Newsgroup: it.comp.os.linux.sys
Titolo: Suggerimenti x sottolan aziendale sicura (lungo)

Ciao a tutti,
innanzitutto grazie in anticipo per eventuali suggerimenti che vorrete 
fornirmi.
Devo creare una sottorete in un laboratorio presso una azienda di 
circa 30  persone che opera in un settore dove non ci sono molti 
concorrenti. Sono quindi possibili eventuali tentativi di intrusione 
causa spionaggio industriale. 
In azienda esiste una rete locale (connessa a internet tramite ADSL) e 
non è molto sicura. Per questo motivo i dati più importanti sono al 
momento mantenuti su un PC non connesso in rete. Sorge ora la 
necessità di creare una rete locale sicura per il laboratorio con un 
server centralizzato e un sistema di backup efficace, purtroppo con 
una spesa che non superi i 1000/1200€.
Ho già precisato che si dovranno imporre delle policy di sicurezza
più rigide (che saranno difficili da far digerire al personale), per 
evitare fughe indesiderate di materiale riservato, ma vorrei 
semplificare il più possibile la faccenda (compatibilmente con la 
sicurezza) per non veder poi svanire tutto in fumo causa mancanza di 
tempo, svogliatezza del personale, difficoltà sollevate, ecc.
Per la realizzazione hardware/software della sottorete avrei pensato 
ad
uno scenario del genere:
 - un PC low cost ad uso firewall per la separazione della sottorete 
del laboratorio da quella aziendale esistente, con una distro tipo 
Smoothwall o IPCOP (o altro se esiste di meglio). E' essenziale che i 
log e alcune impostazioni siano accessibili ad una seconda persona 
fidata ma non esperta di GNU/Linux.
 - un PC più robusto ad uso server con GNU/Linux in RAID1 o 5 o 6 
(software, a meno che non riesco a convincere il capo a spendere 
qualcosa di più per una sk 3ware) ovviamente con UPS. Per quanto 
riguarda i servizi installati ci saranno un server subversion, aree 
sia private che condivise con accesso da Windows (quindi Samba), un 
programma di backup incrementale per effettuare backup notturni sullo 
stesso RAID (di documenti di cui si devono conservare versioni 
vecchie) e gestione quote. Inoltre ci vorrebbe un sistema di backup 
esterno affidabile x backup settimanali (tape o DVD), i cui supporti 
saranno mantenuti in armadio protetto.
Il laboratorio potrà essere frequentato da personale esterno (tesisti) 
che verranno quindi con il proprio notebook (da ritenersi insicuro). 
Pensavo quindi di cifrare le partizioni con i dati più critici ed 
evitare l'accesso da Samba a questi dati, in favore di sftp (winscp su 
windows), per evitare eventuali sniffing di pacchetti da parte di 
persone non autorizzate ad accedere a tali dati. Comunque mi è 
capitato in passato di avere problemi con WinSCP + Openoffice (a volte 
le modifiche non venivano salvate), per cui mi chiedo se esiste un 
modo più affidabile di procedere.
 
