Erste banka, jedna od vodećih banaka na tržištu, ove godine proslavlja deset godina poslovanja u Crnoj Gori. U istoj godini Erste grupa obeležava 200 godina od svog osnivanja. Prisustvo Erste grupe u Crnoj Gori ozvaničeno je u martu 2009. godine, kada je Erste&Steiermärkische bank d.d. Rijeka kupila 100% akcija male mikrokreditne banke, koja je u tom trenutku imala oko 5% tržišnog učešća. Danas je Erste banka jedna od najvećih banaka na tržištu, prepoznata po kvalitetu poslovanja i primeni najbolje bankarske prakse. Sinergiju znanja, tehnologije, tradicije i inovacija Erste banka koristi kako bi podstakla pozitivne promene i stvaranje nove vrednosti za klijente, zaposlene, akcionare i zajednicu.

Erste grupa 2019. godine ulazi u treći vek svog poslovanja. Prva štedionica u centralnoj Evropi osnovana je 1819. godine u Beču pod imenom Erste öesterreichische Spar-Casse, na temeljima ideje koja je danas relevantnija nego ikada: ostvarivanje finansijske nezavisnosti kao osnove za prosperitet. Dvesta godina kasnije Erste grupa je proširila ideju svojih osnivača na region i trenutno je najveća bankarska grupacija u centralnoj i istočnoj Evropi, sa više od 16,1 milion klijenata.

Finansijski časopisi „The Banker“ i „Euromoney“ već par godina zaredom proglašavaju Erste banku najboljom bankom na području Crne Gore. Ova priznanja dodeljuju se na osnovu više kriterijuma, među kojima su finansijski pokazatelji, strateške inicijative, tehnologija i novi proizvodi i usluge. Ključni kriterijum za dodelu nagrade su unapređenja sprovedena u prethodnih 12 meseci.

Poslovni izazovi

U skladu sa važnošću svog informacionog sistema i podataka kojima raspolaže, Erste banka je prepoznala da više nije dovoljno brinuti samo o pretnjama koje dolaze od spolja, već treba imati spremno rešenje i za scenario u kome je pretnja već unutra. Sve češće smo u prilici da čujemo da standardni ciklus jednog napada podrazumeva lateralno kretanje duž informacionog sistema i eskalaciju privilegija. Kompromitovanjem privilegovanog naloga napadač je u stanju da izvrši različite zadatke i omogući sebi što duži ostanak u sistemu. Otkrivanje samog upada u sistem je tek prvi korak. Nakon toga kompanija se često nalazi u problemu da razluči koliko dugo je napadač bio u sistemu, koje akcije je preduzeo u tom periodu i da odredi koje od svih detektovanih akcija je učinio napadač, a koje legitimni administrator koji koristi taj nalog.

Erste banka već poštuje dobre prakse koje se tiču privilegovanih naloga, u smislu primene kompleksnih lozinki i njihove redovne promene, kao i razdvajanje korisničkih naloga i naloga koji se koriste za administraciju drugih sistema. Praksa je da se lozinke za pristup sistemima, kao i udaljeni pristup, uglavnom ne daju trećim licima, poput eksternih saradnika, čime se ostvaruje čvrsta kontrola. Postavljene sigurnosne procedure otežavale su neautorizovanim licima sa malicioznim namerama da inicijalno ostvare pristup sistemu banke, ali u tom trenutku nije postojala nikakva procedura u slučaju da je pretnja već prisutna u sistemu. U skladu sa tim, interna revizija Erste banke je kao predlog za dalje unapređenje informacionog sistema definisala primenu rešenja koja će dodatno pomoći u kontroli prava privilegovanih naloga i olakšati periodični audit aktivnosti ovih naloga. WALLIX Bastion iz grupe PAM (Privileged Access Manager) rešenja i njegov Session Manager modul najbolje su se uklopili u definisane zahteve i potrebe banke.

Proces implementacije

Zbog načina na koji WALLIX funkcioniše implementacija se mogla vršiti u etapama, sistem po sistem, bez bilo kakvog prekida konektivnosti. Za planiranje dizajna i postavljanje osnovne konfiguracije bila su potrebna svega tri dana, a svako buduće dodavanje novog sistema je pitanje minuta. Sistemi kojima WALLIX može obezbediti dodatnu sigurnost mogu biti serveri, mrežni uređaji, baze podataka ili aplikacije, nezavisno od vendora opreme ili verzije.

