1 / 30

Sicurezza e affidabilità del Sistema Presenze

Sicurezza e affidabilità del Sistema Presenze. Guido Guizzunti. Sistema Informativo al CNAF: Prod. Presenze VamWeb (sys-13) Presenze Backoffice e Frontoffice (sys-12) Portale PHP (sys-15) Oracle EBS (cluster sys-c1) Oracle DB (cluster sys-c2) TLQ-Server (Windows, sys-08)

Download Presentation

Sicurezza e affidabilità del Sistema Presenze

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript


  1. Sicurezza e affidabilitàdel Sistema Presenze Guido Guizzunti

  2. Sistema Informativo al CNAF: Prod • Presenze VamWeb (sys-13) • Presenze Backoffice e Frontoffice (sys-12) • Portale PHP (sys-15) • Oracle EBS (cluster sys-c1) • Oracle DB (cluster sys-c2) • TLQ-Server (Windows, sys-08) • Mandato Elettronico EBS e DB (sys-29) • Server Certificati e condivisione chiavi SSH (sys-30) • Server Nagios (sys-09) • Server DHCP e DNS (sys-14) • Macchine fisiche (sys-10, sys-11, sys-31, sys-33, sys-34, sys-43, sys-44, sys-35, …) • Mailserver (sys-55) • Logserver (sys-56) • Programma gestione cespiti (sys-57) • 2 server BI (Jaspersoft) (sys-58, sys-59) Guido Guizzunti - Sistema Informativo

  3. Sistema Informativo al CNAF: Test • Presenze Backoffice e Frontoffice (sys-06) • Portale PHP test Antonino (sys-20, sys-23) • Sviluppo Portale PHP Sogea (sys-16) • Portale PHP formazione/preproduzione (sys-17) • Portale PHP esperimenti Apache (sys-19) • Oracle EBS test/formazione SD (sys-22) • Oracle DB test/formazione SD (sys-21) • Test Jaspersoft Antonino (sys-24) • Mandato Elettronico EBS e DB (sys-29) • Sviluppo Apps e DB SD (sys-26) • Test clonazione VM per EBS (sys-51, sys-53) • Server di test NagiosGraph (sys-28) • Macchine di test installazione Oracle DB 11g Guido Guizzunti - Sistema Informativo

  4. Elementi costitutivi Sistema Presenze • Server VamWeb per la gestione delle timbratrici • Server Presenze di produzione per la gestione del backoffice e del cartellino web • Server Presenze di test (SD). Utilizzata anche per test report Jasper Guido Guizzunti - Sistema Informativo

  5. Sistema Presenze: server coinvolti • Virtuali • Sys-12: backoffice, frontoffice • Sys-06: test backoffice, frontoffice • Sys-13: VamWeb • Fisici • Sys-10 • Sys-11 Guido Guizzunti - Sistema Informativo

  6. Sistema Presenze: network Sistema Informativo Juniper Internet Nexus ACL Sistema Presenze Niente Guido Guizzunti - Sistema Informativo

  7. VamWeb: front-office • Software sviluppato da Selesta • Accesso al pannello di controllo Web solo tramite protocollo https • Accesso permesso solo dalle reti interne al cnaf • Versione del software Selesta aggiornato all’ultima disponibile • Accesso tramite username e password (attualmente definito un solo utente) Guido Guizzunti - Sistema Informativo

  8. VamWeb: hardware • Alimentazione secondaria (3 ore di autonomia) • Memoria flash (cache) • Configurazione protetta da password • Alimentazione ridondata • Dischi in raid 1 hardware • Console remota tramite IPMI 2.0 • Non in cluster Guido Guizzunti - Sistema Informativo

  9. VamWeb: network Telnet Guido Guizzunti - Sistema Informativo

  10. VamWeb: cosa manca (1) • Accesso front-office tramite certificato? • Cambio username e password d’accesso (attualmente l’utente è quello di default: admin) • Backup tramite TSM • Cambio password terminali (ora è quella di default in tutte le sedi, scritta anche sul manuale) • Chiudere tutte le porte tranne quelle strettamente necessarie (4005 TCP) • Restringere accesso SSH a pochi IP Guido Guizzunti - Sistema Informativo

  11. VamWeb: cosa manca (2) • Comunicazione server -> terminali è criptata? • Controlli nagios su VamWeb • Single point of failure: va messa in cluster • RedHat 5.5 con Apache e librerie PHP: aggiornabili? • File di configurazione criptati? Verificare • Procedura per aggiornamento software VamWeb Guido Guizzunti - Sistema Informativo

  12. Presenze (1) Front-office Back-office Guido Guizzunti - Sistema Informativo

  13. Presenze (2) • Software sviluppato da SD • Accesso al frontoffice tramite AAI • Accesso al backoffice tramite user/password • Server ridondato a livello alimentazione e disco • Non in cluster • Macchina sottodimensionata • Problemi di stabilità (tomcat, servlet) • Problemi di performance Guido Guizzunti - Sistema Informativo

