24
o Видеокарта Интегрирована в чипсет iG31;
o Звуковая карта 6-канальная;
o Сетевая карта 10/100/1000 Мбит/с;
o Размеры 420 мм х 180 мм х 380 мм.
Из всех серверов в компании используются всего лишь файл–сервер и
сервер БД. Аппаратной основой серверов служит Office Server TX 3000R15 с
такими техническими характеристиками:
Процессор Intel® Core™5 750 (Lynnfield, 2.66ГГц, 8Мб, LGA1156);
Чипсет Intel 3420;
Жесткий диск 1000Gb (SATA II, 7200rpm, 32Mb);
Оперативная память DDR3 4096 Mb (pc-10660) 1333MHz;
Видеокарта XGI® Z9s (32MB DDR2);
Оптические накопители DVD±RW;
Тип корпуса Full Tower;
Сетевая карта 4х10/100/1000 Мбит/с.
С помощью маршрутизатора 3Com13701-ME пользовательские сегменты и
сервера объединяются в сеть. Внутри пользовательских сегментов как
коммутаторы применяются 3COM Gigabit Switch 8 3CGSU08. Данные
коммутаторы снабжены программными брандмауерами.
Телефонная сеть организована с использованием АТС Panasonic KX-
TEM824. В качестве оконечных устройств служат офисные телефоны Panasonic
KX-T7710.
Средой для передачи данных служит кабель витая пара 5 категории
(100BASE-ТX) со скоростью передачи до 100 мбит/сек.
Каждая рабочая станция укомплектована МФУ Xerox Phaser 3100MFP/Х.
На рисунке 7 наглядно представлена программная архитектура
информационной системы.
25
Рисунок 7 Программная архитектура ООО «Группа Сиа Транс»
Все компьютеры снабжены стандартным пакетом ПО:
Операционная система MS Windows 7 Professional x64;
Пакет MS Office 2007;
Браузер Mozilla Firefox;
Avira AntiVir Premium Security Suite;
Adobe Acrobat 6.0 Professional;
Мессенджер ICQ.
С учетом специфики деятельности отделов персональные компьютеры
предприятия снабжены таким дополнительным ПО (персональные пакеты
программного обеспечения для отделов) - Бухгалтерия: 1С Бухгалтерия: Версии
8, 1С Предприятие: Версия 8.
Microsoft
SQL Server
2005
Avira AntiVir
Premium Security
Suite
MS Office 2007
(
)
(
)
Windows XP Pro SP3
ICQ
Adobe Acrobat 6.0
Professional
MS OutlookMozilla Firefox
CRM
18
1
8
Avira AntiVir
Premium Security
Suite
CRM
1 8
RAID5
Windows Server
2008
FTP,
TCP/
IP,
HTTP,
FTP,
SMTP
26
1.3.2 Определение средств автоматизации для решения задачи
исследования
На данный момент на предприятии автоматизация процессов, связанных
работой сотрудника документооборота осуществляется бессистемно. Подобная
организация деятельности не позволяет вырабатывать оперативные решения на
изменения внешних факторов, не предоставляет информацию в наглядном виде
для заинтересованных лиц. Внедрение автоматизации процессов для решения
разного рода задач на предприятии предоставит возможность уменьшения
административных накладных расходов, увеличения производительности труда,
а также позволит повысить эффективность управления, рационально вести
деятельность.
В данный момент в компании, ПО, которое автоматизирует основные
процессы учета, отсутствует, поэтому весь учет ведётся в специализированном
электронном журнале, реализованном в Excel, вручную. Схема документооборота
представлена на рисунке 8.
Подписанное
лицензионное
соглашение
Действие
Начальник отдела
1. Запрос на
лицензионное
соглашение
2. Подписание
лицензионного
соглашения
Прием
лицензионного
соглашения
Подписанное
лицензионное
соглашение
Подписанное
лицензионное
соглашение
Работник
отдела
документооборота
3. Результат подписания
лицензионного
соглашения с клиентом
Принятое
лицензионное
соглашение
Архив
Рисунок 8 Схема документооборота отдела
Чтобы производить учет документов и клиентов, консультантов требуется
посмотреть весь журнал Excel. Эта процедура требует особого внимания и
занимает довольно длительный период.