Jedna od najbitnijih promena koje ovakvo rešenje uvodi u svakodnevne administratorske aktivnosti je ta da administrator više ne pristupa direktno sistemu koji administrira, nego sada sve aktivnosti vrši kroz WALLIX konekciju. WALLIX Session Manager u tom slučaju predstavlja jump server komponentu koja je u stanju da dozvoli ili zabrani pristup određenom sistemu, dok za to vreme vrši i snimanje svih sesija. Da bi se sprečio neautorizovan pristup koji zaobilazi WALLIX bilo je potrebno da se na mrežnom nivou onemogući direktno pristupanje management mreži.

WALLIX je uvezivanjem sa domen kontrolerima banke omogućio da svi administratori koriste svoje domenske privilegovane naloge, čime se obezbeđuje da se u svakoj sesiji jednoznačno identifikuje administrator koji je vršio izmene. Zbog ovog principa više ne postoji mogućnost da se aktivnosti sakriju iza default ili deljenih naloga poput „administrator“ ili „root“.

S obzirom na to da se na WALLIX-u čuvaju poverljivi podaci o sesijama administratora, omogućeno je čuvanje svih podataka u enkriptovanom obliku. Pored toga, preduzet je niz tamper-proof mehanizama koji onemogućavaju bilo kakvu izmenu informacija u okviru zapamćene sesije, kao i njihovo uklanjanje. Ovim se postiže da napadač, čak i ako uspe da u nekom trenutku dobije admin prava na WALLIX-u, neće biti u stanju da ukloni dokaze o svom prisustvu u ostalim sistemima.

Jasna Jović

Postignuti rezultati

Implementacijom WALLIX-a u sistem Erste banke postignuti su:

• Centralizovano upravljanje pravima pristupa.
• Mogućnost pregleda svake administratorske sesije u video i tekstualnom formatu.
• Mogućnost praćenja ostvarene sesije u realnom vremenu.
• Alerting u realnom vremenu.
• Automatsko terminiranje sesije u slučaju preduzimanja nedozvoljene aktivnosti.
• Mogućnost da se dozvoli ili zabrani uspostavljanje sesije u određenom vremenskom periodu.
• Mogućnost jednokratnog uspostavljanja sesije samo uz eksplicitnu dozvolu administratora banke.
• Sprečavanje širenja malvera na server u slučaju da je administratorova mašina zaražena.
• Olakšan audit izvršenih aktivnosti.
• Olakšan audit dodeljenih prava pristupa.

The post BASTION SIGURNOSTI ZA BANKARSKI SISTEM appeared first on Business&IT.

JKP Beogradske elektrane se već više od 50 godina bavi proizvodnjom i distribucijom toplotne energije za potrebe daljinskog grejanja i isporukom potrošne tople vode na teritoriji Beograda. Ispod beogradskih ulica nalazi se toplovodna mreža dužine preko 700 km, koja se svake godine proširuje za nekoliko desetina kilometara.

Serverska infrastruktura JKP Beogradske elektrane smeštena je u dva fizički odvojena data centra, a u planu je izgradnja još jednog centra na trećoj lokaciji. Virtuelizacijom kompjuterskih resursa uz korišćenje VMware tehnologije upravljanje serverskom infrastrukturom je pojednostavljeno i sistem administratorima je olakšan svakodnevni rad. Međutim, tradicionalni način organizacije mreže, kakav je primenjen u ovom slučaju, ograničava njihove najvažnije servise na fizičku lokaciju jednog data centra. Ovo znači da bi migracija nekog od servisa na drugu lokaciju data centra iziskivala promenu IP adrese virtuelne mašine i izmenu parametara na DNS-u, što usporava oporavak servisa na rezervnoj lokaciji. Dodatni problem predstavlja bezbednost virtuelnog serverskog okruženja, tj. nepostojanje data centar firewall-a, kao i nedostatak vidljivosti komunikacija unutar data centra.

