Concours EXTERNE d ingénieur des systèmes d information et de communication. «Session 2009»

Transcription

1 Concours EXTERNE d ingénieur des systèmes d information et de communication «Session 2009» Meilleure copie "Rapport technique" Sujet : Architecture et systèmes Note obtenue : 15/20 Dans un premier temps nous ferons le point sur l état actuel de notre réseau informatique. Nous verrons la charge de chaque site sur le plan humain et sur le plan informatique. Je présenterai dans quel contexte le projet d authentification unique pourra être mis en place. Il sera examiné une solution de repli pour le siège social. Nous étudierons le côté technique de notre réseau et les points forts qu il présente. Les points à améliorer seront aussi listés en apportant une réponse technique qui s inscrit dans notre budget. Notre réseau informatique est composé de quatre sites de tailles différentes avec des activités différentes : - Le site A est lié à la formation et à la recherche et développement. Il compte environ 150 personnes. - Le site B est le siège. En plus du PDG et de 3 directeurs généraux, 250 personnes, de divers services, y travaillent. - Le site C s occupe de la supervision et administration du système de l information de l entreprise. Plusieurs équipes Réseau et Systèmes ainsi qu une soixantaine d experts ou développeurs sont présents. - Le service d expertise Informatique à l international représente 50 personnes (avec une équipe d administrateurs) et se trouve sur le site D. 1

2 Pour travailler et communiquer, les collaborateurs disposent d un système informatique qui s articule de la façon suivante : Internet@IPPublique - Internet via le site B - Site occupé à 65% - 40% Tuxedo/Oracle 20% Applications C++ 40% J2GG Modem /routeur switch A C serveur relais messagerie serveur web 100 Mo 100 Mo serveurs de site (DNS, DHCP NT/DEBIAN.) serveurs applicatifs maisons Interne@IPPublique B 8Mo D - Internet via le site B - 50 LINUTOP (mise à jour sur le site miroir du site A) postes de travail DEBIAN/VISTA Serveurs Unix Internet Routeur modem Firewall Routeur * Firewall Routeur Serveur Relais Messagerie TACAS+ DMZ Réseau privé WSUS DHCP Poste de travail XP * Lien de haute disponibilité entre les firewalls LienL 2

3 Formation et recherche et développement 1 Chef de centre personnes (experts ou formateurs dans le domaine Informatique et réseaux) A C Supervision et administration du système d information de l entreprise. Plusieurs équipes réseau : 4 techniciens + 2 ingénieurs systèmes : 3 techniciens + 4 ingénieurs + 60 experts ou développeurs PDG +3 DG personnes (RH, service commercial, direction, service gouvernance) 250 km 300 km SIEGE B D 40 km Service d expertise informatique à l international. 60 personnes + 1 équipe d administrateurs 3

