricordi la diapositiva di architettura
abbiamo parlato di essere moderni e
essendo ops amichevole la squadra che costruisce
corre gestisce questo è tre e tre
e mezzo e mezzo e mezzo e
hanno un sacco di altre cose che loro
ho bisogno di fare oltre a farlo così noi
deciso di andare all in e tutto dentro
la nostra infrastruttura che funziona e
facilita questo questo nostro piccolo
l’applicazione è in esecuzione
contenitori anche se molti dei
le persone che stanno lavorando su questo nostro
amministratori di sistema persone di sicurezza noi
cercare di abbracciare il miglioramento continuo
consegna continua e molto del
altre cose che fanno funzionare l’applicazione
interessante al giorno d’oggi nel nostro particolare
caso vogliamo container docker abbiamo a
istanza github in cui tutto il nostro codice
ottiene ottiene ottiene viene memorizzato abbiamo un
registro immagini abbiamo una pipeline costruita
quello che in realtà finisce per distribuire il nostro
le immagini alla produzione in modo che possiamo muoversi velocemente
ed essere relativamente al sicuro perché non andiamo
rompere le cose e in realtà abbiamo un
un po ‘di codice che abbiamo scritto
noi stessi perché abbiamo uno scheduler
per i nostri gruppi di consumatori in cui ho scritto
in Ruby che ci permette di introspettare il
ritardo del consumatore in Kafka e scala il
numero di consumatori su e giù
di conseguenza e spero di finire
scrivendo la prossima parte di questo che sarà
in realtà ci permettono di gestire Kafka
partizioni quindi la quantità di petizioni
l’argomento ha in pratica la quantità di
letture simultanee in grado di supportare e
in realtà non ti fa bene scalare
il numero numerico di
dei consumatori di Khafre se non lo sei anche tu
ridimensionando il numero di petizioni ma
questo è un problema difficile e noi
non ho avuto il tempo di sistemarlo
abbracciamo una specie di DevOps
metodologie quindi intendiamo il codice del piano
build test funzionamento di Willy operare
il monitor dovrebbe e non dovrebbe essere di alcuno
sorpresa a qualcuno di voi, ma lo è
interessante quando inizi a farlo
un’organizzazione molto molto tradizionale
come dove si fa dove si fa a fare la nostra
C’è dentro voglio dire come ti integrano
isolare i processi contro qualcosa di simile
questa è la cosa alcune delle cose
quello che rende questo davvero davvero davvero
interessante da un punto organizzativo
di vista perché inizi a sfidare a
numero di costrutti e concetti e
processi e ciò che altrimenti vorrebbero
semplicemente non ti permetterebbe di eseguire cose
così quando i dati escono dall’altro
fine
lo pompiamo in homeo che è un bel
nifty piattaforma di gestione del blocco che è
sviluppato qui a Denver e lo usiamo
praticamente per qualsiasi scoperta di ricerca
avviso di visualizzazione della memoria di archiviazione
tutto ciò che facciamo ha l’ homeo nel suo nucleo
così quando Kafka è la spina dorsale di questo
applicazione e i nostri micro servizi di a
il sistema nervoso centrale homeo è una specie di
il pestaggio è il principale
utente in azione verso il sistema noi
finirà per avere 150 200 utenti una volta
aver terminato il nostro processo di migrazione e
l’ equipaggio della sicurezza il team operativo
da solo genera qualcosa nell’ordine
di tre e mezzo a quattromila
interroga la settimana, quindi è così
piuttosto sostanzioso per la nostra sicurezza
per i team operativi che stiamo esaminando
come possiamo renderlo compatibile con il
le diverse legislazioni sono conformi
requisiti in modo che possiamo effettivamente
memorizzare alcuni dei nostri dati più sensibili in
eccolo
andare a lavorare che, si spera, sembra
come se non fosse un problema così grande
come hai notato la tendenza ha poco
estwick lati, perché non credo
che il codice del hall ventus ha in realtà
stato rilasciato al pubblico ma
c’è qualcosa in arrivo
fare previsioni che è davvero
interessante e penso che abbiamo
successo
250 300 diversi avvisi che corriamo
solo in cima a tutti di esso che i dati bello
Voglio dire, è grande abbiamo un sacco di
eventi li abbiamo strutturati che abbiamo
normalizzato li abbiamo aggiunto un sacco di
significato per loro ma cosa facciamo realmente
usali ancora, abbiamo un enorme
la quantità di cose registra ovunque e io
vorrei almeno mostrare
due esempi molto diversi di quello che tu
può fare con dati come questo uno di loro
sta usando log per comportamentali
rilevamento di rilevamento comportamentale di
attività indesiderate dannose all’interno del tuo
infrastrutture gestiamo una bella
dispiegamento sostanziale di bro-bro è a
sistema di monitoraggio della sicurezza della rete che
è scritto in far crescere il linguaggio quanti
di voi conoscete il fratello o il fratello
lingua sì la mia squadra l’interessante
la cosa è bro in realtà è a
linguaggio completo di turing che utilizza un
modalità di programmazione basata su eventi ha a
molti tipi di dati specifici del dominio come
Indirizzi IP e porte e vasto
supporto per il monitoraggio e la gestione
stato della rete nel tempo interessante
cosa su Bro rispetto ad altri
sistemi di rilevamento delle intrusioni è bro
nessuna nozione di bene o male
bro riporta solo ciò che ha visto sul
il network bro supporta una tonnellata di differenti
analizzatori quindi ciò che fondamentalmente fa è bro
rileva connessioni che rileva il
protocolli di cui si parla
connessioni e quindi esegue il protocollo
analizzatori fondamentalmente per dirti cosa
questo protocollo sta facendo così è come se
è una richiesta DNS per ottenere una connessione
log dicendo
qualcuno ha collegato la porta UDP 5-3 su alcuni
macchina ma puoi anche vedere cosa era
la query effettiva e qual è stata la
risposta a quell’equipaggio che tutti ottengono
bloccato in alcuni file di testo piuttosto eleganti
che sono interconnessi che li rendono
piuttosto interessante usare il
protocollo interessante per qualsiasi
l’organizzazione sarebbe SMB servire a
blocco di messaggistica che è uno dei principali
protocolli nel sistema operativo Windows in
Le reti di Windows fanno un sacco di cose
su SMB oltre a condividere file e
Stampanti e abbiamo a
caso d’uso particolare che penso fosse a
un po ‘ interessante perché andiamo
supponiamo che che vorremmo
rilevare il ransomware più persone in questo
la stanza dovrebbe essere familiare o almeno a
programmatore forse qualcuno di voi lavora
organizzazioni che sono state esposte a
il ransomware è molto fastidioso
problema quando iniziamo a parlare
riguardo al rilevamento c’è c’è David
La piramide del dolore di Bianca che il
più alto si sposta nella parte superiore della della
più in alto si sposta il permesso il
le cose più difficili arrivano per un avversario
è davvero facile cambiare i valori hash
è davvero facile modificare un documento o
file e fagli produrre un altro
hash è anche molto facile per loro
passare la loro infrastruttura di attacco a
utilizzando un diverso numero di IP
nomi di dominio diversi ecc ecc cosa è
davvero molto difficile per loro è quello
cambiare il modo in cui il loro malware funziona se
esaminiamo alcuni dei dati
che quel fratello può fornire questo è un
buon esempio che è in realtà
sbagliato un blocco grezzo non abbiamo fatto nulla
ad esso dove puoi vedere il vero questo
è un evento di rinomina che qualcuno ha rinominato
file in cui è possibile vedere il nome del
file il nome precedente del file te
può vedere le porte degli indirizzi IP ecc ecc
la cosa interessante è che ora puoi iniziare
per tenere traccia di diversi eventi SMB come
file file aperto leggi il file scrivi per
rinomina cancella ecc per indirizzo IP sopra
tempo
quando da qualche parte ha dei doveri
Eseguo intendo che deve crittografare il
contenuto del file che significa che deve
leggere alcuni file e dice che deve
cancellare alcuni file solo per cambiare il
il contenuto dei file semplicemente guardando il
tasso e volume di quelli diversi
operazioni e confrontandolo con un normale
la base di riferimento è qualcosa che puoi iniziare
facendo rilevamento su ci sono anche essere
molti falsi positivi come le persone
avviando robocopy o copiando roba
intorno o copiando le loro immagini di vacanza
a qualsiasi condivisione di file ma essenzialmente
è possibile già usando questo
file di registro singolo come esempio principale
puoi iniziare a guardare e questo è
probabilmente ancora più utile perché no
