Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Capitolo 3 - Problemi e requisiti
Aggiornato: 24 maggio 2005
In questa pagina
Introduzione Scenario Woodgrove National Bank Implementazione dell'accesso VPN per i telelavoratori Utilizzo di Microsoft Operations Framework
Introduzione
Per utilizzare la connessione VPN in quarantena quale contributo alla protezione dell'accesso remoto, è necessario che l'organizzazione implementi diverse tecnologie, le quali devono integrarsi perfettamente e funzionare in maniera affidabile come singola unità. Per conseguire i risultati desiderati, è necessario comprendere chiaramente i problemi e i requisiti alla base di ogni tecnologia e le modalità di interazione con le altre tecnologie.
In questo capitolo vengono analizzati lo scenario della soluzione per la Woodgrove National Bank e i problemi che lo caratterizzano. Nel capitolo 4 relativo alla progettazione della soluzione il piano ideato viene incorporato in una soluzione adatta ai requisiti specifici.
Scenario Woodgrove National Bank
Woodgrove National Bank è una banca di investimenti internazionale fittizia che opera come società di intermediazione finanziaria per conto di clienti istituzionali, aziendali o governativi e singoli individui. Le sue attività includono sottoscrizione di titoli, vendite e contrattazioni, servizi di consulenza finanziaria, ricerche sugli investimenti, speculazioni e servizi di brokerage per istituti finanziari.
Woodgrove National Bank è una consociata di proprietà della WG Holding Company, una multinazionale di servizi finanziari leader del settore con sede a Londra. WG possiede cinque aziende: la Woodgrove National Bank, la Northwind Trading, la Contoso Ltd, la Litware Financials e la Humongous Insurance. Si tratta di aziende di grandi dimensioni con più 5.000 dipendenti ognuna.
Profilo geografico
Woodgrove National Bank ha in organico più di 15.000 dipendenti in oltre 60 sedi in tutto il mondo. Le sedi centrali (dove si trovano gli hub) impiegano migliaia di dipendenti e sono dislocate a New York (5.000 dipendenti), Londra (5.200 dipendenti) e Tokyo (500 dipendenti). Ogni sede hub supporta più uffici.
In ogni area geografica di competenza di una sede centrale sono presenti alcuni siti secondari di dimensioni minori, ad esempio Boston e Atlanta in America del nord. Oltre alle sedi hub, la società presenta altre due sedi principali, Sydney e Johannesburg, ognuna con propri file server, server di stampa e server applicazioni dedicati.
Profilo dell'organizzazione IT
Sebbene la Woodgrove National Bank presenti un ambiente di server misti Microsoft® Windows® e UNIX, la sua infrastruttura utilizza una backbone Windows Server. La maggior parte dei server si trova nelle tre sedi centrali dell'azienda (New York, Londra e Tokyo). Nella figura seguente viene indicata la disposizione delle sedi aziendali e dei collegamenti tra di esse.
.gif "Dd536298.vppgch03_PGFG0301(it-it,TechNet.10).gif")
Figura 3.1 Ambiente di rete di Woodgrove National Bank.
Woodgrove National Bank utilizza attualmente una varietà di prodotti e tecnologie Microsoft per i servizi Intranet ed Extranet. Woodgrove National Bank utilizza un'infrastruttura di servizi directory Windows 2000 Active Directory® ed è in procinto di aggiornare tutti i controller di dominio a Microsoft Windows Server™ 2003. Non ha computer client precedenti; tutti i computer desktop e portatili eseguono sistemi operativi Windows 2000 Professional con Service Pack 4 (SP4) o versioni successive oppure Windows XP Professional con SP2 o versioni successive. Il reparto IT di Woodgrove National Bank ha una lunga esperienza con Windows Server 2003.
Rispetto dei requisiti normativi
Woodgrove National Bank deve rispettare i requisiti previsti dal quadro normativo finanziario di ciascun paese o area geografica in cui si trova a operare. Deve inoltre rispettare tutte le normative di protezione dei dati e dar prova della sicurezza delle operazioni.
Accesso protetto per gli utenti remoti
L'accesso remoto alla rete aziendale di Woodgrove National Bank è garantito al personale addetto alle vendite, agli operatori del supporto IT e ai dirigenti. La soluzione di accesso remoto attuale utilizza connessioni remote attraverso linee private a server di accesso remoto dedicati, dotati di modem o schede ISDN (Integrated Services Digital Network). Queste connessioni sono lente e costose, se paragonate alle connessioni a banda larga, in particolare per gli utenti remoti che viaggiano in tutto il mondo.