Rešenje za unapređenje efikasnosti i bezbednosti

Kako bi unapredili mrežne i sigurnosne servise unutar data centra inženjeri JKP Beogradske elektrane odlučili su da implementiraju VMware NSX i vRealize Network Insight (vRNI). NSX kao platforma za softverski definisane mreže nametnula se kao logično rešenje, s obzirom na integraciju sa postojećom VMware platformom za virtuelizaciju servera. NSX omogućava kompletan L2 do L7 mrežni i sigurnosni model u softveru. Ova platforma razdvaja mrežu od postojećeg hardvera, koristeći prednosti postojeće infrastrukture, ali na način koji omogućuje nove brzine pružanja usluga.
Koristeći fizičku underlay mrežu unutar data centra, NSX omogućava konfiguraciju kompleksnih mrežnih topologija i servisa bez potrebe za dodatnim konfigurisanjem fizičke mreže. Osnovne komponente NSX-a su virtuelni distribuirani switch (VDS), distribuirani logički ruter (DLR) i NSX EDGE ruter. Ove tri komponente imaju mogućnost da reprodukuju sve mrežne servise u softveru, od L3 statičkog i dinamičkog rutiranja do firewall-a, load balancer-a i SLL VPN-a. Dodatna pogodnost je što mrežni i sistem inženjeri pomoću NSX-a mogu sa jedne tačke konfigurisati, kreirati i modifikovati mrežne servise.
U slučaju Beogradskih elektrana instaliran je distribuirani logički ruter (DLR) i uključen je distribuirani firewall. DLR je logički ruter optimizovan za East-West komunikaciju, tj. komunikaciju unutar virtuelne infrastrukture, a sa fizičkom mrežom integrisan je korišćenjem OSPF ruting protokola. Dinamičkim ruting protokolom oglašavaju se mreže koje su prisutne u data centru i svaka izmena, u smislu dodavanja ili brisanja neke mreže, automatski je propagirana ka ostatku mreže. DLR omogućava da se jedan mrežni opseg prostire preko više fizički odvojenih lokacija, čak i ako su ESXi serveri u različitim mrežnim opsezima. Ova funkcionalnost je od izuzetnog značaja za inženjere Beogradskih elektrana zbog oporavka virtuelnih mašina na rezervnoj lokaciji bez izmene IP i DNS parametara. Distribuirani logički ruter prisutan je u hipervizoru ESXi servera, što znači da svaki server u klasteru može da vrši rutiranje i firewall kontrolu saobraćaja. Dodavanje novog servera u klaster povećava ukupne performanse distribuiranog firewall-a, što ovo rešenje čini skalabilnim.
Distribuirani firewall nudi servis u vidu mikrosegmentacije. Sam firewall mehanizam je ugrađen u hipervizor servera i primenjuje se na nivou mrežne kartice virtuelne mašine. Na ovaj način moguće je kontrolisati saobraćaj unutar virtuelnog okruženja, čak i između virtuelnih mašina koje pripadaju istom mrežnom segmentu. Dobra strana ovog rešenja je što se bilo koji objekat definisan u okviru vCenter servera može koristiti kao izvor ili destinacija u okviru sigurnosne polise. Sigurnosna polisa prati virtuelnu mašinu gde god se ona nalazila, a uklanjanje virtuelne mašine podrazumeva i uklanjanje polise koja je vezana za nju. Distribuirani firewall nudi zaštitu na L4 nivou OSI sistema, a moguće je integrisati ga sa sigurnosnim softverskim proizvodima drugih kompanija kako bi se povećala bezbednost virtuelnog serverskog okruženja.
VRealize Network Insight je alat koji se integriše sa vCenter serverom, NSX-om i drugom mrežnom infrastrukturom data centra, a cilj je da olakša svakodnevnu upotrebu NSX-a. Korisnicima vRNI daje uputstva i informacije o najboljim praksama kako bi poboljšali performanse i dostupnost virtuelne infrastrukture. VRNI prikuplja netflow informacije sa mreže kako bi stekao sveobuhvatnu sliku o komunikacijama koje se odvijaju unutar virtuelnog data centra, kao i sa ostatkom fizičke mreže. Korisniku pruža mogućnost da planira mikrosegmentaciju, vrši analizu postojećih i daje preporuke za dodavanje novih firewall pravila. Jednostavan grafički interfejs omogućava korisniku da pretražuje bilo koji objekat iz vCenter servera i dobije informaciju o komunikacijama koje su u vezi sa tim objektom.