  14. Sistema Presenze: cosa manca (1) • Un nostro server di test (provare l’installazione, verificare codice, etc.) • Installazione su hardware dedicato (consigliato da SD) • Metterla sotto cluster • Cambio rete • modificare IP e hostname sui server • modificare informazioni sul dns • avvisare strutture del cambio indirizzo IP • definizione delle nuove ACL sul juniper • verificare il corretto funzionamento a seguito della modifica IP • Backoffice raggiungibile anche da fuori: definire ACL sul Juniper (dopo il cambio rete) • Settare un timeout per gli utenti Backoffice Guido Guizzunti - Sistema Informativo

  15. Sistema Presenze: cosa manca (2) • Configurazione iptables • Rendere Presenze Prod e Presenze Test isolate fra loro • Inviare le timbrature da VamWeb sia a Prod che a Test (avere prod e test allineate e permettere l’utilizzo agli amministrativi in fase di test) • Yum update ? • Sicurezza del codice SD ? • Backup del filesystem (attualmente solo backup DB) • Migliorare controlli nagios • Timeout in AAI ? Guido Guizzunti - Sistema Informativo

  16. Sicurezza: soluzioni (1) • Disabilitare accesso SSH come root • Password complesse e modificate ogni 6 mesi • Aggiornare il sistema operativo e le librerie (ove non possibile mettere un frontend d’accesso) • ACL sul router per limitare gli accessi a IP e porte stabilite • iptables o altri sistemi di packet filtering: firewall interno al server per limitare accessi entrata/uscita Guido Guizzunti - Sistema Informativo

  17. Sicurezza: soluzioni (2) • Installare sempre le patches di sicurezza • Sistemi di alert in caso di accessi non autorizzati (denyssh) o in caso di traffico sospetto • Monitoring del traffico di rete • Encryption quando si spediscono/ricevono dati Guido Guizzunti - Sistema Informativo

  18. Sicurezza: soluzioni (3) • Analisi del codice sorgente alla ricerca di bachi e vulnerabilità (SD, Sogea) • Sistemi automatici di analisi dei log • Sistemi di intrusion detection messo dietro al firewall: analisi pacchetti, buffer overflow, port scan • tenere aperte sulla macchina solo le porte strettamente necessarie (utilizzare NMAP) Guido Guizzunti - Sistema Informativo

  19. Sicurezza: soluzioni (4) • Scansione con Nessus Security Scanner • Tripwire (controlla cambiamenti sul sistema: attributi di file che non dovrebbero cambiare, signature dei binari, dimensione binari e file, etc.) • Installazione di un log server: è necessario avere un server protetto su cui concentrare i log principali dei vari server del SI. • Auditing Guido Guizzunti - Sistema Informativo

  20. Affidabilità • Servizi su hardware in manutenzione e ridondato • Monitoraggio HW: IPMI, SMARTD • Eseguire regolari backup: DB, Filesystem, VM (testare i backup) • Servizi in cluster • Monitoraggio servizi e della rete • Sviluppare documentazione • Condividere le conoscenze Guido Guizzunti - Sistema Informativo

  21. Mandato informatico: Windows (1) • Server fisico • DellPoweredge R510 • Linux RedHat 5.5 • Kernel: 2.6.18-194.32.1.el5 #1 SMP Wed Jan 5 17:52:25 EST 2011 x86_64 x86_64x86_64 GNU/Linux • framework di virtualizzazione: KVM • kvm-83-164.el5_5.25 • Server Virtuale • Processore: 1 core 2.27GHz Intel - Ram: 512 MB - Disco: 7GB • Windows XP Eng SP3 32 bit Guido Guizzunti - Sistema Informativo

  22. Mandato informatico: Windows (2) • Aggiornato “ad oggi” • Windows firewall attivo • Disabilitati servizi insicuri (telnet) • Remote Desktop abilitato • Comunicazione TLQ-Server -> Banca crittografata • Comunicazione Oracle EBS -> TLQ-Server interna alla rete CNAF Guido Guizzunti - Sistema Informativo

  23. Mandato informatico: Windows (3) • Antivirus • Abilitare software updates automatici (ora disabilitati) • Applicare le patch di sicurezza su samba • Restringere l'accesso remoto con remote desktop solo agli IP strettamente necessari (disabilitarlo?) • Disabilitare l'account Administrator e abilitare solo un account con privilegi limitati • Restringere l'accesso solo ad alcuni IP, tramite configurazione ACL sul router di frontiera. Attualmente l'accesso è permesso alla rete del CNAF e ad alcuni indirizzi di Frascati • Implementare le politiche di sicurezza sui file condivisi via Samba per renderli leggibili solo dal processo TLQServer Guido Guizzunti - Sistema Informativo