molte persone vanno in giro cancellando i pasticci
volumi di dati, ma questo è in genere
qualcosa che vedresti in quell’estate
un’altra cosa interessante è che puoi vedere
il vero nome del file quindi se davvero
voglio passare alla tipica firma
cosa di rilevamento basato si potrebbe probabilmente
alimentare in un elenco di tipi di file conosciuti più
le famiglie ransomware hanno un numero di
tipi di file che usano quando iniziano
rinominare il contenuto della can cryptid e tu
può iniziare a rilevare in base a ciò ma
quello che è ancora più bello è che bro ha tutto
il framework di analisi dei file si integra così noi
può estrarre file dalla rete
il traffico li invia per l’analisi sandbox
ma Brod fa l’ispezione di entropia così
rotto in realtà ci ha aiutato a decifrare come
casuale è il contenuto del file che è
essere scritto se inizi a tracciarlo
nel tempo è quindi possibile confrontare questo e
dì questo documento di parole che è essere
la scrittura è molto diversa
profilo entropico all’altra parola
documenti che normalmente vediamo nel nostro
ambiente e combinando il
diversi tipi di dati diversi metodi
domande diverse che puoi effettivamente fare
rispondere abbastanza velocemente a qualcosa di simile
non è influenzato dalla pioggia estiva guardando
a comportamento e comportamento
un’altra cosa che trovo molto
interessante e siamo tornati
utilizzare i registri per gestire la complessità
La cosa è che puoi usare i log in realtà
scopri le relazioni sulla maggior parte dei log
che le tue applicazioni siano tue
infrastruttura i tuoi server che tu sia
genera ha qualche tipo di nozione su
chi sta parlando a cosa o chi sta parlando
a chi e modellando ciò che puoi
essenzialmente creare un grafico del tuo
intera infrastruttura e di tutto il
interazioni all’interno della tua infrastruttura
uno degli esempi che abbiamo costruito è
usando la teoria dei grafi per rispondere a un numero di
domande interessanti
corriamo oltre mille diversi
applicazioni che possono essere qualsiasi cosa da un
piccola app desktop standalone per carina
sistemi di informazione sostanziale su
pazienti e trattamenti e tutti i tipi di
altre cose e non possiamo ricordare ogni
uno di loro dalla cima della nostra testa così
se noi se dovessi lavorare con dentro a
il sistema specifico non sarebbe eccezionale se io
potrebbe capire come funziona questa cosa
puoi farlo davvero nutrendo il
Entra direttamente in qualcosa come il nuovo Forte
così puoi guardare questa macchina
i client si connettono a questo front-end Web
server questo server web front-end parla
al database e quel database
in realtà archivia anche i file in questo
condivisione di file che è intrinsecamente utile
perché tu crei un
infrastruttura autodocumentazione tu
potrebbe quindi iniziare a guardare quale impatto
fare modifiche effettive alle infrastrutture hanno
quante persone qui sono sviluppatori come
molte persone qui fanno il servizio basato su micro
architetture quanti di voi in realtà
sapere esattamente il numero di monte e
servizi a valle che dipendono
sul tuo codice questa è una delle cose
dove possono effettivamente aiutare i grafici
perché puoi modellare l’intero
catena di dipendenze su tutta la tua distribuzione
applicazione utilizzando i registri che
esiste già e non deve essere
caldo se guardi qualcosa di nuovo
4j
è intrinsecamente facile da esprimere
alcuni di questi cambiamenti e ciò che si finisce
con qualcosa di carino che può essere
intrinsecamente utile questo è il tipo di
stato attuale delle cose questo è ciò che noi
sono stati spesi non so a
anno dopo perché ne abbiamo molti altri
cose che dobbiamo fare anche noi e se noi
guarda in cosa sarà più probabile
affrontando in futuro ci espanderemo
il nostro uso di Kafka ne abbiamo eseguiti alcuni
esperimenti interessanti su stream K
e K tabelle manipolando il reale
chiavi di partizionamento ottenute dai dati
molto probabilmente saremo partiti
in grado di unire fonti di dati eterogenee
e digitali su un campo comune come
ottenere un flusso di eventi per tutto
che un utente specifico o una macchina o
l’applicazione del servizio ha fatto nonostante
dove vengono registrati quei log
da e possiamo quindi trasformarlo in a
tabella per ottenere una vista in tempo reale
essenzialmente un aggregato materializzato
vedere che possiamo aggiornare ogni 10 minuti
15 minuti e 30 minuti che possono aiutarci
per gestire alcuni dei nostri dati e
esponendo la nuova interfaccia sequel k così
che alcune delle persone che sono forse
non è abituato ad alcune di queste tecnologie
può effettivamente funzionare con alcuni di quei dati
usando qualcosa con cui hanno familiarità
come il sequel di NC e probabilmente lo faremo anche noi
iniziare a guardare un po ‘in macchina
imparando costruiamo un altamente altamente
modello di dati multidimensionale e lì
sono alcuni algoritmi che sono molto molto
buono in termini di lavorare con quello
qualcosa come k-means che è
intrinsecamente utile quando parla
modelli di dati multidimensionali e così
può potenzialmente aiutare nel fare
rilevamento anomalo e altro interessante
cose
ai non è qualcosa con cui ci siamo dilettati
perché quello machine learning è dove
disegniamo la linea, ecco cosa
cosa cosa oltre a ciò è qualcosa
quello è quello che non è veramente territorio
che vorremmo avventurarsi e
perché non abbiamo davvero idea di cosa faremmo
star facendo
questo è essenzialmente tutto ciò che avevo e io sono io
spero sia stato utile spero lo sia stato
interessante ci sono delle domande
Ho Mike c’è una domanda qui
attraverso l’app quindi ne hai fatto uno qualsiasi
considerazioni riguardanti il
prossimo gdpr sono i dati generali
regolamento di protezione si abbiamo per
organizzazioni come la nostra che è
in realtà un problema davvero molto grande
perché PII e pH I sono più o meno
tutto ciò che tocchiamo non è quella categoria
e questo è anche il motivo per cui abbiamo deciso di farlo
tieni tutto questo stampato, quindi niente
lascia la nostra infrastruttura che gestisce
sull’infrastruttura dedicata che è
accessibile solo da pochissime persone
nella nostra organizzazione ci siamo assicurati
che tutto ciò che facciamo ha un registro di controllo
anche se ogni query all’interno di te
in realtà si bloccano quindi abbiamo a
ruolo organizzativo separato che può andare
dentro e capire chi ha accesso a cosa
dati e per quale scopo
e stiamo lavorando con loro al
momento per assicurarsi che anche i dati
su questo è qualcosa che non può
davvero facilmente essere compromessa così anche io
come amministratore non posso inserire SSH
quella cosa e poi inizia a guidare
alcune delle query che ho generato ma
perché lo eseguiamo su Prem perché noi
avere un’esposizione molto molto limitata
perché c’è un modello di autorizzazione che
controlla esattamente chi può vedere quali dati
molti dei nostri problemi sono in realtà
non un tale mal di testa per noi grazie
tutte le domande dal pubblico
Io come si fa a gestire un dati sensibili
digita noi cosa guarda come gestiamo
dati sensibili lo mascherano o e noi
avere la certezza di averlo sicuro
alcuni tipi di dati che si corre
anonimizzato su ci assicuriamo anche che
i dati che contengono materiale sensibile sono
rimosso nei tempi richiesti
perché possiamo effettivamente archiviarne alcuni
questo per un tempo più breve in termini di
debug e altre cose quindi ci sono a
numero di linee guida che facciamo, ma noi
in realtà preferirei rimuovere i dati di a
dati normalizzati perché uno dei più
dei campi chiave che usiamo per
analisi sono le caratteristiche di cui abbiamo bisogno
analizzare in modo che non lo faccia
molto e poi preferiremmo scadere dei dati
e dì ok se solo puoi tenerlo per
una settimana la manteniamo per una settimana, va bene così
non hai avuto bisogno di crittografia
alla nostra apertura che sostengono un po ‘di tè
principalmente questo riguarda il log di infrastruttura
registri di sicurezza e aiuta a trovare cadute
in diversi dispositivi e apparecchi e
tutta quella roba siamo la prossima dopo
un balzo gigantesco offrirà questo al nostro
attività come servizio in modo da andare fuori a
i medici che escono per la gente
eseguendo le applicazioni e avendo un
discussione di entrambi su come noi
può aiutarli a raggiungere un po ‘di intendo
anche alcuni del PIL sono cose in giro
che in realtà devi documentarlo
