55
система. Для их снижения требуется, чтобы виртуальные машины
располагались на кластеризованных системах, осуществлялся
мониторинг оборудования и своевременное его обслуживание, на ПО
регулярно устанавливались обновления. [4]
2.1.3. Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации.
Комплекс мер по защите информации в разрабатываемой системе включает
в себя следующие аспекты:
защита информации непосредственно в информационной системе от
внутренних угроз;
защита информации от внешних угроз.
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в Таблице 5.
Таблица 5
Политика разделения прав доступа в систему
Группы
пользователей
Доступ на
серверы
System
Center /
Orchestrat
or
Доступ к
редактирован
ию сценариев
Доступ к
редактирован
ию запросов
на
обслуживание
и изменение
Доступ на запуск
через портал
самообслуживан
ия
Специалист
отдела
инфраструкту
ры
Полный
Полный
Полный
Да
56
Продолжение Таблицы 5.
Специалист
отдела
технической
поддержки
Нет
Нет
Нет
Да
Работа с базами данных напрямую не предполагается, но, в случае
необходимости, к ней могут получить доступ те, у кого есть полный доступ на
редактирование сценариев и запросов на обслуживание, так как используемыми
базами данных эти доступы наследуются.
Защита от внешних угроз осуществляется путем применения следующих
способов:
использованием программно-аппаратных комплексов;
разработкой и соблюдение политик безопасности;
использованием защищенных каналов связи при передаче
информации;
использованием антивирусных средств;
В целях повышения защиты как данного решения, так и всей
инфраструктуры от вторжений, требуется внедрить инфраструктуру открытых
ключей (PKI, public key infrastructure) на основе Microsoft Active Directory
Certification Services (AD CS). Эта система позволяет при подключении и передаче
данных устанавливать подлинность как клиента, так и сервера. Состоит из
серверов, выпускающих сертификаты и серверов, предоставляющих клиентам
возможность проверки сертификатов на наличие в списке отозванных. [4]
AD CS последних версий позволяет выпускать сертификаты широкого
спектра назначений и степеней защиты. С помощью PKI можно защитить
большинство современных устройств и приложений:
сетевое оборудование – позволяет защитить подключения по Wi-Fi,
VPN, позволяет использовать IPsec;
57
веб-серверы – дает возможность перевести их с HTTP на HTTPS –
защищенный протокол передачи данных;
почтовая система – позволяет начать использование цифровой
подписи, что даст защиту от нарушения целостности писем в
процессе пересылки;
файловые системы – несмотря на наличие встроенной шифрованной
файловой системы (EFS, encrypting file system) в MS Windows /
Windows Server, AD CS позволяет повысить безопасность
использования этой технологии, путем централизации выдаваемых
сертификатов и наличия механизма их отзывов. [5][12]
Применительно к данной работе, после внедрения данной системы, на
серверах MS System Center Service Manager / Orchestrator требуется установить
сертификаты типа Client Authentication / Server Authentication для защиты
передачи данных между собой и при связи с контроллерами домена, а также типа
Web Server для защиты портала самообслуживания.
Немаловажной является защита пользовательских ПК – на контроллерах
домена на уровне групповых политик всей компании должны быть установлены
политики сложности паролей:
длина пароля должна быть не менее 8 символов, а для учетных
записей сотрудников, имеющих административные привилегии в
домене – не менее 12;
для учетных записей сотрудников, имеющих административные
привилегии в домене
из четырех типов имеющихся знаков – строчные буквы, прописные
буквы, цифры и спецсимволы – должны быть задействованы не
менее трех;
новый пароль не может повторять последние 10 паролей;
пароль не может быть сменен чаще одного раза в сутки;
максимальный срок действия пароля – 90 суток;
58
после 10 неуспешных попыток ввода пароля, учетная запись должна
блокироваться на 30 минут с последующей автоматической
разблокировкой, в случае, если после блокировки не было попыток
ввести неправильный пароль еще раз.
