Azienda di sviluppo software monitora le infrastrutture critiche
Chi è PSI?
Il Gruppo PSI sviluppa e integra soluzioni complete per l'ottimizzazione del flusso di energia e materiali nelle aziende di servizi pubblici e industriali sulla base dei propri prodotti software. Una parte della sua gamma comprende vari servizi gestiti in cui vengono rispettati rigorosi requisiti di sicurezza per tutti gli strumenti utilizzati. A seconda del settore e delle specifiche del cliente, può essere necessario implementare linee guida di conformità diverse.
Le opzioni di integrazione non finiscono mai di stupirmi. La gamma di dispositivi integrabili è, a mio avviso, unica nel mondo del monitoraggio.
PSI si affida alla Managed Services Edition di Checkmk dal 2017 per monitorare gli asset dei suoi clienti. Tra questi, ad esempio, i maggiori produttori di energia elettrica europei e i fornitori di infrastrutture critiche.
Il team IT del PSI ha scelto Checkmk perché, tra gli altri fattori, è adatto al monitoraggio di asset in ambienti isolati.
PSI gestisce attualmente 20 istanze Checkmk per un totale di circa 8.000 host e 60.000 servizi. Il team IT ha configurato il monitoraggio in modo da trasferire regolarmente tutti i dati di monitoraggio dei clienti all'istanza centrale di Checkmk esclusivamente via e-mail.
Pionieri del software alla ricerca di uno strumento di monitoraggio
PSI è un fornitore di soluzioni software per le utility energetiche dal 1976 e da allora è cresciuta in modo sostenibile ottimizzando continuamente le proprie tecnologie e adattando i propri prodotti alle esigenze del mercato. A fronte delle crescenti esigenze di sicurezza da parte dei clienti, PSI ha deciso di istituire un servizio di monitoraggio e a tal fine era alla ricerca di uno strumento adatto.
A seguito di un'intensa revisione, nel 2017 l'azienda ha deciso di adottare Checkmk Managed Services Edition. Questo è risultato essere l'unico strumento adatto a soddisfare i severi requisiti di sicurezza, come le linee guida della legge tedesca sulla sicurezza informatica o della legge europea sulla cybersecurity, e allo stesso tempo è altamente flessibile nel trasferimento dei dati di monitoraggio. Inoltre, può essere configurato localmente presso la sede del cliente in ambienti isolati ed è facile da usare.
La possibilità di trasferire i dati di monitoraggio all'istanza centrale di Checkmk via e-mail è particolarmente importante. Questo è necessario perché la maggior parte degli asset monitorati si trova in centri dati con ambienti sigillati e questi centri dati possono comunicare con il mondo esterno solo via e-mail. Il primo passo dell'implementazione è essenzialmente lo stesso degli altri scenari: PSI configura un'istanza di Checkmk come appliance virtuale nel data center del cliente. Qui vengono monitorati asset IT di ogni tipo, come server o dispositivi di rete. PSI riceve dai propri clienti i diritti di accesso necessari per l'implementazione.
I sistemi e i meccanismi di monitoraggio variano a seconda dell'ambiente: di norma, PSI si affida al monitoraggio tramite agenti Checkmk e li implementa localmente tramite lo strumento di automazione Ansible. Inoltre, PSI monitora i dispositivi tramite SNMP grazie ai numerosi plug-in ufficiali di Checkmk. PSI utilizza anche alcune estensioni scritte in proprio.
Ci sono ancora installazioni attive in cui il team IT ha configurato Checkmk su SLES11. Tuttavia, l'utilizzo dell'appliance Checkmk virtuale è molto più conveniente e semplifica i controlli di sicurezza. Inoltre, rende più facile per il team IT l'introduzione di nuove versioni di Checkmk.
La sfida
PSI era alla ricerca di una soluzione per fornire servizi di monitoraggio alle aziende energetiche. Oltre ai requisiti generali delle grandi aziende, come la scalabilità e la facilità di gestione del monitoraggio distribuito, questa soluzione doveva soddisfare anche specifiche rigorose. Queste includono, ad esempio, le norme di sicurezza informatica e i requisiti di conformità interna per i produttori di energia elettrica.
