30
несанкционированного доступа (НСД), межсетевые экраны и VPN-среды,
средства защиты данных от утечки за счет ПЭМИН и т.д.
Реализация системы ИБ на локальных станциях осуществляется целым
комплексом мер, который включает в себя:
1) Установленный антивирус со всеми компонентами защиты и с
ежедневно обновляющимися антивирусными базами;
2) Установленные последние обновления ОС Microsoft Windows XP (7,
8, 10), а также периодическая синхронизация с сервером обновлений для загрузки
новых.
На серверах предприятия также есть антивирусы, и в совокупности с
настроенными политиками безопасности, к которым относится разграничение
доступа при удаленной работе, весь комплекс ИБ находится на необходимом
уровне.
Наличие сетевого экрана в маршрутизаторе дает неплохую гарантию от
несанкционированного проникновения третьих лиц. Для защиты данных от НСД
применяются программно-аппаратные средства, к которым относится USB-
rutoken.
Безопасность информации в информационной системе ООО «Аквамарин»
в настоящее время обеспечивается за счет применения следующих мер:
1. Использование возможностей серверной операционной системы, в
том числе использование разграничения доступа с помощью службы Archive
Directory ;
2. Использование встроенного брандмауэра в маршрутизаторах, а
также фильтрации по MAC-адресам и аутeнтификации пользоватeлeй;
3. Использованием антивирусного программного обеспечения -
Kaspersky 6.0;
4. Соблюдением разработанных политик безопасности;
5. Использованием резервного копирования информации;
6. Использование организационных и кадровых мер .
7. Использованием ряда программного обеспечения, указанного выше
(КриптоПро).
31
Безопасность в Active Directory обепечивается применением трех основных
служб – службы управления правами, службы управления сертификатами и
службы катологов.
Служба каталогов Active Directory использует протокол аутентификации
Kerberos.
Службы сертификатов Active Directory применяются для повышения
безопасности за счет связывания идентификационных данных пользователя,
устройства или службы с соответствующим закрытым ключом. Сертификат и
закрытый ключ хранятся в Active Directory, что помогает защитить
идентификационные данные; службы Active Directory становятся
централизованным хранилищем для получения приложениями соответствующей
информации по запросу.
Аутентификация пользователя осуществляется с помощью учетной записи.
Учетная запись — объект, хранящийся в локальной базе безопасности или в базе
Active Directory, с помощью которого проводится аутентификация пользователя.
Главные компоненты учетной записи — имя пользователя, его пароль и
уникальный Наименование поля таблицы безопасности (Security Identifier. SID).
Пароль в локальной базе или в AD хранится в двойном виде — в виде LM-хэша и
в виде NTLM-хэша.
СКЗИ КриптоПРО CSP применяется для:
авторизации и обеспечения контроля подлинности электронных
документов при обмене ими между пользователями с применением электронной
цифровой подписи;
обеспечения конфиденциальности и контроля целостности
информации посредством ее шифрования и имитозащиты;
защиты программного обеспечения от несанкционированного
доступа;
управления ключевыми элементами системы в соответствии с
регламентом средств защиты.
Основные функции реализуемые КриптоПро CSP
генерация секретных (256 бит) и открытых (1024 бита) ключей ЭЦП
и шифрования;
32
формирование секретных ключей на различные типы носителей;
возможность генерации ключей с различными параметрами;
криптографическая защита информации. Система электронной
цифровой подписи на базе асимметричного криптографического алгоритма;
хеширование данных;
шифрование данных;
имитозащита данных;
формирование электронной цифровой подписи;
опциональное использование пароля (PIN-кода) для дополнительной
защиты ключевой информации;
реализация мер защиты информации пользователя от
несанкционированного доступа.
Правовые меры охраны конфиденциальности обычно включают в себя:
• Соблюдение нормативно-правовых актов и регламентирующих
документов;
• Регулирование отношений относительно использования
конфиденциальных данных сотрудниками на основании трудовых договоров и
партнерами на основании гражданско-правовых договоров;
• Требование возмещения ущерба от юридических и физических лиц.
