108
Рис.67.Результат создания сети
NAT (Network Address Translation) - трансляция приватных (серых) IP-
адресов во внешние (белые) и наоборот.
Благодаря этому процессу ваша виртуальная машина получает доступ в
Интернет.
Для настройки этого механизма в vCloud Director нужно настроить правила
SNAT и DNAT.
SNAT (Source Network Address Translation) - механизм, суть которого
состоит в замене адреса источника при пересылке пакета.
1. Зайдем в раздел Administration и кликнем дважды на виртуальный дата-
центр. В появившемся меню настроек перейдем во вкладку Edge Gateways.
Выберем нужный vShield Edge и кликнем на него правой кнопкой
мыши. Выберем опцию Properties (рис.68).
Рис.68. Выбор опции Properties
2. В появившемся окне во вкладке Sub-Allocate IP Pools можно
109
посмотреть внешний IP-адрес или их диапазон (рис.69).
Рис.69.Вкладке Sub-Allocate для просмотра внешних IP-адресов
3. Кликнем на vShield Edge правой кнопкой мыши. В появившемся меню
выберем опцию Edge Gateway Services (рис.70).
Рис.70. Выбор опции Edge Gateway Services
4. В появившемся окне открываем вкладку NAT и нажимаем Add SNAT
(рис.71).
110
Рис.71. Вкладка NAT
4. В новом окне:
в поле Applied on (Применяется) указываем внешнюю сеть. Это может быть
cloudlite-internet или cloudlite-internet-2;
в поле Description указываем описание к правилу SNAT;
в поле Original (Internal) source IP/range указываем внутренний диапазон
адресов, например 192.168.0.0/24;
в поле Translated (External) source IP/range внешний адрес, через который
будет осуществляться выход в Интернет и который мы можем увидеть во
вкладке Sub-Allocate IP Pools.
DNAT- механизм, изменяющий адрес назначения пакета, а также порт
назначения. Используется для перенаправления входящих пакетов
с внешнего адреса/порта на приватный IP-адрес/порт внутри частной сети.
В окне Configure Services выбираем вкладку NAT и нажимаем Add DNAT.
2. В появившемся окне (рис.74)
в поле Applied on указываем внешнюю;
в поле Description указываем описание правила DNAT;
в поле Original (External) IP/range указываем внешний адрес (адрес из
вкладки Sub-Allocate IP Pools);
в поле Protocol - протокол;
в поле Port - порт;
111
в поле Translated (Internal) IP/range укажем внутренний IP-адрес, например
192.168.0.101.
Задав все параметры сохраним результат, нажав на кнопку ОК.
Рис.72. Окно конфигурирования параметров DNAT
Настройка Firewall
1. Зайдем в раздел Administration. Кликнем мышкой два раза по
виртуальному дата-центру (Cloud Resources - Virtual Datacenters) (рис.73).
Рис.73. Выбор Edge Gateway Services для vShield Edge
112
Выберем вкладку Edge Gateways и кликнем на нужный vShield Edge правой
кнопкой мыши. В появившемся меню выберем опцию Edge Gateway Services.
2. В появившемся окне Configure Services перейдем во вкладку
Firewall. По умолчанию в пункте Default action выбрана опция Deny, т.е. Firewall
будет блокировать весь трафик. Чтобы этого не происходило нужно настроить
правила.
3. Для добавления нового правила нажмите кнопку Add. В новом окне
прописываем параметры этого правила:
В поле Name (Название) зададим название правила, например, Internet;
В поле Source (Источник) введем необходимые адреса источника:
единичный IP-адрес, диапазон IP-адресов, CIDR или ключевые переменные:
-Internal - все внутренние сети;
-External - все внешние сети;
-Any - любые сети;
Например, можно ввести Internal.
В поле Source Port выберем порт источника. Можно указать один порт,
диапазон портов или указать все порты с помощью ключевой переменной "Any";
В поле Destination укажем адрес получателя. В таком же формате, как и
для поля Source, например, external;
В поле Destination Port выберем порт получателя. Порт также можно
прописать вручную. Можно оставить Any;
В поле Protocol выберем необходимый протокол или любые протоколы
(вариант Any);
В поле Action выберем необходимое значение (allow - разрешить, deny -
запретить). Нажмем ОК.