controlli i log di accesso per il tuo
applicazione e cose del genere in cui noi
sono in una posizione unica per offrire un
servizio condiviso che può aiutare con quello
ma è solo allora che iniziamo a colpire
i problemi delicati okay che ho
un’altra domanda e quanto tempo tu
hai fatto questo hai detto che tu
abbiamo 29 diversi micro servizi noi
iniziato questo viaggio penso a un anno
e mezzo fa quando abbiamo iniziato a provare
il dolore crescente e alcuni dei
vincoli degli scambi commerciali che abbiamo fatto
con la precedente iterazione di questo
sistema abbiamo iniziato a guardare come possiamo
fai meglio come possiamo farlo
più intelligente e come possiamo risolvere alcuni dei nostri
problemi e ti scommetto che in un mese
tra due mesi e tre mesi da adesso
questo è
avremo cambiato in qualche modo e
questa è una cosa intrinseca che abbiamo costruito
nel sistema è la capacità di cambiare
crescere per imparare a non riuscire a imparare di nuovo e
fare altre cose interessanti che possono
aiutarci a raggiungere ci ha aiutato a raggiungere il nostro
obiettivi ok grazie
altre domande
costi
spendiamo i soldi dei contribuenti così nostri
l’obbligo principale è quello di assicurarsi che
spendiamo i soldi dei contribuenti correttamente
la maggior parte delle cose che sono stato
parlare è in realtà open source
è open source o è
qualcosa che abbiamo sviluppato era a
scelta consapevole anche se abbiamo un
bilancio operativo di 24 virgola 1 miliardo
la maggior parte di ciò va in
assistenza sanitaria e anche se potessimo andare
fuori e comprare un contratto di supporto per
qualcosa come Kafka e siamo sotto
alcuni acquisti molto molto interessanti
regole come entità del settore pubblico e noi
tipo di vogliono il nucleo di questo sistema per
essere liberi volevamo qualcosa che
anche se dobbiamo fare una gara pubblica
e qualcun altro vince un po ‘che possiamo
cambiare diverse parti dell’infrastruttura
senza cambiarne il nucleo ogni
una volta sola immagina se hai bisogno di fare un
gara pubblica se hai qualcuno
entrare e sostenere il
concorrenza e voi ogni 3 o 4 anni
devono incatenato tutto il sistema si
devono portare tutte le regole di tutto il
avvisa che diventa davvero molto complicato
e la roba che stiamo pagando è
alcune delle cose che abbiamo semplicemente
non potremmo fare meglio noi stessi così abbiamo
alcuni sensori di telemetria endpoint su
le nostre workstation che registrano tutte le DLL
registro delle esecuzioni dei processi di caricamento
tumulti più veloci per avere accesso a tutto questo
roba e abbiamo Fumio e entrambi
quelli sono in realtà molto meno costosi
della gioventù e tu penseresti che fosse
politicamente abbastanza risposto ancora
domande
qual è stato il principale driver da cui partire
elasticsearch a chi sei quello
interessante domanda qui come piace
Ho detto che siamo stati in esecuzione
elastico per quattro e cinque sei corriamo ancora
elastico intendo che abbiamo ancora parti di
la nostra infrastruttura mondo che abbiamo
trasferito in questa pipeline ancora perché noi
hanno effettivamente fatto 100 150 persone
servizio che è lavoro che usa il sistema
ogni giorno per capire perché diavolo
l’account di qualcuno diventa
continua a bloccare quelle persone
bisogno di essere riqualificati, dobbiamo averli
nel nuovo sistema quelle operazioni
prendiamo tempo essenzialmente passiamo dalle serrature
– a Greylock nel 2013 perché i blocchi che
ha alcuni problemi inerenti in giro
la disponibilità non c’è lettura non era
davvero nessun modo per introspettare il sistema
per capire cosa diavolo stava succedendo
continua a fallire e continua a buttare via
dati attraverso blocchi di luoghi – con grande
bloccare e abbiamo trascorso passiamo più tempo
gestione elastica nell’ultimo anno quindi
sviluppando questa intera pipeline quando tu
inizia quando inizi a muoverti nel
regno dove hai rack di elastico
server spesso anche bisogno di persone che
sono addestrati a gestire quel sistema se
elastico è parte della domanda
già intendo se lo usi per basso
ricerca della latenza per qualcos’altro allora
probabilmente hai persone che hanno un buono
idea su come funziona quella cosa, ma per
uno scopo specifico di registrazione era
semplicemente a causa di cose che potrei fare
troppo perché noi ereditiamo noi ereditiamo
tutta la complessità perché elastica
può essere usato per qualsiasi cosa da fare registri
a caccia di focolai di Ebola in Africa del
altra della terza cosa che ci ha fatto
il cambiamento era il trade-off inerente a
la maggior parte di questo sistema è la più importante
del sistema in cui guardiamo
termini di velocità e volume più sempre
centrato attorno alla nozione di sei tu
fare schema su Rideau che intrigge proprio dentro
il nostro cluster elastico e l’ 80% del
le risorse vengono spesi per il mantenimento
indici per la ricerca che Mayo ha un piuttosto
approccio diverso perché non lo fanno
molto indicizzazione fanno la forza bruta
la ricerca di questo ci consente di avere un
quantità relativamente piccola di risorse
che può ingerire anche più dati dei nostri
giganteschi tre reagiscono elastici
installazione intendo l’interruttore da solo I
pensiamo di aver salvato qualcosa come cento
migliaia di euro in hardware e licenze
e cose facendo questo interruttore così per
noi e per il nostro caso d’uso specifico lo era
la scelta giusta
elastico è un ottimo prodotto mi piace cosa
stanno facendo
ma non era la scelta giusta per
noi Grazie martellante sfortunato io
penso che siamo fuori da questa ora, quindi si
la ringrazio molto per l’ascolto
[Applausi]
Sono qui per parlare della varietà Velocity
e il volume che guadagna intuizioni è il mio nome
Henrik se vuoi parlare con me dopo
questa conferenza si prega di utilizzare il mio Twitter
gestire perché è probabilmente l’ unico
scuola dovrebbe meteora sapere che sto usando
al momento e sono un po ‘strano
compagno per andare almeno perché io sono
non uno sviluppatore, ma scrivo molto
codice Non sono necessariamente un sistema
amministratore da esso
Ho molti sistemi e ministro
Sono coinvolto nell’architettura senza
essendo un architetto quindi sono una specie di a
generalista che fa molto
cose interessanti quando si tratta di accedere
gestione la mia prima gestione del mio registro
la soluzione era qualcosa che ho costruito sedici anni
anni fa dare o prendere ed è stato
lo standard di settore centralizzato è la registrazione
un paio di anni dopo abbiamo fatto qualcosa
che in realtà aveva un mio database sequel
back-end e che cosa non è riuscito piuttosto
spettacolare quando immagini di avere
un database di due terabyte nel 2006
2007 e per provare a eseguire tutto il tavolo
affermare i mondi appena fondati su a
fermarsi nel 2000 2011 ho scoperto noi
ho scoperto elasticsearch che ero io
pensa subito prima della versione 0.10 e
serrature – anche prima dell’1. oh e noi abbiamo
l’ho gestito per un paio d’anni
nel 2013 passiamo al blocco grigio che
abbiamo usato per un paio di anni
e data l’esperienza che noi
ti ho guadagnato facendo tutte queste cose
essenzialmente finito per costruire il nostro
conduttura di gestione dei registri perché amo
serrature e perché mi capita spesso di scavare
serrature a volte sono chiamato
affettuosamente chiamato sir serrature molto
Lavoro per un’entità del settore pubblico il
regione della Danimarca meridionale e per quelli di
voi che non sono intrinsecamente familiari
con ciò che una regione fa la Danimarca
diviso in cinque diverse aree geografiche
regioni e le principali responsabilità di
una regione è la fertilità facilita il
operazioni di assistenza sanitaria all’interno di aa
regione specifica per noi che significa I
Non conosco 14 15 16 ospedali un enorme
numero di licenziamenti delle istituzioni sociali
registrare i reparti e mentre le regioni hanno
altre responsabilità come il monitoraggio
contaminazione del suolo e tutti i tipi di
altre cose l’ assistenza sanitaria è ciò che è
probabilmente 99 punti qualcosa del nostro
intero bilancio di un’organizzazione di queste dimensioni
può generare una tonnellata di dati quindi siamo io
penso che stiamo registrando un paio di
terabyte ogni giorno possiamo ingerire e
generare centinaia di migliaia di volte
anche milioni di messaggi al secondo e
vediamo una quantità enorme di bene e
formati di registrazione davvero molto brutti
di cosa parleremo oggi?
