Optimering af netværk, fysisk, logisk samt underliggende processer

Størrelse: px
Starte visningen fra side:

Download "Optimering af netværk, fysisk, logisk samt underliggende processer"

Transkript

1 Optimering af netværk, fysisk, logisk samt underliggende processer It-Diplomingeniør bacheloropgave udført hos Erhvervs- & Selskabsstyrelsen Bo Mortensen, s Løbenummer: IMM-B.Eng Institut for Matematisk Modellering, IMM Danmarks Tekniske Universitet, d. 16. maj 2011

2 Begrebsafklaring 2 Danmarks Tekniske Universitet Institut for Informatik og Matematisk Modellering Bygning 321, DK-2800 Kongens Lyngby, Danmark Telefon , Fax IMM-B.Eng-2011

3 Begrebsafklaring 3 Indhold 1 Begrebsafklaring Indledning Forord Problemstilling Opgavens struktur og fremgangsmetode Anvendte processer Information Technology Infrastructure Library Change Management Configuration Management Teoretisk korrekte processer Nuværende proces ved ændringer hos E&S Kritik af nuværende processer Optimal proces Ansvarsplacering Delkonklusion E&S it-miljø Eksisterende miljø Virtualisering Workstations & Applikationer Produktions-, test-, og udviklingsmiljøer Vurdering af eksisterende miljø Virtualisering Workstations & Applikationer Produktions-, test-, og udviklingsmiljøer Optimal opsætning og udnyttelse af et miljø Virtualisering Workstations & applikationer Produktions-, test-, og udviklingsmiljøer Delkonklusion E&S fysiske netværk Access switche Beskrivelse af nuværende opsætning Vurdering af opsætning Optimal opsætning Backbone & redundans Nuværende opsætning Vurdering af eksisterende opbygning Optimal opsætning Wi-Fi Nuværende opsætning Vurdering af eksisterende opbygning Optimal opsætning Delkonklusion... 33

4 Begrebsafklaring 4 6 E&S logiske netværk VLANs Eksisterende opbygning Optimal konfiguration af VLANs Access-switche Eksisterende opbygning Optimal konfiguration af access-switche Backbone Eksisterende opbygning Optimal konfiguration af backbone NAC Eksisterende opbygning Optimal konfiguration af NAC Delkonklusion E&S firewall Eksisterende konfiguration Vurdering af eksisterende konfiguration Optimal konfiguration Delkonklusion Antivirus Sårbarheder Anvendt software Nuværende anvendelse Farlige applikationer Kompromis Delkonklusion FortConsults penetrationstest Baggrund Hvad blev testet Resultatet af StaySolid -testen Konklusion Forretningen Hvad er forretningen Forretningens krav Forretningens holdning til håndtering af netværk Fortrolighed Konklusion Projektet De anvendte processer Overordnet netværk E&S it-miljø Anti-virus Forretningen Evaluering... 56

5 Begrebsafklaring 5 13 Referencer Bilag A E&S RFC blanket Bilag B Redigeret RFC blanket til ændring af netværk Bilag C Sårbarheder fundet af FortConsult Bilag D Diagram over tidligere fysisk netværk Bilag E1 Diagram over nuværende fysisk netværk Bilag E2 Foreslået redundans mellem ESXi hosts og coreswitches Bilag F - Overblik over miljøer... 68

6 Begrebsafklaring 6 1 Begrebsafklaring Back-out-plan Plan der beskriver et forløb hvis en ændring fejler. C&C Manager Change & Configuration Manager, egen sammenlægning af de to roller for at tilpasse E&S brug af ITIL. CAB Change Advisory Board, en gruppe som vurderer, hvorvidt en change kan gennemføres. Oftest indgår ledelse fra forretningen, systemadministratorer og projektledere. CCNA Cisco Certified Network Associate CCNP Cisco Certified Network Professional CI Configuration Item, del i it-infrastrukturen som er dokumenteret efter et skema. CM Change Management CMDB Change Management Database Dev Udviklingsmiljø hvor et system udvikles, og hvori der er mere lempelige netværksregler og mindre sikkerhed. DHCP Dynamic Host Configuration Protocol, service som tildeler IP-adresser mm. DMZ Demilitariseret zone, et miljø som indholder web-servere, ftp-servere og andre systemer som er tilgængelige udefra. DNS Domain Name Service, service som oversætter URL s til IP-adresser. Power-over-ethernet En funktion som gør det muligt at trække jævnspænding over ethernetkabler. Pre-Prod It-miljø som agerer fuldstændigt på samme måde som det produktionsmiljø systemet forventes at arbejde i. PSU Power Supply Unit, strømforsyning. E&S Erhvervs- & Selskabsstyrelsen ESDH Elektronisk sags- & dokumenthåndtering Failover Automatisk mulighed for at skifte fra dysfunktionelt udstyr til en standby-enhed. Group policies Gruppepolitik, PC er eller brugere kan være medlem af en gruppe hvor visse politikker gælder. Anvendes i Microsoft Active Directory, til fx rettigheder. High availability Metode at designe systemer med henblik på at have minimal nedetid. HIPS Host-based Intrustion Prevention, software som overvåger en enkelt maskine for ondsindet data eller aktivitet. ICND Interconnecting Cisco Networking Devices IPS Intrusion Prevention System, et netværk sikkerhedsapparat som overvåger trafik og aktivitet som kan være ondsindet. NAC Network Access Control, en metode til at hindre computere adgang til et netværk, hvis foruddefinerede regler ikke er overholdt. Fx antivirus eller AD-legitimation. NAT Network Address Translation, en funktion der ændrer IP-adresse i IP-pakkens header. NIC Network Interface Controller, netværkskort PAT Port Address Translation, en funnktion der ændrer destinations porten i IP pakke headeren. PXE Preboot Execution Enviroment, miljø som en PC kan boote på via netværket. Anvendes til fx backup og distribution af OS. RFC Request for change Site-to-site VPN VPN-forbindelsen mellem to VPN-apparater, anvendes til at holde en permanent forbindelse mellem fx to virksomheder.

7 Begrebsafklaring 7 UMTS Universal Mobile Telecommunications System, også kendt som 3G. VDI Virtual Desktop Infrastucture, miljø hvor der anvendes zero clients som tilgår virtuelle workstations. VLAN Virtuelt LAN, måde at have flere adskilte lokalnetværk over samme fysiske ethernet-kabel. Workstations Almindelige stationære PC r. Zero clients Monitor med ethernet, mus og keyboard, drevet af power-over-ethernet, tilslutter sig en virtuel maskine. ØEM Økonomi- og Erhvervsministeriet

8 2 Indledning 2.1 Forord Dette er min afsluttende opgave for Diplom-it-uddannelsen på DTU. Opgaven er udarbejdet i samarbejde med Erhvervs- & Selskabsstyrelsen, og som kontaktperson og mentor står Thomas Sevelsted Nielsen (cand.polyt.). Af folk udefra er Henrik Fjordager (CCNP fra NetDesign A/S) spurgt til råds. Min praktikperiode er aftjent hos Erhvervs- & Selskabsstyrelsen. Erhvervs- & Selskabsstyrelsen (E&S) 1 ligger under Økonomi- & Erhvervsministeriet (ØEM) 2. Her håndteres registreringer af enkeltmandsvirksomheder, selskaber, frivillige foreninger, momsregistrering, og der modtages regnskaber og lukkes virksomheder, hvis de ikke opfylder den danske lovgivning. 300 ansatte har deres daglige gang hos E&S, hvorudfra jeg estimerer, at der er ca. 650 Pc er og 150 servere, alt sammen fordelt på 6 etager. Server-parken består af to rum, fordelt på to etager, henholdsvis 3. og 4. sal. Jeg har arbejdet som it-supporter i mere end fire år hos E&S, og har under dette forløb udvidet mine kompetenceområder fra almen brugersupport til administration af antivirus-programmer, virtuelle miljøer samt fungeret som eneste in-house person til netværksopgaver; opgaver bestående i opsætning af udstyr, vedligeholdelse og firewall-administration. Indgangsvinklen og fokus i denne opgave er udledt af mine erfaringer hos E&S. Via mit arbejde erfarede jeg, at E&S mangler en til opgaven udpeget samt erfaren og ikke mindst uddannet person til at håndtere netværket. Dette har medført, at infrastrukturen er fyldt med forældede regler, adgange, brugere og passwords, som skulle have været lukket, spærret eller ændret. Derfor ønsker jeg i nærværende opgave at fokusere på de problematikker, der kan opstå i en virksomhed, hvor ovenstående skitserede situation er tilfældet. Center for IT 3 er ved nærværende opgaves start (januar 2011) delt op i to afdelinger, hhv. it-udvikling og itdrift, hvor jeg er ansat i it-driftsafdelingen. It-driftsafdelingen sørger for infrastruktur, administration af virtuelle miljøer, de fysiske servere, opsætning og ændring af netværk, brugersupport og forvaltning af systemer. It-udviklingsafdelingen består af projektledere, it-arkitekter, applikationsansvarlige og systemforvaltere. 2.2 Problemstilling Siden jeg startede i E&S i marts 2007, har der i 50 % af tiden ikke været en fast medarbejder til varetagelse af opgaverne omhandlende netværk, firewalls og antivirus. Disse opgaver er blevet betragtet som kollektive, og kun når systemadministratorerne har haft tid og overskud til at løfte opgaven. Foruden systemadministratorerne har ingen besiddet hverken uddannelse eller certificering konkret inden for netværkshåndtering. Opståede problemer er derfor blevet løst med hjælp fra eksterne leverandører eller ved trial-and- 1 Om Erhvervs- & Selskabsstyrelsen - 2 Om Økonomi- & Erhvervsministeriet - 3 Om Center for IT -

9 Indledning 9 error 4. Dog har den hidtil manglende prioritering, inklusiv manglende kompetencer og/eller timer, efterladt E&S s netværk i en udokumenteret og usikker tilstand. Da jeg blev forfremmet fra supporter til systemadministrator valgte jeg at løfte ovennævnte opgave på en mere struktureret vis. Manglende definerede processer mellem forretningen 5, systemforvaltere og netværksdrift har ligeledes medført mange uhensigtsmæssige løsninger, idet opgaverne prioriteringsmæssigt helst skulle havde været løst dagen før. Min hensigt med denne opgave er at evaluere Erhvervs- & Selskabsstyrelsens eksisterende netværk og sikkerhed, som dermed kan danne grundlag for nye og optimerede processer og være med til at fastlægge retningslinjerne for alle fremtidige netværksmæssige opgaver. Alle mine foreslåede retningslinjer tager forbehold for hvad Cisco og ITIL foreskriver (begge begreber uddybes i begrebsafklaringen). Jeg ønsker i nærværende opgave at kortlægge E&S netværk og se nærmere på hvorledes det er konfigureret, samt hvilke processer der findes for ændringer og for vedligeholdelse. Dermed er mit ønske med denne opgave at bidrage til processen at give E&S et mere struktureret og dokumenteret netværk. 2.3 Opgavens struktur og fremgangsmetode I denne opgave ønsker jeg at klarlægge de processor som anvendes ved ændringer i netværket i Erhvervs- & Selskabsstyrelsen, samt vurdere hvordan de anvendes i forhold til de skrevne teoretiske retningslinjer. Derefter vil jeg forsøge at komme med min egen version, tilpasset Erhvervs- & Selskabsstyrelsens interne processer. Jeg ønsker at kortlægge det logiske netværket i E&S og særligt retningslinjer for det. Samtidig ønsker jeg at vurdere hvorledes det håndteres og vedligeholdes, for derved at komme med min egen mening om, hvorledes det skal konfigureres. Jeg ønsker at kortlægge det fysiske netværket i Erhvervs- & Selskabsstyrelsen, og retningslinjer for ændringer. Vurdere hvorledes det håndteres og vedligeholdes, for så at komme med min egen mening om den optimale løsning. Herunder vil jeg afdække opsætningen af access-switche, coreswitche og anvendelsen af trådløst netværk. Derudover vil jeg se på hvordan Erhvervs- & Selskabsstyrelsens firewalls bliver håndteret, og hvordan retningslinjer for ændringer eller oprettelser af regler. Ydermere ønsker jeg at beskrive mine egne erfaringer og derudfra beskrive, hvad jeg mener, er den optimale løsning for Erhvervs- & Selskabsstyrelsen. Jeg vil komme ind på brugen af anti-virus, hvorledes den anvendes, opdateres, og retningslinjer for opsætning og scanninger. Jeg vil beskrive, hvilke applikationer der er tilladte og hvorfor selve antivirus softwaren er vigtig. Erhvervs- & Selskabsstyrelsen har fået foretaget en penetrationstest, og ud fra denne ønsker jeg at vurdere resultatet og sammenligne det med processerne og retningslinjerne for ændringer i netværket. Jeg vil vurdere forholdet mellem forretningsdelen af Erhvervs- & Selskabsstyrelsen og driftsafdelingen, og vurdere, hvorledes forholdet mellem de to kunne forbedres. 4 Trail and error - 5 Forretningen er den del af E&S som varetager statslige og offentlige kunder

10 Indledning 10 Disse ting vil jeg forsøge at beskrive ud fra mine fire års erfaring med support, systemadministration og netværksopsætning i Erhvervs- & Selskabsstyrelsen. Jeg ønsker at behandle hvert enkelt emne i separate kapitler. Derved beskrives den nuværende opsætning og konfiguration hos E&S samt hvorledes ændringer bliver vedtaget og udført. Herefter ønsker jeg at vurdere, hvor optimale disse processer er i forhold til den i teorien beskrevet korrekte måde. I en afsluttende sammenligning af den praktiske og teoretiske tilgang vil jeg komme med mit bud på, hvordan den optimale proces vil være, tilpasset E&S. Hver enkelt afsnit vil blive opsummeret i en delkonklusion ud fra de enkelte afsnits analyser. Ikke mindst vil jeg til sidst evaluere hver enkelt delkonklusion samlet, og forme en endelig hovedkonklusion over E&S s netværks- og sikkerhedssituation. Vurdering og beskrivelse af den optimale metode er bedømt ud fra følgende kriterier: Egne erfaringer, som giver den bedste førstehåndsforståelse af problemstillingen, eventuelle problemer man skal være opmærksom på. Ciscos ICND og CCNA er certificeringsmateriale, som foreskriver netværksstrukturen, logisk topologi, redundans m.m. Folketingets vedtagelse af beslutningsforslag B 103 (fra 2. juni 2006). Dette omhandlede Forslag til folketingsbeslutning om anvendelse af åbne standarder for software i det offentlige. 6. Det egentlige forslag gik ud på, at staten skulle indføre åbne standarder 7 pr. 1. januar Med i beslutningsforslaget blev inkluderet DS Primo 2010 besluttede regeringen, af staten skulle overgå fra DS 484, til ISO , når dennes revision er færdig. Da overgangen endnu ikke har fundet sted, er vurderingerne af, om netværkssikkerhed, it-miljøer og processer baseret på, hvad DS 484 foreskriver. 6 Folketingets beslutnings-forslag B 103 fra samling DS 484 er en dansk standard for informationssikkerhed 9 ISO er en international standard for informationssikkerhed

11 Anvendte processer 11 3 Anvendte processer 3.1 Information Technology Infrastructure Library Information Technology Infrastructure Library (ITIL) 10 blev udviklet i 1980 erne og har været verdensomspændende siden 1990 erne. ITIL er et værktøj, som beskriver de optimale fremgangsmåder til at levere kvalitetsservice inden for den brede vifte af områder, som informationsteknologi dækker. ITIL inddrager selve forretningsstrukturen og alle faglige færdigheder hos en it-organisation, ved at have et udførligt sæt management-procedurer til at kontrollere alle it-mæssige arbejdsopgaver i forretningen. Denne management-metode har ikke set andet end fremgang siden dets grundlæggelse i 1980 erne grundet den stigende digitalisering af virksomheder og statslige organer. ITIL har sine fordele ved at være alsidig inden for alle aspekter af it, her i blandt brugersupport, problemløsninger og grundet ændringer, som vil blive uddybet senere i dette kapitel. Ud over det organisatoriske aspekt giver ITIL en fælles grænseflade, som igen sikrer kvaliteten uanset om der kommunikeres internt eller eksternt i form af en tredjepartsleverandør. Hos E&S er der forskellige tilgange og prioriteringer i forhold til implementering af samt den daglige drift og vedligeholdelse af systemer. Via mit arbejde har jeg erfaret, at der ved implementering af store systemer til drift bliver der anvendt både Change Management og Requests For Changes, hvilket er særdeles positivt. Problematikken ligger her et andet sted nemlig ved den daglige vedligeholdelse af systemerne. Med udgangspunkt i mit daglige arbejde ønsker jeg i nedenstående afsnit at skitsere de problemer, jeg er stødt på i forbindelse med den manglede og ikke konsekvente brug af CM og RFC. Begge begreber defineres i nedenstående Change Management Change management (CM) er en proces, der sikrer standardiserede metoder og procedurer for en effektiv og hurtig behandling af alle ændringer (changes) 11. Det kan for eksempel være ændring af kildekode, udskiftning eller ændring af hard- eller software-moduler eller i forbindelse med opdatering af servere eller arbejdsstationer. Management-processen sikrer strukturerede og planlagte dag-til-dag aktiviteter i organisationen. En vigtig del af Change Management er Request for Change (RFC) 12, en proces som anvendes til at sørge for, at ændringer i systemerne eller infrastrukturen bliver udført på forsvarlig vis og i overensstemmelse med forretningens arbejdsprocesser og tidsplaner. Figur 1 13 giver et overbliksbillede af Change Managements rolle i udvikling af systemer. Registration and Classification Approval Authorisation and Implementation Evaluation Change Management Monitoring and Planning Building Testing Implementation Figur 1: Change Managements rolle i udvikling af systemer 10 What is ITIL Best Practice for Service Support kap 8.1 Goal of Change Management 12 Best Practice for Service Support kap Requests for Change 13 Best Practive for Service Support figur 8.1, s. 166

12 Anvendte processer 12 Hvis man ikke anvender RFC er, kan man i værste fald komme ud for, at systemer bliver taget ned ved vedligeholdelse eller opdateringer af et af virksomhedens kritiske forretningstidspunkter. I relation til E&S kan et kritiske forretningstidspunkt fx være, når afleveringsfristen for årsregnskaber nærmer sig. På grund af statens digitaliseringsstrategi 14 skal alle regnskaber scannes og journaliseres og skaber derved et stort pres på E&S Elektroniske sags- og dokumenthåndteringssystem (ESDH) i form af store natlige batch-jobs. Hvis dette blev afbrudt på grund af et servicevindue, vil dette betyde, at regnskaber afleveret til tiden, måske ikke vil blive registreret og derved udløse en rykkerskrivelse til virksomheden og medføre en mulig tvangsopløsning. Et andet scenarie kan være, at man ved opgradering af et system fra pre-prod til prod, kan risikere, at systemet melder fejl eller ikke er funktionelt, da et afhængigt system også er blevet pillet ned for vedligeholdelse. Derfor er det vigtigt at inkorporere RFC-processer i virksomhedens daglige drift. RFC-processerne består basalt set af en blanket, som indeholder et fortløbende change ID, navn på RFC, hvad der ønskes udført, hvornår, kontaktperson, en detaljeret plan over udførelse samt en back-out-plan i tilfælde af at implementeringen fejler og hvordan man reetablerer systemet. Ved oprettelse af en RFC-proces er det Change Manageren 15 der skal undersøge, hvilke risici man løber ved at udføre RFC en. Configuration management databasen (CMDB) skal undersøges for afhængigheder, Change Manageren kontakter eventuelle andre systemforvaltere som kunne blive involveret i RFC en. Her tages RFC en op med et Change Advisory Board (CAB). CAB er et udvalg, som omfatter CM eren, konsulenter fra evt. eksterne leverandører, systemadministratorer, netværkskonsulenter, afdelingslederen samt repræsentanter for de dele af forretningen, som ændringen vedrører. CAB har derved al den fornødne viden til at beslutte, om RFC en skal vedtages. Vedtages RFC en vil den være gældende, hvorved ændringen skal udføres som beskrevet, den dag den ønskes gennemført. Herved bliver forretningen adviseret tidsnok til at de kan planlægge uden om nedetiden, eller hvis forretningen der ønsker RFC en udført, stille personale til rådighed for at sikre systemets funktionalitet er korrekt før under og efter RFC en Configuration Management En anden gren af ITIL er Configuration Management 16, det har til formål at identificere, kontrollere og vedligeholde Configuration Items (CI). En CI er et objekt som via attributter beskriver en del af itinfrastrukturen eller en service. Følgende eksempel er attributter 17 som jeg mener, er relevante i en CI for E&S. Attribut CI Navn Serienummer Type Version Lokalitet Forvalter Leverandør Licens Beskrivelse Det unikke navn som beskriver CI Serienummeret på software eller hardware Kategori som CI en, hardware, software, server etc er Hvilken version CI en er Hvor CI en befinder sig, fx krydsfelt J, websrv01 etc. Den ansvarlige for CI en Hvor CI en er købt/udviklet, internt eller ekstern leverandør Licensnøgle eller faktura på licensen 14 (ISBN: ) 15 Best Practive for Service Support kap Roles ans responsibilites 16 Best Practive for Service Support kap 7 Configuration Management 17 Best Practive for Service Support Annex 7C: Suggested CI attributes s. 164

13 Anvendte processer 13 Status RCF-ID Hvad status på CI en er, fx et system kan være i test, prod eller lukket ID på alle RFC s som påvirker denne CI. Personen som er ansvarlig for Configuration Management, er altså ansvarlig for at identificere alle CI s som er en del af infrastrukturen, navngive dem, sørge for attributterne bliver korrekt udfyldt og derefter indsætte dem i en Configuration Management Database (CMDB). Denne database skal anvendes som et vidensarkiv, således at fx versioner, kontaktpersoner og ansvarlige kan findes heri, jf. ovenstående eksempel. CMDB en er en vigtig kilde og skal altid holdes opdateret, da det er et vigtig værktøj at have ved udførelse af ændringer, fejlsøgning af applikationer eller vurdering af opdatering eller opgradering af CI er. CMDB en er en vital del af ITIL Service Support-delen og skal være konsistent og altid opdateret, således at folk anser den som troværdig. Ikke kun Change Management er afhængig af den. Afdelinger der håndterer support og it-sikkerhed, vil med fordel også kunne anvende den. De sikkerhedsansvarlige kan hurtigt slå op i den, hvis en sårbarhed i en bestemt version af en bestemt applikation offentliggøres. Således kan CMDB en give svar på en lang række spørgsmål, fx har vi den installeret?, hvor mange systemer/pc er er berørt?, skal applikationen patches, opgraderes eller skal en workaround iværksættes grundet afhængigheder af denne bestemte version af applikationen?. Alt dette kan ses i en detaljeret og altid opdateret CMDB. 3.2 Teoretisk korrekte processer For at kunne vurdere E&S tilgang til Change Management ønsker jeg her at skitsere den af ITIL definerede basale Change Management procedure 18 : Change initiators opretter en RFC og afleverer den til Change Manager. Her bliver RFC en enten afvist og sendt tilbage til Change Initiators med forklaring på afvisning, eller godkendt. Afvisning kan skyldtes, at det ønskede tidspunkt ikke kan godkendes, da der kan være for store risici ved udførelsen. Ved godkendelse underretter Change Manager Configuration Manager om modtagelsen af RFC en og Configuration Manageren kan så føre til log, at en RFC er tilknyttet en CI. Change Manager allokerer en først vurderet prioritet. Hvis denne har en hasteprioritet vil den blive tilpasset en Urgent Procedure, en proces som er betydelig mere tidsbesparende, med det trade-off, at der tages minde hensyn men dermed også er flere risici. Ved normalprioritet beslutter Change Manager hvilken model der skal anvendes, afhængigt af RFC ens størrelse. Valget af model definerer, om han selv kan autorisere og planlægge RFC en, eller om CAB skal inddrages til at tage beslutningen, lave planlægningen og stå for udførselen af RFC en. CAB bekræfter så RFC ens udførelse. CAB s drøftelse at RFC en kan være iterativ, som det ses på figur 2, række 7. Configuration Manager bliver underrettet om planerne og om RFC en er godkendt, og opdaterer logs derefter og udsender en plan, så forretningen kan vurdere systemtilgængelighed. Ved godkendelse af RFC fra CAB, noteres godkendelsen af Configuration Manager. Change Builder modtager nu RFC en og udtænker en plan for implementering, afprøvning og back-out. En Independent Test afprøver ændringen. Hvis den fejler, vil den blive sendt tilbage til Change Builderen og ellers vil Change Manageren få grønt lys til endelig koordinering af RFC en. Configuration Manager sørger under dette forløb for at opdatere log med hvilke fremskridt der er sket, og underretter brugere som måtte være berørt af RFC en. Ved fejlslagen udførelse af RFC vil Change Builder være ansvarlig for at implementere back-out-planen og underrette Configuration Manager, hvis RFC en er succesfuld noteres dette ligeledes af Configuration Manager og efter et givent tidspunkt vil Change Manage- 18 Best Practive for Service Support kap 8.3 Basic Concepts

14 Anvendte processer 14 ren bedømme forløbet. Hvis det her konkluderes at RFC en alligevel ikke var succesfuld, underrettes Change Initiators og forløbet genstartes, Configuration Manager associerer eventuelle nye RFC s med den ikke succesfulde RFC. Ved en gennemført succes lukkes RFC en. Figur 2 og 3 beskriver visuelt hvordan det teoretiske forløb er for en RFC.

