Isolamento del server e del dominio tramite IPsec e criteri di gruppo

Capitolo 1: Introduzione all'isolamento del server e del dominio

Aggiornato: 16 febbraio 2005

La tecnica dell'isolamento fisico di computer e reti per proteggerne i dati e le comunicazioni è stata utilizzata per anni. Il problema che l'isolamento fisico pone è il seguente: le infrastrutture informatiche (IT) di molte aziende non possono essere protette facilmente al di dà dei limiti fisici. La prevalenza di client portatili e la natura degli ambienti di rete distribuiti rendono tali limiti fisici troppo inflessibili e difficili da implementare e rendere operativi.

L'isolamento di server e domini rende possibile la creazione di un livello di protezione per ottenere l'isolamento logico del traffico di rete che avviene tra computer o reti. Se un hacker riesce a ottenere accesso fisico alla rete interna di un'azienda e tenta di accedere a un server contenente risorse di dati preziose, l'isolamento di server e domini può impedirgli l'accesso semplicemente perché il computer utilizzato non è un dispositivo aziendale attendibile, anche se l'hacker si è avvalso di un account utente e di una password validi.

Il metodo dell'isolamento logico basato su tecniche di isolamento dei server e dei domini consente lo sviluppo di una soluzione di isolamento flessibile, scalabile e gestibile senza i costi e l'inflessibilità dei limiti fisici.

In questa pagina

Riepilogo generale Destinatari della guida La sfida per le aziende Composizione di un team del progetto Panoramica della guida Descrizione dello scenario Riepilogo

Riepilogo generale

Microsoft sa che le organizzazioni di grandi dimensioni devono affrontare sfide sempre più impegnative nel proteggere il perimetro delle proprie reti. Dato che le organizzazioni crescono e le relazioni commerciali cambiano, controllare l'accesso fisico della rete può diventare impossibile. Ogni giorno i portatili di clienti, fornitori e consulenti si connettono alla rete per valide ragioni commerciali. L'avvento delle reti senza fili e delle tecnologie di connessione wireless, quali GPRS (General Packet Radio Service) e Bluetooth, ha reso l'accesso alla rete più facile che mai. Questa aumentata connettività significa che i membri di dominio della rete interna sono esposti maggiormente a rischi significativi provenienti da altri computer sulla stessa rete interna, nonché a violazioni della protezione del perimetro. Anche se i firewall personali o basati su host consentono di proteggere i client durante le connessioni Internet, non sono ancora adatti a proteggere i server e i client interni.

L'isolamento di server e domini assicura molteplici vantaggi commerciali. In primo luogo, fornisce un livello di protezione della rete che può ridurre notevolmente il pericolo derivante dall'accesso di host non attendibili ai membri di dominio attendibili sulla rete interna di un'organizzazione. L'isolamento di server e domini può rappresentare un'importante strategia nella protezione dalla diffusione di virus, dagli hacker interni, dall'utilizzo improprio delle risorse tecnologiche da parte dei dipendenti e dal furto di informazioni. Può essere inoltre utilizzato per richiedere l'appartenenza al dominio di tutti i client che accedono a risorse attendibili, siano esse client o server, per consentire una migliore gestione da parte del personale IT qualificato. L'isolamento di server e domini può anche essere utilizzato come strategia primaria o secondaria per soddisfare esigenze di riservatezza dei dati o altre esigenze di protezione del traffico di rete, senza modificare le applicazioni Microsoft® Windows® esistenti o installare hardware di tunnelling VPN (Virtual Private Network) sulla rete.

In sostanza, l'isolamento di server e domini consente agli amministratori IT di limitare le comunicazioni TCP/IP dei membri di dominio che sono computer attendibili. Questi computer possono essere configurati in modo da consentire connessioni in ingresso da altri computer attendibili o da un gruppo specifico di computer attendibili. I controlli di accesso sono gestiti centralmente utilizzando i Criteri di gruppo di Active Directory® per verificare i diritti di accesso alla rete. Quasi tutte le connessioni di rete TCP/IP possono essere protette senza apportare modifiche alle applicazioni, perché la protezione IPSec (Internet Protocol Security) opera a livello di rete al di sotto del livello di applicazione e garantisce autenticazione e protezione avanzata a livello di pacchetto per il traffico end-to-end tra i computer. Il traffico di rete può essere autenticato, o autenticato e crittografato, in diversi scenari personalizzabili. I criteri di gruppo e le configurazioni di IPSec sono gestiti centralmente in Active Directory.

Il concetto di isolamento logico illustrato in questa guida si articola in due soluzioni: l'isolamento dei domini per isolare i membri di dominio da connessioni non attendibili e l'isolamento dei server per garantire che un server accetti connessioni di rete da membri di dominio attendibili o da un gruppo specifico di membri di dominio. Queste soluzioni possono essere utilizzate separatamente o insieme all'interno di una soluzione completa di isolamento logico.

