Soluções em Tecnologia da Informação
INFRAESTRUTURA SEGURA PARA A REDE
DE FARMÁCIAS MEDCARE
São Leopoldo, 06 de agosto de 2011.
Infraestrutura Segura MadCare
NETZWERK
ÍNDICE
SUMÁRIO EXECUTIVO ................................................................................................................................ 6
INFRAESTRUTURA ....................................................................................................................................... 7
1.
DEFINIÇÕES DA REDE FÍSICA .................................................................................................................... 7
1.1. Rede Wan – Longa Distância ...................................................................................................... 7
1.1.1.
Panorama atual da Rede WAN da empresa ..................................................................................... 7
1.1.2.
Novo ambiente da Rede WAN projetado por nossa equipe........................................................... 8
1.2. Rede Local da Matriz ................................................................................................................... 10
1.2.1.
Topologia Física Atual ......................................................................................................................... 10
1.2.2.
Topologia Física Proposta .................................................................................................................. 11
1.3. Rede Local do Data Center Backup ......................................................................................... 12
1.4. Rede Local da Filial São Leopoldo ............................................................................................ 14
1.4.1.
Cenário Atual........................................................................................................................................ 15
1.4.2.
Cenário Futuro ..................................................................................................................................... 16
1.5. Equipamentos a serem adquiridos........................................................................................... 17
1.5.1.
Especificações e Justificativas ........................................................................................................... 17
1.6. Rede Local - Sem Fio .................................................................................................................. 17
1.7. Benefícios ...................................................................................................................................... 17
1.8. Escopo ............................................................................................................................................ 17
1.9. Tecnologia ..................................................................................................................................... 17
1.10.
Equipamentos ........................................................................................................................... 18
1.11.
Topologia ................................................................................................................................... 18
1.12.1. Usuários internos................................................................................................................................. 19
1.12.2. Usuários visitantes .............................................................................................................................. 19
2.
DEFINIÇÃO DA REDE LÓGICA ................................................................................................................... 21
2.1. Topologia Lógica Anterior .......................................................................................................... 21
2.2. Topologia Lógica Proposta ......................................................................................................... 21
3.
VLANS .................................................................................................................................................... 21
4.
VIRTUALIZAÇÃO ....................................................................................................................................... 22
4.1. Arquitetura .................................................................................................................................... 22
DEFINIÇÃO DOS DISPOSITIVOS DE SEGURANÇA ........................................................................ 23
5.
FIREWALL................................................................................................................................................. 23
6.
TOPOLOGIA – METODOLOGIA - ILUSTRAÇÃO............................................................................................. 24
7.
SEGURANÇA DO PERÍMETRO ..................................................................................................................... 24
7.1. IDS/IPS .......................................................................................................................................... 24
7.1.1.
8.
Topologia – metodologia - ilustração .............................................................................................. 25
VPN ........................................................................................................................................................ 25
8.1. Site-to-site .................................................................................................................................... 25
8.2. Client-to-Site ................................................................................................................................ 25
2
SEGURANÇA DAS ESTAÇÕES.................................................................................................................. 26
9.
ANTÍVIRUS ............................................................................................................................................... 26
9.1. Situação atual............................................................................................................................... 26
9.2. Objetivo ......................................................................................................................................... 26
9.3. Tecnologia proposta .................................................................................................................... 26
9.4. Requisitos de implantação ......................................................................................................... 27
9.5. Orçamento .................................................................................................................................... 27
10.
ANTISPAM E FILTRO WEB ..................................................................................................................... 27
10.1.
Situação atual ........................................................................................................................... 27
10.2.
Objetivo ...................................................................................................................................... 27
10.3.
Tecnologia proposta ................................................................................................................ 27
10.4.
Controle de navegação web .................................................................................................. 28
10.5.
Controle de email ..................................................................................................................... 28
10.6.
Requisitos de implantação ..................................................................................................... 29
10.7.
Orçamento ................................................................................................................................. 29
MONITORAMENTO ..................................................................................................................................... 30
11.
OBJETIVOS ........................................................................................................................................... 30
12.
SERVIDOR DE GERÊNCIA DE REDE........................................................................................................ 30
13.
ATIVOS E SERVIÇOS QUE SERÃO MONITORADOS ................................................................................... 30
14.
FERRAMENTAS ...................................................................................................................................... 32
14.1.
CA Spectrum ............................................................................................................................. 32
14.1.1. Inventário do parque tecnológico .................................................................................................... 32
14.1.2. Descoberta automática de rede ....................................................................................................... 32
14.1.3. Análise de “Causa Raiz” e “Soluções de Problemas” .................................................................... 33
14.1.4. Monitoramento e alterações de configurações .............................................................................. 33
14.1.5. Análise de tráfego ............................................................................................................................... 34
14.1.6. Servidores e Serviços ......................................................................................................................... 34
14.1.7. Relatórios .............................................................................................................................................. 36
14.1.8. Investimento ........................................................................................................................................ 36
15.
CISCO WIRELESS CONTROL SYSTEM (WCS) ....................................................................................... 36
15.1.
16.
Investimento ............................................................................................................................. 38
WSUS ................................................................................................................................................. 38
16.1.
Cenário de Implementação .................................................................................................... 39
16.2.
Investimento ............................................................................................................................. 39
17.
INFRAESTRUTURA DO DATA CENTER ..................................................................................................... 39
17.1.
Câmeras ..................................................................................................................................... 40
17.2.
Temperatura Data Center e umidade do ar ....................................................................... 40
18.
INVESTIMENTO TOTAL .......................................................................................................................... 40
AUTENTICAÇÃO INTEGRADA ................................................................................................................. 41
19.
SITUAÇÃO ATUAL .................................................................................................................................. 41
3
20.
OBJETIVOS ........................................................................................................................................... 41
21.
BENEFÍCIOS ......................................................................................................................................... 41
22.
MICROSOFT ACTIVE DIRECTORY (AD) ................................................................................................. 42
23.
SERVIÇOS QUE UTILIZARÃO A BASE DE USUÁRIOS DO ACTIVE DIRECTORY............................................ 42
23.1.
RADIUS ...................................................................................................................................... 42
23.2.
TACACS+ ................................................................................................................................... 44
23.3.
OTP .............................................................................................................................................. 45
23.4.
Cisco Secure Access Control Server - ACS ......................................................................... 45
24.
AMBIENTE PROPOSTO ........................................................................................................................... 46
25.
INVESTIMENTO ..................................................................................................................................... 47
CENTRALIZAÇÃO DE LOGS ..................................................................................................................... 48
26.
OBJETIVOS ........................................................................................................................................... 48
27.
FERRAMENTA ........................................................................................................................................ 48
28.
ITENS A SEREM COLETADOS .................................................................................................................. 48
29.
INFRAESTRUTURA ................................................................................................................................. 49
29.1.
Topologia da solução ............................................................................................................... 49
29.2.
Tempo de coleta ....................................................................................................................... 49
30.
CORRELAÇÃO DE LOGS ......................................................................................................................... 50
31.
AUDITORIAS ......................................................................................................................................... 50
32.
PROCEDIMENTOS .................................................................................................................................. 50
32.1.
Recuperação de logs ............................................................................................................... 50
32.2.
Eliminação de logs ................................................................................................................... 51
33.
INVESTIMENTO ..................................................................................................................................... 51
ARMAZENAMENTO DE DADOS ............................................................................................................... 52
34.
OBJETIVO ............................................................................................................................................. 52
35.
AMBIENTE ATUAL ................................................................................................................................. 52
36.
SOLUÇÃO DE IMPLEMENTAÇÃO .............................................................................................................. 52
37.
IBM STORWISE V7000 ....................................................................................................................... 53
38.
REPLICAÇÃO DE DADOS........................................................................................................................ 53
BACKUP DE DADOS.................................................................................................................................... 54
39.
OBJETIVO ............................................................................................................................................. 54
40.
AMBIENTE ATUAL ................................................................................................................................. 54
41.
SOLUÇÃO DE IMPLEMENTAÇÃO .............................................................................................................. 54
42.
IBM TIVOLI STORAGE MANAGER.......................................................................................................... 55
42.1.
43.
Rede de Backup........................................................................................................................ 55
POLÍTICA DE BACKUP ........................................................................................................................... 56
43.1.
Retenção dos Backups: .......................................................................................................... 56
43.2.
Storage Pools ............................................................................................................................ 57
43.3.
Schedules .................................................................................................................................. 57
44.
COFRE .................................................................................................................................................. 57
44.1.
Tempo de Recuperação de Dados (Restore / Retrieve) .................................................. 57
4
44.2.
Host ............................................................................................................................................. 57
44.3.
Fitas LTO5 .................................................................................................................................. 58
POLÍTICA DE MANIPULAÇÃO DE FITAS MAGNÉTICAS ................................................................ 58
44.4.
Objetivo ...................................................................................................................................... 58
44.5.
Escopo ........................................................................................................................................ 58
44.6.
Termos e Definições ................................................................................................................ 58
44.7.
Cenário ....................................................................................................................................... 58
44.8.
Recursos de Hardware e Software ....................................................................................... 59
44.9.
Recursos de Pessoal ................................................................................................................ 59
44.10. Atribuições e Responsabilidades ........................................................................................... 59
44.11. Procedimentos para Backup .................................................................................................. 60
44.11.1.
Descrição dos dados e tarefas de backup de dados ................................................................. 60
44.11.2.
Tarefas de Backup........................................................................................................................... 60
44.12. Procedimentos para Restauração de Dados ....................................................................... 61
44.12.1.
Descrição das atividades de restauração de dados .................................................................. 61
44.13. Classificação das Mídias.......................................................................................................... 61
44.14. Armazenamento das Mídias ................................................................................................... 61
44.15. Transporte das Mídias ............................................................................................................. 61
44.16. Substituição e Descarte das Mídias...................................................................................... 62
44.17. Plano de Testes de Restauração ........................................................................................... 62
ORÇAMENTO ................................................................................................................................................. 64
45.
CUSTOS DE HARDWARE ........................................................................................................................ 64
46.
CUSTOS DOS ACESSÓRIOS ................................................................................................................... 64
47.
CUSTOS DE SOFTWARE ........................................................................................................................ 65
48.
CUSTOS DE MÃO DE OBRA ................................................................................................................... 65
49.
ORÇAMENTO TOTAL .............................................................................................................................. 65
ANEXO I ......................................................................................................................................................... 66
BAYFACES...................................................................................................................................................... 66
50.
MATRIZ – PORTO ALEGRE .................................................................................................................... 66
51.
DATA CENTER BACKUP – PORTO ALEGRE ............................................................................................. 69
52.
FILIAL SÃO LEOPOLDO ......................................................................................................................... 70
5
SUMÁRIO EXECUTIVO
A rede de farmácias MEDCARE criada em 2009, recentemente ampliou sua área de abrangência de
atendimento, através da instalação de uma nova filial situada na cidade de São Leopoldo e com isso, estima
alcançar um crescimento em sua receita de 4% ainda este ano.
Este projeto visa proporcionar altos níveis de segurança, redundância e confiabilidade à rede WAN
(longa distância) e também às redes LAN (redes internas de suas filiais) já existentes na estrutura da
farmácia. Automatizando tarefas, organizando a topologia lógica da rede e contando com um processo de
administração simplificado. Propiciando agilidade no atendimento, modernizando o parque tecnológico da
empresa, reduzindo custos operacionais e otimizando a utilização dos recursos de TI.
Pensando na continuidade do negócio, recomendamos que os 3 links dedicados de alto custo para a
farmácia, sejam removidos. Sendo contratados para 4 links de internet empresarial (com custo bem menor)
para substituí-los. Desta maneira, a filial de São Leopoldo terá 2 links de saída para a internet, a Matriz
terá 1 link e o CPD de backup ficará com o outro link restante. Além disto, será mantido um canal direto de
fibra ótica (já existente na estrutura atual) conectando diretamente a matriz ao CPD de Backup.
Com esta topologia, todos os pontos da rede terão duas saídas para a internet, com VPN Site-to-Site
estabelecidas. Mais adiante neste projeto, entraremos em mais detalhes sobre esta implementação. Mas
aqui é importante ressaltar que este novo modelo a ser implantado, proverá redundância de conectividade,
proteção contra falhas e segurança aos dados trafegados através das VPNs, ao contrário do que acontecia
no modelo anterior.
Preocupando-se com a confidencialidade e o sigilo, dividiremos os setores existentes em redes
distintas. Desta forma, os funcionários de diferentes departamentos somente terão acesso aos sistemas e
informações relevantes para a realização de seu trabalho. Para que isso seja possível, serão configuradas
VLANs (redes virtuais) nos equipamentos de rede (switchs), possibilitando que esta divisão de áreas seja
realizada de uma maneira eficiente. Reduzindo também o alcance e a quantidade de pacotes broadcast
(enviados para todos) dentro da rede, o que resulta em um melhor desempenho.
Serão substituídas as ACL’s (listas de acesso) até então utilizadas nos dispositivos responsáveis
pelas conexões entre as filiais (roteadores), deixando então esta tarefa de extrema importância na proteção
da rede para equipamentos especificamente desenvolvidos para este fim: Firewall Cisco ASA 5510. Nossa
solução prevê a utilização de 2 Firewalls ASA (trabalhando em cluster com failover) nas bordas de cada nó
da rede. Estes Appliances provém uma filtragem muito mais eficiente aos dados entrantes e saintes na rede
da farmácia, fornecem uma proteção bem maior contra invasões e ataques oriundos da Internet, além de
contarem com módulos específicos de detecção e proteção contra intrusos (IDS/IPS).
Após a conclusão do projeto, a área de TI da matriz ficará responsável por administrar os serviços
tecnológicos, servidores, sistemas, etc. Levando em consideração este aspecto, projetamos um ambiente
onde toda a infraestrutura de rede será monitorada em tempo real com a utilização das ferramentas Cacti e
Nagios (ambas de código aberto, eficazes e sem custos adicionais).
Vale lembrar, que todos os equipamentos da rede, tais como: servidores, switchs, roteadores e
desktops (computadores de mesa) serão protegidos com no-breaks e geradores de energia, para casos de
variações ou quedas de tensão no fornecimento de energia elétrica. Acreditamos que com estas medidas a
MedCare terá um ambiente computacional sempre ativo, seguro e preparado para atender da melhor forma
possível às demandas que possam surgir, contribuindo para a prestação de um ótimo nível de atendimento a
seus clientes.
6
INFRAESTRUTURA
1.
Definições da Rede Física
1.1.
Rede Wan – Longa Distância
A rede de longa distância da farmácia visa prover conectividade 24 horas por dia, 7 dias por
semana entre a Matriz e seu CPD de backup, ambos localizados em Porto Alegre, além de sua filial, situada
em São Leopoldo. Analisando a topologia anterior da rede Wan, encontramos diversos fatores que poderiam
ser melhorados, tanto no quesito segurança, quanto em termos de redundância e redução de custos.