Данные меры позволят повысить защиту от неавторизованного доступа к
пользовательским ПК и системам, которые пользователями используются, как
«ручными» способами, так и методом перебора. В то же время, не будучи излишне
жесткими, эти меры не спровоцируют пользователей на запись своих паролей и
хранение их в открытом виде (как правило, на листах бумаги) где-то рядом с ПК,
что резко снижает эффективность всех остальных мер безопасности. [4]
Для защиты от вредоносных программ, на тех серверах, где будет
установлена рассматриваемая в данной работе система, должны быть
установлены агенты антивируса Kaspersky Endpoint Security 10 с включенным
сканированием файловой системы диска C:\.
Для своевременного устранения обнаруженных уязвимостей и повышения
надежности работы системы, на нее должны регулярно устанавливаться
обновления. Помимо обновлений на саму ОС, в Службе обновления Windows
Server (WSUS) в cписок скачиваемых и распространяемых обновлений должны
быть включены обновления для MS System Center Service Manager / Orchestrator.
В данном разделе было показано, что стандарт ГОСТ Р ИСО/МЭК 12207-
2010 (ISO/IEC 12207:1995) является оптимальным стандартом жизненного цикла
программного обеспечения для данного проекта, были описаны основные стадии
жизненного цикла. В качестве стратегии внедрения была выбрана стратегия
«пилотного проекта», были описаны основные ИТ-риски и способы их
минимизации, описаны основные средства обеспечения безопасности в проекте.
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и ее описание.
Информационная модель — модель объекта, представленная в виде
информации, описывающей существенные для данного рассмотрения параметры
59
и переменные величины объекта, связи между ними, входы и выходы объекта и
позволяющая путём подачи на модель информации об изменениях входных
величин моделировать возможные состояния объекта. Информационная модель
— совокупность информации, характеризующая существенные свойства и
состояния объекта, процесса, явления, а также взаимосвязь с внешним миром.
Информационная модель проектируемой системы представлена на Рисунке 17.
Рисунок 17. Информационная модель ИС
60
В соответствии с моделью, сначала специалист отдела инфраструктуры
создает в SC Orchestrator сценарии для каждой из трех автоматизируемых задач,
включающие в себя как компоненты самого SC Orchestrator, так и сценарии на
PowerShell. В SC Orchestrator каждый сценарий состоит из двух компонентов:
получение исходных данных от внешнего источника
запуск сценария PowerShell и передачей ему полученных на предыдущем
этапе данных
Для каждого из них нужно задать контекст выполнения в виде учетной
записи, которая будет иметь полномочия в MS Active Directory и/или в MS
Exchange для выполнения требуемых действий.
Далее, в SC Service Manager создается соединитель к SC Orchestrator для
обеспечения доступности созданных там сценариев. После подключения,
последовательность действий для каждой из задач состоит из следующих
пунктов:
создание шаблона сценария
создание запроса на изменение
создание запроса на обслуживание
Создание шаблона сценария создает “связку” между конкретным
сценарием в SC Orchestrator и будущим запросом на изменение в SC Service
Manager. При создании шаблона нужно выбрать требуемый сценарий и
заполняемые поля и их типы будут определены автоматически. Пример формы
создания шаблона приведен на Рисунке 18.
61
Рисунок 18. Пример формы создания шаблона
Запрос на изменение является той отдельной операцией в графической
форме, которую будет запускать конечный пользователь - в данном случае,
сотрудник технической поддержки. Создание такого запроса включает в себя:
указание требуемого шаблона, созданного на предыдущем шаге;
ввод заголовков формы и краткой инструкции, которая будет
отображаться при открытии запроса;
добавление форм ввода данных и сопоставление их с полями ввода
из шаблона
Пример формы создания запроса на изменение приведен на Рисунке 19.
