Stávající řešení Zadavatele. Síťová infrastruktura datového centra Státní pokladny Centra sdílených služeb, s. p., (dále jen „SPCSS“) podporuje principy Software Defined Networks a je kompatibilní s řešením Cisco ACI (Application Centric Infrastructure). Správa a konfigurace síťové infrastruktury datového centra SPCSS se provádí prostřednictvím grafického uživatelského rozhraní. Bezpečnostní politiky aplikačních toků jsou řízeny na základě aplikačních politik, které formou logického module popisují požadavky aplikací na síťovou konektivitu, bezpečnost, QoS (Quality of Service) a L4-L7 služby pomocí modelu „Group Based Policy“. Infrastruktura datového centra SPCSS využívá Spine-Leaf topologii pro vzájemné propojení jednotlivých datacentrových přepínačů, pro zajištění vysoké škálovatelnosti, snadné rozšiřitelnosti a inteligentního load-balancingu aplikačního provozu. Leaf (access) přepínače slouží pro vlastní připojení aplikačních a infrastrukturních serverů prostřednictvím technologie 10/25GE, nebo 40/100GE. Servery jsou připojeny vždy redundantně do dvou fyzicky různých Leaf přepínačů s využitím protokolu LACP (Link Aggregation Control Protocol). Leaf (access) přepínače jsou vzájemně propojeny prostřednictvím min. dvojice dedikovaných spine přepínačů, a to prostřednictvím spojnic s kapacitou 40GE, resp. 100GE. Leaf (access) přepínače rovněž zajišťují připojení specializovaných zařízení jako je interní (datacentrový) firewall, server load-balancer a datové uložiště.
Stávající řešení Zadavatele. Síťová infrastruktura datového centra Státní pokladny Centra sdílených služeb, s. p., (dále jen „SPCSS“) podporuje principy Software Defined Networks a je realizována na technologii Cisco ACI (Application Centric Infrastructure). Správa a konfigurace síťové infrastruktury datového centra SPCSS se provádí prostřednictvím grafického uživatelského rozhraní. Bezpečnostní politiky aplikačních toků jsou řízeny na základě aplikačních politik, které formou logického modulu popisují požadavky aplikací na síťovou konektivitu, bezpečnost, QoS (Quality of Service) a L4-L7 služby pomocí modelu „Group Based Policy“. Infrastruktura datového centra SPCSS využívá Spine-Leaf topologii pro vzájemné propojení jednotlivých datacentrových přepínačů, pro zajištění vysoké škálovatelnosti, snadné rozšiřitelnosti a inteligentního load-balancingu aplikačního provozu mezi dvě geograficky oddělená datové centra (Praha 3 a Zeleneč). Leaf (access) přepínače slouží pro vlastní připojení aplikačních a infrastrukturních serverů prostřednictvím technologie 10/25GE, nebo 40/100GE. Servery jsou připojeny vždy redundantně do dvou fyzicky různých Leaf přepínačů s využitím protokolu LACP (Link Aggregation Control Protocol). Leaf (access) přepínače jsou vzájemně propojeny prostřednictvím min. dvojice dedikovaných spine přepínačů, a to prostřednictvím spojnic s kapacitou 40 GE, resp. 100 GE. Leaf (access) přepínače rovněž zajišťují připojení specializovaných zařízení jako je interní (datacentrový) firewall, server load-balancer a datové uložiště. Technologie Cisco ACI je připojena k veřejným a neveřejným datovým operátorům poskytujícím MPLS konektivitu pro metropolitní a národní připojení koncových lokalit subjektů státní správy. Datová centra jsou připojena do mezinárodní sítě internet a národního peeringového centra NIX. Služby telefonních hovorů jsou poskytovány v základní variantě IP telefonní ústředna nebo s volitelným rozšířením v podobě kontaktního centra. Přístup do infrastruktury pevné sítě, bezdrátové sítě a vzdáleného uživatelského připojení je řízen skupinovými bezpečnostními politikami na centrálním Identity Service Engine, technologií Cisco ISE.
Stávající řešení Zadavatele. Stávající řešení se sestává z dvojice HW appliance Checkpoint 13800 s podporou virtualizace, vysoké dostupnosti High Availabiltiy (HA) a centrálního managementu společného pro všechny virtuální systémy firewall. Celkem lze provozovat 10 virtuální systémů firewall s funkcionalitou NGTX bezpečnostních vlastností. Každému virtuálnímu systému umožňuje firewall staticky definovat HW zdroje dle požadavky na úroveň inspekce provozu a dle výkonových možností HW appliance. Takto definované virtuální instance firewall umožňuje propojit do HA clusteru a zajišťuje tak odolnost proti výpadku jedné HW appliance. Bezpečnostní politika je definována ve společném grafickém management rozhraní. Slouží k tomu předem připravené objekty, se kterými se následně pracuje při definici bezpečnostní politiky. Takto vytvořená bezpečnostní politika je nahrána a aktivována na libovolném virtuálním systému firewall. Správa bezpečnostních politik je prováděna na základě přihlášení do centrálního management nástroje. Management nástroj umožňuje práci s bezpečnostní politikou pouze na virtuálních systémech firewall, na které má administrátor přiděleno oprávnění. Administrace a logování provozních událostí systému je prováděna prostřednictvím samostatného management rozhraní s podporou korelace bezpečnostních logů a incidentů. Technická specifikace stávajícího řešení odpovídá následujícím položkám: • 13800 Next Generation Threat Prevention Appliance • 10 Virtual Systems package • 10 Virtual Systems package for HA • Check Point Security Management container • Check Point SmartEvent blade • SmartReporter blade • Combined MDS Manager and Container for 10 CMAs • MDS slots + VSX-CMAs for 10 gateways • Pro add-on for Provider-1 MDS of 10 customer • Multi Customer Log Module for 10 customers • AZURE Public IaaS Gateway • Enterprise Based Protection – NGTX
Stávající řešení Zadavatele. Stávající řešení technologie loadbalancingu je realizováno na technologii Výrobce F5 ADC (Application Delivery Controller). Řešení je provozováno na 6 fyzických zařízeních BigIP 10200v, BigIP 4200, BigIP 2000 a dále pak ve formě virtuálních systémů provozovaných jako virtuální edice v prostředí Vmware. Technologie využívá funkci virtualizace nad fyzickým HW. Provozováno je více jak 20 virtuálních systémů, přičemž některé virtuální systému jsou dále děleny do samostatných virtuálních routovacích domén. Virtuální systémy jsou z hlediska vysoké dostupnosti provozovány na různých fyzických zařízení konfigurovaných do tzv. clusteru. Výpadek jednoho fyzického zařízení nesmí ovlivnit chod aplikace/služby a souvisejících virtuálních serverů. Účty administrátorů jsou spravovány na centrálním RADIUS serveru. Na všech systémech je nastaveno logování na Syslog server. Vyhodnocování bezpečnostních událostí je řešení systémem SIEM. Bezpečnostní monitoring průběžně vyhodnocuje provozní události jednotlivých služeb technologie loadbalancingu. Z pohledu použitých ADC modulů se provozují moduly LTM (Local Traffic Manager), DNS (BIG-IP DNS/ dříve známý jako Global Traffic Manager), WAF (Web Application Firewall).