1.1.1. Panorama atual da Rede WAN da empresa
Figura 1.
Mapa atual da Rede MedCare
7
1.1.2. Novo ambiente da Rede WAN projetado por nossa equipe
Melhorias que recomendamos:
Descontinuação do formato de conexão via Trusted VPN’s utilizado anteriormente, com
cancelamento dos 3 links dedicados (de custo bastante elevado e sem criptografia) e contratação de
quatro links de internet empresarial (com custo bem menor e taxas de velocidade bem superiores).
Dentre os quatro links de internet empresarial que serão contratados, a divisão será a seguinte:
Filial São Leopoldo: 1 link de 5 Mbps contratado juntamente à operadora GVT, mais 1 link de 5 Mbps
contratado juntamente à operadora Embratel, já pensando em possuir redundância de operadora.
Matriz: 1 link de 10 Mbps contratado juntamente à operadora GVT.
CPD Backup: 1 link de 10 Mbps contratado juntamente à operadora Embratel.
Link Fibra Ótica (já existente e será mantido): interligando diretamente a Matriz e o CPD Backup.
• Implantação da tecnologia de VPN’s Site-to-Site Over IPSec entre Matriz, CPD Backup e Filial,
provendo um nível de segurança elevado para os dados que trafegam através da rede, com a
utilização de padrões avançados de criptografia.
• Implementação de VPN’s Client-to-Site Over IPSec para possibilitar o acesso remoto de forma
segura a funcionários, fornecedores e terceiros que estejam fora das instalações físicas da
empresa.
• A redundância também foi levada em consideração em nosso projeto, para mantermos sempre
ativa a comunicação entre os três pontos da rede, mesmo em casos de falhas. Para isto,
projetamos dois canais distintos de acesso à internet e às demais filiais para cada um deles.
• A filial de São Leopoldo, terá uma VPN Site-to-Site configurado com a Matriz (através de seu link
da operadora GVT). Do mesmo modo, terá uma VPN Site-to-Site com o CPD Backup (através de
seu link da operadora Embratel).
• A Matriz e o CPD Backup, além de possuírem estas VPNs diretamente conectadas à filial São
Leopoldo, também terão uma VPN Site-to-Site entre si, além de uma link dedicado de Fibra Ótica
que conecta os dois CPDs (matriz e backup) diretamente.
• Sendo assim, cada ponto da rede terá duas maneiras de chegar a seus destinos. Caso a conexão
entre matriz e filial São Leopoldo saia do ar, ainda assim, haverá conectividade entre elas
(através do CPD Backup). Esta mesma lógica se aplica a qualquer outro ponto da rede (sempre
haverá duas maneiras de se chegar a um destino dentro da rede wan da farmácia.
• O acesso à internet se dará por meio de uma solução montada em cima de um proxy ISA da
Microsoft, trabalhando em conjunto com o Websense (ferramenta líder mundial em filtragem de
navegação web). Esta estrutura está montada na matriz, (tendo redundância no CPD Backup).
Logo, todo o acesso à internet dos funcionários da matriz e também da filial São Leopoldo se
dará através da Matriz. Isto facilita a administração e gerenciamento, pois centralizado tudo no
Data Center Principal.
• Com a utilização dos Appliance Cisco ASAS 5510 como servidores de VPN (tanto Client-to-Site,
quando Site-to-Site), torna-se possível a funcionários, fornecedores e terceiros, obterem acesso
seguro à rede interna da empresa, de qualquer lugar, bastante apenas possuírem algum meio de
acesso à internet.
8
Figura 2.
Novo Mapa da Rede Wan
9
1.2.
Rede Local da Matriz
1.2.1. Topologia Física Atual
A topologia original da empresa apresenta diversos pontos de falha, realizando uma análise sobre este
cenário, identificamos alguns aspectos que podem e devem ser melhorados.
Elencamos alguns deles a seguir:
Todos os switchs de distribuição dos andares do prédio possuem conexões diretas via links de fibra
ótica apenas com os switchs dos andares imediatamente superiores e inferiores à ele. Este
quadro transforma todos estes equipamentos em potenciais “pontos de falha”.
Caso o switch do terceiro andar caia, tanto este, como também o quarto andar ficam sem acesso ao
resto da rede e também à internet.
Se o switch de distribuição do segundo andar cair, ficarão sem acesso à rede e à internet, não
somente o segundo, mas o terceiro e o quarto andares também.
Finalmente, se o switch de distribuição do primeiro andar parar, toda a rede da matriz irá parar, assim
como sua comunicação com a internet e com o Data Center Backup.
Figura 3.
Topologia Física Atual da Matriz
10
1.2.2. Topologia Física Proposta
Buscando garantir disponibilidade, desempenho e um processo de gerência otimizado à rede, projetamos
algumas melhorias pontuais que devem ser realizadas.
Falaremos um pouco sobre cada uma delas a seguir:
- Incluímos 2 switchs Layer 3 na borda da rede, estes equipamentos possuem todas as VLAN’s
configuradas e estão trabalhando em modo “trunking”. São responsáveis por executar o roteamento entre as
VLAN’s existentes, assim como realizar filtragem de pacotes através da utilização de “listas de acesso”.
- Neste novo cenário, todos os switchs de distribuição dos demais andares possuem agora 2 módulos de
fibra, conectando-os diretamente aos 2 Switchs Layer 3 de borda da rede e não mais aos switchs dos
andares adjacentes.
- Esta estrutura permite que todos os andares tornem-se independentes, isto é, se o switch de
distribuição do segundo andar “parar de funcionar”, apenas as estações de trabalho deste andar serão
afetadas, já os demais andares da matriz continuarão trabalhando com acesso à rede interna e à internet.
- Para provermos redundância, indicamos que fossem colocados dois Switchs Layer 3 na borda da rede,
para que caso um deles venha a cair, o outro switch core (que também possui as mesmas configurações) se
responsabilize por manter a conectividade entre toda a rede.
Figura 4.
Nova Topologia Física Proposta
11
1.3.
Rede Local do Data Center Backup
Esta foi outra modificação que indicamos para a rede de farmácias MedCare, pois até então, existia um
grande problema em relação à segurança, pois não haviam câmeras de segurança no local, assim como
também não existia sistema de autenticação biométrica ou via crachá para acesso aos servidores, sendo
necessário apenas utilizar uma chave simples para abrir a porta da sala.
Além destes pontos que ressaltamos acima, o CPD de Backup estava localizado em um prédio comercial
alugado pela farmácia, localizado à 10 Km de distância da Matriz. Estas instalações tinham diversos
problemas, pois o ambiente alugado não havia sido projetado para abrigar um Data Center, então a
refrigeração do ambiente não era adequada, não havia gerador de energia, assim como não existia nenhum
mecanismo de proteção contra acidentes naturais.
Visando melhorar e resolver alguns destes problemas, sugerimos que a rede de farmácias mudasse seu
Data Center de Backup para dentro das instalação de uma operadora de Telecom, prática conhecida como
“Colocation”. Neste novo modelo, foi firmado um contrato de SLA bem exigente com a operadora.
Termos assegurados em contrato:
Nível de SLA, garantindo os sistemas acessíveis em 99,7% do tempo (sujeito a multas);
Acesso ao Data Center locado permitido apenas a alguns funcionários da TI da MedCare,
previamente cadastrados e mediante apresentação de documento de identidade e preenchimento
de formulário;
Câmeras de segurança filmam todo o fluxo de entrada e saída de pessoas nas instalações
internas, desde a portaria até o local onde ficam os servidores.
Monitoramento de serviços e sistemas em tempo real, em regime 24h x 7dias, realizado pela
equipe de NOC da operadora. Acionando a equipe de TI da farmácia caso seja necessário,
através de e-mails de alertas, mensagens SMS e em última instância, através de ligações
telefônicas.
O prédio da operadora onde encontram-se as instalações foi projetado para resistir a catástrofes,
incêndios, apagões elétricos, etc.
Refrigeração do ambiente é adequada e monitorada através de sensores também pela equipe de
NOC da operadora.
Segurança física do prédio 24 horas por dia, sendo realizada por duas empresas especializas.
Falando no aspecto de infra-estrutura de TI, também indicamos diversas mudanças pensando em manter a
integridade, disponibilidade e confidencialidade dos dados.
Enumeramos a seguir as providências a serem tomadas:
Cancelamento do circuito dedicado existente, de alto custo, baixa velocidade e sem gerência alguma
por parte da equipe de TI da farmácia. Pois todos os ativos de rede Wan, assim como regras de
acesso e configurações estavam à cargo da operadora.
Contratação de um novo link de internet empresarial, utilizando a tecnologia de rede de longa
distância MPLS em cima de um circuito de fibra ótica, com custo bem menor comparado ao link
anterior e largura de banda bem superior (fazendo uma update de 3 Mbps para 10 Mbps).
Implementação de duas VPNs Site-to-Site sobre este canal, configuradas nos appliances Cisco ASA
5510, montando circuitos virtuais tunelados, com criptografia baseada protocolos de altíssima
segurança, como IPSec, IKE, AES-256 e SHA1. Este modelo de conexão segura, garante a
confidencialidade e a integridade dos dados transmitidos entre Data Center e Filial.
12
Como mais um nível de redundância, será mantido o link de fibra ótica interligando diretamente o CPD
Backup ao Data Center da Matriz.
Substituição de 15 servidores físicos antigos, por um novo ambiente virtualizado, consolidado sobre
uma solução da VMware.
Listamos aqui, algumas das melhorias agregadas com esta nova estrutura virtualizada:
Controle de recursos: Como o hipervisor intermedia os acessos do sistema convidado ao hardware,
é possível implementar mecanismos para verificar a consistência desses acessos e de seus
resultados, aumentando a integridade do sistema convidado; da mesma forma, é possível
acompanhar e registrar as atividades do sistema convidado, para fins de auditoria.
Isolamento: ao manter os ambientes virtuais isolados do sistema real subjacente, o hipervisor provê a
confidencialidade de dados entre os sistemas convidados.
Inspeção: a visão privilegiada do hipervisor sobre o estado interno do sistema convidado permite
extrair informações deste para o sistema hospedeiro, permitindo implementar externamente
mecanismos de verificação de integridade do ambiente convidado, como antivírus e detectores de
intrusão.
Encapsulamento: a possibilidade de salvar/restaurar o estado do sistema convidado torna viável a
implementação de mecanismos de rollback úteis no caso de quebra da integridade do sistema
convidado, da mesma forma, a migração de máquinas virtuais é uma solução viável para o problema
da disponibilidade.
A figura abaixo, demonstra a nova topologia proposta neste projeto:
Figura 5.
Data Center Backup
13
1.4.
Rede Local da Filial São Leopoldo
Na filial, também serão necessárias algumas alterações, porém mais simples comparadas às da Matriz e do
CPD de Backup. Visando três aspectos principais: disponibilidade, confidencialidade e integridade.
Listamos abaixo algumas medidas que devem ser tomadas:
Sugerimos a instalação de um sistema de autenticação via crachá + biometria à sala onde estão os
servidores e o rack de Telecom da filial;
Também será necessária a instalação de um ar-condicionado nesta sala, pois em diversos
momentos os equipamentos ficavam superaquecidos, correndo risco de causar uma parada em
seu funcionamento.
Cancelamento dos 2 circuitos dedicados (ambos da operadora de telecom anterior) e instalação de
2 novos links de internet (MPLS de 5 Mbps), mais baratos e com mais largura de banda que os
anteriores. Neste ponto é importante frisar, que pensando em possuir inclusive redundância de
operadora de telecomunicações, indicamos a contratação de um link pela GVT e outro pela
Embratel.
Configuração de duas VPN’s Site-to-Site, uma conectando diretamente a filial ao Data Center da
Matriz e outra conectando-a ao CPD Backup. Estes canais virtuais privados serão estabelecidos
sobre túneis IPSec, utilizando os protocolos IKE, AES-256 e SHA. Provendo um nível muito de
confidencialidade ao tráfego de informações.
O firewall anterior era um servidor bastante antigo, utilizando o Iptables e sem redundância, caso
esta máquina caísse, a rede interna da filial perdia o contato com a internet e com seus Data
Centers. Destacamos então que uma boa alternativa seria a aquisição de 2 Appliances Cisco
ASA 5510, trabalhando em failover (quando uma das caixas cair, a outra assume imediatamente).
Estes equipamentos também passam a exercer a função de servidores de VPN, além de
possuírem também um módulo específico para detecção de intrusos e ataques oriundos da
internet (IDS/IPS), com um nível de funcionalidade bem superior ao IDS anterior (Snort).
Outro aspecto crucial a ser tratado diz respeito ao switch de distribuição da rede, na estrutura atual
existe apenas um switch de borda, que constituindo um grande ponto de falha na rede. Sendo
assim, será necessária a substituição deste equipamento já bastante defasado e sem suporte,
por dois novos switchs Cisco Catalyst. Ambos equipamentos terão as mesmas VLANs
configuradas (trabalhando em trunking), além disto, ambos terão portas de entrada para a rede
interna, assim como portas de saída para os roteadores de internet.
Neste novo quadro, caso o link de internet de São Leopoldo que possui a VPN Site-to-Site
estabelecida, provendo conectividade direta da Filial à Matriz fique fora do ar. A conexão entre as
duas será feita através do outro link existente na Filial, pois neste, existe uma outra VPN
Site-to-Site conectando-a ao CPD Backup, que por sua vez possui um link de fibra conectando-o
diretamente à rede interna da Matriz. Sendo assim, o Data Center de Backup irá “rotear” ou
“intermediar” o tráfego entre os outros 2 pontos da rede Wan.
Os dois cenários da rede da Filial São Leopoldo, tanto o atual, quanto o futuro ambiente, serão apresentados
nas topologias de rede apresentadas a seguir.
14
1.4.1. Cenário Atual
R
10/100 BASE - TX
SUPER
STACK
St at us
1x
6x
1 3x
18x
7x
12x
19x
24x
green = enabled, link O K
f lashing gr een
1
2 3
1 2
3
Power
Fault
10 11 12 Pckt
10 11 12 St at
1 1 1 1 17 18 19 20 21 22 23 24 Pckt
1 1 1 1
Figura 6.
17 18 19 20 21 22 23 24 St at
Topologia Atual da Filial São Leopoldo
15
1.4.2. Cenário Futuro
Figura 7.
Futura Topologia da Filial São Leopoldo
16
1.5.
Equipamentos a serem adquiridos
1.5.1. Especificações e Justificativas
1.6.
Rede Local - Sem Fio
Na topologia atual da empresa MedCare o acesso aos sistemas da empresa se dá através da rede cabeada
dificultando/impedindo a utilização de equipamentos móveis, tais como, tablets, smartphones e laptops.
Visando disponibilizar o acesso destes novos dispositivos aos sistemas da empresa, bem como permitir que
funcionários, visitantes e fornecedores tenham acesso à internet quando nas dependências da empresa,
sugerimos a implementação de uma rede sem fio.