La soluzione testata e illustrata in questa guida richiede i seguenti requisiti minimi di configurazione delle piattaforme:

• Windows 2000 con Service Pack 4 o versioni successive

• Microsoft Windows Server™ 2003

• Windows XP con Service Pack 2 o versioni successive

Questi requisiti di configurazione assicurano il livello di revisione richiesto per i componenti di IPSec. Le comunicazioni con piattaforme non Windows o sistemi non attendibili sono controllate dalla configurazione di IPSec, che si avvale di un elenco di esenzioni e/o consente il fallback al testo non crittografato (senza IPSec). I convertitori degli indirizzi di rete non costituiscono più un ostacolo all'utilizzo di IPSec sulla rete locale (LAN) grazie alle nuove funzioni di attraversamento del NAT (Network Address Translation).

In questa guida viene utilizzato lo scenario della Woodgrove National Bank per mostrare come sono state implementate le soluzioni di isolamento di server e domini in un ambiente di laboratorio rappresentativo. Viene inoltre riportata l'esperienza acquisita da Microsoft nell'implementare entrambe queste soluzioni sia internamente che negli ambienti dei clienti. Un team di esperti Microsoft ha redatto questa guida, che è stata rivista dal personale IT qualificato di Microsoft insieme ad alcuni clienti nell'ambito di un programma beta.

Dato che gli scenari di isolamento dei server e dei domini sono presenti nella rete interna globale di Microsoft, le attività di Microsoft dipendono dalla sicurezza di queste soluzioni. Inoltre, nel consigliare queste soluzioni ai clienti, Microsoft si impegna nel tentativo di creare un'infrastruttura con un elevato livello di protezione e gestibilità e risorse informatiche potenzialmente attendibili.

Inizio pagina

Destinatari della guida

Questa guida si propone di fornire supporto per la realizzazione di una soluzione di isolamento di server e domini in tutte le fasi del ciclo di vita IT, a iniziare dalla valutazione iniziale e dalla fase di approvazione alla distribuzione, al testing e alla gestione della soluzione completata. Per questo motivo, i vari capitoli che costituiscono la guida sono stati creati per soddisfare le esigenze di una molteplicità di lettori.

Questo capitolo è destinato principalmente al dirigente aziendale che deve decidere se l'organizzazione trarrà vantaggio da un progetto di isolamento di server e domini. La comprensione del contenuto di questo capitolo non richiede conoscenze squisitamente tecniche al di là della comprensione delle attività dell'organizzazione e delle esigenze di protezione.

I capitoli relativi alla pianificazione (capitoli 2, 3 e 4) sono destinati agli architetti tecnici e ai professionisti IT che si occupano della progettazione di una soluzione personalizzata per l'organizzazione. Un buon livello di conoscenze tecniche delle tecnologie interessate e dell'infrastruttura dell'organizzazione è necessario per poter trarre il massimo vantaggio da questi capitoli.

Il capitolo 5 e le appendici sono destinati al personale del supporto tecnico che si occuperà dei piani di distribuzione della soluzione dell'organizzazione. La guida contiene inoltre alcune raccomandazioni su come completare con successo la distribuzione della soluzione e sui passaggi pratici necessari per creare l'ambiente di laboratorio di prova.

Il capitolo 6 è da considerarsi materiale di riferimento per il funzionamento quotidiano della soluzione una volta implementata e resa operativa. Alcuni processi e procedure operativi illustrati in questo capitolo devono essere integrati nel contesto delle operazioni dell'organizzazione.

Il capitolo 7 contiene informazioni sulla risoluzione dei problemi relativi alla distribuzione IPSec. Poiché il criterio IPSec influisce principalmente sulle comunicazioni di rete, le informazioni e le tecniche riguardanti la risoluzione dei problemi possono essere di notevole aiuto alle organizzazioni che decidono di implementarlo.

Inizio pagina

La sfida per le aziende

La natura stessa delle organizzazioni odierne, che dispongono di molte connessioni e dispositivi portatili, può comportare notevoli rischi per l'infrastruttura IT. Questi rischi possono provenire da molteplici fonti, compresi dipendenti mobili, computer di fornitori e clienti, nonché da computer remoti situati in piccole filiali o nelle abitazioni dei dipendenti. In molti casi, questi rischi sono associati a software dannoso (detto anche malware), ad esempio virus e worm, che può essere scaricato o installato inavvertitamente sul computer di un utente ignaro.