113
Рис.74. Задание правила Firewall
Если в Firewall выбрана опция Allow, то в правиле задаются параметры
сессий, которые Firewall будет блокировать. Для этого в окне правила нужно
выбрать опцию Deny. Если же выставлена опция Deny, то в правиле задаются
параметры сессий, который Firewall будет пропускать.
114
III Обоснование экономической эффективности проекта
3.1 Выбор и обоснование методики расчёта экономической эффективности
Существует необходимость анализа системы информационной
безопасности АО «МЕЖДУНАРОДНЫЙ АЭРОПОРТ ШЕРЕМЕТЬЕВО» на
соответствие требованиям предъявленным АС классом защищенности от НСД.
Для этого следует сравнить СЗИ, применяемые в организации, с требованиями к
подсистемам СЗИ АС от НСД.
В таблице 25 данное сопоставление представлено более наглядным
образом.
Таблица 25 - Анализ системы информационно безопасности в АО
«МЕЖДУНАРОДНЫЙ АЭРОПОРТ ШЕРЕМЕТЬЕВО»
Подсистемы и требования
СЗИ
Компетентность
1. подсистема управления доступом
1.1. Идентификация, проверка
подлинности и контроль доступа
субъектов к системе:
АD
Удовлетворяет
К терминалам, ЭВМ, каналам связи, внешним
устройствам ЭВМ;
АD, Firеwаll,
Брандмауэр
Удовлетворяет
К программам;
АD, Электронные
ключи
Удовлетворяет
К томам, каталогам, файлам, записям, полям
записей.
АD
Проблемы с
наследованием пр
ав доступа
1.2. Управление потоками информационных
данных
АD, VPN, VLАN,
Firеwаll, Брандмауэр
Удовлетворяет
2. Подсистема регистрации и учета
2.1 регистрация и учет:
входа/выхода субъектов доступа в/из системы
(узла сети);
АD, sеrvеr 2007
Удовлетворяет
2.2 Доступ программ субъектов доступа к
защищаемым файлам, доступа к терминалам,
ЭВМ;
АD, sеrvеr 2007
Удовлетворяет
3. Подсистема гарантии целостности
3.1. Обеспечение гарантии программных
средств и обрабатываемых данных
Средства ОС
Удовлетворяет
3.3. Наличие администратора защиты
информационных данный в
автоматизированной системе обработки
информации
Присутствует
Удовлетворяет
3.4. Проведение периодического тестирования
защитных средств информации нелегального
доступа
Отсутствует
–
115
Подсистемы и требования
СЗИ
Компетентность
3.5. Наличие средств восстановления
защитных средств информации нелегального
доступа
Архивирование
Удовлетворяет
В процессе анализа удовлетворения требований к АСОД АО
«МЕЖДУНАРОДНЫЙ АЭРОПОРТ ШЕРЕМЕТЬЕВО» от нелегального доступа
было определено, что требования предъявляемые АС этого класса не
удовлетворяются в полной мере, в том числе:
1. Отсутствует периодическое тестирование защитных средств данных
от нелегального доступа, что приводит к невозможности своевременного
выявления недостатков системы информационной безопасности
2. Уязвимость в подсистеме управления доступом. Контроль доступа
субъекта к томам, документам, каталогам, файлам, записям, полям записей,
осуществляется не корректно. Существует проблемы наследования прав доступа
к томам, каталогам, файлам, записям, при создании сетевой папки на файловом
сервере определенного сотрудника АС.
Система информационной безопасности отличается несоответствием
требованиям, которые предъявляются к защите информационных данных от
нелегального доступа в наибольшей мере для организации данного типа.
Следовательно, система информационной безопасности в компании требует
модернизации.
Первая проблема системы не так существенна, для ее разрешения
необходимо установить специальное программное обеспечение, которое позволит
осуществлять тестирование СЗИ.
Для того чтобы устранить второй недостаток, следует проанализировать
причины возникновения недостатка СЗИ, который обеспечивает контроль
доступа субъектов к томам, каталогам, файлам, записям и полям записей.
Указанный контроль осуществляется службой каталогов АD.
