ATK-LAITTEIDEN VALVOMON SUUNNITTELU SEASAM SERVICE OY:LLE

Janne Korhonen ATK-LAITTEIDEN VALVOMON SUUNNITTELU SEASAM SERVICE OY:LLE Opinnäytetyö Tietotekniikan koulutusohjelma Huhtikuu 2007

KUVAILULEHTI Opinnäytetyön päivämäärä 30.4.2007 Tekijä(t) Janne Korhonen Koulutusohjelma ja suuntautuminen Tietotekniikan koulutusohjelma tietokonetekniikan suuntautumisvaihtoehto Nimeke ATK-laitteiden valvomon suunnittelu Seasam Service Oy:lle Tiivistelmä Tämän opinnäytetyön tavoitteena oli suunnitella Seasam Service Oy:lle ATK-laitteiden valvomo hyödyntämällä jo käytössä olevan Nagios-verkonvalvontaohjelman ominaisuuksia. Työssäni perehdyin yleisesti tiedonhallintaan sekä verkon valvonnassa ja hallinnassa käytettäviin laitteisiin, ohjelmistoihin ja protokolliin. Tiedon turvaamisen lähtökohtina ovat tiedon ominaisuudet, kuten luottamuksellisuus, eheys ja käytettävyys sekä tiedon todentaminen ja kiistämättömyys. Verkon tietoturvan kehittäminen on monivaiheinen prosessi. Siinä edetään syklissä: vahvista/turvaa, valmistaudu, havaitse, reagoi ja paranna. Verkonvalvonta on verkon ylläpidon kannalta lähes välttämätöntä. Verkonvalvonnan tavoitteina ovat vaarallisen verkkoliikenteen rajaaminen ja toiminnan turvaaminen vikatilanteista huolimatta. Valvonnassa käytettäviä laitteita varten onkin kehitetty useita vian etsintä-, valvonta- ja hallintamenetelmiä. Etäyhteyksien hallintaan käytetään yleisesti SSH-protokollaa ja laitteiden hallinnassa pääteyhteyttä sekä selainpohjaisia, ohjelmallisia ja laitteistollisia menetelmiä. Verkonhallinnassa tarvitaan protokollia, joilla verkon laitteiden kanssa kommunikointi ja etähallinta onnistuvat. SNMP-protokolla on ylivoimaisesti suosituin, koska se on valmistajariippumaton. Nagioksella voidaan valvoa verkkolaitteita joko suoraan tai hajautetusti. Suora valvonta toimii niin, että kohteelle lähetetään aktiivisesti tiedusteluita sen tilasta suoraan. Hajautetussa valvonnassa puolestaan kohde lähettää passiivisesti tietoa tilastaan hajautetulle palvelimelle, joka puolestaan välittää tiedon keskuspalvelimelle. Valvomon suunnittelussa kartoitin Seasam Service Oy:n verkon ulkoisen arkkitehtuurin, koska mitään yhtenäistä verkkokaaviota valvonnassa olevista laitteista ei ollut. Projektissani pääsin suurimpaan osaan tavoitteistani, mutta testaus jäi kesken palvelinlaitteiden puutteen vuoksi. Asiasanat (avainsanat) Nagios, SNMP, hajautettu valvonta, verkonvalvonta, verkonhallinta, verkkolaitteet, monitorointi, tietoturva, varmuuskopiointi, valvonta, tiedonhallinta, atk-laitteet Sivumäärä Kieli URN 40 s. + liit. 12 s. Suomi URN:NBN:fi:mamk-opinn200772997 Huomautus (huomautukset liitteistä) Toimeksianto: Seasam Service Oy Ohjaavan opettajan nimi Matti Koivisto Opinnäytetyön toimeksiantaja Jorma Lifländer, Seasam Service Oy

DESCRIPTION Date of the bachelor's thesis April 30, 2007 Author(s) Janne Korhonen Degree programme and option Information Technology Computer Technology Name of the bachelor's thesis Plan for a Monitoring Center of IT-devices for Seasam Service Oy Abstract The aim of this diploma work was to plan a monitoring center of it-devices for Seasam Service Oy. In this project I utilized properties of the Nagios network monitoring program, which was already in use. I became familiar with information management in general and also with it-devices, software and protocols that are used in network monitoring and management. The bases of information security are properties of information like confidentiality, integrity, availability, authentication and non-repudiation. The development of a network s information security is a multiphase process. The basic steps are: make stronger/protect, get prepared, observe, react and make better. Network management is nearly indispensable for the maintenance of networks. Limiting risky network traffic and protecting the operation of the network in despite of faults are the aims of network management. Many fault searching, monitoring and managing methods have been developed for devices under monitoring. SSH-protocol is generally used for managing remote connections and a console connection, browser, program or device based methods are used for managing devices. In network management certain protocols are needed that enable communication and the remote management of network devices. SNMP is the most popular protocol in use because it is manufacturer independent. Nagios can be used to monitor network devices either directly or distributedly. In direct monitoring the Nagios server actively sends performance checks to objects which then send their state information back. In distributed monitoring objects passively send their state information to a distributed server which transmits the information to the center server. When I planned the monitoring center, I made an external architecture of Seasam Service Oy s network for them, because they hadn t done any solid network schematics of their it-devices before. In my project I achieved most of my goals, but couldn t complete the testing work because there weren t enough free servers. Subject headings, (keywords) Nagios, SNMP, distributed monitoring, network monitoring, network management, network devices, monitoring, information security, backup, information management, it-devices Pages Language URN 40 p. + app. 12 p. Finnish URN:NBN:fi:mamk-opinn200772997 Remarks, notes on appendices Assigned by Seasam Service Oy Tutor Matti Koivisto Bachelor s thesis assigned by Jorma Lifländer, Seasam Service Oy

SISÄLTÖ 1 JOHDANTO...1 2 TIEDONHALLINTA...2 2.1 Yleistä tiedonhallinnasta...2 2.2 Verkkotietoturvan kehittäminen...3 2.3 Tiedonvarmistus...4 2.3.1 Verkon vikasietoisuus...5 2.3.2 Nauhavarmistus ja varmuuskopiointi...5 2.3.3 Levyvarajärjestelmät...6 2.3.4 Varavirtajärjestelmät...6 3 VERKONHALLINTA JA -VALVONTA...7 3.1 Yleistä verkonhallinnasta ja -valvonnasta...7 3.2 Verkon etähallinta ja sen toteutus...8 3.2.1 SSH-protokolla...9 3.2.2 Pääteyhteys...9 3.2.3 Selainpohjainen laitehallinta...10 3.2.4 Ohjelmallinen laitehallinta...11 3.2.5 Palvelinten hallintakortit...12 3.2.6 Laitteistollinen etähallinta...13 3.3 Verkonhallintaprotokollat...14 3.3.1 SNMP-protokolla...15 3.3.2 RMON-työkalu...16 3.4 Verkon vianetsintä...16 3.5 Verkon tietoturvan ja hallinnan ratkaisuja ja menetelmiä...17 4 VERKONVALVONTA NAGIOKSELLA...19 4.1 Verkkolaitteiden valvonta...19 4.1.1 Nagioksen lisäosat...20 4.1.2 Toimintakyvyn valvonta...21 4.1.3 Varavirransaannin valvonta...21 4.2 Nagios-palvelimen suunnittelu...21 4.3 Nagioksen asennus...22 4.3.1 Apache-verkkopalvelimen asennus...23