Sebbene non possa essere considerato di per sé una difesa antivirus, l'isolamento logico può far parte di una soluzione antivirus più ampia, dato che fornisce un livello aggiuntivo di protezione che può ridurre la probabilità del verificarsi di un attacco e minimizzare i danni nel caso in cui l'attacco dovesse avvenire. Ad esempio, un cliente in visita che connetta il proprio laptop alla rete dell'organizzazione per consegnare un foglio di calcolo rappresenta un rischio per l'infrastruttura IT. Connettendosi direttamente alla rete fisica, il cliente ha infatti superato tutte le difese perimetrali atte a proteggere l'organizzazione dagli attacchi basati sulla rete.

Se la rete interna alla quale il cliente si connette non consente però l'accesso diretto ai server dell'organizzazione, questo rischio risulterà ridotto. La domanda è come limitare tale accesso alle risorse dell'organizzazione ai soli computer che ne hanno bisogno. La risposta è l'isolamento dei server e dei domini, una tecnica che serve a identificare e autenticare il computer per stabilire a quale risorsa è autorizzato ad accedere. L'autenticazione avviene prima che l'utente acceda alla rete e rimane effettiva per tutta la durata della connessione. Grazie a questo metodo è possibile ridurre i possibili rischi a cui sarebbero altrimenti esposti dati aziendali importanti quando computer non identificati e non gestiti si connettono alla rete.

Nota: per ulteriori informazioni sul software dannoso e sugli specifici metodi di difesa dell'organizzazione, consultare Guida alla difesa antivirus a più livelli sul sito TechNet all'indirizzo http://go.microsoft.com/fwlink/?LinkId=28732.

Vantaggi per le aziende

Fra i vantaggi derivanti dall'introduzione di un livello di difesa a isolamento logico, figurano:

• Protezione aggiuntiva. Un livello di difesa a isolamento logico garantisce protezione aggiuntiva per tutti i computer gestiti della rete.

• Maggiore controllo sugli utenti che possono accedere a informazioni specifiche. Utilizzando questa soluzione, i computer non potranno automaticamente accedere a tutte le risorse di rete tramite una semplice connessione alla rete.

• Costi più contenuti. Questa soluzione è generalmente molto meno costosa da implementare rispetto a una soluzione di isolamento fisico.

• Aumento del numero di computer gestiti. Se le informazioni di un'organizzazione sono disponibili solo ai computer gestiti, tutti i dispositivi dovranno diventare sistemi gestiti per consentire l'accesso agli utenti.

• Livelli di protezione migliori contro attacchi provenienti da software dannoso. La soluzione di isolamento limiterà notevolmente la capacità di un computer non attendibile di accedere a risorse attendibili. Per questo motivo, un attacco proveniente da software dannoso presente su un computer non attendibile non avrà esito positivo perché la connessione non sarà autorizzata, anche nel caso in cui l'hacker ottenga un nome utente e una password validi.

• Un meccanismo per crittografare i dati di rete. Con l'isolamento logico è possibile richiedere che tutto il traffico di rete tra computer selezionati venga crittografato.

• Isolamento di emergenza rapido. Questa soluzione fornisce un meccanismo che consente di isolare rapidamente ed efficacemente risorse specifiche all'interno della rete in caso di attacco.

• Protezione delle connessioni di rete disponibili al pubblico. Alcuni punti di connessione alla rete, ad esempio quelli presenti in una lobby, non consentiranno di accedere direttamente a tutte le risorse della rete.

• Controllo migliorato. Questa soluzione consente di controllare e registrare l'accesso alla rete tramite risorse gestite.

La sfida tecnologica

Difendere un'infrastruttura IT moderna dagli hacker e consentire contemporaneamente ai dipendenti di lavorare nel modo più agevole e produttivo non è un compito facile. Per molte persone è addirittura difficile comprendere l'ampia gamma di tecnologie che consentono di proteggere un ambiente. Potrebbe essere d'aiuto capire dove la soluzione si inserisce esattamente all'interno di una tipica infrastruttura IT e come integra le difese esistenti della rete.

La figura seguente, che rappresenta un'infrastruttura di rete costituita da vari livelli di difesa della rete, mostra dove si inserisce l'isolamento logico in un ambiente tipico.

Figura 1.1. Aree dell'infrastruttura e livelli di difesa della rete

La figura 1.1 fornisce una semplice illustrazione delle varie tecnologie che possono essere utilizzate per un progetto di protezione e difesa a più livelli di una tipica infrastruttura di rete. Tale infrastruttura è costituita generalmente dai seguenti elementi:

• Reti e utenti remoti. Queste entità remote utilizzano solitamente reti private virtuali (VPN) per connettersi alla rete interna dell'organizzazione e per accedere alla sua infrastruttura IT.

