DMZ na Integração TI x TA, para o PI System. Pedro Henrique Moura Costa - TSA

Transcrição

1 DMZ na Integração TI x TA, para o PI System Presented by Eduardo Teixeira Pedro Henrique Moura Costa - TSA Copyright OSIsoft, LLC.

2 TSA Engenharia Mais de 600 projetos executados - 30% - Turn-key 300 funcionários Belo Horizonte, Vitória e Parauapebas Presente em mais de 80 clientes nas áreas de mineração, metalurgia, siderurgia, cimento, petroquímica, energia elétrica e petróleo e gás 21 anos de atuação nacional e internacional Faturamento 50 milhões Copyright OSIsoft, LLC. 2

3 TSA Engenharia PIMS A EMPRESA 09 Anos de experiência. É a principal empresa integradora PIMS no Brasil Equipe PIMS com mais de 20 profissionais Copyright OSIsoft, LLC. 3

4 TSA Engenharia Clientes Copyright OSIsoft, LLC. 4

5 Necessidades do projeto Implantação da solução PIMS em 3 unidades distintas, porém atendendo aos mesmos requisitos Prover a segregação de funções entre TI x TA e simultaneamente prover a integração entre ambos os domínios Elevar ao máximo o nível de segurança Copyright OSIsoft, LLC. 5

6 Proposta Inicial: Infraestrutura PI System Domínio Historiador Ferramentas Analíticas Distribuição DB Relacional Cliente Colaboração Aplicativos PIMS Server Archives (DataBase) Ferramentas de gerenciamento PIMS Softwares proprietários para cálculos matemáticos Software proprietários para batelada (Batch) Driver OLEDB para PIMS Software proprietário para Notificação de alarmes & eventos Software para estruturação de TAG s Desenvolvimentos customizados (Framework) Driver OLEDB para PIMS Banco de dados relacional Editor de planilhas eletrônicas Plugin para planilhas eletrônicas Software Cliente para o PIMS Navegador para internet Software para colaboração Copyright OSIsoft, LLC. 6

7 A solução (Mais com menos) Domínio Aplicativos Produtos Historiador Aplicação / Colaboração PIMS Server Archives (DataBase) Ferramentas de gerenciamento PIMS Software para Notificação de alarmes & eventos Software para estruturação de TAG s Desenvolvimentos customizados (Framework) Softwares proprietários para cálculos matemáticos Software proprietários para batelada (Batch) Driver OLEDB para PIMS Software para colaboração PI Server PI-SMT PI Notifications PI AF.Net Framework PI ACE PI Batch PI OLEDB Microsoft Sharepoint Foundation 2010 / Integração com Reporting Services PI WebParts DB Relacional Banco de dados relacional Microsoft SQL Server 2012 Cliente Editor de planilhas eletrônicas Plugin para Microsoft Excel 2007 SP2 ou superior Software Cliente para o PIMS Navegador para internet Microsoft Office 2010 Pro PI DataLink (Excel) PI Visualization Internet Explorer 10 Copyright OSIsoft, LLC. 7

8 Segredo: Servidores virtualizados e integração com a Microsoft Centralização: Único servidor físico, além do menor gasto econômico com diversos equipamentos, gera economia na manutenção do ambiente. Segregação de funções: Tanto os serviços de operação, administração e desenvolvimento são divididas e poderão ser geridas por diferentes frentes. Balanceamento de carga: Cada camada da solução será responsável pelo processamento de suas competências de forma isolada. Escalabilidade vertical e horizontal: Adicionar novos servidores para melhorar o ambiente de processamento a qualquer momento, bem como elevar novos aplicativos (customizados ou terceiros) para suportar as mudanças de negócio. Segurança: Toda aplicação será integrada no diretório de redes (AD) Corporativo, tanto para a solução do PIMS como para colaboração com o Microsoft Sharepoint. Economia: Virtualização: Redução na aquisição de hardware, melhoria na gestão, manutenção, energia elétrica entre outras. Adoção de solução colaborativa: O Microsoft Sharepoint permitirá economia em horas de engenharia e integrado com os produtos da OSISoft, permitirá soluções out-of-box, reduzindo o desenvolvimento e mitigando erros em fases do desenvolvimento de software. Copyright OSIsoft, LLC. 8

9 Segurança e responsabilidades: Segregando papeis de TI x TA utilizando DMZ Presented by Copyright OSIsoft, LLC.

10 Antes, o que é DMZ? DMZ, ou "zona desmilitarizada", é uma pequena rede situada entre outras duas redes; normalmente é empregada para hospedar serviços que possuem acesso externo junto em uma rede local, limitando assim o potencial dano em caso de invasão. A configuração é realizada através de VLANS, Switchs e do uso de Firewalls, que controlam as requisições entre as duas redes separadas(ti-ta) e a DMZ. Copyright OSIsoft, LLC. 10