15 Anvendte processer 15 Change Initiators Reject Change Manager * Filters Requests Configuration Manager * Initial Logging of RFC Accept Change Manager * Allocates inital priority Configuration Manager * Updates log Urgent YES Urgent Procedures NO Change Manager * Decides categpru and/or use of standard model Minor Significant Major Change Manager * Authorises and Schedule Changes. Reports actions to CAB Change Manager * Circulates RFC s to CAB members eg Board * Passes approved Changes to CAB for actioning CAB Mebers * Estimate impact and resources, confirm agreement to Change, confirm priority, Schedule Changes May be iterative Configuration Manager * Updates log, Issues forward Schedules NO Authorised Configuration Manager * Updates log YES To fig XXX Figur 2 Basic Change Management procedures part Best Practive for Service Support figur 8.3a, s. 171

16 Anvendte processer 16 Figur 3 Basic Change Management procedures part Best Practive for Service Support figur 8.3b, s. 172

17 Anvendte processer Nuværende proces ved ændringer hos E&S I E&S er anvendelsen af ITIL i relation til udførelsen af ændringer ikke fuldt ud konsekvent. Der er flere personer som bærer rollen som Change Manager rollen - og på bedste vis. De RFC er som ankommer, bliver på så godt som muligt bedømt og valideret hos chefer og af forretningen. Dog mangler der en eller flere personer til at varetage Configuration Management rollen, og manglen på denne har resulteret i en meget overordnet CMDB, hvor CI er mere eller mindre står der, fordi ITIL siger de skal og ikke fordi de er vurderet som mest anvendelige for pågældende procedure. CAB en eksisterer i en meget basal grundform, og er ikke en egentlig entitet i organisationen, men mere en konstitueret gruppe, indeholdende de personer som RFC implicerer. Måden hvorved nuværende RFC er bliver gennemført hos E&S, er efter mine erfaringer meget tilfældige og afhængig af, hvem der ønsker ændringen udført, samt hvilken tekniske indsigt de har. Som netværksadministrator bistår jeg ved mange ændringer og implementeringer af systemer, både i udviklingsøjemed og ved idriftsættelse af live produktionssystemer. Oftest ser jeg slet ingen RFC anvendt ved netværksændringer, hvilket ofte gør, at jeg først har overblik over min rolle få dage før eller samme dag, som ændringen planmæssigt skal gennemføres. Grundet manglen på en egentlig RFC, får jeg via mail mine instrukser fremsendt, som dog oftest er meget korte og udetaljerede. Hos E&S har vi systemer hostet hos eksterne leverandører. Problematikken der kan opstå ud fra ovenstående er, at jeg kan risikere, at jeg først samme dag som ændringen skal finde sted, får besked på at oprette en sag om ændring af netværk hos leverandøren. Problematikken er her, at man dog ikke kan være sikker på, at en ekstern leverandør gennemfører ændringen på det ønskede tidspunkt, og man kan derved risikere, at ændringen laves for sent og påvirker forretningens drift, som skitseret i afsnit Ud fra ovenstående problematik kan man fx hos E&S risikere, at den manglende tekniske indsigt hos fx projektledere, kan resultere i, at de ønsker en åbning firewallen uden at vide hvad der egentligt ønskes eller risikerer, ved udførelsen af det ønske. Et eksempel; en projektleder skal have åbnet for en adgang fra en udviklings-dmz Apache-server og ind til en back-end-server på vores produktionsnetværk. Projektlederen er ikke lige klar over hvilken protokol eller porte, det drejer sig om, men det skal være så hurtigt som muligt, så derfor skal der åbnes for al IP-trafik mellem de to. Det nægtes fra it-driftsafdelingens side først at udføre ændringen uden en chefgodkendelse, som dog kommer få timer senere. Den ønskede ændring udføres, uden at det oplyses, hvor længe forbindelsen er krævet, da den oprette adgang ikke burde være permanent. Denne forbindelse er nu, efter seks måneder, stadig aktiv. Fuldt ud konkretiserede RFC s ses dog hos E&S, og bliver på bedste vis bragt frem som et rigtig godt eksempel og retningslinje for andre som anvender Change Management. Den anvendte RFC-blanket ses i bilag A. 3.4 Kritik af nuværende processer Ud fra ovenstående skitserede problematik kan det sandsynliggøres, at den måde E&S anvender Change Management på, ikke bruges konsekvent ved den daglige vedligeholdelse og drift af systemer. Problemet opstår, når det bliver lettere lige at bede en person om at udføre en ændring, i stedet for at udfylde en RFC. Da bliver det netop sidstnævnte metode medarbejderne tyr til, hvorved ændringer ikke bliver dokumenteret eller risikovuderet. Processen må derfor være for bureaukratisk, og medarbejdere må anse dem for besværlige, for indviklede eller tidskrævende, siden denne ikke-optimale metode anvendes i stedet.

18 Anvendte processer 18 På grund af den manglende Configuration Management og derved den manglende proces i at vedligeholde CI er, forbliver dokumentationen uskrevet og man risikerer, at viden forsvinder, når en medarbejder stopper. Den manglende brug af CI er forhindrer et overblik over konfiguration og versioner. Netop i mit daglige arbejde hos E&S har jeg erfaret, at viden om hvilke versioner man arbejder med, er særligt vigtig i forhold til at holde systemerne fuldt opdaterede. Når man holder processen med RFC op imod den manglende Configuration Management, så giver det et billede af en større samling af hurtige og udokumenterede ad-hoc opgaver. Min vurdering er, at man, som netop skitseret i forhold til implementering af de store systemer, bør se nærmere på de processer der anvendes her, og på hvorfor og hvordan de anvendes og skaber succes og korrekte resultater. I artiklen fra Børsens Ledelseshåndbog, Når midlertidige standardindstillinger bliver permanente af Warren Platt nævner han, at tidspres er den største årsag til nedbrud eller systemkompromittering. En situation som er baseret på faktiske begivenheder er nævnt i artiklen: En stor virksomhed, lad os kalde det Firma X, er ved at flytte fra et sted til et nyt større sted. Og fordi virksomheden ikke har de nødvendige ressourcer til at gennemføre den enorme opgave alene, hyrer de et eksternt konsulentfirma. På det tidspunkt hvor en underskrevet kontrakt kommer på plads, bestiller Firma X netværksudstyr fra en forhandler med en leveringstid på 6-8 uger. Deadlinen for flytningen til de nye kontorer er 10 uger, hvilket kun giver Firma X 2 uger til at planlægge, installere og konfigurere alt netværksudstyret. Forsendelsesforsinkelser gør, at Firma X til sidst kun har 5 hverdage til at installere og konfigurere netværkskomponenterne. I sit hastværk med at implementere en arbejdsløsning installerer Firma X netværksudstyret med standard brugernavne og adgangskoder, og firmaet implementerer også netværksudstyret med et operativsystem, som senere viser sig at være alvorlig sårbart sikkerhedsmæssigt. 21 Eksemplet omhandler et firmas flytning til større lokaler, men man kan drage tydelige analogier over til, hvorledes it-udviklingsafdelingen og it-driftsafdelingen hos E&S samarbejder. Deadlinen for flytningen er idriftsættelse af et system, leveringstiden er tiden anvendt til udvikling, og når de så står med varen i hånden, finder man fejl og mangler. It-driftsafdelingen står så med den korte tid til at konfigurere og klargøre det ønskede miljø, og som før nævnt kan der være en blackbox, og det skal kortlægges grundet manglende dokumentation. Sårbarhederne som kommer fra tidspres underbygges yderligere i Verizons 2008 Data Breach Investigatios Report, en rapport som samler og analyserer data fra mere end 500 sager omhandlende sikkerhedbrud. På side 14 i deres rapport nævnes de mest bidragende faktorer til systemkompromittering. 21 Når midlertidige standardindstillinger bliver permanente side 1

19 Anvendte processer 19 Figur 4: De mest bidragende faktorer til systemkompromittering I fig. 5. har Verizon lavet et uddrag over hvilke kategorier som er de største grunde til sikkerhedsbrud, og man ser, at Error er delt op i en fuldfarvet bjælke på 3 % og en semi-transperant bjælke på 62 %. De 3 % henviser til de fejl som direkte ledte til databruddet, de 62 % henviser til fejl, som var væsentligste grunde til at systemet blev kompromitteret. De 62 % opdeler de yderligere i underkategorier, hvor man ser, at de to største grunde er forkerte konfigurationer og forglemmelser eller undladelser. Figur 5 Breakdown of Errors 3.5 Optimal proces Den optimale måde at anvende ITIL i Erhvervs- & Selskabsstyrelsen ville være at opskalere brugen af Configuration Management, og heraf opbygge en mere anvendelig CMDB. Samtidig er det essentielt at retningslinjerne for brugen af RFC genopfriskes, og man skal samtidig forsøge at finde grundene til, at folk undlader at bruge den. For eksempel kunne man etablere en fokusgruppe eller spørgeskema hos E&S som forsøger at opklare, hvor RFC undlades. Den skitserede teoretisk korrekte proces ved brugen af Change Management vil i forhold til E&S interne procedurer være for tung, idet afdelingen ikke har resurserne til et fuldt bemandet Change Management hold. Dette vil ligeledes være tilfældet ved anvendelsen af et CAB, som

20 Anvendte processer 20 altså derfor også vil være overflødig. I stedet vil det være anbefalelsesværdigt at inddrage Itdriftsafdelingen tidligere i udviklingsprocessen. På den måde vil man allerede inden systemet nærmer sig en pre-prod status, kunne have opnået enighed om, hvad der kræves af miljø, server-resurser og netværk. Idet at antallet af RFC er ikke er overvældende, ville man kunne kombinere Change- og Configuration Manager-rollen, her defineret som en C&C Manager. Når E&S interne procedurer tages med i overvejelserne om den optimale proces, vil jeg argumentere for, at dele af både processen og subprocessen med at finde passende model og derved bestemme hvor meget CAB skal indblandes, kan fjernes. Idet man allerede inden igangsættelsen af disse processer har diskuteret og nået frem til enighed om infrastrukturen, har Change Manageren, sammen med eventuelle andre RFC ere, de informationer der er nødvendige for RFC s godkendelse. Hvis der er to RFC er som ønskes eksekveret samme dag og omhandler systemer, som er afhængige af hinanden, vil den RFC med højeste prioritet blive godkendt. CAB s mulighed for helt at afvise en RFC behøves ikke, hvis der, som nævnt tidligere, er opnået enighed om systemets opbygning, så det kun er den ønskede dato, der kan være skyld i en afvisning. Der er derfor ingen grund til at starte forfra ved Change Initiators, men i stedet blot finde en ny dato, og om nødvendigt hæve prioriteten så den ikke konstant bliver udskudt. Brugen af Change Builder s fase vedrørende planlægning, afprøvning og back-out ville kunne også undlades, da RFC en allerede indeholder beskrivelsen af implementering, afprøvning og back-out-plan. Change Builder vil være systemforvalteren, som har ønsket RFC en, og ud over det vil det ikke være Change Manageren, som koordinerer implementeringen, men i stedet Change Builderen. Ved udførelse af en RFC skal succeskriterierne nås inden en given deadline. Hvis deadline nås med et usuccesfuldt system, udføres back-out planen. Sideløbende Configuration Management ville også kunne udføres af Change Manageren. Den detaljerede beskrivelse som logføres efter hvert trin, beskrevet i den teoretiske proces, er overdrevene arbejdstrin. Logføring af RFC en til CI en og resultatet af RFC en er tilstrækkelig.

21 Anvendte processer 21 Change Initiators Reject C&C Manager * Receives Requests, (Re)Negociates priority C&C Manager * Initial Logging of RFC Accept Urgent YES Urgent Procedures NO C&C Manager * Estimate impact and system dependencies, Confirms Schedule NO Authorised Failure YES Change Builder * Coordinates Change Independent Test * Tests Change C&C Manager * Updates log, Informs Users Deadline Working NO Change Builder * Coordinate Back-out plans C&C Manager * Updates log, Informs Users YES Elapsed Time Elapsed Time C&C Manager * Change review Success NO To Start C&C Manager * Updates log, associates any new RFC with old one YES Closed C&C Manager * Closes RFC in log Figur 6 Egen vurderede optimale E&S RFC procedure

22 Anvendte processer Ansvarsplacering Placering af ansvar for systemer har været svært i E&S, der er ikke nogen retningslinjer over systemoverlevering. Dette kan være årsagen til ufuldstændig eller manglende dokumentation, som besværliggør administration, vedligeholdelse og fejlsøgning af systemer. Center for IT har være igennem en organisatorisk omstrukturering; før havde it-udviklings- og driftsafdelingen ikke nogen chef som optrådte på lige fod med chefen for hele centeret. Det vil sige, at afdelingslederne meldte til centerchefen, og centerchefen var kontakten til ledelsen og andre centerchefer. Centeret er nu blevet opdelt, således at begge afdelinger har en chef, som er ligestillede og deltager i ledelses- og chefmøder. Dette betyder, at chefen for driftsafdelingen nu alene kan koncentrere sig om infrastruktur og systemer. Herved er ansvarsplaceringen også placeret direkte på nærmeste leder. Derved kan pågældende hurtigere besvare spørgsmål om systemer, nedbrud og status på servere, og være bedre til at argumentere for indkøb af applikationer eller hardware.

23 Anvendte processer Delkonklusion I E&S er ITIL implementeret. Det anvendes og der er noteret fordele ved brugen - dog mest i form af melding af hændelser fra brugerne til support-afdelingen. Den manglende CAB eller samarbejde med itdriftsafdelingen under systemudvikling, samt de konsistente CMBD gør, at anvendelsen af Change Management er implementeret som et værktøj, der kan fravælges. Dette medfører, at ændringer og nye systemers dokumenterede infrastruktur findes i meget ringe grad eller slet ikke. Den manglende dokumentation gør det svære at drifte og fejlsøge et system, idet afhængigheder, netværk, systemkrav og serverkonfiguration er en blackbox, og forsøg på udbedringer bliver meget mere tidskrævende, samt et gætværk fra it-driftsafdelingens side. Den manglende inddragelse af it-driftsafdelingen i udviklingsprojekter medfører oftest problemer, når et system nærmer sig eller skifter status. Projektlederen tager ikke forbehold for eventuelle problemer forbundet med driftsmæssige hindringer. En hindring i firewall-tilladelser og konfiguration er skyld i, at udviklingen, afprøvningen eller endda prod-implementering fejler. Da E&S er travlt beskæftiget med at deltage i den store statslig digitaliseringsplan, medfører det travlhed og minimal tid til fejlmarginer. Manglen på tid til at fejlsøge, kortlægge og udbedre netværksfejl medfører, at jeg er nødt til at lave midlertidige løsninger. Et andet scenarie er, hvis vi skal stille en web-, database- eller ftp-server til rådighed og tidspresset, skabt af førstnævnte, hindrer os i at implementere løsninger fuldstændigt. Disse ufuldstændige løsninger løser på kort sigt problemet, men er i det lange løb en sikkerhedsrisici. Disse sikkerhedsrisici kan netop ses hos E&S, som i efteråret 2010 fik foretaget en penetrationstest af itsikkerhedsfirmaet Fort Consult 22. De fik udleveret 40 IP-adresser, som vi fandt interessante at teste. Resultatet af testen viste blandt andet, at en front-end Apache-server havde et standard administrator-password og brugernavn. Denne opsætning gav adgang til et web-administrationsmodul, og gav mulighed for at oploade egne ondsindede webservices. Derudover fandt de 10 andre sårbarheder, som skyldtes forældet software. Sårbarhederne var fordelt på 5 yderligere web-servere med Apache 4 og en Windows 2000 server med Internet Information Server 5. Disse services er ikke blevet holdt ved lige, blandt andet grundet tidsmangel og illustrerer derfor ovenstående eksempel ganske godt. Idet RFC er valgfri, Configuration Management er utilstrækkelig, it-driftsafdelingen ikke bliver inddraget i udvikling og der er en manglende teknisk indsigt fra it-udviklingsafdelingen, kan det konkluderes, at E&S statistisk set er meget udsatte for kompromittering og derved kan risikere datanedbrud, -tab eller -tyveri. Omstruktureringen af Center for IT vil kunne mærkes fremover, da den nye ledelse hurtigere vil kunne tage ansvar og gennemfører ændringer i It-drift-regi. Dette skyldes igen, at chefen kun vil have ansvar for driftsafdelingen og derfor mulighed for bedre at have den nødvendige teknisk indsigt. Ansvarsplaceringen hos den enkelte chef inden for drift og infrastruktur giver muligheder for at få bedre retningslinjer og procedurer. 22 Se bilag 16 for uddrag af rapporten

24 E&S it-miljø 24 4 E&S it-miljø Miljøerne er det, som indeholder de servere, som bærer web-servere, -applikationer og -services. Systemer bliver her implementeret med et Request for Change, og er afhængige af korrekt netværksopsætning. Denne del kan kaldes resultatet af it-udviklingsafdelingens implementering af systemer og driftsafdelingens opsætning af infrastruktur, herunder netværk. Her er systemerne aktive og farlige hvis ikke de er opdaterede eller har for tilgængeligt et netværk. 4.1 Eksisterende miljø Virtualisering Det nuværende miljø i Erhvervs- & Selskabsstyrelsen består af en server-park på over 200 virtuelle servere. Ved siden af det, eksisterer der 15 fysiske servere. Alle netværk-switche, firewalls og VPN-koncentratorer er af mærket Cisco Systems. E&S har de sidste fire år gennemgået en kraftig virtualiseringsplan, hvor over 100 fysiske servere er blevet virtualiseret. 75 % af de fysiske servere stod primært i 3. sals server-rum. Efter virtualiseringsplanen trådte i kraft, blev der investeret i nye blade-servere til at bære VMWares ESXi 23 -styresystem. Blade-serverne blev fordelt 50/50 i to enclosures på hhv. 3. og 4. Sal. Til at styre det virtuelle miljø anvendes VMWares vsphere 24. VCenteret sørger for at styre migrering af virtuelle maskiner mellem hosts for at sikre highavailability 25. Denne metode sikrer højst mulige oppetid for systemer. En metode kan være at hindre servere som bærer services, som har afhængigheder af hinanden, at køre på samme host-server. Til storage anvender E&S et Storage Area Network (SAN) 26. Dette anvendes til al opbevaring af virtuelle maskiner og diske. SAN et er spejlet, således det befinder sig i både 3. og 4. sals server-rum med endnu en remote spejling hos Erhvervs- & Økonomiministeriets Departement. Replikeringen dertil er dog større end spejlingen mellem de to server-rum. I øjeblikket arbejdes der på at lave en proof-of-concept på endnu to af VMWares-produkter; View 27, som er VMWares VDI applikation, og ThinApp 28, som anvendes til virtualisering af applikationer. Målet med dette er at implementere View og Thinapp på zero clients 29 som erstatning for almindelige workstations Workstations & Applikationer Der findes adskillelige Windows-versioner på de servere der anvendes i E&S, her i blandt Windows 2000, Windows 2003 og enkelte Windows En standard workstation som anvendes af husets brugere kører Windows XP og der er på sigt planer om at opgradere til Windows 7. Opgraderingen til Windows 7 på alle workstations er hindret af MiDoc-klienten, idet den er bygget til Explorer, som under Windows 7 er fuld- 23 VMWare ESXi VMWare vsphere High-availability Storage Area Network VMware View VMware ThinApp Thin Client -