• Internet. La rete interna dell'organizzazione è spesso connessa a Internet attraverso uno o più dispositivi firewall perimetrali. Questi dispositivi risiedono il più delle volte in una rete perimetrale che fornisce un livello più elevato di protezione dalle minacce esterne poste dalla connettività a Internet.

• Rete perimetrale. Questa rete serve specificamente ai server e ai dispositivi che richiedono accesso diretto a Internet o da Internet, il che significa maggiore esposizione ai rischi di attacco.

• Rete interna. In genere, questa rete è costituita dall'insieme delle reti aziendali che si trovano fisicamente sui siti di proprietà dell'organizzazione e su quelli gestiti come parte dell'infrastruttura IT.

• Rete di quarantena. Questa rete è un componente relativamente nuovo che fornisce connettività limitata ai computer che non risultano conformi agli standard di protezione minimi richiesti dall'organizzazione. Dopo aver superato i test necessari, il computer e l'utente riceveranno le autorizzazioni indispensabili per una connettività completa alla rete interna. Se non superano i test, la rete di quarantena fornisce a questi computer una connettività sufficiente a scaricare e installare gli elementi richiesti per il superamento dei test. Microsoft offre ora nuove funzioni per mettere in quarantena i computer di accesso remoto tramite la protezione NAP (Network Access Protection). Per ulteriori informazioni, vedere la pagina Network Access Protection all'indirizzo www.microsoft.com/nap.

• Reti partner. Dato che l'organizzazione non gestisce né è proprietaria di queste reti, in genere viene concesso un livello di accesso altamente controllato per consentire a specifici processi o applicazioni aziendali di avvenire attraverso un tunnel VPN o un router perimetrale che fornisce comunicazioni extranet.

La figura 1.1 mostra che l'isolamento logico influisce direttamente sulle comunicazioni degli host della rete interna. Le VPN sono gestite dai Servizi di accesso remoto (RAS) per consentire al traffico degli utenti remoti o delle reti di connettersi in modo sicuro dalle postazioni remote. I firewall al margine della rete proteggono le comunicazioni che avvengono tra Internet e le reti interne. I servizi RAS, unitamente ai servizi NAP, assicurano la gestione delle connessioni degli utenti remoti tramite una rete di quarantena.

Oggigiorno, queste diverse difese di rete vengono solitamente installate e gestite come componenti separati di un progetto di rete a più livelli. È però probabile che tra qualche anno questi componenti convergano in una nuova soluzione di difesa della rete che potrà essere implementata e gestita come un'unica soluzione end-to-end.

Ciò che manca in molti progetti di rete attuali è la capacità di proteggere i computer sulla rete interna uno dall'altro. Grandi reti interne supportano talvolta molte organizzazioni e, in alcuni casi, più reparti IT devono gestire i computer e i punti di accesso fisico. Di conseguenza, non si deve considerare la rete interna come una semplice rete nella quale tutti i computer fisicamente connessi sono attendibili e pertanto hanno accesso di rete completo tra di loro.

Lo scopo dell'isolamento logico è di consentire alla rete interna di essere segmentata e isolata per supportare un livello di protezione più elevato senza richiedere limiti fisici. La vera sfida tecnologica posta dall'isolamento logico è la sua implementazione in un modo che sia gestibile e scalabile per l'organizzazione. L'implementazione di un progetto talmente complesso e restrittivo da minare l'esecuzione delle necessarie attività lavorative degli utenti potrebbe rappresentare un'alternativa peggiore rispetto alla mancanza di una soluzione di isolamento. È fondamentale completare adeguatamente le fasi di pianificazione e testing sia prima che durante la distribuzione della soluzione. Questa guida rende possibile la progettazione di una soluzione scalabile e gestibile che può anche essere implementata in modo controllato prevedendo il testing in vari momenti della fase di distribuzione.

Dopo aver realizzato l'isolamento logico, un livello di protezione aggiuntivo consentirà di ridurre i rischi a cui sono esposte le diverse risorse informatiche senza limitare la funzionalità dei client autorizzati.

Inizio pagina

Composizione di un team del progetto

Questa soluzione influisce prevedibilmente su tutte le aree delle comunicazioni della rete interna dell'organizzazione, che a loro volta influiscono sui reparti e sugli utenti che dipendono da tali comunicazioni. Per questo motivo, è di vitale importanza che tutte le esigenze e le aspettative dell'organizzazione vengano comunicate, documentate, comprese e considerate in tutte le fasi del progetto.