При таком подходе могут возникать погрешности, связанных, в первую
очередь, с человеческим фактором, потому, что секретарь может попросту не
27
заметить какою-либо важную информацию, что повлечет за собой формирование
неправильной отчетности.
Существующий процесс имеет следующие недостатки:
- сложность мониторинга деятельности конторы;
- сложность в составлении отчетной документации;
- возможность утраты информации из-за возможных ошибок консультанта;
- ручная обработка информации:
- снижение эффективности в работе операторов;
- трудоемкость в оформлении документов и отчетности при
необходимости работать с большими размерами данных;
- отсутствие единого упорядоченного архива истории
взаимоотношения с клиентами;
- трудоёмкость проведения взаиморасчётов с клиентами.
Применение вычислительной техники для оптимизации процесса
обработки информации будет эффективным потому, что большая часть
информации, участвующей в нем, поддается формализации. Внедрение ЭВМ
позволит гораздо быстрее проводить процессы составления разных отчётов, и
повысить эффективность работы секретаря и компании в целом.
Проведем расчет возможного эффекта от введения средств автоматизации
(таблица 2) [32].
Таблица 2
Расчет эффекта внедрения
Действие
Время,
затрачиваемое при
базовой технологии/
мин.
Время,
затрачиваемое по
предлагаемому
варианту/ мин.
Учет клиентов
15
3
Учет входящих документов
30
3
Учет исходящих документов
30
3
Формирование отчетности
50
3
Итого:
125
12
Время, затрачиваемое при базовой (существующей) технологии на данном
предприятии было предоставлено работниками отдела \ документооборота
предприятия. Время, затрачиваемое по предлагаемому варианту является
предположительным если внедрить новую систему отдела документооборота
28
предприятия. Такая разница исходит от того, что предлагаемый вариант
автоматизации отдела документооборота будет клиент-серверной системой и
выполнение лицензионных соглашений значительно сократит время на
выполнение нижеперечисленных действий.
Таким образом, при действующей системе каждый из основных процессов
занимает до 50 минут, а в сумме за рабочий день на это тратится приблизительно
3 часа рабочего времени. С внедрением предлагаемой системы это время
сократится до 10-15 минут. Кроме того, основными достоинствами автоматизации
также будет являться меньший риск допущения ошибок в документах и отчетной
документации за счет электронной формы их формирования, а также
автоматизированного ввода данных.
1.3.3 Определение уровня защиты информации для исследуемой
задачи
К программным методам и средствам обеспечения безопасности сетей
относят: защиту средствами ОС, средства сетевой защиты, защита баз данных с
помощью СУБД, средства антивирусной защиты, системы обнаружения
вторжений, средства анализа защищенности и автоматизированные средства
управления политикой безопасности.
Методы защиты средствами ОС [22]
У правильно сконфигурированной Windows, под управлением которой
находится большинство рабочих станций, с установленными соответствующими
обновлениями, на многих рабочих станциях существуют области FAT32, что
снижает общую безопасность этих станций. Для повышения эффективности
системы защиты в перечисленные условия необходимо также добавить
исключение физического доступа внешнего злоумышленника к компьютеру,
запрет загрузки с внешнего носителя, документально подкрепленный запрет
установки «хакерских» программ со стороны внутренних пользователей.
Новые виды атак появляются постоянно, поэтому защита должна быть
многоуровневой, включать как программные, так и организационные методы и
строиться на противостоянии не конкретной атаке, а классу атак. На текущий
момент защита не носит комплексный характер. Скачиваются и устанавливаются
не все обновления. Нет ограничений по видам деятельности под определенными
29
операционными системами.
В сети применяются следующие меры защиты:
- на рабочих местах пользователей применяются средства разграничения
доступа при входе в систему, встроенные в ОС;
- на серверах используются средства разграничения доступа и механизмы
аудита, встроенные в ОС;
- на рабочем месте администратора применяются встроенные в ОС средства
блокировки сеансов пользователей;
- администрирование системы удаленно через Интернет не производится.