25 E&S it-miljø 25 stændig revideret. Microsoft Office XP samt ESDH systemet Documentum er de primære værktøjer for husets brugere, men der arbejdes i øjeblikket på en opgraderingsplan, da det hindrer en opgradering af Microsoft Exchange fra 2003 til Der er ikke nogen proces for regelmæssig opdatering af hverken servere eller workstations. Grundet brandslukning af gamle systemer, er ressourcerne ikke til det. Mange af de mest anvendte services og applikationer, herunder Office-pakken, ESDH-system og Exchange er af ældre dato. Da mange af dem er specielt skræddersyet til E&S, mangler opdateringsplaner og har en ringe dokumentation, har ESDH-systemet vokset sig til en stor blackbox. Ingen ved præcis hvordan nogle applikationer vil køre eller hvordan opføre sig, hvis nu Windows opdateres. Office XP er ikke opdateret grundet endnu en skræddersyet applikation kaldet MiDoc. Den implementerer dokumenthåndtering mellem ESDH og Office. Da E&S påbegyndte en Exchange-opdatering fandt man ud af, at det ikke understøttede Office XP Produktions-, test-, og udviklingsmiljøer E&S har selv miljø til at udvikle, teste og drifte systemer. Den principielle opbygning er opdelt i LAN-prod, DMZ-prod, LAN-udvikling og DMZ-udvikling. LAN-prod omfatter servere, workstations og printere, mens DMZ-prod indeholder alle front-end-servere. LAN-udviklingsskyen omfatter miljøer til infrastruktur, udvikling (DEV), test, preprod og DMZ. Systemer under udvikling skal starte i DEV, flyttes over i test når funktionaliteten afprøves og til sidst over i preprod før endelig deployment. Dette er dog kun E&S principielle opbygning, da det er meget sjældent, at systemerne vandrer den korrekte rute igennem DEV, test og preprod, før de placeres i LAN-prod. Under mit praktikforløb har jeg flere gange måtte tillade data mellem LAN-udvikling og LAN-prod, endda fra front-end-servere i DMZ-udvikling til back-end-servere på LAN-prod. Dette kan skabe farlige situationer, da applikationerne ikke er testet færdigt, og derfor kan skabe sikkerhedshuller i systemet og give udefrakommende adgang til andre systemer. I bilag F ses en grafik repræsentation af miljøerne. 4.2 Vurdering af eksisterende miljø Virtualisering Virtualiseringen af det fysiske miljø har medført store forbedringer, da service på virtuelle maskiner koster færre arbejdstimer. Fysiske nedbrud på servere har ikke nær samme betydning; hvis en server fejlede på grund af diskfejl, ram, PSU skulle det først findes, indkøbes og leveres til E&S, hvis ikke delene var hjemme. Dette ville medføre et system, som ikke ville være tilgængeligt, før dette var bragt i orden igen. Det betyder også, at operativsystemet kunne fejle ved opstart, eller at applikationen som kørte, ikke initialiserede korrekt på grund af afhængigheder til andre. Hvis en host som bærer adskillige virtuelle maskiner, fejler, vil vcenter med det samme begynde at starte de indbefattede servere op på en anden host. Denne funktion eliminerer eventuelle flaskehalse, som der ville være på hardware-siden med henblik på minimering af nede tid. Projektet med at virtualisere yderligere med View og Thinapp er også et skridt i den rigtige retning, da man med dette opnår færre timer til brugersupport og fejlfinding på workstations. Sikkerhedsmæssigt er det også en fremgang, da man med Virtual Desktop Infrastructure opnår yderligere sikkerhed idet ingen reel

26 E&S it-miljø 26 data, men kun selve grafikken og input, bliver overført fra brugernes workstation til E&S systemer. VDI vil altså skabe en transparentkugle, hvor brugere kan se deres desktop og arbejde på den, men med større sikkerhed idet eventuel virus ikke kan vandre fra workstations til datacenter og servere Workstations & Applikationer Mulighederne for at opgradere styresystemerne og det underliggende software er alt for afhængigt af ét systems uforenelighed. Som nævnt før så ønsker forretningen at få E&S systemer opdateret og mere driftssikre, for eksempel med opgraderingen af Exchange. Exchange kan ikke umiddelbart opgraderes, da E&S som standard anvender Microsoft Office XP og dennes version af Outlook er ikke kompatibel med Exchange Vi kan ikke umiddelbart opgradere fra Microsoft Office XP til 2010 da MiDoc-klienten er skræddersyet til Office XP. At opgraderingen til Windows 7 også kuldsejler på grund af MiDoc, er ikke optimalt. En applikation som E&S har fået skræddersyet, burde være fuldt dokumenteret, og endda have adgangn til kildekoden. Hvis det havde været bragt i orden ville det have sparet resurser ved fejlsøgning eller hvis E&S en dag skulle skifte leverandør Produktions-, test-, og udviklingsmiljøer Den manglende brug af udviklingsmiljøerne er efter min mening ikke tilfredsstillende. At blande applikationer under udvikling med produktion er risikabel af flere årsager; Et system under udvikling kan aldrig kontrolleres 100% - det er derfor man opdeler det. En DMZ skal opfattes som Det vilde vesten ; det er her verden udenfor har adgang til dine systemer, og det skal derfor være så sikkert som muligt. At åbne for en front-end-server på DMZ-udvikling mod LAN-prod anser jeg som meget risikabelt. Hvis systemet under udvikling ikke opfører sig som ønsket, eller indeholder exploits som kan give adgang videre, kan det betyde datatab eller kopiering af produktionsdata. Hele udviklingsmiljøet er virtualiseret og giver derfor en perfekt mulighed for at udnytte det efter forskrifterne. Selv om en udviklings-server skal testes med data fra en konsistent database, så mener jeg ikke, at man bare giver den adgang til en produktionsdatabse. Systemet der afprøves, kan ikke garanteres fejlfri, og det er derfor usikkert hvilke ændringer det ville foretage i en produktionsdatabase. 4.3 Optimal opsætning og udnyttelse af et miljø Virtualisering Der findes ingen almindelige workstations hos E&S, kun zero clients, og ingen bærbare computere da ansatte nu kan bruge deres egen private computer til at tilgå systemerne. Der kan ud af dette også opnås en besparelse i form af mindre strømforbrug, da en zero client bliver forsynet via Power-over-ethernet og skal derfor kun drive netværk og skærm. Alle servere og workstations bliver regelmæssigt opdateret. Det indebærer, at der skal sættes en person og resurser af til at læse op på opdateringerne, installere dem i et testmiljø og lade testmiljøet køre med de ordinære applikationer og den belastning, som produktionsmiljøet kører. Hvis der forekommer fejl grundet opdateringerne, skal der fejlsøges på dette. Hvis en løsning ikke er at finde, må man revurdere vægten af

27 E&S it-miljø 27 opdateringen der fejler, og finde en workaround eller alternativ patching i tilfælde af, at opdateringen er af kritisk sikkerhedsmæssig betydning Workstations & applikationer For at kunne optimere miljøet hos E&S undgår man ikke en komplet opdatering ESDH-systemerne. Om det nuværende Documentum-system skal opgraderes, eller om der skal implementeres et helt nyt system, kan kun vurderes efter en udbudsrunde. Min nuværende vurdering ville være at opgradere systemet, da der nok vil være meget mindre arbejde med at konvertere adskillige terabytes til et nyt system. Når systemet er opgraderet eller udskiftet, vil det være muligt at opdatere eller finde et alternativ til MiDoc. Når MiDoc problematikken er løst, kan der opdateres til den Office 2010-pakken sammen med Windows 7. Med Office 2010 installeret, vil Outlook nu Exchange 2010 være en del af softwarepakken, som bliver understøttet af Exchange Dette ville sikre større funktionalitet og bedre performance, da Exchange 2010 giver mulighed for clustering og derved øget sikkerhed. Clusteringen gør det muligt at placere én mail-server i DMZ og én på LAN, og de ville stadig fungere som ét mail system. DMZ vil tage sig af webmail og mobilmail-forespørgsler. Nu bliver denne trafik udefra kørt direkte ind på den interne mail-server Produktions-, test-, og udviklingsmiljøer Når man taler om produktions-, test- og udviklingsmiljøer, vil den optimale løsning 30 være let at implementere og tage i brug, idet alle miljøerne er sat op og endda er virtuelle. Derved kræves der minimale driftsomkostning til at sætte det ønskede miljø op. Når udviklingen af et system påbegyndes, starter det i LANudvikling under DEV og afhængigt af antallet af iterationer, vil det vandre mellem DEV og Test. Når systemet nærmer sig deployment-fasen, skal det flyttes til Pre-prod. Under hele denne sekvens kan systemet have adgang til produktionsdata ved at deploye en virtuel maskine, som anvender et snapshot af produktionsmaskinen. Alt dette kan gøres uden at skulle flytte servere og trække nye netværkskabler. Det vil kun kræve ændringer i konfigurationen af den enkelte virtuelle maskine som bærer systemet. 4.4 Delkonklusion Overgangen til virtuelle miljøer er en glimrende idé, da nedetid på grund af hardware vil blive minimeret, supporten på brugernes Pc er vil mindskes kraftigt, samtidig med at det er lettere at konfigurere og vedligeholde hhv. DEV, Test, Pre-prod og prod-miljøer og holde dem adskilt. Ud fra vurderingen af det eksisterende miljø hos E&S kan det konkluderes, at flere års misvedligeholdelse af nøgleapplikationer nu koster flere resurser, end dem E&S besidder. Hvis man allerede fra begyndelsen af et projekt tager hensyn til, at der løbende skal foretages opdateringer mm. Så skal der nedsættes en gruppe, som løbende analyserede og vurderede eventuelle opdateringer, og som sørgede for, at systemet var dokumenteret. Så ville man undgå forældede systemer som skabte problemer med hensyn til vedligeholdelse eller udskiftning. Grundet statens digitaliseringsplan har der aldrig før i det offentlige været så meget i fremdrift. At vi som en offentlig institution der er hovedkraften for modernisering af kontakten mellem dansk erhvervsliv og det offentlige, selv kører med mere end 10 år gamle operativsystemer og tekstbehandling uden nogen konkret plan for opdatering af egen infrastruktur, er værd at tage til overvejelse. Derfor 30 DS 484 kapitel Adskillelse mellem udvikling, test og drift

28 E&S it-miljø 28 kan man argumentere stærkt for, at det vil være lønsomt at fremskaffe resurser til at nedsætte en styregruppe, som løbende tager disse overvejelser op og sørger, for at der igangsættes ændringer. Den forkerte udnyttelse af virtuelle miljøer kan i værste fald medføre kompromittering af produktionssystemer. Derfor er det essentielt at retningslinjerne for hvordan systemerne driftes under udvikling, støves af, genopfriskes og genopbygges. Der vil blive en smule mere bureaukrati for at kunne følge den korrekte proces, men alternativet kan argumenteres som endnu mindre ønskværdigt.

29 E&S fysiske netværk 29 5 E&S fysiske netværk For at data kan bevæge sig fra computer A til computer B, skal der være en fysisk forbindelse. Dette kapitel omhandler måden, hvorpå de fysiske forbindelser er ført samt hvordan redundansen er sikret, ved at føre flere forbindelser fra hver netværkskomponent. 5.1 Access switche Access switchene er af modellen Cisco Catalyst 3650, de forbinder brugernes workstations med to ud af E&S tre core switches. De bærer en 100 mbit/s forbindelse via ethernet kabel til workstations, og har to 1 gbit/s forbindelser til core switchene Beskrivelse af nuværende opsætning Erhvervs- & Selskabsstyrelsens domicil er en bygning på seks etager, som er delt op i højre og venstre side. Hver side har et krydsfelt bestående af en eller flere switche. Disse switche håndterer slutnoder, i dette tilfælde brugernes PC ere og IP-telefoner. Switchene er tilsluttet via fiberkabler til to core-switches, som er placeret i server-rum på hhv. 3. og 4. sal. Disse core-switches samler netværk mellem server-rummene, hvori det virtuelle miljø samt de fysiske servere befinder sig. Netværkstopologien består både af et star-network og et partially connected mesh. Star-network findes hvis man betragter den del af netværket som omfatter krydsfelter og slutnoder. I et star-network ser man krydsfelt-switchen som midten af stjernen, og slutnoderne er satellitter, som hver især har én forbindelse til krydsfeltet. Hver workstation har ét kabel trukket ud til krydsfeltet. Figur 7 - Star-network Vedligeholdelse af krydsfeltet sker kun ad-hoc, forstået som at der ikke sker regelmæssig oprydning af fx patchede stik. Det sker, at folk flytter rundt og anvender andre stik i andre lokaler, hvorved det er supportafdelingens opgave at flytte maskinen og patche det nye stik op Vurdering af opsætning Access-switche er forholdsvis enkle og kræver meget lidt vedligeholdelse eller re-konfiguration. DS 484 angiver dog visse forholdsregler: Udstyr skal placeres eller beskyttes så risikoen for skader og uautoriseret Figur 8 - Partially connected mesh adgang minimeres. 31. Så at lade et stik være patchet op uden at have en workstation sat til, vil skabe større mulighed for, at personer kan opnå uautoriseret adgang, da brugere uden tvivl vil kunne medbringe deres egen bærbar og sætte den til netværket. Derfor er det en mangel på vedligeholdelse, jf. DS-484, når der ikke er regelmæssige opsyn med krydsfeltet. Et skridt imod 99 % oppetid kunne være at have to NIC s i alle workstations, som sidder til hver deres krydsfelt. Dette vil dog kræve dobbelt så mange trukne kabler og switche i krydsfelterne. Fortjenesten ved dette ville være for lav i forhold til at brugerne kan anvende en anden computer, eller trække et nyt kabel fra et andet netstik. 31 DS side 42

30 E&S fysiske netværk Optimal opsætning Den optimale opsætning i forhold til E&S er fremsat ud fra, hvad der for E&S har den største cost-benefit, med sikkerhed og tilgængelighed taget i betragtning. For at forhindre tilgængelighed og uautoriseret adgang til krydsfeltet skal der planlægges et regelmæssig tjek af krydsfeltet og dets patchninger. Patchninger af stik der ikke har noget tilsluttet sig, skal fjernes. Der skal sættes retningslinjer for flytninger af maskiner, og hvis et netværksstik efterlades tomt skal det afbrydes fra krydsfeltet. Der bliver i dag taget en backup af alle konfigurationsfiler fra alle access-switche, og disse bliver placeret på en server sammen med konfigurationerne fra firewall og core-switches. Hvis et krydsfelt svigter, skal der være en dokumenteret beredskabsplan for hvorledes det udskiftes. Deri skal beskrives, hvor man finder reserve-switchen, hvor man finder backup-konfigurationen, hvordan man konfigurerer switchen, hvordan den skal sættes op fysisk og hvordan overflytning af kabler skal foregå. På denne måde er man ikke afhængig af, at en kyndig person er på arbejde, og kontakt til ekstern support bliver unødig. 5.2 Backbone & redundans Nuværende opsætning Der er i alt tre core-switche. To af dem, CoreSwitch01 og CoreSwitch02, håndterer alt netværksdata fra krydsfelterne og er placeret i hvert deres server-rum. CoreSwitch03 sidder i samme rack som 01 og sørger for redundans mellem VMWare ESXi-hostene på 3. sal og de enkelte fysiske servere der er tilbage. Bilag E1 viser nuværende opsætning af det fysiske netværk. Ved overgangen fra fysiske til virtuelle servere blev pillet et blade enclosure ned, dette medførte netværks problemer. Problemet opstod i at det var enclosuret som bar den redundante forbindelse mellem de to core switches. Bilag D viser den tidligere opsætning. CoresSwitch01 og 02 sidder til hver deres firewall, placeret i samme rum som dem selv. Disse to firewalls kører hot standby, hvilket vil sige, at der er én aktiv firewall hvor al data kører igennem. Hvis denne skulle fejle, vil den anden med det samme slå til og replikere IP-adresse og MAC-adresse på aktive interfaces. Standby-firewallen får replikeret al konfiguration fra den aktive, hvilket sikrer, at den altid har den sidst skrevne konfiguration. Hver firewall er forbundet til en ekstern switch, som hver har deres 100 M/bit fibernet ud til internettet samt en forbindelse til hinanden, så IPS-svigt ikke ville betyde en failover på firewallen. Den eksterne switch som befinder sig på 3. Sal, forwarder også data til DMZ-udvikling. På indersiden af hver firewall sidder der en switch, kaldet ASAswitch1 og -2. De kæder adgang til LAN-udvikling, LAN-prod, LAN- DMZ og VPN-forbindelser til ØEM s MPLS-sky, TDC Hosting og KMD. De to switche sørger for redundans, med undtagelse at ØEM s MPLS ved nedbrud på ASAswitchen eller på modsattes ene linje. Interconnectlinjen mellem ASAswitch1 og ASAdevSW1 er tunket, det vil sige, at al data mod udviklingsmiljøet går igennem denne linje. ASAdevSW1 sidder til udviklings-firewallen og sørger for at dele trafikken op, afhængig af hvilken del af miljøet der tilgås. I dag er der ikke nogen planmæssige afprøvninger af redundansen, eller forsøg på at sætte det op. Der har været uplanlagte forsøg, som opstod på grund af fejlkonfiguration eller manglende vedligeholdelse. Begge ASA-firewalls har et IPS-modul, som monitorerer og identificerer ondsindet aktivitet, blokerer pakkerne og

31 E&S fysiske netværk 31 logger dem til en log-server, for senere at blive vurderet og undersøgt eller tilladt, i tilfælde hvor det er legal netværkstrafik. Disse moduler har en signaturfil og ligesom antivirus-software skal disse signaturfiler opdateres. Da disse ikke er blevet opdateret siden 2008, fordi licensen til modulet var udløbet, betød det, at modulet og derved firewallen lukkede ned, da al data bliver routet igennem dette modul. Da dette problem opstod, lukkede den primære firewall ned og den sekundære hot-standby firewall tog over inden for 10 sekunder. Dette blev kun bemærket, da afbrydelsen var længere end Windows Messengers timeout, hvorved programmet loggede. Det resulterede i, at brugerne kontaktede supporten for at melde det som en fejl. Dog vil jeg ikke klassificere det som en gyldig test, da der ved en sådan skal planlægges en procedure, samtidig med at alle hændelser skal logføres og kunne fejlsøges, hvis redundansen ikke er tilgængelig Vurdering af eksisterende opbygning Den nuværende opbygning er kun delvist redundant, da server-rummet på 3. sal kan tåle fejl på en coreswitch; Hvis CoreSwitch01 fejler, vil der stadig være forbindelse mellem 3. og 4. sal og dermed forbindelse til servere og LAN-prod. Dog kan der opstå komplikationer, hvis CoreSwitch01 fejler og dermed afbryder forbindelsen til den aktive firewall. Idet redundansen ikke er afprøvet, kan man ikke være sikker på, at firewallen melder fejl og foretager en failover. Ved fejl på CoreSwitch03 i 3. sals server-rum, så vil alle aktive forbindelser vare ved. Det værste scenarie i forbindelse med et nedbrud på en af core-switchene, vil være nedbrud på CoreSwitch02 på 4. Sal, da den alene bærer halvdelen af de ESXi hosts som bærer det virtuelle miljø. På trods af, at det virtuelle miljø understøtter High Availability, så vil hostene ikke melde nogen fejl ved tabt netforbindelse. De virtuelle maskiner vil fortsat køre og derved hindre opstart på anden halvdel af de ESXi-hosts som er tilgængelige på 3. sal. Den manglende planmæssige afprøvning af redundans skaber tvivl om, hvor stort beredskabet skal være ved nedbrud. Hvis man havde planlagte afprøvninger hvert kvartal eller halvårligt, ville man kunne fremstille dokumentation for, at redundansen var afprøvet og funktionel. Derudover ville man være mere risikovillig over for ændringer i og omkring core-switchene. I dag står vi overfor problemer med hensyn til udbedringer af fysiske kabelføringer. Eftersom flere personer har været med til opsætninger og patchninger af systemer uden fælles retningslinjer, har det skabt et virvar af kabler uden mærkater. Ledningsspaghettien betyder unødig spild af arbejdstimer, da man i værste fald skal være to personer for at finde hver ende af et kabel, ved hjælp af den meget udbredte Kan du mærke jeg hiver? -metode. En anden fordel ved at have de planmæssige afprøvninger er, at de giver indsigt i, hvad man ellers skal være opmærksom på ved failover. Flere af E&S systemer ikke er særligt hårdføre overfor timeouts på netværket, og netop ved at have systemernes adfærd dokumenteret, ved man med det samme, hvad der skal have opmærksomhed Optimal opsætning Optimalt vil man forsøge at efterleve en oppetid på netværket på 99 % og derfor kan man ved opsætning af redundans fjerne flaskehalse. Forbindelsen mellem internettet og DMZ-udvikling skal have en redundant linje fra begge eksterne switche. Samme situation er tilfældet med ASAswitch 1 & 2 til ASADevSW1. ASAswitch2 har interconnect til ASAswitch1, som sidder til ASAdevSW1. Hvis ASAswitch1 fejler, vil det hindre forbindelse til hele udviklingsmiljøet. Man ville uden problemer kunne nøjes med en core-switch i hvert server-rum, men før dette kan lykkes, så skal der sikres en redundant forbindelse fra ESXi hosts på 3. sal til core-switchen på 4. sal og omvendt. Forslået sikring af redundans ses på bilag E2.Redundansen til ØEM s

32 E&S fysiske netværk 32 MPLS skal konfigureres korrekt, således at der er to forbindelser dertil. De skal samtidig være med i den planmæssige afprøvning af redundans, og forbindelserne til KMD og TDC Hosting skal ligeledes inkluderes. 5.3 Wi-Fi Nuværende opsætning I dag eksisterer der ikke noget trådløs netværk, som er tilsluttet E&S netværk. Der eksisterer to ADSL-linjer som har Wi-Fi-adgang. Disse linjer bliver dog kun anvendt til at teste services og netværksadgang udadtil. Der har været efterspørgsler på at få oprettet trådløse access points i mødelokalerne, hvorved det ikke er nødvendigt at have lange Ethernet-kabler liggende. Der er ikke planlagt nogen opsætning af Wi-Fi af sikkerhedsmæssige årsager; netværket skal sikres med kryptering og ikke være tilsluttet det interne netværk, således at der ikke kan opnås adgang til det interne netværk udefra og af uvedkommende Vurdering af eksisterende opbygning I dag finder man trådløst netværk overalt, om så det er UMTS netværket eller lokale access points. Folk er vant til at kunne være online, og læse mails uanset hvor de befinder sig. Derfor ville være en fordel at have et trådløst netværk tilgængeligt i mødelokalerne, idet brugere af lokalet ofte møder op med en laptop. Det er klodset, hvis flere maskiner skal have netværksadgang, at man så bliver nød til at overlevere kablet Optimal opsætning Det ville give en klar fordel at sætte trådløse access points op i mødelokalerne. Dog ville en simpel WPA- PSK-kryptering ikke være nok. Derfor skal den sammensættes med Cisco Network Access Control og en gæstekonto. Access pointet skal heller ikke være sat til det interne netværk, men i stedet sættes til sit eget begrænsede netværk. På denne måde hindrer man kompromittering, hvis den trådløse sikkerhed blev brudt og derved gav adgang til interne netværk. Her kan man med fordel konfigurere det til E&S DMZnetværk ved at ændre VLAN et på porten i den access-switch, hvori den er sat til. En anden mulighed er at oprette et helt nyt VLAN til trådløst netværk. Det nye VLAN skal derefter oprettes og konfigureres på firewallen. Brugerne på det trådløse netværk skal kunne anvende de mest normale porte, så som http, https, ftp, pop3, IMAP og VPN. Her skal man tage op til overvejelse, om yderligere porte til fx SQL-trafik, LDAP og Exchange skal være tilgængelige. Netværket skal have en IP-range oprettet i DHCP-serveren, adgang til DNS samt Active Directory, hvis interne brugere skal kunne få adgang til E&S Exchange server. Da hver netværkszone, DMZ, Dev, Produktion, har eget domæne, skal være det Active Directory som ligger på det internet produktions netværk. Exchange-serveren verificerer nemlig brugerne imod AD et som ligger på produktionsnetværket.