Dato che non è realistico aspettarsi che una sola persona possa eseguire tutte le attività richieste da un progetto di questa portata in un'organizzazione tipica, si consiglia di scegliere un team responsabile del progetto. Questo team deve essere costituito dai rappresentanti di tutti i reparti dell'organizzazione e delle aree tecniche principali dell'infrastruttura IT. Poiché non rientra negli intenti di questa guida spiegare come deve operare un team del progetto nell'organizzazione, si presume che il ciclo di vita del progetto sia seguito nel suo svolgimento da un team appropriato e che i requisiti e gli obiettivi della soluzione vengano adeguatamente comunicati alle parti coinvolte nel progetto e agli utenti della soluzione nelle sue varie fasi. Per ulteriori informazioni su come organizzare un progetto di questo tipo, consultare il sito Web di Microsoft Solutions Framework (MSF) all'indirizzo www.microsoft.com/msf.

Inizio pagina

Panoramica della guida

Questa sezione contiene un breve riepilogo del contenuto di ogni capitolo della guida Isolamento del server e del dominio tramite IPsec e criteri di gruppo.

Capitolo 1: Introduzione all'isolamento del server e del dominio

Il primo capitolo contiene una panoramica generale e una breve presentazione del contenuto di ogni capitolo della presente guida. In questo capitolo vengono introdotti il concetto di isolamento logico e i metodi di isolamento dei server e dei domini di un'organizzazione, viene discussa la loro giustificazione commerciale e viene mostrato come essi si integrano in una tipica infrastruttura IT. Vengono fornite inoltre informazioni sullo scenario della banca Woodgrove National Bank, che è stato adottato a scopi di verifica funzionale, progettazione e testing.

Capitolo 2: Descrizione dell'isolamento del server e del dominio

Nel capitolo 2 viene definito il concetto di host attendibile e viene discusso come utilizzare l'attendibilità per creare soluzioni di isolamento di domini o server. Vengono inoltre approfondite le relazioni tra il concetto di isolamento di server e domini, IPSec e i criteri di gruppo. Le parti tecniche di questa guida contengono una spiegazione dettagliata dei rischi di protezione (che la soluzione consente di ridurre) e dei problemi tecnici che potrebbero verificarsi quando si utilizza il criterio IPSec per l'isolamento di domini o server.

Capitolo 3: Determinazione dello stato corrente dell'infrastruttura IT

Prima di avviare un progetto, è indispensabile che i progettisti della soluzione dispongano di informazioni aggiornate e accurate sull'infrastruttura IT corrente. Queste informazioni comprendono lo stato attuale di tutti i dispositivi di rete, le configurazioni di server e workstation e i trust tra domini. Riguardano inoltre il potenziale impatto di altre tecnologie di rete, quali NAT, client VPN di accesso remoto basati su IPSec, proxy e firewall interni e filtraggio interno basato su porte. Fornisce inoltre istruzioni sulle informazioni necessarie per la pianificazione e indica i passaggi necessari per acquisirle.

Capitolo 4: Progettazione e pianificazione dei gruppi di isolamento

In questo capitolo, viene descritto come associare le esigenze commerciali dell'organizzazione al progetto di isolamento di server e domini che consentirà di soddisfare tali esigenze. Viene anche illustrato nei dettagli un metodo che consente di realizzare un progetto di gruppi di isolamento per soddisfare i requisiti di protezione dell'organizzazione riguardanti l'isolamento. Vengono inoltre presentati i diversi metodi di distribuzione che è possibile utilizzare per ridurre al minimo l'impatto esercitato sull'organizzazione e aumentare al massimo le probabilità di successo dell'implementazione della soluzione. Tutti i passaggi e i processi presenti in questo capitolo sono corredati di esempi che fanno riferimento allo scenario della Woodgrove Bank.

Capitolo 5: Creazione dei criteri IPsec per i gruppi di isolamento

I criteri IPsec sono meccanismi che consentono di applicare le regole che un computer deve utilizzare per comunicare con il proprio peer. Queste regole vengono assegnate e distribuite ai membri del dominio attendibile utilizzando oggetti Criteri di gruppo. Questo capitolo fornisce le informazioni necessarie per comprendere come creare questi criteri IPsec e come distribuirli ai computer.

Capitolo 6: Gestione di un ambiente di isolamento del server e del dominio

Una volta che la soluzione è pronta e attiva, è necessario comprendere e documentare diversi processi che consentono di gestire e supportare la soluzione correttamente e su base quotidiana. In questo capitolo vengono presentati un modello per il supporto e vari processi e procedure di gestione da utilizzare in un contesto operativo più ampio quale, ad esempio, Microsoft Operations Framework (MOF). Per ulteriori informazioni su MOF, consultare il sito Web di Microsoft Operations Framework all'indirizzo www.microsoft.com/mof.

