Ga naar inhoud

Maandelijkse platform health check

Een maandelijkse check laat zien of het platform gezond en compliant is, en of de dienst wordt geleverd zoals afgesproken. Het geeft het platformteam een vast moment om te kijken naar alles wat geen alert dekt, en het geeft de klant een rapport om te bespreken in het tactische overleg.

De check is in beide beheermodellen hetzelfde. In het managed-model maakt het platformteam (XMMS) het rapport en reviewt de klant het. In het zelfbeheermodel maakt je eigen platformteam het en rapporteert het aan zijn stakeholders (security officer, service owner, management).

Voorbeelden, geen instellingen

De checks hieronder komen uit rapporten die op echte managed platforms worden gebruikt. Drempels, doorlooptijden en subscriptionnamen zijn voorbeelden. Stel je eigen waarden vast in je service levels.

Wanneer en wie

Onderdeel Voorgestelde waarde
Frequentie Maandelijks, in de eerste week na maandeinde, over de voorgaande kalendermaand
Maker Het platformteam
Lezer <service owner>, <security officer>, teamleads van workload teams die het willen
Waar het wordt opgeslagen <documentation space>, één pagina per maand, elke keer dezelfde structuur
Opvolging Elke bevinding wordt een work item, of wordt met een reden geaccepteerd. Bekijk openstaande items in het volgende rapport

Automatiseer het verzamelen van data wanneer het kan (een script of een geplande pipeline die het rapport schrijft). De structuur is belangrijker dan de tool: een rapport dat elke maand hetzelfde is, maakt trends zichtbaar. Een patroon voor de automatisering staat in Het rapport maken.

Wat je controleert

1. Platform health

Check Waar je naar kijkt Wat normaal is
Beschikbaarheid van Application Gateway Beschikbaarheidspercentage per gateway over de maand, en de huidige status Beschikbaar, op of boven je beschikbaarheidsdoel
WAF-policymodus Modus van elke WAF policy, per platformomgeving Prevention. Een policy in Detection heeft een vastgelegde reden nodig
Health van Azure Firewall Gemiddeld health-percentage per firewall (canary en prod) Op of boven je beschikbaarheidsdoel
Virtual WAN-, VPN- en ExpressRoute-verbindingen Verbindingsstatus en of er verkeer stroomt Connected, met verkeer. Zie Incidentmanagement voor waarom state alleen niet genoeg is
Hub-alerts Alerts die in de maand zijn afgegaan, per severity, en hoeveel er actionable waren. Compliance van de alertpolicies Geen onverklaarde alerts, en de alertinitiatives zijn compliant. Ruisende regels worden afgestemd (Monitoringregels, Hoe alerting werkt)
Drift Resultaat van een hub-run in Plan-modus (Operationele verantwoordelijkheden) Geen wijzigingen. Elke wijziging die je niet hebt gecommit is drift. Gebruik voor spokes het rapport van de spoke drift detection

Vergelijk canary en prod. Een verschil waar niemand om heeft gevraagd is een bevinding.

2. Compliance en security

Check Waar je naar kijkt
Secure score Defender for Cloud secure score per platformsubscription, en de trend ten opzichte van vorige maand
Top-acties De drie aanbevelingen die de score het meest verhogen, met het aantal betrokken resources
Regulatory compliance Per toegewezen initiative (bijvoorbeeld CIS en ISO 27001): aantal niet-compliant controls, percentage compliant, en de niet-compliant policies met het aantal resources. Zie Governance
Aanbevelingen met hoge severity Alle Defender for Cloud-aanbevelingen met severity High, per subscription
Policy-uitzonderingen Uitzonderingen die zijn verlopen of volgende maand verlopen (Policytoewijzingen)
Verloop van secrets en certificates App registrations en service principals met een secret of certificate dat binnen <n> dagen verloopt (bijvoorbeeld 60). Neem de eigen deployment-identiteiten van het platform en de spoke-identiteiten mee (Spoke wijzigen). Een wekelijkse secret watcher vangt verloop tussen rapporten door
Advisor Nieuwe Azure Advisor-aanbevelingen, omgezet in backlog-items

3. Servicemanagement

Check Waar je naar kijkt
Incidenten Elk incident dat in de maand is gesloten: identifier, titel, oplostijd (uren en dagen) en severity, plus het gemiddelde
Standaardwijzigingen Elke standaardwijziging die in de maand is gesloten: identifier, titel, oplostijd, plus het gemiddelde
Opmerkingen Waarom een oplostijd lang was. Markeer tijd die is besteed aan wachten op de klant of op een platformupdate apart, zodat het het gemiddelde niet vertekent
Severity 1 en major incidents Link naar de post-mortem van elk ervan
Openstaande items Work items die uit eerdere rapporten zijn doorgeschoven

Oplostijden zijn alleen vergelijkbaar als je ze elke maand op dezelfde manier meet. Bepaal vanaf welk moment tot welk moment je meet, en leg het vast in de service levels.