33 E&S fysiske netværk 33 En tredje mulighed ville være at oprette et VLAN på access switchene og lade det være tilsluttet en ADSLlinje. På den måde er der ikke nogen forbindelse til det interne netværk, og brugerne vil kunne tilgå E&S interne netværk via VPN. Denne løsning ville være den mindst resursekrævende løsning og hurtigste at implementere, med den tradeoff at brugerne skal tilgå det interne netværk via VPN. Figur 7 viser, hvorledes denne sidste løsning ville være implementeret. Figur 9 Forslået opstilling af trådløst netværk E&S På denne måde skal Wi-Fi VLAN et etableres og AP s skal sættes til, og udnytter det nuværende firewall regelsæt som gælder for brugere over VPN. Tiden påkrævet for at sætte nyt VLAN op på firewall, konfigurering af access-rules med mere er sparet. 5.4 Delkonklusion Det fysiske netværk fungerer i E&S næsten som det skal. De mangelfulde procedurer og regelmæssige kontroller af redundans skal der rettes op på. De nedbrud der er oplevet indtil videre, har været som følge af udstyr der fejlede og ikke-planlagte kontrollerede afprøvninger. Derfor har det været mere held end forstand, at forbindelserne er blevet succesfuldt genoprettet. Generelt ses netværket som funktionelt, men opbygningen af det har ikke ændret sig på trods af, at server-parken har gennemgået en betydelig ændring. Der må sættes flere resurser af til en gennemgang og tilrettelæggelse af procedurer til jævnlige afprøvninger. Der skal en bedre orden omkring kablingen i core-switchene, og kabler som ikke anvendes skal pakkes væk for at give en hurtigere overblik over eksisterende forbindelser. Det kan med fordel betale sig at indføre et mærkningssystem af kablerne. Mærkningen skal forbedre lokalisering af databærende kabler til speci-

34 E&S fysiske netværk 34 fikke systemer. Ydermere skal der laves lette og forståelige retningslinjer for orden omkring og reglement for switche, da flere folk foretager ændringer. For mange kokke i køkkenet kan netop her gøre mere skade end gavn. Derfor bliver man alt for usikker på, om redundansen er funktionel, og der skal derfor laves en skrivelse som garanterer, at på nævnte dato er redundansen afprøvet og funktionel, samt ikke mindst hvilke personer der har udført afprøvningen. Dette dokument skal så gemmes for at bevise, at redundansen har været funktionel under en root cause analysis af eventuelle nedbrud. Det begrænsede trådløse netværk kunne godt udvides men det behøver dog ikke at dække hele huset, da det primært er stationære maskiner der bliver anvendt. Trådløst internetadgang i mødelokalerne vil være en fordel, da man mindsker brugen af kabler og derved adgang til det interne netværk.

35 E&S logiske netværk 35 6 E&S logiske netværk Det logiske netværk omhandler, hvordan switche og firewalls behandler VLAN s, hvilke zoner der har adgang til hvad, hvordan miljøer er opdelt og hvordan de har adgang til hinanden. Det logiske netværk har stor betydning for sikkerheden, da adskillelsen af netværk via VLAN hindrer forbindelse mellem flere netværk som anvender samme fysiske forbindelser. Network Access Control er et metode at logisk begrænse netværks adgang afhængigt af valgte betingelser som tilsluttede enheder skal opfylde. Backbonet er rygsøjlen i netværket, den samler alt netværk i virksomheden og administreres af core switches. 6.1 VLANs Eksisterende opbygning Som nævnt i kapitlet om det fysiske netværk, så er etagerne hos E&S opdelt i to krydsfelter på hhv. venstre og højre side. En etage har yderligere krydsfelter, da den bevæger sig ind i anden bygning, en anden har kun ét, da det kun er den ene side af bygningen. Dette bliver yderligere udpenslet af, at hver side af hvert krydsfelt har deres eget VLAN. Ydermere er der konfigureret VLANs til IP-telefoni (VLAN 4) samt printere (VLAN 8). For et give et samlet overblik over E&S VLAN beskriver nedenstående skema dette. Type VLAN IP-range Bemærkninger Management /24 Management VLAN til netværks udstyr. IPT /24 Ip-telefoni VLAN Printer /24 Printer VLAN Server /24 Server vlan 1sal /24 Brugere på 1. Sal, til højre for elevator skakten. 1sal /24 Brugere på 1. Sal, til venstre for elevator skakten. 2sal /24 Brugere på 2. Sal, til højre for elevator skakten. 2sal /24 Brugere på 2. Sal, til venstre for elevator skakten. 3sal /24 Brugere på 3. Sal, til højre for elevator skakten. 3sal /24 Brugere på 3. Sal, til venstre for elevator skakten. 4sal /24 Brugere på 4. Sal, til højre for elevator skakten og ind i ekstra etagen (Nyropsgade) 5sal /24 Brugere på 5. Sal, til højre for elevator skakten.

36 E&S logiske netværk 36 5sal /24 Brugere på 5. Sal, til venstre for elevator skakten. 5sal /24 Brugere på 5. Sal, til højre for elevator skakten og ind i ekstra etagen (Nyropsgade) 6sal /24 Brugere på 6. Sal, til højre for elevator skakten. VDI /24 Anvendes til nyimplementeret virtuelt desktop miljø Tabel 1: Oversigts tabel over E&S virtuelle LAN Ud over de VLAN som brugerne er direkte afhængige af, eksisterer der på LAN-delen VLAN 1 og 9, som hhv. er VLAN til infrastruktur, det vil sige herunder netværkskomponenter og server-vlan. Server-VLAN et anvendes til alle produktionsservere, her både de fysiske og virtuelle. VLAN ene er nødvendige for at hindre ukontrolleret adgang mellem server-miljøet og brugere, og det er samtidig nemmere at overskue, hvad der hører hvortil, da VLAN ID svarer til trejde oktet i IP-adressen på tilsvarende VLAN. VLAN 70 er oprettet til at håndtere proof-of-concept af VMWares View, og VLAN et skal indeholde alle virtuelle maskiner under testen. Dog er det usikkert, om det er stort nok til at håndtere alle brugere. E&S tæller 270 mand og det vil ikke være nok med én /24 range. Det afhænger af antallet af simultane brugere, og hvis det overstiger 251, kræver det en større range. De 251 er udregnet ud fra, at.1,.2 og.3 er henholdsvis IP-adresse på CoreSwitch01, 02 og standby, samt.255, som er broadcast-adressen Optimal konfiguration af VLANs Den nuværende måde E&S VLAN er opbygget på, er ligetil og enkel at forstå. Ideen med at have VLAN ID et svarende til etagen giver en rigtig god mulighed for at spore en PC via IP-adressen. Printerne på VLAN 8 kan også forblive på denne måde, sammen med IP-telefonien. VDI VLAN et står over for en eventuel udvidelse fra /24 til /23, som udvider rangen fra 254 til 510 mulige adresser, dog her kun til 507 adresser, da ,.2 og.3 stadig er gateways og standby IP. E&S står over for samme udfordring med hensyn til VLAN 9, server VLAN et, da der i øjeblikket er mangel på IP-adresser. Dette problem kommer dog af klassiske virtuelle Windows XP og -7-maskiner på VLAN 9. Disse skal enten nedlægges eller flyttes over VDI-miljøet. Derved vil der kunne frigøres flere IP-adresser til servere. VLAN 9 kan ikke umiddelbart udvides, og hedder lige nu /24 og giver rangen Hvis denne skal udvides, kan der tages en maske-bit fra, så nettet kom til at hedde /23. Det vil dog medføre en stor omstrukturering af hele netværket, da alle access-, coreswitche samt firewalls skal rekonfigureres. Alternativ skal det flyttes over til en helt ny range, fx /24 og /24. Her skal man dog overveje den mængde resurser, der skal bruges til re-mappe NAT-regler i firewallen. Den optimale løsning vil altså være at reducere antallet af virtuelle brugermaskiner ved at flytte dem fra VLAN 9 til 70. Hvis man gennemførte den optimale løsning af dev, prepod og prod-miljøerne, ville det altså betyde, at man flytter test-servere fra prod- til dev-miljøerne, hvilket også ville frigøre flere IP-adresser.

37 1X 2X X 16X 17X 18X 31X 33X 32X 34X 47X 48X E&S logiske netværk Access-switche Eksisterende opbygning Den logiske opsætning på access-switchene er ligetil; de første fem 100 Mbps-porte er dedikeret til VLAN 8 og printere, mens de resterende 43 er konfigureret til at give adgang til det VLAN, som svarer til hvilken etageside switchen befinder sig på. De to første 1 Gbps-porte er trunk til henholdsvis CoreSwitch1 & 2, de to sidste er til stackning af switche i krydsfeltet. Hvis der er brug for mere end 48 porte, sætter man endnu en switch op og tilslutter dem gennem disse to. Af sikkerhedsforanstaltninger på access-switchene er der en begrænsning i antallet af MAC-adresser per port, da kun tre samtidige adresser er tilladt. Kommandoen switchport port-security maximum 10 sikrer, at der ikke kan være mere end tre MAC-adresser på. Denne funktion er ikke på alle porte, da brugere nogen gange har haft brug for at have flere maskiner på netværket, end der er tilgængelige patch-stik. Begrænsningen bliver ikke sat til igen efter brugerne er færdige. Catalyst 3560 SERIES PoE-48 SYST RPS STAT DUPLX SPEED POE MODE Figur 10: Oversigt på VLAN opdelingen af porte på E&S Cisco Catalyst 3560 Switch Som backup-funktion har E&S en applikation, som kører på en management server og som tager en ugentligt backup. Alle switches - core- og access og firewalls inklusiv IPS-moduler er indtastet i en database. Herefter tager softwaren så et dump af running config, som er den konfiguration, der kører på switchene. Den placerer alle konfigurationerne på management-serveren, hvorfra det vil være muligt at hente en tidligere konfiguration og køre den på en ny switch, hvis der har været en udskiftning. Der findes dog på nuværende tidspunkt ikke nogen dokumentation for hvorledes konfigurationen hentes frem og lægges ind på switchen Optimal konfiguration af access-switche Den eksisterende opsætning af access switchene kan ikke være meget mere enkle, de håndterer kun adgang fra workstations og videre til core swithcene. Der er ingen DHCP eller routing. Det eneste der mangler for at optimere brugen af switchene, er en mere regelmæssig vedligeholdelse af konfigurationen. Derudover mener jeg, at man skal sætte antallet af tilladte MAC-adresser ned fra tre til to, og sørge for, at det bliver gennemført på alle brugerporte. Derved opfylder man kravet fra DS 848 om at minimere adgangen til netværks komponenterne (DS :42). Fremgangsmåde for gendannelse af konfigurationen på nye switche skal dokumenteres, således at alle i it-drifsafdelingen burde kunne indlæse en konfiguration på en switch.

38 E&S logiske netværk Backbone Eksisterende opbygning De tre core-switches som danner grundlaget for backbonet, er ikke blevet dokumenteret eller vedligeholdt de sidste to år. Kun enkelte port-re-konfigurationer er blevet foretaget, men dog ikke nogen komplet gennemgang af deres konfiguration. Dette efterlader den i en tilstand, så man ved hver ændring skal ud og kontrollere, hvilke kabler der er tilsluttet hvilke komponenter. Ved fejlsøgning bliver man nødt til at starte ved komponenten, følge netværkskablet til patch-panelet i rack-skabet, videre til tilsvarende port i rackskabet, hvori core-switchen står. Herefter skal man følge kablet videre til core-switchen, for så at finde ud af hvilken port den er tilsluttet, for til sidst at tilgå core-switchens management interface og se konfigurationen på den port, som komponenten er sat i. Core-switchene indeholder enkelte routing-tabeller og grundlæggende router den alt til firewallen, men der sidder en ASA 5505 på indersiden af netværket, som er dedikeret en VPN-forbindelse til IBM, som drifter E&S CVR-systemer. Derfor router den forespørgsler, som er henvendt til IBM, væk fra main firewallen og over til den mindre ASA firewall Optimal konfiguration af backbone Både backbonet og core-witchene skal have klare beskrivelser af anvendte porte, da dette gør det lettere at lokalisere, hvilken fysisk port der bærer hvilket system. Routing-tabellen skal dokumenteres, således at man er klar over, at ikke al trafik kører igennem den primære firewall. 6.4 NAC Eksisterende opbygning E&S har haft en Network Access Control (NAC) konfigureret på alle krydsfelter, som dog kun har været sat i drift som proof-of-concept på 3.sals VLAN 30, og som jeg efterfølgende har deaktiveret igen på grund af manglende administrationsmuligheder. Måden hvorpå E&S NAC-løsning skulle fungere var således: Alle krydsfelter fik konfigureret en bootstrap, det vil sige en konfiguration som kører, når switchen booter op. Denne bootstrapp indeholdt blandt andet følgende konfiguration: Figur 11 - SNMP trap til NAC på Cisco Catalyst switch Disse linjer underretter authentication serveren via SNMP ved følgende ændringer: Ændring i MAC En port i switchen ændrer status, dvs. hvis en forbindelse bliver oprettet eller afbrudt. Når en port ændrer status fra linkdown til linkup, bliver en besked sendt fra krydsfelt-switchen til Cisco Access Manager-serveren (CAM), hvorefter den konfigurerer den port, som krydsfelt-switchen meldte en ændring på, fra et trusted VLAN til et untrusted VLAN. Det untrustede VLAN har udelukkende adgang til

39 E&S logiske netværk 39 Cisco Access Server (CAS), og giver adgang til Domaincontroller, DHCP, DNS, PXE og en Deployment-løsning. Når CAM verificerer brugeren op imod Active Directory, vil den switche porten fra det untrustede VLAN til det trustede. Ud over verificering imod Active Directory kræves der en fuldt opdateret anti-virusapplikation, her Sophos Anti-Virus. For at kunne parse user credentials og anti-virus-status anvendes en NAC-klient. Denne klient er deployet igennem group policies. Idet alle maskiner i E&S er meldt ind i domænet, sikrer det, at de alle har klienten installeret. Hvis en maskine ikke har NAC-klienten installeret vil den automatisk blive bedt om verificering af brugeren i CAM-brugerdatabasen. CAM besidder en lokal brugerdatabase som anvendes, når gæster eller eksterne leverandører medbringer deres egen computer. Der vil installationen af en NAC-klient ikke give adgang, idet hverken computeren eller brugeren er medlem af domænet. Desuden er CAM specifikt sat op til vores anti-virus, hvorved navn og version skal stemme overens. Derfor har NAC-løsningen sit eget administrationsmodul som kun itdriftsafdelingen har adgang til. Herinde har vi mulighed for at oprette lokale brugere, oprette brugernavne og passwords og definere hvilket gruppemedlemskab de skal have. Gruppen bestemmer, hvilke resurser brugeren har adgang til. Fx skal gæster og sælgere, som ønsker netværksadgang, kun have adgang til internettet, mens eksterne leverandører som udvikler, drifter og fejlsøger på vores interne systemer, skal have adgang det interne netværk. Denne proces med oprettelse af brugere og vedligeholdelse af databasen skal, som det er muligt nu, også vedligeholdes at it-driftsafdelingen. Der eksisterer et administrationsmodul som gør det muligt for interne brugere at oprette brugerkonti til deres egne gæster, og som automatisk kan lukkes ned efter et givet antal dage. NAC blev taget ud af drift, da det fra ledelsen blev besluttet, at den skabte for mange problemer samtidig med, at der ikke pt. er allokeret resurser til indkøb og implementering af administrationsmodulet. Opsætningen af NAC blev derfor udskudt på ubestemt tid Optimal konfiguration af NAC Administrationsmodulet til Network Access Control skal indkøbes, da systemet er et stærkt værktøj til at hindre udefrakommende i at tilgå E&S netværk. Systemet skal så reetableres, således at det kontrollerer alle access-switche, og efterfølgende har følgende minimumskrav for interne brugere: - Fuldt opdateret anti-virus - Computer og bruger er verificeret i Active Directory Når administrationsmodulet er konfigureret og funktionelt, skal brugere oplæres i hvorledes det administreres. Eventuelle superbrugere oplæres i hver afdeling, således it-driftsafdelingen ikke skal bruge resurser på gæsteadministration. Normalt vil en gæstekonto maksimalt kunne strække sig over 14 dage før den deaktiveres. Dog skal der her laves den undtagelse, at specielle brugere i E&S har mulighed for at oprette konti til konsulentbrugere, som kan strække sig over et år. Denne undtagelse bliver man nødt til at have, da det vil det skabe irritation og negativ stemning omkring systemet, hvis medarbejdere hver 14. dag skal aktivere deres konsulents brugerkonto. Netop dette kan fx medføre nedprioritering af resurser til vedligeholdelse af systemet, da medarbejdere ikke ønsker at vedligeholde et system, som de er trætte af at bruge. 6.5 Delkonklusion Det logiske netværk hos E&S er bærende og funktionelt, men mange konfigurationer er levn fra den gamle fysiske server-park. Opsætningerne i access- og core-switchene er forældet og skal gennemgås og have nye portbeskrivelser. Backup-funktionen til sikring af korrekt og ofte backup af switches er en rigtig god idé,

40 E&S logiske netværk 40 idet nedetiden ved nedbrud minimeres og udskiftning af fysiske switch ikke sker så ofte. Det er dog mindre anvendeligt, når der ikke foreligger dokumentation for, hvorledes denne backup udføres. Enkelte personer har erfaringen og kompetencerne til at forsøge sig frem, hvilket selvfølgelig ikke holdbart, hvis de ikke er til stede og der så skal kaldes en ekstern tekniker ind. Da selv E&S ligger inde med ekstra access-switch, vil det være en fordel, at alle kan foretage udskiftningen. Manglen på IP-adresser skyldes et unødvendigt overtal af virtuelle maskiner på VLAN 9, da produktionsmiljøet bliver anvendt til testmaskiner. Et VDI-miljø burde kunne erstatte test workstations, som kører Windows XP, -Vista og -7, og har forskellige versioner af fx Internet Explorer. Ydermere skal der være bedre og helt vandtætte skodder mellem dev-, test- og prod-miljøerne, og derfor skal alle test-servere flyttes væk fra prod miljøet. Herved vil der også frigøres flere IP-adresser. Den mangelfulde anvendelse af NAC er ikke tilfredsstillende. At den bliver slået fra på grund af, at den skaber for mange forstyrrelser i stedet for at forsøge at få resurser til at optimere den, er en forkert beslutning. Der findes selvfølgelig også trusler, som forsøger at komme igennem firewalls og bagvedliggende applikationer og services. Men truslen ved at en bruger, ekstern konsulent eller en helt udefrakommende kommer og slutter deres PC til netværket, er meget mere plausibelt, og uden NAC ligger netværket åbent. At vi har åbne netværksstik på offentligt tilgængelige steder, underbygger derfor kun min konklusion om, at NAC skal re-implementeres igen, og administrationsmodulet måske burde omprioriteres. Derfor er dette værktøj et meget anvendeligt forsvar imod udefrakommende trusler.

