Zielbild
Abschnitt betitelt „Zielbild“In Landing Zones sind Sicherheit und Compliance verbindliche Leitlinien für die Umsetzung, die aus dem eigenständigen Modul abgeleitet werden.
Nutzen Sie diese Seite für die konkrete Anwendung in Platform- und Application-Landing-Zones.
Das Modul als Quelle
Abschnitt betitelt „Das Modul als Quelle“- Modulübersicht: /de/migration/design-and-mobilize/security-and-compliance/overview/
- Betriebsmodell und Governance: /de/migration/design-and-mobilize/security-and-compliance/operating-model-and-governance/
- Architektur: /de/migration/design-and-mobilize/security-and-compliance/architecture-patterns/
- Sicherheitsgrundsätze: /de/migration/design-and-mobilize/security-and-compliance/security-by-design-baseline/
- Kontrollen und Nachweise: /de/migration/design-and-mobilize/security-and-compliance/controls-and-evidence-pipeline/
- Übergang in die Cloud: /de/migration/design-and-mobilize/security-and-compliance/onpremises-to-cloud-shift/
- Digitale Souveränität und CSF-Abgleich: /de/migration/design-and-mobilize/security-and-compliance/digital-sovereignty-and-csf-alignment/
Umsetzung in Landing Zones
Abschnitt betitelt „Umsetzung in Landing Zones“- Audit Logging: Nutzen Sie zentrales Audit Logging als autoritative Quelle für sicherheitsrelevante Plattformaktionen und administrative Änderungen. Dokumentation
- Telemetry Router: Leiten und normalisieren Sie Telemetrieströme, damit Logs und Metriken aus verteilten Workloads konsistent erfasst werden. Dokumentation
- Logs: Etablieren Sie zentrale Muster für Log-Erfassung zur operativen und sicherheitsbezogenen Analyse. Dokumentation
- Observability: Entwerfen Sie Observability als Schichtenmodell: Application Logs je Anwendung plus zentrales Audit Logging und Plattformtelemetrie für Governance und Incident-Analyse. Dokumentation
- Netzwerksicherheit: Wenden Sie Härtungsprinzipien für Segmentierung, kontrollierte Verkehrsflüsse und reduzierte Angriffsflächen an. Dokumentation
- Sicherheit für Compute-Ressourcen: Definieren Sie Härtungsstandards für Workloads und sichere Praktiken für die Laufzeit von Compute-Ressourcen. Dokumentation
- Secrets Manager: Speichern und verwalten Sie sensible Zugangsdaten und Geheimnisse von Anwendungen über gemanagte Kontrollen statt ad hoc. Dokumentation
- KMS: Steuern Sie Schlüssellebenszyklen und Verschlüsselungs-Governance über einen zentralen Key-Management-Ansatz. Dokumentation
- ACL-Muster für PaaS-Services: Nutzen Sie servicebezogene Access Control Lists, um Verbindungswege zu gemanagten Services zu begrenzen. PostgreSQL ist ein Beispiel, das Muster gilt jedoch für STACKIT-PaaS-Services allgemein. PostgreSQL-Referenz: Dokumentation .
- Unified Firewall: Nutzen Sie zentrale Firewall-Kontrollen für konsistente Netzwerk-Policy-Durchsetzung über Zonen und Workloads hinweg. Dokumentation
Wie dies in Landing Zones zusammenspielt
Abschnitt betitelt „Wie dies in Landing Zones zusammenspielt“- Nachweis- und Erkennungsschicht: Audit Logging, Logs, Telemetry Router und Observability bilden die Datengrundlage für Compliance-Nachweise und Incident-Analyse.
- Präventive Härtungsschicht: Netzwerksicherheit, Sicherheit für Compute-Ressourcen, Unified Firewall und Service-ACLs reduzieren Exposition und erzwingen freigegebene Verkehrs- und Grenzen für die Laufzeit.
- Datenschutzschicht: Secrets Manager und KMS schützen sensitive Datenpfade und kryptografische Assets über den gesamten Workload-Lebenszyklus.
- Betriebsmodell: Applikationsteams liefern Workload-Telemetrie, zentrale Teams verantworten die gemeinsame Audit- und Governance-Sicht.
Wichtige Entscheidungen in Landing Zones
Abschnitt betitelt „Wichtige Entscheidungen in Landing Zones“- Grenzen der Logging-Architektur: Definieren Sie, was auf Applikations-, Plattform- und Audit-Ebene geloggt wird und wo jeder Stream aufbewahrt wird.
- Telemetry- und Observability-Modell: Legen Sie Routing, Enrichment und Ownership für Logs, Metriken und Traces fest.
- Hardening-Baseline-Umfang: Definieren Sie verpflichtende Kontrollen für Netzwerk- und Compute-Domänen inklusive Firewall- und Service-ACL-Mustern.
- Geheimnis- und Schlüssel-Governance: Standardisieren Sie Nutzung, Verantwortlichkeit und Lebenszyklus-Verantwortung für Secrets Manager und KMS.
- Compliance-Betriebsmodell: Definieren Sie, wer Nachweiserhebung, Kontrollverifikation und Reporting-Takt verantwortet.
Typische Ergebnisse für Landing Zones
Abschnitt betitelt „Typische Ergebnisse für Landing Zones“- Sicherheits-Basiskatalog: Kontrollen für Netzwerk, Compute, Identität und Datenschutz.
- Logging- und Nachweisarchitektur: Zentrales Audit Logging plus Workload-Observability mit klaren Ownership-Grenzen.
- Geheimnis- und Verschlüsselungsstandard: Definiertes Nutzungsmodell für Secrets Manager, KMS und den Lebenszyklus von Schlüsseln und Geheimnissen.
- Response- und Eskalationsmodell: Operative Runbooks für Erkennung, Bewertung und Incident-Reporting.
Typische Anti-Patterns
Abschnitt betitelt „Typische Anti-Patterns“- Sicherheit erst in späten Migrationsphasen: Kontrollen werden nach dem Workload-Onboarding statt von Anfang an eingeführt.
- Entkoppelte Telemetrie-Stacks: Audit-, Plattform- und Applikationssignale sind bei Incidents nicht korrelierbar.
- Secrets im Code oder in ungemanagten Stores: Sensitive Werte werden nicht über dediziertes Secret Management gesteuert.
- Flacher Netzwerkzugriff ohne Service-Kontrollen: Fehlende Firewall- und ACL-Grenzen erlauben übermäßige laterale Bewegung.