Case study sulla sicurezza: Società B
La società B è una società di software. Il suo modello di business si basa su transazioni elettroniche con clienti e fornitori chiave. La società B usa un'implementazione BizTalk Server per le transazioni.
La società B usa BizTalk Server per gestire transazioni e comunicazioni tra applicazioni interne ed esterne. La società comunica con circa 85 applicazioni interne e 2300 partner commerciali. Elabora attualmente circa 2,5 milioni di documenti al mese e prevede che tale cifra salirà a 6 milioni entro la fine del 2007.
Potenziali rischi e problemi di sicurezza
La società B desidera avere la certezza che vengano ricevuti ed elaborati solo i messaggi provenienti da origini autenticate. Desidera inoltre poter ricevere e recuperare documenti dall'esterno della rete aziendale nel modo più sicuro possibile. Il firewall che separa la rete aziendale di Company B da Internet consente solo il traffico dalla porta 80 e dalla porta 443. Il firewall rifiuta tutto l'altro traffico.
Architettura di sicurezza
Nella figura seguente è illustrata l'architettura utilizzata dalla società B. La società utilizza BizTalk Server come broker di messaggi per le comunicazioni tra applicazioni interne e per l'elaborazione, l'invio e la ricezione di messaggi in formato corretto a e dai propri fornitori e clienti. La società deve elaborare i documenti interni ed esterni in formati diversi, inclusi i file flat e i documenti XML.
Figura 1 Architettura di sicurezza della società B
La società B utilizza un solo firewall per separare i computer aziendali da Internet. Come ulteriore livello di sicurezza, incorpora le comunicazioni IPsec (Internet Protocol security) tra tutti i server e le workstation aziendali all'interno della rete aziendale. IPsec viene utilizzato per crittografare tutte le comunicazioni all'interno del dominio interno della società.
La società B utilizza un server di condivisione file per ricevere i file flat. Tale server è posizionato all'esterno della rete e del dominio aziendali. Un firewall separa il server di condivisione file dalla rete aziendale. I partner esterni della società inseriscono i documenti file flat in questo server, con cui comunicano tramite una pipeline PPTP (Point-to-Point Tunneling Protocol) crittografata. La società protegge l'accesso al server di condivisione file mediante password per i partner che scadono ogni 30 giorni.
La società B ha creato un'applicazione personalizzata per lo spostamento dei file che recupera i documenti file flat dal server di condivisione file e li invia a BizTalk Server per un'ulteriore elaborazione. Anche le applicazioni interne della società utilizzano questa applicazione personalizzata per passare i file flat a BizTalk Server, che a sua volta converte i documenti e li invia ai partner commerciali della società.
Prima di convertire i dati dei partner nei formati delle applicazioni interne, BizTalk Server verifica che sia presente una voce per il mittente, il ricevitore e il tipo di documento. Se BizTalk Server riceve un messaggio per il quale non è presente una voce relativa al mittente, al ricevitore o al tipo di documento, rifiuta il messaggio, che viene quindi analizzato dal team operativo della società. Le applicazioni interne inviano messaggi in una varietà di formati che includono EDIFACT, file flat, XML e ANSI X12.
La società B riceve inoltre documenti tramite HTTPS da origini interne ed esterne. I partner esterni inseriscono i propri documenti in un server Web esterno alla rete aziendale. Un firewall separa il server Web dalla rete aziendale. L'applicazione personalizzata per lo spostamento di file recupera anche i documenti inseriti tramite HTTPS. La società B utilizza un prodotto di terze parti per crittografare e firmare i messaggi da inviare ai partner commerciali. Come ulteriore misura di sicurezza, la società esegue nelle ore notturne un controllo di tutti i server per verificare che dispongano delle impostazioni di sicurezza corrette. Tutte le eccezioni vengono registrate per consentirne l'analisi.
Vedere anche
Case study sulla sicurezza per piccole aziende di & Medium-Sized