41 E&S firewall 41 7 E&S firewall Firewalls er den første forsvarslinje imod internettets ondsindede personer. Ved kun at tillade hvad vi vil have ind og ud, kan vi sikre os imod en stor del af farerne. Den udgør dog ikke kun et sikkerhedselement, den gør også interne servere tilgængelige på internettet via NAT. Firwallen behandler desuden VPNforespørgsler fra brugere og andre virksomheder. 7.1 Eksisterende konfiguration De nuværende firewalls som anvendes hos E&S er Ciscos Adaptive Security Appliances , ASA Der er på produktionsmiljøet tilknyttet to ASA er, hvor én er aktiv mens den anden er hot-standby. Hvis den primære ASA fejler, vil den ASA der er hot-standby overtage alle forbindelser, IP-adresse og MAC. Endnu en ASA anvendes til udviklingsmiljøet og har ikke nogen failover. Hvis den fejler, vil adgangen til udviklingsmiljøet blive afbrudt. Måden hvorpå regler i pågældende firewalls bliver oprettet, er lavet således, at det kun er indgående regler der er gældende. Hvis man altså betragter firwallen som en fæstning, så beskriver reglerne, hvem der må komme ind i fæstningen, afhængigt af hvor de skal hen og hvad de bærer med sig. Produktions-firewallen bærer 250 indadgående regler fordelt på 10 interfaces. De 10 interfaces er benævnt som følger: Navn Outside Inside DMZ-1 MPLS KMD VPN_Nac VideoKonf Interconnect Beskrivelse Interfacet er tilsluttet internettet og bestemmer hvilke data der er tilladt igennem yderside adresserne. Bestemmer hvad der kommer igennem fra indersiden, som i dette tilfælde indeholder brugere, servere og VPN forbindelser. Er adgangen til alle servere der ligger på produktions DMZ en, front-end servere, databaser og mailserver med mere. MPLS skyen til ØEM VPN interface til KMD VPN igennem NAC Videokonferenceudstyr på eget NAT interface Forbindelse til DEV firewall 32 Cisco ASA Product - c5.html

42 E&S firewall 42 Guest Gæstenetværk som giver folk, begrænset af NAC, adgang til almindelig websurfing. De fire mest anvendte interfaces er Outside, Inside, DMZ-1 og Interconnect, og det er derfor dem, der indeholder de fleste regler. Outside-interfacet tillader, at eksterne kilder kan tilslutte E&S eksterne IP-adresser på ønskede porte, hvorfra de via NAT-regler bliver forbundet til servere, som er placeret på de andre interfaces. Det er min overbevisning, at flere af reglerne fra Outside-interfacet er forældede. Cisco ASDM 33 som er en GUI, giver et overblik over alle reglerne, og der eksisterer pt også en hit counter. Ved nulstilling af disse tællere, observeres flere regler som ikke får nogle eller meget få hits. Proceduren for oprettelse af en access-rule i firewallen omfatter oprettelse af objekter. Objektet kan for eksempel være en IP-range, en specifik host eller et net. Navngivningen af objektet gør det lettere at have et overblik, i stedet for at man skal huske flere hundrede IP-adresser. Man opretter en regel på det interface hvor objektet er tilsluttet, og i reglen specificerer man den ønskede service, for eksempel TCP eller UDPport. Hvis det er flere porte, kan man oprette et service-objekt indeholdende de ønskede porte. Hvis det er en front-end server som skal kunne nås via internettet kræver det yderligere en tilladelse igennem outside interfacet til en yderside IP-adresse, som så skal have en statisk NAT-regel. Til sidst får reglen tildelt en beskrivelse som indbefatter, hvilket system eller service der anvender reglen, hvem der har konfigureret reglen og sidste dato for ændring. Før jeg overtog netværksopgaven og hermed firewall, har der inden for de sidste 5 år været fem andre som har haft ansvar for firewallen. Dette har medført forskellige retningslinjer for hvordan regler er oprettet, og derved forhindret det større overblik. Det ses at nogle regler der er oprettet, senere er blevet disablet, og også er noteret i regelbeskrivelsen, men genenablet uden en opdateret beskrivelse. Dette kan efter en eventuel åben adgang til systemerne, indtil næste gang hele regelsættet bliver gennemgået. En af de første opgaver jeg begyndte på da jeg fik overdraget firewallen var at kigge på, hvad der var tilladt af udgående porte, med henblik på at undersøge hvad brugerne har adgang til. Reglen gav adgang fra de VLAN brugerne anvende og ud af outside interface af over 20 TCP porte, uden nogen form for beskrivelse af hvad det var og hvorfor der var adgang. Her begyndte jeg at opdele dem til enkelte regler, undersøge hvad anvendelse portene havde, ud over de gængse http, https, ftp, for dermed at hindre eventuelle trusler. For eksempel var TCP/ tilladt ud, og disse porte er de officielle porte til IRC 34 som er baggrund for mange sårbarheder, og derfor lukket. I hver firewall er der et IPS-modul,. Disse moduler undersøger al trafik for mistænkeligt indhold. Hvad der er mistænkeligt indhold bliver defineret i en signaturfil som IPS-modulet automatisk opdaterer. Igennem mit arbejde med firewallen opdagede jeg dog, at opdateringen af signaturen var licensafhængig og at licensen var udløbet 3 år tidligere. Det produkt supporteres nu ikke mere og jeg har igangsat en opgradering til nye moduler. Opgraderingen består af udskiftning af moduler og opdateret firmware, herved sikrer vi os meget bedre end hvordan vores nuværende situation er. Samtidig med opgraderingen af IPS-modulerne står jeg sammen med resten af it-supportafdelingen for en større opgradering af ASA-firewall-firmwaren. 33 Cisco ASDM Internet Relay Chat

43 E&S firewall 43 Den nuværende firmware er af en ældre version, ASA , mens nyeste version er ASA 8.4. Som led i planlægningen af opdateringen kørte jeg samme scenarie privat. Jeg har investeret i en Cisco ASA 5505, som har samme funktionalitet som ASA Dog understøtter den færre simultane forbindelser, VLANs. Her fandt jeg ud af, at firmware-opdateringen er meget mere omfattende end som så, da Cisco har fuldstændig rekonstrueret måden ASA en bliver administreret. Dette medfører, at alle access-rules og NATregler skal gennemgås, for hver opdatering. Opdateringen skal ske i flere omgange da nogle opdateringer er afhængige af specifikke versioner, efter hver succesfuld opdatering skal reglerne kontrolleres og afprøves. ASA en betjener også VPN-adgange. Brugere tilgår den via en klient og verificerer sig via deres Microsoft Active Directory credentials. Herefter får de en seks cifret kode, en challange, i form af en SMS til deres mobil, som de så skal taste ind for at få forbindelse til E&S net. Samme funktion anvendes til eksterne leverandører, som har brug for at tilgå E&S udefra. Dog har leverandøren individuelle profiler for at begrænse deres adgang til E&S netværk. Man opretter en profil med et brugernavn og PSK. Denne udleveres til den bruger som skal have adgang. Til denne profil er der lavet en access-list som bestemmer hvilke IP-adresser de kan tilgås. Der er på nuværende tidspunkt ikke overblik over hvilke langtids-leverandører som stadig anvender den ubegrænsede profil. To leverandører har en lokal profil på ASA en, det vil sige at alle fra samme firma anvender samme brugernavn og password. Der er ikke nogen procedure for at ændre disse lokale kontis passwords. En virksomhed har haft en fælles konto de sidste 4 år, passwordet er aldrig blevet ændret. Fx ville være let for en ondsindet person at sabotere systemerne, om så de stadig var ansat eller stoppet for år tilbage. Foruden ASA ens Remote Access-VPN understøtter den også Site-to-Site-VPN. Her har vi blandt andet forbindelse til eksternt-hostede systemer hos KMD, Rambøll, TDC Hosting og ØEM s MPLS-sky. Foruden disse er der også en dedikeret forbindelse til IBM, denne forbindelse kører individuelt over en mindre ASA Trafik imod IBM på givne IP-adresser bliver routet af core-switchen til denne ASA, hvorimod almindelig trafik bliver routet til den primære ASA. 7.2 Vurdering af eksisterende konfiguration Måden hvorpå E&S firewalls administreres har været al for forskellig. Det har medført, at man bruger meget tid på at lokalisere regler. Den almindelige vedligeholdelse er svær idet man ikke kan se hvad reglerne skal tillade, og om de systemer overhovedet eksisterer mere. Måden hvorpå reglerne er beskrevet er utilstrækkelig; regler der er beskrevet som disablet men som stadig er aktive er meget svære at vurdere. Hvorfor blev de oprettet? Hvorfor blev de disablet? Hvorfor blev de enablet igen uden yderligere beskrivelse? En manglende procedure i firewall-vedligeholdelse har været medskyldig i en ophobning af regler, nye, ligegyldige og forældede. Dette gør reglerne i firewallen uoverskuelige og derved mere besværligt at fejlsøge og oprette nye regler hvis den skal prioriteres. Der eksisterer for mange vidt udstrakte regler, som indeholder for mange services eller for mange uspecificerede hosts. Regler fra en udviklingszone mod produktions inderside burde ikke eksistere, med den ene undtagelse af enkelte regler til at bære infrastrukturen. Hvis reglerne skal eksistere så skal det i hvert fald ikke være længerevarende tilladelser, især ikke når man ikke har et fuldt opdateret IPS modul. Modulet er kører autonomt, og undersøger al trafik og blokerer skadelig trafik defineret i dens signatur fil. Der er eksisterer ikke andre sådanne aktive sikkerhedsforanstaltninger andet end dette.

44 E&S firewall 44 ASA ens Remote Access-VPN er for åben, hvilket betyder, at der ikke er 100 procent styr på hvilke eksterne leverandører der tilgår E&S netværk og med hvilke rettigheder. Det samme gælder for de leverandører som har én lokal konto på ASA en for hele deres virksomhed. Idet vi ikke bliver underrettet om hvilke personer der er tilknyttet styrelsesmæssige opgaver eller ved eksterne konsulenters opsigelse, så er det en stor sikkerhedsrisiko når passwordet forbliver uændret. Hvis der skulle ske eventuelle datatab som følge af ondsindede brugere, kan vi se at kontoen har været logget på, men ikke hvilken person. Dette vil give E&S problemer med hensyn til placering af ansvar. ASA ens firmware er alt for forældet, nuværende version af ASA en er release 8.0(5) som blev udgivet i Nyeste version er release 8.4 og blev udgivet i 2011, firmwaren på firewallen har været uovervåget i 3 år, uden nogen sikkerhedspatches eller bugfixes. 7.3 Optimal konfiguration Firewall-reglerne skal være mere specifikke og der skal som ved alle andre netværksmæssige ændringer, foreligge en procedure indeholdende retningslinjer for hvordan det ændres og hvad der skal beskrives. Kontakten mellem netværksansvarlige og udviklere skal starte tidligere, så der kan blive klarlagt hvilke IPadresser, services og porte der skal åbnes for. Dette kan hindre at ændringen bliver lavet i sidste øjeblik og derved giver en mulig åbning, som kan være afgørende faktor for en eventuel kompromittering og datatab. Brugere som skal have adgangen mellem to systemer skal vide, hvad der kræves for at få foretaget en netværksændring. Derfor vil jeg her vurdere, at en mindre RFC er påkrævet. RFC en skal indeholde ejer af ændringen, dato for udførslen, samt en kort beskrivelse af hvilke systemer der skal have adgangen. Derudover skal der defineres hvilke porte der er tale om, TCP og/eller UDP og portnumrene, og hvilken server der skal have forbindelse til hvilken. Ydermere skal det klarlægges, om ændringen ønskes permanent eller om det er en tidsbegrænset adgang. Bilag B er en redigeret udgave af Erhvervs- & Selskabsstyrelsens normale Request for Change-blanket. Normalt ville man skære antallet af blanketter ned til et minimum, men jeg mener, at dette er nødvendigt for at overveje hvilke informationer de skal have, før udviklingsafdelingen kommer og beder om en åbning i firewallen. Den netværksansvarlige skal være proaktiv, og skal være bevidst om nye opdateringer til Cisco ASA. Enten ved at planlægge månedlige versionstjek, eller tilmelde et nyhedsbrev fra Cisco som vil indeholde nyheder om opdateringer. 7.4 Delkonklusion Det vedligeholdende arbejde af firewallen bliver ikke udført godt nok. IPS-licenser og derved signaturfiler der er udløbet for mere end tre år siden, burde være fundet før. Det kan defineres som et vigtig aktivpassivt værktøj; aktivt på den måde, at det selv står og scanner og analyserer, og passivt på den måde, at det egentlig ikke behøver menneskeligt input ud over de alarmer, det melder ud. Opfølgning og lukning af regler skal udføres tiere. Selv om et system ikke anvendes mere, kan de bærende servere stadig være aktive, og idet systemet ikke er under anvendelse, så overvåges og opdateres de ikke. Derfor skal reglerne lukkes og hindre mulige sårbarheder. VPN-adgangene er for dårligt adskilt og udokumenterede. Dette er en seriøs sikkerhedsrisiko, og det burde ændres så hurtigt som muligt. Den eksterne leverandør har arbejdet så længe, med så mange opgaver, at denne konto har ubetinget adgang til for mange systemer. De korrekt oprettede personlige AD-brugere til

45 E&S firewall 45 eksterne brugere skal gennemgås, og det skal sikres, at de anvender en gruppepolitik, som kun giver dem adgang til de systemer, der er relevante for dem. Der skal være en større forståelse mellem udviklere og netværksansvarlige. Sidstnævnte skal rådspørges tidligere og muligvis endda inddrages i projektet tidligere, således at ændringer kan være klar til ikrafttrædelse i god tid i forvejen. Den manglende forståelse skaber presserende nu-og-her-opgaver, til irritation for alle involverede parter. Opgaver som udføres under et tidspres, kan være uovervejede, dårligt dokumenterede, og afhængigt af arbejdsbyrden kan de blive glemt, for så at dukke op ved en vedligeholdende gennemgang af firewallen. Min samlede vurdering af firewallen og dens ansvarsområder er, at den generelt fungerer, men meget hurtigt kan gå hen og blive for uoverskueligt og dermed usikker. Derfor skal der laves bedre procedurer for ændringer og vedligeholdelse.

46 Antivirus 46 8 Antivirus Traditionally, organizations have aligned their focus on building security controls around the network perimeter, and in many cases, have turned a blind eye toward data within the network Sårbarheder Virksomheder beskytter traditionelt deres systemer godt via firewalls, og IPS sikrer servere og andre tilgængelige systemer imod ondsindede hackere. Derfor har hackere fundet nye veje til at kompromittere systemer; det svageste led er blevet brugerne. Alle mennesker har efterhånden en smartphone og bærbare computere, og har muligheden for at være online overalt. Sårbarheder i software er steget støt siden , og derfor er det nødvendigt at have en strengere politik med hensyn til patchning af software og operativsystemer. Bare i 2007 blev der globalt blotlagt sårbarheder i software og operativsystemer. 37 Selvom Erhvervs- & Selskabsstyrelsen har sikkerhedsforanstaltninger i form af antivirus på både mailserver, servere og workstations, er det essentiel, at de altid er opdaterede. Hvis dette ikke er tilfældet, kan man have nok så mange sikkerhedsforanstaltninger, uden nogen synderlig effekt, og der gives dermed en falsk sikkerhed. I 2007 blev der gennemsnitligt opdaget vira per dag 38. Dette påviser, at en antivirusdefinition som er en dag gammel, ikke beskytter for over tusind nye vira. De centrale systemer holdes altid opdaterede, men brugernes PC ere kan være bagud. Altså kan deres arbejdsmail kan være virusfri, men det hindrer dem ikke at hente private mails med eventuelle vedhæftninger og derigennem få deres maskine inficeret. 8.2 Anvendt software Erhvervs- og Selskabsstyrelsen andvender Sophos Endpoint Security and Control 39. Det er en pakke, som indeholder anti-virus (AV), host-based intrusion prevention (HIPS), firewall, Network Access Control (NAC), applikation-, data- og device control. Anti-virus modulet fungerer som alle andre almindelige AV-applikationer; den modtager updateringer, scanner filer on-access og kører en ugentlig komplet scanning. HIPS får opdateringerne sammen med AVopdateringerne og analyserer datatrafik til og fra maskinen. Hvis den så opsnapper mistænkelig data vil den gøre administratoren opmærksom på det. HIPS fungerer på samme måde som Cisco ASA firewalls IPSmodul. Sophos Firewall er et alternativ til Windows Firewall, med flere funktioner. Den kan konfigureres fra en central management-konsol, hvorfra der kan laves politikker om, hvilke services der er tilgængelige. Sophus Firewall har også den smarte mulighed, at den kan skelne mellem netværk. I forhold til hvilket netværk computeren er tilsluttet, kan man lave individuelle politikker, samt fx lukke fuldstændig for netværket, når den ikke er tilsluttet E&S netværk. NAC fungerer ligesom den Cisco løsning som E&S har, i form af, at man kan definere nogle krav før den giver netværksadgang. Applikation control giver en central mulighed 35 Verizon, 2008:27 36 Kilde: CERT/CC 37 Beskyt brugernes pc er mod angreb - side 1 38 F-Secure Sophos Antivirus -

47 Antivirus 47 for at styre, hvilke applikationer brugerne har lov til at have installeret eller eksekvere. Hvis et ikke-tilladt program forsøges eksekveret på maskinen, vil den blokere filen og derved hindre at programmet starter. Data control er et værktøj som kontrollerer hvilke filtyper der bliver kopieret hvorhen, det vil sige man kan definere politikker som hindrer brugerne i fx at kopiere Microsoft Office dokumenter til USB, floppydisks, via mail eller ved at uploade via et website. Device control giver mulighed for at begrænse adgang fra eksterne kilder, USB, floppydisks, CD-rom, eller trådløse netværk, hvis kablet netværk er aktivt. Alle disse funktioner er samlet i en management-konsol, hvorfra administrator kan danne et hurtigt overblik via et dashboard. Her kan ses, hvor mange PC er der kendes til i alt, hvor mange som er managed eller unmanaged, altså hvor mange af dem som har Sophos Anti-Virus installeret, samt hvor mange maskiner som er tændt og har forbindelse til serveren. Der gives også en oversigt over hvor mange maskiner der er fundet virus/spyware, mistænkelige filer eller adware på. Til sidst giver dashboarded en status på antallet af maskiner som ikke lever op til foreskrevne politikker, maskiner som har en forældet virus definition og computere hvor anti-virus-softwaren fejler. AV-serveren synkroniserer alle PC ere fra Microsoft s Active Directory (AD) og har derved samme mappestruktur. Dette gør at man skal være opmærksom på hvordan nye maskiner bliver placeret, når de meldes ind i AD et. Alle maskiner undtagens driftsafdelingen har samme gruppe politik, driftsafdelingen har mere lempelige regler, da der anvendes flere applikationer som normalt er blokeret for almindelige brugere. 8.3 Nuværende anvendelse Idet alle workstations og 90 procent af serverne hos E&S anvender Microsoft Windows, giver det muligheden for at styre opdateringer centralt med Microsofts Windows Server Update Services (WSUS). Services er kørende, men der mangler en regelmæssig opdatering, da den er sat til at opdateringerne skal godkendes manuelt. Dette er gjort for at hindre pludselig systemgenstart og risiko for at trejdeparts software fejler. I dag anvender E&S anti-virus- og applikation-kontrol, som er et anti-virus-modul uden nogle regelmæssige eftersyn. Hvis man undersøger de data management-konsollen indeholder, vil man også kunne se flere fundne PC er som ikke har fået nogen form for anti-virus installeret. Årsagen til dette kan være, at kasserede maskiner ikke bliver fjernet fra AD et, og derfor satdig bliver synkroniseret til AV-serveren, eller at installationen eller opdateringen fejler. Dette bliver der ikke på nuværende tidspunkt fulgt op på ligesom grundene til dette fejlsøgt. Det ses af og til, at brugere melder ind til supporten fordi deres maskine er langsom. Når dette fejlsøges ses det, at Sophos Anti-Virus-servicen optager størstedelen af computerens resurser. Supportens umiddelbare løsning af dette har været at disable anti-virus softwaren, hvilket også er tilfældet hvis de under installation af anden software oplever at installationen ikke starter eller af ukendte årsager fejler. Der ses gennemsnitligt 5 alarmer omhandlende virus, trojaner eller mistænkelige filer om ugen. Disse bliver meldt til supporten via ServiceDesken. Supporten tager ud, scanner maskinen manuelt og sikrer sig, at truslen er fjernet. Tilladelser for controlled applications er nedarvet fra dengang Sophos Anti-Virus blev implementeret, med den sjældne undtagelse, når Windows Messenger opgraderer til ny serie. Messenger er blevet en godkendt applikation, da ansatte anvender den som kommunikationsmiddel både internt og eksternt. Den er mere presserende end mail men mindre påtrængende end et telefonopkald. Ellers er de tilladte applikationer valgt ud fra, hvad der er nødvendigt at have. Selv om en applikation ikke nødvendigvis er farlig, så vurdere-

48 Antivirus 48 des anvendeligheden i forhold til arbejdsopgaver, samt hvor ofte der er behov for support. itunes er blokeret af flere grunde. Applikationen anvendes blandt andet til at aktivere og synkronisere iphones, men idet det ikke indgår i Erhvervs- & Selskabsstyrelsens mobilpark er det ikke en nødvendig applikation. itunes anvendes også til at købe, downloade og høre musik, men på grund af rettighedsmæssige årsager, er det en ulempe for E&S. Derfor anslås det for at være en besværende applikation. Udover dette er filoverførselsprogrammer, emuleringssoftware og andet mobilsynkroniseringssoftware end Nokia PC Suite og blokeret. 8.4 Farlige applikationer Brugerne i E&S har ikke administratorrettigheder på deres computere, derfor begrænser det dem i muligheden for selv at installere programmer. Dette hindrer mange applikationer i at køre, så antallet af farlige applikationer er formindsket. De farlige applikationer der er tilbage er de tilladte, Adobe Reader, Adobe Flash og Internet Explorer. Disse stykker software kan indeholde potentielle farer hvis de ikke bliver holdt opdateret, Adobe sender opdateringer ud en gang om måneden 40, det samme ses for Microsoft, deres såkaldte Patch Tuesday 41. På nuværende tidspunkt er der ikke nogen fastsat dato for opdateringer af brugernes computere. Microsoft Outlook blokerer automatisk komprimerede filer,.zip,.rar med mere, men hvis brugerne selv skulle medbringe eller downloade applikationer som indeholder ondsindet kode, vil AV softwaren scanne og blokere filerne indeholdende koden. 8.5 Kompromis Enkelte gange må der gås på kompromis med retningslinjerne, der blev for eksempel investeret i en ipad. For at kunne anvende nogen som helst produkter fra Apple, skal de aktiveres via itunes. Derfor må man oprette specifikke politikker for de brugere som anvender disse enheder, når disse applikationer bliver installeret bliver de ikke dokumenteret i en opdateringsplan. Da brugerne ikke har administratorrettigheder på deres egen maskine får de derfor heller ikke lov til selv at opdatere softwaren. 8.6 Delkonklusion Den manglende opdatering fra WSUS er en risiko, da det efterlader workstations og servere i en mulig usikker tilstand. Derfor skal der nedfældes en proces for regelmæssige opdateringer af applikationer og operativsystemer så opdateringerne af egne systemer ikke ske sjældnerer end en gang om måneden. Her kan man med fordel benytte Microsoft usender patches månedligt. Anti-virus fungerer hos E&S som ønsket, og opdateringer kommer planmæssigt. Opfølgningen på alarmer kunne godt blive taget mere seriøst. Selvom AV-softwaren sætter virus og mistænkelige filer i karantæne, ville det være en god ide at finde ud af, hvor infektionen kom fra, fx om det har været en fil der er sendt rundt, og til hvem. Antallet af udbrud er på et minimum, og derfor kan man sige, at brugerne er godt opdraget til at vurdere eventuelle filer, som de får tilsendt eller tager med udefra, for eksempel via en USBmemorystick. Derfor vil det på nuværende tidspunkt ikke være en høj-prioritetsopgave at begynde at konfigurere politikker for device- og datacontrol. 40 Adobe Security Bulletins Windows Update -

49 Antivirus 49 Når der bliver gjort undtagelser med hensyn til ikke-tilladte applikationer, så bliver de ikke holdt opdateret. Dette skal der tages hensyn til, en applikation kan være installeret i længere tid med adskillige sikkerhedshuller. Det skal indføres i en opdateringsplan, sammen med opdatering af andet software.