4 Concernant le projet d authentification unique, il faut d abord songer à l endroit où sera hébergée la solution. Deux sites sont envisageables : - le site A car il possède une adresse IP publique pour son réseau et possède déjà un parc de serveurs conséquent. De plus, des experts dans le domaine informatique et réseaux sont déjà présents. Il sera alors envisageable d avoir une équipe pour la maintenance du système. Au vu du nombre de serveurs déjà présents sur le site A, la solution de virtualisation devrait être étudiée afin de diminuer l espace occupé par les serveurs, et de ne pas racheter du matériel supplémentaire pour faire tourner les applications. - Le site B car c est le centre de notre réseau informatique. Dans la DMZ, il possède déjà un serveur d authentification TACACS+. La question est «estce que le site B, qui est le siège, est le site idéal pour accueillir ce type de solution?» En cas d attaque contre le serveur, c est le siège qui est directement visé. De plus, le siège ne dispose pas d équipe pour gérer ce service en plus. Il faudra donc envisager la présence de techniciens et d ingénieurs pour cette solution. - Concernant les sites C et D, il n est pas envisageable en l état, de mettre la solution d authentification sur ces sites. La principale raison est que leur accès internet se fait via le bâtiment B. Pour la solution d authentification, il faut respecter la notion de haute disponibilité. Il est donc nécessaire de mettre en place un plan d urgence face aux vulnérabilités de notre réseau. Pour commencer, il faut identifier l objet à protéger. Il s agit en première position du siège avec ses différents services importants (direction, RH, etc.) et ses serveurs de mises à jour WSUS, de messagerie et d authentification. En deuxième position, le réseau informatique du site B avec ses nombreux serveurs et ses diverses applications. Quel est le plan à suivre? Dans un premier temps, équiper le bâtiment du site C de serveurs type lame avec des systèmes d exploitation virtualisés. Nous pourrons opter pour du virtual PC pour les OS type Windows ou VMWare pour les OS type LINUX. Pour tous les serveurs du bâtiment du site A et du site B, faire une archive des systèmes à l instant T serait une première étape. Il faut aussi mettre en place une politique de sauvegarde des serveurs : faire deux copies complètes des systèmes et faire garder une copie à l extérieur des sites de l entreprise. Dans un deuxième temps, restaurer les systèmes d exploitation des serveurs des sites A et B sur des machines virtuelles. Dans un troisième temps, il faudrait lister les sinistralités (accidents, erreurs, malveillances) et les vulnérabilités (faille de logiciels, faiblesse du réseau) auxquelles nous pouvons être amenés à faire face. En cas de repli du siège, il faut pouvoir assurer : - la disponibilité des données, - l intégrité (données non modifiées), - la confidentialité : que les données ne soient accessibles qu aux personnes autorisées, - la preuve (non répudiation) : que les données soient bien de notre société, - le prix (le coût ne doit pas être supérieur à la valeur du bien), - la traçabilité (pouvoir remonter aux sources des données). 4

5 Dans le cas où la solution de repli se fasse au niveau du site C, il faut alors envisager une DMZ au niveau de ce site. Dans ce souci de haute disponibilité, il serait souhaitable que les sites C et D aient leur propre accès internet, protégé par un firewall. La connexion au site A passerait par un VPN qui remplacerait les connexions intersites d aujourd hui. De plus il faudrait mettre en place une politique de sauvegarde sur les sites Cet D, et envisager une solution NAS/SAN. Il devrait être possible d accéder aux sauvegardes à partir d un autre site dans le cas où le site d origine rencontre des problèmes : inaccessibilité, incendie, coupure électrique, etc. En plus de doubler les équipements informatiques pour les serveurs, nous devrions réfléchir à une politique en matière électrique : envisager une alimentation haute densité sécurisée avec des groupes électrogènes et des onduleurs pour les serveurs pour prévenir toute coupure brutale de courant. Le site C disposera de ce genre d équipement car il ne supporte pas d arrêt de la disponibilité des informations. Le protocole TACACS représente une authentification forte car il s appuie sur divers mécanismes. Il est donc souhaitable de l attacher à toutes nos applications web et serveurs disponibles via Internet qui sont sensibles. Ce genre de solutions peut être onéreux : - multiplications des abonnements liaisons (chaque site a son accès Internet), - dédoublement du matériel, - consommation électrique. Toutefois, il est possible d économiser sur : - les postes de travail en les remplaçant par des micro-ordinateurs type linutop, Attention toutefois aux applications Windows et à la formation des utilisateurs, - d annuler notre abonnement sur le site A pour avoir un adressage public. Il faudrait avoir une seule adresse publique et configurer la translation d adresses (NAT). Il reste des points sensibles liés à la sécurité informatique : - définir une politique stricte au niveau des comptes utilisateurs (pas de droits administrateur aux utilisateurs), - définir une politique de sécurité liée aux logiciels et à l existant. S assurer que Microsoft fournit bien un anti-virus adapté à nos besoins et ses mises à jour. 5