1.7.
Benefícios
Os benefícios das redes sem fio:
• Conveniência: Permite que funcionários possam acessar os recursos da sua rede com segurança
em qualquer local dentro da área de cobertura.
• Mobilidade: permite que os funcionários permaneçam conectados à rede quando não estão nas
suas mesas de trabalho.
• Produtividade: permite acesso às informações e aplicativos da empresa. Os visitantes (clientes,
terceiros ou fornecedores) podem ter acesso de convidado à Internet e aos dados corporativos.
• Facilidade na instalação: Redes sem fio tornam mais fácil a tarefa de levar conectividade de rede a
locais menos acessíveis
• Escalabilidade: Redes sem fio podem ser expandidas com o equipamento existente.
• Segurança: Avanços na tecnologia apresentaram proteções robustas de segurança, de modo que
os dados ficam facilmente disponíveis somente para as pessoas com acesso autorizado.
• Custo: a operação de uma LAN sem fio, que elimina ou reduz os custos com cabeamento durante
mudanças, reconfigurações ou expansões de escritórios, pode custar menos.
1.8.
Escopo
O escopo deste item do projeto é a disponibilização de acesso sem fio a rede da empresa em todos os
setores da Matriz e na Filial de São Leopoldo. Fornecer acesso, tanto para Diretores/Colaboradores quanto
para visitantes. Outro quesito do projeto é a proposição de topologia que permita o gerenciamento e
monitoramento centralizado a partir da Matriz.
1.9.
Tecnologia
Para atender os quesitos gerenciamento e monitoramento centralizado, bem como a segregação entre a
rede sem fio de uso da empresa e a de uso de visitantes, sugerimos a implementação da topologia Cisco's
Unified Wireless infrastructure.
A topologia Cisco's Unified Wireless infrastructure propõe o uso de um equipamento central responsável pelo
gerenciamento e controle dos Access Points, o Wireless Lan Controller, ou WLC.
17
Figura 8.
Arquitetura Cisco Unified Wireless infrastruture
O Wirelles Lan Controller, ou WLC, tem três funções primárias:
• Controlar e gerenciar os Access Points
• Tunelar o tráfego da rede wireless
• Coletar dados da rede sem fio para o gerenciamento através do Wireless Control System
Através do WLC pode-se gerenciar todos os Access Points da rede, sem que haja necessidade de interação
de equipamento a equipamento, desta forma quando houverem mudanças nas configurações ou na política
de segurança da empresa, estas são alteradas somente no WLC e refletidas para todos os Access Points da
rede.
O uso do Wirelles Lan Contoller também aprimora questões de segurança da rede através da possibilidade
de uso de Vlan’s, separando o tráfego da rede administrativa do tráfego da rede de visitantes, por exemplo.
Alem disto o WLC possui diversas features de segurança contra os principais ataques a redes sem fio e
integração com sistema de identificação de intrusão.
1.10.
Equipamentos
Para a implementação da rede sem fio sugerimos a utilização do Wirelles Lan Controller 5508 e do Access
Points Aironet 1240AG, da Cisco.
1.11.
Topologia
Assim como a topologia apresentada pela Cisco, propomos a utilização de um Wireless Lan Controller que
deverá ser instalado na matriz. Este equipamento será responsável pelo controle e gerenciamento dos
Access Points tanto da Matriz quanto da Filial. Nossa topologia também contempla a autenticação dos
usuários internos através da comunicação do WLC com o AD da matriz.
Os Access points estarão diretamente conectados aos siwtchs departamentais em modo truncking
permitindo somente o tráfego das Vlan’s 2 e 5. Para segmentar o tráfego da rede administrativa e a rede de
visitantes, a rede administrativa utilizara a Vlan 2 e a rede de visitantes a Vlan 5.
Também para destribuir dois SSID´s serão configurados, o SSID´s “Medcare” para a rede interna e o SSID
“Visitante” para os visitantes.
A fim de permitir a mobilidade dos usuários dentro das dependências da empresa, todos os Access Points
possuirão estas configurações.
18
Figura 9.
Topologia da rede
1.12. Autenticação
Para garantir a segurança na autenticação dos usuários na rede sem fio, propomos a utilização do protocolo
WPA2 com EAP + TKIP
O principal objetivo do WPA2 é suportar as características adicionais de segurança do padrão 802.11, que
não estavam presentes em protocolos mais antigos. O WPA2 provê autenticação e criptografia, propondo a
garantia de confidencialidade, autenticidade e integridade em redes sem-fio.
O WPA2 utiliza o AES junto com o TKIP com chave de 256 bits, um método bastante poderoso para
criptografia dos dados que trafegam pela rede wireless.
1.12.1. Usuários internos
Os usuários internos utilizarão o SSID MedCare para se conectarem a rede sem fio. A autenticação
será do tipo Open-Authentication com EAP + MAC através do Servidor RADIUS, e para criptografia
utilizaremos WPA2 com AES + TKIP.
1.12.2. Usuários visitantes
Para acesso Wi-fi a rede de convidado será utilizado um segundo ssid MedGuest com a VLAN 5
(Guest) para dispositivos convidados que não terão acesso nenhum à rede interna. A autenticação será do
tipo Open-Authentication com EAP + MAC através do Servidor RADIUS, e para criptografia utilizaremos
WPA2 com AES + TKIP.
Os dispositivos visitantes deverão estar devidamente configurados no ACS no grupo Guest. Cada
visitante receberá um usuário e senha que estarão configurados no Users Identity Store do ACS.
19
1.13. IDS
O WLC, Wireless Lan Controlle, é capaz de realizar a análise de intrusão utilizando dados capturados de
todos os AP’s conectados. Esta característica de analise de IDS de redes fio, incorporada ao WLC, não está
disponível para um sistema IDS de rede com fio.
A análise de intrusão é feita através da comparação de assinaturas de ataques conhecidos. Estas
assinaturas são freqüentemente atualizadas.
1.14. Segurança e proteção contra ataques
ACLs e Firewall
O WLC permite a implementação de listas de controle de acesso, (ACLs), podendo ser definidas para
qualquer interface configurada no WLC. Essas ACL’s podem ser usadas para aplicar as políticas nas
WLAN’s para limitar o acesso a determinados endereços e protocolos, bem como para fornecer proteção
adicional para o WLC.
DHCP Spoofing e Arp Spoofing
O WLC atua como um agente de retransmissão para pedidos de WLAN cliente DHCP. Ao fazê-lo, o WLC
realiza uma série de verificações para proteger a infra-estrutura DHCP. A verificação principal é verificar se o
endereço MAC incluído no pedido DHCP corresponde ao endereço MAC do cliente WLAN que envia o
pedido. Isso protege contra ataques de exaustão DHCP, ao restringir a um cliente WLAN a um pedido DHCP
(endereço IP) para sua própria interface. O WLC, por padrão retransmite mensagens de broadcast de
clientes WLAN de volta para a WLAN, o que impede um cliente da rede sem fio de agir como um servidor
DHCP.
O WLC atua como um proxy ARP para clientes WLAN, através da manutenção da associação MAC-IP do
destinatário. Isso permite ao WLC o bloqueio do endereço IP duplicado e ataques de ARP spoofing.
Rogue AP
A solução Cisco Unified de rede sem fio fornece uma solução para Rogue APs, através da análise RF, sendo
capaz de fornecer a localização aproximada dos equipamentos não autorizados.
Bloqueio de comunicação peer-to-peer
O WLC pode ser configurado para bloquear a comunicação entre clientes na mesma WLAN. Isso evita
ataques entre os clientes na mesma sub-rede, forçando comunicação através do roteador.
Client exclusion
Além de IDS sem fio, o WLC é capaz de tomar medidas adicionais para proteger a infra-estrutura WLAN e
clientes WLAN. O WLC é capaz de implementar políticas que excluem os clientes WLAN cujo
comportamento é considerado suspeito.
1.15. Monitoramento e gerenciamento
O Cisco Wireless Control System (WCS) é uma solução de gerenciamento de rede que permite o design,
controle e monitoramento, geração de relatórios, Troubleshooting para redes corporativas sem fio a partir de
um local centralizado, tendo com principais benefícios a simplificação das operações e menor custo total de
propriedade.
20
2.
Definição da Rede Lógica
2.1.
Topologia Lógica Anterior
Blabla bla bla bla
2.2.
Topologia Lógica Proposta
blablabla
3.
VLANs
Procuramos seguir uma lógica bastante simples e o mais organizada possível para o endereçamento IP da
rede de farmácias, elencamos aqui algumas das premissas que utilizamos:
Para as redes internas da Matriz, Data Center Backup e Filial, definimos conforme recomendado pela
RFC 1918 que utilizaríamos um faixa de IPs reservada para uso interno. Neste caso, o range escolhido
foi 10.0.0.0/8.
Para provermos um bom nível de segurança e também de desempenho, segmentamos as diversas áreas
em sub-redes distintas, através da configuração de VLANs. Com isto, conseguimos impedir que pacotes do
tipo broadcast (enviados para todas as máquinas simultaneamente) trafegassem por toda a rede da
empresa.
Para obtermos uma fácil identificação da localização de cada sub-rede, determinamos que os endereços
principais de rede seriam atribuídos desta maneira:
Filial São Leopoldo todas as suas sub-redes iniciam com 10.1.X.X/X. Sendo o primeiro octeto definido
como “10”, pois este é o prefixo global de toda a rede da farmácia. Já o segundo octeto foi definido como “1”,
fazendo referência ao número da filial (filial 01). O terceiro octeto, corresponde à numeração das VLANs,
que são:
VLAN1 – Departamento de TI; VLAN2 – Departamento de Vendas; VLAN3 – Departamento de Marketing;
VLAN4 – Departamento Jurídico; VLAN5 – Departamento Financeiro; VLAN6 (Wireless) – Salas de
Reuniões; VLAN7 – Servidores; VLAN8 – Impressoras e Scanners; VLAN9 – Setor de Atendimento
(balcão), VLAN10 – Gerenciamento de ativos de rede e VLAN11 – Saída para a internet.
O quarto octeto que compõe os “endereços de rede” foi definido como sempre sendo “0” (zero). Exemplo:
para identificarmos qual o endereço IP da estação de trabalho número 7 do setor de TI da filial de São
Leopoldo. Basta seguirmos a lógica citada acima:
• Primeiro octeto: 10 (prefixo global de rede interna);
• Segundo octeto: 1 (referência à Filial 01 – São Leopoldo);
• Terceiro octeto: 1 (referência à VLAN 1, setor de TI);
• Quarto octeto: 7 (referência ao número da estação de trabalho).
Neste caso acima, o endereço da estação seria este: 10.1.1.7. Esta mesma regra foi aplicada a todas as
demais sub-redes da MedCare.
21
Dentre as 10 VLANs diferentes, três delas tiveram os endereçamentos de seus equipamentos distribuídos de
forma manual com IP’s fixos. São elas: VLAN 7 - Servidores;
VLAN 8 – Impressoras/Scanners
e VLAN 10: Conectividade de ativos de rede.
As demais VLANs receberam endereços dinamicamente via DHCP para seus equipamentos.
Procuramos também utilizar uma técnica conhecida como VLSM, para que pudéssemos atribuir a cada setor
um número de endereços IP’s que cobrisse toda a quantidade de máquinas necessária. Porém, sem
desperdícios. Por exemplo: um setor que possui 20 estações, recebeu um range de IPS contendo 30
endereços, ( / 27 ), que atende às suas necessidades perfeitamente.
4.
Virtualização
Visando manter uma cópia fiel do Data Center principal, reduzindo custos de hardware, energia e
refrigeração, em um ambiente onde o espaço ocupado pelo hardware no data Center backup é limitado,
garantindo também altos níveis de desempenho para os servidores e serviços optamos pela virtualização
dos servidores de contingência.
Para isso selecionamos o VMware ESXi que fornece a base para criar uma infra-estrutura de TI confiável
e dinâmica. Este hypervisor abstrae os recursos de processador, memória, armazenamento e rede em
várias máquinas virtuais que, por sua vez, podem executar um sistema operacional e aplicativos não
modificados. O VMware ESXi é o hypervisor mais implantado, fornecendo os maiores níveis de
confiabilidade e desempenho para empresas de todos os tamanhos. Permite consolidar os recursos de
hardware com a tranqüilidade oferecida pela plataforma de virtualização de servidores de produção
comprovada mais amplamente implantada e segura do setor.
O VMware ESXi é a arquitetura de hypervisor mais recente da VMware. Ele possui uma arquitetura
ultrafina que não depende de um sistema operacional de uso geral.. O VMware ESXi cria um novo patamar
para a segurança e a confiabilidade, pois sua base de código menor representa uma “superfície de ataque”
reduzida, com menos código para corrigir. Com o pequeno espaço ocupado e a mesma confiabilidade de um
hardware, o VMware ESXi pode ser integrado diretamente aos servidores x86 padrão do setor pelos
fabricantes líderes de servidores, como Dell, IBM, HP e Fujitsu-Siemens. O VMware ESXi foi desenvolvido
objetivando a simplicidade. A inicialização por menu e as configurações automáticas tornam o ESXi a
maneira mais fácil de conhecer a virtualização da VMware.
4.1.
Arquitetura
Figura 10. Arquitetura virtualizada proposta
22
DEFINIÇÃO DOS DISPOSITIVOS DE SEGURANÇA
Optamos pelo produto da série de Firewalls Cisco® ASA 550, que provê um pacote de serviços de
segurança altamente integrados e referenciais no mercado para pequenas e médias empresas. Dentre suas
capacidades estão alta flexibilidade de serviços, extensão de funções, baixos custos de operação e
centralização do gerenciamento.
O modelo ASA 5510, possui um grande leque de tecnologias e soluções, é eficaz em fornecer segurança
Integra firewall, sistema de prevenção de intrusão (IPS) altamente eficazes e fornece alto desempenho em
VPN. Com o Cisco ASA 5500 Series é possível ter desempenho, segurança, alta proteção dos ativos críticos
e conectividade para a máxima produtividade.
Pode ser gerenciado pelo software CISCI ASDM, ou via telnet, permitindo criação de regras,
monitoramento de tráfego e simulação de configurações com o Packet Tracer.
Figura 11. Ferramenta para gerenciamento do ASA.
5.
Firewall
O firewall Cisco ASA terá a função de controlar acesso de entrada e saída, monitorar e filtrar o tráfego
de dados.
Este possue as seguintes funcionalidades:
• Listas padrões de acesso
• Lista de acessos dinâmicas
• Interceptação TCP
• Controle de acesso baseado em contexto
• NAT
23
• Tecnologia CISCO de criptografia
• Segurança em redes IPSec
• Autenticação de roteadores vizinhos
• Logs de eventos
• Mecanismos AAA (Autorização, autenticação e contabilização)
Sua ferramenta possui uma interface bem amigável, permitindo a criação de regras com facilidade.