4.3.2 Gd-kirjaston ja -lisäysten asennus...24 4.4 Laiteryhmittely...24 4.5 Laitteiden määrittely...25 4.6 Verkkokäyttöliittymä...26 4.7 Hajautettu valvonta...26 4.7.1 Palveluiden tarkistussovitin NSCA...27 4.7.2 NRPE-komponentti...28 5 NAGIOKSEN TESTAUS...28 5.1 Valvonnan testaus testiympäristössä...28 5.2 Valvonnan testaus todellisessa verkkoympäristössä...29 6 VALVOMON SUUNNITTELU...30 6.1 Yleistä valvomon suunnittelusta...30 6.2 Verkon arkkitehtuurit...31 6.3 Hajautetun valvonnan suunnittelu...32 6.4 Valvomon käyttöönotto ja ylläpito...33 7 POHDINTA...34 LÄHTEET...36 KIRJALLISUUS:...39 LIITTEET LIITE 1. Tietoverkon rakennekaavio Nagioksen näkökulmasta LIITE 2. Seasamin tietoverkon rakennekaavio palvelinsali 1 LIITE 3. Seasamin tietoverkon rakennekaavio palvelinsali 2 LIITE 4. Kohteet ja selitteet verkkokaavioista LIITE 5. Nagioksen verkkokäyttöliittymä LIITE 6. Kokonaistilanteen tarkastelu Nagioksella LIITE 7. Palveluiden tarkastelu Nagioksella LIITE 8. Yksityiskohtainen palvelun tarkastelu Nagioksella LIITE 9. Laitteiden tarkastelu Nagioksella LIITE 10. Laiteryhmien tarkastelu Nagioksella LIITE 11. Nagioksen vapaan levytilan tarkistuksen check_disk-lisäosan tiedot LIITE 12. Valvomon kustannusarvio: esimerkkilaskelma kolmen laitehuoneen valvontaan

LYHENTEITÄ JA TERMEJÄ ARP Address Resolution Protocol. Menetelmä, jolla voidaan etsiä tietokoneen rautatason osoite vain verkkotason osoitteen avulla. CMIP Common Management Information Protocol. Monimutkainen ja hienostunut verkonhallintaprotokolla. FTP File Transfer Protocol. Tiedonsiirtoprotokolla, jolla voidaan siirtää dataa verkon yli. Siirrettävät tiedot lähetetään salaamattomina. ICMP Internet Control Message Protocol. Yksinkertainen protokolla IPverkkojen saavutettavuuden raportointiin. ISO International Organization for Standardization. Kansainvälinen standardointi organisaatio. KVM Keyboard, Video, Mouse. Laite, jolla voidaan etähallita fyysisiä laitteita, kuten palvelimia ja työasemia. MIB Management Information Base. Hallintatietokanta, joka sisältää verkonhallinnassa käytettävät muuttujat tai oliot. OpenSSL Open Secure Sockets Layer. Avoimen lähdekoodin toteutus SSL- ja TLS-protokollista. OSI Open Systems Interconnection. Avoimien järjestelmien yhteenliittäminen. RAID Redundant Array of Independent Disks. Tekniikka, jolla tietokoneiden vikasietoisuutta ja/tai nopeutta voidaan parantaa käyttämällä useita kiintolevyjä, jotka yhdistetään yhdeksi loogiseksi levyksi.

RARP Reverse Address Resolution Protocol. Verkkotason protokolla, jota käytetään IP-osoitteen selvittämiseen tiedetystä laiteosoitteesta. RARP on siis ARP:n vastakohta. SFTP SSH File Transfer Protocol. SSH:lla salattu FTP. SMI Structure of Management Information. RFC 1155-standardi, joka määrittelee mm. MIB:n. SNMP Simple Network Management Protocol. Yksinkertainen verkonhallintaprotokolla. SSH Secure Shell. Salattu tietoliikennejärjestelmä, jolla voidaan ottaa etäyhteys SSH-asiakasohjelmalla SSH-palvelimeen, jotta päästään käyttämään toista konetta merkkipohjaisen konsolin kautta. SSL Secure Sockets Layer. Salausprotokolla, jolla verkon liikenne pyritään suojaamaan salaamalla. TLS Transport Layer Security. Parannettu versio SSL-protokollasta. UPS Uninterruptible Power Supply. Järjestelmä tai laite, jolla pyritään takaamaan tasainen virransyöttö lyhyissä sähkökatkoksissa ja syöttöjännitteen epätasaisuuksissa. VPN Virtual Private Network. Kahden tai useamman verkon välinen näennäisesti yksityinen verkko, jolla voidaan yhdistää eri verkot suojatusti julkisenkin verkon yli.

1 1 JOHDANTO Suuret organisaatiot ovat riippuvaisia ympärivuorokautisesta ja ympärivuotisesta verkkolaitteiden valvonnasta. Valvonta on suotavaa jo pienille yrityksille, mutta suuremmilla organisaatioilla valvonnan tarpeellisuus erityisesti korostuu. Laitteiden toimintaa uhkaavia tekijöitä on entistä enemmän, mutta onneksi myös suojaus- ja varmistusmenetelmiä kehitetään ja keksitään jatkuvasti. Tietoturva on keskeinen asian yrityksille ja varsinkin varmistus ja ylläpitopalveluita tarjoaville yrityksille. Tiedon säilymisen varmistaminen on välttämätöntä, koska nyky-yhteiskunta on vahvasti riippuvainen bitteinä olevasta tiedosta. Esimerkiksi virastot ja liikkeet ovat täysin riippuvaisia palvelimilla olevista tiedoista. Opinnäytetyöni aiheen sain Seasam Service Oy:ltä, joka tarjoaa varmistus- ja ylläpitopalveluita. Toiminnan laajentuessa sille ilmeni tarve valvoa omia ja asiakkaan verkkolaitteiden toimintakykyä entistä tehokkaammin. Kyseiselle yritykselle havaittiin tarpeelliseksi suunnitella valvomo. Verkkolaitteilla tarkoitan lähinnä palvelimia, reitittimiä, kytkimiä ja palomuureja. Valvomon suunnittelun aloitan tutustumalla jo käytössä olevaan valvontajärjestelmään. Yrityksellä on käytössään verkkolaitteiden valvontaohjelma Nagios, jonka toimintaan ja käytön kehittämiseen perehdyn. Ohjelma on ilmainen ja perustuu avoimeen lähdekoodiin. Työn on tarkoitus edetä nykyistä valvontaa kehittämällä niin, että se muutetaan selkeästi valvomoksi. Sen avulla tulisi pystyä ennakoimaan ja ratkaisemaan ongelmatilanteet, mahdollisesti myös estämään ne, ennen kuin ne aiheuttavat katkoksia. Nykyisellään Nagioksen avulla valvotaan Seasam Service Oy:n omia ja asiakkaiden laitteita, pääasiassa palvelimia. Nagioksen käyttöä on tarkoitus laajentaa kattamaan myös asiakkaiden omissa tiloissa sijaitsevia verkkolaitteita. Asiakkaiden ja yrityksen omien laitteiden valvonta on tarkoitus toteuttaa jatkossa Nagioksen hajautetulla verkonvalvonnalla. Tutkimusongelmani onkin suunnitella yrityksen toimistotilaan valvomopalvelin, jolla voisi valvoa eri laitehuoneisiin sijoitettujen hajautettujen palvelinten kautta kunkin laitehuoneen laitteiden toimintaa.

2 Työssäni kerron aluksi tiedonhallinnasta, sen jälkeen syvennyn verkonhallintaan ja - valvontaan. Myöhemmin perehdyn Nagioksen tarjoamiin verkon valvonnan mahdollisuuksiin. Lopuksi suunnittelen valvomon Nagioksen hajautetun verkonvalvonnan avulla Seasam Service Oy:n asiakkaiden verkkolaitteiden etävalvontaa varten. Koska työni liittyy verkkoympäristöön, pyrin lähestymään aiheita selvästi tästä näkökulmasta. 2 TIEDONHALLINTA 2.1 Yleistä tiedonhallinnasta Tiedon turvaamisen lähtökohtina ovat tiedon ominaisuudet, kuten luottamuksellisuus (confidentiality), eheys (integrity) ja käytettävyys (availability) sekä tiedon todentaminen (authentication) ja kiistämättömyys (non-repudiation) [1, s. 7 8, 2]. Tiedon hallinnan eri osa-alueilla tiedon eri ominaisuuksien merkitys korostuu ja yleensä niillä on riippuvuussuhteita toisiinsa, kuten luottamuksellisuudella ja käytettävyydellä. Luottamuksellisuudella tarkoitetaan sitä, että tieto on saatavilla vain siihen oikeutetuille tahoille eikä sitä haluta tai saa paljastaa ulkopuolisille [3]. Luottamuksellisuus voidaan menettää, jos tieto paljastuu [1, s. 8]. Eheydellä tai yhtenäisyydellä tarkoitetaan sitä, ettei tietoa voi muuttaa kuin ne, jotka ovat siihen oikeutettuja [3] ja ettei tietoa pääse tuhoutumaan laitteisto-, järjestelmä- tai muun vian takia [1, s. 7]. Tiedon eheyden avulla voidaan varmistaa sen alkuperäisyys, koskemattomuus ja kiistämättömyys. Tiedon eheys on tietotekniikassa ongelmallinen, koska se aiheuttaa runsaasti työtä tietojärjestelmien suunnittelussa ja toteutuksessa. Toisaalta, jos sitä ei huomioida, järjestelmien käytössä saattaa olla suuria vaikeuksia. [1, s. 10.] Käytettävyydellä tarkoitetaan sitä, että tieto ja sen muodostama palvelu on saatavilla siihen oikeutetuille henkilöille ja heidän käytettävissään [3]. Käytettävyys riippuu useista tekijöistä, kuten tiedon luottamuksellisuudesta, laitteiston määrästä, tietolii-