Stávající řešení Zadavatele. Stávající řešení je z centrálních datacentrových geografických firewall clusterů realizovaných na technologii Checkpoint MAESTRO, Checkpoint 13800 a podružných firewall appliance. Řešení je implementováno s podporou virtualizace, vysoké dostupnosti High Availabiltiy (HA) a centrálního managementu společného pro všechny virtuální systémy firewall. Celkem lze provozovat 25 virtuální systémů firewall v režimu NGTX. V rámci řešení jsou provozovány různé sady bezpečnostních vlastností (NGFW, BGTP, BGTX, Sandblast) dle požadavků zákazníka Zadavatele. Každému zákaznickému virtuálnímu systému je poskytován výkon virtuálního systému nebo celé appliance na technologii Checkpoint MAESTRO. Zdroje jsou staticky definovány. Zákazníkovi Zadavatele je poskytována i služba dočasného navýšení výkonu zákaznického firewall na omezenou dobu, pro překlenutí časového období výkonové špičky doplněním appliance Checkpoint Quantum do technologie MAESTRO. Takto definované virtuální instance firewall jsou vždy provozovány v HA clusteru, aby byla zajištěna odolnost proti výpadku jedné HW appliance. Výměna vadné appliance je řešena bezvýpadkově v režimu automatického konfigurace realizované technologií MAESTRO. Bezpečnostní politika je definována ve společném grafickém management rozhraní. Slouží k tomu předem připravené objekty, se kterými se následně pracuje při definici bezpečnostní politiky. Takto vytvořená bezpečnostní politika je nahrána a aktivována na libovolném virtuálním systému firewall. Správa bezpečnostních politik je prováděna na základě přihlášení do centrálního management nástroje. Management nástroj umožňuje práci s bezpečnostní politikou pouze na virtuálních systémech firewall, na které má administrátor přiděleno oprávnění. Administrace a logování provozních událostí systému je prováděna prostřednictvím samostatného management rozhraní s podporou korelace bezpečnostních logů a incidentů. Bezpečnostní řešení Checkpoint je integrováno s centrálním Log Managerem, kde jsou definované zákaznické pohledy nad generovanými log. Řešení Checkpoint je integrováno do bezpečnostního monitoringu SIEM, kde jsou na základě korelací událostí analyzovány logy a dále předávány k vyhodnocovány bezpečnostním pracovištěm Zadavatele Security Operation Center.
Stávající řešení Zadavatele. Stávající řešení technologie loadbalancingu je realizováno na technologii Výrobce F5 ADC (Application Delivery Controller). Řešení je provozováno na více jak 10 fyzických zařízeních různých modelových řad F5 appliance BigIP 10200v, BigIP 7800, BigIP 4200, BigIP 2600, BigIP 2000. Mimo specializovaný HW jsou virtuální systémy F5 provozovaných i jako virtuální edice BigIP Virtual Edition. Technologie využívá funkci virtualizace nad fyzickým HW. Provozováno je více jak 20 virtuálních systémů, přičemž některé virtuální systému jsou dále děleny do samostatných virtuálních routovacích domén. Virtuální systémy jsou z hlediska vysoké dostupnosti provozovány na různých fyzických zařízení konfigurovaných do tzv. clusteru provozovaných v obou datových centrech Zadavatele. Výpadek jednoho fyzického zařízení nesmí ovlivnit chod aplikace/služby a souvisejících virtuálních serverů. Účty administrátorů jsou spravovány na centrálním RADIUS serveru. Na všech systémech je nastaveno logování na Syslog server. Vyhodnocování bezpečnostních událostí je řešení systémem SIEM. Bezpečnostní monitoring průběžně vyhodnocuje provozní události jednotlivých služeb technologie loadbalancingu. Z pohledu použitých ADC modulů se provozují moduly LTM (Local Traffic Manager), DNS (BIG-IP DNS/ dříve známý jako Global Traffic Manager), WAF (Web Application Firewall), DDoS (Denial of Service) pracující s reputační databází škodlivých kampaní BIG-IP Threat Campaigns License. Řešení jako celek je z konfigurace, provozní operativní správy a monitoringu provozováno jednotným management nástrojem BIG-IQ.