Veniamo alle domande:
 - HD affidabili ? Pensavo a 2 o più WD Raptor (che sono garantiti 5 
anni) in RAID1 o 5 o 6 (secondo quanto vuole spendere il capo e 
l'affidabilità che richiede). Che prestazioni mi devo attendere da un 
fileserver con raid 5/6 software? Può essere soddisfacente per un max 
di 10 persone che lavorano contemporaneamente sul server? Userei 
debian, meglio 32 o 64 bit nello scenario ipotizzato?
 - Eventualmente che CPU+MB recente consigliate, che sia ben 
supportata da Linux? Inoltre vorrei usare Webmin ed evitare 
l'interfaccia grafica, quindi pensavo che 4 GB di RAM sono sufficienti 
(anche mettendo /tmp su tmpfs, così che sia automaticamente criptato 
se va su swap).
 - Sistema di backup esterno ? Non ho esperienza riguardo ai nastri e 
personalmente ho perso dati anche su DVD "di marca" trattati bene 
(Verbatim), quindi vorrei qualcosa di più affidabile. Eventualmente, 
se al capo sta bene, vorrei proporre di ruotare i supporti di backup 
ogni tot mesi, così da non spendere una fortuna in nastri. 
Suggerimenti?
 - Per il backup incrementale da RAID -> RAID pensavo ad un tar in 
cron da far partire in tarda serata. Volendo invece effettuare backup 
di documenti direttamente presenti su PC Windows e GNU/Linux verso il 
server, invece cosa proponete ? Io pensavo ad rsync  + snapshot 
notturno e backup con tar. Qual'è il migliore frontend 
multipiattaforma x rsync? (vorrei evitare che le persone abbiano a che 
fare con due sistemi di backup diversi). Altri suggerimenti ?
 - I dati sul server al momento dovrebbero essere accessibili solo dal 
laboratorio, ma è possibile che in futuro venga richiesta una limitata 
accessibilità anche dalla restante rete aziendale (ovviamente solo per 
dati non critici). Mi conviene mettere il server in DMZ ? O conviene 
lasciarlo nella sottorete interna e proporre un secondo server per i 
dati condivisi in DMZ ? (con tutti i costi che ne consegue). Oppure 
usare una macchina esterna alla sottorete del laboratorio per salvare 
i dati comuni (ma questo mi costringerebbe ad aprire le porte relative 
al protocollo SMB sul firewall, cosa che vorrei evitare).
 - Smoothwall o IPCOP ? Voi cosa ci mettereste?
 - Se pongo il server internamente questo sarà protetto da attacchi 
esterni, ma non da eventuali attacchi interni. Come dicevo il 
laboratorio potrà essere frequentato da tesisti che verranno con i 
loro computer. C'è da considerare che i tesisti non sono 
necessariamente esperti di informatica e i danni potrebbero essere più 
causati da eventuali virus/backdoor presenti sui loro PC che da 
eventuali azioni volontarie. Comunque è sempre meglio prevenire che 
curare. Quindi mi domando se non è meglio porre il fileserver con i 
dati sensibili in una DMZ più restrittiva (non so se Smoothwall o 
IPCOP forniscono tale possibilità), o usare iptables + IDS sul server, 
lasciandolo sulla rete interna del laboratorio.
 - Un eventuale servizio di print server (cups) è meglio inserirlo nel 
server o nel firewall ?
 - Ultima domanda: vorrei al termine presentare al capo un report di 
penetretion test (dopo sua autorizzazione scritta) che certifichi in 
qualche modo che la configurazione è "sufficientemente sicura" e che 
eventuali "casini" possono derivare solo da cause esterne o utenti 
"inaffidabili". Come procedere in tal senso ? Quale software mi 
consigliate di adottare? Che tipo di documentazione fornire?
Grazie e scusate per la lunghezza del post.
Flavio

 server o nel firewall ?
Server, imho.
-- 
GenTLe ...di Varese, provincia.
La mia HP: 
http://digilander.iol.it/thegentle/index.htm
La vita è fatta anche di ardue scelte, tipo: "Un cuba... O una birra 
media???"

 Server, imho.
ok, ti ringrazio, dei suggerimenti.
Flavio

 
per il firewall, se non hai necessità di proxy (cache), dai un'occhiata a 
m0n0wall (
http://m0n0.ch/wall
)
per il backup: quanti dati da backuppare? perchè se non ti serve per 
forza un lto, un dlt 40/80 GB lo trovi ad una pipa di tabacco ed è 
(praticamente) indistruttibile
Ciao
S.

 bloccato l'accesso verso la rete interna ?
Ni.
DMZ è una rete che espone dei servizi in rete, e al contempo ha la 
possibilità di connettersi, solo su determinate porte e verso 
determinati server, all'interno. Tipicamente il frontend di un web 
server sta in DMZ, esponendo la porta 80 (o 443), mentre i backend 
stanno in rete interna.
O, ancora meglio, usando diverse SAZ (secured area zone) ad anelli 
concentrici: l'anello più esterno espone i servizi, un anello intermedio 
con i backend, e l'anello interno con le macchine più protette. Tutto 
blindato.
In queste ottiche, i pc insicuri non vanno messi in rete interna ma in 
una rete che è insicura o nell'anello intermedio della SAZ (e che possa 
uscire sul web, viste le esigenze), che è un concetto simile alla DMZ.
Ciau!


 
Ciao e grazie ancora per le delucidazioni.

 (praticamente) indistruttibile
Effettivamente un dlt di quelle capacità costa decisamente meno di un 
lto-2. E ho trovato un altro post più vecchio in cui se ne parla bene.
Una domanda da niubbo nel settore tape: queste unità (LTO, DLT, ecc) hanno 
una gestione standardizzata (a parte la connessione fisica scsi) e sono 
tutti ben supportati dal kernel Linux e dai vari applicativi di backup o 
anche qui occorre trovare il device giusto che funzioni? (giusto per 
sapere, ovvio che una volta individuato il modello più consono farò una 
ricerca per verificare che non ci siano problemi con Linux).
Saluti e grazie
Flavio


nella mia esperienza sono realmente plug and play.. una volta che il s.o. 
li vede (ed è praticamente assicurato), li usi tutti allo stesso modo
Ciao
S.

 direttamente alle sk di rete (fisiche) dell'host? 
No: ho esperienza solo di VmWare ESX (costosissimo) e Wks. Però dai 
un'occhiata a ESXi (gratuito).