Figura 12. Módulo firewall do ASA.
6.
Topologia – metodologia - ilustração
O Cisco ASA 5500 Series
7.
Segurança do Perímetro
7.1.
IDS/IPS
O Cisco ASA 5500 Series IPS é um modulo, que pode ser ativado, como IPS ou IDS. Essa escolha pode ser
realizada ativando o Intrusion Prevention e habilitando posteriormente a opção Inline Mode para utilizar o
ASA como IPS e Promiscous Mode para utilizar o ASA como IDS.
O IPS é baseado em soluções de rede que identificam com precisão, classificam, e param o tráfego
malicioso antes que afete a continuidade dos negócios para redes IPv4, IPv6 e híbridos. Eles combinam o
serviço de prevenção com tecnologias inovadoras, resultando em total confiança na proteção da solução.
24
Essas tecnologias inteligentes oferecem automação e análise contextual de dados garantindo o máximo de
prevenção de intrusão. Além disso, o IPS usa a identificação de ameaças multivetor para proteger a rede
contra violações de políticas, explorações de vulnerabilidade, e inspeção de atividade-meio anômala de
tráfego em Camadas 2 a 7.
7.1.1. Topologia – metodologia - ilustração
O módulo IPS do ASA 5510 possui um método sistemático para analisar o tráfego de rede e então decidir
o que fazer com o quadro ethernet:
1 – Tráfego chega à interface do equipamento;
2 – Se o tráfego é criptografado (túnel VPN) o mesmo é descriptografado;
3 – Regras de firewall são aplicadas;
4 – Tráfego é enviado ao IPS;
5 – O IPS aplica a política de segurança apropriada e em seguida uma ação é adotada (encaminhar o
tráfego ao seu destino ou então descartá-lo);
6 – Se trabalhando em um túnel de VPN, o tráfego é novamente encriptado;
7 – O tráfego é encaminhado e sai do ASA.
8.
VPN
Para permitir a comunicação entre a filial, matriz a CPD backup, a baixo custo, com segurança, com
controle intensivo de serviços em banda larga, oferecendo um conjunto de serviços VPN IPSec e SSL, que
se integram com as tecnologias de defesa, assegurando que a conexão VPN não seja um condutor para
ameaças como vírus e hackers.
8.1.
Site-to-site
Esta arquitetura permite a conexão permanente entre matriz, filial e CPD backup, os mesmos serão
fechados com IPSec e 3DES, permitindo mais segurança entre a troca de informações.
8.2.
Client-to-Site
Para permitir o acesso dos gerentes, vendedores, técnicos e a quem for necessário efetuar acesso
remoto na rede LAN da MedCare, será possível fechar um túnel de qualquer lugar que possua internet,
sendo utilizado para tal, o protocolo pptp com autenticação de usuário e senha da rede Windows, permitindo
maior facilidade de configuração, com níveis aceitáveis de segurança.
25
SEGURANÇA DAS ESTAÇÕES
9.
Antívirus
9.1.
Situação atual
Atualmente as estações da empresa estão protegidas pelo Antivírus Microsoft Security Essencial. Esta
solução não permite o gerenciamento centralizado acarretando dificuldades no controle dos equipamentos e
na distribuição de atualizações.
9.2.
Objetivo
O escopo deste item do projeto prevê a sugestão de um sistema de antivírus que possibilite o gerenciamento
e a distribuição de atualizações de maneira centralizada a partir da matriz da empresa.
9.3.
Tecnologia proposta
O McAfee Endpoint Protection — Advanced Suite proporciona segurança integrada e proativa, que bloqueia
malware e ataques zero day, além de proteger os sistemas móveis dentro e fora da rede. Conta com
gerenciamento centralizado com base em políticas, controle de acesso e auditoria.
Principais características:
• Proteção antimalware em tempo real — Bloqueia vírus, cavalos de Troia, worms, adware, spyware e
outros programas possivelmente indesejados..
• Segurança proativa de email e Web — Intercepta os malwares e spams antes que eles alcancem as
caixas de entrada. O McAfee SiteAdvisor Enterprise Plus incorporado alerta os usuários a respeito
de sites mal-intencionados antes do acesso, além de permitir que os administradores autorizem ou
bloqueiem o acesso a sites.
• Proteção contra ataques do dia zero e vulnerabilidades — A prevenção de intrusão de host
verifica seus terminais em busca de malware, evita que códigos mal-intencionados sabotem
aplicativos e oferece automaticamente assinaturas atualizadas que protegem laptops e desktops de
ataques. Assim, a implementação e os testes de patches podem ser realizados com segurança e
conforme necessário.
• Firewall de desktop — Controla aplicativos de desktop que podem acessar a rede e impede ataques
provenientes da rede e inatividade do sistema. Implemente e gerencie políticas de firewall com base
em locais para fornecer proteção completa e conformidade com normas.
• Controle de rede e dispositivos — O sistema de controle de dispositivos monitora e restringe os
dados copiados para dispositivos de armazenamento removíveis, garantindo a segurança das
informações confidenciais.
• Gerenciamento centralizado — A plataforma McAfee ePolicy Orchestrator (ePO) proporciona
visibilidade instantânea do status geral de segurança e de eventos específicos, permitindo o controle
unificado de todas as ferramentas de segurança e conformidade.
26
9.4.
Requisitos de implantação
Para a implementação da nova solução de antivírus será necessária a configuração de um servidor com
sistema operacional Windows 2008 Server que atuará como gerente das estações de trabalho.
9.5.
Orçamento
Os valores de licenciamento serão levantados posteriormente junto ao representante da Mcafee.
10. Antispam e Filtro Web
10.1.
Situação atual
No processo de análise verificamos a inexistência de um sistema para controle de emails, bem como a falta
de um sistema para controle das páginas que eram acessadas pelos colaboradores da organização. A falta
de um sistema para controle dos emails acarretava no número elevado de mensagens indesejadas, além de,
em muitos casos, possuírem links para endereços maliciosos ou anexos como vírus e malwares que
poderiam comprometer a segurança dos dados da empresa. A falta de controle sobre a navegação na
internet reduzia o desempenho dos funcionários na realização de suas atividades, bem como trazia risco a
segurança da empresa uma vez que se poderiam acessar endereços maliciosos.
10.2.
Objetivo
Este item do projeto tem por objetivo apresentar uma solução que vise à redução do número de mensagens
indesejadas, bem como uma solução para controle da navegação na internet.
10.3.
Tecnologia proposta
TRITON Security Gateway Anywhere, aumenta a produtividade dos funcionários, reduz os riscos de
responsabilidade legal e otimiza o uso dos recursos de informática.
Principais Benefícios:
•
•
•
•
•
Possibilita que as organizações estabeleçam políticas flexíveis de uso da internet com as as opções:
Permitir, Bloquear, Continuar, Cota de Tempo, Bloquear por Banda, Bloquear por Tipo de Arquivo
para gerenciar o acesso à Internet e filtragem de sites com base no horário;
Permite que as empresas definam políticas por tipo de arquivo e mais de 80 protocolos de
aplicativos, incluindo email, transferência de arquivos, acesso remoto, streaming media, mensagens
instantâneas (IM) e compartilhamento de arquivos P2P;
Permite que as empresas definam políticas com base em usuários/grupos definidos em Microsoft
Windows Active Directory, Sun Java System Directory Server e Novell eDirectory acessados por
protocolo LDAP (Lightweight Directory Access Protocol), RADIUS e também em ambientes Citrix;
Fornece ferramentas de relatório poderosas e líderes do setor para analisar e monitorar o uso da
internet na organização;
Habilita as organizações a otimizar a banda de rede, priorizando e gerenciando o tráfego em tempo
real;
27
10.4.
Controle de navegação web
Fornece os recursos filtragem de conteúdo e segurança de Internet em uma solução simples. Permite a
proteção de até 250 usuários contra os riscos de segurança de Internet, controlando o acesso a conteúdo
inadequado e bloqueando proativamente as ameaças de segurança antes que tenham uma oportunidade
para infectar seus sistemas.
Principais Benefícios:
Otimiza a produtividade dos usuários e os recursos de TI:
•
•
Aumenta a produtividade dos funcionários e reduz as distrações da equipe de TI,
gerenciando proativamente o uso da Internet e reduzindo os riscos associados ao uso da
web.
Assegura que os funcionários trabalhem em um ambiente gerenciado de forma favorável aos
negócios.
Maximiza e aumenta a efetividade da segurança:
•
Aumenta o nível geral de segurança contra ameaças web (ameaças NÃO abordadas por
antivírus ou firewalls), da forma mais econômica - bloqueando-as na origem.
Maximiza a continuidade do negócio:
Fornece visibilidade em tempo real para gerenciamento do uso da Internet, e permite
relatórios personalizados para que as empresas tenham a flexibilidade necessária para
atender aos seus requisitos operacionais únicos.
Aumenta a disponibilidade geral do sistema, impedindo que as ameaças da web penetrem
na infra-estrutura de TI e interrompam as operações do negócio, o que pode resultar em
perda de receita, insatisfação de clientes e problemas potenciais de responsabilidade.
Inclui funcionalidades de nível empresarial com um investimento pequeno de TI - desde a
aquisição e configuração até o gerenciamento diário..
10.5.
Controle de email
TRITON Security Gateway Anywhere fornece:
Proteção eficaz contra spam, vírus e ataques diversificados;
Suporte out-of-the-box para conformidade regulatória;
Controles com políticas flexíveis.
A tecnologia Websense ThreatSeeker fornece proteção proativa contra ameaças de email e Internet,
bloqueando os ataques antes que alcancem a sua rede. Ao associar conhecimentos de segurança
inigualáveis com detecção automática, a tecnologia ThreatSeeker fornece os níveis mais elevados de
exatidão
com
os
menores
níveis
de
falsos
positivos.
Principais Benefícios:
Proteção antivírus: Fornece integração com as principais ferramentas antivírus do mercado.
Proteção antispam: Usa proteção antispam que aproveita o conhecimento aprofundado do
Websense sobre ameaças de Internet e email.
Inspeção de dados: Pode identificar conteúdo em centenas de tipos de arquivos anexos.
28
Relatórios: Fornece uma imagem das ameaças de email e das falhas de conformidade de sua
empresa para implementar políticas relevantes e impulsionadas por dados.
Relatórios versáteis: Mais de 40 relatórios pré-definidos e personalizáveis, junto com o Websense
Threat Dashboard e o Drill-Down Manager, mostram os principais indicadores de email.
10.6.
Requisitos de implantação
10.7.
Orçamento
<PRECISO Inserir>
Os valores de licenciamento serão levantados posteriormente junto ao representante.
29
MONITORAMENTO
A MedCare possui uma variedade de plataformas e equipamentos de diferentes fabricantes, característica
que torna a rede da farmácia bastante heterogênea, neste cenário se faz necessário o monitoramento do
ambiente como um todo, para garantir um bom andamento e continuidade do negócio da empresa. Para que
seja possível monitorar ativos de rede, links, servidores e estações de trabalho, nesta seção será projetada a
infraestrutura e detalhada a utilização das ferramentas escolhidas para este fim.
11.
Objetivos
Obter acompanhamento em tempo real das condições de funcionamento da estrutura de TI. Realizar
verificações regulares dos servidores e serviços (Linux, Windows, Apache, Exchange, DNS, etc) e outros
equipamentos da infraestrutura de rede (roteador, switch, impressoras, links, etc). Enviando notificações (emails, SMS, etc.) em caso de paradas ou detecção de anomalias. Sendo possível se antecipar aos
problemas e agir rapidamente, minimizando incidentes e mantendo o um bom nível de serviço, com o menor
número de interrupções possível.
12.
Servidor de Gerência de Rede
Sugerimos a utilização de um servidor virtual para centralizar os softwares de monitoramento, com o sistema
operacional Windows Server 2008 Standard, possuindo no mínimo 4GB de RAM e disco de 500GB, para
possibilitar armazenamento de relatórios de desempenho. Diariamente será gravado em fita LTO um backup
do “estado” desta máquina, como precaução contra a perda deste servidor e conseqüentemente da gerência
e monitoramento da rede.
Também sugerimos a colocação de um monitor LCD 32 polegadas, com a rotação das telas das ferramentas
de monitoramento, permitindo a observação por parte da equipe de TI da MedCare durante o horário
comercial. Visando prevenir incidentes e obter notificação imediata em regime de monitoração 24x7, serão
configurados envios de alertas via SMS e e-mails para o grupo de funcionários da TI responsáveis pela
infraestrutura de rede e sistemas da farmácia.
13.
Ativos e serviços que serão monitorados
Foram considerados os ativos a seguir, devido a seus altos graus de relevância para a organização, pelos
serviços que estes executam. Uma parada ou instabilidade nestes ativos, sistemas e/ou serviços, pode
acarretar em uma perda significativa no que diz respeito à agilidade nos atendimentos e principalmente em
perdas financeiras.
30
Ativos
Servidores /
Serviços
Atributos
• Desempenho (Disco, CPU,
Memórias RAM/Swap)
• Status de serviços (DNS,
DHCP, IIS, Exchange,
WSUS, Anti-vírus, etc)
• Status de processos
• Interfaces de rede
• Up time
Níveis de
Criticidade
Alertas
Ferramenta
• E-mails
• SMS
• Monitor 32”
• Relatórios
• CA Spectrum
• E-mails
• Monitor 32”
• Relatórios
• Cisco WCS
• Alto
• Alto
• Alto
• Alto
• Baixo
• Interfaces de rede (dos
Access Points)
• Intensidade do sinal
• Clientes conectados
• Up time
• Alto
• Ping
• Análise de tráfego
• Utilização de banda
• Tempo de resposta
• Alto
• Alto
• Alto
• Alto
• E-mails
• SMS
• Monitor 32”
• Relatórios
• Gráficos
• CA Spectrum
Firewalls,
Proxy, Web
Filter, VPNs
e IDS/IPS
• CPU / Memória
• Interfaces
• Sessões
• Tentativas de ataques
• Acessos a sites
• Comportamentos
• Alto
• Alto
• Alto
• Alto
• Médio
• Alto
• E-mails
• SMS
• Monitor 32”
• Gráficos
• CA Spectrum
• Cisco ASA 5510
(Dashboard)
Roteadores /
Switchs
• Interfaces de rede
• Análise de tráfego
• Status das conexões
• Tráfego Intra e Inter-VLANs
• Alto
• Alto
• Médio
• Médio
• E-mail
• Monitor 32”
• SMS
• CA Spectrum
Nobreaks
• Tensão
• Utilização (by-pass, online)
• Carga
• Utilização das baterias
• Alto
• Alto
• Alto
• Alto
• E-mail
• Monitor 32”
• SMS
• CA Spectrum
• Temperatura da sala
• Câmeras de segurança
• Umidade
• Alto
• Alto
• Médio
• E-mail
• Monitor 32”
• SMS
• Aviso sonoro
• Display integrado
• APC NetBotz
Room Monitor
455
• (Updates instalados e/ou
pendentes via WSUS, AntiVírus, Anti-Spyware, etc)
• Programas instalados.