  24. Acquisto Hardware • 2 macchine con 4 core ciascuna per BI (Jaspersoft) • 2 macchine con 4 core di test/sviluppo per BI (Jaspersoft) • 1 macchina con 2 core per test presenze • Macchina presenze di produzione su due macchine fisiche in cluster (8 core l'una) • Spazio storage per backup e per VM EBS (qualche tera) • Macchina per mailserver (2 core) • Macchina per software cespiti • Macchina per logserver (1 core) Guido Guizzunti - Sistema Informativo

  25. Attività (1) • Configurazione nuove sedi in backoffice, sia test che produzione, con creazione relativi utenti amministratori su backoffice • Realizzazione documentazione: • tecnica (ad utilizzo interno): per renedere ognuno di noi in grado di fare operazioni base su tutto il sistema: backup, gestione Oracle, Cluster, Presenze, etc. • documentazione per amministrativi o tecnici INFN: utilizzo backoffice, configurazione timbratrici, manuale export da AS400, manuale export da Solari • documentazione sul lavoro svolto per note interne, articoli, etc. • BI e Jaspersoft: formazione, creazione server virtuale/fisico dedicato alla reportistica • Rilasci software: • definizione/documentazione su come avviene un rilascio in produzione • utilizzo di un SVN per tracciabilità e rollback • Creazione di un pool di amministrativi per i test Guido Guizzunti - Sistema Informativo

  26. Attività (2) • Installazione hardware e configurazione iDrack per permettere console remote sulle attuali macchine del SI. Queste permetteranno anche alert in caso di guasti HW. Attualmente 2 server Dell segnalano problemi di ram (1 giorno) • Installazione a rack delle nuove macchine Dell, configurazione iDrack, installazione SO, creazione cluster (2 giorni) • Installazione timbratrici. Configurazione in VamWeb e gestione assistenza HW tramite sistema di ticketingSelesta • Cambio rete per il sistema presenze e verifiche funzionali (1 giorno) • Reinstallazione del sistema presenze test e produzione su macchina fisica dedicata ed eventualmente su cluster (3 giorni) • Installazione di un log server (2 giorno): e' necessario avere un server protetto su cui concentrare i log principali dei vari server del SI. Eventualmente utilizzare quello del CNAF Guido Guizzunti - Sistema Informativo

  27. Attività (3) • Finalizzare i backup (2 giorni/2 persone) • Backup del sistema presenze prod e test su TSM • Backup server nagios, sanctorum, VamWeb, TLQ-Server, dhcp, dns, mailserver su TSM • test recupero backup • formazione su gestione backup (Cuggio) • Finalizzare configurazione script in nagios e installazione nagiosgraph per grafici sull'andamento delle grandezze monitorate (ram, disco, etc.) (3 giorni) • Inviare errori della grid console su Dashboard del CNAF e via sms, affinche' il reperibile operation possa monitorare anche il nostro reparto. (2 giorni) • Terminare inserimento di tutte le macchine in Sanctorum, server dei certificati, e richiederne il certificato (1 giorno) Guido Guizzunti - Sistema Informativo

  28. Attività (4) • Finalizzare installazione DHCP, DNS, Mailserver dedicati al SI. Minima formazione da parte di Veraldi sul loro utilizzo e manutenzione (1 giorno) • Inserimento di tutte le macchine del SI con le loro caratteristiche HW/SW in Docet (ora utilizziamo un foglio excel) • Software per gestione password. Quello attuale ha mostrato dei limiti • Terminare attuazione punti della checklist della review • Testare istruzioni AS400 col sistema al CNAF, per aiutare sezioni non autonome nell’export • Migliorare sistema di monitoraggio, ad es. per accorgersi di problemi come quello avvenuto per la connessione all'HR • Cominciare a pianificare il passaggio a Oracle 12 Guido Guizzunti - Sistema Informativo

  29. Attività (5) • Supporto amministrazione: aggiornamenti Windows, browser e Java (con relative verifiche), installazione e config. PC per corsi Michela, PC trimestrale con AS400 • Assistenza sistemistica TLQ-Server • Risoluzione problemi aperti: problemi di stabilita' (tomcat e servlet) sistema presenze, problema del doppio login in Oracle, problemi di performance (lentezza per approvazioni di piu' giustificativi in contemporanea, lentezza con errore di timeout in quadratura sede, che spinge a riquadrare, etc.) • Assistenza quotidiana amministrativi per gestione presenze • Aggiornamenti Sistema presenze e Portale PHP • Programma cespiti • Altre attività del Tier1 (manutenzione/sviluppo accounting, manutenzione/sviluppo dashboard, certificati farming, dismissione Opteron, etc.) Guido Guizzunti - Sistema Informativo

  30. Attività (6) Quasi dimenticavo…. ADOTTARE LE MISURE DI SICUREZZA PRECEDENTEMENTE ANALIZZATE !! Guido Guizzunti - Sistema Informativo

More Related