kennekapasiteetista, laitteisto-, ohjelmisto-, ja tietoliikennehäiriöistä sekä käyttäjien toiminnasta [1, s. 23 24]. 3 Käyttäjän todentaminen on identiteetin varmennusta, joka voidaan tehdä käyttäjän tiedon (esim. salasanat, salausavaimet ja PIN-koodi), taidon (esim. allekirjoitus ja ääni), fyysisen ominaisuuden (esim. sormenjälki, verkkokalvo ja DNA) tai omistaman asian (esim. henkilöllisyystodistus) perusteella tai yhdistelemällä kahta näistä. [4.] Tiedon kiistämättömyydellä tarkoitetaan sitä, että tieto, tapahtuma, lähettäjä ja vastaanottaja eivät pysty kiistämään aiemmin tehtyjä sitoumuksia tai toimenpiteitä [5]. Lähettäjä ei siis voi kieltää lähettäneensä eikä vastaanottaja voi kieltää vastaanottaneensa viestiä [6]. Riitatilanteita varten, esimerkiksi, jos joku osapuoli kiistää viestin alkuperän, tarvitaan kiistalle ratkaisijaksi luotettava kolmas osapuoli [5]. Tämä tarjoaa tietoverkossa notaaripalveluja, kuten aikaleimoja (time stamp) ja asiakirjojen säilytystä [6]. 2.2 Verkkotietoturvan kehittäminen Verkon tietoturvan kehittäminen on monivaiheinen ja jatkuvasti etenevä prosessi. Siinä tietoresurssien turvaamisessa edetään viisivaiheisessa järjestyksessä: vahvista/turvaa, valmistaudu, havaitse, reagoi ja paranna. Aluksi pyritään vahvistamaan olemassa olevan verkon tietoturvaa tai määrittelemään tietoturva-asetukset pystytettävälle verkolle. Eli verkon palvelimien asetukset säädetään niin, että niissä on vain tarvittavat ohjelmat ja asetukset käytössä. Ohjelmat päivitetään ja mahdollisiin tietoturva-aukkoihin hankitaan korjaukset. Tämän jälkeen tehdään palomuurien määritykset poistamalla kaikki käyttöoikeudet ja myöntämällä sitten käyttöoikeuksia tarpeen mukaan. [7, s. 7 9.] Asennusten jälkeen valmistaudutaan mahdollisien hyökkäyksien varalle niin, että ylläpitäjä pyrkii havaitsemaan myös tunnistamattomien tietoturva-aukkojen hyödyntämisen. Ylläpitäjän on myös luotava tietoturvapolitiikat ja menettelytavat, miten tunkeutumisten havaitsemiseen ja reagointiin käytettäviä työkaluja käytetään ennen kuin niitä todella tarvitaan. [7, s. 9 11.]

4 Verkon resurssien toimintaa valvottaessa pyritään havaitsemaan kaikki epätavalliset, odottamattomat ja epäilyttävät asiat sekä resurssin ominaisuuksien muutokset ja tiedon vastaanottaminen ulkoiselta lähteeltä. [7, s. 11.] Jos tunkeutuminen verkon resursseihin onnistuu, tulee ylläpitäjän reagoida siihen analysoimalla sen vaikutukset, laajuus ja siitä aiheutuneet vahingot. Tunkeutumisen vaikutusta yritetään myös mahdollisuuksien mukaan rajoittaa ja tietoresurssit pyritään palauttamaan tunnettuun toimivaan tilaan. Tilanteen vaikutuksista tulee ilmoittaa mahdollisille muille osapuolille ja todisteita tunkeutujaa vastaan kannattaa kerätä syytteen nostamista varten. [7, s. 12.] Verkon tietoturvaa pitää pyrkiä parantamaan jatkuvasti. Tunkeutumisen tai sen yrityksen jälkeen pidetään katselmointikokous, jossa opitut asiat käydään läpi. Lisäksi tietoturvapolitiikkoihin ja menettelytapoihin sekä niihin käytettyihin työkaluihin tehdään tarvittavia muutoksia ja uudistuksia. Paranna-vaiheen jälkeen palataan vahvista/turvaa, valmistaudu ja havaitse -sykliin. [7, s. 12.] 2.3 Tiedonvarmistus Tiedonvarmistaminen on erittäin tärkeää, varsinkin yritysten toiminnassa. Tiedon katoamisen uhkaa aiheuttavat sähkökatkot, tulipalot, vesivahingot, laitevarkaudet, laiteviat, käyttövirheet, vandalismi, virukset ja monet muut seikat. Siksi on hyvä suojautua mahdollisilta uhkatekijöiltä ja varmistaa tieto järjestelmällisesti. Palvelinympäristöissä on lukuisia erilaisia varajärjestelmiä, joilla tieto pyritään varmistamaan mahdollisimman häviöttömästi. Varajärjestelmien toiminta halutaan mahdollisimman katkottomaksi, koska yleensä katkot aiheuttavat yrityksissä toiminnan keskeytymistä, asiakaspalvelun hidastumista tai loppumista kokonaan. Tästä aiheutuvien lisäkustannusten vuoksi on syytä kiinnittää erityistä huomiota verkon vikasietoisuuteen.

2.3.1 Verkon vikasietoisuus 5 Vikasietoisia verkkoja (fault tolerant networks) ovat verkot, jotka toimivat joidenkin osien vikaantuessakin. Tällaiset verkot antavat yhteyspalveluita toimiville palveluille, vaikka osa verkkojen palveluista olisikin poissa käytöstä. Laitteen vikatilassa vikasietoinen verkko käyttää varayhteyksiä, jotka muodostetaan useimmiten automaattisesti. [8, s. 85.] Kuvassa 1 esimerkki vikasietoisesta verkosta. KUVA 1. Esimerkki vikasietoisesta verkosta. 2.3.2 Nauhavarmistus ja varmuuskopiointi Nauhavarmistus on palvelinympäristössä yleinen keino yrityksen omien tai asiakkaiden palvelinten ja/tai työasemien suurien tietomäärien varmistamiseen eripituisilta ajanjaksoilta. Yrityksen tuotantokäytössä olevilta koneilta tulisi ottaa varmistukset esimerkiksi päivittäin, viikoittain ja kuukausittain. Tietyn ajanjakson jälkeen voidaan vanhoja nauhoja alkaa käyttää uudelleen. Varmistaminen tehdään yleensä yöllä, jolloin palveluita käytetään vähiten. Usein nauhavarmistus antaa vääränlaisen turvallisuuden tunteen eikä varmuuskopiointia muisteta tai haluta tehdä. Kuitenkin työasemakohtainen varmuuskopiointi on var-