Средства сетевой защиты
- экранирование внутренней сети путем использования межсетевого
экрана. Пропускная способность используемого межсетевого экрана достаточна
для данной сети;
- использование фильтров на маршрутизаторе;
- взаимодействие с внешней сетью через proxy-сервер;
Безопасность баз данных
В качестве системы управления базами данных на предприятии
используется MS SQL Server 2008. Для защиты баз данных применяются
встроенные в СУБД MS SQL Server 2008 механизмы безопасности, такие как, SQL
Server-аутентификация, управление доступом на основе ролей SQL Server, аудит.
Обновления скачиваются и устанавливаются регулярно. Также регулярно
производится архивное копирование базы данных.
Все сотрудники имеют права доступа в соответствии со служебными
обязанностями. Пароль администратора доступен двум сотрудникам:
генеральному директору и сотруднику, его заменяющему на время отсутствия.
Антивирусная защита
По результатам исследований самого авторитетного международного
английского журнала «VirusBulletin» AVP Касперского замыкает 5-ку лучших
антивирусов по результатам последних 15-ти испытаний [12].
Тестирование проводилось на макровирусах, полиморфных, т.н.
стандартных вирусах и «диких вирусах». Использование списка "диких вирусов"
(WildList) позволяет получить объективную оценку надежности того или иного
30
антивирусного средства.
По результатам последних 5-ти проверок AVP Касперского делит первое
место с Eset (NOD32).
Копия программы, используемой в организации, является лицензионной,
количество приобретенных лицензий незначительно превышает количество
рабочих мест, таким образом, имеется резерв лицензий, и при необходимости
увеличить число рабочих станций не потребуется дополнительных закупок.
Антивирусные базы обновляются ежедневно на сервере и на рабочих станциях.
На рабочие станции обновления рассылаются автоматизировано.
Программа - бесспорный лидер по тщательности проверки подозрительных
объектов. Антивирус Касперского обнаруживает вирусы в архивированных и
упакованных файлах более 1200 форматов, а также лечит файлы форматов ZIP,
ARJ, CAB и RAR. Кроме того, компания предлагает круглосуточную техническую
поддержку.
Рабочие станции большинства пользователей находятся под контролем
резидентного монитора. Антивирус поддерживает различные платформы, в
частности все те, что используются на предприятии, и имеет сертификаты и
лицензии ГТК и ФСБ России.
Таким образом, обеспечиваемый уровень защиты от вирусов можно
признать достаточно высоким.
Системы обнаружения вторжений [12]
Система обнаружения вторжения (IDS) позволяет выявлять/блокировать
попытки взлома ЛВС и оповещать об этом. В настоящее время на предприятии
такие системы в сети не используются. Необходимость применения IDS и ее место
в комплексной системе безопасности возникает по мере развития
информационных технологий, которое происходит как на стороне владельца
информационной системы, так и на стороне злоумышленника. Межсетевого
экрана и антивируса становится недостаточно, если есть вероятность получения
контроля над системой (ОС, СУБД) со стороны несанкционированного
пользователя.
Следует учитывать, что степень сложности IDS требует соответствующей
квалификации обслуживающего ее персонала. С установкой IDS администратор
31
получает еще одну обязанность - необходимость постоянно просматривать
журналы протоколирования событий, однако это необходимая малая жертва,
благодаря которой он избавит себя от гораздо более серьезных проблем. На
настоящий момент для принятия решения о внедрении в систему безопасности
системы обнаружения вторжений необходимо сформировать требования к
защите, провести обследование рынка таких систем.
Средства анализа защищенности
Своевременность обнаружения уязвимостей непосредственно связана с
частотой опроса. Кроме необходимых плановых проверок задача контроля
защиты периодически возникает при изменении, обновлении компонентов
информационной системы, изменении конфигурации операционной системы и
т.п.
В ЛВС на предприятии в настоящий момент средства анализа
защищенности не применяются, хотя потребность в них существует. Такие
средства облегчают анализ защищенности используемых механизмов
обеспечения информационной безопасности. Сканеры безопасности - позволяют
установить собственную политику безопасности, автоматизировать анализ
уязвимостей и создать отчеты, которые эффективно связывают информацию об
обнаруженных уязвимостях с подробными корректирующими действиями на всех
уровнях организации. Использование этих средств поможет определить
уязвимости на узлах сети и устранить их до тех пор, пока ими воспользуются
злоумышленники.