4. Managed VM's (alleen als je platform ze biedt)

Zie ook de wekelijkse patchcheck in de Managed VM-module.

De MCP-core deployt of patcht geen VM's voor workload teams (Verantwoordelijkheden). Voegt je platform een managed VM-aanbod toe, controleer dan maandelijks:

Check Waar je naar kijkt
VM-inventaris Lijst van managed VM's, per omgeving. Vergelijk met de configuratie
Patching Per VM: patchstatus, pending, mislukte, geïnstalleerde en uitgesloten patches, en datum van de laatste installatie. Je kunt alleen de status lezen van VM's die draaien. Maak een incident aan voor elke mislukte patchrun
Backup Per VM en per backupoplossing (backup vault en Recovery Services vault): status en tijd van de laatste backup. Tel de VM's per vault en vergelijk met de inventaris. Een VM zonder backup is een bevinding

Het rapport maken

Een patroon dat op managed platforms werkt:

Stap Wat
Planning Een pipeline draait in de eerste dagen van de maand en neemt de vorige maand als standaardperiode, met een parameter om een andere maand of één enkel platform te draaien
Toegang Eén read-only service principal per tenant, met leesrechten op de platformsubscriptions, bijvoorbeeld op de root management group (voor policy states, secure score en aanbevelingen) en, waar mogelijk, leestoegang tot app registrations (voor verloop van secrets). Heb je nog geen rechten voor verloop van secrets, zeg dat dan in het rapport in plaats van de sectie weg te laten
Verzamelen Scripts bevragen Azure Resource Graph, Defender for Cloud en het ticketsysteem, en vullen de tabellen van het rapportsjabloon: oplostijden, secure score, aanbevelingen, verloop van secrets, health en WAF-modus van Application Gateway, health van de firewall
Publiceren Het rapport is een pagina in de wiki die de klant kan lezen (bijvoorbeeld één pagina per maand onder Reports / Monthly checks). Heeft de klant een eigen DevOps-organisatie, publiceer het dan daar
Review Een persoon leest het rapport, voegt de opmerkingen toe (bijvoorbeeld waarom een oplostijd lang was) en deelt het. De service owner leidt de opvolging

Onderneem actie op de uitkomst: een secure score onder je drempel (bijvoorbeeld 80%) betekent dat je de aanbevelingen in de portal bekijkt, met de service owner bespreekt of de organisatie moet handelen, en work items aanmaakt. Een secret dat bijna verloopt wordt geroteerd door de eigenaar, of door het platformteam als je de rechten hebt (Secret watcher).

Bewaar de credentials van de reader-identiteiten in een veilige opslag en roteer ze volgens een schema: het zijn ook secrets die verlopen.

Rapportstructuur

Gebruik elke maand dezelfde koppen:

# Monthly Platform Health Report - <month> <year>

## Executive summary
Period, date generated, three to five sentences: what is fine, what needs attention, decisions needed.

## Platform health
Application Gateway availability, WAF policy mode, Azure Firewall health, connections, alerts, drift

## Compliance and security
Secure scores, top actions, compliance per initiative, high-severity recommendations,
exemptions, secret and certificate expiry

## Service management
Incidents, standard changes, resolve times, post-mortems

## Managed VMs (optional)
Inventory, patching, backups

## Findings and actions
Table: finding, severity, owner, work item, due date, status

Houd klantdata buiten gedeelde kopieën

Een maandrapport noemt subscriptions, accounts, applicaties en secrets. Sla het op waar alleen de mensen die het nodig hebben toegang hebben, en haal de details weg voordat je een rapport elders als voorbeeld gebruikt.

Terugkerende bevindingen

Deze bevindingen kwamen in de meeste rapporten terug. Zoek ze als eerste.

Bevinding Wat te doen
Gastaccounts, of uitgeschakelde accounts, die nog read-, write- of owner-rechten op Azure-resources hebben Het identiteitsteam verwijdert ze. Toegang hoort via groepen en PIM te lopen (Toegang en PIM), dus een directe toewijzing die niemand kan verklaren heeft een eigenaar nodig of moet weg
Lage secure score op de management- en identity-subscriptions Kies elke maand de top drie acties en plan ze. Probeer niet alles tegelijk op te lossen
Dezelfde niet-compliant policy op elke platformsubscription Los het één keer op in code, of leg een tijdelijke uitzondering met een reden vast
Secrets en certificates die bijna verlopen, vaak op app registrations die niemand zich herinnert Zoek de eigenaar. Roteer, vervang door federated credentials, of verwijder de registratie
Storage container met activity logs is publiek toegankelijk, of een Defender-plan staat niet aan Herstel in de platformcode of -configuratie en controleer het volgende rapport
Lange oplostijden die worden veroorzaakt door wachten op een platformrelease Houd ze bij als aparte categorie (Service level management)
Patching faalt steeds opnieuw op één VM Kijk naar de VM (schijfruimte, agent, pending reboot), niet naar het schema