beh, penso che dovremmo iniziare con a
discussione generale sul motivo per cui penso log
la gestione è importante per un
organizzazione mentre è importante per
sviluppatori perché è importante per le operazioni
team di sicurezza del team, ecc . spero
ti guidi con un tour di cosa
abbiamo finito per costruire per gestire tutto
di quella complessità e ne mostrerò alcuni
si spera che casi d’uso interessanti di cosa
facciamo effettivamente con tutti i dati che
sono un po ‘strani, quindi perché diavolo dovrebbe
ti interessa la gestione dei log che ho
credenza abbastanza forte nella gestione dei log
essere un ottimo strumento per la gestione
complessità se si guarda a
organizzazione della dimensione della nostra che abbiamo
venticinquemila dipendenti di decine e
decine e decine di migliaia di dispositivi
e sistemi e workstation e
Stampanti e problemi di infusione di droga e
tutti i tipi di altre cose questo intero
la cosa in effetti assomiglia molto a
complesso sistema autonomo siamo così grandi
Voglio dire che non è insolito per un
organizzazione che la mano sinistra non ha
so davvero cosa sta facendo la mano destra
ma nella nostra taglia un dito di una mano
non sa che altro dito
la stessa mano è fino a fornire e serrature
una visione unica di ciò che è
succede in questo macchinario gigante, intendo
Ho visto alcune delle tue facce diventare bianche
dopo essere andato tutto filosofico su di te ma
Voglio dire, tutto si riduce davvero a quello
le serrature possono aiutare i lupi dell’organizzazione
può aiutare il vostro team di sviluppo voi
gente amministrativa che corre
i tuoi server fanno una sicurezza per
superare alcune delle sfide implicite
di un tale sistema e roba sta diventando
sempre più complesso ogni singolo giorno
intendo come siamo passati dal dispiegare il nostro
app su una singola macchina a tutto di a
improvvisamente dovendo gestire i kubernetes no
abbandonando Kubernetes ma ma
la complessità sta aumentando ogni singolo
giorno come ho brevemente menzionato che abbiamo
decine e decine e decine in decine di
migliaia di diversi dispositivi alcuni di
sono abbastanza inutilizzabili
Penso che la minoranza di voi abbia la risonanza magnetica
scanner e pompe per l’infusione di farmaci e tutto
tipi di altre cose ma abbiamo il
solite workstation servo telefoni e noi
avere una presenza in più di cento
luoghi diversi all’interno del nostro piccolo
una piccola parte di questi sono i dati necessari
capire le complesse interazioni in
il nostro sistema distribuito a volte le cose
può fallire senza una ragione ovvia e
a volte un input per il sistema può
hanno un output radicalmente diverso da
allora ti rendi conto che i dati possono entrare
un sacco di metriche diverse forme
documentazione dei controlli di monitoraggio
linee guida ma
i registri sono anche una forma piuttosto significativa
di dati ciò che è un log in realtà intendo se
ci pensi, in realtà è carino
un semplice log non è praticamente niente di più
niente di meno che un record di attività
è successo qualcosa che viene scritto
giù in un file di registro ma anche i log
intrinsecamente multidimensionale rispetto a
le metriche se tu raccogli le metriche
ottenere una panoramica dell’infrastruttura
normalmente hanno un numero che rappresenta a
cosa così utilizzo della memoria di utilizzo della CPU
I log di I / O su disco sono multidimensionali
perché se pensi a qualcosa
davvero semplice come una linea di registro da a
telefono da qualche server web di solito
contiene 7 8 9 10 pezzi diversi di
informazioni all’interno di quella linea di registro
richiesta stato del percorso byte elaborati
trasferito i tempi di risposta forse anche
l’utente che ha effettuato l’accesso in questo modo
quindi i log sono intrinsecamente
i registri multidimensionali sono anche dati
i dati possono diventare conoscenza se tratti
correttamente la conoscenza può a un certo punto
diventare dentro e dentro può fornire un
buona parte del contesto in termini di cosa
cosa sta succedendo nella tua infrastruttura
cosa sta succedendo nella tua applicazione
quindi cosa abbiamo finito per fatturare bene
ci siamo seduti intorno a un tavolo
e disegnare alcune cose su di lui e sul
lavagna e perché abbiamo abbiamo
provato questo un numero di volte, intendo noi
ho provato diverse soluzioni e tutto
di loro non è riuscito a un certo punto a causa di
vari vincoli dovuti a vari
cose che non abbiamo nemmeno pensa possa
sarebbe interessante per noi guardare
a così se guardi al puramente
requisiti tecnici erano
in realtà abbastanza semplice di cui avevamo bisogno
qualcosa che potrebbe tranquillamente ingerire a
milioni di eventi al secondo
avevamo bisogno di qualcosa che potesse essere affidabile
ingerire terabyte e terabyte di dati
e hanno forse una cosa più interessante
abbiamo bisogno di qualcosa che possa funzionare
con una quantità arbitraria di diverso
formati perché non lo facciamo noi
controllare il formato dei dati che quello
finisce per essere ingerito nel nostro sistema
i requisiti architettonici erano
in realtà un po ‘ più interessante noi
volevo qualcosa che fosse affidabile e
ops amichevole perché abbiamo avuto un po ‘male
esperienze in esecuzione un paio di
sistemi precedenti che era qualcosa che
era veramente interessante per noi
l’ intera pipeline è stata costruita e
mantenuto, gestito e gestito da a
Squadra molto piccola quindi meno tempo
speso risolvere questo più il tempo che possiamo
spendere per i nostri altri doveri e migliorare
questo piccolo sistema che volevamo
incoraggiare un alto grado di disaccoppiamento
rendilo come un’architettura di micro-servizi
come possibile perché vorremmo
essere in grado di far crescere il cambiamento e di devolvere
parti di questa infrastruttura
indipendentemente l’uno dall’altro, volevamo
utilizzare lo sviluppo moderno e
operazioni che strategie che potrebbero
venire come un po ‘uno shock dato che io
provengono da dal settore pubblico
non è necessariamente qualcosa di più
penseresti a quando pensi
su un’entità governativa e noi
volevo davvero che questa cosa funzionasse
come piattaforma di integrazione asincrona
quindi essenzialmente potremmo assumere qualsiasi forma
input fa qualcosa e lo butta
in qualsiasi tipo di output
quindi essenzialmente quello con cui siamo finiti
una piattaforma di elaborazione del flusso distribuito
per i contaminanti avevamo bisogno che fosse
ottimizzato per alte velocità e alte
volume volevamo il risultato di quelli
eventi da ottimizzare per certo
analitica
pur consentendo un alto grado di
variabilità nei dati di input che volevamo
per essere resistente al fallimento, ma noi
volevo anche che incoraggiasse
sperimentazione in modo che potessimo
continuare ad evolvere e giocare e e
scoprire nuove cose interessanti che noi
può fare con tutti i nostri dati e noi
volevo un’architettura che ci permettesse di
cambiare quasi tutti i componenti senza
avere un impatto importante sulla piattaforma
stesso e doveva essere abbastanza facile
correre e facile da ridimensionare quindi cosa
ci siamo uniti per costruire il nostro
piccolo piccolo bambino bene se tu se
sai di Kafka se sei forse
anche già usando Kafka allora tu
probabilmente capisco che quello che ho
parlato di urla Kafka come
molte persone qui sanno cosa sia Kafka
molte persone gestiscono e gestiscono Kafka su a
base giornaliera per quelli di voi che non lo fanno
Ti darò molto molto breve
svolta o rottura di cosa cosa
Kafka è tutto su Kafka è un evento
bus di un sistema di messaggistica che è venuto fuori
LinkedIn un paio di anni fa
concettualmente e Kafka rileva Kafka
i server sono chiamati broker che puoi avere
più broker per formare un cluster Kafka
è il dato che viene ingerito in Kafka
Metti in un argomento che puoi pensare di a
argomento come un database è un argomento
quindi diviso in un numero di partizioni
quali sono i file reali che finiscono
essere su disco e tu hai consumatori
che può leggere i dati dagli argomenti di Kafka
e tu hai produttori che lo faranno
in realtà producono dati e li inseriscono
per contrastare il
Kefka può essere un po ‘ impegnativo se tu
può estatico con esso ma ma voglio dire se
sta diventando sempre meglio e
meglio con ogni versione e sono
aggiungendo sempre più funzionalità che rendono
è sempre più facile da usare, quindi è così
in realtà non è stato così doloroso come te
pensare
manteniamo sempre un numero di giorni del nostro
i dati all’interno di Kafka Kafka possono fare e per
argomento in cui puoi effettivamente configurare Kafka
per dire che voglio conservare gli ultimi tre