Организационные мероприятия охраны конфиденциальности включают в
себя:
• Проведение анализа фактического состояния системы защиты от
НСД;
• Определение списка информации, которая относится к
коммерческой тайне;
• Назначение ответственных лиц, которые будут соблюдать режим
конфиденциальности;
• Уменьшение свободного доступа к конфиденциальным данным
методами установки порядка работы с этими данными и контролем за
соблюдением этого порядка;
• Разработка памятки по обеспечению режима конфиденциальности;
33
• Ведение учета всех лиц, которые имеют доступ к конфиденциальным
данным, а также лиц, которым такая информация была передана или
представлена;
• Нанесение на все носители, которые содержат конфиденциальные
данные, соответствующего обозначения;
• Организация обучения всех работников правилам использования
конфиденциальных данных.
Технические мероприятия могут включать в себя:
• Разработку модели вероятного противника и определение уровня его
технических возможностей;
• Составление схемы проводных и инженерных коммуникаций;
• Проведение ревизии всех проводных соединений, а также их
маркировка;
• Контроль прокладки коммуникаций и схемы соединения;
• Контроль за проведением ремонтных, профилактических или
регламентированных работ на слаботочных, электросиловых и проводных
коммуникациях;
• Контроль сохранности всех слаботочных, электросиловых
распределительных коробов на предмет их возможного вскрытия;
• Разграничение прав доступа локальных, удаленных и
территориально-распределенных пользователей к конфиденциальной части
ресурсов, в т.ч. и Интернет;
• Составление перечня рекомендованных инженерно-технических,
аппаратных и программных средств защиты и контроля;
• Соблюдение рекомендаций для подбора технических средств
защиты и их дальнейшего использования.
Опираясь на требования положения к организациям для обеспечении
режима коммерческой тайны, делаем вывод, что для надежной защиты
конфиденциальной информации необходимо построить полноценную систему
ИБ.
Обычно СИБ включает в себя следующие подсистемы:
34
• Подсистема определения пользователя на этапе доступа к
информационным ресурсам;
• Подсистема обеспечения безопасности на уровне 2;
• Подсистема реализации безопасного удаленного доступа к другим
офисам;
• Подсистема защищенного доступа в сеть Интернет;
• Подсистема определения вторжений;
• Подсистема модуля контроля;
• Подсистема антивирусной защиты трафика;
1) Подсистема определения пользователей и их авторизации.
Чтобы реализовать авторизацию пользователей при их обращении к
ресурсам ЛВС применяются механизмы, которые предоставляет контроллер
домена, построенный на базе MS Windows с развернутой службой Active
Directory.
2) Подсистема обеспечения безопасности на уровне 2
Для реализации защиты данных на 2 уровне OS модели применяется
технология построения вириальных ЛВС (VLAN). В рамках одной корпоративной
сети выделяются некоторые локальные виртуальные сети, маршрутизация между
которыми реализуется при помощи коммутатора:
• VLAN для каждого отдельного подразделения, находящегося в
здании и входящего в единую структуру корпоративной ЛВС;
• VLAN для сетей управления;
• VLAN для процесса сетевого обслуживания;
• VLAN серверного комплекса.
Активное применение локальных сетей дает возможность использования
списков доступа (Access List) на коммутаторах типа Cisco Catalyst. Применение
модуля маршрутизации на подобных коммутаторах дает возможность
реализовать структуру VLAN-ов прозрачной для всего домена, а также
реализовать первичную фильтрацию трафика и запрещать попытки НСД внутри
самой сети.
Предотвращение угроз НСД реализуется при помощи фильтрации
подсетей:
35
• Запрет на передачу трафика между VLAN-ми структурных
подразделении;
• Запрет трафика в VLAN для активного сетевого оборудования, кроме
трафика из VLAN в сеть управления;
• Разрешение передачи данных между VLAN-ми структурных
подразделений и серверным VLAN.
