Mandantenfähigkeit mit Splunk für den öffentlichen Bereich - Splunk Public Sector Summit 2024 in Frankfurt Vortrag von: ARD-Sternpunkt & Computacenter Sprecher: Marco Nieddu Eugen Möller

1. ARD-STERNPUNKT &
COMPUTACENTER
Marco Nieddu & Eugen Möller
MANDANTENFÄHIGKEIT MIT SPLUNK FÜR DEN ÖFFENTLICHEN BEREICH

2. 2
INHALTSVERZEICHNIS
01 ARD-Sternpunkt
02 Anforderungen
03 Umsetzung

3. 01 ARD-STERNPUNKT –
COMPUTACENTER

4. 4
ARD-STERNPUNKT
• Die ARD Zentralen Mediensysteme betreiben Dienste im Umfeld des Audioaustausches Live- wie auch Dateibasiert.
• Über das Contribution- & Playout-Center (CPoC) wird technisch der nationale und internationale Programmaustausch
abgewickelt. Darüber hinaus die Programmverbreitung des ARD-Programmbouquets über Satellit Weitersender (Kabel, IPTV,
…).
• Das ARD-Sendezentrum ist für die technische und inhaltlich organisatorische Abwicklung des ARD-Gemeinschaftsprogramms
verantwortlich. Im ARD-Sendezentrum werden aus einzelnen Sendungen und Elementen das 24-Stunden-Vollprogramm „Das
Erste“.
• Die ARD-Kommunikationsnetze verantworten den Austausch von Video und Daten zwischen den Rundfunkanstalten. Für die
komplexen Bedürfnisse entwickeln wir passende Lösungen und betreiben diese hochverfügbaren, professionellen und
abgesicherten Dienste 24/7.
• „ARD-IT-Sicherheit“: Der ARD-Sternpunkt wurde mit dem Betrieb der zentralen Instanz für ein SIEM, der Interaktion mit den
Rundfunkanstalten und einem externen Dienstleister für einen SOC-Betrieb im kooperativen Vorhaben SIEM/SOC für ARD,
ZDF und Deutschlandradio, sowie anzubindender Gemeinschaftseinrichtungen und Töchter beauftragt.

5. 5
ARD-STERNPUNKT
• 22 Mandanten liefern Logdaten in die
SIEM-Instanz
• RfA: ZDF, DW, DRadio
• LRA: BR, HR, MDR, NDR, RB, RBB, SR,
SWR
• GSEA: ARD-HSB, ARD-Media, ARD-
Mediathek (SWR), ARD-
POC, ARD-Sternpunkt, DRA
• Dritte: ARGE RBT, Bremedia, Degeto, IVZ,
PKR, PUB

6. 6
ARD-STERNPUNKT - COMPUTACENTER
• 2x EU-Vergabeverfahren (Splunk Lizenz & SOC-Services)
• ARD-Sternpunkt ist zentrale Instanz
• Betrieb SIEM-Infrastruktur
• Zentrale Kommunikations- und Koordinationsstelle
• Durchsetzung SLAs
• Anpassung Definition von SOC-Leistungen für die ARD
• Nachverfolgung offener Vorgänge
• Legt den zu erbringenden Leistungsumfang des SOC fest
• Gesamtheitlicher IT-Sicherheitslagebericht
• Computacenter
• erbringt SOC-Services
• Unterstützt bei Weiterentwicklung (u.a. Use-Cases)
• Erbringt Incident Response & Forensik-Dienstleistung (Unterstützung (D)eutsche (C)yber-(S)icherheits(o)rganisation)

7. 02 ANFORDERUNGEN

8. 8
ANFORDERUNGEN
· Hohe Anforderungen an Datenschutz und von Personalrat
· Jeder Mandant hat eigene Infrastruktur mit teilweise überlappenden IP-Adressbereichen
· ! IP & Hostname nicht Unique Identifier !
· Assets & Identities sind nicht eindeutig
· ARD als Arbeitsgemeinschaft mit 21 Mandanten möchte Zugriff auf eigene Daten erhalten
· Eigene Dashboards
· Eigene Reports
· Eigene Notables
· Eigene Apps
· Eigene Datenmodelle

9. 03 UMSETZUNG

10. 10
TECHNISCHER AUFBAU
UMSETZUNG
Logquelle Forwarder
(Cribl)
Indexer Search
Head
Netz der Einrichtung Infrastruktur im Sternpunkt
Firewall
30 Indexer
3 Search Heads

11. 11
HERAUSFORDERUNGEN
172.16.254.12
172.16.254.12
Überlappende IP Addressbereiche
Oder Überlappende Hostnamen
Überlappende credentials
Mandantenspezifische
Dashboards
Datentrennung Logische Trennung
Mandantenspezifische
Alarmierung
Physische Trennung
Mandantenspezifische
Whitelists

12. 12
DATENTRENNUNG
…
…
…
stp_endpoint
stp_firewall
stp_dns
zdf_endpoint
zdf_firewall
zdf_dns
br_endpoint
br_firewall
br_dns
… … …

13. 13
LOGISCHE TRENNUNG
i_rfa
Dashboards
Ticket
System
Alerts und Reports
Adhoc Suchen
ML-Modelle
CIM
Asset und Identity
Server & Forwarder Splunk Cluster

14. 14
PHYSISCHE TRENNUNG
• Selbst administrierte Reports,
Dashboards und lookups
• Geteilte Apps administriert von
ARD-Sternpunkt
• Teilung von ES Daten über
Summary Indexing
• Verwaltung der Datenmodelle
• Verwaltung von Asset und
Identity Management
• Verwaltung von Notables und
Korrelationssuchen

15. 05 HABEN SIE FRAGEN?

16. VIELEN DANK