Seminar Wazuh Hochverfügbarkeit, Cluster und Skalierung

Beschreibung

Redundanz wird aus RTO, RPO, Last und Wartungsanforderungen abgeleitet. Das Seminar unterscheidet Server-Cluster, Indexer-Cluster und Bedienzugang als eigenständige Verfügbarkeitsdomänen.

Failover gilt erst als nachgewiesen, wenn Agentenverbindungen, Synchronisation, Indexierung und Suchfunktion unter kontrolliertem Ausfall gemessen wurden.

Zielgruppe

Wazuh-Administration, Plattformarchitektur, Linux- und Netzwerkbetrieb, SRE und technische Betriebsverantwortung

Voraussetzungen

Praktische Wazuh-Administration, Linux, TLS, Netzwerk- und Load-Balancer-Grundlagen sowie Verständnis von Clusterkonzepten

Lernziele

• Messbare Verfügbarkeits- und Skalierungsziele definieren
• Server- und Indexer-Cluster konsistent aufbauen
• Agentenverkehr über einen Load Balancer verteilen
• Ausfälle und Wiederbeitritt mit Datenflusskontrollen testen
• Kapazität und Wartung ohne unkontrollierten Redundanzverlust steuern

Inhaltsübersicht

1. Verfügbarkeits- und Skalierungsziele definieren
2. Wazuh-Server-Cluster konfigurieren
3. Agentenverkehr über Load Balancer verteilen
4. Indexer-Cluster für Verfügbarkeit und Leistung betreiben
5. Dashboard-Zugriff redundant gestalten
6. Failover- und Störungstests durchführen
7. Kapazität und Wartung im Cluster steuern

Seminarinhalte

1. Verfügbarkeits- und Skalierungsziele definieren

Technische Architektur aus messbaren Anforderungen statt pauschaler Redundanz ableiten.

1. Maximalen Datenverlust, Wiederanlaufzeit und tolerierte Unterbrechung je Funktion festlegen.
2. Ereignislast, Agentenzahl, Suchlast und Wachstum für Normal- und Spitzenbetrieb bestimmen.
3. Wartungs-, Ausfall- und Standortverlustszenarien priorisieren.
4. Abhängigkeiten außerhalb von Wazuh wie DNS, Zeit, Load Balancer und Speicher einbeziehen.
5. Abnahmekriterien für Failover, Datenkonsistenz und Wiederanschluss dokumentieren.

2. Wazuh-Server-Cluster konfigurieren

Mehrere Serverknoten mit klarer Rollenverteilung, Synchronisation und konsistentem Agentenbetrieb aufbauen.

1. Master- und Worker-Rollen, Knotennamen und Clusterkommunikation planen.
2. Clusterkonfiguration und gemeinsamen Schlüssel geschützt bereitstellen.
3. Knoten nacheinander starten und Mitgliedschaft sowie Synchronisationsstatus prüfen.
4. Benutzerdefinierte Regeln, Gruppen und Agenteninformationen auf Konsistenz testen.
5. Knotenausfall und Wiederbeitritt mit dokumentierten Prüfpunkten erproben.

3. Agentenverkehr über Load Balancer verteilen

Verbindungen gleichmäßig verteilen und Wiederanschluss bei Knotenausfall kontrollieren.

1. Virtuelle Endpunkte, Backend-Pools und Gesundheitsprüfungen definieren.
2. TCP-Verhalten, Persistenz, Zeitüberschreitungen und Quelladressbehandlung festlegen.
3. Agenten auf den virtuellen Endpunkt umstellen und Verteilung messen.
4. Backend-Ausfall auslösen und Wiederverbindung sowie Datenlücke bewerten.
5. Load-Balancer-Konfiguration und Kapazitätsgrenzen dokumentieren.

4. Indexer-Cluster für Verfügbarkeit und Leistung betreiben

Such- und Speicherlast über mehrere Knoten mit geprüftem Clusterzustand verteilen.

1. Knotenrollen, Clustername, Zertifikate und Datenpfade konsistent planen.
2. Knoten schrittweise hinzufügen und Clusterzustand sowie Shard-Verteilung prüfen.
3. Replikation und Kapazitätsreserve anhand des Ausfallszenarios festlegen.
4. Knotenausfall, Wiederaufnahme und Rebalancing kontrolliert testen.
5. Warnschwellen für Speicher, Shards, JVM und Clusterzustand definieren.

5. Dashboard-Zugriff redundant gestalten

Bedienzugang und gespeicherte Objekte auch bei Wartung oder Ausfall kontrolliert verfügbar halten.

1. Abhängigkeiten zu Indexer, Server-API, Zertifikaten und Identitätsdienst erfassen.
2. Redundanz- oder Wiederanlaufmodell für die Dashboard-Schicht festlegen.
3. Sitzungs-, Proxy- und Zertifikatsverhalten am gemeinsamen Zugangspunkt testen.
4. Ausfall einer Instanz und Wiederaufnahme ohne Verlust administrativer Kontrolle prüfen.
5. Betriebs- und Notfallzugang getrennt dokumentieren.

6. Failover- und Störungstests durchführen

Redundanz durch kontrollierte Ausfälle mit klaren Messwerten nachweisen.

1. Ausfallszenario, erwartete Wirkung und Sicherheitsgrenzen vorab dokumentieren.
2. Baseline für Agentenverbindungen, Queue, Indexierung und Suchlatenz aufnehmen.
3. Jeweils nur eine Komponente kontrolliert stoppen oder isolieren.
4. Failover, Datenpufferung, Alarmierung und Wiederherstellung messen.
5. Abweichungen, Restdatenabgleich und Verbesserungsmaßnahmen festhalten.

7. Kapazität und Wartung im Cluster steuern

Wachstum, Rolling Maintenance und Ersatz von Knoten ohne unkontrollierten Kapazitätsverlust planen.

1. Nutzungs- und Reservemetriken je Knoten regelmäßig auswerten.
2. Schwellen für Scale-out, Datenträgererweiterung und Shard-Anpassung definieren.
3. Wartungsreihenfolge und Mindestkapazität während des Eingriffs festlegen.
4. Knotenentnahme und Wiederaufnahme in einer Testwartung erproben.
5. Kapazitätsplan und Wartungsrunbook nach jedem Test aktualisieren.

Praxislabor

1. RTO-/RPO- und Lastziele für eine Mehrknotenumgebung festlegen.
2. Servercluster und Indexercluster mit konsistenten Zertifikaten und Knotennamen aufbauen.
3. Agentenverbindungen über einen virtuellen Endpunkt verteilen.
4. Je einen Server- und Indexerknoten kontrolliert ausfallen lassen und Datenlücken messen.
5. Wartungsrunbook mit Mindestkapazität, Prüfungen und Wiederaufnahme erstellen.

Betriebliche Qualitätssicherung

• Baseline und Sollverhalten für jedes Ausfallszenario
• Nur ein kontrollierter Fehler je Testschritt
• Messung von Wiederanschluss, Queue, Indexierung und Suchlatenz
• Dokumentierte Kapazitätsreserve während Wartung