62
Рисунок 19. Пример формы создания запроса на изменение
После этого, создается запрос на обслуживание, если он не был создан
ранее. Запрос на обслуживание - это некоторым образом сгруппированные
запросы на изменение. Каждый отдельный запрос на изменение должен состоять
в каком-либо из запросов на обслуживание. В данном случае, создается запрос на
обслуживание “Вторая линия поддержки”, в который помещаются запросы на
создание новой учетной записи, сброс пароля и создание нового общего
почтового ящика.
Для разграничения доступа в SC Service Manager создается роль
пользователя “L2 Specialists”, в которую добавляются сотрудники, которые будут
работать через создаваемую автоматизированную с`истему, после чего, эта роль
добавляется в доступы запроса на обслуживание “Вторая линия поддержки”.
Работа по созданию запросов на этом завершается.
При использовании созданной системы процессы могут отличаться, в
зависимости от конкретной задачи и используемых внешних систем. При
получении нового запроса из системы ведения заявок сотрудник технической
поддержки вводит данные в соответствующие поля запроса на изменение в SC
63
Service Manager, SC Service Manager добавляет к введенным данным скрытое поле
с идентификационными данными сотрудника технической поддержки и передает
их в SC Orchestrator, который, в свою очередь, запускает соответствующий
сценарий, передавая полученные данные ему. Далее процессы начинают
отличаться.
При создании новой учетной записи, сотрудник технической поддержки,
получив из системы ведения заявок соответствующий запрос:
берет из запроса имя пользователя для нового сотрудника;
вводит его и номер поступившего запроса в форму создания новой учетной
записи в SC Service Manager и нажимает “Подтвердить”.
Далее сценарий выполняет следующие действия:
обращается к БД «Босс-Кадровик», откуда берет следующую информацию
о сотруднике:
o имя;
o фамилия;
o должность;
o отдел;
o руководитель;
o день рождения;
o дата приема на работу;
подключается к контроллеру домена (Active Directory Domain Controller) и
отправляет ему команду на создание учетной записи с полученными
данными;
после получения подтверждения, что учетная запись создана, сценарий
подключается к базе данных, из которой получает сведения о необходимых
для данного сотрудника доступах;
так как доступы предоставляются на основе членства в группах Active
Directory, сценарий проверяет есть ли они, в случае необходимости создает
новые, и добавляет учетную запись во все необходимые группы;
64
по окончании работы с самой учетной записью, сценарий подключается к
MS Exchange, конструирует из имени, фамилии (используя
транслитерацию) и доменной части почтовый адрес, добавляет учетной
записи почтовый ящик и назначает ему сконструированный адрес;
формирует письмо, в котором указаны учетные данные для нового
сотрудника и вспомогательная информация – такая, например, как
контакты отдела технической поддержки, и отправляет руководителю
нового сотрудника на почту;
в конце работы данного сценария в файл журнала записывается краткая
информация о дате запуска сценария, номере запроса, результате запуска и
для кого создавалась учетная запись.
При сбросе пароля учетной записи пользователя сотрудник технической
поддержки так же вводит в форму имя учетной записи, номер запроса и нажимает
«Подтвердить», SC Service Manager так же передает эти данные сценарию.
Далее сценарий выполняет следующие действия:
находит эту учетную запись в Active Directory, проверяет, что она не
заблокирована (например, в результате увольнения сотрудника);
генерирует новый временный пароль;
меняет пароль учетной записи на временный;
ставит требование сменить временный пароль на другой при первом входе
пользователя в систему;
формирует письмо, в котором указан временный пароль, инструкции для
дальнейших действий и отправляет его руководителю обратившегося
сотрудника;
в конце работы данного сценария в файл журнала записывается краткая
информация о дате запуска сценария, номере запроса, результате запуска и
для какой учетной записи менялся пароль;
При выполнении запроса на создание общего почтового ящика сценарий
выполняет следующие действия: