Sicurezza in Laguna Case Study Actv S.p.A.

Transcript

1 Sicurezza in Laguna Case Study Actv S.p.A.

2 L azienda: Actv S.p.A. Actv S.p.A. è la public utility che prevede servizi di trasporto sia su gomma che acquei nel territorio Veneziano. Per questo l'azienda è dotata di una flotta navale e di un parco autobus per trasporto urbano, suburbano ed extraurbano. Attualmente Actv S.p.A. possiede 597 autobus* e 152 imbarcazioni*, trasporta ogni anno circa 186 milioni di passeggeri e produce ore di moto di navigazione e 31 milioni e mezzo di chilometri nei settori automobilistici. I dipendenti sono 2.874*. *Dati al 31/12/2000

3 Il progetto: biglietto elettronico Actv Spa è impegnata in prima fila in un progetto per la realizzazione di un biglietto elettronico unico per tutti i servizi di trasporto e parcheggio oggi esistenti nell'area veneziana La "Card" sarà utilizzabile come uno skipass e avrà la flessibilità lità necessaria per essere veloce come un telepass, e sicuro e funzionale come un bancomat. Avrà inoltre la capacità per essere utilizzata in piccole transazioni al posto del contante. Il biglietto elettronico è parte rilevante di un ampio pacchetto multiservizi,, tra i quali la carta d'identità elettronica, la firma digitale, che la società Venice Cards sta sviluppando. Il Comune di Venezia è socio di maggioranza.

4 Le necessità: sicurezza ed affidabilità La sfida a cui è stato chiamato il reparto IT coinvolgeva i seguenti punti: Protezione degli asset aziendali e dell infrastruttura di comunicazione dalle minacce informatiche Garanzia di continuità di servizio e tempestività di intervento

5 Protezione dell infrastruttura Lo scenario su cui si è operato è caratterizzato da: punti di raccolta dati WiFi dislocati sul territorio Access Point WiFi Server di Raccolta dati Access Point WiFi Punto di raccolta GPRS per il traffico dei mezzi in movimento MPLS Server di Raccolta dati Access Point WiFi Network di trasporto privato condiviso con altre applicazioni INTERNET Server di Raccolta dati Access Point WiFi Server di Raccolta dati Datacenter con sistemi elaborativi in alta affidabilità con accesso da parte dei fornitori dei sistemi informatici. Application Support Application Cluster Radius Server GPRS Router GPRS

6 Continuità di servizio e tempestività di intervento Disponibilità del servizio H24 Possibilità di fornire accesso selettivo alla server farm al personale dei vari fornitori per supporto agli applicativi Integrazione con piattaforme di management e monitoraggio centralizzato dell infrastruttura

7 Piano d azione Protezione dei punti di ingresso perimetrali dell infrastruttura di rete Firewalling trasparente all interno della server farm per definire isole applicative di competenza di ciascun fornitore Sistema di accesso VPN distribuito per l accesso da parte del personale tecnico di supporto

8 Requisiti dei sistemi protezione perimetrale Firewall statefull,, con deep-inspection per analisi dei protocolli Analisi a livello ISO/OSI 7 applicativo dei protocolli in transito to Supporto per processi di IDS/IPS personalizzati su protocolli Management, logging ed aggiornamento centralizzato Gestione dell intera infrastruttura da una console centralizzata,, da parte di più operatori simultaneamente Logging centralizzato con analisi delle anomalie Possibilità di HOT DEPLOY con versioning per rollback in caso di necessità User autentication ed integrazione con Active Directory Possibilià per il personale tecnico, identificato tramite credenziali ActiveDirectory,, di accedere a regole di filtraggio di debug (più permissive) senza necessità di intervenire nella configurazione del firewall Possibilità di transparent-mode Deploy senza modifica del piano di indirizzamento di livello ISO/OSI 3 Configurazione Stealt Stealt-mode Supporto Qos Definizione di priorità del traffico suddividendo traffico realtime e traffico di management

9 Firewalling all interno della server farm Segmentazione di livello ISO/OSI 2 trasparente Isolamento fisico dei server all interno di ISOLE APPLICATIVE Mantenimento dello stesso piano di indirizzamento Possibilità di concedere credenziali ad elevato privilegio agli operatori remoti Throughput wire-speed Capacità di firewalling molto elevata al fine di non inserire colli di bottiglia anche in architetture eleborative cluster/alte prestazioni Supporto HA Supporto di architetture non omogenee FailOver trasparente automatico Mantenimento delle sessioni attive

10 Accesso VPN Interoperabilità IPSEC e PPTP Supporto standard AES Supporto configurazioni Host-to to-lan e Lan-To To-Lan Supporto accesso stazioni Clientless Clientless (Microsoft PPTP) Possibilità agire come client VPN VPN Failover Possibiilità di failover VPN e routing failover senza supporto di apparati esterni Accesso VPN agli asset aziendali da parte di personale di supporto Accesso VPN a zone Logging dell attività di connessione dall esterno Supporto Virtual Routing Supporto per reti in overlapping overlapping di indirizzamento Accounting del traffico

11 La soluzione Clavister Oltre a garantire i requirement del progetto la soluzione Clavister è stata privilegiata anche per le seguenti caratteristiche: X-PANSION LINES Possibilità di scalare nelle prestazioni senza necessità di aggiornare l hardware Protezione dell investimento Hardware replacement next-business day Per le sedi periferiche si è potuto optare per soluzioni in singola affidabilità assicurandosi la disponibilità del servizio tramite contratti di hw replacement direttamente gestiti dalla casa madre. Fully features appliance La politica di rendere disponibili TUTTE le features della piattaforma Clavister sull intera gamma di appliance ha permesso di utilizzare nei punti raccolta wireless apparati di ridotte dimensioni che ne hanno facilitato l installazione e contenuto i costi. Partner certificati Clavister ha messo a disposizione gratuitamente partner certificati che hanno h dimensionato e progettato, congiuntamente con il cliente, la soluzione

12 La realizzazione Clavister S340 S340 (21 sedi) S340 Raccolta Dati WiFi Datacenter primario 100 Mbps VPN Tunnel S340 Enterprise WAN Datacenter secondario Internet Application Support GRPS network

13 La Realizzazione Clavister Il progetto ha incluso l impiego delle seguenti tecnologie: Security Appliance Clavister SG 4200 (Datacenter( Datacenter) Ogni Sede: La Serie Security Gateway 4200 ha un throughput in chiaro che raggiunge i 2 Gb/s e un throughput VPN di 1 Gb/s Soluzione in HA VPN con datacenter secondario 100 Mbps su link geografico. 5 Zone di sicurezza interne datacenter 10 Vpn Site-to to-site e Host-to to-site Security Appliance Clavister SG 57 (Raccolta Wireless) 21 punti di accesso Wifi in fase di copertura Deploy in transparent mode Hardware Replacement Next-Business Day Software analisi rete Sawmill Analisi storica Analisi On-denamd Monitoraggio proattivo della rete