• Acessos à internet
• Alto
• E-mails
• Relatórios
• McAfee ePO
• WSUS
• CA Spectrum
Wireless
Links
Data Center
Estações
• Médio
• Médio
• Baixo
• Médio
• Médio
31
14.
Ferramentas
Para prover diferentes tipos de monitoramento e suprir às diversas necessidades, serão utilizadas algumas
ferramentas específicas para cada propósito.
14.1.
CA Spectrum
14.1.1. Inventário do parque tecnológico
Esta ferramenta provê relatórios de inventário de equipamentos organizados por:
•
•
•
•
•
•
•
•
•
Fabricante;
Tipo;
Endereço IP;
Versão de firmware;
Horário do último reboot;
Data e hora do último patch aplicado;
Contato;
MAC Address;
Localidade (útil em redes WAN).
14.1.2. Descoberta automática de rede
Através da tecnologia AutoDiscovery o CA SPECTRUM identifica automaticamente todos os ativos de rede
e cria um banco de dados e um mapa da de sua topologia. Este mapa inclui serviços das camadas 2 e 3 do
modelo OSI e exibe dispositivo que atuam em ambas as camadas, tanto em ambientes de redes LAN e
WAN, com ou sem fio.
Figura 13. O CA SPECTRUM detecta automaticamente e monta graficamente a topologia de rede.
32
14.1.3. Análise de “Causa Raiz” e “Soluções de Problemas”
Utilizando a RCA (Root Cause Analysis) o Spectrum automatiza a solução de problemas correlacionando e
interpretando um conjunto de sintomas e/ou eventos, indicando suas causas e gerando alarmes que podem
ser acionados. A funcionalidade RCA aproveita a tecnologia de “Descoberta automática de rede”
patenteada da CA Tecnologies, usando um sistema sofisticado de modelos, relações e comportamentos.
Estas relações entre os modelos dão um contexto para colaboração, que permite ao CA Spectrum
correlacionar sintomas e eventos, suprimir alarmes desnecessários e analisar o impacto sobre usuários,
clientes e serviços.
Figura 14. O CA SPECTRUM deduz a causa raiz do problema, indica visualmente o dispositivo de
impacto (em vermelho), assim como os demais dispositivos que sofrem esse impacto (em cinza).
14.1.4. Monitoramento e alterações de configurações
Com o módulo CA SPECTRUM Network Fault Manager Network Configuration Manager, é possível
capturar, modificar, carregar e verificar configurações de uma grande quantidade de dispositivos de vários
fornecedores, além de administrar dispositivos em arquivos de configuração. Cada configuração recebe uma
marca de data e hora e identificada por número de revisão. As configurações armazenadas podem ser
carregadas em vários dispositivos simultaneamente, e todas as alterações são rastreadas automaticamente.
É possível também reverter configurações para a última configuração válida.
Figura 15. Na figura acima, após detectar uma anomalia no funcionamento de um roteador, é
possível fazer ma comparação entre Startup x Running Config. E se necessário, alterá-las.
33
14.1.5. Análise de tráfego
O NetQoS Reporter Analyzer, módulo de análise de tráfego de rede, permite visualizar como o tráfego de
determinada aplicação está impactando no desempenho da rede. Também é capaz de coletar informações
estatísticas de tráfego de Cisco IOS ® Netflow e IP Flow Information Exported (IPFIX) habilitado em
roteadores e switches. Possibilita a verificação de anomalias na rede, baseadas em padrões de tráfego prédefinidos, qualquer alteração do padrão estabelecido é notificada ao administrador.
É capaz de acessar até um ano de dados históricos e relatórios sobre 100% do fluxo de tráfego e identificar
as aplicações e hosts que consumiram mais banda de rede em um período de tempo especificado. Isso
permite que os gerentes realizem análises de custo-benefício para tomadas de decisões mais precisas, e
melhorar a prestação de serviço de rede.
Figura 16. Exemplos de gráficos de Análise de Tráfego
14.1.6. Servidores e Serviços
O CA-SPECTRUM fornece suporte a vários fornecedores e tecnologias, assim como suporte a vários
protocolos (por exemplo, SNMPv1, v2 e v3, TLI, RMON etc). Além disso a ferramenta possui um módulo de
gestão SNMP universal que possibilita uma administração ampla de falha de qualquer dispositivo de rede
compatível com SNMP, incorporando uma grande quantidade de RFCs IETF e MIBs do padrão IEEE. O CA
SPECTRUM também inclui utilitários para estender os recursos de gestão do dispositivo prontos para uso a
fim de oferecer suporte a MIBs adicionais e implementar o processamento especializado.
Por este motivo o escolhemos para realizar o monitoramento em todos os servidores, ativos (roteadores,
firewalls, switchs, etc) e serviços de rede. Será utilizado o protocolo SNMP v3, que provê criptografia e
autenticação forte, para isto, será criada uma comunidade SNMP chamada “medcare-actives”, com
permissões de “escrita e leitura”, para que o Spectrum possa realizar modificações quando necessário. Por
questões de segurança, o acesso à esta comunidade será restrito apenas ao endereço IP do Spectrum.
34
Outro fator interessante é que a ferramenta consegue distinguir e monitorar ambientes físicos e virtualizados
simultaneamente.
Figura 17. Monitorando ambiente virtualizado, baseado em VMware.
Figura 18. A ferramenta fornece a criação e configuração de categorias
35
14.1.7. Relatórios
Há a possibilidade de geração de uma infinidade de gráficos para análise de ambientes e serviços, estes
dados podem ser visualizados dentro da própria ferramenta ou ser exportados em diversos formatos, tais
como: pdf, doc e html.
Figura 19. Relatórios gerados pelo Spectrum.
14.1.8. Investimento
Duração do Contrato: 24 meses
Valor do Contrato: R$ 39,775,90
15.
Cisco Wireless Control System (WCS)
Como optamos por utilizar a ferramenta WCS da Cisco para configuração administração da rede wireless,
devido à esta plataforma ser líder no mercado para planejamento de redes sem fio, configuração,
gerenciamento e serviços móveis. Como não poderia deixar de ser, utilizamos esta mesma ferramenta para
realizar o monitoramento da rede sem fio.
Monitoramento e resolução de problemas: é possível visualizar o layout de sua rede sem fio e monitorar
em tempo real seu desempenho. Isto inclui mapas detalhados que mostram status em cores por cima das
plantas importadas. Além disto, o Cisco WCS proporciona visibilidade rápida em falhas de cobertura,
alarmes e estatísticas de utilização para monitoramento e solução de problemas.
36
Figura 20. Visão geral do ambiente sendo monitorado via WCS
Figura 21. Visão Macro do Ambiente
Figura 22. Visão mais aproxima de ponto com baixa qualidade de sinal
37
15.1.
Investimento
Cisco WCS Base License for 50 APs, Windows/Linux: R$ 2,625.36
16.
WSUS
Esta ferramenta da Microsoft permite gerir e monitorar de forma centralizada distribuições das atualizações
de software lançadas pelo serviço Microsoft Update para todos os servidores e desktops da rede que
utilizem o sistema operacional Windows.
O WSUS permite aos administradores da rede estimar a quantidade de computadores que necessitam de
uma atualização aprovando a ação detect-only para uma atualização. A ação “detect-only” determina, por
computador, se uma atualização é apropriada. Isso permite que administradores analisem o impacto de uma
atualização antes de planejar e implementar a instalação. Possibilita também que implementem atualizações
para computadores específicos e/ou grupos de computadores. Isso pode ser configurado pelo servidor do
WSUS diretamente usando Políticas de Grupo (Group Policy) no Active Directory.
Com o WSUS é possível a remoção de atualizações problemáticas e também a configuração para
autorização de atualizações, ou seja, é possível permitir ou não que determinado Patch crítico seja
atualizado ou instalado para todos os computadores com o sistema operacional Windows da rede sem a
interação com o usuário.
Com a sincronização, atualizações, grupos alvo, e aprovações criadas pelos administradores em um servidor
WSUS central, as configurações podem ser enviadas aos outros servidores automaticamente. Isso é
importante pois os clientes somente acessam o servidor local, deixando a utilização de banda ser realizada
entre servidores WSUS e permitindo o gerenciamento de atualizações mesmo em links de baixa capacidade.
Na rede Wan da Medcare, implantamos um servidor na matriz que é o servidor central do WSUS, além de
outros dois servidores WSUS secundários da rede, localizados na filial São Leopoldo e Data Center Backup
respectivamente.
O WSUS fornece os seguintes relatórios:
•
Estado das atualizações: pode ser gerado por atualização, por computador, e por grupo
baseado em todos os eventos que são enviados aos clientes;
•
Estado dos computadores: o administrador pode ver o quão atualizado está uma máquina
em relação às atualizações aprovadas no servidor;
•
Sumário de máquinas: os administradores podem ver ou imprimir um sumário com
informações específicas de computadores incluindo software básico e informações de
hardware, atividade do WSUS e estado de atualização;
•
Sumário das atualizações: os administradores podem ver ou imprimir um sumário com
informações sobre as atualizações;
•
Estado do sincronismo.
38
16.1.
Cenário de Implementação
Para atender as necessidades de uma administração centralizada o servidor WSUS que será implementado
na Matriz deverá ser configurado como servidor central, onde somente ele fará acesso ao serviço Microsoft
Update e buscará as atualizações, os dois servidores clientes localizados na filial São Leopoldo e Data
Center Backup respectivamente, receberão os pacotes e informações do servidor central.
Desta maneira o tráfego de internet se concentra somente na matriz e as informações tornam-se
centralizadas.
Figura 23. Cenário de Implementação para o WSUS
16.2.
Investimento
Gratuito para instalação em servidores Microsoft Windows Server.
17.
Infraestrutura do Data Center
O monitoramento do Data Center e da infra-estrutura física são considerados com nível de criticidade alta no
que se refere a segurança das informação e disponibilidade dos equipamentos. Visando essa disponibilidade
dos ativos contidos neste local e também a continuidade dos negócios, se faz necessário que sejam
monitorados a temperatura da sala, umidade do ar, além de instalações de câmeras de segurança para
monitoramento de entrada e saída.
39
17.1.
Câmeras
Através do monitoramento realizado pela câmera APC NetBotz Room Monitor 455, serão assegurados a
movimentação e segurança do Data Center. Essa ferramenta será instalada através da rede e possibilitará
que os administradores da rede acompanhem em tempo real via browser a atividade humana e Door Sensor
no Data Center.
17.2.
Temperatura Data Center e umidade do ar
A ferramenta APC NetBotz Room Monitor 455 irá monitorar o condicionamento de ar a fim de conservar os
níveis de temperatura e umidade adequados, estáveis, e manter o local isento de impurezas, mantendo a
pressão positiva dentro do Data Center para que o funcionamento dos equipamentos não seja afetado.
A temperatura e a umidade relativa do ar deverão ficar em torno de 22º C e 55% respectivamente com uma
tolerância de 10% para a temperatura e 5% para a umidade, sendo respeitado o limite de alteração na
temperatura de no máximo 1º C a cada 5 minutos, e de 45% a 55% para a umidade relativa em 8 horas.
No caso de haver qualquer anormalidade contrária às configurações estabelecidas no NetBotz, serão
enviados avisos através de alarmes SNMP, SMS e e-mail aos administradores da rede para que as devidas
medidas sejam tomadas a fim de manter o correto funcionamento do Data Center sem afetar o negócio.
18.
Investimento Total
Software
Licença
Preço
CA Spectrum
Contrato de 24 meses
R$ 39,775,90
Netflow Analyser
Professional Plus Edition
R$ 2.103,20
Câmeras e Data Center
APC NetBotz Room Monitor 455
R$ 9.990,00
Cisco WCS
Licença definitiva
R$ 2,625.36
TOTAL
R$ 54.493,10
40
AUTENTICAÇÃO INTEGRADA
19.
Situação atual
Atualmente a rede não conta com autenticação de clientes diretamente conectados aos switchs, bem como
clientes wireless não necessitam de autenticação adicional para ter acesso à recursos disponíveis na rede.
Outro problema corrente são as diversas credenciais de acesso aos equipamentos de rede que, de acordo
com a atual organização e registro em documentos, não oferecem controle adequado..
20.
Objetivos
Permitir o uso inteligente de uma base central de usuários para gerenciar o controle de acesso, impactando
de forma positiva na autenticação, autorização e trilhas de auditoria. Com mecanismos de autenticação
integrada, busca-se eficiência no gerenciamento de autenticação de equipamentos, autorização de
comandos e auditoria das atividades, além de reforçar a segurança com métodos adicionais de autenticação.
Outro fator que eleva as necessidades de desenvolver e implementar uma solução de autenticação
integrada é a praticidade ao utilizar apenas uma credencial de acesso para acessar mais de um recurso,
sem a necessidade de informar as credenciais de acesso novamente. Um usuário ou administrador de rede
poderá criar uma senha mais forte e ter de lembrar desta única senha. Usuários comuns sofrem o hábito de
anotar as senhas em papel, celular ou em outros lugares. Com a criação de uma única senha, espera-se que
esta atitude diminua gradativamente ou extingue-se em breve.
21.
Benefícios
De acordo com os diversos equipamentos dispostos na rede, torna-se imprescindível o emprego de um
mecanismo de controle de acesso específico para autenticar usuários e que pode também gerenciar
autorização e contabilização de acesso à recursos disponíveis em dispositivos, sistemas e equipamentos.
Através de uma mecanismo de autenticação integrada, o administrador da rede possui flexibilidade para
controlar o acesso à sistemas, serviços e equipamentos. Com isso, o administrador pode configurar o meio
de autenticação para que utilizem este mecanismo de autenticação único e distribuído, assim facilitando seu
dia a dia.
Um mecanismo de autenticação integrada oferece meios para que diversos sistemas utilizem seus recursos
para gerenciar o acesso de usuários. Logo um sistema de gestão de incidentes de TI, poderia fazer uso
deste mecanismo de controle de acesso para gerenciar usuários que o acessam, por exemplo.
Neste ambiente, será utilizado o recurso de Single-Sign-On – SSO nos serviços de proxy autenticado com
ISA Server e outros serviços Microsoft. O recurso Single-Sign-On permite que um usuário uma vez
autenticado não necessite apresentar novamente suas credenciais para acessar um serviço distinto ao que
ele autenticou anteriormente. Isto é possível devido à maneira como os serviços de autenticação da
Microsoft trabalham. O Authentication Server juntamente com o protocolo KDC da Microsoft realizam as
atividades de entrega de tickets para usuários autenticados. Estes usuários autenticados apresentam estes
tickets para os serviços afirmando que já autenticaram anteriormente, logo o serviço verifica a autenticidade
das informações e permite o acesso do usuário, sem que este entre com suas credenciais de acesso e sim
somente com o ticket.