La maggiore disponibilità dell'accesso a Internet a banda larga consente alle organizzazioni di utilizzare connessioni VPN per gli scenari di accesso remoto. Sebbene questo approccio consenta di ridurre i costi eliminando le connessioni remote e migliori il livello di servizio offerto agli utenti, il passaggio dei dati proprietari attraverso Internet aumenta la vulnerabilità del sistema agli attacchi dannosi.
Conformità ai requisiti normativi
In quanto istituzione finanziaria, Woodgrove National Bank è tenuta al rispetto di severi requisiti legali in ogni paese o area geografica in cui opera. La banca deve conservare la fiducia dei clienti proteggendo i beni dell'azienda e dei clienti. Ha quindi implementato un'iniziativa per la protezione dei computer e impostato severi criteri di protezione su tutti i computer che accedono alla rete aziendale, sia in locale che in remoto.
Controllo degli aggiornamenti software
Con la soluzione esistente di accesso remoto è difficile garantire che i computer remoti dispongano degli aggiornamenti più recenti della protezione e di applicazioni e sistemi operativi. Il reparto IT di Woodgrove National Bank non è stato in grado di impedire l'accesso di computer non autorizzati con programmi antivirus obsoleti o virus attivi potenzialmente in grado di infettare la rete. Questa vulnerabilità può mettere a rischio la rete aziendale e ha costretto la Woodgrove National Bank a limitare la connettività a un ridotto numero di utenti.
Il reparto IT di Woodgrove deve superare queste difficoltà e fornire un servizio sicuro e affidabile, che agevoli gli utenti remoti senza compromettere la protezione della rete aziendale. Nella parte restante del presente documento vengono illustrati i fattori e le scelte di pianificazione che la Woodgrove National Bank ha dovuto valutare quando si è trovata ad affrontare i problemi dell'implementazione della connessione VPN in quarantena.
Implementazione dell'accesso VPN per i telelavoratori
Come molte organizzazioni, anche la Woodgrove National Bank ha riscontrato che molti dirigenti e responsabili clienti diventano più produttivi se possono lavorare da casa almeno un giorno a settimana. I responsabili clienti possono, ad esempio, scrivere proposte, pianificare riunioni e modificare le informazioni di contatto dei clienti anche fuori ufficio. Woodgrove National Bank intende estendere la possibilità di telelavoro ad altre divisioni e reparti, ma è preoccupata dei rischi inerenti le connessioni alla rete aziendale di computer che non soddisfano i requisiti di sicurezza del reparto IT. Il reparto IT consente quindi solo ai dipendenti con computer aggiunti a un dominio di connettersi da postazioni remote.
Problemi aziendali
Il team responsabile dell'implementazione dell'accesso VPN per i telelavoratori ha identificato i seguenti problemi:
Coerenza. Per sviluppare e distribuire un servizio di accesso remoto sicuro e affidabile nell'intera azienda, tutte le organizzazioni e le consociate di Woodgrove National Bank devono aderire a un'infrastruttura di protezione chiaramente definita e coerente.
Ruoli e responsabilità ben definiti. I diversi gruppi del team IT di Woodgrove National Bank hanno dovuto affrontare i problemi connessi a ruoli e responsabilità poco chiari nell'erogazione di un servizio sicuro. Con l'emergere della strategia di protezione è diventato evidente che l'organizzazione aveva bisogno di decidere a chi assegnare la responsabilità della rete di accesso remoto. Le discussioni sui processi hanno portato alla valutazione delle responsabilità dei team di amministrazione IT.
Problemi tecnici
Durante la pianificazione e le iniziali fasi pilota sono stati identificati i seguenti problemi tecnici:
Archiviazione di aggiornamenti della protezione e aggiornamenti rapidi. Il reparto IT di Woodgrove ha deciso di utilizzare Windows Update per assicurare che i computer di accesso remoto dispongano degli aggiornamenti della protezione più recenti. Poiché SUS (Software Update Services) utilizza il Servizio trasferimento intelligente in background (BITS, Background Intelligent Transfer Service), i server SUS esposti a Internet sono risultati essere troppo lenti per l'aggiornamento dei computer di accesso remoto. Il reparto IT di Woodgrove ha riscontrato che avviando Internet Explorer e indirizzando l'utente a Windows Update era possibile ottenere gli aggiornamenti in modo più rapido e senza il sovraccarico di gestione associato al supporto di server aggiuntivi.