Monitoraggio per ambienti altamente sicuri
Attualmente, le istanze dei clienti non possono essere collegate all'istanza centrale di Checkmk ad Aschaffenburg tramite l'interfaccia di stato live. Il team IT ha però reso possibile il trasferimento dei dati dalle istanze dei clienti alla sede centrale del PSI via e-mail, senza che l'istanza centrale debba fare una richiesta esterna.
A questo scopo, il team IT ha creato un sito speculare con host e servizi identici per ogni istanza Checkmk del cliente presso il centro IT del PSI ad Aschaffenburg. Le istanze dei clienti trasferiscono i loro dati di monitoraggio ogni due minuti utilizzando cmcdump. Un job Cron assicura l'invio dei file di configurazione via e-mail a un server di posta elettronica presso la sede centrale di PSI. Un fetchmail estrae quindi le e-mail dalla cartella della posta in arrivo per un'ulteriore elaborazione. Uno script bash riconosce il sito mirror corrispondente tramite il nome del cliente nella riga dell'oggetto e importa i dati di monitoraggio sull'istanza Checkmk corrispondente. Questo approccio funziona perché Checkmk non si affida mai all'archiviazione centrale dei dati ed è flessibile nell'elaborazione degli input.
I siti in mirroring sono situati in una rete segmentata insieme all'istanza centrale. Di conseguenza, è possibile un monitoraggio distribuito con stato in tempo reale. Tutte le informazioni convergono nell'istanza centrale di Checkmk. Il PSI ha così una visione d'insieme di tutti i dettagli e può reagire immediatamente agli incidenti. Tutte le comunicazioni via e-mail sono criptate tramite PGP. Il team IT ha scritto da solo gli script necessari.
Allo stato attuale, i dati di 20 data center di oltre 10 clienti del settore energetico convergono nell'istanza centrale. PSI monitora un totale di 8.000 host e 60.000 servizi. Il server di posta elettronica elabora 15.000 e-mail al giorno.
L'abilitazione dei diritti di lettura consente a ciascun cliente di visualizzare le proprie risorse, creando così trasparenza. La Managed Services Edition di Checkmk consente di separare in modo sicuro i dati dei clienti e di proteggerli da accessi indesiderati.
La soluzione
PSI ha optato per la Managed Services Edition di Checkmk nel 2017 e ha impostato un sistema di monitoraggio speciale. Le istanze Checkmk presso il sito del cliente sono state configurate in modo tale da trasferire le informazioni su host e servizi via e-mail ogni due minuti ai siti mirror del PSI. I siti mirror, a loro volta, sono siti remoti dell'istanza Checkmk centrale, anch'essa installata presso la sede PSI di Aschaffenburg.
L'integrazione di altre sedi è in corso
Il trasferimento via e-mail funziona molto bene e fornisce un grande valore aggiunto ai clienti. Il team IT non deve essere sempre presente sul posto e può comunque avere una visione d'insieme in ogni momento. PSI sta lavorando all'integrazione di altri dieci siti di clienti e vorrebbe estendere il monitoraggio a nuovi sistemi.
Ad esempio, PSI intende monitorare i moduli di controllo dei suoi clienti. Checkmk è in grado di monitorarli tramite SNMP, ma tali risorse sono solitamente situate in altri segmenti di rete. Per questo motivo, la società di software sta lavorando a un server proxy che funge da relay SNMP sicuro.
Un'altra sfida è l'implementazione del processo del Sistema di gestione della sicurezza delle informazioni (ISMS) dell'azienda, per garantire la certificazione secondo la norma ISO/IEC 27001. In questo caso, il team IT è in dialogo con il responsabile interno della conformità. I requisiti sono elevati, ma grazie all'esperienza del personale PSI e all'adattabilità di Checkmk, l'implementazione sta procedendo bene.
I vantaggi
PSI ha creato una soluzione unica per il servizio richiesto. Nonostante il rispetto dei più elevati requisiti di sicurezza per l'infrastruttura monitorata, il team IT ha sempre una visione completa e può reagire rapidamente anche alle più piccole anomalie. Gli esperti IT hanno sotto gli occhi tutti i dati metrici e possono adottare misure efficienti in caso di necessità.
Sono lieto che siamo stati così esigenti nella scelta dello strumento di monitoraggio. Con Checkmk, siamo ben posizionati per affrontare gli audit e le nuove sfide.