3) Подсистема реализации безопасного удаленного доступа к другим
офисам.
Принцип защиты подключения корпоративной сети к глобальной основан
на трехуровневом принципе:
• Маршрутизации доступа;
• Демилитаризованной зоне;
• Внутреннем фильтрующем маршрутизаторе.
При этом все точки доступа в ЛВС извне замыкаются на главном и
резервном межсетевых экранах, которые работают в режиме горячей замены и
выступают в роли внутреннего фильтрующего элемента.
К самим межсетевым экранам может подключаться несколько
изолированных зон, часть которых является выделенными сегментами для
каждого типа доступа:
• Внешняя Интернет-сеть;
• Внутренняя ЛВС;
• Зона доступа к подключенным по выделенным каналам связи
ресурсам;
• Демилитаризованная зона, в которой находятся mail, dns, www-
сервера.
Межсетевой экран реализует выполнение NAT/PAT функций для доступа к
сети интернет из корпоративных вычислительных сетей и доступа из сети
Интернет к серверам демилитаризованной зоны, а также реализует фильтрацию
трафика между изолированными зонами в помощью списков доступа и
механизмов Stateful FireWall.
Чтобы обеспечить требования по отказоустойчивости доступа в Интернет,
возможно использование двух внешних каналов связи от двух различных
36
провайдеров. Маршрутизаторы доступа в этом случае выступают в роли
периферийных маршрутизаторов и осуществляют базовую проверку трафика,
которая пропускает только указанные по IP-адресам данные, чтобы блокировать
попытки атак типа IP-спуфинга.
Демилитаризованная зона должна подключаться в отдельный интерфейс
межсетевого экрана и предназначено она в первую очередь для установки в ней
серверов общего доступа, к которой может быть разрешен доступ в
корпоративной сети, но только строго по выделенным IP-адресам и портам.
Внутренний фильтрующий маршрутизатор применяет технологию private
VLAN и обеспечивает уменьшение угроз атаки на защищаемую часть сети в
случае, если один из серверов демилитаризованной зоны все-таки получит НСД.
Подобная структура построение защищенного соединения с Интернет
блокирует несколько видов угроз:
• НСД с фильтрацией на уроне провайдера (ISP), периферийного
маршрутизатора или межсетевого экрана;
• Атаки на уровне приложений при помощи IDS14 на уровне сети и
хоста;
• Атаки на пароли, которые контролируются ОС и IDS;
• Отказ в обслуживании (DoS) на периферию ISP и с помощью
контроля установления сессий TCP на межсетевом экране;
• Выявление вирусных угроз, в т. ч. троянов, при помощи фильтрации
содержимого электронной почты;
• Обнаружение попыток ведения сетевой разведки.
5) Подсистема определения вторжений
В состав подобной системы обычно входят сенсоры, которые
осуществляют мониторинг трафика и режиме реального времени и проверяют
наличие сигнатур атак, а также консоль управления, на которую и подаются все
сигналы об обнаружении вторжений.
Сенсорные компоненты данной системы устанавливаются на ключевых
точках корпоративной ЛВС на границе интернет-модуля и сети Интернет. Эти
устройства, находящиеся в общем доступе у межсетевого экрана, производят
мониторинг всех атак и обеспечивают:
37
• Определение сигнатур типовых угроз;
• Использование базы данных по сигнатурам атак;
• Пропускную способность, которая нужна для проверки всего
трафика в сегменте обслуживаемой системы;
• Некоторую реакцию на обнаружение атаки, которая включает сброс
соединения, блокировка последующих атак с IP атакующего хоста, занесение
данных в журнал и выведение сообщений на монитор;
• Поддержка VPN-соединения между сенсорами обнаружения
вторжений и консолью управления;
• Мониторинг и защиту ключевых сегментов всей корпоративной сети.
6) Подсистема модуля контроля
Основной целью модуля контроля является обеспечение безопасного
управления всеми хостами и устройствами в рамках корпоративной сети. Все
потоки отчетов и данных для лог-файлов поступают с устройств на хосты
управления, а изменения конфигурации и новое ПО поступает уже с хостов на
устройства.