ore gli ultimi sette giorni gli ultimi due
settimane quindi tutto ciò che spediamo da
i nostri server dai nostri switch dai nostri
endpoint da varie scatole di apparecchi
dispositivi tecnici medici qualunque cosa tu
potrei pensare a una volta che raggiunge Kafka
è persistente sul disco che significa qualunque cosa
Altrimenti succede al nostro sistema fino a quando
Kafka sta correndo e Kafka è felice di noi
può sempre recuperare i dati perché noi
avere dati in Kafka possiamo rieseguire alcuni di
le cose che abbiamo scritto alcuni dei nostri
servizi se pensiamo di aver avuto nel
regressione se vogliamo giocare con nuovi
algoritmi quindi possiamo semplicemente eseguire il nostro
codice e istruire il consumatore grafico
client per iniziare al massimo disponibile
o l’ offset disponibile più basso e lo farà
in realtà leggere in un giorno alla settimana al mese di
dati di produzione in modo che i test che siamo
facendo in realtà ho fatto contro il tempo reale
un vero dato di produzione dal vivo sono loro
il tema che è stato si è evoluto
durante l’ultimo anno è un po ‘così
abbiamo diversi produttori che spingono i dati
in esso in diversi argomenti che poi
avere un gruppo di consumatori che è un gruppo
dei consumatori Kafka tirare i dati fuori
l’argomento che fanno qualcosa con quello
dati in cui vengono ingeriti tali dati
un altro argomento che ottiene picks viene scelto
da un altro gruppo di consumatori che lo fa
qualcosa e lo ingerire in un nuovo argomento
e la lista va avanti e avanti e avanti e
finché non abbiamo finalmente trovato una qualche forma di
destinazione in cui tali registri sono sempre
spedito a
la parte interessante di questo è
in realtà cosa sta succedendo in tutto
quei gruppi di consumatori perché ciò che noi
finito per costruire è stato scritto un numero
di piccoli servizi che possono funzionare
indipendentemente l’ uno dall’altro e lo fanno
qualcosa a tutti i dati
attualmente abbiamo 29 servizi distinti
che fanno cose distinte per i nostri registri e
la cosa interessante di micro
servizi perché di nuovo non sono un
sviluppatore ma ma guardando indietro al
la storia penso che il micro servizio sia
un po ‘vecchio voglio dire, se ci pensate
quel comando in sé potrebbe essere
interpretato come un numero di micro
servizi che lavorano insieme per formare un
funzione se siete d’accordo con una nozione che
dovresti scrivere servizi che ne facciano uno
cosa e fare una cosa bene e se tu
d’accordo con l’idea che dovresti
ampi servizi per lavorare insieme e quello
i servizi dovrebbero essere esposti a
interfaccia universale in questo caso tech
flussi in realtà hai solo
riconosciuto che i micro servizi sono
risalente alla fine degli anni ’70 all’inizio degli anni ’80
quando era la filosofia UNIX
cristallizzato da Rob Pike e Bryan
Cronin in un articolo del 1984 che è gentile
di interessante ancora abbiamo 29 distinti
servizi e ho pensato che sarebbe
interessante da guardare in alcuni di loro
capire cosa stiamo facendo a tutti
dei dati che arrivano in a
flusso infinito di diversi formati
dobbiamo avere un qualche tipo di evento
passaggio e qualche tipo di normalizzazione
in modo che i dati abbiano un senso quando vengono
dall’altra parte questo particolare
il servizio è scritto in Ruby che utilizziamo
alcune delle stesse librerie elastiche
serrature – fa per supportare i modelli di croc a
permettici di non dover essenzialmente
reinventare la ruota ogni volta
perché non ce ne sono molti
modelli di blocco interessanti là fuori per
molti dei normali formati di blocco che tu
vorrei vedere
questo essenzialmente ci permette di incontrare a
numero di regole di passaggio a un determinato argomento
quindi ogni messaggio che colpisce è questo argomento
o un argomento è dello stesso tipo e lo farebbe
essere sostanzialmente passato allo stesso modo in cui noi
avere qualche condizionale lì dentro
consentire piccole piccole varianti nel
effettivi dati in arrivo e guardare bene
se rileviamo questa stringa, esegui questo
passer se rileviamo questa stringa
un’altra possum ma ma essenzialmente questo
è il primo passo tutto in un blocco ottiene
viene analizzato e convertito in JSON
facciamo alcune cose interessanti se vedi
questo in realtà ti dice quando io quando
Ho iniziato a scrivere molte righe oggi
esempio eccellente questo è un box Cisco
inviando un oscuro formato syslog ma
con le giuste regole ciò che viene fuori
l’altra estremità ha molto più senso per te
potrebbe ora scomporre gli ID di connessione
può guardare i dispositivi su cui è possibile filtrare
Direzione porti destinazioni che noi
sono se il traffico ti ha attraversato
può fare un sacco di cose interessanti come
Non appena si avvia suddividendoli
in campi separati per effettuare la ricerca in
analisi quello che abbiamo capito abbastanza
all’inizio di questo processo siamo noi
non voglio davvero scherzare troppo
il formato originale dell’evento così noi
Praticare il non un secondo non vorrei
veramente lo chiamano non invadente ma al
piccola quantità la più piccola quantità di
intrusione che possiamo farla franca
in sostanza dovresti essere sempre in grado di farlo
riconosci il formato originale se lo sei
abituato a guardare eventi syslog da a
particolare apparecchio o un particolare
venditore di rete o evento di Windows ti registra
dovrebbe essere sempre in grado di riconoscere
qualunque cosa tu stia vedendo come un tale evento
ma questo ha anche alcuni problemi inerenti
perché penso che nel nostro ambiente noi
avere dodici o tredici campi diversi
nomi per i campi che contengono una fonte
Indirizzo IP che diventa veramente
complessa perché bisogna mantenere tutti
quelle regole nella tua testa su come
struttura il tuo
a seconda dei dati che hai detto che sei
guardando così quello che effettivamente facciamo noi
aggiungere un numero di campi a ciascuno e
ogni registro che utilizzano la stessa notazione del
stessa nomenclatura quindi abbiamo sempre
fonte underscore IP indipendentemente da cosa
è nel formato evento originale che
hanno sempre host di origine ecc ecc perché
che quindi ci consente una ricerca più facile
una volta che i dati escono dall’altra parte e noi
conserva sempre una copia dell’evento originale
in un campo separato e per vari
ragioni per cui uno di loro è la conformità
prossimo servizio che suona un po ‘
in realtà è ridicolo contare che contiamo
il verificarsi di tutto ciò che vedi
ogni processo ogni DLL ogni accesso utente
ogni file ha cancellato ogni dominio che ottiene
visitato ogni indirizzo IP viene contato
e questo è in realtà un bel
problema interessante che ho iniziato
riscrivendo questo in C perché II no
so che mi sono sentito dispiaciuto per me stesso un giorno e
voluto essere veramente veramente veramente fare
cose ancora più difficili ma le
la cosa interessante è distribuita
il conteggio è un problema interessante noi
abbiamo un certo numero di noi abbiamo un consumatore
gruppo facendo questo significato abbiamo 10 15
20 30 100 servizi diversi o invece
istanze dello stesso servizio
contando e facendo questo in modo affidabile in a
modo distribuito lo rende un po ‘
interessante una volta che abbiamo un conteggio che
in realtà ci permette di dare un contesto
a un evento quante volte abbiamo visto
questa cosa particolare nel nostro ambiente
se guardo un processo che ottiene
eseguito 500.000 volte in una settimana in tutto
25.000 workstation che probabilmente sono ok
se vedo un eseguibile eseguito su uno
macchina e questa è l’unica volta
L’ho visto eseguibile, comincio a ottenere un
un po ‘curioso di sapere cosa sta succedendo
questo ci consente anche di implementare
tipi di rilevamento come prima sembrava
come la prima volta in cui vediamo qualcosa
il nostro ambiente
un file hash un’eccezione che è
intrinsecamente interessante per noi più bassi
l’involucro è in realtà un po ‘
esilarante ma ma abbiamo dedicato
servizio facendo nient’altro che involucro inferiore
dei nomi dei campi reali che sei
vedere e per alcuni formati di eventi anche
l’intero evento di nuovo il backend che
stiamo usando per fare ricerca e
scoperta e analisi e roba questo
case -sensitive quindi a volte tu
manca roba solo perché l’ hai dimenticato
ci sono alcuni formati di registro da qualche parte
che ha scritto qualcosa, ma la A maiuscola, se
è la prima lettera dell’evento e
questo aiuta davvero con la ricerca e
scoperta e parte analitica di cosa
siamo noi a fare ricerche DNS che possiamo
generare centinaia di migliaia di DNS
ricerche e molti formati di eventi
che stiamo ingerendo contengono un IP