Mancanza di avvisi, controlli e criteri di misurazione dettagliati. Per consentire alla Woodgrove National Bank di gestire efficacemente la protezione, la qualità, i costi e l'uso della soluzione, i team di supporto IT hanno bisogno di misurazioni accurate della qualità del servizio della soluzione di accesso remoto. Woodgrove National Bank può monitorare i principali aspetti delle prestazioni dei server di accesso remoto e lo stato generale del sistema di accesso remoto, ma non le condizioni o la qualità delle connessioni VPN.
Ritardo delle applicazioni in modalità di quarantena. L'esecuzione di uno script di quarantena crea un ritardo tra la connessione iniziale e il momento in cui il computer client supera la quarantena. La lunghezza del ritardo dipende dal tempo necessario per eseguire lo script di quarantena e inviare la notifica e dal tempo che il server di accesso remoto impiega per la rimozione delle restrizioni di quarantena. Tuttavia, alcune applicazioni tentano di stabilire connessioni immediatamente dopo la connessione di rete iniziale del computer client. Se i filtri di connessione VPN in quarantena non consentono il traffico dell'applicazione, il server di accesso remoto non elabora il traffico di avvio dell'applicazione e viene generato un errore. È consigliabile indicare agli utenti di accesso remoto di non avviare applicazioni prima del completamento della connessione.
Problemi di protezione
La strategia di protezione per l'implementazione della connessione VPN in quarantena di Woodgrove National Bank deve affrontare i seguenti problemi:
Impossibilità di gestione dei client remoti. Woodgrove National Bank manca attualmente di standard stabiliti o imposti per i computer client e non ha strumenti per applicare configurazioni software ai client remoti, per attivare, ad esempio, Windows Firewall, come parte del processo di accesso.
Convalida degli aggiornamenti software. Woodgrove National Bank non dispone di strumenti per convalidare lo stato degli aggiornamenti del software antivirus e di altre applicazioni correlate alla protezione di un computer client prima della connessione di quest'ultimo alla rete aziendale. In una situazione come questa è possibile che computer client infetti compromettano i beni aziendali creando costi aggiuntivi per i tempi di inattività e le operazioni di attenuazione dei rischi.
Requisiti della soluzione
La soluzione implementata dalla Woodgrove National Bank per la connessione VPN in quarantena deve soddisfare i seguenti requisiti:
Assicurare che tutti i requisiti di protezione dell'accesso remoto siano soddisfatti entro un intervallo di tempo prestabilito prima di consentire connessioni di accesso remoto illimitate alla rete aziendale.
Assicurare che quando i dispositivi si connettono alla rete aziendale non siano accessibili da altri computer in rete.
Richiedere che ciascun computer che si connette alla rete aziendale sia conforme a criteri di protezione di rete standardizzati. Questi criteri includono un programma antivirus specificato e la completa conformità a firme dei virus per il programma antivirus utilizzato aggiornate e aggiornamenti della protezione approvati.
Garantire agli utenti un'esperienza semplice, veloce e non intrusiva.
Consentire una distribuzione del software client semplice ed economica.
Monitorare e registrare tutta l'attività di accesso remoto.
Fornire un servizio affidabile e ad elevata disponibilità.
Una volta fissati questi obiettivi, Woodgrove National Bank ha ricercato ed esaminato con cura le opzioni di progettazione a propria disposizione. Nel capitolo 4 relativo alla progettazione della soluzione vengono presentati i risultati di questa ricerca.
Utilizzo di Microsoft Operations Framework
Woodgrove National Bank utilizza i principi di Microsoft Operations Framework (MOF) per gestire e implementare modifiche nella rete aziendale. MOF prevede una serie di procedure consigliate, principi e modelli che forniscono indicazioni per ottenere elevata disponibilità, affidabilità e protezione. Le due principali aree interessate da MOF sono la gestione delle modifiche e le operazioni.
Per ulteriori informazioni su MOF, visitare il sito Web TechNet Microsoft Operations Framework, all'indirizzo www.microsoft.com/italy/technet/itsolutions/mo/mof/default.mspx.
Implementazione della gestione delle modifiche
I progettisti di sistema di Woodgrove National Bank si rendono conto che un progetto di questa portata ha bisogno di efficaci attività di pianificazione e gestione. Un comitato direttivo di gestione deve supervisionare il budget, le pianificazioni, lo sviluppo dei componenti della soluzione e fornire l'approvazione finale per ogni fase del progetto.
Il reparto IT di Woodgrove National Bank è consapevole della necessità di testare la soluzione e implementare distribuzioni pilota prima della distribuzione nell'ambiente di produzione. Woodgrove opera in un ambiente globale e si rende perfettamente conto della necessità di aderire a specifici processi per la pianificazione delle modifiche e l'invio di comunicazioni chiare ai dirigenti, agli utenti e al personale di supporto.