Capitolo 7: Risoluzione dei problemi di IPsec

Una volta distribuita e utilizzata la soluzione, è inevitabile che possano verificarsi dei problemi. Questo capitolo contiene alcune procedure di risoluzione dei problemi relativi al criterio IPSec: si tratta di attività, strumenti e suggerimenti da utilizzare per stabilire se IPSec è la causa dei problemi e, in caso affermativo, ne viene fornita la risoluzione.

Appendici

Oltre ai capitoli principali, questa guida include altro materiale di riferimento, ausili e script che sono stati utilizzati durante la pianificazione, il testing e la distribuzione dell'ambiente di laboratorio di prova presso la sede Microsoft durante la redazione della guida. È possibile utilizzare le informazioni contenute nelle appendici per agevolare l'implementazione delle soluzioni di isolamento di server e domini. Questo materiale intende fornire assistenza in tutte le fasi del progetto, dalla concezione iniziale fino al funzionamento quotidiano della soluzione implementata.

Inizio pagina

Descrizione dello scenario

Le soluzioni di isolamento dei server e dei domini sono state implementate internamente nella rete interna di Microsoft. Tuttavia, un'implementazione di laboratorio rappresentativa è stata sottoposta a test nello scenario della Woodgrove Bank per fornire un modello concreto e pubblico di questa soluzione. Per sviluppare la soluzione, sono stati utilizzati i requisiti aziendali e tecnici di questa organizzazione fittizia, oltre a quelli di Microsoft. Questa guida contiene molte delle tecniche di supporto e gestione utilizzate quotidianamente dagli amministratori IT interni di Microsoft. Nella guida, tuttavia, vengono sempre segnalate le divergenze riscontrate tra le esigenze della Woodgrove Bank e del suo personale dalle considerazioni proprie di Microsoft.

Che cos'è la Woodgrove Bank?

La Woodgrove National Bank è un'organizzazione fittizia di verifica funzionale utilizzata da Microsoft per fornire ai clienti un esempio tangibile di distribuzione pubblica. Le esigenze della Woodgrove Bank derivano dall'esperienza acquisita da Microsoft con i suoi clienti aziendali. Per sua natura, la Woodgrove Bank dipende notevolmente dalla sicurezza nel tentativo di garantire la protezione delle proprie risorse monetarie e dei dati personali dei clienti. La Woodgrove Bank deve anche rispettare numerosi requisiti normativi stabiliti dal governo e dai gruppi del settore. In questa sede non vengono discussi gli specifici requisiti legislativi e normativi per evitare che la soluzione venga riferita specificamente a un Paese o a un'area geografica.

La Woodgrove Bank è una banca di investimenti internazionale leader nel settore che opera come società di intermediazione finanziaria per conto di clienti istituzionali, aziendali o governativi e singoli individui. Le sue attività includono sottoscrizione di titoli, vendite e contrattazioni, servizi di consulenza finanziaria, ricerche sugli investimenti, speculazioni e servizi di brokerage per istituti finanziari.

La Woodgrove Bank è una consociata di proprietà della WG Holding Company, una multinazionale di servizi finanziari leader nel settore con sede a Londra. La WG possiede cinque aziende: la Woodgrove National Bank, la Northwind Trading, la Contoso Ltd, la Litware Financials e la Humongous Insurance. Tutte le aziende di proprietà della WG sono organizzazioni di grandi dimensioni e ciascuna di esse conta più di 5.000 dipendenti.

Profilo geografico

La Woodgrove Bank ha in organico più di 15.000 dipendenti in oltre 60 sedi in tutto il mondo. Le sedi centrali (dove si trovano gli hub) impiegano migliaia di dipendenti e sono dislocate a New York (5.000 dipendenti), Londra (5.200 dipendenti) e Tokyo (500 dipendenti). Ogni sede hub supporta alcuni siti secondari di dimensioni minori (ad esempio, New York supporta due siti, uno a Boston e uno ad Atlanta). Oltre alle sedi hub, la società presenta altre due sedi principali, Sydney e Johannesburg, ciascuna con propri file server, server di stampa e server di applicazioni dedicati.

Connettività tra i siti

Le sedi di Tokyo e Londra sono collegate alla sede centrale di New York tramite connessioni Internet private con una larghezza di banda impegnata di 6 megabit al secondo (Mbps) e una connettività di 10 Mbps, rispettivamente. Tutte le sedi hub continentali sono connesse alle sedi centrali con una connettività compresa tra 2 e 10 megabyte (MB). Le sedi delle filiali autonome presentano una connettività di 2 MB, mentre le filiali di dimensioni minori mostrano una connettività WAN (Wide Area Network) di 1 MB. I dettagli delle connettività sono illustrati nella figura 3.1 del capitolo 3 della presente guida, "Determinazione dello stato corrente dell'infrastruttura IT".