11 Papéis e Responsabilidades: O PI System compartilhado entre a TI x TA O PI System, por sua essência, pode ser considerado como um sistema híbrido do ponto de vista de redes, visto que, para a maioria dos casos, o dado de processo é proveniente do ambiente de TA e sua publicação no ambiente corporativo, comumente tratado como TI. Copyright OSIsoft, LLC. 11

12 Solução: Uso da DMZ? Pelas características proprietárias e distintas dos dois ambientes TI e TA, observa-se a existência de governanças específicas na gestão desses universos. Devido à isso o, que fazer com o PI System, garantindo a não vulnerabilidade no tráfego de informação entre esses ambientes? Copyright OSIsoft, LLC. 12

13 Diferentes soluções para o mesmo problema Presented by Copyright OSIsoft, LLC.

14 Como manter a segurança e permitir o Single sign-on (SSO) A grande parcela dos usuários do PI System são provenientes da rede corporativa O PI System é uma aplicação habilitada para diretórios. Copyright OSIsoft, LLC. 14

15 Arquitetura 1 Cross-Domain Corporate Estabelecer a relação de confiança (one-way) Domínio Corporativo confiável dentro Domínio DMZ DMZ DMZ DC Automation Reaproveitar um servidor (Não recomendado) SQL Server PI Server, 2008 Notification & Batch Criar um novo domínio PI AF, ACE & WebParts Process Control Data Sources (DCS, PLC, and so on...) Data Sources (DCS, PLC, and so on...) Copyright OSIsoft, LLC. 15

16 Arquitetura 2 AD LDS or AD FS Corporate Sincronismo contas - LAN p/ DMZ. DMZ Automation Process Control Não seria preciso criar um novo domínio Corporate AD with LDS DMZ AD LDS or FS SQL Server PI Server, 2008 Notification & Batch PI AF, ACE & WebParts Se LDS = Habilitar este serviço no PI Server senão FS = Criar novo servidor Data Sources (DCS, PLC, and so on...) Data Sources (DCS, PLC, and so on...) Copyright OSIsoft, LLC. 16

17 Arquitetura 3 PI-2-PI Corporate Automation Usuários utilizariam o SSO SQL Server 2008 PI AF, ACE & WebParts PI Server, Notification & Batch Todos servidores PI no domínio corporativo DMZ PI Server (DB Replication) Process Control Data Sources (DCS, PLC, and so on...) Data Sources (DCS, PLC, and so on...) Copyright OSIsoft, LLC. 17

18 Arquitetura 4 Third-party solution - Interface Gateway Corporate Automation Usuários utilizam SSO SQL Server 2008 PI AF, ACE & WebParts PI Server, Notification & Batch Servidores no domínio corporativo DMZ Third-party app Gateway, such as Matrikon, Kepware... Process Control Data Sources (DCS, PLC, and so on...) Data Sources (DCS, PLC, and so on...) Copyright OSIsoft, LLC. 18

19 Arquitetura 5 Custom APP Corporate Automation Usuários utilizariam SSO SQL Server 2008 PI AF, ACE & WebParts Servidores no domínio corporativo PI Server, Notification & Batch Utilizando o PI SDK DMZ Interface Process Control Data Sources (DCS, PLC, and so on...) Data Sources (DCS, PLC, and so on...) Copyright OSIsoft, LLC. 19

20 Arquitetura Final Menor custo Maior Gestão Corporate Usuários utilizam SSO DMZ Automation Confirar os protocolos de comunicação do PI System para o domínio corporativo SQL Server 2008 PI Server, Notification & Batch PI AF, ACE & WebParts Todos Servidores do PI estão nas políticas de TI (WSUS, Polices, etc) Process Control Data Sources (DCS, PLC, and so on...) Data Sources (DCS, PLC, and so on...) Copyright OSIsoft, LLC. 20

21 Resultados Adotar a arquitetura da rede utilizando-se uma DMZ, permitiu o maior controle de acesso do que entra e do que sai da DMZ, através de uma camada adicional de segurança. Essa estratégia reduziu ainda mais a vulnerabilidade do tráfego de informações não desejadas na rede, limitando um potencial dano em caso de invasão e acesso aos dados do PI System. Business Challenge Reduzir qualquer risco de invasão indesejada ao PI System. Solution Implementação de uma arquitetura de rede com a utilização de DMZ. Results and Benefits Maior controle de acesso à rede onde se encontra o PI System e consequentemente maior segurança ao sistema contra tráfego de rede indesejado. Copyright OSIsoft, LLC. 21

22 Eduardo Batista Teixeira Analista de Arquitetura de TI Vale Fertilizantes Pedro Henrique Moura Costa Analista de Sistemas TSA Engenharia Copyright OSIsoft, LLC. 22

23 Brought to you by Copyright OSIsoft, LLC.