indirizzo ma non il nome effettivo del
macchina che fa tutto ciò che sta facendo e
che nel nostro ambiente provoca un problema
perché il mio lavoro può benissimo avere un laptop
quattro o cinque indirizzi IP diversi in a
singolo giorno lavorativo cablato Wireless diverso
posizioni che inizio presto e lavoro da
a casa o lavoro in ritardo su VPN che abbiamo bisogno di
assegna un denominatore comune e quello
di solito tende ad essere il nome del
macchina, quindi abbiamo un aspetto piuttosto significativo
parte della nostra infrastruttura non fa nulla
ma nascondiamo le ricerche DNS in modo che non lo facciamo
non cancelliamo la nostra autorità di DNS
server con tutta questa entropia
calcolo abbiamo un gemello di servizio
calcolo di entropia shannon per stimare
il numero medio di bit necessari per
codifica una stringa di simboli questo
essenzialmente ci aiuta a filtrare i nomi
stringhe che sono intrinsecamente casuali in
la natura è perfetta per guardare qualcosa
come i blocchi DNS per guardare il processo
nomi per capire le cose
tipo di spicca rispetto al resto
di
il sistema facciamo anche una discreta quantità di
ricerca selettore di vettori ogni volta che
vedere qualcosa che possiamo identificare come a
macchina o come utente lo cerchiamo e
modifichiamo un numero di informazioni al
evento qualcosa come dove si trova questo
la persona lavora qual è il loro vero titolo
cosa fanno
dove si trova questa particolare macchina
per ragioni di cui parlerò in a
minuto abbiamo 29 di questi servizi come
quelli che ho appena passato facendo tutto
tipi di cose interessanti e il
parte più difficile di tutto il nostro
l’infrastruttura è in realtà questo se noi se
noi se abbiamo bisogno se vogliamo mantenere
velocità in termini di superamento di un milione
eventi al secondo non possiamo davvero aspettare
per le connessioni esterne, la roba appena muore
possiamo anche uccidere leggere come istanze in
il battito di ciglia, quindi dobbiamo essere
davvero abbastanza intelligente su quanti
istanze replicate qui noi le gestiamo come noi
girato i dati su di loro perché può
in realtà può essere abbastanza complicato ma
questo è essenzialmente ciò che ci aiuta
mantenere un’alta velocità nell’arangista
tariffe e poi c’è questa piccola gemma
significa che c’è un motivo per me
perdere i miei capelli e questo è in realtà uno
di loro i formati temporali sono probabilmente il
cosa che ha causato di più
quantità di frustrazione quando sei
parlando di gestione dei log intendo
il numero di cento nano secondi
intervalli dal 1 ° gennaio 1601 UTC perché
perché Microsoft è stato necessario inventare
ancora un altro formato di timestamp lo dico sul serio
semplicemente non ha alcun senso
essenzialmente ciò che tutto questo finisce con
abbiamo costruito dati multidimensionali
modello che ci permette di ispezionare e guardare e
correlare i dati e fondamentalmente su un numero
di diversi angoli
ipotesi possiamo guardare al processo
l’esecuzione per titolo come questo è l’uso
di questa applicazione è questo processo
normali stranieri che lavorano in un
unità di terapia intensiva si o no che possiamo fare
un sacco di davvero molto interessanti
cose perché abbiamo aggiunto molto
metadati e ogni strato nella nostra matrice
diventa un’altra opportunità per
capire e fare rilevamento e
facendo tutti i tipi di cose interessanti se
ti ricordi la diapositiva di architettura
abbiamo parlato di essere moderni e
essendo ops amichevole la squadra che costruisce
corre gestisce questo è tre e tre
e mezzo e mezzo e mezzo e
hanno un sacco di altre cose che loro
ho bisogno di fare oltre a farlo così noi
deciso di andare all in e tutto dentro
la nostra infrastruttura che funziona e
facilita questo questo nostro piccolo
l’applicazione è in esecuzione
contenitori anche se molti dei
le persone che stanno lavorando su questo nostro
amministratori di sistema persone di sicurezza noi
cercare di abbracciare il miglioramento continuo
consegna continua e molto del
altre cose che fanno funzionare l’applicazione
interessante al giorno d’oggi nel nostro particolare
caso vogliamo container docker abbiamo a
istanza github in cui tutto il nostro codice
ottiene ottiene ottiene viene memorizzato abbiamo un
registro immagini abbiamo una pipeline costruita
quello che in realtà finisce per distribuire il nostro
le immagini alla produzione in modo che possiamo muoversi velocemente
ed essere relativamente al sicuro perché non andiamo
rompere le cose e in realtà abbiamo un
un po ‘di codice che abbiamo scritto
noi stessi perché abbiamo uno scheduler
per i nostri gruppi di consumatori in cui ho scritto
in Ruby che ci permette di introspettare il
ritardo del consumatore in Kafka e scala il
numero di consumatori su e giù
di conseguenza e spero di finire
scrivendo la prossima parte di questo che sarà
in realtà ci permettono di gestire Kafka
partizioni quindi la quantità di petizioni
l’argomento ha in pratica la quantità di
letture simultanee in grado di supportare e
in realtà non ti fa bene scalare
il numero numerico di
dei consumatori di Khafre se non lo sei anche tu
ridimensionando il numero di petizioni ma
questo è un problema difficile e noi
non ho avuto il tempo di sistemarlo
abbracciamo una specie di DevOps
metodologie quindi intendiamo il codice del piano
build test funzionamento di Willy operare
il monitor dovrebbe e non dovrebbe essere di alcuno
sorpresa a qualcuno di voi, ma lo è
interessante quando inizi a farlo
un’organizzazione molto molto tradizionale
come dove si fa dove si fa a fare la nostra
C’è dentro voglio dire come ti integrano
isolare i processi contro qualcosa di simile
questa è la cosa alcune delle cose
quello che rende questo davvero davvero davvero
interessante da un punto organizzativo
di vista perché inizi a sfidare a
numero di costrutti e concetti e
processi e ciò che altrimenti vorrebbero
semplicemente non ti permetterebbe di eseguire cose
così quando i dati escono dall’altro
fine
lo pompiamo in homeo che è un bel
nifty piattaforma di gestione del blocco che è
sviluppato qui a Denver e lo usiamo
praticamente per qualsiasi scoperta di ricerca
avviso di visualizzazione della memoria di archiviazione
tutto ciò che facciamo ha l’ homeo nel suo nucleo
così quando Kafka è la spina dorsale di questo
applicazione e i nostri micro servizi di a
il sistema nervoso centrale homeo è una specie di
il pestaggio è il principale
utente in azione verso il sistema noi
finirà per avere 150 200 utenti una volta
aver terminato il nostro processo di migrazione e
l’ equipaggio della sicurezza il team operativo
da solo genera qualcosa nell’ordine
di tre e mezzo a quattromila
interroga la settimana, quindi è così
piuttosto sostanzioso per la nostra sicurezza
per i team operativi che stiamo esaminando
come possiamo renderlo compatibile con il
le diverse legislazioni sono conformi
requisiti in modo che possiamo effettivamente
memorizzare alcuni dei nostri dati più sensibili in
eccolo
andare a lavorare che, si spera, sembra
come se non fosse un problema così grande
come hai notato la tendenza ha poco
estwick lati, perché non credo
che il codice del hall ventus ha in realtà
stato rilasciato al pubblico ma
c’è qualcosa in arrivo
fare previsioni che è davvero
interessante e penso che abbiamo
successo
250 300 diversi avvisi che corriamo
solo in cima a tutti di esso che i dati bello
Voglio dire, è grande abbiamo un sacco di
eventi li abbiamo strutturati che abbiamo
normalizzato li abbiamo aggiunto un sacco di
significato per loro ma cosa facciamo realmente
usali ancora, abbiamo un enorme
la quantità di cose registra ovunque e io
vorrei almeno mostrare
due esempi molto diversi di quello che tu
può fare con dati come questo uno di loro
sta usando log per comportamentali
rilevamento di rilevamento comportamentale di
attività indesiderate dannose all’interno del tuo
infrastrutture gestiamo una bella
dispiegamento sostanziale di bro-bro è a
sistema di monitoraggio della sicurezza della rete che
è scritto in far crescere il linguaggio quanti
di voi conoscete il fratello o il fratello
lingua sì la mia squadra l’interessante
la cosa è bro in realtà è a
linguaggio completo di turing che utilizza un
modalità di programmazione basata su eventi ha a
molti tipi di dati specifici del dominio come
Indirizzi IP e porte e vasto
supporto per il monitoraggio e la gestione
stato della rete nel tempo interessante
cosa su Bro rispetto ad altri
sistemi di rilevamento delle intrusioni è bro
nessuna nozione di bene o male
bro riporta solo ciò che ha visto sul