6 min tapa estää tiedon katoaminen, koska nauhavarmistamisessa inhimillinen virhe voi aiheuttaa useiden työasemien varmistustietojen katoamisen. Useissa yrityksissä ja yhteisöissä varmistaminen on vielä toteutettu käsin eikä automaattisesti nauharobotilla, mikä lisää riskiä inhimillisiin virheisiin. [9.] Varmuuskopiointi on varmistusmenetelmä, jonka tehtävä on varmistaa tiedon säilyttäminen useassa eri paikassa ja usealla eri tavalla. Sen tarkoituksena on ristiriidattomana hetkenä ottaa kopiota tiedoista järjestelmästä riippuen joko eräajona (hot spare) tai jatkuvana ajona (mirror). [1.] 2.3.3 Levyvarajärjestelmät RAID-levyvarajärjestelmä on tekniikka, jolla voidaan parantaa tietokoneiden (palvelimien) vikasietoisuutta ja/tai nopeutta, yhdistämällä useita kiintolevyjä yhdeksi loogiseksi levyksi. RAID on paljon käytetty levyvarajärjestelmä levy- ja tietokantapalvelimissa, koska levyjen vasteajat ja virheettömyys ovat niissä erityisen tärkeää. Siitä on olemassa useita eri versioita ja niitä voidaan yhdistellä. [10.] Käytetyimmät versiot ovat RAID 0 eli lomitus, RAID 1 eli peilaus, RAID 3, 5 ja 6 sekä niiden yhdistelmiä, kuten RAID 10. Esimerkiksi RAID 5:llä saadaan käyttöön C * (N - 1) -suuruinen kapasiteetti, kun N on levyjen lukumäärä ja C yksittäisen levyn kapasiteetti. Yhden levyn kapasiteetti menetetään pariteettidatalle, joka hajautetaan kaikille levyille. Näin varmistetaan, että yhden levyn hajotessa ei menetetä dataa, tosin jo kahden levyn hajoaminen tarkoittaa kaiken datan menetystä. [10.] 2.3.4 Varavirtajärjestelmät Katkeamaton virransaanti on välttämätöntä palvelinhuoneissa ja se on varmistettu useilla tavoilla niin, että se olisi täysin katkotonta ja tasalaatuista. Varavirransaanti palvelinhuoneen laitteille lyhyissä katkoissa taataan tavallisesti UPS-järjestelmällä, mutta varavirtaa voidaan varmistaa myös pidempien sähkökatkojen varalle varavoimakoneella. [8, s. 125 126.]

7 UPS-laitteiden avulla pystytään suojaamaan kriittisiä verkon tieto- ja hallintajärjestelmiä käyttöjännitteen odottamattomien katkosten aiheuttamilta ongelmilta. [8, s. 125.] 3 VERKONHALLINTA JA -VALVONTA 3.1 Yleistä verkonhallinnasta ja -valvonnasta Verkonhallinnassa käytetään yleisesti niin sanottua FCAPS-rakennetta. FCAPSlyhenne tulee sanoista Fault management, Configuration management, Accounting management, Performance management ja Security management. Sillä tarkoitetaan vikojen, kokoonpanoasetusten, laskutuksen, mittausten ja tietoturvallisuuden hallintaa. [11.] FCAPS on ISO-tietoliikenteenhallinta verkkomalli ja verkonhallinnan runko. Käytännössä ISO-malli määrittelee sille hallintatehtävät. [12.] Vikojen hallinta -tasolla verkon viat etsitään ja korjataan. Mahdollisia tulevia ongelmia pyritään tunnistamaan ja ehkäisemään niitä tapahtumasta tai toistumasta. Näin verkon alhaalla oloaika (downtime) pienenee ja verkko pysyy toiminnassa. [13.] Kokoonpanoasetusten hallinta -tasolla valvotaan ja hallitaan verkon laitteiden ja niiden ohjelmistojen muutoksia. Laitteiden, niiden kokoonpanojen, ohjelmien, niiden päivitysten ja järjestelmien muutokset paikannetaan ja pidetään ajan tasalla. [13.] Laskutuksen hallinta -tasolla resurssit jaetaan optimaalisesti ja oikeudenmukaisesti verkkotilaajien kesken. Tämä taso on myös vastuussa käyttäjien asianmukaisen laskuttamisen varmistamisesta. [13.] Mittausten hallinta -tasolla hallitaan koko verkon kattavia mittauksia. Tällä tasolla pyritään maksimoimaan suorituskyky välttämällä pullonkauloja ja poistamalla mahdollisia ongelmakohtia. [13.] Tietoturvallisuuden hallinta -tasolla verkko pyritään suojaamaan luvattomilta käyttäjiltä ja kaikelta fyysiseltä tai tietotekniseltä vahingonteolta. Tämä taso pyrkii pitämään

käyttäjän tiedon luottamuksellisuutta yllä. Järjestelmänvalvojat voivat hallita, mitä yksittäiset käyttäjät saavat ja eivät saa tehdä. [13.] 8 Verkonvalvonta on verkon ylläpidon kannalta lähes välttämätöntä. Verkon toimivuuden ja korkean palvelutason takia on tärkeää pystyä valvomaan laitteita mahdollisimman reaaliaikaisesti. Verkonvalvonnalla halutaan tarkkailla verkkoyhteyksien toimivuutta ja selvittää verkko-ongelmat mahdollisimman nopeasti. Verkonvalvonnan tavoitteita ovat vaarallisen verkkoliikenteen rajaaminen ja toiminnan turvaaminen vikatilanteista huolimatta. 3.2 Verkon etähallinta ja sen toteutus Verkon aktiivilaitteita (kytkimiä, reitittimiä ja palomuureja) on hallittu pitkään konsoli- eli hallintaportin kautta ja palvelimia näppäimistön, hiiren ja näytön avulla. Paikallisen hallinnan ongelmana on kuitenkin sen edellytys olla fyysisesti laitteen luona, mikä ei ole tehokasta. Nykyisin pyritään mahdollisimman paljon verkkolaitteiden etähallintaan. Tätä tarkoitusta varten on tehty etähallintaohjelmia ja laitteet on suunniteltu mahdollisimman pitkälle etähallittaviksi. Tietoverkkoon liitettyjen laitteiden hallinnassa on tärkeää pystyä valvomaan laitteiden tilaa reaaliaikaisesti. Kaikkia verkon laitteita pystytään valvomaan etäkoneelta käsin, jos ne ovat kytkettyinä internetiin tai ne ovat samassa verkossa. Laitteista valvotaan niiden ping-kutsuun vastaamista sekä erilaisten verkkoprotokollien, yhteyksien ja levyasemien toimintaa. Laitteen toiminta verkossa on yleensä todettavissa jo ping-kutsusta, mutta laitteiden muulla palveluiden valvonnalla pystytään ennaltaehkäisemään laitteiden palvelukatkoksia. Verkkolaitteita varten on kehitetty useita vian etsintä-, valvonta- ja hallintamenetelmiä. Etäyhteyksien hallintaan käytetään yleisesti SSH-protokollaa. Laitteiden hallintamenetelmiä ovat pääteyhteys sekä selainpohjaiset, ohjelmalliset ja laitteistolliset menetelmät.

3.2.1 SSH-protokolla 9 SSH-protokolla (Secure Shell) on turvallisten etäyhteyksien hallintaohjelma. Se tarjoaa sovellustason tietoturvapalveluja, kuten työasemapään tahojen ja palvelimien todentaminen sekä tietoliikenneyhteyksien ja tietojen luottamuksellisuus ja eheys. Se onkin suunniteltu korvaamaan turvattomat FTP-, Telnet-yhteydet ja UNIXin käyttämät r-komennot (rlogin, rsh, rcp, rdist). [5, s. 302.] SSH-protokollista on ilmestynyt kaksi versiota. Vanhempi SSH1 oli tarkoitettu pääteyhteyksien kirjautumisvaiheiden suojaamiseen, mutta SSH2-versiolla pystytään suojaamaan yhteyksiä kaikissa istunnon eri vaiheissa. Uudemmalla protokollalla on mahdollista siirtää luottamuksellista tietoa turvattomien verkkojen, kuten internetin, läpi SFTP-siirtona. SSH käyttää salasanojen suojaamiseen vahvoja salausalgoritmeja, ja sille on varattu oma porttinumero (22). [5, s. 302 303.] 3.2.2 Pääteyhteys Useat pääteyhteyksiin etähallintaohjelmat perustuvat SSH-protokollaan, jolla muodostetaan suojattu yhteys palvelimiin. Pääteyhteyden avulla voidaan hallita palvelinta tekstipohjaisilla komennoilla. Esimerkiksi ilmaisella PuTTY-asiakasohjelmalla (ks. kuva 2) voidaan hallita merkkipohjaisia Unix-järjestelmiä [14].

10 KUVA 2. PuTTY-asiakasohjelma. 3.2.3 Selainpohjainen laitehallinta Selainpohjaisessa hallinnassa verkon laitetta voidaan hallita ottamalla siihen yhteys selaimella. Laitteella on yleensä valmistajan määrittelemä IP-osoite, kuten D-Linkin palomuurissa (ks. kuva 3). Selaimella mennään tähän osoitteeseen, laite kysyy salasanaa, minkä jälkeen laitteen asetuksia voidaan muuttaa.

11 KUVA 3. D-Linkin palomuurin etähallinta selaimen avulla (kuvaa muokattu). 3.2.4 Ohjelmallinen laitehallinta Verkon laitteiden hallintaan voidaan käyttää myös siihen tarkoitukseen suunniteltuja ohjelmia. Yksittäisten työasemien ja pienten verkkojen hallintaan on tehty omia siihen tarkoitukseen suunniteltuja ohjelmia ja suurille verkoille omia ohjelmia. Verkon kautta tehtävä etähallinta on jo niin yleistä, että nykyisiin Windows-käyttöjärjestelmiinkin on sisällytetty erilaisia etähallintaohjelmia, kuten Microsoftin Remote Desktop. Käyttöliittymän etähallinnassa käytetään ohjelmallisia laitehallintamenetelmiä, joita tarjoavat lukuisien ohjelmistovalmistajien tekemät tuotteet, kuten Lan Force Oy:n LAN force ja Symantecin PCAnywhere. Myös avoimeen lähdekoodiin perustuvia ohjelmia on saatavilla kuten VNC Server/Viewer. Suurien verkkoympäristöjen hallintaan on olemassa erillisiä hallintajärjestelmiä, kuten HP OpenView. Tämän, kuten monien muiden verkon valvonta- ja hallintajärjestelmi-

en toiminta eri laitevalmistajien välillä, voidaan varmistaa käyttämällä valmistajariippumatonta SNMP-protokollaa. 12 Lisäksi on olemassa paljon erilaisia Unix-pohjaisia verkonhallintaan suunniteltuja ohjelmia, joista lisää tämän luvun lopussa. 3.2.5 Palvelinten hallintakortit Palvelinlaitteita on mahdollista hallita hallintakorttien avulla. Tällaiseen tarkoitukseen esimerkiksi Dell on suunnitellut DRAC-kortit ja Hewlett Packard ilo:n. DRAC-kortti sisältää oman prosessorin, muistin, akun, verkkoyhteyden ja pääsyn järjestelmäväylään. Sen tärkeitä ominaisuuksia ovat virranhallinta, virtuaalinen median välitys ja etäpääte, joita voidaan hallita selaimen kautta (kuva 4). Järjestelmänvalvoja voi siis kortin avulla säätää laitetta lähes niin, kuin hän olisi fyysisesti paikalla. [15.] ILO:n (Integrated Lights-Out) avulla palvelimen laitteilla voidaan tehdä samoja toimenpiteitä etähallintana kuin DRAC-korteilla. ILO:n avulla voidaan toteuttaa etähallintana palvelimen uudelleenkäynnistäminen ja käynnistäminen sekä kuvanvälitys palvelimelta ja CD:ltä tai DVD:ltä asentaminen. [16.]

13 KUVA 4. Tyypillinen järjestelmä arkkitehtuuri, joka käyttää DRAC:ia [17]. 3.2.6 Laitteistollinen etähallinta Laitteistolliseen hallintaan tarkoitetut KVM-kytkimet ovat laitteita, joilla voidaan yhden päätteen kautta hallita useita palvelimia (kuva 5). Käytännössä KVM-kytkimen avulla voidaan etäkäyttää palvelinten näppäimistöä, hiirtä ja monitoria. Tavallisilla KVM-kytkimillä voidaan hallita yleensä samassa rakennuksessa olevia laitteita, joten niiden etähallinta on hyvin rajattua. [18.] Saatavilla on myös etähallittavia KVM-kytkimiä, jotka sallivat useiden tietokoneiden etähallinnan verkon yli käyttäen TCP/IP-protokollaa ja verkkoselainta tai erityisesti siihen tarkoitukseen suunniteltua ohjelmaa. Tällaisia KVM/IP -laitteita voi helposti etähallita graafisiin päätteisiin tarkoitetuilla etähallintaohjelmistoilla, kuten Virtual Network Computing (VNC), Symantecin PCAnywhere ja Microsoftin Remote Desktop. [18.]

14 KUVA 5. KVM-kytkin [18]. 3.3 Verkonhallintaprotokollat Verkonhallinnassa tarvitaan protokollia, joilla verkon laitteiden kanssa voidaan kommunikoida ja siten etähallita niitä. Tällaisia protokollia on useita, mutta SNMPprotokolla on ylivoimaisesti suosituin, koska se ei ole valmistajakohtainen. Siitä on julkaistu kolme eri versiota: SNMPv1, SNMPv2 ja SNMPv3. Käytetyin protokolla on SNMPv1, mutta salaukseen kykenevä SNMPv3 on lisäämässä suosiotaan. SNMPv2 ei tuonut merkittävää turvallisuusparannusta SNMPv1:een, joten sitä ei juuri käytetä. [19.] SNMP on suunniteltu erityisesti TCP/IP verkoille, jotka ovat tavallisesti yritysverkkojen käytössä [20]. Verkonhallintaa varten on suunniteltu myös valmistajakohtaisia protokollia ja CMIP. Valmistajakohtaiset protokollat ovat jokaisen valmistajan tuotteilleen suunnittelemia hallintamenetelmiä [19]. CMIP on OSI:n malli ja se määrittelee, kuinka tavallinen verkonhallintajärjestelmä luodaan. SNMP ja CMIP molemmat määrittelevät verkonhallinnan standardit, mutta CMIP on paljon monimutkaisempi ja vain harvat palveluntarjoajat käyttävät sitä verkonhallintaan. [20.]

3.3.1 SNMP-protokolla 15 SNMP:llä tarkoitetaan usein Internet-standardin hallinnan viitekehystä (Internetstandard Management Framework), johon kuuluvat kyseisen protokollan lisäksi muun muassa niiden rakenteen ja hallintatietojen määrittely (SMI ja MIB). SNMP on pyritty tekemään nimensä mukaisesti yksinkertaiseksi, niin ettei SNMP-agentti vaatisi hallittavilta laitteilta liikaa resursseja. [19.] Verkonhallinnassa on kaksi osapuolta: hallittava laite ja laite, jolla hallitaan laitteita. Hallittavissa verkon laitteissa toimii SNMP-agentti, joka välittää viestejä laitteesta hallinta-asemien kyselyihin ja komentoihin (kuva 6). Viestit voidaan jakaa kolmeen ryhmään: Get-, Set- ja Trap-viestit. [19.] KUVA 6. SNMP:n toiminta. Get-viesteillä hallinta-asema voi pyytää agentilta jonkun muuttujan arvon (GetRequest), johon agentti lähettää vastauksen (GetResponse). Tietokannan (MIB:n) seuraavan arvon kyselyn hallinta-asema voi tehdä komennolla GetNextRequest, johon agentti vastaa GetResponse-viestillä. [19.] Set-viesteillä agenttia pyydetään asettamaan jollekin tietokannan muuttujalle tietty arvo komennolla SetRequest. Tähän agentti puolestaan lähettää vastausviestin (Get- Response). [19.]

Trap-viesteillä agentti voi tiedottaa hallinta-asemalle verkon tapahtumista, esimerkiksi virheistä. Mahdolliset toimenpiteet jäävät hallinta-aseman päätettäviksi. [19.] 16 Hallittavien muuttujien muodostamaa tietokantaa kutsutaan nimellä MIB, jonka rakenne on määritelty SMI-standardissa. SNMP-terminologiassa muuttujia kutsutaan olioiksi. SMI:n mukaan muuttujille tulee määritellä nimi eli olion tunniste (Object Identifier), tiettyjä ominaisuuksia, kuten tietotyyppi ja operaatioita, jotka voidaan kohdistaa olioon, esimerkiksi read ja write. [19.] 3.3.2 RMON-työkalu RMON (Remote Monitoring) on analysointiin ja tietojen keräämiseen suunniteltu työkalu. Se kehitettiin lieventämään joitain SNMP:ssä havaittuja puutteita ja se toimii SNMP:tä vastaavalla tavalla. RMON-toiminnassa agentit ovat aktiivisia osapuolia ja ne toimivat palvelimina, toisin kuin SNMP:n agentit, jotka toimivat hallintaohjelmiston asiakkaina. RMON-toiminnassa agentit siis tekevät älykästä analysointia ja ilmoittavat merkityksellisistä tapahtumista SNMP:n trap-viestillä hallinta-asemalle. [21, s. 49 50.] 3.4 Verkon vianetsintä Verkkojen vianetsinnässä voidaan toimia kahdella tavalla: reaktiivisella ja proaktiivisella lähestymisellä. Reaktiivinen tapa on, että ensin verkon ongelmista raportoidaan ja vasta sitten ongelmaan puututaan. Tämä tapa on kuitenkin erittäin huono, koska verkot eivät synny itsestään ja ajan mittaan useat henkilöt tekevät niihin muutoksia. [21, s. 8.] Selvästi parempi tapa on proaktiivinen lähestyminen ongelmatilanteisiin. Tällä tarkoitetaan sitä, että ennen varsinaisten ongelmien esiintymistä kerätään verkon fyysisistä ja loogisista ominaisuuksista tietoa atk-tuelle ja käyttäjille. Tämä tapa ei edes oleta verkon pysyvän aina kunnossa vaan, että vikatilanteiden esiintyminen on normaalia tiettyyn rajaan asti. [21, s. 8.]

17 Verkon ongelmakohtien löytämistä helpottavat huomattavasti kaikki verkon komponentteja ja niiden topologiaa kuvaavat dokumentit ja järjestelmälliset ongelmanratkaisuproseduurit. [21, s. 8.] Unix-järjestelmissä on lukuisia sisäänrakennettuja vikojen selvittämiseen soveltuvaa työkaluohjelmaa. Niillä voidaan paikantaa vikoja ja myös korjata niitä. Tällaisia ohjelmia ovat esimerkiksi ifconfig, arp, netstat, ping, nslookup, dig, ripquery, traceroute ja snoop. [22, s. 323 324.] Eniten käytettyjä komentoja edellä mainituista ovat ping, nslookup ja traceroute. Yhteyden toimimista eri asemien välillä voidaan testata ping-komennolla. Nslookupkomennolla saadaan tietoa DNS-nimipalvelusta. [22, s. 323 324.] Sen avulla voidaan tarkistaa myös palvelimen toimivuus ja asetusten oikeellisuus. [22, s. 221]. Traceroute-komennolla saadaan puolestaan selville tietoa paketin kulkeman reitin varrella olevista etapeista (hops) [22, s. 323 324]. Nämä ja monia muita vastaavia komentoja löytyy myös muista käyttöjärjestelmistä. 3.5 Verkon tietoturvan ja hallinnan ratkaisuja ja menetelmiä Unix-järjestelmillä verkon tietoturvaa voidaan testata esimerkiksi verkosta saatavilla ilmaisohjelmia, kuten Nagios, Nessus, Nmap ja Osiris. On olemassa myös kattava tietoturvan- ja verkonhallintaohjelma Ossim, joka sisältää muun muassa Nagioksen, Nessuksen ja Osiriksen. Ilmaistyökalut, varsinkin Nmap, ovat useimpien hakkereiden suosiossa ja siten niiden käyttäminen toimii myös hyvin heitä vastaan. Näillä työkaluilla voidaan etsiä mahdollisia tietoturva-aukkoja ja haavoittuvuuksia yrityksen tai yhteisön verkosta. Nagios on avoimen lähdekoodin ohjelma, jonka saa ilmaiseksi ja sen lähdekoodi on vapaasti muutettavissa. Sen toiminta perustuu yksinkertaiseen palvelinprosessien tilatietojen tarkkailuun. Sen avulla voidaan valvoa verkonlaitteita yksityiskohtaisesti. Nagioksesta lisää luvuissa 4 ja 5. Nessus on verkon haavoittuvuuksien tutkimiseen suunniteltu ohjelma. Sillä voidaan tarkastaa verkon perushaavoittuvuudet. Useat yritykset ympäri maailman käyttävätkin

sitä yleisten tietoturva-aukkojen paikantamiseen verkon laitteista ja sovelluksista. [23.] 18 Nmap on verkkoporttien tarkkailuohjelmalla, jolla voidaan tarkistaa palomuurin mahdolliset turva-aukot. Se on suunniteltu tutkimaan laajojakin verkkoja nopeasti. Se käyttää raakoja IP-paketteja, joita se lukee määrittääkseen verkon palvelimet ja niiden palvelut. Sillä voidaan tarkistaa myös palvelimien käyttöjärjestelmät ja palomuurien käyttämät pakettityypit. [24.] Osiris on valvontajärjestelmä, jolla valvotaan, että palvelimet ovat luotettavia. Kaikkia muutoksia tarkkaillaan ja ne kirjataan yksityiskohtaisesti lokitiedostoihin. Se voidaan määritellä ilmoittamaan muutoksista ja mahdollisista hyökkäyksistä järjestelmänvalvojalle sähköpostilla. Osiriksen tarkoituksena on siis estää tietomurtoihin ja järjestelmän vaarantamiseen tähtäävät yritykset. Osiriksen salaus ja tunnistaminen tehdään käyttämällä OpenSSL:ää. [25.] Ossim on ilmaisohjelma, joka tarjoaa mahdollisuudet monipuoliseen verkonvalvontaan. Se yhdistää useita verkonvalvontaohjelmistoja yhdeksi kokonaisuudeksi, joka kattaa hyvin lähes kaikki verkonvalvontatarpeet. Ossim sisältää ohjelmat: Arpwatch, P0f, Pads, Nessus, Snort, Spade, Tcptrack, Ntop, Nagios ja Osiris. Aiemmin kuvailemattomista lyhyesti: Arpwatch: käytetään valvomaan ARP-aktiivisuutta. Sen tehtävänä on tunnistaa niin sanottu ARP-spoofaaminen eli laitetason osoitteiden luvaton tutkiminen verkon yli. [26.] P0f: käytetään passiiviseen käyttöjärjestelmän tunnistukseen ja sen muutoksien analysointiin. [27.] Pads: käytetään palvelujen poikkeavuuksien määritykseen. [27.] Snort: väärinkäytön tunnistusjärjestelmä, jota käytetään ristivertailussa Nessuksen kanssa. [27.]

Spade: tilastollinen pakettien tunnistusohjelma, jolla hankitaan tietoa allekirjoittamattomista hyökkäyksistä. [27.] 19 Tcptrack: käytetään istuntotietoihin, joista voi saada käyttökelpoista tietoa hyökkäyskorrelaatiosta. [27.] Ntop: luo tehokkaan verkon tietokannan, johon voidaan saada tietoa poikkeavasta käyttäytymisestä poikkeavuuksien tunnistukseen. [27.] Verkon tietoturvaa tulisi testata myös yrittämällä simuloida pahantahtoisen verkonkäyttäjän hyökkäystä. Tästä käytetään nimitystä penetraatiotestaus. Menetelminä käytetään porttiskannausta, tehtävän suorittamista porttiskannauksella, järjestelmään jääneiden sormenjälkien etsimistä ja palveluihin tunkeutumista. [28.] 4 VERKONVALVONTA NAGIOKSELLA 4.1 Verkkolaitteiden valvonta Nagios käyttää laitteiden valvontaan TCP/IP -verkkoa ja sillä voidaan valvoa järjestelmiä, joissa on esimerkiksi Microsoft Windows, Unix/Linux tai Novell Netware - käyttöjärjestelmä. Se voidaan säätää toimimaan palomuurien, VPN-tunneleiden ja Internetin läpi. [29, s. xx.] Nagioksen avulla voidaan valvoa esimerkiksi kiintolevyjen ja prosessorien kuormitusta, RAID-ohjainten toimintaa, vapaata levytilaa, käyttäjämääriä sekä sovellusten toimintaa. Nagioksessa voidaan käyttää valvonnan ohjaamiseen useita eri protokollia, esimerkiksi HTTP:tä, SNMP:tä ja SSH:ta. Siihen voidaan myös lisätä omia tarkistuksia C- ja Perl-ohjelmointikielillä sekä shell-skripteillä. [29, s. xx.] Reaaliaikainen ilmoitus vikatilanteista välittyy Nagioksella web-käyttöliittymän välityksellä. Tämän lisäksi on mahdollista asettaa Nagios ilmoittamaan ongelmasta tekstiviestillä ja/tai sähköpostilla. Tekstiviestien ja sähköpostien lähetysasetuksia voidaan säätää ilmoittamaan eriasteisista ongelmatilanteista, mikä auttaa reagoimaan vikoihin

20 nopeasti, vaikka ei olisi aina valvomon lähettyvillä. Nagioksen voi määritellä ilmoittamaan tekstiviestillä ja sähköpostilla myös vian korjautumisesta tai tilanteen palautumisesta normaaliksi. Tällöin huolto- tai korjaustoimista saa välittömän palautteen. 4.1.1 Nagioksen lisäosat Nagios ei oikeastaan itse valvo yhtään mitään vaan kaikki valvontaan tarvittavat tarkistukset tehdään ulkoisien lisäosien (plug-ins) avulla. Nagios kutsuu lisäosaa sopivilla komentoriviparametreilla ja lisäosa palauttaa tiedon palvelusta. Samalla se tarkistaa, onko tarkastettava palvelu parametrien mukaisissa rajoissa. [30.] Lisäosien parametreista saa lyhyen ohjeen suorittamalla komentorivillä --helpkomennon. Liitteessä 11 on esitetty yhden lisäosan ohje. Nagiokselle palautuu tarkistuksen tulos määrämuotoisena: [30.] palvelun_nimi tila käyttäjälle näkyvää vapaata tekstiä lisäosan sisäistä tilatietoa check_disk -w 10% -c 5% -p /tmp -p /var -C -w 100000 -c 50000 -p / Checks /tmp and /var at 10%,5% and / at 100MB, 50MB ESIMERKKI 1. Vapaan levytilan tarkistuksen asetukset. Palveluilla voi olla kolme eri tilaa: OK, WARNING tai CRITICAL (lihavoitu teksti tarkoittaa komentoa ja lihavoimaton palautetta): $./check_disk -w 10% -c 5% -p /var DISK OK - free space: /var 300 MB (30%); /var=712mb;909;960;0;1011 $./check_disk -w 40% -c 5% -p /var DISK WARNING - free space: /var 300 MB (30%); /var=712mb;606;960;0;1011 $./check_disk -w 40% -c 35% -p /var DISK CRITICAL - free space: /var 300 MB (30%); /var=712mb;606;657;0;1011 Useat tarkistukset tehdään ja täytyy tehdä suorittamalla paikallisesti, mutta osa lisäosista valvoo palveluita, jotka on tarkoituskin olla verkosta saatavilla, esimerkiksi check_imap. [30.]

4.1.2 Toimintakyvyn valvonta 21 Palvelinhuoneen laitteista halutaan yleensä valvoa niiden toimintakykyä ja siihen vaikuttavia asioita, kuten lämpötilaa, nauhavarmistusta ja suoritusta. Nagioksella voidaan valvoa kaikkia toimintaan vaikuttavia tekijöitä, joista on saatavissa mittaustuloksia verkon välityksellä. 4.1.3 Varavirransaannin valvonta Varavirransaannin valvonta voidaan toteuttaa Nagioksen avulla, mikäli varavirtajärjestelmä (UPS) on valvottu verkkolaite eli osaa lähettää SNMP-protokollan Traphälytysviestejä Nagios-palvelimelle. Sen tilaa voidaan myös kysyä SNMP-kutsulla (Get). Varavirransaanti palvelinhuoneen laitteille taataan tavallisesti UPS-järjestelmällä, mutta varavirtaa voidaan varmistaa pidempien sähkökatkojen varalle varavoimakoneella, kuten Mikpolin palvelinhuoneen varavirransaanti on toteutettu. 4.2 Nagios-palvelimen suunnittelu Ennen Nagioksen asennusta on tärkeää suunnitella Nagios-palvelimen sijainti. Varsinkin, jos aikomuksena on käyttää hajautettua valvontaa. Lisäksi tulee ottaa huomioon verkon laitteiden näkyvyys Nagios-palvelimelle. Toisin sanoen palomuurit ja muut verkon liikennettä rajoittavat laitteet ja ohjelmat voivat estää ja/tai rajoittaa Nagioksen toimintaa (ks. kuva 7). Tällaiset palomuurit on siis määriteltävä sallimaan Nagioksen vaatiman liikenne. [29, s. 1.]

22 KUVA 7. Hajautettu valvonta palomuurin yli [29, s. 2]. Jos valvottavia laitteita on alle sata, Nagios-palvelimeksi kelpaa heikkotehoisempikin palvelin. Valvottavien laitteiden määrän kasvaessa yli 500:n palvelimelta vaaditaan jo selvästi enemmän tehoa (taulukko 1). [29, s. 4] TAULUKKO 1. Laitteistovaatimukset verkonvalvontaan Nagiosella [30, s. 4]. Valvottavia laitteita Prosessorien lukumäärä Prosessorin kellotaajuus Muisti Kiintolevytila alle 100 1 800MHz+ 512MB+ 5GB+ 100 500 1 1GHz+ 1GB+ 10GB+ 500 1000 1+ 3GHz+ 1GB+ 20GB+ yli 1000 1+ 3GHz+ 2GB+ 40GB+ 4.3 Nagioksen asennus Nagioksesta on olemassa verkossa dokumentaatio Nagios Version 2.x Documentation [31], jossa on kuvattu mm. asennus vaihe vaiheelta. Lisäksi on olemassa useita teoksia, jotka kertovat Nagioksesta ja sen asennuksesta, kuten James Turnbullin Pro Nagios 2.0 [29]. Tässä työssä käytin apunani molempia mainittuja lähteitä. Nagioksen asennuksessa on kaksi osaa: varsinaisen Nagioksen asennus ja sen lisäosien asennus. Lisäosien asennus on välttämätöntä, jos ylipäätään haluaa valvoa jotain, koska lisäosien työkaluilla voidaan tarkistaa erilaisia verkon palveluita. Lisäksi Nagios vaatii verkkopalvelimen, suositellaan Apachea, ja joitakin kirjastotiedostoja tarpeen mukaan. [29, s. 5 6.]

23 Nagios-tiedosto voidaan ladata Sourceforcen peilipalvelimien kautta. Ladatun ohjelman aitous on syytä varmistaa ennen sen purkamista, koska on kyseessä verkonvalvontaohjelma. Aitouden voi varmistaa vertailemalla alkuperäistä ja ladatun ohjelman tarkistussummaa toisiinsa. Komennolla md5sum nagios-versio.tar.gz saadaan ohjelman tarkistussumma näkyviin. [29, s. 10.] palvelin# wget http://peili.sourceforge.net/sourceforge/nagios/nagios-versio.tar.gz palvelin# md5sum nagios-versio.tar.gz tarkistussumma nagios-versio.tar.gz palvelin# tar zxf nagios-versio.tar.gz Ennen varsinaista asennusta täytyy luoda Nagiokselle ryhmä ja käyttäjä. Komento g lisää uuden käyttäjän nagios-ryhmään ja komento M pysäyttää kotikansion luonnin nagios-käyttäjälle: [29, s. 10.] palvelin# groupadd nagios palvelin# useradd -g nagios M nagios Tämän jälkeen asennus etenee parhaiten Nagioksen dokumentaation asennusohjeiden mukaisesti. 4.3.1 Apache-verkkopalvelimen asennus Aluksi Nagios-palvelimeen pitää asentaa Apache-verkkopalvelin. Se ladataan verkosta ja puretaan pakattu tiedosto, mikä tapahtuu seuraavasti: palvelin# wget http://www.apache.org/dist/httpd/httpd-versio.tar.gz palvelin# tar zxf httpd-versio.tar.gz Tämän jälkeen mennään ilmestyneeseen hakemistoon, käännetään ja asennetaan httpd-ohjelma komennoilla: palvelin#./configure palvelin# make palvelin# make install