Этот недостаток состоит в следующем: для безопасного взаимодействия с
информационным ресурсом АО «МЕЖДУНАРОДНЫЙ АЭРОПОРТ
ШЕРЕМЕТЬЕВО» применяет единый файловый сервер, на котором хранятся все
обрабатываемые сведения. Кроме того, на этом сервере сформирована структура
116
каталогов, которая повторяет структурную организацию компании, другими
словами, для каждого подразделения АО «МЕЖДУНАРОДНЫЙ АЭРОПОРТ
ШЕРЕМЕТЬЕВО» сформирован отдельный каталог, в состав которого включены
личные каталоги работников организации.
Следует осуществлять проверку прав доступа к каждому каталогу на
файловом сервере и своевременно исправлять неточности. Если таких каталогов
не более десяти, то данная процедура займет немного времени, около одного
рабочего дня, но в случае, если их число равно сотне, тогда этот процесс
потребует огромного количества времени. Кроме того, назначать права следует в
процессе отсутствия запроса к ресурсам, то есть наиболее рациональным
временем являются нерабочие дни. Следовательно, средствами ОС в такой
ситуации не обойтись, и появляется необходимость разработки программного
средства, гарантирующего автоматическое разграничение прав доступа
пользователя и групп пользователей к ресурсам файлового сервера. При этом
важно учитывать, что все работники включены в групповые политики АD.
Ниже в справочных таблицах 26 и 27 указаны затраты времени в ходе
выполнения разных типов работы на различных этапах создания программного
продукта.
Таблица 26- Затраты времени в ходе выполнения работ на этапе технического
задания
Комплекс задач, подсистем
Уровень новизны (дни)
А
Б
В
Г
1. Долгосрочное планирование, размещение и
совершенствование сферы; организация управления
проектируемым капитальным строительством; технико-
экономическое планирование; ценообразование
79
57
37
34
2. Организация управления материально-техническим
снабжением, сбытом товаров; организация управления
комплектацией и поставками
105
76
42
30
3. Организация управления бухгалтерским учетом,
финансовой деятельностью компании
103
72
30
35
4. Организация управления организацией трудовой
деятельности, заработная плата, персонал, нормы и
нормативы, охрана труда
63
46
30
19
5. Организация правления качеством товаров, технологией
процесса производства, стандартизацией, технической
подготовкой производственного процесса
64
47
31
22
117
6. Организация управления транспортными перевозками,
техническим обслуживанием, вспомогательными
службами и энергоснабжением
91
66
43
26
7. Организация управления научно-техническими
сведениями. Совершенствование.
50
36
24
15
8. Организация учета пенсий, пособий, страховых взносов
79
55
36
26
9. Статистические задачи
129
111
61
38
10. Задачи расчетного характера
92
69
47
29
Таблица 27- Затраты времени в ходе выполнения работ на этапе эскизного
проектирования
Комплекс задач, подсистем
Уровень новизны (дни)
А
Б
В
Г
1. Долгосрочное планирование, размещение и
совершенствование сферы; организация управления
проектируемым капитальным строительством; технико-
экономическое планирование; ценообразование
175
117
77
53
2. Организация управления материально-техническим
снабжением, сбытом товаров; организация
управления комплектацией и поставками
115
79
53
35
3. Организация управления бухгалтерским учетом,
финансовой деятельностью компании
166
112
67
57
4. Организация управления организацией трудовой
деятельности, заработная плата, персонал, нормы и
нормативы, охрана труда
151
101
67
44
5. Организация управления качеством товаров,
технологией процесса производства, стандартизацией,
технической подготовкой производственного процесса
157
99
67
44
6. Организация управления транспортными
перевозками, техническим обслуживанием,
вспомогательными службами и энергоснабжением
170
100
70
45
7. Организация управления научно-
техническими сведениями. Совершенствование.
151
101
67
46
8. Организация учета пенсий, пособий и страховых
взносов
103
70
45
36
9. Статистические задачи
103
70
45
49
10. Задачи расчетного характера
103
70
45
41
3.2 Расчёт показателей экономической эффективности проекта
В процессе использования информации различных видов для
технического и рабочего проекта поправочный коэффициент может быть
рассчитан при помощи формулы:[10]
, (9)