41
22.
Microsoft Active Directory (AD)
O Microsoft Active Directory, um dos serviços de diretório mais utilizados em pequenas, médias e grandes
organizações proporciona comodidade, segurança e flexibilidade para implementação de um mecanismo de
controle de acesso à recursos.
Atualmente o Microsoft Active Directory utiliza a versão 5 do protocolo de autenticação Kerberos que conta
com robusta segurança durante o ciclo de vida da informação, desde sua criação até o transporte de dados
para o cliente da rede.
A atual versão do protocolo Kerberos conta com fortes algoritmos criptográficos. Com o objetivo de garantir a
confidencialidade dos dados, a Microsoft selecionou os protocolos AES(128 ou 256)-CTS-HMAC-SHA1-96 e
RC4-HMAC como sendo algoritmos padrões para servidor e cliente nas versões atuais dos sistemas
operacionais Microsoft Windows 7 e Microsoft Windows Server 2008 R2. Estes algoritmos são empregados
pelo protocolo KDC responsável pela troca de chaves entre o próprio KDC e duas partes que se comunicam
em uma rede contendo sistemas operacionais Microsoft e outros sistemas que fazem uso do protocolo
Kerberos. Portanto, uma autenticação de usuário utilizando sistema operacional Microsoft Windows nas
versões mais atuais, tem garantida a confidencialidade das informações em trânsito.
Além de forte segurança na comunicação entre cliente e servidor, o Active Directory permite o
gerenciamento flexível de controladores de domínio dispostos na floresta criada para gerenciar os domínios
da rede ou ingressar um controlador de domínio à um domínio já existente, o que torna possível a
continuidade de autenticação de usuários caso o controlador de domínio principal sofra uma parada
repentina e não esperada.
Como o Microsoft Active Directory gerencia as estações ingressadas ao(s) domínio(s), o AD possui total
controle das políticas de segurança do sistema operacional da estação de trabalho, o que permite
flexibilidade na configuração das mesmas em escalas maiores, poupando tempo do administrador.
Contudo, o AD garante um ambiente flexível, seguro, distribuído e organizado para manipular autenticação
de usuários, seja através de sistema operacional cliente e demais sistemas disponíveis na rede. Além disso
gerencia quais recursos um usuário está apto a manipular e em seguida pode realizar a auditoria,
registrando cada acesso aos recursos, através de logs distintos e detalhados.
O Active Directory também possui a capacidade de se integrar com serviços importantes na rede, como
Domain Name Server (DNS) e Dynamic Host Control Protocol (DHCP). Através do DNS, clientes da rede
podem realizar pesquisas a nomes de outros hosts da LAN e WAN. Já com o protocolo DHCP, é possível
gerenciar um grande número de estações, alugando endereços IP para cada cliente, seja um cliente
Microsoft Windows ou não. Porém, é preciso que o cliente possua configurações específicas para que
consiga se comunicar efetivamente com os recursos dispostos na rede. Este controle específico, também
pode ser implementado com o objetivo de garantir que um cliente desconhecido na rede, não acesse
recursos que clientes conhecidos acessam.
23.
Serviços que utilizarão a base de usuários do Active Directory
23.1.
RADIUS
O RADIUS será responsável pelo gerenciamento de autenticação dos clientes da rede conectados
diretamente aos switchs, de forma que um cliente será direcionado arbitrariamente para uma VLAN de
acordo com o sucesso ou não de sua autenticação. Caso a autenticação ocorra com sucesso, o cliente
participará de uma VLAN que permite a comunicação do mesmo conforme sua necessidade, do contrário o
cliente será direcionado para uma VLAN que não permite comunicação com qualquer recurso de rede.
42
O RADIUS será responsável pelo gerenciamento de autenticação dos clientes da rede conectados
diretamente aos switchs, de forma que um cliente será direcionado arbitrariamente para uma VLAN de
acordo com o sucesso ou não de sua autenticação. Caso a autenticação ocorra com sucesso, o cliente
participará de uma VLAN que permite a comunicação do mesmo conforme sua necessidade, do contrário o
cliente será direcionado para uma VLAN que não permite comunicação com qualquer recurso de rede.
Este serviço irá se comunicar com o Microsoft Active Directory para realizar as pesquisas de credenciais e
entregará essas informações para o switch de acesso, o qual o cliente da rede está diretamente conectado.
O cliente diretamente conectado à um switch será configurado para usar EAP-TLS com autenticação mútua
o que permite que tanto o cliente quanto o servidor garantam que estão trocando informações com as partes
que realmente anunciam ser. Esta comunicação é segura, garantindo confidencialidade através de
algoritmos criptográficos assimétricos. É importante ressaltar que a comunicação do EAP-TLS ocorre na
camada 2, o que eleva a segurança, pois não há manipulação de demais serviços como aluguéis de
endereços IP por um servidor DHCP, por exemplo.
O encaminhamento da autenticação é realizada pelo RADIUS que encaminha a requisição até o servidor
que possui o certificado emitido pela autoridade certificadora. A autoridade certificadora tem papel
importante, ao permitir que o cliente cheque se o certificado enviado pelo servidor é válido. Após o
handshake do protocolo EAP-TLS onde cliente e servidor negociam a requisição de identidade de ambos,
troca de chaves de sessão dentre outros, e em caso de sucesso, o cliente passa a negociar a comunicação
com a camada superior e assim por diante, ou seja, a comunicação está garantida de forma segura.
A comunicação entre o switch e o RADIUS, garante confidencialidade através de uma PSK. Já o RADIUS
realiza a pesquisa no Microsoft Active Directory de forma segura através do protocolo Kerberos e retorna
para o switch sucesso ou falha na autenticação do cliente diretamente conectado ao switch.
Apenas para contextualizar um pouco melhor esta solução, mostramos um exemplo de ambiente utilizando
EAP-RADIUS na figura abaixo.
43
Figura 24. Exemplo de estrutura utilizando EAP-TLS
Então qualquer computador conectado à rede terá primeiro que ser configurado para utilizar o certificado
digital do Cisco ACS e utilizar autenticação 802.1X ou então não atenderá os requisitos de autenticação e o
cliente será agregado a uma VLAN que recebe poucos recursos como apenas Internet, ou então nenhum
recurso, nem mesmo aluguel de endereço IP.
23.2.
TACACS+
O TACACS+ será responsável pelo gerenciamento de autenticação de switchs e roteadores realizando
pesquisas na base de dados de usuários do Microsoft Active Directory. O tráfego entre o TACACS+ e o
Microsoft Active Directory ocorre de forma protegida, garantido confidencialidade.
Este recurso permite ao administrador gerenciar controle de acesso aos equipamentos de rede como
roteadores e switchs, assim como controlar quais comandos cada usuário está autorizado a realizar.
O administrador ainda pode gerenciar quais comandos foram utilizados e em quais momentos, com a
finalidade de auditar as atividades.
Se comparada à do RADIUS, a comunicação do TACACS+ com o switch ocorre de forma mais segura, pois
o TACACS+ criptografa o payload do pacote, permanecendo apenas o cabeçalho do pacote em texto claro.
No cabeçalho do pacote TACACS+ há um campo que indica se o payload do mesmo será encriptado ou
não. O contrário ocorre com o RADIUS, onde apenas o password é cifrado e enviado pelo canal de
transporte.
44
23.3.
OTP
OTP ou On-Time Password é uma das formas mais fáceis para realizar uma autenticação baseada em dois
fatores. Trata-se de uma senha que possui curto prazo de validade e só pode ser utilizada uma vez, o que
reforça de maneira drástica a segurança de acesso à um sistema. Para utilizar este método de autenticação
adicional é necessário a compra de um dispositivo chamado token, também é preciso que o software seja
capaz de tratar este tipo de autenticação adicional.
Existem dois tipos de OTPs:
Baseada em evento: onde a senha do token é alterada toda vez que o portador do token pressiona um
botão que ativa a alteração da senha e o display exibe uma nova senha.
Baseada em tempo: onde o token troca a senha a cada “X” espaço de tempo, normalmente 30 ou 60
segundos.
Com este tipo de reforço de autenticação, ataques baseados em força bruta são praticamente inúteis,
levando em conta que a senha está em constante mudança e pode ser utilizada apenas uma vez. Além disto
o TACACS+, de acordo com a política adotada, pode bloquear a conexão que tenta acessar o dispositivo
caso a senha do token seja informada errada por 3 vezes, por exemplo.
Os tokens serão utilizados por parceiros de negócio para reforçar a autenticação no acesso à extranet onde
informações sensíveis serão trocadas mutuamente. Torna-se imprescindível este reforço para acesso ao
recurso pois não é possível controlar de que maneira o parceiro realizará os acessos, quando e de onde. Isto
acontece pois o acesso à extranet é bastante flexível, permitindo acesso de qualquer lugar da Internet, seja
da residência de um colaborador parceiro, ou outro lugar distante das dependências da organização de um
parceiro.
23.4.
Cisco Secure Access Control Server - ACS
O Cisco Secure Access Control Server é parte chave do ambiente proposto, pois é ele quem permite
principalmente:
• Administrar dispositivos: autentica administradores, autoriza comandos e provê trilas de auditoria;
• Autenticação via Wireless: autentica e autoriza usuários e computadores e reforça política
específicas para wireless;
O ACS permite gerenciar controle de acesso centralizado, de forma que é possível gerenciar autenticação,
autorização e auditoria para diversos tipos de acesso, dispositivos e grupos de usuários.
Segue exemplo de utilização de TACACS+ e OTP em um ambiente com Cisco ACS na figura2:
45
Figura 25. Demonstra um ambiente mais robusto, com camada adicional de segurança através de OTP.
24.
Ambiente Proposto
O ambiente propõe tolerância à falhas de controladores de domínio e também do servidor de gerenciamento
de acesso Cisco ACS, os quais também possuem nativamente recursos de tolerância à falhas.
Esta é a proposta para utilização de autenticação integrada que faz uso do Microsoft Active Directory
presente em sistemas operacionais Microsoft Windows Server (base de usuários), Cisco Secure Access
Control Server – ACS, para gerenciar autenticação centralizada e tokens RSA para a utilização do protocolo
OTP.
46
Figura 26. Cenário proposto
25.
Investimento
Software
Licença
Microsoft Windows Server 2008 R2 Standard
Edition
Microsoft Windows Server 2008 Cal por
máquina
Cisco CSACS-1120-K9
Preço
R$ 3.632,04
R$ 63,52
Licença definitiva
R$ 41.934,84
RSA SecureID Authenticator SID700
R$ 33.488,40
TOTAL
R$ 133.611,90
47
CENTRALIZAÇÃO DE LOGS
Para possibilitar a o gerenciamento centralizado dos logs dos ativos de rede, nessa seção será projetada a
infraestrutura e detalhado o funcionamento da ferramenta.
26.
Objetivos
Logs são registros de eventos ou estatísticas que provêm informações sobre utilização e desempenho de um
sistema, dispositivos, entre outros ativos de rede. Permitem analisar o estado de segurança destes ativos,
determinar se uma seqüência de eventos comprometeu ou venha a comprometê-los, ajudando a notificar e
tratar incidentes.
27.
Ferramenta
Para centralizar os logs será adquirido o software Syslog NG Premium Edition, que coleta diversos logs em
diferentes sistemas operacionais e permite correlacioná-los, baseados em desenho de serviço, nível de
criticidade, entre outros. A ferramenta permite o uso de criptografia para transferir e armazenar os logs.
Previne perda de mensagens, tem controle de fluxo, funciona tanto em IPV4 e IPV6, suporta mais de
40 plataformas, acessa diretamente os bancos de dados, MySQL, Oracle, PostgreSQL, MSSQL e SQLite,
permite armazenamento dos logs em banco de dados e possui suporte 24x7. A ferramenta pode ser
implementada em cluster, para prover mais desempenho e redundância.
28.
Itens a serem coletados
Nessa sessão serão definidos quais equipamentos terão seus logs coletados, baseados em sua importância
para manter a saúde da infraestrutura, possibilitando coletar somente o que é realmente necessário.
Ativo
Servidores
Ferramentas de
controle de
mecanismos de
acesso
Firewall, IDS e IPS
Logs
Níveis de
Criticidade
• Logs de desempenho
Médio
• Logs de erros
Alto
• Logs de alertas
Médio
• Logs de serviços
Crítico
• Logs de processos
Crítico
• Logs de acesso
Alto
• Logs de acesso
Crítico
• Logs de alterações
Alto
• Logs de erros
Crítico
• Logs de alertas
Alto
• Tráfego de entrada e saída
Crítico
• Logs de acesso
Crítico
• Logs de alterações
Alto
• Desempenho
Alto
48
Roteadores/
Switch
29.
• Logs das Interfaces de rede
Baixo
• Logs de tráfego
Crítico
• Logs status
Médio
• Logs de desempenho
Médio
• Logs de Balanceamento de carga
Médio
• Logs de taxa de erros
Alto
• Logs de erros
Alto
• Logs de alertas
Médio
Infraestrutura
Figura 27. Infraestrutura proposta para funcionamento do Syslog NG
Para um bom funcionamento da ferramenta, sugerimos a compra de um servidor dedicado com banco de
dados para centralizar os logs com redundância e permitir integridade dos dados. O mesmo será instalado
na Matriz, sendo que o servidor para redundância poderá ser virtualizado e deverá ser alocado no
CPD backup. Como a ferramenta permite utilização em cluster, o mesmo será utilizado nesta infraestrutura.
29.1.
Topologia da solução
O modo a ser utilizado será o relay, onde o syslog-ng recebe os logs através da rede de clientes syslog-ng e
os encaminha para o servidor syslog central usando uma conexão de rede. Os Relays também logam as
mensagens do host relay em um arquivo local ou as encaminha para o servidor syslog-ng central. Nenhum
arquivo de licença é necessário para executar o syslog-ng em modo cliente.
Para armazenamento dos logs, será efetuada a instalação com opção de salvar os logs no banco de dados.
Para a transmissão dos logs o Syslog será utilizado o protocolo TLS.
29.2.
Tempo de coleta
Sugere-se coletar os logs dos ativos diariamente em horário de menos tráfego na rede e mantê-los no
servidor Syslog NG por até 30 dias. Os logs mais antigos deverão entrar para política de backup e ser
armazenados em fita, conforme será apresentado no item Políticas de Backup deste projeto.
49
30.
Correlação de logs
A correlação de mensagem no syslog-ng opera sobre as mensagens de log identificadas pela base de dados
padrão do syslog-ng ou através de regras definidas pelo administrador, descrevendo os padrões de
mensagens, com instruções sobre como correlacionar as mensagens correspondentes.
Correlacionar as mensagens de log envolve a coleta as mensagens e seu agrupamento conforme seu
contexto. Um contexto consiste em uma série de mensagens de log que são relacionadas uma as outras de
alguma maneira.