Сеть управления применяет только то адресное пространство, которое не
пересекается с адресным пространством корпоративной ЛВС, а межсетевые
экраны настраиваются таким образом, чтобы пропускать в сеть только тот трафик,
которые соответствует задачам управления и мониторинга, и выполняет
следующие функции:
• Блокировка потоков НСД трафика при помощи списков доступа;
• Блокировка всего трафика, который использует чужое адресное
пространство;
• Скрытие VPN-туннелей от сенсоров обнаружения вторжений.
В самой сети управления располагаются средства мониторинга и
управления корпоративной ЛВС типа VipNET Administrator, которые
предназначены для реализации инфраструктуры защищённых сетевых
подключений, отслеживания и управления объектами сети, формирования
начальной ключевой и парольной информации для всех объектов в
корпоративной ЛВС, которая построена на базе ПО VipNET Corporate.
38
Это программный продукт дает возможность администратору безопасности
корпоративной ЛВС реализовывать следующие виды контроля:
• Отслеживание возможных атак на отдельные хосты;
• Отслеживание всего трафика для составления шаблонов атак;
• Сбор данных с различных IDS сенсоров;
• Получение ранних предупреждений об атаках.
Подсистема модуля управления дает возможность блокировать некоторые
виды угроз:
• НСД при помощи фильтров межсетевого экрана, что позволяет
пресечь почти все потоки несанкционированного трафика в двух направлениях;
• Хакерскую разведку сети, т.е. абсолютно весь трафик, связанный с
управлением, передается в частной сети провайдера;
• Атаки на идентификационные пароли, т.к. сервер контроля доступа
поддерживает несколько типов аутентификации на каждом устройстве.
7) Подсистема антивирусной защиты трафика
Чтобы обеспечить антивирусную защиту корпоративной ЛВС, применяется
программное обеспечение, в состав которого входят следующие пакеты
прикладного ПО:
• Защита интернет-шлюзов от вирусов в режиме реального времени;
• Защита корпоративной системы обмена сообщениями;
• Защита файл-серверов;
• Защита отдельных рабочих станций.
1.3 Анализ существующих разработок и выбор стратегии
автоматизации
1.3.1 Анализ существующих разработок для автоматизации задачи
Как и в любом виде коммерции, сегодня существует целое множество
различных видов программного обеспечения, позволяющих решать
поставленную в данном выпускной квалификационной работе задачу -
автоматизацию учета документов работы с контрагентами и расчетов с ними. Как
39
правило, для этого используются CRM-системы (системы управления
взаимоотношениями с клиентами).
Данное направление развития CRM-систем представляется наиболее
перспективным и удобным для использования в компании, поэтому рассмотрим
существующие решения.
CRM-системы – это специальные компьютерные программы, которые
автоматизируют работу менеджера по распределению задач между сотрудниками,
планированию выполнения проекта, учёту клиентов, контролю сроков и
выполнения поставленных задач.
CRM-система анализирует весь процесс выполнения задач, выделяя
проблемные моменты в работе.
Рассмотрим основные из существующих подобных систем,
предназначенных для автоматизации рассматриваемых в выпускной
квалификационной работе процессов, а именно:
Megaplan CRM
bpm’ online Sales
Bitrix 24 CRM
Amo CRM
1C CRM
Mango CRM
Для сравнения выбраны исключительно отечественные CRM, так как:
данные системы учитывают специфику российского бизнеса, они в
большинстве случаев интегрированы с другими решениями, ориентированными
на российский рынок (1с, SIP-телефония, конструкторы лендинг-страниц и т.д.);
они имеют стабильную цену, так как расчет производится в рублях
(что очень важно при колеблющихся курсах валют);
вся документация данных систем представлена на русском языке;
поддержка пользователей также оказывается на русском языке;
так как системы российские, специалиста поддержки проще найти,
чем для иностранной системы.