Prednosti implementacije NSX-a i vRNI-ja

Implementacijom NSX-a JKP Beogradske elektrane dobile su agilnu, fleksibilnu softverski definisanu mrežu, koja je u potpunosti nezavisna od lokacije i hardverske opreme. Mikrosegmentacija koju omogućava distribuirani firewall povećala je nivo bezbednosti unutar virtuelnog serverskog okruženja, a sigurnosna polisa prati virtuelne servise gde god oni bili, na primarnoj ili rezervnoj lokaciji data centra. Sa alatom kakav je vRNI, inženjeri Beogradskih elektrana imaju potpunu vidljivost komunikacija unutar data centra i mogu da planiraju bezbednost trenutnih i budućih virtuelnih servisa.

Milan Vujović

The post VMWARE NSX U BEOGRADSKIM ELEKTRANAMA appeared first on Business&IT.

Cilj ovog projekta bio je formiranje informacionog sistema koji bi obezbedio platformu za pokretanje svih servisa kritičnih za proizvodnju i usklađivanje kontrolnih servisa sa normativima propisanim od strane EU radi strože kontrole proizvodnje i prodaje. Informacioni sistem su pre realizacije ovog projekta činila tri nezavisna data centra. Jedan od centara pokretao je više od 90% relevantnih servisa, dok je data centar na lokaciji u Beogradu služio kao DR lokacija za produkcione servise iz glavnog centra. Za obezbeđenje podataka na DR lokaciji korišćena je vSphere replikacija sa jednom dnevnom kopijom (24 h RPO). Veeam Backup and Replication korišćen je kao osnovni alat za bekap virtuelne infrastrukture.

Tehnički zahtevi

Primarni cilj bio je formiranje informacionog sistema tolerantnog na ispade, tj. na otkazivanje čitavog data centra, sa zahtevom da servisi, ukoliko i dođe do otkazivanja jednog od data centara, moraju da započnu sa radom na drugom bez ikakvog gubitka podataka i sa što većim stepenom automatizacije. To je podrazumevalo značajan redizajn informacionog sistema kod korisnika: pored serverske i storidž infrastrukture, trebalo je redizajnirati i celokupnu mrežnu infrastrukturu, s obzirom da je sistem do tada bio centralizovan.

Infrastrukturno rešenje koje je zadovoljavalo zahteve korisnika baziralo se na formiranju uniformnog metro klaster sistema, zasnovanog na VMware platformi i sertifikovanom hardveru za kreiranje virtuelne infrastrukture. Metro klaster rešenja, koja se ponekad nazivaju i stretched klaster rešenjima, predstavljaju formiranje klastera virtuelne infrastrukture na dve međusobno udaljene fizičke lokacije identične organizacije, koristeći ekvivalentne mehanizme za sinhronu replikaciju podataka na storidž sistemima koji čine klaster. Udaljenost između lokacija treba da zadovolji potrebe korisnika, ali je istovremeno ograničena izborom vendora i konkretnog rešenja, odnosno konfiguracije. Osnovna karakteristika uniformnog metro klaster rešenja je da fizički serveri imaju pristup do storidž sistema na obe lokacije. Na ovaj način postiže se veća fleksibilnost, a u konkretnom slučaju ovakva organizacija bila je obavezna, zbog implementacije Microsoft Failover klastera za potrebe servisa. Obe lokacije su ekvivalentno organizovane u pogledu opreme, klimatizacije, zaštite i mrežne konfiguracije. Prethodno centralizovana mreža reorganizovana je tako da su obe lokacije postale autonomne, sa višestrukim kroskonekcijama između lokacija, realizovanim po različitim trasama.

Servisi

Servisi neophodni za usaglašavanje sa EU direktivama imaju sloj za bazu podataka baziran na Microsoft SQL serveru, aplikativni sloj na kome su instalirani potrebni servisi i web sloj. Pored mehanizama visoke dostupnosti na nivou infrastrukture, ovi servisi su dodatno unapređeni uvođenjem klastering mehanizama na nivou samih instanci – tu su Microsoft Failover klaster za potrebe baze podataka i aplikativnih servisa i NLB za potrebe web servisa. Ovi zahtevi doneli su niz dodatnih sistemskih ograničenja pri zadovoljavanju generalnih planova za DR i standardizovanih bekap procedura, usvojenih u lokalnoj kancelariji (svaki podatak bekapuje se na dva mesta, sa sedam tačaka oporavka i udaljenom replikom na beogradskoj lokaciji).