Mensagens pertencentes ao mesmo contexto são correlacionadas e podem ser processadas em série.
É possível incluir as informações contidas em uma mensagem anterior do contexto em mensagens que são
adicionadas mais tarde. Por exemplo, se um aplicativo de servidor de correio envia mensagens de log
separado sobre cada beneficiário de um e-mail, os endereços de destinatários podem ser mesclados com os
da mensagem de log anterior. Outra opção é gerar uma mensagem de log completamente nova, que contém
todas as informações importantes que foram armazenadas anteriormente no contexto, por exemplo, o login e
logout, assim como os tempos de uma sessão autenticada e assim por diante.
Para garantir que um contexto trata apenas de mensagens de log de eventos relacionados, um valor de
tempo limite pode ser atribuído a um contexto, que determina quanto tempo o contexto aceita mensagens
relacionadas. Se o tempo limite expirar, o contexto será fechado.
31.
Auditorias
A auditoria é um processo fundamental, pois permite um exame cuidadoso e sistemático na análise de logs,
cujo objetivo é averiguar se ela está de acordo com as disposições planejadas e/ou estabelecidas
previamente, se foram implementadas com eficácia e se estão adequadas (em conformidade) ao
atendimento dos objetivos, e caso não estejam, apontá-las para futuras melhorias.
Sugerimos que a auditoria seja realizada quinzenalmente ou semanalmente dependendo da quantidade de
logs gerados pelos servidores. A análise de logs para a auditoria deverá ser feita por amostragem, devido à
grande quantidade de logs que normalmente são gerados.
A implementação, manutenção e análise dos logs fica sob responsabilidade da equipe de TI da MedCare,
em conjunto com o suporte prestado pela empresa BalaBit It Security.
32.
Procedimentos
32.1.
Recuperação de logs
Havendo necessidade de restauração de algum log já armazenado no servidor, caso este seja recente com
menos de 30 dias, poderão ser verificados através do servidor Syslog NG. Caso contrário, devem ser
restaurados os logs armazenados em backup.
Deverá ser verificada a integridade do arquivo (log) em questão, de acordo com os resultados já
armazenados e em poder da equipe de TI da MedCare, através da geração de hash do arquivo em questão
utilizando o algoritmo SHA-1. Caso o resultado mostre que a integridade está intacta, então poderá ser
realizado o tratamento necessário nos logs.
Este processo será realizado a fim de garantir que a informação não foi modificada e é confiável, para fins de
segurança dos dados e auditorias.
50
32.2.
Eliminação de logs
A eliminação de logs armazenados em mídias (fitas) acontecerá após cinco anos contados a partir da data
de gravação destes. Este processo será de responsabilidade do gestor de TI da MedCare, com aceite do
diretor da organização, sempre que o descarte destas informações se fizer necessário.
Este procedimento está descrito na PSI – Política de Segurança da Informação e deverá ser seguido pela
MedCare.
33.
Investimento
Syslog-ng Premium Edition Server 50 LSH = R$ 4.045,00
Licenciamento anual = R$ 600,00
51
ARMAZENAMENTO DE DADOS
34.
Objetivo
O Armazenamento dos dados da empresa Medcare será baseado em uma estrutura de armazenamento
centralizado, com comunicação independente da infraestrutura de rede principal, para a transferência de
dados entre os servidores e o dispositivo de armazenamento, com o intuito de não interferir no desempenho
da rede principal e manter a segurança dos dados trafegados.
35.
Ambiente Atual
A empresa Medcare conta hoje com uma estrutura de armazenamento legado (Netapp) que é utilizada para
armazenar parte de suas informações, como, por exemplo, sua base de dados de clientes e de arquivos de
aplicações. O acesso a estes dados é realizada através de protocolo iSCSI através da rede principal da
Medcare, o que aumenta consideravelmente a quantidade de dados trafegados na rede. Além disso, os
arquivos de usuários são armazenados em disco local, dificultando o controle das informações e o acesso a
estes arquivos.
36.
Solução de implementação
Para a correção dos problemas identificados, será utilizado um sistema integrado de virtualização de Storage
que diminuirá o trafego de dados na rede principal da Medcare e centralizará os arquivos de usuário, hoje
armazenados em disco local, facilitando assim seu gerenciamento e recuperação.
Para isso será utilizado o IBM Storwise V7000, capaz de virtualizar o storage legado da empresa Medcare e
permitir a adição de volumes para o armazenamento dos dados de usuários. O Acesso do storage legado,
com comunicação iSCSI, ao IBM Storwise V7000 será realizado em uma rede isolada, independente da rede
ethernet principal.
A Imagem abaixo ilustra o ambiente proposto:
Figura 28. Ambiente de armazenamento proposto
52
37.
IBM Storwise V7000
O IBM Storwise V7000 conta com 24 discos internos do tipo SAS de 300GB 15k, totalizando 7TB de área
bruta (sem a criação de RAID Group). A comunicação entre o IBM Storwise V7000 e os hosts (servidores) é
realizada via conexão Fiber Channel - através de dois switches SAN (Brocade 300b). O equipamento conta
com um conjunto de baterias em caso de queda de energia e quatro (4) conexões fiber channel por controller
(o equipamento possui duas controllers responsáveis pela administração das áreas de armazenamento).
Figura 29. Interface configuração IBM Storwise V7000
38.
Replicação de Dados
Para replicação dos dados armazenados no IBM Storwise V7000 utilizaremos uma tecnologia de replicação
chamada Metro Mirror. O Metro Mirror funcionado de forma síncrona, sendo que o dado será escrito no
storage primário e secundário de forma simultânea. A função Metro Mirror suporta distâncias de até 300KM
entre sites. Para distancias maiores de até 8.000KM existe a opção Global Mirror, porem esta de forma
assíncrona. Pelo fato da Matriz da empresa Medcare e do site de contingencia estarem localizados dentro da
53
cidade de Porto Alegre, se fez possível a utilização da primeira opção, agregando assim, maior agilidade e
segurança na replicação dos dados armazenados.
Figura 30. Configuração de método de replicação utilizado
A replicação do storage IBM Storwise V7000 é realizada através de um pacote de ferramentas
disponibilizada pelo fabricante, através de licença. O IBM Tivoli Productivity Center. O IBM Tivoli
Productivity Center permite, além da replicação entre storage, o gerenciamento completo da infra-estrutura
de armazenamento, como, gerenciamento de zonning, monitoração de ativos, entre outras opções.
BACKUP DE DADOS
39.
Objetivo
O objetivo para este projeto é proporcionar a empresa Medcare um ambiente de backup automatizado que
atenda as necessidades da empresa, proporcionando maior segurança a integridade dos dados sem afetar o
desempenho do ambiente corporativo.
40.
Ambiente Atual
A empresa Medcare conta atualmente com um sistema de backup realizado diretamente em fita LTO2, com
capacidade de armazenamento de 200GB (400 GB com compressão) por fita. O processo de cópia dos
dados para fita ocorre de forma manual ou através de scripts. Os dados são copiados sob demanda, com
retenção semanal, controlada manualmente através da rede principal da empresa e sem controle de horário
para a realização de tais atividades.
41.
Solução de implementação
O sistema de backup dos dados da empresa Medcare contará com uma estrutura de armazenamento em
disco e fita. A cópia dos dados será realizada em duas etapas principais. Na primeira etapa, os dados com
maior nível de granularidade (como por exemplo, dados de servidor de arquivos e arquivos do sistema)
serão enviados para uma área de armazenamento em disco, capaz de promover maior agilidade na
realização do backup. Na segunda etapa, os dados serão movidos da área em disco para as unidades de
fita, com maior capacidade de armazenamento, durante período de pouca atividade do ambiente. Blocos de
dados com pouca granularidade poderão ser enviados diretamente para fita, devido ao bom desempenho de
gravação de blocos grandes e contínuos de dados (dados estruturados, como tabelas de bancos de dados)
em dispositivos de escrita sequencial. O mesmo não ocorre para dados desestruturados (como arquivos de
texto, vídeo, áudio, fotos, etc), que necessitam de uma área de transição com nível de I/O mais elevado a fim
de garantir o alto desempenho do backup.
54
Para a realização da copia dos dados para disco, será disponibilizada uma área no Storage de 2TB que será
divida em quatro LUN’s (Logical Unit Number) de 500GB a fim de não afetar o desempenho do ambiente de
armazenamento.
Para o armazenamento em fita, será utilizada uma library IBM TS3200 de pequeno porte, com capacidade
de armazenamento de 42 fitas LTO5, com poder de armazenamento de 1.5 TB (3TB com compressão) por
fita, e de dois drives para leitura e escrita, também LTO5.
O software de backup utilizado será o IBM Tivoli Storage Manager (TSM), que será responsável pelo
gerenciamento dos backups, utilização das fitas e das áreas de armazenamento em disco.
42.
IBM Tivoli Storage Manager
Para esta implantação será utilizada a versão mais atual disponível do Tivoli Storage Manager, o TSM 6.2.1.
O TSM 6.2 conta com um banco de dados DB2 que permite maior controle dos dados armazenados e
capacidade de armazenamento de informações de backups.
42.1.
Rede de Backup
Todos os servidores da empresa Medcare estão conectados a rede SAN da empresa, desta forma, o sistema
de backup contará com a utilização da tecnologia LAN Free que permitirá enviar os dados de backup via
Fiber Channel diretamente ao Storage (proporcionando maior throughput na transferência de dados) e dos
Metadados de arquivos ao servidor TSM via rede LAN, através de uma VLAN dedicada. Isto permite que
apenas as informações dos arquivos, como tamanho do arquivo, data de criação, informações de controle,
localização do arquivo em disco, data de expiração, entre outros, sejam enviados ao servidor TSM via rede
Ethernet. Estes dados são armazenados na base de dados DB2 nativa da ferramenta e serão utilizados
durante o restore dos arquivos armazenados e para controle de inventário.
A transferência dos dados de disco para fita ocorrerá através da mesma estrutura de rede SAN, controlada
pelo servidor TSM, aumentando a agilidade e segurança na transferência dos dados. A transferência será
automatizada e seguirá as políticas de armazenamento definidas no TSM Server. O item 6 deste documento
descreve as políticas de retenção e de administração do TSM.
A figura abaixo exemplifica o ambiente proposto:
55
Figura 31. Ambiente de backup com utilização de Lan -free
43.
Política de Backup
A Política de backup da empresa Medcare contará com as seguintes configurações:
43.1.
Retenção dos Backups:
Backup Diário
Tipo de Backup: Backup Incremental
Atividade: de Domingo a Sexta-feira
Período de Retenção: 7 dias
Quantidade de Versões: 3 versões
Backup Mensal
Tipo de Backup: Backup Full
Atividade: Primeiro sábado do mês
Período de Retenção: 30 dias
Quantidade de Versões: 3 versões
Backup Anual
Tipo de Backup: Backup Full
Atividade: Primeiro sábado do mês de janeiro
Período de Retenção: 3 anos
Quantidade de Versões: 2 versões
Os backups serão realizados diariamente durante a noite, conforme a janela de backup previamente
definida. Durante o dia, os dados copiados para o Storage Pool de disco serão migrados através de
um procedimento automático de migração (Migration) para o Storage Pool de fita.
56
43.2.
Storage Pools
Storage Pools são áreas de armazenamento definidas no TSM como repositório de destino dos
backups realizados. As áreas de armazenamento (disco e/ou fita) são apresentados ao servidor TSM
e as áreas de storage pool são configuradas conforme suas características de armazenamento.
Neste caso, serão criados os seguintes storage pools:
- Storage Pool de Disco: diskpool
- Storage Pool de Fita: tapepool
43.3.
Schedules
Schedules são agendamentos de backups a serem realizados por cada TSM Client (Servidores).
A janela de agendamento dos backups ocorrerá da seguinte forma:
Janela de Backup:
Segunda à sexta-feira: 22:00:00 até 06:00:00
Sábado e domingo: 15:00:00 de sábado até as 06:00:00 de segunda-feira
Serão criadas schedules para todos os clientes TSM exclusivamente dentro do período de backup
pré-estabelecido.
44.
Cofre
Para este ambiente será implementado um sistema de cofre. Neste sistema, as fitas serão enviadas
ao site de backup sob demanda por uma empresa de transporte de valores semanalmente. O
controle das fitas enviadas ao cofre será realizado automaticamente pelo servidor TSM, baseado no
tempo de retenção dos dados armazenados. O TSM server informará quais fitas deverão ser
retiradas da Library e enviadas ao cofre e quais fitas em cofre já estão com todos os seus dados
expirados (conforme período de retenção). As fitas com dados expirados serão sinalizadas pelo TSM
Server e poderão ser reutilizadas como fita “vault” (livre para utilização novamente pelo storage pool
de tapepool).
44.1.
Tempo de Recuperação de Dados (Restore / Retrieve)
O tempo de restore/retrieve dos dados de backup dependerá de seu local de armazenamento. Os
dados armazenados em disco poderão ser recuperados com maior eficiência em comparação aos
dados armazenados em fita LTO. Por este motivo, a politica de backup da empresa Medcare definirá
períodos de retenção de dados de backup no storage pool de disco antes que este possa ser
enviado para fita. O critério que definirá qual o período que determinado dado permanecerá
armazenado em disco dependerá de sua demanda por restore. Ou seja, arquivos com maior
incidência de restore poderão ser mantidos por um período maior de tempo no storage pool de disco.
Entretanto, a taxa de leitura/escrita proporcionadas pelos drives LTO5 cumprem os requisitos de
RTO e RPO definidos pela empresa Medcare.
44.2.
Host
Todos os servidores clientes do TSM Server terão instalados um cliente de backup (TSM Client).
Os dados e diretórios de backup serão definidos pelo responsável de cada aplicação e servidor.
Porem haverá filtro para backup de arquivos de multimídia (como fotos, música e vídeo). Arquivos
com esta característica terão seu backup realizado apenas em casos especiais em que for julgada
necessária sua realização.
57
44.3.
Fitas LTO5
Os cartuchos LTO5 tem capacidade de armazenamento de 1.5TB de dados, ou de até 3TB
utilizando compressão.
As Fitas LTO5, quando armazenadas em local adequado, livre de poeira, sem exposição a altas
temperaturas e umidade, pode atingir até 30 anos de vida útil.
POLÍTICA DE MANIPULAÇÃO DE FITAS MAGNÉTICAS
44.4.
Objetivo
Esta política tem o objetivo de regulamentar as atividades que permeiam a manipulação de mídias
magnéticas utilizadas para armazenar dados gerados pelas atividades de backup.
Os controles selecionados garantem a confidencialidade, integridade e disponibilidade das mídias e dados
contidos nas mesmas.
Esta política deve ser seguida pelos colaboradores envolvidos com as atividades de backup, restauração de
dados, armazenamento, transporte, aquisição, destruição, substituição e troca de mídias de backup.