50 FortConsults penetrationstest 50 9 FortConsults penetrationstest 9.1 Baggrund I marts 2011 fik Erhvervs- & Selskabsstyrelsen at vide fra Rigsrevisionen, at de skulle kunne forevise en rapport over deres netværkssikkerhed og at rapporten skulle være skrevet af en uvildig leverandør. Derfor kontaktede jeg FortConsult og fik dem til at foretage en penetrationstest af E&S offentligt tilgængelige IPadresser. En penetrationstest består i at scanne en IP-adresse for åbne porte, hvis der eksisterer åbne porte og scannes der for eventuelle sårbarheder i servicen der svarer. 9.2 Hvad blev testet 40 IP-adresser blev testet, og disse adresser var alle adresser, som var NAT et ud fra DMZ- eller LAN servere. Både front-end webservers, FTP-servere, Microsoft Exchange med mere var heriblandt. Produktet fra FortConsult var en såkaldt StaySolid -test 42 på niveau 1, hvilket omfatter: Test for tilfældige og elementære angreb fra amatør-hackere, virus og orme i form af: Sikkerhedstest med automatiserede værktøjer på både infrastruktur-, platforms- og applikationsniveau Manuel verifikation og fjernelse af falske positiver Resultatet af StaySolid -testen Testen resulterede i, at der blev fundet 107 potentielle sårbarheder, fordelt på 31 unikke sårbarheder. 1 kritisk sårbarhed 10 højprioritetssårbarheder 34 mediumprioritetssårbarheder 62 lavprioritetssårbarheder Den ene kritiske sårbarhed bestod i en Apache webserver, som havde et Axis 2-modul installeret. Dette modul havde et webadministrations-interface som var tilgængeligt eksternt og som havde et default brugernavn og password. Dette ville kunne medføre, at ondsindede hackere ville kunne tilgå siden, uploade egne webservices og eksekvere dem på E&S server. Højprioritetssårbarhederne bestod af forældede Apache http-servere, manglende sikkerheds-patches på Apache Tomcat samt Cross-Site Scripting 44 og en enkelt Windows 2000 server som var tilgængelig. Mellem- og lavprioritetsårbarhederne bestod af forældede SSL-protokoller, untrustede certifikater, tilladte ukrypterede logins, directory browsing og muligheder for bruteforcing af Microsoft Internet Information Services, grundet en forældet version. 42 FortConsult StaySolid Falsk positiv betyder at der kan meldes en fejl i systemet selv om den ikke eksisterer 44 Cross-Site Scripting -

51 FortConsults penetrationstest 51 En samlet oversigt over sårbarhederne kan ses i bilag C. 9.4 Delkonklusion Ud fra FortConsults rapport og de fundne sårbarheder ses tydelige eksempler på, at det er misvedligeholdelse og forglemmelser, der er baggrunden for usikkerhederne. Den kritiske sårbarhed var den letteste at rette op på, da det blot krævede en ændring i en konfigurationsfil. Ved nærmere undersøgelse af systemet, fandt vi ud af, at web-admin-modulet slet ikke blev anvendt. Det viser, at personen som har bedt om adgangen igennem firewallen til denne server, har manglet indsigt i hvad den kunne. De har læst dokumentationen, og ukritisk bedt om at få åbnet alle porte beskrevet i dokumentationen. At både brugernavn og passwordet var standard, underbygger min teori yderligere om, at de applikationsansvarlige har manglet den tekniske baggrundsviden om dette software, før det blev sat i drift. Disse ting er resultat af forglemmelser og manglende teknisk viden, som uddraget i konklusionen i kapitel 2. Dette kan for E&S være en tungtvejende faktor i eventuelle kompromitteringer. Projektlederne kan ikke forventes at være opmærksomme på disse ting, og derfor mener jeg, at systemadministratorer skal rådspørges tidligere i et projektforløb. Resultatet af denne rapport gjorde, at der blev etableret et projekt, hvis mål var at få overblik over alle systemer, applikationer og services, som krævede opdateringer og samt at prioritere dem.

52 Forretningen Forretningen 10.1 Hvad er forretningen Forretningen er den del af en virksomhed som er ansigtet udadtil, det er forretningen der betjener kunder, og tjener pengene. For Erhvervs- & Selskabsstyrelsen er forretningen registrene så som CVR 45, RUT 46 eller Webreg 47, som enten udbyder en service mod brugerbetaling eller gratis. Det er forretningen som anvender de systemer som udvikles og driftes af Center for IT, de har kontakt med folketinget, ministrene og andre statslige institutioner. Det er dem der bliver rykket, hvis et system fejler eller er utilgængeligt for borgere, revisorer eller SKAT. Det er dem som er Erhvervs- & Selskabsstyrelsen. Center for it ligger bagved og sørger for infrastrukturen som forretningen melder fejlende videre til Forretningens krav De krav som forretningen stiller, er at deres systemer er tilgængelige 99 procent af tiden. Center for IT skal yde support på deres PC ere og telefoner. Det er de direkte krav stillet af forretningen. Under support af PC ere ligger også emner såsom og ESDH Forretningens holdning til håndtering af netværk Ovennævnte områder er alle afhængige af netværk, om det så er en enkelt bruger i huset, som ikke har noget netværksadgang til sin computer, en kontorchef der er til konference ude af huset og ikke kan komme på VPN og læse mails, eller en Site-to-Site-VPN til en ekstern driftsleverandør. Dog er forretningen ikke opmærksom på, at der er mange forskellige dele af denne infrastruktur. Forretningen omtaler blot dette som systemet, hvilket ses, når man i Ehvervs- & Selskabsstyrelsen ikke har haft en certificeret netværksansvarlig i to år. Certificeringer er ikke alt, men det giver trods alt en base-line inden for termer, topologi og systemforståelse. Da jeg overtog ansvaret for netværk, havde jeg ikke den store indsigt i Cisco ASA, Catalyst switches, VLAN, subnetting og routing. Derfor indhentede jeg tilbud på Cisco s CCNA-certificering. Dog har man i ledelsen valgt ikke at prioritere dette kursus. I stedet har jeg derfor anvendt NetDesign som eksterne konsulenter. Samlet set overstiger udgifterne til konsulenter og teknikere det beløb, det ville have kostet for den netværksansvarlige at blive CCNA-certificeret. Jeg er af den opfattelse, at forretningen ser netværkadministration som et mindre serviceorgan. Dette er korrekt, men bliver nedprioriteret overfor andre projekter som skaber større synlige resultater overfor forretningen eller offentligeheden. Systemadministration og herunder netværk er et arbejdsområde, som ikke oplever den store ros hvis noget går godt. Til gengæld oplever vi store ris hvis noget fejler, fungerer langsomt eller ikke efter deres hensigt. En driftsafdeling er et serviceorgan, og ville ikke eksistere uden forretningen, som anvender infrastrukturen. Men det opleves at der er en manglende forståelse hvis driftsafdelingen beder om penge til opgraderinger, større storage eller systemer, som kan forbedre vilkårene for brugerne. Dog kan, ifølge forretningen, nye smarte tiltag godt blive tvunget igennem uden problemer, og Center for IT vil derfor få pålagt nye systemer eller opgaver som endnu engang kræver flere resurser. Et 45 Den Centrale Virksomhedsregister Registrering af udenlandske tjenesteydere 47 Webreg er en webservice der tillader virksomhedsoplysninger til Erhvervs- & Selskabsstyrelsen og SKAT

53 Forretningen 53 eksempel her ville være, hvis ledelsen besluttede sig for, at de skulle have adgang til deres Exchange konto via deres mobiltelefon. Et projekt blev sat i gang, og vi fik sat et proof-of-concept op. Der blev åbnet for en ekstern IP-adresse, for at give adgang til vores Exchange-server på indersiden via TCP port 80, en altså ukrypteret forbindelse. Vi gjorde opmærksom på, at det ville anbefales, at der blev opsat endnu en Exchange-server i DMZ-zonen for at håndtere forbindelserne og samtidig bære et certifikat til at kryptere dataene. Løsningen blev godtaget, men resurserne til at konfigurere en ny Exchange-server med certifikat blev ikke godkendt. Denne løsning er blevet anvendt i mere end et år nu, og nu er der sat resurser af til opgradering og implementering af Exchange-servere både i DMZ og LAN. Dog var grunden til dette, at ledelsen nu klagede over Exchange var langsomt, altså var vores gøren opmærksom på den ukrypterede trafik til deres smartphones gået i glemmebogen.

54 Fortrolighed Fortrolighed Under dette opgaveforløb har jeg haft adgang til fortrolige dokumenter, som hvis offentliggjort kan medføre skade på Erhvervs- & Selskabsstyrelsen. Derfor har jeg valgt at begrænse informationer omkring IPadresser og nuværende åbne porte i firewalls. Jeg har derudover haft adgang til fortrolige dokumenter hos FortConsult, som beskriver alle fundne sårbarheder hos Erhvervs- & Skabsstyrelsen. Jeg har henvist til disse dokumenter som bilag. De vil dog ikke indgå som en del af rapporten, men i stedet blive udleveret personligt til vejleder og medbragt til præsentation af rapporten. Indholdet er blot et bevis på, hvilke usikkerheder der findes. Det er min overbevisning, at rapporten stadig kan læses og forstås uden disse dokumenter. Ulf Munkedal fra FortConsult godtager denne metode, så længe jeg kun anvender de uddrag af rapporten, som ikke beskriver FortConsults fremgangsmåder og metodikker.

55 Konklusion Konklusion 12.1 Projektet Formålet med dette projekt har været at kortlægge Erhvervs- & Selskabsstyrelsens netværk, både i forhold til den fysiske føring og konfigurationen. Samtidig har fokus været på, hvordan ændringer i netværket bliver udført og dokumenteret samt hvorledes drifts- og udviklingsafdelingen samarbejder ved når der foretages ændringer. E&S har i flere år ikke haft nogen uddannet person, som har båret ansvaret for netværk og sikkerhed. Derfor har det ligget hen og været udsat for flere ændringer som er påvirket af mange forskellige holdninger og retningslinjer. Implementeringen af ITIL har endnu ikke slået 100 % igennem hos it-driftsafdelingen, som ellers ville kunne danne et mere korrekt overbliks billede og status af infrastrukturen De anvendte processer Måden hele Center for IT anvender ITIL er utilstrækkelig. Til trods for, at ITIL er implementeret og fungerende internt i udviklingsafdelingen skal der dog laves forbedringer mellem udviklings- og driftsafdelingen, og skabes et bedre interface når der skal foretages ændringer i netværket. Bedre inddragelse og sammenarbejde med netværksadministrator under systemudvikling vil skabe færre hastesager, som vil sikre færre midlertidige indstillinger og dermed også et mere dokumenteret og sikkert netværk. Manglen på Configuration Management i E&S ITIL skader processen med at holde dokumentationen af infrastrukturen opdateret. Et konstitueret CAB vil bedre skabe overblik over, hvordan changes bliver gennemført, og man vil via ITIL vil kunne sørge for, at changes bliver bedre forberedt og gennemført Overordnet netværk Netværket fungerer, men alt for meget af konfigurationen og dokumentationen er mangelfuld. Konfigurationerne af de forskellige netværkskomponenter er uoverskuelige og forældede, og derfor vil det skabe unødvendig nedetid i form af service eller udskiftning af komponenter. Anvendelsen af backupløsningen skal klarlægges således, at en netværksforbindelse hurtigt kan reetableres. Der skal foretages en koncentreret gennemgang af det fysiske netværk og kablingen skal kortlægges og dokumenteres, hvorved man vil kunne genvinde tillid til netværket, da man til sidst vil kunne fremvise et funktionelt netværk. Ved regelmæssig afprøvning og opdatering ville E&S driftsafdeling kunne dokumentere, at netværket er funktionelt og derved spare tid med unødvendig fejlsøgning af netværket. Herunder gælder regelmæssig afprøvning af redundansen i netværket også, og der skal ikke mindst foreligge en dokumenteret afprøvning. Hvad angår firewall, viser penetrationstestet fra FortConsult sammenholdt med de anvendte processer, at der skal være et større sammenarbejde mellem udvikling- og driftsafdelingen. Ved at have fulgte retningslinjer minimerer man de risici, som blev præsenteret i penetrationstesten. Vedligeholdelsen af firewall skal ske på regelmæssigt plan. Når man har et overskuelig og velbeskrevet regelsæt, vil en overdragelse til anden person eller assistance fra eksterne konsulenter nemmere udføre en opgave og servicere. Den netværksansvarlige skal sørge for, at firewallen kører opdateret og sikker firmware. Den hidtidige misvedligeholdelse har nu skabt grundlag for mulig nedetid, da opdatering af firmware kræver genstart og afprøvning. Ydermere vil en sikkerhedsprocedure i form af regelmæssigt skidt af password og gennemgang af brugere

56 Konklusion 56 forbedre sikkerheden og dokumenteringen deraf. En genindsættelse af Cisco NAC-systemet vil være anbefalelsesværdig, da dette vil være et effektivt værktøj mod udefrakommende personer, som ville forsøge at tilgå E&S netværk i de lettilgængelige områder. Ovennævnte er meget sandsynligt resultatet af længere tids misvedligeholdelse, da der i længere tid ikke har været en fuld ud kompetent person til at løfte ansvaret for netværket E&S it-miljø Opbygningen af E&S it-miljø er som forskrevet jf. DS 484 kapitel , men anvendelsen af det er ikke korrekt. Den ufuldstændige adskillelse af udviklings-, test- og produktionssystemer kan være store bidragende faktorer i systemkompromitteringer. Med en strengere håndhævelse af retningslinjerne og deltagelse i systemers udvikling og den fulde udnyttelse af E&S virtuelle miljøer, kan man let adskille systemerne og derved leve op til DS 484 og skabe en mere sikker infrastruktur. Inddragelsen af driftsafdelingen ved begyndelsen af systemudvikling kan ydermere skabe en bedre overdragelse af systemet. Ved at have en god overdragelse, gives mulighed for at bedre vedligeholde og opdatering af systemet på længere sigt. Disse opdateringsplaner skal planlægges således, at operativsystemer på både servere, workstation, services og applikationer så vidt muligt holdes opdateret og sikre. På nuværende tidspunkt er E&S opmærksom på, at infrastrukturen skal opdateres, men der er endnu ikke fastlagt nogle klare retningslinjer. Dette kan være medansvarligt i eventuelle systemnedbrud eller kompromitteringer Anti-virus Der skal ske forbedringer i brugen af anti-virus-software, og der skal følges skarpt op på mistænkelige filer og data. Undtagelser i tilladte applikationer kan ikke forbigås, da der altid vil være nogle programmer som er nødvendige. Dette kræver så, at der regelmæssigt følges op på dem. Her vil indførslen af Configuration Management være med til at lette overblik over applikationerne. Med stigningen af hackere der forsøger at tilgå systemer igennem brugernes Pc er ved hjælp af malware, skal der være mere opmærksomhed på inficerede computere Forretningen Forretningen i E&S er på nuværende tidspunkt ikke opmærksom de mulige farer ved netværkets tilstand. Dette forventes dog at ændre sig efter omstruktureringen af Center for IT. En chef hvis eneste ansvar er drift af systemer og infrastruktur, har nu muligheden for bedre at sætte sig ind i netværkets mangler og tage dem op på chefmøder med forretningen og derved skaffe resurser til at få løst de eventuelle problemer. Sikkerheden skal prioriteres højere, på nuværende tidspunkt bliver infrastrukturens funktionalitet sat højere end sikkerheden. Systemsikkerhed og funktionalitet skal balanceres bedre, sikkerhed er godt, men ikke når systemet er så sikkert ingen kan benytte det Evaluering Denne opgave omhandler netværk, sikkerhed og processer i Erhvervs- & Selskabsstyrelsen. Jeg har valgt at gøre opmærksom på mangler og mulige løsninger, for at skabe et mere strømlinet og sikkert netværk for E&S. Da jeg har arbejdet i E&S i over fire år og fik tilbuddet om at være ansvarlig for netværk, valgte jeg at bruge skriveprocessen for denne opgave til at udvide min viden og erfaring om E&S netværk. Før dette

57 Konklusion 57 havde jeg ikke nogen erfaring med netværk, og har derfor søgt viden fra kolleger, bøger og online dokumentation. Opgaveforløbet er gået som forventet, i form af, at jeg har fået større viden om ITIL, netværk og vigtigheden i sikkerhed. Ved at læse DS 484 og Verizons sikkerhedsrapporter har jeg fået stor indsigt i, hvilke områder man normalt overser. Heraf kan jeg se, hvordan E&S passer ind i statistikkerne om hvilke faktorer som var medskyldige til systemkompromitteringer og datatab. Mit ønske er med denne rapport er, at åbne øjnene for alle instanser i E&S og forhåbentlig vise, hvor vigtigt det er, at få tildelt flere resurser til at udføre netværksændrnger i praksis i Erhvervs- & Selskabsstyrelsen.

58 Referencer Referencer Dansk Standard (2005) Standard for Informationssikkerhed, DS 484:2005. Platt, Warren (2010). Når midlertidige standardindstillinger bliver permanente, Børsens Ledelseshåndbog om it-sikkerhed Ahmad, Shehzad (2010). Beskyt brugernes pc r mod angreb, Børsens Ledelseshåndbog om it-sikkerhed Central Computer and Telecommunications Agency (CCTA). (2000). Best Practice For Service Support (ISBN ) CERT/CC CERT Statistics (Historical), maj FortConsult Klar besked om sikkerhedshuller, maj F-Secure Up, Up and Away, maj Sophos Sophos Endpoint Secuity and Control, maj VMWare VMWare ESXi - VMWare vsphere - VMware View - VMware ThinApp - Wikipedia VMWare ESXi - VMWare vsphere - High-availability - Storage Area Network - Thin Client - Cross-Site scripting - Folketingets beslutnings-forslag Samling , B 103 Forslag til folketingsbeslutning om anvendelse af åbne standarder for software i det offentlige. Pearson Computer Networking, A Top-Down Approach - 4. Udgave (ISBN ) Cisco.com Cisco Adaptive Security Device Manager (ASDM) -

59 Referencer 59 Cisco Adaptive Security Appliance Product (ASA) - ecd802930c5.html Regeringen, KL og Danske Regioner (2007) Strategi for digitalisering af den offentlig sektor Mod bedre digital service, øget effektivisering og stærkere samarbejde. Schultz Distribution. Tilgået 1.maj 2011 på tning/strategi_for_digital_forvaltning_ _endelig.pdf (ISBN: ) Verizon (2008) Data Breach Investigatios Report,

60 Bilag A E&S RFC blanket Bilag A E&S RFC blanket Dokumentnavn: RFC_blanket-3-8.doc Blanket version 3.8 (Feb 2010) Request For Change (RFC) Titel: F.eks. RUT - Opgradering til version Dato: For udfyldelse af RFC. DD-MM-YY Service navn og ydelses nr.: Eksternt Change nr: F.eks. RUT, ydelsesnummer. Miljø: Dev, Test, PP eller Prod ES Change nr: Udførende leverandør(er): Firmanavn Navn Telefon ES Change Coordinator: Projektleder eller Systemadministrator Navn Telefon Oplysninger om ændringen Beskrivelse af ændringen: Hvad får ES ud af ændringen? Er ændringen udført i et forgående (test)miljø?: - Hvad ønskes ændret? - Hvorfor ønskes ændringen? - Evt. versionsnr hvis relevant Ja, hvilket change nummer / Nej, hvad er da årsagen? Afhængigheder? Dette system afhængigt af: Hvilke system er dette system afhængigt af? Hvilke systemer afhænger af dette? Hvem bliver berørt af denne ændring? Konsekvens for overvågningen? Systemer som er afhængige af dette: Hvem skal underrettes? F.eks.: CVR kontoret, brugere af Webreg. Betyder ændringen at der skal laves om på overvågningen? Prioritet af gennemførelse: (sæt kryds) Hvor vigtigt er det for ES at ændringen gennemføres? Høj: Mlm: Lav: Begrundelse for den valgte prioritet.

61 Bilag A E&S RFC blanket 61 Hvem kan teste og klarmelde at changen er gennemført Evt udvikler på changen Hvornår forventes ændringen udført: Fra arbejde påbegyndes til ændringen forventes Fra: Dato Klokken Til: Dato Klokken Implementering Implementeringsplan: Teknisk beskrivelse af ændringen. Hvilke servere indgår i ændringen, og hvor er de placeret? Risikovurdering: (sæt kryds) Hvordan testes, at changen er fejlfrit gennemført? Beskrivelse af Fall-Back plan: ES, Rambøll, KMD, osv + Hostname + IP adresse Høj: Mlm: Lav: Beskriv mulige risici ved samt konsekvens(er) ved implementering Hvordan kontrollerer man at det ændrede virker. Kriterier for fallback (seneste tidspunkt for succes) Hvornår den iværksættes der fallback og hvem/hvad afgører at det sker? Dokumentations opdatering. Link til dokumentation. Hvem udfører opdateringen. Hvad skal der udføres for at komme tilbage. - Link - Navn, telefonnr, , firma Godkendelse Kommentar Godkendt af Change Manager Bruges når RFC skal sendes til eksterne DD-MM-YY, Initialer

62 Bilag A E&S RFC blanket 62 Post Implementation Review (PIR) Evaluering af ændringen. Dato: For udfyldelse af PIR. DD-MM-YY Bemærkninger til implementeringsforløbet: Andre relevante oplysninger: Når ændringen er implementeret, delvist implementeret eller der er sket en roll-back sendes denne side 2 til EogS Change Manager og den ansvarlige projektleder.

