Implementing situational awareness

Abstract

Implementation of situational awareness system became an objective when Finnish national regulations for A-class systems, in the context of healthcare systems were updated. The updated criteria require IT service providers to have a capability to detect anomalies in information systems. Situational awareness was selected to meet those criteria because situational awareness can be used as a tool which helps the organization to improve its service.

The objective was to implement a cost effective situational awareness system which fulfills the national requirements and works as a tool for the IT operations team. The objective was outlined in the way that log sources were DNS, software firewall, Windows Event log and Microsoft IIS. Network devices, hypervisor and other services or applications were left out of the scope of this study.

The implementation was carried out by first analyzing different approaches in theory and then the most suitable solution, log based situational awareness, was selected. The approach was then verified with proof-of-concept environment after which the actual situational awareness system was installed and configured for receiving and normalizing logs from multiple sources. After the log flow was verified, the situational awareness system was evaluated by testing and using actual production log data.

Situational awareness has proven to be an extremely valuable tool for IT operations team to support daily monitoring and for detecting anomalies. It is not a silver bullet in any way, and it does not solve all problems; however, it brings good return for investment. The implementation project was successful within the scope of this study.

Tilannekuvajärjestelmän implementointi asetettiin tavoitteeksi, koska terveydenhuollon tietojärjestelmien auditointivaatimukset päivittyivät ja A-luokkaan kuuluvia järjestelmiä tarjoavilla tai ylläpitävillä organisaatioilla tulee olla kyky havaita poikkeamia tietojärjestelmissä. Poikkeamia voidaan havaita muillakin menetelmillä, mutta tilannekuvasta nähtiin saatavan hyötyä palvelun parantamiseen organisaatiossa.

Tavoitteena oli implementoida kustannustehokas tilannekuvajärjestelmä, joka täyttää kansalliset auditointivaatimukset ja toimii työkaluna ylläpitotiimille. Tutkimus oli rajattu siten, että lokilähteinä käytettiin DNS-palvelua, ohjelmistopohjaista palomuuria, Windowsin Event logia ja Microsoftin IIS web-palvelinta. Verkon aktiivilaitteet, virtualisointialusta ja muut palvelut tai ohjelmat jätettiin tutkimuksen ulkopuolelle.

Implementointi aloitettiin tutkimalla tilannekuvan muodostamista teoriassa, minkä jälkeen valittiin tutkimukseen soveltuvin lähestymistapa: lokipohjainen tilannekuva. Valinta verifioitiin vielä pystyttämällä demoympäristö (proof-of-concept). Verifioinnin jälkeen asennettiin ja konfiguroitiin varsinainen tilannekuvajärjestelmä. Järjestelmän toimivuutta arvioitiin sekä testaamalla että analysoimalla todellisia tilanteita tuotantoympäristön lokeista.

Toteutettu tilannekuvajärjestelmä on todettu erittäin hyödylliseksi ja arvokkaaksi työkaluksi sekä tukemaan palvelinympäristön valvontaa että poikkeamien havainnointiin. Tilannekuvajärjestelmä ei ole täydellinen eikä sillä voi varmasti havaita kaikkia mahdollisia poikkeamia, mutta se antaa kuitenkin huomattavaa lisäarvoa ja parantaa havainnointikykyä merkittävästi. Implementointiprojekti oli onnistunut määritellyn rajauksen puitteissa.