44.5.
Escopo
Esta política aplica-se a toda organização, onde houverem atividades que necessitem de backup,
restauração de dados, armazenamento, transporte, aquisição, destruição, substituição e troca de mídias de
backup.
44.6.
Termos e Definições
ATIVO – Tudo aquilo que é importante para a organização.
ATIVO de TI – Todos os recursos de TI que tem valor para a organização.
BACKUP – Cópia de segurança.
RESTORE – Restauração de cópia de segurança.
CFTV – Circuito Fechado de Televisão (câmeras de segurança)
44.7.
Cenário
A MedCare localizada em Porto Alegre, rua Mostardeiro 1000, possui em Data Center próprio diversos
sistemas e arquivos distribuídos para os setores que realizam diversas atividades de trabalho na
organização, sendo extremamente necessário a realização de backups levando em consideração a
criticidade dos dados bem como a frequência com que os mesmos são manipulados, necessitando muitas
vezes que recebam nova salvaguarda.
Diante disto, foram selecionados controles para apoiar a proteção destes dados, através de dispositivos e
software específicos para esta finalidade.
Estes controles garantem que os dados sejam copiados de maneira segura através de algoritmo de
criptografia oferecido pelo software de backup. Porém, é necessário gerenciar a manipulação das mídias,
para evitar danos financeiros com a necessidade de aquisição de novas mídias, possibilidade de acesso não
autorizado aos dados caso as mídias sejam interceptadas, mesmo utilizando criptografia forte.
58
44.8.
Recursos de Hardware e Software
Segue a seguir dispositivos de hardware e softwares que sustentam os controles implementados:
Referência
Qtde
Finalidade
Descrição
1
Permitir a gravação de dados de backup em mídias
magnéticas, protegendo os dados através de
algoritmos criptográficos. Caso as fitas sejam
roubadas, a possibilidade de um terceiro ter acesso
aos dados é muito pequena, mas não impossível.
Esta unidade necessita de cuidados
como controle de umidade e
temperatura e deve ser manipulada
com cuidado ao inserir as mídias.
Mídia para Backup
Ultrium LTO-5
7
Estas mídias necessitam de cuidados
Permite a gravação de dados através da unidade como controle de umidade e
de fita. Agrega flexibilidade para armazenamento e temperatura. Armazená-las em local
transporte das mídias para locais protegidos.
fresco e seco, desejável utilizar
algum controle contra umidade.
Mídia para Limpeza
da Unidade
1
Permite que a manutenção da unidade para Possui as mesmas necessidades que
aumentar a vida útil da mesma.
a unidade de fita e mídias de backup.
1
Gerenciar o procedimento lógico de backup/restore.
Agregar gerenciamento centralizado dos backups.
Agregar segurança através da utilização de
recursos criptográficos através de chaves de
criptografia (simétrica ou chave pré-compartilhada)
e recursos de criptografia de hardware
Licença Software
Symantec Backup
Exec 2010 Agent
Windows
1
O procedimento para realizar a
Permite backup/restore inteligente de sistemas instalação de um agente, deve
operacionais windows para desktops e servers.
ocorrer preferencialmente através do
gerenciador do servidor de mídias.
Licença Software
Symantec Backup
Exec 2010 Agent
SQL Server
1
Permite backup/restore inteligente de bancos de
dados Microsoft SQL Server.
Unidade de fita
Ultrium LTO-5
Licença Software
Symantec Backup
Exec 2010
44.9.
Este
software
necessita
de
renovação anual e possui contrato de
suporte técnico enquanto estiver
válida a licença de uso.
Idem acima
Recursos de Pessoal
Para que as atividades diárias que sustentam o processo de backup sejam realizadas, é necessário que
estejam presentes no mínimo duas pessoas responsáveis pela manipulação das mídias de backup. Isto é
necessário, pois na ausência de uma pessoa, existirá outra para cobri-la, evitando que a atividade não
ocorra ou então que ocorra de maneira desregrada e consequentemente poderá ocorrer de maneira
inadequada. Caracteriza-se uma tarefa executada inadequadamente:
•
•
•
•
Esquecimento de troca da fita diária e/ou semanal;
Transporte das mídias sem utilizar controles adequados;
Armazenamento das mídias em local desconhecido pela organização;
Mídias sob salvaguarda de pessoa desconhecida; entre outros.....
Então é necessário no mínimo duas pessoas como responsáveis das atividades de backup. Ou, como
sugestão, defina mais pessoas, cada uma com uma atividade, sendo que as mesmas, conhecendo os
procedimentos, possam cobrir uns aos outros.
44.10.
Atribuições e Responsabilidades
Exemplos abaixo
NOME
RESPONSABILIDADE
OBSERVAÇÕES
59
Mário Sérgio Nogueira
Transporte das mídias
Armazenamento das mídias
Monitoramento das atividades de backup
Participa do Plano de Testes
Transportar e armazenar as mídias de
acordo com as definições do
documento. Realizar monitoramento
das atividades de backup
Renato dos Santos
Troca diária das mídias
Substituição de mídias
Participa do Plano de Testes
Trocar e substituir as mídias de acordo
com o definido neste documento
Bruna Salgado Filho
Descarte das mídias
Compra de mídias
Participa do Plano de Testes
44.11.
Descartar e comprar mídias de acordo
com o definido neste documento
Procedimentos para Backup
44.11.1. Descrição dos dados e tarefas de backup de dados
Este ítem não possui a finalidade de cobrir detalhes sobre os procedimentos de gravação (backup) e captura
(restauração) de dados do servidor de backup/mídias magnéticas. Para tanto, detalhes completos sobre
estas atividades são encontradas
Os backups devem ser divididos de acordo com a criticidade dos dados, onde, para bancos de dados de
sistemas, devem ser realizados dois backups completos diariamente.
Para outros arquivos não menos importantes, mas que não são alterados com tanta frequência quanto um
banco de dados, devem ser realizados backups incrementais diariamente, com o objetivo de diminuir o
tempo de finalização de uma cópia.
Diante disto, é possível montar a tabela que demonstra as tarefas de backup pertinentes:
44.11.2. Tarefas de Backup
Dado
Tipo de
Dados
Nível
Criticidade
Tamanho em
Gb
Média
Tempo
backup
MÉDIA
Hora
Execução
Tipo Backup
BDERP
Banco Dados
SQL
SERVER
Muito Alto
10Gb
15 minutos
Diariamente
de SEG à
SAB às
Completo
BDCRM
Banco Dados
SQL
SERVER
Muito Alto
8Gb
13 minutos
Diariamente
de SEG à
SAB às
Completo
Arquivos
Rede
Arquivos
Alto
Depende do
que foi
alterado
Até
Diariamente
de SEG à
SAB às
Incremental
Arquivos
Rede
Arquivos
Alto
210Gb
3,18 horas
Semanalment
e DOM às
22:30
Completo
Estado de
Sistema
(Windows)
Arquivos
Médio
2Gb
2 minutos
Semanalment
e DOM às
20h
Completo
Um dado com nível de criticidade MUITO ALTO, quando indisponível causa impactos financeiros altos para a
organização em curto prazo de tempo ou praticamente imediatos. Pode causar também impactos na imagem
da organização perante clientes, fornecedores e parceiros.
60
Já um dado com nível de criticidade MUITO BAIXO, quando indisponível pode causar impactos financeiros
moderados e a um prazo de tempo considerado médio a logo.
É imprescindível que, diariamente, as pessoas responsáveis por suas atividades, as executem até o
tempo limite determinado.
**** Caso isto não ocorra, é possível que dados sejam perdidos (uma mídia pode ter sido utilizada 3
ou 4 vezes durante uma semana, caso esta mídia seja subtraída, invalidada ou tenha ocorrido algum
outro evento negativo e a organização necessite recuperar arquivos, isto não será possível). É
importante que os dados estejam armazenados em mídias diferentes e que estas permaneçam
seguras contra acesso não autorizado.
Então, a gravação de dados nas mídias magnéticas são realizadas diariamente e automaticamente, a única
interação necessária são as trocas de mídias diárias e monitoramento das atividades de backup.
44.12.
Procedimentos para Restauração de Dados
44.12.1. Descrição das atividades de restauração de dados
A restauração de dados deve ocorrer de maneira controlada para evitar que dados sejam sobrescritos em
seu local original. Para tanto, os dados restaurados devem ser direcionados para um local distinto do
original.
Após a restauração destes arquivos para o local selecionado, é importante realizar a remoção de arquivos
sobressalentes com o objetivo de evitar o uso indevido de espaço em disco.
Para restaurar recursos do banco de dados SQL Server, é possível selecionar registros, tabelas e outros,
sem a necessidade de realizar a restauração completa do banco de dados. Isto é possível através de
recursos disponíveis no agente do Symantec Backup Exec 2010.
Sempre que procedimentos de restauração forem realizados, é imprescindível que sejam solicitados através
da equipe de gestão de incidentes, pois deverá existir um incidente registrado.
44.13.
Classificação das Mídias
Nesta etapa, as mídias devem ser classificadas internamente no software e receber um rótulo relacionado ao
dia da semana: SEG, TER, QUA, QUI, SEX, SAB ou DOM.
***Os rótulos não devem conter qualquer informação que indique que tais mídias são de propriedade
da MedCare. Isto aumenta a dificuldade de atividades de pessoas mal intencionadas.
44.14.
Armazenamento das Mídias
As mídias devem ser armazenadas no cofre do site alugado para este fim, situado à Rua Mostardeiro, 4500,
distante 4Km da matriz.
O local de armazenamento das mídias deve conter métodos para gerenciar umidade e temperatura.
44.15.
Transporte das Mídias
As mídias devem ser transportadas pelo responsável ou substituto em maleta discreta e resistente à
impactos leves.
A tarefa de transporte deve ser realizada diariamente na primeira hora da manhã onde:
61
• O responsável chega a empresa, vai até o Data Center, recolhe a mídia, armazena a mesma na
maleta e embarca no veículo com direção ao site alugado para armazenamento das mídias;
• No site de backup alugado, o responsável armazena a mídia junto das demais, verifica o ambiente a
procura de possíveis problemas com umidade ou alta temperatura e então toma posse da mídia
referente ao dia da semana, armazena a mesma na maleta e embarca no veículo com destino à
matriz;
• Na matriz o responsável retorna ao Data Center e insere a mídia na unidade;
Mesmo fora da organização, o responsável pelo transporte das mídias deve utilizar crachá como forma de
identificação pessoal.
O local alugado para armazenamento das mídias possui CFTV 24h que facilita a identificação de pessoas,
caso eventos indesejados ocorram.
44.16.
Substituição e Descarte das Mídias
As mídias utilizadas para a realização das cópias de segurança e restauração são de última tecnologia,
porém serão ultrapassadas em algum momento.
Diante disto a substituição das mídias, bem como da unidade (caso não suporte nova tecnologia) deve ser
realizada em sua totalidade, absorvendo a necessidade de recursos de hardware dos procedimentos de
backup e restauração.
Já o descarte das mídias deve ser realizada utilizando métodos de destruição através de combustível e
posterior queima da mídia.
As mídias não devem ser entregues para terceiros realizarem o processo de destruição. A destruição deve
ser acompanhada pelo responsável por esta tarefa junto à incineradora e trituradora de materiais eletrônicos
situada a rua Av. Ipiranga, 550 – Porto Alegre.
Quando as mídias forem selecionadas para o descarte, não deverão permanecer armazenadas em local
desprotegido. Estas devem ser imediatamente encaminhadas para serem destruídas.
44.17.
Plano de Testes de Restauração
Para garantir que os backups são úteis para recuperar arquivos na ocorrência de um incidente, devem ser
realizados testes a cada semestre.
Os planos de teste podem ser classificados de acordo com a possibilidade do nível de risco de um incidente.
A seguir, temos a tabela para realização dos planos:
Incidente
Arquivos foram
deletados
Nível de
Dificuldade
Restauração do
ambiente
Baixa
Tempo estimado
restauração
backup
No máximo 3h
Tempo decorrido
da restauração
Observações
É preciso apenas
selecionar arquivos
no software e
solicitar
recuperação (inserir
as mídias
necessárias)
62
Sistema operacional
do servidor esta
corrompido e não
pode ser corrigido
Sistema operacional
dos servidores de
backup estão
corrompidos e não
podem ser
corrigidos
(necessária
formatação)
Média
Muito Alta
No máximo 10
minutos
Recuperar os dados
das mídias é rápido,
porém a
recuperação do
ambiente demora
mais
12h
Neste cenário será
necessário
reinstalar sistema
operacional,
atualiza-lo, instalar
novamente o
sistema de backup,
restaurar o backup
deste sistema
contendo
configurações,
chave de
criptografia e outros
e só depois disso
arquivos de backup
poderão ser
restaurados
63
ORÇAMENTO
45.
Custos de Hardware
PRODUTO
Roteador
MARCA
QUANTIDADE
PREÇO
PREÇO
UNITÁRIO
TOTAL
Cisco
Switch
Gerador
TOTAL
46.
Custos dos Acessórios
PRODUTO
QUANTIDADE
PREÇO
PREÇO
UNITÁRIO
TOTAL
TOTAL
64
47.
Custos de Software
PRODUTO
QUANTIDADE
PREÇO
PREÇO
UNITÁRIO
TOTAL
Syslog NG Premium
TOTAL
48.
Custos de Mão de Obra
Não serão orçados custos de mão de obra, instalação de servidores, materiais elétricos, ficando
a cargo da MedCare a seleção e orçamento da empresa prestadora de serviços.
49.
Orçamento Total
CATEGORIA
PREÇO
TOTAL
Hardware
Acessórios
Software
Mão de Obra
TOTAL
R$ xxxxxx (xxxx centavos).
65
ANEXO I
BAYFACES
50.
Matriz – Porto Alegre
Catalyst 3750
1
SY ST
RPS
MAS TR
ST AT
DUP LX
SP EE D
ST ACK
MODE
2
3
4
5
6
7
8
9 10
11 12
13 14
15 16
17 18
19 20
21 22
11X
13X
23X
2X
12X
14X
24X
1X
11X
13X
23X
2X
12X
14X
24X
1
2
3
1
2
3
4
Catalyst 3750
1
SY ST
RPS
MAS TR
ST AT
DUP LX
SP EE D
ST ACK
MODE
Figura 1.
2
3
4
5
6
7
8
9 10
11 12
13 14
15 16
17 18
19 20
21 22
SERIES
23 24
1X
SERIES
23 24
4
Bayfaces da Matriz – Salas de Telecom
66
Figura 2.
Bayfaces da Matriz – Data Center – Rack 01
67
Figura 3.
Bayfaces da Matriz – Data Center – Rack 02
68
51.
Data Center Backup – Porto Alegre
Figura 4.
Bayface do Data Center Backup
69
52.
Filial São Leopoldo
Figura 5.
Bayface da Filial São Leopoldo
70