63 Bilag B Redigeret RFC blanket til ændring af netværk Bilag B Redigeret RFC blanket til ændring af netværk Request For Change (RFC) Titel: F.eks. Adgang mellem Webregproxyfront og back Dato: For udfyldelse af RFC. DD-MM-YY Service navn: F.eks. Webreg. Miljø: Dev, Test, PP eller Prod RFC Ejer: Projektlederen ønsker ændringen der Netværksansvarlig: Systemadministrator der foretager ændringen Oplysninger om ændringen Beskrivelse af ændringen: - Hvad ønskes ændret? - Hvorfor ønskes ændringen? Servere: Kilde: Destination: IP-adresse IP-adresse TCP: Protokol & Porte: (sæt kryds) UDP: Andet: Portnumre Permanent ændring: Ja/Nej Ændringen skal være gældende til DD-MM-YY Kontakt for afprøvning af forbindelse: Navn, mail, telefonnummer Hvornår forventes ændringen udført: Dato Klokken

64 Bilag C Sårbarheder fundet af FortConsult Bilag C Sårbarheder fundet af FortConsult De 14 sider fra FortConsult s StaySteady rapport er klassificeret som fortroligt, efter aftale med FortConsult må disse 14 sider anvendes. De indeholder lister over alle fundne sårbarheder og hvilke IP-adresser de blev fundet på. Bilaget bliver personligt udleveret til vejleder og jeg vil medbringe dem til præsentation af rapporten.

65 Bilag D Diagram over tidligere fysisk netværk Bilag D Diagram over tidligere fysisk netværk

66 Bilag E1 Diagram over nuværende fysisk netværk Bilag E1 Diagram over nuværende fysisk netværk

67 Bilag E2 Foreslået redundans mellem ESXi hosts og coreswitches Bilag E2 Foreslået redundans mellem ESXi hosts og coreswitches

Service Level Agreement (SLA)

Service Level Agreement (SLA) Service Level Agreement (SLA) vedrørende IT-Backend mellem Gymnasiefællesskabet og Allerød Gymnasium Roskilde Katedralskole Roskilde Gymnasium Himmelev Gymnasium Greve Gymnasium Solrød Gymnasium Køge Gymnasium

Læs mere

Bilag 10 Nuværende IT-installation

Bilag 10 Nuværende IT-installation Bilag 10 Nuværende IT-installation Ikast-Brande Kommunes serverpark er i høj grad virtualiseret på VMware ESX 4.0 platform, baseret på HP SAN/storage og HP BladeSystem c7000 Enclosure med i alt 13 ProLiant

Læs mere

Region Midtjylland Proces for Change Management

Region Midtjylland Proces for Change Management Region Midtjylland Proces for Change Management Version 1.1 Forord Dette dokument beskriver RMIT s Change Management proces. Processen beskriver minimumskravene (need to have) for at få processen til at

Læs mere

Basal TCP/IP fejlfinding

Basal TCP/IP fejlfinding Basal TCP/IP fejlfinding Dette notat beskriver en række enkle metoder til fejlfinding på TCP/IP problemer. Metoderne er baseret på kommandoer, som er en fast bestanddel af Windows. Notatet er opbygget

Læs mere

Sikkerhedsanbefaling. Forholdsregler ved ophør af serviceopdateringer til Windows XP Embedded

Sikkerhedsanbefaling. Forholdsregler ved ophør af serviceopdateringer til Windows XP Embedded Sikkerhedsanbefaling Forholdsregler ved ophør af serviceopdateringer til Windows XP Embedded Juli 2014 Indledning Microsoft har annonceret, at selskabet den 31. december 2016 frigiver den sidste serviceopdatering

Læs mere

Har det en værdi og hvordan kommer du i gang?

Har det en værdi og hvordan kommer du i gang? Virtualisering? Har det en værdi og hvordan kommer du i gang? Torben Vig Nelausen Produktchef Windows Server, Microsoft og Claus Petersen Senior Partner Technology Specialist, Microsoft Agenda Hvad er

Læs mere

Mariendal IT - Hostingcenter

Mariendal IT - Hostingcenter ariendal IT - Hostingcenter ariendal IT - Hostingcenter ed vores topsikrede og professionelle hostingcenter tilbyder vi flere forskellige hostede løsninger I denne brochure kan du danne dig et overblik

Læs mere

Service Level Agreement Version 2.0 d. 1. april 2014

Service Level Agreement Version 2.0 d. 1. april 2014 Service Level Agreement Version 2.0 d. 1. april 2014 EDB-Eksperten.dk 1. Præambel... 3 1.1. Definitioner... 3 1.2. Produktomfang... 3 2. Driftsvindue og tider... 3 2.1. Driftsvindue... 3 2.2. Åbningstid...

Læs mere

Sådan håndterer Danish Crown sin industrielle IT-sikkerhed

Sådan håndterer Danish Crown sin industrielle IT-sikkerhed Sådan håndterer Danish Crown sin industrielle IT-sikkerhed DAU d. 7 marts 2013 CV Firma : Navn : Afdeling : Titel : Alder : Danish Crown A/S Thomas Page Pedersen Factory IT Afdelingschef 43 år Danish Crown

Læs mere

Bilag 2A: IT-status i Ikast-Brande Kommune. Januar 2014

Bilag 2A: IT-status i Ikast-Brande Kommune. Januar 2014 Bilag 2A: Januar 2014 Side 1 af 5 1. Indledning... 3 2. Statusbeskrivelse... 3 3. IT infrastruktur og arkitektur... 4 3.1. Netværk - infrastruktur... 4 3.2. Servere og storage... 4 3.3. Sikkerhed... 4

Læs mere

Kontraktbilag 4 Kundens IT-miljø

Kontraktbilag 4 Kundens IT-miljø Kontraktbilag 4 Kundens IT-miljø [Vejledning til Leverandøren i forbindelse med afgivelse af tilbud Dette bilag indeholder Kundens krav til at systemet skal kunne afvikles i nedenstående IT-miljø. Leverandøren

Læs mere

Forår 2012 - Firewalls

Forår 2012 - Firewalls Syddansk Universitet DM830 - Netværkssikkerhed Imada - Institut for matematik og datalogi Forår 2012 - Firewalls Forfatter: Daniel Fentz Johansen Alexei Mihalchuk Underviser: Prof. Joan Boyar Indhold 1

Læs mere

Sikkerhedspolitik Version 4.0506 d. 6. maj 2014

Sikkerhedspolitik Version 4.0506 d. 6. maj 2014 Nærværende dokument beskriver de sikkerhedsforanstaltninger, som leverandøren har opstillet til den interne fysiske sikkerhed, datasikkerhed, logisk sikkerhed og sikkerhed i forbindelse med netværk, firewall

Læs mere

DAU REMOTE ACCESS LØSNINGSMULIGHEDER OG TEKNOLOGIER MED REMOTE ACCESS JOHN AMMENTORP

DAU REMOTE ACCESS LØSNINGSMULIGHEDER OG TEKNOLOGIER MED REMOTE ACCESS JOHN AMMENTORP DAU REMOTE ACCESS LØSNINGSMULIGHEDER OG TEKNOLOGIER MED REMOTE ACCESS JOHN AMMENTORP AGENDA 01 Kort præsentation 02 Behov i forbindelse med de 4 dimensioner 03 Koncept for sikker forbindelser 04 Netværkssikkerhed

Læs mere

Undervisningen, H6. Hovedforløb 6. Undervisningsfag. Bekendtgørelsesfag. Netværksdesign, CCDP, ARCH

Undervisningen, H6. Hovedforløb 6. Undervisningsfag. Bekendtgørelsesfag. Netværksdesign, CCDP, ARCH Undervisningen, H6 Hovedforløb 6 5 ugers varighed Undervisningsfag Bekendtgørelsesfag Grundfag: erverteknolog Blandet miljø erverteknologi - Design af datacenterløsning Områdefag: Bundne specialefag: erverteknologi

Læs mere

IT-Center Syd IT-Ydelseskatalog

IT-Center Syd IT-Ydelseskatalog IT-Ydelseskatalog April 2011 /PEM pem@itcsyd.dk Side 1/14 - Deres ref.: Vores ref.: Indholdsfortegnelse IT-Ydelseskatalog... 1 Indledning... 3 IT organisation... 3 Afdelingstruktur... 3 Adgang/Licenser

Læs mere

as a Service Dynamisk infrastruktur

as a Service Dynamisk infrastruktur Dynamisk infrastruktur Vi bygger dynamisk infrastruktur...... og holder den kørende Om jeres it-infrastruktur fungerer optimalt, er i bund og grund et spørgsmål om kapacitet. Og så er det et spørgsmål

Læs mere

Undervisningen, H3. Hovedforløb 3. Total antal Lektioner. Operativsystemer 3. Netværk 3. Projekt. Områdefag: Netværk 3 36 18 54

Undervisningen, H3. Hovedforløb 3. Total antal Lektioner. Operativsystemer 3. Netværk 3. Projekt. Områdefag: Netværk 3 36 18 54 Undervisningen, H3 Hovedforløb 3 5 ugers varighed Netværk 3 Operativsystemer 3 Projekt Total antal Lektioner Områdefag: Netværk 3 36 18 54 Bundne specialefag: Operativsystemer 3 72 18 90 Fejlfinding 36

Læs mere

Hosted løsning... 3. Hosted produkter... 4. Dedikeret server hosting... 5. Virtuel server hosting... 6. Shared Office hosting... 7

Hosted løsning... 3. Hosted produkter... 4. Dedikeret server hosting... 5. Virtuel server hosting... 6. Shared Office hosting... 7 2011 Indhold Hosted løsning... 3 Hosted produkter... 4 Dedikeret server hosting... 5 Virtuel server hosting... 6 Shared Office hosting... 7 Exchange hosting... 8 Remote Backup... 9 Hosted løsning Hosting

Læs mere

Service Level Agreement

Service Level Agreement Nærværende dokument klarlægger de serviceforpligtelser, som Leverandøren har over for Kunden, i forbindelse med deres indbyrdes aftaleforhold. Forpligtelserne er gældende såfremt den tilhørende hostingaftale

Læs mere

Service Level Agreement

Service Level Agreement Service Level Agreement Dette dokument vil gennemgå de serviceforpligtelser, som leverandøren har til kunden i forbindelse med en købsaftale, forudsat der specifikt er henvist til den korrekte versionering

Læs mere

Hosting. Managed Hosting - Læg jeres IT ud af huset - og spar tid og besvær.

Hosting. Managed Hosting - Læg jeres IT ud af huset - og spar tid og besvær. Hosting Managed Hosting - Læg jeres IT ud af huset - og spar tid og besvær. Mange virksomheder bruger i dag alt for mange ressourcer på at vedligeholde egne servere og IT-løsninger. Men faktisk er hosting

Læs mere

Danmarks Evalueringsinstitut Kravspecifikation udbud - Private Cloud Hosting

Danmarks Evalueringsinstitut Kravspecifikation udbud - Private Cloud Hosting Danmarks Evalueringsinstitut Kravspecifikation udbud - Private Cloud Hosting Danmarks Evalueringsinstitut Kravspecifikation udbud - Private Cloud Hosting 2015 1.1 09.03.2015 Danmarks Evalueringsinstitut

Læs mere

IT Support Guide. Opsætning af netværksinformationer i printere

IT Support Guide. Opsætning af netværksinformationer i printere IT Support Guide Denne guide er hentet på www.spelling.dk Program: Hardware / Software Program sprog version: Guide emne: Opsætning af netværksinformationer i printere Publikationsnr.: 040109.02.01 Udgivet

Læs mere

3. Menuen Start -> Programs -> OpenVPN åbnes, og "My Certificate Wizard" vælges:

3. Menuen Start -> Programs -> OpenVPN åbnes, og My Certificate Wizard vælges: Opsætning af VPN forbindelse til DRC En VPN forbindelse gør det muligt for en hjemmecomputer, eller en bærbar computer, at få adgang til DRCs interne lokalnet fra en vilkårlig internetforbindelse. Forudsætninger

Læs mere

Jan Hansen, AMP CMDB Specialist

Jan Hansen, AMP CMDB Specialist Jan Hansen, AMP CMDB Specialist Hansen@ampartner.com Hvad er en CMDB? Et register over enheder (ITIL sk: Configuration Items eller CIs) CIs indeholder relevante oplysninger: attributter Sammenhænge eller

Læs mere

SLA Service Level Agreement

SLA Service Level Agreement SLA Service Level Agreement Indholdsfortegnelse 1 Service Level Agreement... 1 2 Driftsvindue og oppetid... 1 2.1 Servicevindue... 1 2.1.1 Ekstraordinær service... 1 2.1.2 Patch Management... 1 2.1.3 Åbningstid...

Læs mere

22. juni 2010 KMD A/S DIAS 1. Infrastructure Optimization. Greve Kommune. Jesper Skov Hansen Løsningsarkitekt KMD A/S jhs@kmd.dk

22. juni 2010 KMD A/S DIAS 1. Infrastructure Optimization. Greve Kommune. Jesper Skov Hansen Løsningsarkitekt KMD A/S jhs@kmd.dk DIAS 1 Infrastructure Optimization Greve Kommune Jesper Skov Hansen Løsningsarkitekt KMD A/S jhs@kmd.dk Agenda DIAS 2 _ Formål med IO _ Gennemgang af IO modellen _ IO analyse hos Greve Kommune _ Opsummering

Læs mere

IT på 1st klasse. Ring på telefon 70 22 66 75. www.1stlevel.dk. eller e-mail kontakt@1stlevel.dk

IT på 1st klasse. Ring på telefon 70 22 66 75. www.1stlevel.dk. eller e-mail kontakt@1stlevel.dk IT på 1st klasse 1stLevel er et IT firma. Det koster ikke noget at få en samtale med 1stLevel. Det er det bedste du kan gøre i dag. Ring på telefon 70 22 66 75 eller e-mail kontakt@1stlevel.dk www.1stlevel.dk

Læs mere

CV: På de efterfølgende sider er mit karriereforløb beskrevet.

CV: På de efterfølgende sider er mit karriereforløb beskrevet. CV: På de efterfølgende sider er mit karriereforløb beskrevet. Jeg har i alt 17 års erfaring inden for systemdrift af netværk/servere i en stor og middelstor virksomhed. CV et er delt op, således: Kompetencer.

Læs mere

Underbilag 2.24 Kommunernes it-miljø

Underbilag 2.24 Kommunernes it-miljø Underbilag 2.24 Kommunernes it-miljø Indholdsfortegnelse Vejledning... 3 1 Indledning... 3 2 Sagsbehandling Klientmiljø... 3 2.1 Operativsystem... 3 2.2 Browser... 5 2.3 Runtime Miljøer... 6 2.4 Fysiske

Læs mere

SERVICE LEVEL AGREEMENT for levering af In & Outbound Datacenters IT-Ydelser

SERVICE LEVEL AGREEMENT for levering af In & Outbound Datacenters IT-Ydelser SERVICE LEVEL AGREEMENT for levering af In & Outbound Datacenters IT-Ydelser iodc (In & Outbound Datacenter) Hvidovrevej 80D 2610 Rødovre CVR 35963634 ( IODC ) Version 1.0 1 1. Forudsætninger... 3 2. Ansvar

Læs mere

Kom i trygge hænder med dedikeret support til din Cognos-platform EG IBM. Cognos. Support. EG Performance Management www.eg.dk/pm

Kom i trygge hænder med dedikeret support til din Cognos-platform EG IBM. Cognos. Support. EG Performance Management www.eg.dk/pm Kom i trygge hænder med dedikeret support til din Cognos-platform EG IBM Cognos Support EG IBM Cognos Support - Tillægsydelser EG IBM Cognos Support EG Support EG IBM Cognos Supportydelser - få præcis

Læs mere

ITIL Foundation-eksamen

ITIL Foundation-eksamen ITIL Foundation-eksamen Prøveopgave A, version 5.1 Multiple choice Vejledning 1. Alle 40 spørgsmål bør forsøges besvaret. 2. Alle svar skal markeres på det vedlagte svarark. 3. Du har 1 time til at løse

Læs mere

S E R V I C E L E V E L A G R E E M E N T for. Netgroups levering af IT-ydelser m.v.

S E R V I C E L E V E L A G R E E M E N T for. Netgroups levering af IT-ydelser m.v. S E R V I C E L E V E L A G R E E M E N T for Netgroups levering af IT-ydelser m.v. Netgroup A/S Store Kongensgade 40 H 1264 København K CVR-nr.: 26 09 35 03 ( Netgroup ) Version 4.4 1. Forudsætninger...

Læs mere

Velkomstmappe ectrl. Deloitte Birkerød Kongevej 25C 3460 Birkerød Telefon 45 94 50 00

Velkomstmappe ectrl. Deloitte Birkerød Kongevej 25C 3460 Birkerød Telefon 45 94 50 00 Velkomstmappe ectrl Deloitte Birkerød Kongevej 25C 3460 Birkerød Telefon 45 94 50 00 Indholdsfortegnelse HVAD ER ECTRL?... 3 SUPPORT... 3 INSTALLATIONSVEJLEDNING TIL ECTRL... 4 OPRETTELSE OG ADMINISTRATION

Læs mere

Underbilag 2.24 Kommunernes it-miljø Kommunernes Ydelsessystem

Underbilag 2.24 Kommunernes it-miljø Kommunernes Ydelsessystem Underbilag 2.24 Kommunernes it-miljø Kommunernes Ydelsessystem Indholdsfortegnelse 1 Indledning... 3 2 Sagsbehandling Klientmiljø... 3 2.1 Operativsystem... 3 2.2 Browser... 5 2.3 Runtime Miljøer... 6

Læs mere

Erfaringer med Information Management. Charlottehaven Jens Nørgaard, NNIT A/S jnqr@nnit.com

Erfaringer med Information Management. Charlottehaven Jens Nørgaard, NNIT A/S jnqr@nnit.com Erfaringer med Information Management Charlottehaven Jens Nørgaard, NNIT A/S jnqr@nnit.com Agenda Hvor ligger virksomhedens information gemt og hvor opstår kravet til at finde denne information. Find Find

Læs mere

Brian Ladefoged Albert Dams Vej 4, 8660 Skanderborg Tlf.: 5155 3131 brian@ladefoged.net

Brian Ladefoged Albert Dams Vej 4, 8660 Skanderborg Tlf.: 5155 3131 brian@ladefoged.net PERSONLIGE DATA Navn: Brian Ladefoged Adresse: Albert Dams Vej 4, 8660 Skanderborg Telefon: 5155 3131 E mail: brian@ladefoged.net Fødselsdato: 26. juli 1976 Civilstand: ugift, ingen børn PERSONPROFIL Ung

Læs mere

Opsætning af MobilePBX med Kalenderdatabase

Opsætning af MobilePBX med Kalenderdatabase Opsætning af MobilePBX med Kalenderdatabase Dette dokument beskriver hvorledes der installeres Symprex Exchange Connector og SQL Server Express for at MobilePBX kan benytte kalenderadadgang via database

Læs mere

APPLIKATIONSARKITEKTUR ERP INFRASTRUKTUR. EG Copyright

APPLIKATIONSARKITEKTUR ERP INFRASTRUKTUR. EG Copyright APPLIKATIONSARKITEKTUR ERP INFRASTRUKTUR EG Copyright Infrastruktur er mere end nogle servere... Den Mentale Infrastruktur Den Fysiske Infrastruktur Den Mentale Infrastruktur Vi vil jo gerne have vores

Læs mere

Åbning af porte og UPnP

Åbning af porte og UPnP Åbning af porte og UPnP Denne guide har til formål at hjælpe dig med at åbne for porte i din router og/eller aktivere UPnP. Det kan være nødvendigt at åbne porte i ens router hvis man for eksempel anvender

Læs mere

HELLO INSTALLATIONS GUIDE - DANSK RACKPEOPLE

HELLO INSTALLATIONS GUIDE - DANSK RACKPEOPLE HELLO INSTALLATIONS GUIDE - DANSK RACKPEOPLE 1 Tekniske Krav 1.1 Hardware krav: En skærm gerne med touch Hvis skærmen ikke har touch, skal du bruge et tastatur og en mus Webcam Gerne i HD En ekstern lydenhed

Læs mere

SSSystems.local. Netværk. Sikkerhed. Webserver

SSSystems.local. Netværk. Sikkerhed. Webserver SSSystems.local Netværk Vi har valgt at bygge vores netværk på en måde der sikre at trafik fra DMZ en ikke kan komme ned til vores LAN. Både ved hjælp af firewall regler og NAT. Men for at sikre at vi

Læs mere

Agenda. Typiske udfordringer. Begreber omkring recovery. Forretningens krav. Metoder/muligheder. Recovery med TSM. Nye teknologier

Agenda. Typiske udfordringer. Begreber omkring recovery. Forretningens krav. Metoder/muligheder. Recovery med TSM. Nye teknologier Agenda Typiske udfordringer Begreber omkring recovery Forretningens krav Metoder/muligheder Recovery med TSM Nye teknologier Afrunding - spørgsmål Typiske udfordringer Ingen SLA fra forretningen på systemer

Læs mere

DI og DI ITEK's vejledning om informationssikkerhed med fokus på produktionsapparatet - mellemlederens ansvar og rolle (II)

DI og DI ITEK's vejledning om informationssikkerhed med fokus på produktionsapparatet - mellemlederens ansvar og rolle (II) DI og DI ITEK's vejledning om informationssikkerhed med fokus på produktionsapparatet - mellemlederens ansvar og rolle (II) 1 Udgivet af: DI ITEK Redaktion: Henning Mortensen ISBN: 978-87-7353-951-4 0.05.12

Læs mere

Solutions Day. IT Service Management. Globeteam ITSM

Solutions Day. IT Service Management. Globeteam ITSM Solutions Day IT Service Globeteam ITSM Indhold IT Service Introduktion til ITSM og ITIL Angrebsvinkel til ITIL Case - Kriminalforsorgen ITSM værktøjer Afrunding Hans Christian Holst ITSM konsulent hch@globeteam.com

Læs mere

EasyIQ Opdatering 5.2.3 -> 5.4.0

EasyIQ Opdatering 5.2.3 -> 5.4.0 EasyIQ Opdatering 5.2.3 -> 5.4.0 Kunde: Forfatter: Thomas W. Yde Systemtech A/S Side: 1 af 17 1 Indholdsfortegnelse 2 GENERELT OMKRING FORUDSÆTNINGEN OG OPDATERINGS FORLØBET... 3 2.1 FORUDSÆTNINGER...