Sfide informatiche dell'azienda

La Woodgrove Bank deve affrontare le stesse sfide che interessano la maggior parte delle aziende: aumentare i profitti e, al contempo, ridurre le spese e i costi delle immobilizzazioni. Queste sfide esercitano un impatto costante sull'infrastruttura IT. La Woodgrove Bank ha avviato anche alcune iniziative a livello aziendale che influiscono sull'infrastruttura IT, fra le quali:

• Diversificazione delle attività in nuovi mercati tramite fusioni e acquisizioni.

• Superamento della soddisfazione del cliente.

• Miglioramento della produttività dei dipendenti.

• Miglioramento dei processi e delle operazioni.

• Garanzia di un ambiente sicuro.

Queste iniziative non sono le sole a influire sull'informatica: esistono anche specifiche sfide che devono essere affrontate da chi ha il potere decisionale in materia di IT, fra le quali:

• Riduzione dei costi complessivi dell'infrastruttura IT.

  • Riduzione dei costi operativi; miglioramento della gestibilità e riduzione dei costi di gestione; riduzione del numero di server presenti nell'ambiente; consolidamento di applicazioni e servizi eterogenei in singoli server.

  • Utilizzo massimo degli investimenti IT esistenti.

  • Creazione di un'infrastruttura IT flessibile.

• Aumento degli utili sul capitale investito.

  • Aumento dell'utilizzazione.

  • Miglioramento della disponibilità e della flessibilità.

  • Utilizzo di nuove piattaforme hardware.

• Aumento della sicurezza dell'ambiente operativo per dipendenti, partner commerciali e clienti.

• Capacità di stringere accordi sui livelli di servizio (internamente ed esternamente).

• Aumento della flessibilità aziendale fornendo un accesso efficace e in tempo reale alle informazioni da qualsiasi punto.

Profilo dell'organizzazione IT

Anche se la Woodgrove Bank presenta un ambiente di server misti Windows e UNIX, la sua infrastruttura utilizza una backbone Windows Server. La banca dispone di 1.712 server Windows in totale, sulla maggior parte dei quali è installato Windows 2000 o versioni successive:

• File server e server di stampa                   785

• Server Web                               123

• Server di infrastruttura                  476

• Server Microsoft Exchange          98

• Server Microsoft SQL Server™    73

• Server di sviluppo                  73

• Server di monitoraggio                      33

• Altro (Lotus Notes, Oracle)         51

La maggior parte dei server si trova nelle tre sedi centrali dell'azienda (New York, Londra e Tokyo).

Ambiente PC

Quasi tutti i dipendenti della Woodgrove Bank sono dotati di almeno un personal computer. La maggior parte utilizza PC desktop, mentre gli addetti alle vendite usano computer portatili. In totale, la Woodgrove Bank dispone di più di 17.000 PC per utenti finali. L'85% circa di questi PC è costituito da computer desktop, mentre il restante 15% è costituito da portatili. Più del 95% dei PC per utenti finali è basato su Intel ed esegue una versione di Windows. Sono presenti, inoltre, alcune workstation Mac e UNIX utilizzate da specifici reparti per applicazioni LOB (Line of Business).

Panoramica sul sistema e sull'architettura di gestione

La rete della Woodgrove Bank è costituita da diverse aree IT: un centro dati aziendali, due sedi hub, due uffici satellite e una rete perimetrale che supporta gli utenti remoti. Come illustrato nel seguente diagramma, la Woodgrove Bank utilizza un modello centralizzato per la gestione di server e computer desktop da una postazione centrale situata a New York.

Figura 1.2. Il modello di gestione IT centralizzato della Woodgrove Bank

Servizio directory

La Woodgrove Bank ha deciso di adottare un modello a più insiemi di strutture per la fornitura di servizi per il progetto Active Directory. Con tale modello, l'azienda dispone della flessibilità di un insieme di strutture per il perimetro e un insieme di strutture condiviso separato per le risorse interne, in modo da poter soddisfare i requisiti di isolamento dei server nella rete perimetrale. Il modello con un solo insieme di strutture non è stato adottato dalla Woodgrove perché non consente l'isolamento dei server perimetrali dai dati aziendali di importanza critica. La figura seguente mostra la struttura logica di Active Directory utilizzata dalla Woodgrove Bank:

Figura 1.3. Progettazione del servizio directory della Woodgrove Bank

L'insieme di strutture perimetrale utilizza il modello di dominio con un solo insieme di strutture, che è sufficiente per la gestione dei server perimetrali. I requisiti di replica sono minimi nel perimetro, quindi non è necessario fissare limiti di replica o utilizzare il modello a più domini continentali per segmentare l'insieme di strutture. È fondamentale notare che la Woodgrove ha scelto questo tipo di progetto per la gestione dei soli server perimetrali. Se gli account utente si trovassero nel perimetro e il perimetro fosse dislocato in più sedi, sarebbe necessario un progetto diverso per i domini.