Per assicurare un'implementazione priva di inconvenienti della connessione VPN in quarantena, Woodgrove National Bank intende creare team virtuali in tutto il mondo. Questi team devono lavorare a stretto contatto per progettare, sviluppare e verificare la soluzione e le tecnologie utilizzate in diversi scenari. Potranno quindi procedere a pianificare, comunicare e gestire le modifiche all'ambiente di accesso remoto durante la distribuzione.
Inoltre, il reparto IT di Woodgrove deve collaborare con i team di supporto alle operazioni alla pianificazione delle modifiche, programmandole per un orario locale che abbia un impatto minimo sul lavoro di utenti o unità aziendali. Nella maggior parte degli scenari di accesso remoto, il momento migliore per eseguire modifiche di grossa portata è durante l'orario d'ufficio, dal lunedì al venerdì, dalle 9.00 alle 17.00, poiché quasi tutte le connessioni di accesso remoto si verificano fuori da questo orario. Tuttavia, dato il crescente utilizzo dell'accesso remoto per supportare la strategia aziendale durante l'orario lavorativo base, questo criterio non è sempre valido per la Woodgrove National Bank. È quindi necessaria un'analisi efficace, basata sulle singole sedi, per garantire che le modifiche abbiano un'incidenza minima sulle operazioni.
Monitoraggio delle operazioni
Woodgrove National Bank ha implementato nella rete aziendale un'infrastruttura di monitoraggio e avviso basata su Microsoft Operations Manager (MOM) 2005. Il personale IT della banca deve estendere questa infrastruttura alla distribuzione delle soluzioni di accesso remoto. Per poter monitorare la connessione VPN in quarantena è necessario installare Management Pack del servizio Routing and Remote Access per MOM, disponibile all'indirizzo www.microsoft.com/downloads/details.aspx?FamilyId=D1005486-2EEB-44A5-8196-5D4EB24F6EA0&displaylang=en (informazioni in lingua inglese).
Per individuare con precisione le aree problematiche durante le distribuzioni, Woodgrove National Bank utilizza metodi di raccolta e analisi dei dati. Il personale IT della banca si avvale di un elemento di processo chiave, utile ad agevolare la gestione dello stato dei servizi. Questo processo è costituito da un dashboard, ovvero un gruppo di indicatori visivi, di accesso remoto che consente di monitorare i dati in tempo reale. Il dashboard è in grado di individuare, tracciare in un grafico ed evidenziare singoli incidenti degli utenti che indicano problemi di connettività.
La raccolta e l'analisi dei dati sono attività critiche per la gestione dei servizi durante l'esecuzione di importanti modifiche e per le funzioni di gestione dei servizi di routine. Combinando dati raccolti e report con i dati del personale di supporto, il reparto IT di Woodgrove National Bank può stabilire in qualsiasi momento quale sia lo stato globale di un servizio con un elevato grado di sicurezza. I team operativi possono utilizzare questi dati per esaminare gli eventi che influenzano i servizi, mettere in correlazione gli effetti e i servizi, creare piani di risposta preventivi e consentire previsioni future sullo stato dei servizi.
La registrazione di questi dati è estremamente utile, sia per misurare l'uso quotidiano che per identificare tendenze di lungo termine. I team di supporto alle operazioni IT di Woodgrove utilizzano Microsoft SQL Server™ 2000 e OLAP (On-Line Analytical Processing) per generare report e tenere traccia, misurare e analizzare rapidamente:
Lo stato generale del servizio, con la possibilità di concentrarsi su aree specifiche.
I dati infrastrutturali che riflettono lo stato e le prestazioni dei server.
I dati dei client concernenti l'uso del servizio da parte degli utenti, come il tempo impiegato per la connessione, gli accessi riusciti al primo tentativo, le azioni con possibile esito negativo, le ubicazioni degli utenti e il numero di accesso ISP.
I problemi che incidono sul servizio e la produttività degli utenti.
I dettagli sui costi operativi più elevati a scopo di pianificazione e bilancio.
La risoluzione dei ticket di helpdesk in base a contratti di servizio interni per pianificare miglioramenti dei processi o della documentazione.
Questa infrastruttura operativa e di monitoraggio assicura alla Woodgrove National Bank un ambiente adatto all'implementazione della soluzione di connessione VPN in quarantena. Nel capitolo finale di questa guida viene descritto in che modo la Woodgrove National Bank ha pianificato l'implementazione della connessione VPN in quarantena e vengono illustrate le decisioni prese prima del processo di implementazione.
.gif){kind=icon}
Guida alla pianificazione dell'implementazione di servizi di quarantena con la rete privata virtuale Microsoft