Primena Microsoft Failover klastera donela je i prednosti: omogućeno je postavljanje aktivnih i standby nodova, DB, app i web servisa na različite fizičke lokacije i različite kontrolere storidž sistema, čime je omogućeno funkcionisanje servisa bez prekida u radu u slučaju problema na nekoj od lokacija. Dodatno, servisi se mogu prebacivati sa aktivnog na standby nod bez praznog hoda (downtime), čime je eliminisana potreba za prekidom u radu tokom standardnog održavanja. Microsoft Failover klaster za potrebe DB i app servisa realizovan je na virtuelnim mašinama, korišćenjem RDM diskova (physical mode). Generalno, virtuelne mašine sa RDM diskovima imaju niz ograničenja, pa na njima nije bio moguć dotad standardni način za DR (vSphere replikacija) i bekap (Veeam bekap virtuelnih mašina). Jedini način da se nastavi sa korišćenjem DR zaštite bio je da se storidž sistemi nadograde licencama za storidž replikaciju (SnapMirror), čime je omogućena replikacija sadržaja i ovih virtuelnih mašina.

Problem sa nemogućnošću bekapovanja virtuelnih mašina sa pRDM diskovima prevaziđen je korišćenjem Veeam agenta za Windows, koji je u potpunosti podržan za bekap nodova Microsoft Failover klastera. Veeam Agent for Windows je relativno svež alat, namenjen prvenstveno bekapu fizičkih servera, ali je u ovom slučaju, zbog pRDM diskova, implementiran na virtuelnim mašinama. Ostatak mašina je bekapovan na standardni način, kroz Veeam Backup and Replication. Implementirano rešenje Uniformni VMware metro klaster implementiran je na dve lokacije, međusobno udaljene nekoliko stotina metara. Za storidž sisteme na ovim lokacijama odabrano je NetApp metro klaster rešenje. Rastojanje između lokacija iznosi nekoliko stotina metara, pa je odabrana stretched varijanta i sistemi bazirani na FAS8200 kontrolerima. Serverska infrastruktura unapređena je nabavkom novih servera, tako da su svi VMware hostovi bazirani na poslednjoj generaciji HPE servera (gen10) i SkyLake procesorskoj arhitekturi. Dekomisionirani hardver, koji čine nešto stariji serveri (gen9) i NetApp FAS2650 storidž sistem, sa dodatnim policama koje su iskorišćene za smeštanje replika sa produkcionih lokacija, prebačen je na rezervnu lokaciju. Posebna pažnja tokom implementacije ovog rešenja posvećena je obezbeđenju integriteta podataka i unapređenju pouzdanosti. Pojedini mehanizmi bili su od ključnog značaja za postizanje ovih ciljeva:

Za najvažnije servise napravljeni su Failover klasteri na nivou Windows instanci, gde su nodovi raspoređeni na različitim fizičkim lokacijama.

Automatski oporavak ostalih servisa na klasteru virtuelne infrastrukture omogućen je ugrađenim HA mehanizmima.

Storidž sistemi na lokacijama metro klaster sistema su u sinhronoj sprezi.

Postoji alternativna lokacija za DR, udaljena više stotina kilometara, na koju se podaci kopiraju sa jednočasovnom zadrškom (1 h RPO).

DR mehanizam oporavka omogućen je korišćenjem VMware Site Recovery Manager-a.

Veeam je primarni alat za bekap virtuelne infrastrukture i Microsoft Failover klastera.

Primenjena je Veeam-ova preporuka o pravljenju višestrukih kopija bekapa i korišćenju cold medijuma (trake).

Uopšteno posmatrano, servisi koji su važni za proces proizvodnje imaju drugačiji tretman u odnosu na ostale i za njih je potrebno maksimizirati raspoloživost, odnosno svesti verovatnoću otkazivanja na minimum i eliminisati mogućnost gubitka i korupcije podataka. Ovi zahtevi su prisutni kada određeni servisi participiraju u proizvodnom procesu, jer se tada downtime ovih servisa može relativno jednostavno iskazati u finansijskom kontekstu. Ova implementacija je primer jednog takvog rešenja infrastrukturnih problema za sistem od velikog uticaja na proizvodne cikluse. Ključni elementi koji su definisali izgled sistema jesu redundansa na logičkom nivou, višestruke kopije podataka unutar sistema, autonomija data centara u mrežnom kontekstu i arhive podataka.

Aleksandar Pavlović

The post SISTEM SA NULTOM TOLERANCIJOM NA ISPADE appeared first on Business&IT.