Automated compliance management of heterogeneous application infrastructures at runtime

Abstract

The automation of currently manual processes is a common goal in enterprises today, with the purpose of making processes less error prone, more efficient and less costly. Compliance management in information technology (IT) is a business process that has the goal of ensuring that IT components adhere to a set of rules. Rules can stem from many sources, such as laws, regulations and enterprise-internal requirements. These rules can for example affect applications, application runtimes, or infrastructure components that enable the hosting of applications. The process of compliance management consists of multiple steps. When manually executed, these steps are error-prone and costly, as human operators tend to have a high risk of committing errors. Existing research already proposes solutions for enabling compliance management automation at different stages of an IT component's life-cycle, such as design-time, deployment-time or runtime. Research also covers different types of compliance rules, such as behavioural and structural rules. However, a generic approach for compliance management of application infrastructures at runtime was found to be missing. Rules that affect application infrastructures are structural in nature, affecting components and their relations. It cannot be assumed that infrastructures which were compliant when they were initially designed or deployed, will remain compliant during their runtime. One reason for this could be user interactions with the components, which cause changes in the components. This master thesis introduces a solution concept for a generic framework that aims to enable the automated management of currently running infrastructure. The concept takes a model-based approach, representing the currently running components through a graph-based instance model, which uses the Essential Deployment Metamodel (EDMM). Using this model, sets of compliance rules, also described as models, can be evaluated. The method of instance model retrieval, as well as the method of compliance rule description and evaluation, are designed in an extensible way. By providing a metamodel for the generic description of compliance rules, the solution concept introduced by this thesis can be used for many methods of compliance rule description. The output of an execution of the conceptualised framework is an extension of the EDMM, the Issue-Extended EDMM (I-EDMM). It allows the representation of compliance issues in a graph-based manner, by extending a given instance model, and shows which instance model elements are affected by detected issues. Furthermore, a prototype of the solution concept is described, and verified by comparing the prototype architecture and functionality to that of the proposed solution concept. Finally, an outlook consisting of future research challenges is provided.

Die Automatisierung von manuellen Prozessen ist ein häufiges Ziel in heutigen Unternehmen, mit dem Zweck, Prozesse weniger fehleranfällig, effizienter und weniger kostenintensiv zu machen. Compliance Management hat das Ziel sicherzustellen, dass IT-Komponenten vorgegebene Regeln einhalten. Regeln können von verschiedensten Quellen stammen, wie z.B. Gesetze, Richtlinien und firmeninterne Vorgaben. Diese Regeln können z.B. Applikationen, ihre Laufzeitumgebung, oder Infrastrukturkomponenten, welche die Bereitstellung von Applikationen ermöglichen, betreffen. Der Prozess des Compliance Managements besteht aus mehreren Schritten. Wenn diese Schritte manuell ausgeführt werden, sind sie fehleranfällig und kostenintensiv, da der Mensch ein hohes Risiko hat, Fehler zu begehen. Bisherige Forschung bietet bereits Lösungskonzepte um die Automatisierung von Compliance Management zu ermöglichen. Diese richtet sich auf Management zu verschiedenen Zeiten im Lebenszyklus einer IT-Komponente, wie Entwurfszeit, Deploymentzeit und Laufzeit. Desweiteren richtet sich die Forschung auf verschiedene Arten von Compliance-Regeln, wie Verhaltensregeln oder strukturelle Regeln. Allerdings fehlt ein generisches Lösungskonzept für Compliance-Management zur Laufzeit von Infrastrukturen. Regeln, welche die Infrastruktur von Applikationen betrifft sind struktureller Natur, denn sie betreffen die Komponenten und die Beziehungen untereinander. Es kann nicht davon ausgegangen werden, dass Infrastrukturen, welche zur Entwurfszeit oder Deploymentzeit Compliance-Anforderungen erfüllt haben, dieses auch während ihrer gesamten Laufzeit tun. In dieser Masterarbeit wird ein Lösungskonzept für ein generisches Framework vorgestellt, welches die Automatisierung von Compliance-Management zur Laufzeit von Infrastrukturen ermöglichen soll. Das Lösungskonzept schlägt einen modellbasierten Ansatz vor, welcher ein Instanzmodell in Form eines Graphen verwendet, um die aktuell laufende Infrastruktur darzustellen. Das Instanzmodell ist eine Instanz des Essential Deployment Metamodel (EDMM). Mithilfe dieses Modells können Mengen an Regeln evaluiert werden. Sowohl die Schnittstelle zur Gewinnung des Instanzmodells, als auch die Schnittstelle zu den Methoden, welche die Beschreibung und Evaluierung der Compliance-Regeln erlauben, sind in dem Lösungskonzept generisch gestaltet. Die Ausgabe einer Ausführung des Frameworks, für das in dieser Masterarbeit ein Konzept vorgestellt wird, ist eine Erweiterung des EDMMs, das Issue-Extended EDMM (I-EDMM). Es erlaubt die Darstellung von Regelverletzungen in einem Graphen, welcher ein gegebenes Instanzmodell erweitert. Der Graph zeigt ebenfalls, welche Elemente des Instanzmodells von den entdeckten Regelverletzungen betroffen sind. Desweiteren wird ein Prototyp vorgestellt und verifiziert, indem die Architektur und Funktionalität des Prototyps mit der des Lösungskonzeptes verglichen wird. Zuletzt wird ein Ausblick auf zukünftige Forschungsarbeiten gegeben.