Причины того, что вопрос использования сканера защищенности
заслуживает внимания, заключаются в следующем:
- многие пользователи не имеют никакого представления о защите, и часто
действуют так, что могут скомпрометировать систему защиты организации.
- опытные пользователи, самостоятельно администрирующие свои рабочие
станции, могут непреднамеренно ослабить защиту всей сети, используя
дополнительный винчестер, модем для личного удобства, слабые или
скомпрометированные пароли и т.д. Организационные меры в данном случае
будут менее действенны (будут расценены как оскорбительное недоверие), чем
периодическая проверка защищенности администратором сети, отвечающим за
32
безопасность.
- неустановленные патчи ОС, уязвимые сервисы, плохая настройка по
умолчанию, или устаревший Java Security Manager в Web-броузере, лучше всего
устраняются как системой анализа защищенности на уровне ОС, так и уровне
сети. [7]
- риски, связанные с администраторами, включая не отвечающие политике
безопасности значения в системном реестре, требования к паролям или
несанкционированные изменения в конфигурации системы, легче
идентифицировать с помощью системы сканирования сетевого уровня, а затем,
для полного анализа, использовать средства системного уровня. Риски, связанные
с деятельностью пользователя, включая совместное использование директорий,
отказ запускать антивирусное ПО, использование модемов в обход МСЭ, лучше
всего определяются средствами анализа защищенности системного уровня.
На фоне отсутствия комплексной системы защиты внедрение отдельно
взятых систем такого рода, а также систем анализа защищенности, будет являться
мерой эпизодического, местного характера и не принесет должного эффекта.
Поэтому отсутствие IDS и сканеров безопасности можно рассматривать не как
отдельный недостаток существующей системы защиты, а как составляющую
проблемы отсутствия комплексной системы защиты.
Автоматизированные средства управления политикой безопасности
Принципиальная характеристика таких продуктов – это выработка единой
политики для данного типа устройств, сегмента сети, операционной системы,
группы пользователей и применение этой политики в корпоративной сети.
Наличие автоматизированных средств управления политикой безопасности
подразумевает присутствие следующих факторов:
- Развитой инфраструктуры безопасности, т.к. данное программное
обеспечение должно управлять именно имеющимися механизмами безопасности,
иметь возможность общаться с устройствами безопасности для получения от них
информации и направления им управляющих действий. На текущий момент
уровень развития системы безопасности не предоставляет возможности
внедрения таких продуктов;
- Квалифицированного персонала для управления безопасностью, т.к. без
33
детального представления принципов работы механизмов безопасности
автоматизированное управление безопасностью бесполезно и рискованно. Таким
образом, при расчете эффективности относительно стоимости необходимо
учитывать затраты на обучение сотрудника, выполняющего обязанности
администратора безопасности.
Одной из основных целей обеспечения информационной безопасности
предприятия является необходимость предотвращения или снижение уровня
ущерба, интересы которых затрагиваются при проведении атак на объекты
защиты, материального, морального и иного случайного или преднамеренного
ущерба из-за нарушения конфиденциальности, целостности, достоверности,
подконтрольности и доступности защищаемой информации.
К объектам защиты относятся информационные ресурсы, обрабатываемые
в рамках инфраструктуры сети, а также информационные ресурсы самой
инфраструктуры сети, влияющие на эффективность обеспечения
информационной безопасности.
1.4 Анализ существующих разработок и выбор стратегии
автоматизации
1.4.1 Анализ существующих разработок для автоматизации
задачи
По мере появления современных инновационных технологий и ИТ
сервисов уровень обслуживания клиентов постепенно повышается. Компании
стараются максимально быстро и эффективно удовлетворять запросы
потребителей. Когда у пользователей возникает какая-либо проблема, они могут
отправить запрос, содержащий описание вопроса и просьбу о помощи в его
решении. Благодаря этому отдел документооборота пользователей сможет
рассмотреть поступившую заявку на лицензионное соглашение и дать свой ответ
[32].
Компаниям, имеющим большую клиентскую базу, необходимо
использовать систему запросов, которая необходима, чтобы оперативно,
организованно и качественно решать проблемы потребителей. Далее мы
рассмотрим популярные системы, которые подходят для учета лицензионных