Læs mere

Opdatering af ISOWARE til version 6.1.0

Opdatering af ISOWARE til version 6.1.0 Opdatering af ISOWARE til version 6.1.0 September 2015 Indhold Kontaktoplysninger... 1 VIGTIGT... 2 Opdatering af trejdepartssoftware... 2 Opdatering til version 6.1.0.... 2 1. Backup af databasen... 3

Læs mere

Cloud i brug. Migrering af Digitalisér.dk til cloud computing infrastruktur

Cloud i brug. Migrering af Digitalisér.dk til cloud computing infrastruktur Cloud i brug Migrering af Digitalisér.dk til cloud computing infrastruktur 02 Indhold > Executive Summary............................................................... 03 Digitaliser.dk.....................................................................

Læs mere

Kundens IT miljø - Region Midtjylland

Kundens IT miljø - Region Midtjylland Kundens IT miljø - Region Midtjylland af Peder Thorsø Lauridsen, it-arkitekt, Arkitektur og Design. Revideret 16. maj 2011. Kundens IT miljø - Region Midtjylland Overordnet beskrivelse af it-installationen

Læs mere

Dit netværk er vores højeste prioritet!

Dit netværk er vores højeste prioritet! Dit netværk er vores højeste prioritet! Hvor sikker er du på dit netværk? Netværkssikkerhed er ingen selvfølge. Det har mange virksomheder måttet konstatere den seneste tid. Vi har været vidne til gentagne

Læs mere

Fujitsu Siemens Computer

Fujitsu Siemens Computer Ivan Warrer Kongsager 12 2620 Albertslund Tlf. 43 64 44 13 Erhvervserfaring genereret indenfor IT over 20 år. Profilresume: Jeg har mere end 20 års erhvervs erfaring indenfor IT som havde sin begyndelse

Læs mere

DD110 - Detaljeret projektplan

DD110 - Detaljeret projektplan Version: 1.3 Status: Godkendt Godkender: Dokumenthistorik Version Dato Navn Status Bemærkninger 1.0 9-11-2007 Endelig Initiel version 1.1 22-11-2007 Godkendt 1.2 28-11-2007

Læs mere

Ydelser Af ydelseskataloget fremgår det, hvilke grundydelser, der skal løses af gymnasiefællesskabet, og hvilke opgaver der skal løses af skolen.

Ydelser Af ydelseskataloget fremgår det, hvilke grundydelser, der skal løses af gymnasiefællesskabet, og hvilke opgaver der skal løses af skolen. Opdateret 29. november 2011 Bilag 3 til samarbejdsaftalen Område: IT-service og support Opgaver Support af administrativ og undervisningsmæssig IT på gymnasierne. Overordnet ansvar for udvikling og implementering

Læs mere

Vejledning til Teknisk opsætning

Vejledning til Teknisk opsætning Vejledning til Teknisk opsætning v. 1.0 Adm4you, 2010. Indhold Kort om denne vejledning... 3 Generelt om easyourtime... 3 Installation af databasen... 3 Sikkerhed og rettigheder... 4 SQL Login... 4 Rettigheder

Læs mere

ERP. Uddrag af artikel trykt i ERP. Gengivelse af denne artikel eller dele heraf er ikke tilladt ifølge dansk lov om ophavsret.

ERP. Uddrag af artikel trykt i ERP. Gengivelse af denne artikel eller dele heraf er ikke tilladt ifølge dansk lov om ophavsret. ERP Uddrag af artikel trykt i ERP. Gengivelse af denne artikel eller dele heraf er ikke tilladt ifølge dansk lov om ophavsret. Børsen Ledelseshåndbøger er Danmarks største og stærkeste videns- og udviklingsklub.

Læs mere

Standardiseret tilgang til Software Asset Management. ISACA Medlemsmøde 2013 Jan Øberg ØBERG Partners

Standardiseret tilgang til Software Asset Management. ISACA Medlemsmøde 2013 Jan Øberg ØBERG Partners Standardiseret tilgang til Software Asset Management ISO19770 ISACA Medlemsmøde 2013 Jan Øberg ØBERG Partners 1 WG21 historien ISO19770 arbejder i WG21 under ISO Etableret i 2001 Første standard 19770-1

Læs mere

Individuel specialisering

Individuel specialisering Individuel specialisering Navn: Uddannelse: Emne: Vejleder: Sted: Peter Ditlevsen, pd12054@stud.noea.dk IT- og Elektronikteknolog, 4. semester Serveradministration Ib Helmer Nielsen UCN T&B Dato: 7. maj

Læs mere

Tilslutning med Cisco AnyConnect VPN-klient (Windows) til AARHUS TECH P-net

Tilslutning med Cisco AnyConnect VPN-klient (Windows) til AARHUS TECH P-net 18. november 2011 Vejledning Windows 7 - eklient Opkobling via ADSL eller anden kabelforbindelse til P-net. Tilslutning med Cisco AnyConnect VPN-klient (Windows) til AARHUS TECH P-net Cisco AnyConnect

Læs mere

Version 8.0. BullGuard. Backup

Version 8.0. BullGuard. Backup Version 8.0 BullGuard Backup 0GB 1 2 INSTALLATIONSVEJLEDNING WINDOWS VISTA, XP & 2000 (BULLGUARD 8.0) 1 Luk alle åbne programmer, bortset fra Windows. 2 3 Følg instrukserne på skærmen for at installere

Læs mere

Bilag 2C ATP PC-arbejdsplads

Bilag 2C ATP PC-arbejdsplads Bilag 2C ATP PC-arbejdsplads Version 1.0 23-02-2015 INDHOLD 1. VEJLEDNING TIL TILBUDSGIVER... 2 2. INDLEDNING... 3 2.1 STANDARD PC... 3 2.2 KONTORSTØTTE OG PRINT... 3 2.3 KOMMUNIKATION... 4 3. IT-ARBEJDSPLADS...

Læs mere

Globeteam A/S. Windows Server 2012. Globeteam Virumgårdsvej 17A 2830 Virum. SolutionsDay 2012, den 27. September, Brøndby Stadion

Globeteam A/S. Windows Server 2012. Globeteam Virumgårdsvej 17A 2830 Virum. SolutionsDay 2012, den 27. September, Brøndby Stadion Globeteam A/S Windows Server 2012 Et hurtigt overblik over nyhederne og hvad betyder det for din virksomhed SolutionsDay 2012, den 27. September, Brøndby Stadion Lars Lohmann, Globeteam Principal, Infrastruktur,

Læs mere

Opsætning af Outlook til Hosted Exchange 2003

Opsætning af Outlook til Hosted Exchange 2003 Opsætning af Outlook til Hosted Exchange 2003 Sådan opsættes Outlook 2007 til Hosted Exchange 2003 Opdateret 15. november 2011 Indhold 1 Indledning... 2 2 Opsætning af Outlook 2003... Error! Bookmark not

Læs mere

Velkommen på kursus hos Microworld

Velkommen på kursus hos Microworld Velkommen på kursus hos Microworld Du ønskes velkommen på kurset Windows 8 Workshop. Dette kursusmateriale er udarbejdet for at kunne fungere som arbejdsmateriale under selve kurset, men det er også meningen,

Læs mere

Personlige oplysninger: Erhverserfaring:

Personlige oplysninger: Erhverserfaring: CV Personlige oplysninger: Navn: Michael Brinch Adresse: Parkstykket 9 st. th. 2700 Brønshøj Mobil: 27 62 61 91 E-mail: michael@cybercraft.dk Fødselsdato: 10. november 1976 Civilstatus: Gift, 3 børn på

Læs mere

Installation. Aesiras Internet hjemmeside og webshop. Aesiras -integreret Regnskab, Handel og Internet

Installation. Aesiras Internet hjemmeside og webshop. Aesiras -integreret Regnskab, Handel og Internet Installation Aesiras Internet hjemmeside og webshop Aesiras -integreret Regnskab, Handel og Internet Installationsvejledning Tak fordi du valgte Aesiras Business & Internet. I denne vejledning vil vi guide

Læs mere

Opsætning af FTP- og webserver 22. januar 2007

Opsætning af FTP- og webserver 22. januar 2007 Opsætning af FTP- og webserver 22. januar 2007 Mads Pedersen, OZ6HR mads@oz6hr.dk Plan Generelt: Teori og praksis. Tager sikkert ikke så lang tid Hvad bruges en FTP- og webserver til? Hvad skal der bruges

Læs mere

HOSTINGPLANER DDB CMS HOS DBC

HOSTINGPLANER DDB CMS HOS DBC HOSTINGPLANER DDB CMS HOS DBC Indhold Hostingplaner DDB CMS hos DBC... 1 1 Hostingplaner... 3 2 Definitioner... 4 2.1 Miljøer... 4 2.2 Support... 4 2.2.1 DDB CMS - 1. line support... 4 2.2.2 DDB CMS -

Læs mere

Opsætning af eduroam Det trådløse netværk på ASB

Opsætning af eduroam Det trådløse netværk på ASB Opsætning af eduroam Det trådløse netværk på ASB Indhold 03 Det trådløse netværk på ASB: eduroam 03 AAAAntivirus software 04 eduroam med Windows Vista 08 eduroam med Windows XP 09 Trådløst netværk (eduroam)

Læs mere

Tjekliste. Til brug ved anskaffelse af nye systemer og/eller programmer

Tjekliste. Til brug ved anskaffelse af nye systemer og/eller programmer Tjekliste Til brug ved anskaffelse af nye systemer og/eller programmer I forbindelse med påtænkt anskaffelse af nyt program eller system udfyldes tjeklisten af leverandør. Team Digitalisering og Driftscenter

Læs mere

Hvordan håndteres patchpolitik

Hvordan håndteres patchpolitik Presentation title Date 1 Hvordan håndteres patchpolitik bedst muligt Bent Kock (projektleder og IT Security ansvarlig) PowerPoint toolbox 2 Agenda slide 1 2 3 4 5 Hvordan håndteres patch-politik bedst

Læs mere

Praktisk information. Tilmelding og spørgsmål Har du spørgsmål, eller ønsker du at blive tilmeldt vores kurser, er du meget velkommen til at kontakte:

Praktisk information. Tilmelding og spørgsmål Har du spørgsmål, eller ønsker du at blive tilmeldt vores kurser, er du meget velkommen til at kontakte: Datakurser 2013 Praktisk information Find resten online Læs mere om kursusindhold, priser og varighed på vores hjemmeside www.technology-college.dk under Efteruddannelse og Data. Tilmelding og spørgsmål

Læs mere

Tilbudsmateriale: Ny Storage løsning. 1. Introduktion. 2. Løsningsoverblik. 2. januar 2012

Tilbudsmateriale: Ny Storage løsning. 1. Introduktion. 2. Løsningsoverblik. 2. januar 2012 2. januar 2012 Tilbudsmateriale: Ny Storage løsning. 1. Introduktion Dette tilbudsmateriale er annonceret på Syddjurs Kommunes hjemmeside iht. Bekendtgørelsen af lov om indhentning af tilbud på visse offentlige

Læs mere

De pakker du henter fra Sektornet Værktøjskassen ligger i filformatet jar. Dette er en komprimeringsformat på linie med Zip formattet.

De pakker du henter fra Sektornet Værktøjskassen ligger i filformatet jar. Dette er en komprimeringsformat på linie med Zip formattet. 1 FØR DU STARTER 1.1 JAR fil formatet De pakker du henter fra Sektornet Værktøjskassen ligger i filformatet jar. Dette er en komprimeringsformat på linie med Zip formattet. Har du installeret Winzip 9.0

Læs mere

Mobil IT Sikkerhed. / Mette Nikander

Mobil IT Sikkerhed. / Mette Nikander Mobil IT Sikkerhed / Mette Nikander C-cure Etableret i 1993 Specialiseret i IT Sikkerhed Samarbejder med både danske og internationale leverandører Internationalt netværk af sikkerhedsspecialister Fungerende

Læs mere

Mailhosting op til 2 GB op til 4 brugere, pr. måned. Herefter pr. påbegyndte 10 GB, pr. måned

Mailhosting op til 2 GB op til 4 brugere, pr. måned. Herefter pr. påbegyndte 10 GB, pr. måned 14-06-2011 prisliste v. 1.0.1 Priser er vejl. DKK og ekskl. moms. Der tages forbehold for trykfejl og prisændringer. Der henvises til Generelle Bestemmelser og betingelser Gældende 30 dage fra dato Mainpoint

Læs mere

(Bilaget ligger på http://silkeborgkommune.dk/erhverv/udbud/varer-og-tjenesteydelser i pdfformat og word-format.)

(Bilaget ligger på http://silkeborgkommune.dk/erhverv/udbud/varer-og-tjenesteydelser i pdfformat og word-format.) BILAG 2 IT-MILJØER (Bilaget ligger på http://silkeborgkommune.dk/erhverv/udbud/varer-og-tjenesteydelser i pdfformat og word-format.) Skemaer med hvide felter udfyldes af Tilbudsgiver. De økonomiske konsekvenser

Læs mere

Cisco ASA 5505. Vejledning. Opsætning af DMZ-zone

Cisco ASA 5505. Vejledning. Opsætning af DMZ-zone Cisco ASA 5505 Vejledning Opsætning af DMZ-zone Hvad er en DMZ-zone??? En demilitariseret zone eller ingen mands land! http://en.wikipedia.org/wiki/dmz_%28computing%29 3-legged network DMZ Dual firewall

Læs mere

Sikkerhedspolitik Version: 2.4 Dokument startet: 07-12-2005

Sikkerhedspolitik Version: 2.4 Dokument startet: 07-12-2005 Sikkerhedspolitik Version: 2.4 Dokument startet: 07-12-2005 INDHOLDSFORTEGNELSE 1. INTRODUKTION... 3 1.1 FORMÅL... 3 2 FYSISK SIKKERHED... 4 2.1 MILJØ OG SIKRING... 4 2.2 ADGANGSKONTROL... 5 3 HARDWARE...

Læs mere

Produktions IT Strategi 2.18 Danish Crown. 3 september 2013 - HI

Produktions IT Strategi 2.18 Danish Crown. 3 september 2013 - HI Produktions IT Strategi 2.18 Danish Crown 3 september 2013 - HI SVINE STALDE - SMUKFEST WANTED SVIN SØGES CV Firma : Navn : Afdeling : Titel : Alder : Danish Crown A/S Thomas Page Pedersen Factory IT,

Læs mere

Applikations Virtualisering. Anders Keis Hansen Anders.keis.hansen@atea.dk

Applikations Virtualisering. Anders Keis Hansen Anders.keis.hansen@atea.dk Applikations Virtualisering Anders Keis Hansen Anders.keis.hansen@atea.dk Hvem er jeg Anders Keis Hansen Arbejder i Ateas konsulent afdeling Baggrund som System administrator, IT Arkitekt primært med fokus

Læs mere

QUICK MANUAL BRUGERNAVN: ADMIN PASSWORD: 00000 APP: SMARTEYES PRO PORT: 50100. SecVision - Quick Manual v1.0

QUICK MANUAL BRUGERNAVN: ADMIN PASSWORD: 00000 APP: SMARTEYES PRO PORT: 50100. SecVision - Quick Manual v1.0 QUICK MANUAL BRUGERNAVN: ADMIN PASSWORD: 00000 APP: SMARTEYES PRO PORT: 50100 SecVision - Quick Manual v1.0 1. System Login 1.1. Bruger Login ID: admin Password: 00000 1.2. Indstilling af dato/tid og harddisk

Læs mere

DBCsupport. Præsentation af IOS 2004

DBCsupport. Præsentation af IOS 2004 DBCsupport Præsentation af IOS 2004 Spillerne Brugere Interne brugere Eksterne brugere 1. Level IT Driftsmedarbejdere Supportmedarbejdere 2. Level IT Systemkonsulenter Udviklere Interne specialister Serviceleverandører

Læs mere

BRFkredit, nu med virtualisering

BRFkredit, nu med virtualisering Driftschef Bent Reidar Andersen, BRFkredit BRFkredit, nu med virtualisering Serverplatformen hos BRFkredit er nu virtuel efter en omfattende servervirtualisering, der allerede efter to år giver BRFkredit

Læs mere

Installation af Oracle 10g Release 2 database

Installation af Oracle 10g Release 2 database Installation af Oracle 10g Release 2 database Oracle 10g database indeholder databasesoftware, enterprise manager, SQL*Plus m.m., HTML DB (i dag kendt som Application Express) og tilhørende HTTP Server

Læs mere

M A D S L A R S E N, A S G E R B A L L E G A A R D & J O N A S K R O N B O R G R O S K I L D E T E K N I S K E G Y M N A S I U M.

M A D S L A R S E N, A S G E R B A L L E G A A R D & J O N A S K R O N B O R G R O S K I L D E T E K N I S K E G Y M N A S I U M. M A D S L A R S E N, A S G E R B A L L E G A A R D & J O N A S K R O N B O R G R O S K I L D E T E K N I S K E G Y M N A S I U M mininet EN ØVELSE I AT ETABLERE ET NETVÆRK S E R V I C E O G K O M M U N

Læs mere

Gode råd til netbankbrugere - sikring af en typisk hjemme-pc med adgang til netbank

Gode råd til netbankbrugere - sikring af en typisk hjemme-pc med adgang til netbank Gode råd til netbankbrugere - sikring af en typisk hjemme-pc med adgang til netbank Af BEC og FortConsult, januar 2005. Hvad kan du konkret gøre for at beskytte din pc? Målgruppe Denne vejledning er skrevet

Læs mere

Både vedligeholdelses-, fejlmeldings- og eskalationsprocedurer er med i denne SLA.

Både vedligeholdelses-, fejlmeldings- og eskalationsprocedurer er med i denne SLA. Service Level Agreement (SLA) 1. Generelt Denne Service Level Agreement (herefter SLA) er en del af leveringen af internet fra Flexfone. Den omfatter både xdsl- og Fiber-baseret internet og sammen med

Læs mere

DRIFT VEDLIGEHOLDELSE IO-ANALYSE. 11-05-2012 EG Copyright

DRIFT VEDLIGEHOLDELSE IO-ANALYSE. 11-05-2012 EG Copyright DRIFT VEDLIGEHOLDELSE IO-ANALYSE 1 EG IT Koncern IT EG IT - Vision Én sammenhængende skalérbar IT-platform til understøttelse af IT-konsulentvirksomhed på det Skandinaviske marked EG IT IT Governance IT

Læs mere

Installation, håndtering og opdatering af Windows Server med System Center

Installation, håndtering og opdatering af Windows Server med System Center Automatiseret og centraliseret installation, håndtering og opdatering af Windows Server Installation og vedligeholdelse af Windows Server - operativsystemerne i datacentre og på tværs af it-miljøer kan

Læs mere

Bilag 2: Service Level Agreement (SLA)

Bilag 2: Service Level Agreement (SLA) Bilag 2: Service Level Agreement (SLA) ACI A/S 8. marts 2012 ACI A/S Side 2 af 12 Indhold 1 Generelt... 3 1.1 Introduktion... 3 1.2 Kontakt til TDC Hosting i driftsfasen... 3 1.3 Datacenteradgang... 3

Læs mere

EasyIQ ConnectAnywhere Release note

EasyIQ ConnectAnywhere Release note EasyIQ ConnectAnywhere Release note Version 2.4 Der er over det sidste år lavet en lang række forbedringer, tiltag og fejlrettelser. Ændringer til forudsætningerne: o Klienten skal ved førstegangs login

Læs mere

RÅDET FOR DIGITAL SIKKERHED GUIDE TIL SIKRING AF FORBRUGER- ELEKTRONIK PÅ INTERNETTET

RÅDET FOR DIGITAL SIKKERHED GUIDE TIL SIKRING AF FORBRUGER- ELEKTRONIK PÅ INTERNETTET GUIDE TIL SIKRING AF FORBRUGER- ELEKTRONIK PÅ INTERNETTET TING PÅ INTERNETTET Internet of things er et moderne begreb, som dækker over, at det ikke længere kun er computere, der er på internettet. Rigtig

Læs mere

Punkter som ikke synes relevante for det givne projekt besvares med: ikke relevant

Punkter som ikke synes relevante for det givne projekt besvares med: ikke relevant Modtagelseserklæring Modtagelseserklæring for AAU ITS Infrastruktur version 4. Anvendelse Modtagelseserklæringen skal anvendes i forbindelse med projekter drevet af PMO, AIU eller IFS. Projektlederen er

Læs mere

OMKnet trådløs. Overblik. Gode ting ved trådløs. Dårlige ting ved trådløs 3/12/2012

OMKnet trådløs. Overblik. Gode ting ved trådløs. Dårlige ting ved trådløs 3/12/2012 OMKnet trådløs Dette dokument er udarbejdet ud fra egen viden, informationssøgning og testning på kollegiet. En længere og større testning og undersøgelse vil være nødvendig før en præcis pris og endelig

Læs mere

Domæne, Sikkerhed, opsætning, installation, vedligehold, bruger MS Windows 95/98/ME Sikkerhed, opsætning, installation, vedligehold MS WSUS server

Domæne, Sikkerhed, opsætning, installation, vedligehold, bruger MS Windows 95/98/ME Sikkerhed, opsætning, installation, vedligehold MS WSUS server MS Windows server 2012 AD, DNS, DHCP, GPO MS Windows server 2008 R2 AD, DNS, DHCP, GPO, FTP, Printserver, Filserver MS Windows server 2003 AD, DNS, DHCP, GPO, FTP, Printserver, Filserver, administrator

Læs mere

Sikkerhed i trådløst netværk

Sikkerhed i trådløst netværk Sikkerhed i trådløst netværk Når du opsætter et trådløst netværk betyder det at du kan benytte dit netværk uden at være forbundet med kabler, men det betyder også at andre kan gøre det samme, hvis du ikke

Læs mere

Standardserverkonfiguration i Statens It s standarddriftsplatform. Aftalekompleksets bilag 11 Statens It s standarddriftsplatform Underbilag B

Standardserverkonfiguration i Statens It s standarddriftsplatform. Aftalekompleksets bilag 11 Statens It s standarddriftsplatform Underbilag B Standardserverkonfiguration i Statens It s standarddriftsplatform Aftalekompleksets bilag 11 Statens It s standarddriftsplatform Underbilag B Indhold 1 Servere 3 1.1 Standarder for serverkonfigurationer

Læs mere

Svar på de mest almindelige Citrix spørgsmål

Svar på de mest almindelige Citrix spørgsmål Svar på de mest almindelige Citrix spørgsmål Henrik Meyer og Ajâja Hyttel Oprettet: 24/6-13 Sidst revideret 14/5-14 h t t p s : / / c i t r i x. a a b n e t. d k Hvad er nyt i Citrix?... 2 Hvis du ikke

Læs mere