24 httpd-ohjelma käynnistetään komennolla: /usr/local/apache2/bin/apachetl start. Vastaavasti ohjelma voidaan sammuttaa vaihtamalla komento start komennoksi stop. 4.3.2 Gd-kirjaston ja -lisäysten asennus Ennen gd-kirjaston (gd library) ja sen lisäysten (includes) asennusta pitää tarkistaa, onko ne jo asennettu. Jos ne on jo asennettu, tulee alla näytetyt vastaukset (lihavoimaton teksti) näkyviin. Tarkistukset voi tehdä seuraavilla komennoilla. [29, s. 8-9.] palvelin# ldconfig p grep libgd.so libgd.so.2 (libc6) => /usr/lib/libgd.so.2 libgd.so (libc6) => /usr/lib/libgd.so palvelin# find / -iname gd.h /usr/include/gd.h Jos ne kuitenkin puuttuvat, ne voidaan asentaa seuraavasti: palvelin# wget http://www.boutell.com/gd/http/gd-versio.tar.gz palvelin# tar zxf gd-versio.tar.gz palvelin# cd gd-versio palvelin#./configure palvelin# make 4.4 Laiteryhmittely Nagiokselle voi ja kannattaa ryhmitellä laitteita mahdollisimman tarkasti, koska mitä selvemmin laite on ryhmitelty, sitä selvempää on niiden vikatilanteisiin reagointi. Nagioksessa määritellään ryhmät hostgroup-määrityksillä. Laitteen ryhmittely vähintään laitetyypin (reititin, kytkin, palomuuri tai palvelin) mukaan on järkevää. Laitteita voi myös tarkentaa ryhmittelemällä esimerkiksi palvelimet käyttöjärjestelmien perusteella, kuten esimerkissä 2 on esitetty. Esimerkiksi yrityksen useille tietyn mallisille kytkimille, reitittimille tai palomuureille kannattaa tehdä vielä omat erityisryhmät.

25 define hostgroup{ hostgroup_name alias } define hostgroup{ hostgroup_name alias } define hostgroup{ hostgroup_name alias } define hostgroup{ hostgroup_name alias } define hostgroup{ hostgroup_name alias } define hostgroup{ hostgroup_name alias } servers Palvelimet routers Reitittimet switches Kytkimet firewalls Palomuurit win-servers Windows-palvelimet linux-servers Linux-palvelimet ESIMERKKI 2. Nagioksen laiteryhmien määrittely. 4.5 Laitteiden määrittely Kullekin valvottavalle laitteelle on määriteltävä Nagiokseen tiedot, joita halutaan valvoa. Nagios tarvitsee tiedon laitteen käyttötavasta (use), nimestä (host_name), kuvauksesta (alias) ja IP-osoitteesta (address). Tarkkailtavasta palvelusta Nagiokselle on määriteltävä käyttötapa (use) eli periytyminen, laitteen nimi (host_name), palvelun kuvaus (service description) ja tarkistuskomento eli palvelu (check_command). use-komennolla voidaan periyttää yleisien laitteiden ominaisuudet erityislaitteille ja check_command-komennolla tehdään määritellyt tarkistukset. Esimerkissä 3 on esitetty laitteen (palvelin) ja sen palvelun (check_ping) määrittäminen. define host{ use generic-server host_name palvelin alias Valvonta palvelin address 192.168.1.1 } define service{ use generic-service host_name palvelin service_description PING check_command check_ping } ESIMERKKI 3. Palvelimen ja sen palvelun määrittäminen.

4.6 Verkkokäyttöliittymä 26 Nagioksen verkkokäyttöliittymä on käyttöjärjestelmästä riippumaton rajapinta, jolla voidaan tarkkailla verkkolaitteiden toimintaa reaaliaikaisesti lähes mistä tahansa graafisesta selaimesta. Verkkokäyttöliittymässä voidaan tehdä pieniä muutoksia kohteiden tarkistukseen, esimerkiksi laittaa sen tarkistukset pois käytöstä. Käyttöliittymästä on kuvia liitteissä 5 10. 4.7 Hajautettu valvonta Hajautetun valvonnan periaate on, että kaikki valvottavat kohteet eivät ole yhden vaan usean eri palvelimen valvonnassa. Valvonta toteutetaan Nagioksen hajautettujen asiakaspalvelimien kautta, jotka saavat laitteista tietoa aktiivisesti ja reaaliaikaisesti. Asiakaspalvelimet puolestaan välittävät tiedot eteenpäin passiivisesti keskuspalvelimelle, jolloin päästään osasta palomuurien aiheuttamista ongelmista eroon (ks. kuva 8). [29, s. 269 270.] KUVA 8. Hajautetun valvonnan malli. [29, s. 270.]

4.7.1 Palveluiden tarkistussovitin NSCA 27 NSCA-apuohjelma on suunniteltu Nagioksen hajautettua valvontaa varten. Keskuspalvelimen ja asiakaspalvelimien välillä kulkeva liikenne hoidetaan NSCAapuohjelman avulla. Se koostuu kahdesta osasta, joista toinen on asennettava keskuspalvelimeen ja toinen asiakaspalvelimiin. [29, s. 269 270.] NSCA-työkalun tarkoitus on lähettää hajautettuun palvelimeen tarkistustuloksia keskuspalvelimelle. Hajautetun ja keskuspalvelimen välillä liikkuvien tulostietojen salausta varten on tarpeellista asentaa libmcrypt-kirjasto. Tämä on tärkeä turvallisuustekijä ja siksi on suositeltavaa asentaa se. Tekstipohjaiseen käyttöjärjestelmään sen voi ladata seuraavanlaisella komennolla, jossa kursivoidut kohdat vaihtelevat peilipalvelimen ja version mukaan: [29, s. 272.] wget http://peili.sourceforge.net/sourceforge/mcrypt/libmcryptversio.tar.gz Pakattu tiedosto puretaan ja libmcrypt-kirjastotiedosto asennetaan hajautetulle palvelimelle asiakas1 seuraavasti: asiakas1# tar zxf libmcrypt-versio.tar.gz asiakas1# cd libmcrypt-versio asiakas1#./configure asiakas1# make asiakas1# make install NSCA-työkalun saa ladattua ja asennettua puolestaan seuraavasti: asiakas1# wget http://peili.sourceforge.net/nagios/nscaversio.tar.gz asiakas1# tar zxf nsca-versio.tar.gz asiakas1# cd nsca-versio asiakas1#./configure asiakas1# make all

4.7.2 NRPE-komponentti 28 Valvottaviin järjestelmiin asennetaan tarvittavat Nagioksen lisä-osat ja NRPEkomponentti (Nagios Remote Plugin Executor). Tätä komponenttia Nagios kutsuu check_nrpe-lisäosan avulla. NRPE-komponentti suorittaa pyydetyn tarkistuksen käyttäen valvottavaan järjestelmään paikallisesti asennettuja lisäosia ja palauttaa tarkistuksen tuloksen takaisin valvovan järjestelmän Nagiokselle. [30.] Valvottavat järjestelmät tekevät esimerkiksi /var -hakemiston levytilan tarkistukset esimerkissä 4 esitetyllä tavalla: command[check_disk]= /usr/local/nagios/libexec/check_disk w 10% - c 5% -p /var ESIMERKKI 4. Valvottavan järjestelmän levytilan tarkistuskomento. Valvovaan Nagios-palvelimeen voidaan määritellä esimerkiksi /var -hakemiston levytilan tarkistukset seuraavalla tavalla: [30.] define command{ command_name check_nrpe command_line /usr/local/nagios/libexec/check_nrpe H $ARG1$ } define service{ host_name service_description check_command } valvottavapalvelin /var vapaa levytila check_nrpe!check_disk1 5 NAGIOKSEN TESTAUS 5.1 Valvonnan testaus testiympäristössä Toteutin testauksen virtuaalipalvelinten avulla niin, että hajautettujen palvelinten asetukset säädettiin lähettämään passiivisesti viestejä keskuspalvelimelle.