L'insieme di strutture interno è basato su un modello a più domini continentali. La Woodgrove ha creato tre domini continentali: uno per le Americhe, uno per l'Europa e uno per l'Asia. Inoltre, la Woodgrove ha realizzato un insieme di strutture principale dedicato per la gestione delle funzionalità a livello dell'insieme di strutture. Questo modello consente la gestione della topologia di replica e la delega a ogni area continentale dell'amministrazione autonoma a livello di dominio.

La topologia del sito della Woodgrove Bank si suddivide in tre aree continentali: le Americhe, l'Europa e l'Asia (il Pacifico asiatico). New York, Londra e Tokyo sono gli hub centrali dell'intera topologia.

Gli incaricati del progetto della Woodgrove Bank hanno scelto un progetto a unità organizzative basato principalmente su oggetti. La struttura della UO è replicata nella sua interezza in ciascuno dei domini continentali e un sottoinsieme di questa struttura è presente nell'insieme di strutture principale. La figura 3.2 del capitolo 3 di questa guida mostra un diagramma dettagliato della struttura della UO utilizzata dalla Woodgrove Bank.

Strategia della Woodgrove per il rollout della soluzione di isolamento di server e domini

Per aiutare l'organizzazione a scegliere il progetto che meglio si adatta alle proprie esigenze, la Woodgrove Bank ha creato un progetto di laboratorio di verifica funzionale. Questo progetto di verifica funzionale prevedeva un'implementazione di laboratorio di piccole dimensioni in cui testare il progetto proposto dalla Woodgrove, come illustrato nella figura seguente.

Figura 1.4. Progetto pilota della Woodgrove Bank

Questo diagramma mostra il sottoinsieme di computer che è stato utilizzato nello scenario della Woodgrove Bank per testare gli scenari descritti in questa guida. Lo scopo del progetto di verifica funzionale era quello di conferire al progetto di laboratorio una diversità che assicurasse il corretto funzionamento della soluzione secondo le previsioni, evitando al contempo di influire sulle attività dei server di produzione e degli utenti aziendali.

Tutti gli esempi forniti in questa guida si basano sull'infrastruttura del progetto pilota mostrata nella figura 1.4.

Nota: dato che l'isolamento comporta il cambiamento di molti aspetti della rete informatica, Microsoft consiglia di testare ogni scenario di isolamento in un ambiente di laboratorio prima di implementarlo per evitare di influire negativamente sugli ambienti di produzione. È opportuno che gli amministratori IT consultino i capitoli 6 e 7 soffermandosi sui problemi di supportabilità, le procedure operative e la risoluzione dei problemi.

Dopo la corretta realizzazione del progetto in laboratorio, è stato identificato un gruppo di server in cui implementare uno scenario di isolamento di server di base. Si trattava di server a basso impatto aziendale, adatti nel caso in cui si fossero verificati problemi di connettività. Agli amministratori IT e al personale di supporto tecnico sono state insegnate tecniche di risoluzione dei problemi ad hoc. Questi server sono stati monitorati attentamente per valutarne l'impatto sulle prestazioni e sulle richieste di supporto. Sono stati testati i processi e i ruoli di gestione organizzativa, nonché i metodi di supporto. In seguito, uno dei domini più piccoli della Woodgrove è stato scelto per l'implementazione pilota dell'isolamento dei domini. L'impatto di questo progetto di isolamento dei domini è stato ridotto al minimo utilizzando IPSec solo per le subnet della rete in cui risiedeva la maggior parte dei membri di dominio. L'impatto è stato ulteriormente ridotto consentendo comunicazioni senza IPSec quando questi membri di dominio comunicavano con altri computer non coinvolti nel progetto pilota. Dopo aver completato questa fase, il team del progetto disponeva di tutte le informazioni necessarie per creare e implementare un progetto completo per l'intera organizzazione.

Inizio pagina

Riepilogo

In questo capitolo è stato introdotto il concetto di isolamento logico ed è stato spiegato come l'isolamento di server e domini può essere utilizzato per creare una soluzione a livello aziendale utilizzando IPSec e i criteri di gruppo. È stata inoltre fornita una panoramica generale e una breve descrizione di ogni capitolo della presente guida. Da queste informazioni è possibile comprendere che cosa può fornire all'organizzazione la soluzione di isolamento, se può integrarsi in una tipica infrastruttura IT e quali competenze sono necessarie per una sua corretta implementazione.

Scarica la soluzione completa

Isolamento del server e del dominio tramite IPsec e criteri di gruppo

Inizio pagina