Di recente ho avuto modo di confrontarmi con una situazione particolare ma, a suo modo, abbastanza comune nella vita professionale di un sistemista informatico.
Sono subentrato come amministratore del sistema informatico all’interno di una azienda che produce componenti elettronici per impianti di sicurezza civile, commerciale e industriale.
L’attività da svolgere, in questi casi, si sviluppa in 4 fasi.
Fase di analisi iniziale
La prima sfida, in questi casi, è sempre quella di eseguire una attenta valutazione della situazione in essere: infatti, non si tratta di un nuovo ufficio e di nuove installazioni dove è più facile disegnare un progetto di rete e di sicurezza trovandosi davanti carta bianca.
Quando si subentra occorre studiare con estrema attenzione l’infrastruttura informatica; non ci si deve mai dimenticare che l’azienda, in questi casi, è in funzione e che i sistemi informatici, se pur da rendere più stabili e sicuri, sono attivi e consentono ai processi dell’impresa di proseguire.
Il primo punto da analizzare è l’infrastruttura di rete: disegnare uno schema visuale di tutti gli elementi che compongono il sistema informatico è un valido aiuto per rendersi conto delle funzioni di ogni device, delle interazioni che avvengono tra i vari dispositivi e, più in generale, permette di realizzare un quadro completo della situazione, molto utile per poi passare alla successiva fase di adeguamento e implementazione di nuove soluzioni.
La comprensione dell’ infrastruttura preesistente è dunque fondamentale per:
-
ridurre al minimo il rischio di blocchi in uno o più servizi di rete.
-
predisporre un piano di adeguamento ed evoluzione.
-
scoprire eventuali elementi deboli del sistema (vulnerabilità dei dispositivi, hardware obsoleto etc...)
Fase di adeguamento
Con il quadro della situazione ben chiaro è possibile procedere alla fase successiva, quella di adeguamento.
In questa fase si vanno ad apportare, anzitutto, i correttivi più urgenti, quelli cioè che minano gravemente la sicurezza della rete:
-
aggiornamenti. Si andranno ad applicare tutti gli aggiornamenti nei dispositivi più esposti, come i router di connessione ad internet, i firewall (se presenti), i server ed i NAS (se presenti), nonché ai vari software adibiti a processi critici (ad esempio software di backup, vpn servers etc...)
-
pulizia. Si andranno ad eseguire procedure di alleggerimento degli archivi dati, laddove possibile. Questa fase è utile a diminuire il carico di lavoro dei server e dei NAS, rendendo più rapidi i processi di accesso al disco e, di conseguenza, migliorando le performance di produttività aziendale.
Dopodiché si passa alla fase di implementazione, applicabile sia ai software che all’hardware. Sulla base dei risultati che si intende perseguire in termini di adeguamento della sicurezza informatica, si andranno ad installare i dispositivi e le applicazioni necessarie.
Questa fase è quella più critica dal punto di vista aziendale: è fondamentale che la direzione sia consapevole in primis dei rischi che corre e dei vantaggi che può ottenere con l’adeguamento. Va detto che il “rischio zero” non esiste: la bravura del consulente informatico sarà quella di riuscire ad ottenere, con il budget messo a disposizione, il massimo risultato possibile, sia in termini di efficacia immediata che in termini di durata nel tempo del sistema.
Quando si acquistano hardware e software per adeguare un sistema informatico insicuro e/o obsoleto occorre sempre scegliere tra dispositivi e applicazioni che consentano di guardare con tranquillità al futuro: l’obsolescenza in ambito informatico è sempre più rapida, ecco perché è importante scegliere elementi che abbiano un supporto a lungo termine, soprattutto per quanto riguarda gli aggiornamenti di sicurezza. Un orizzonte temporale di 5 anni è il minimo a cui si deve puntare.
Nella situazione specifica si è deciso di porre i seguenti correttivi:
-
acquisto di un nuovo firewall in sostituzione di quello vecchio (non più supportato da aggiornamenti di sicurezza) e configurazione degli aggiornamenti automatici (durante la notte).
-
acquisto di un secondo server con installato VMWare ESXi da rendere server “master” (trattandosi di hardware nuovo la scelta in questo caso era abbastanza ovvia), declassando a server “slave” il vecchio hardware.
-
creazione di processi di copia incrementale a caldo di tutte le macchine virtuali dal server master al server slave: in casi di difetto hardware grave del server master può subentrare il server slave.
-
creazione di processi di copia incrementale a caldo delle macchine virtuali verso il NAS, come ulteriore elemento di sicurezza in caso di malfunzionamento di entrambi gli host ESXi.
-
revisione dei processi di copia dei files e delle cartelle, con miglioramenti nella fase di notifica al completamento del backup (per analizzare meglio eventuali anomalie).
-
creazione di un processo di copia dei files e delle cartelle delocalizzato (abitazione dell’amministratore dell’azienda), in modo da ridurre al minimo il rischio derivante da eventi gravi riguardanti la sede aziendale (alluvione, incendio, terremoto).
-
attivazione di una console centralizzata per il monitoraggio di tutti i sistemi.
Fase di monitoraggio
Completata la fase di adeguamento si entra direttamente in quella di monitoraggio. Questa fase prevede sempre un periodo iniziale di adattamento, durante il quale si cerca di ridurre al minimo i cd “falsi positivi”, cioè allarmi di elementi anomali che, in realtà, rientrano nel quadro della situazione prevista. Il periodo di adattamento del monitoraggio richiede di solito un mese di tempo.
La fase di monitoraggio prosegue poi nel tempo ed è l’ elemento che consente sia all’ azienda che all’ amministratore del sistema informatico di intervenire in anticipo sui problemi, di prevenirli ed evitare quindi, danni più importanti.
Con software con Zabbix è possibile creare una console virtuale, web based ed accessibile 24/7, con la quale tenere tutto sotto controllo, soprattutto gli elementi critici come:
-
spazio disponibile su disco (per evitare che si esaurisca, sia nei sistemi principali che in quelli che ricevono le copie di backup).
-
uso cpu e ram anomalo (da questi elementi si può riscontrare la presenza di processi anomali, in blocco o, peggio, vittime di hackeraggio).
-
status processi di copia (appare un alter se una copia non è andata a buon fine).
-
…e molto altro ancora!
Fase di test periodico
Detta anche fase di Disaster Recovery simulato. Tipicamente va effettuata almeno una volta all’anno (o con maggior frequenza se l’infrastruttura di rete è più critica) e prevede di eseguire una serie di attività volte a simulare un evento che metta in crisi il sistema informatico. Lo scopo di questa attività è quello di verificare che quanto è stato fatto in termini di sicurezza è perfettamente funzionante e che potrà garantire, in caso di evento avverso, una ripartenza delle attività aziendali in tempi rapidi.
Vediamo quali sono i test più frequenti da svolgere in questa fase:
-
Verifica dei gruppi di continuità: si simula l’interruzione di energia elettrica e si analizza la capacità residua delle batterie.
-
Verifica dei log di sicurezza: si analizzano i log dei sistemi più esposti alla ricerca di eventuali tentativi di attacco informatico o di difetti hardware.
-
Verifica dei sistemi di copia: si prova a ripristinare, ad esempio, una macchina virtuale per capire se, una volta accesa tutti i servizi ripartono correttamente, oppure si vanno a cercare negli archivi di backup i files aggiunti o modificati più di recente e si confrontano con quelli originali.