il network bro supporta una tonnellata di differenti
analizzatori quindi ciò che fondamentalmente fa è bro
rileva connessioni che rileva il
protocolli di cui si parla
connessioni e quindi esegue il protocollo
analizzatori fondamentalmente per dirti cosa
questo protocollo sta facendo così è come se
è una richiesta DNS per ottenere una connessione
log dicendo
qualcuno ha collegato la porta UDP 5-3 su alcuni
macchina ma puoi anche vedere cosa era
la query effettiva e qual è stata la
risposta a quell’equipaggio che tutti ottengono
bloccato in alcuni file di testo piuttosto eleganti
che sono interconnessi che li rendono
piuttosto interessante usare il
protocollo interessante per qualsiasi
l’organizzazione sarebbe SMB servire a
blocco di messaggistica che è uno dei principali
protocolli nel sistema operativo Windows in
Le reti di Windows fanno un sacco di cose
su SMB oltre a condividere file e
Stampanti e abbiamo a
caso d’uso particolare che penso fosse a
un po ‘ interessante perché andiamo
supponiamo che che vorremmo
rilevare il ransomware più persone in questo
la stanza dovrebbe essere familiare o almeno a
programmatore forse qualcuno di voi lavora
organizzazioni che sono state esposte a
il ransomware è molto fastidioso
problema quando iniziamo a parlare
riguardo al rilevamento c’è c’è David
La piramide del dolore di Bianca che il
più alto si sposta nella parte superiore della della
più in alto si sposta il permesso il
le cose più difficili arrivano per un avversario
è davvero facile cambiare i valori hash
è davvero facile modificare un documento o
file e fagli produrre un altro
hash è anche molto facile per loro
passare la loro infrastruttura di attacco a
utilizzando un diverso numero di IP
nomi di dominio diversi ecc ecc cosa è
davvero molto difficile per loro è quello
cambiare il modo in cui il loro malware funziona se
esaminiamo alcuni dei dati
che quel fratello può fornire questo è un
buon esempio che è in realtà
sbagliato un blocco grezzo non abbiamo fatto nulla
ad esso dove puoi vedere il vero questo
è un evento di rinomina che qualcuno ha rinominato
file in cui è possibile vedere il nome del
file il nome precedente del file te
può vedere le porte degli indirizzi IP ecc ecc
la cosa interessante è che ora puoi iniziare
per tenere traccia di diversi eventi SMB come
file file aperto leggi il file scrivi per
rinomina cancella ecc per indirizzo IP sopra
tempo
quando da qualche parte ha dei doveri
Eseguo intendo che deve crittografare il
contenuto del file che significa che deve
leggere alcuni file e dice che deve
cancellare alcuni file solo per cambiare il
il contenuto dei file semplicemente guardando il
tasso e volume di quelli diversi
operazioni e confrontandolo con un normale
la base di riferimento è qualcosa che puoi iniziare
facendo rilevamento su ci sono anche essere
molti falsi positivi come le persone
avviando robocopy o copiando roba
intorno o copiando le loro immagini di vacanza
a qualsiasi condivisione di file ma essenzialmente
è possibile già usando questo
file di registro singolo come esempio principale
puoi iniziare a guardare e questo è
probabilmente ancora più utile perché no
molte persone vanno in giro cancellando i pasticci
volumi di dati, ma questo è in genere
qualcosa che vedresti in quell’estate
un’altra cosa interessante è che puoi vedere
il vero nome del file quindi se davvero
voglio passare alla tipica firma
cosa di rilevamento basato si potrebbe probabilmente
alimentare in un elenco di tipi di file conosciuti più
le famiglie ransomware hanno un numero di
tipi di file che usano quando iniziano
rinominare il contenuto della can cryptid e tu
può iniziare a rilevare in base a ciò ma
quello che è ancora più bello è che bro ha tutto
il framework di analisi dei file si integra così noi
può estrarre file dalla rete
il traffico li invia per l’analisi sandbox
ma Brod fa l’ispezione di entropia così
rotto in realtà ci ha aiutato a decifrare come
casuale è il contenuto del file che è
essere scritto se inizi a tracciarlo
nel tempo è quindi possibile confrontare questo e
dì questo documento di parole che è essere
la scrittura è molto diversa
profilo entropico all’altra parola
documenti che normalmente vediamo nel nostro
ambiente e combinando il
diversi tipi di dati diversi metodi
domande diverse che puoi effettivamente fare
rispondere abbastanza velocemente a qualcosa di simile
non è influenzato dalla pioggia estiva guardando
a comportamento e comportamento
un’altra cosa che trovo molto
interessante e siamo tornati
utilizzare i registri per gestire la complessità
La cosa è che puoi usare i log in realtà
scopri le relazioni sulla maggior parte dei log
che le tue applicazioni siano tue
infrastruttura i tuoi server che tu sia
genera ha qualche tipo di nozione su
chi sta parlando a cosa o chi sta parlando
a chi e modellando ciò che puoi
essenzialmente creare un grafico del tuo
intera infrastruttura e di tutto il
interazioni all’interno della tua infrastruttura
uno degli esempi che abbiamo costruito è
usando la teoria dei grafi per rispondere a un numero di
domande interessanti
corriamo oltre mille diversi
applicazioni che possono essere qualsiasi cosa da un
piccola app desktop standalone per carina
sistemi di informazione sostanziale su
pazienti e trattamenti e tutti i tipi di
altre cose e non possiamo ricordare ogni
uno di loro dalla cima della nostra testa così
se noi se dovessi lavorare con dentro a
il sistema specifico non sarebbe eccezionale se io
potrebbe capire come funziona questa cosa
puoi farlo davvero nutrendo il
Entra direttamente in qualcosa come il nuovo Forte
così puoi guardare questa macchina
i client si connettono a questo front-end Web
server questo server web front-end parla
al database e quel database
in realtà archivia anche i file in questo
condivisione di file che è intrinsecamente utile
perché tu crei un
infrastruttura autodocumentazione tu
potrebbe quindi iniziare a guardare quale impatto
fare modifiche effettive alle infrastrutture hanno
quante persone qui sono sviluppatori come
molte persone qui fanno il servizio basato su micro
architetture quanti di voi in realtà
sapere esattamente il numero di monte e
servizi a valle che dipendono
sul tuo codice questa è una delle cose
dove possono effettivamente aiutare i grafici
perché puoi modellare l’intero
catena di dipendenze su tutta la tua distribuzione
applicazione utilizzando i registri che
esiste già e non deve essere
caldo se guardi qualcosa di nuovo
4j
è intrinsecamente facile da esprimere
alcuni di questi cambiamenti e ciò che si finisce
con qualcosa di carino che può essere
intrinsecamente utile questo è il tipo di
stato attuale delle cose questo è ciò che noi
sono stati spesi non so a
anno dopo perché ne abbiamo molti altri
cose che dobbiamo fare anche noi e se noi
guarda in cosa sarà più probabile
affrontando in futuro ci espanderemo
il nostro uso di Kafka ne abbiamo eseguiti alcuni
esperimenti interessanti su stream K
e K tabelle manipolando il reale
chiavi di partizionamento ottenute dai dati
molto probabilmente saremo partiti
in grado di unire fonti di dati eterogenee
e digitali su un campo comune come
ottenere un flusso di eventi per tutto
che un utente specifico o una macchina o
l’applicazione del servizio ha fatto nonostante
dove vengono registrati quei log
da e possiamo quindi trasformarlo in a
tabella per ottenere una vista in tempo reale
essenzialmente un aggregato materializzato
vedere che possiamo aggiornare ogni 10 minuti
15 minuti e 30 minuti che possono aiutarci
per gestire alcuni dei nostri dati e
esponendo la nuova interfaccia sequel k così
che alcune delle persone che sono forse
non è abituato ad alcune di queste tecnologie
può effettivamente funzionare con alcuni di quei dati
usando qualcosa con cui hanno familiarità
come il sequel di NC e probabilmente lo faremo anche noi
iniziare a guardare un po ‘in macchina
imparando costruiamo un altamente altamente
modello di dati multidimensionale e lì
sono alcuni algoritmi che sono molto molto
buono in termini di lavorare con quello
qualcosa come k-means che è
intrinsecamente utile quando parla
modelli di dati multidimensionali e così
può potenzialmente aiutare nel fare
rilevamento anomalo e altro interessante
cose
ai non è qualcosa con cui ci siamo dilettati
perché quello machine learning è dove
disegniamo la linea, ecco cosa
cosa cosa oltre a ciò è qualcosa
quello è quello che non è veramente territorio
che vorremmo avventurarsi e
perché non abbiamo davvero idea di cosa faremmo
star facendo
questo è essenzialmente tutto ciò che avevo e io sono io
spero sia stato utile spero lo sia stato
interessante ci sono delle domande
Ho Mike c’è una domanda qui
attraverso l’app quindi ne hai fatto uno qualsiasi
considerazioni riguardanti il
prossimo gdpr sono i dati generali
regolamento di protezione si abbiamo per
organizzazioni come la nostra che è
in realtà un problema davvero molto grande
perché PII e pH I sono più o meno
tutto ciò che tocchiamo non è quella categoria
e questo è anche il motivo per cui abbiamo deciso di farlo
tieni tutto questo stampato, quindi niente
lascia la nostra infrastruttura che gestisce
sull’infrastruttura dedicata che è
accessibile solo da pochissime persone
nella nostra organizzazione ci siamo assicurati
che tutto ciò che facciamo ha un registro di controllo
anche se ogni query all’interno di te
in realtà si bloccano quindi abbiamo a
ruolo organizzativo separato che può andare
dentro e capire chi ha accesso a cosa
dati e per quale scopo
e stiamo lavorando con loro al
momento per assicurarsi che anche i dati
su questo è qualcosa che non può
davvero facilmente essere compromessa così anche io
come amministratore non posso inserire SSH
quella cosa e poi inizia a guidare
alcune delle query che ho generato ma
perché lo eseguiamo su Prem perché noi
avere un’esposizione molto molto limitata
perché c’è un modello di autorizzazione che
controlla esattamente chi può vedere quali dati
molti dei nostri problemi sono in realtà
non un tale mal di testa per noi grazie
tutte le domande dal pubblico
Io come si fa a gestire un dati sensibili
digita noi cosa guarda come gestiamo
dati sensibili lo mascherano o e noi
avere la certezza di averlo sicuro
alcuni tipi di dati che si corre
anonimizzato su ci assicuriamo anche che
i dati che contengono materiale sensibile sono
rimosso nei tempi richiesti
perché possiamo effettivamente archiviarne alcuni
questo per un tempo più breve in termini di
debug e altre cose quindi ci sono a
numero di linee guida che facciamo, ma noi
in realtà preferirei rimuovere i dati di a
dati normalizzati perché uno dei più
dei campi chiave che usiamo per
analisi sono le caratteristiche di cui abbiamo bisogno
analizzare in modo che non lo faccia
molto e poi preferiremmo scadere dei dati
e dì ok se solo puoi tenerlo per
una settimana la manteniamo per una settimana, va bene così
non hai avuto bisogno di crittografia
alla nostra apertura che sostengono un po ‘di tè
principalmente questo riguarda il log di infrastruttura
registri di sicurezza e aiuta a trovare cadute
in diversi dispositivi e apparecchi e
tutta quella roba siamo la prossima dopo
un balzo gigantesco offrirà questo al nostro
attività come servizio in modo da andare fuori a
i medici che escono per la gente
eseguendo le applicazioni e avendo un
discussione di entrambi su come noi
può aiutarli a raggiungere un po ‘di intendo
anche alcuni del PIL sono cose in giro
che in realtà devi documentarlo
controlli i log di accesso per il tuo
applicazione e cose del genere in cui noi
sono in una posizione unica per offrire un
servizio condiviso che può aiutare con quello
ma è solo allora che iniziamo a colpire
i problemi delicati okay che ho
un’altra domanda e quanto tempo tu
hai fatto questo hai detto che tu
abbiamo 29 diversi micro servizi noi
iniziato questo viaggio penso a un anno
e mezzo fa quando abbiamo iniziato a provare
il dolore crescente e alcuni dei
vincoli degli scambi commerciali che abbiamo fatto
con la precedente iterazione di questo
sistema abbiamo iniziato a guardare come possiamo
fai meglio come possiamo farlo
più intelligente e come possiamo risolvere alcuni dei nostri
problemi e ti scommetto che in un mese
tra due mesi e tre mesi da adesso
questo è
avremo cambiato in qualche modo e
questa è una cosa intrinseca che abbiamo costruito
nel sistema è la capacità di cambiare
crescere per imparare a non riuscire a imparare di nuovo e
fare altre cose interessanti che possono
aiutarci a raggiungere ci ha aiutato a raggiungere il nostro
obiettivi ok grazie
altre domande
costi
spendiamo i soldi dei contribuenti così nostri
l’obbligo principale è quello di assicurarsi che
spendiamo i soldi dei contribuenti correttamente
la maggior parte delle cose che sono stato
parlare è in realtà open source
è open source o è
qualcosa che abbiamo sviluppato era a
scelta consapevole anche se abbiamo un
bilancio operativo di 24 virgola 1 miliardo
la maggior parte di ciò va in
assistenza sanitaria e anche se potessimo andare
fuori e comprare un contratto di supporto per
qualcosa come Kafka e siamo sotto
alcuni acquisti molto molto interessanti
regole come entità del settore pubblico e noi
tipo di vogliono il nucleo di questo sistema per
essere liberi volevamo qualcosa che
anche se dobbiamo fare una gara pubblica
e qualcun altro vince un po ‘che possiamo
cambiare diverse parti dell’infrastruttura
senza cambiarne il nucleo ogni
una volta sola immagina se hai bisogno di fare un
gara pubblica se hai qualcuno
entrare e sostenere il
concorrenza e voi ogni 3 o 4 anni
devono incatenato tutto il sistema si
devono portare tutte le regole di tutto il
avvisa che diventa davvero molto complicato
e la roba che stiamo pagando è
alcune delle cose che abbiamo semplicemente
non potremmo fare meglio noi stessi così abbiamo
alcuni sensori di telemetria endpoint su
le nostre workstation che registrano tutte le DLL
registro delle esecuzioni dei processi di caricamento
tumulti più veloci per avere accesso a tutto questo
roba e abbiamo Fumio e entrambi
quelli sono in realtà molto meno costosi
della gioventù e tu penseresti che fosse
politicamente abbastanza risposto ancora
domande
qual è stato il principale driver da cui partire
elasticsearch a chi sei quello
interessante domanda qui come piace
Ho detto che siamo stati in esecuzione
elastico per quattro e cinque sei corriamo ancora
elastico intendo che abbiamo ancora parti di
la nostra infrastruttura mondo che abbiamo
trasferito in questa pipeline ancora perché noi
hanno effettivamente fatto 100 150 persone
servizio che è lavoro che usa il sistema
ogni giorno per capire perché diavolo
l’account di qualcuno diventa
continua a bloccare quelle persone
bisogno di essere riqualificati, dobbiamo averli
nel nuovo sistema quelle operazioni
prendiamo tempo essenzialmente passiamo dalle serrature
– a Greylock nel 2013 perché i blocchi che
ha alcuni problemi inerenti in giro
la disponibilità non c’è lettura non era
davvero nessun modo per introspettare il sistema
per capire cosa diavolo stava succedendo
continua a fallire e continua a buttare via
dati attraverso blocchi di luoghi – con grande
bloccare e abbiamo trascorso passiamo più tempo
gestione elastica nell’ultimo anno quindi
sviluppando questa intera pipeline quando tu
inizia quando inizi a muoverti nel
regno dove hai rack di elastico
server spesso anche bisogno di persone che
sono addestrati a gestire quel sistema se
elastico è parte della domanda
già intendo se lo usi per basso
ricerca della latenza per qualcos’altro allora
probabilmente hai persone che hanno un buono
idea su come funziona quella cosa, ma per
uno scopo specifico di registrazione era
semplicemente a causa di cose che potrei fare
troppo perché noi ereditiamo noi ereditiamo
tutta la complessità perché elastica
può essere usato per qualsiasi cosa da fare registri
a caccia di focolai di Ebola in Africa del
altra della terza cosa che ci ha fatto
il cambiamento era il trade-off inerente a
la maggior parte di questo sistema è la più importante
del sistema in cui guardiamo
termini di velocità e volume più sempre
centrato attorno alla nozione di sei tu
fare schema su Rideau che intrigge proprio dentro
il nostro cluster elastico e l’ 80% del
le risorse vengono spesi per il mantenimento
indici per la ricerca che Mayo ha un piuttosto
approccio diverso perché non lo fanno
molto indicizzazione fanno la forza bruta
la ricerca di questo ci consente di avere un
quantità relativamente piccola di risorse
che può ingerire anche più dati dei nostri
giganteschi tre reagiscono elastici
installazione intendo l’interruttore da solo I
pensiamo di aver salvato qualcosa come cento
migliaia di euro in hardware e licenze
e cose facendo questo interruttore così per
noi e per il nostro caso d’uso specifico lo era
la scelta giusta
elastico è un ottimo prodotto mi piace cosa
stanno facendo
ma non era la scelta giusta per
noi Grazie martellante sfortunato io
penso che siamo fuori da questa ora, quindi si
la ringrazio molto per l’ascolto
[Applausi]
Please follow and like us: