12
Как видно из рисунка 1.2, на сервере предприятия установлена серверная
операционная система Windows Server 2016, которая поддерживает облачные
технологии и технологии, позволяющие обеспечить высокую защиту
установленного на сервере программного обеспечения [16].
Серверная операционная система Windows Server 2016 поддерживает
технологии контейнеризации для изоляции приложений и операционных систем,
улучшая процессы их развертывания, как на сервере, так и в облачной среде.
Для управления контейнерами используется технология Docker, а для
обновления кластеров технология Cluster. В серверной операционной системе
Windows Server 2016 создана возможность добавления и удаления виртуальных
сетевых адаптеров и оперативной памяти на каждой из созданных виртуальных
машин [6].
Функция вложенной виртуализации позволяет специалистам ООО
«Лепесток» использовать как ресурсы физического сервера, так и виртуального
сервера Hyper-V. Для автоматизации управления в удаленном режиме
виртуальными и рабочими машинами специалисты ООО «Лепесток»
используют технологию PowerShell. Данная технология поддерживает функцию
удаленной консоли и диспетчера управления виртуальным сервером.
Для защиты виртуальных машин и программного обеспечения в состав
серверной операционной системы Windows Server 2016 входит служба Host
Guardian Service.
На рабочих местах сотрудников ООО «Лепесток» установлена
операционная система Windows, которая имеет центр управления и службу по
обеспечению защиты установленного на рабочих станциях программного
обеспечения.
Под управлением операционной системы Windows Server 2016 и Windows
10 работает ЕRP-система 1С: Предприятие 8. TMS Логистика. Управление
перевозками. Использование в деятельности ЕRP-системы позволяет
автоматизировать процессы планирования логистических, складских и
транспортных бизнес-процессов, вести контроль доходов и расходов
предприятия от оказания транспортно-логистических услуг, формировать
аналитическую отчетность для принятия управленческих решений [17].
13
Основные модули ЕRP-системы 1С: Предприятие 8. TMS Логистика.
Управление перевозками, приведены на рис.1.3.
Рис. 1.3. Основные модули ERP-системы 1С: Предприятие 8. TMS Логистика.
Управление перевозками
Как видно из рисунка 1.3, в состав ЕRP-системы 1С: Предприятие 8. TMS
Логистика. Управление перевозками входят:
- модуль «Оформление заявок» для регистрации заявок полученных от
физических и юридических лиц;
- модуль «Рейсы» для планирования грузовых перевозок и контроля
подготовки отчетности после прохождения транспорта по точкам маршрута;
- модуль «Обеспечение рейсов» с поддержкой технологий формирования
отчетности по выделению средств на организацию перевозок и подготовки
отчетности;
- модуль «Спутниковый мониторинг», поддерживающий технологии
контроля транспортных средств во время перемещения по маршрутам,
- модуль «Мобильный клиент» для обмена сообщениями с водителями и
контроля выполнения ими заданий.
Также ЕRP-система 1С: Предприятие 8. TMS Логистика. Управление
перевозками включает модуль 1С: Бухгалтерия 8, который главный бухгалтер
использует для регистрации хозяйственных операций, формирования первичных
и отчетных документов для ведения бухгалтерского и налогового учета и
14
подготовки отчетности органам государственного контроля, а также
генеральному директору.
К преимуществам использования ЕRP-системы 1С: Предприятие 8. TMS
Логистика. Управление перевозками относится то, что в ней поддерживаются
технологии визуализации информации из электронных карт. Это позволяет
сократить затраты на формирование маршрутов перевозок грузов по территории
Москва, а также предупредить задержки транспорта в случае возникновения
пробок на основных маршрутах перевозки.
Интеграция ЕRP-системы 1С: Предприятие 8. TMS Логистика.
Управление перевозками с мобильными приложениями создает возможности
поддержки бесперебойной связи с водителями, отслеживания их перемещение
на маршрутах и выполнения заявок клиентов. Интеграция с сервисами обмена
сообщениями повышает качество перевозок грузов и обеспечения их защиты во
время перевозки.
Техническая архитектура ИС ООО «Лепесток» приведена на рис.1.4.
Сервер
HP ProLiant DL380 G7
Сервер
HP ProLiant DL380 G7
Коммутатор
Praxis-16
Маршрутизатор
Linksys EA9500
Max-Stream
Интернет
Office 086162
Office 086162
Office 086162
Office 086162
Office 086162
Office 086162
Office 086162
Принтер
Xerox Phaser 3020BI
Принтер
Xerox Phaser 3020BI
Принтер
Xerox Phaser 3020BI
Рис. 1.4. Техническая архитектура ИС ООО «Лепесток»
15
Как видно из рисунка 1.4, техническая архитектура ООО «Лепесток»
представлена компьютерной сетью, основанной на архитектуре клиент-сервер. В
качестве сервера используется сервер HP ProLiant DL380 G7, отличающийся
высокой производительностью, которую обеспечивает процессор 2xQuad-Core
Intel Xeon Е5530, а также оперативная память DDR3 ECC объемом 16 Гб. На
сервере установлена сетевая система Gigabit Server Adapters и контроллеры
жестких дисков HP Smart Array P410i объемом 256 Мб.
Для получения доступа в сеть Интернет в ООО «Лепесток» применяется
маршрутизатор Linksys EA9500 Max-Stream, включающий в свой состав 8
портов со скоростью передачи данных 1000 Мбит/с. Защиту трафика
обеспечивает поддержка технологии MU-MIMO. Данная технология организует
потоковую передачу данных от нескольких устройств с обеспечением высокого
качества.
К техническим характеристикам маршрутизатора Linksys EA9500 Max-
Stream относится:
- поддержка стандартов 802.11ac, 802.11b/g, 802.11n;
- обеспечение безопасности за счет поддержки технологий WPA и WPA2;
- настройка беспроводного сегмента сети за счет поддержки технологии
Linksys Смарт Wi-Fi с поддержкой частот 2,4 ГГц и 5 ГГц;
- возможность создания VPN-туннелей.
В настоящее время в сети ООО «Лепесток» автоматизировано 15 рабочих
мест, которые подключены к коммутатору Praxis на 16 портов. На рабочих мест
используется компьютеры Office 086162, производительность которых
обеспечивается 4-ядерным процессором AMD Ryzen 3 1200 Summit Ridge. В
состав персонального компьютера входит оперативная память объемом 4Гб,
жесткий диск объемом 1Тб, видеокарта GeForce GT 710, звуковая карта HDA, и
сетевая карта Gigabit Ethernet.
Для печати документов в технической архитектуре применяется лазерный
принтер Xerox Phaser 3020BI, обеспечивающий печать 20 стр./мин. на формате
А4. В качестве среды передачи в технической архитектуре используется кабель
витая пара Cabeus UTP-4P-Cat.5e-SOLID-GY, изоляция которого выполнена из
полиэтилена и меди.
16
1.2 ХАРАКТЕРИСТИКА КОМПЛЕКСА ЗАДАЧ, ЗАДАЧИ И
ОБОСНОВАНИЕ НЕОБХОДИМОСТИ АВТОМАТИЗАЦИИ
1.2.1 Выбор комплекса задач автоматизации и характеристика
существующих бизнес процессов
К основным бизнес-процессам ООО «Лепесток» относятся:
- предоставление услуг по складированию грузов, их транспортировки по
месту назначения потребителя;
- планирование деятельности с подготовкой бюджетов по доходам и
расходам и плана оказания услуг;
- организация работы с персоналом с формированием кадровой политики
и стратегии развития персонала и удержание его в организации;
- проведение маркетинговых работ для стимулирования сбыта
транспортно-логистических услуг и увеличения доходов;
- ведение бухгалтерского и налогового учета в соответствии с
требованиями действующего законодательства;
- автоматизация бизнес-процессов за счет постоянного обновления
сетевого оборудования, серверов и программного обеспечения.
Для реализации основных бизнес-процессов важным является организация
обмена данными как внутри предприятия, так и за ее пределами. В данных
процессах наиболее важная роль отводится поддержке в работоспособном и
защищенном состоянии компьютерной сети.
На основании проведенного анализа технической архитектуры
информационной системы ООО «Лепесток» были выявлены следующие
недостатки:
- в сети не применяются межсетевые экраны, позволяющие обеспечить ее
защиту от несанкционированного доступа при выходе в сеть Интернет;
- существующая компьютерная сеть не сегментирована, поскольку
используется только один коммутатор, к которому подключены рабочие
станции. Это может привести к выходу сети из строя и остановки работы
сотрудников структурных подразделений.
17
Отсутствие сегментации негативно влияет на защиту данных, поскольку в
случае получения доступа к сетевому оборудованию злоумышленник может
произвести перехват сетевого трафика и внести изменения в конфиденциальную
информацию.
В компьютерной сети не применяется логистическая сегментация, которая
способствует увеличению производительности обмена данными и созданию
дополнительной защиты.
Также существенным недостатком компьютерной сети ООО «Лепесток»
является то, что не предусмотрена возможность оценки качества канала
передачи данных. Администратор компьютерной сети не использует
программное обеспечение, позволяющее производить анализ передаваемого
трафика, оценивать пропускную способность и контролировать потоки данных с
помощью протоколов передачи данных.
Для исключения перечисленных недостатков необходимо:
- приобрести резервные коммутаторы, которые позволят создать
изолированные друг от друга сегменты, и тем самым снизить нагрузку на
сетевое оборудование;
- организовать логическую сегментацию сети посредством организации
VLAN-сети и тем самым обеспечить защиту при работе сотрудников
структурных подразделений как внутри предприятия, так и при выходе в сеть
Интернет.
Кроме этого, в компьютерной сети не применяются средства,
позволяющие обеспечить защиту персональных данных, доступ к которым
может нанести вред репутации предприятия. Отсутствие средств защиты
персональных данных может вызвать сложности передачи конфиденциальной
информации через сеть Интернет.
Таким образом, необходимо в компьютерной сети предусмотреть
криптографические средства защиты, которые соответствуют текущим
требованиям ФСБ России.
Организация виртуальной сети с применением криптографических
средств защиты позволит создавать отдельные широковещательные домены,
группировать устройства на логическом уровне, повысить управляемость сети.
18
1.2.2 Определение места проектируемой задачи в комплексе
задач
Организация VLAN-сети позволит усилить защиту и произвести
сегментацию сети на логическом уровне. Наиболее эффективным способом
проектирования VLAN-сети является создание программно-определяемых сетей
на основе Cisco TrustSec [14].
Сегментация VLAN-сети позволит снизить риски получения
злоумышленниками конфиденциальной информации, создать рабочие группы
пользователей с целью усиления контроля их работы и обеспечения защиты,
снизить нагрузку на сетевое оборудование и повысить производительность
обмена.
При сегментации VLAN-сети необходимо выполнить такие задачи:
- создать рабочую группу с назначением ролей и привилегий при
получении доступа к информационным ресурсам;
- изолировать трафик, поступающий из сети Интернет;
- обеспечить доступ пользователей только к тем ресурсам, которые
позволят им выполнять должностные обязанности.
Применение технологии Cisco TrustSec для сегментации сети позволяет
автоматизировать процессы разграничения доступа и контроля работы
пользователей. В основе данной технологии находится создание динамических
меток при назначении трафика или выделения групп пользователей.
Технология Cisco TrustSec автоматизирует процессы обработки списков
контроля доступа, основанных не на IP-адресах, а метках SGT [18].
Таким образом, ее внедрение позволит упростить контроль доступа и
вместо устаревшей технологии ACL, основанной на IP-адресах использовать
технологию SGACL, основанной на метках и не зависящей от адресов и
виртуальных технологий. В основе технологии Cisco TrustSec находится матрица
TrustSec Policy Management Matrix.
Матрица представлена в виде групп, отражающих источники трафика и
адресатов. Политика доступа в данном случае администратором будет
формироваться в виде простейших правил, анализом запрещенного и
19
разрешаемого трафика и его перераспределение между различными
пользователями.
Метки SGT могут использоваться при организации данных от узла к узлу,
когда в состав заголовков передаваемых пакетов включается протокол SGT
Exchange Protocol (SXP), работающий поверх протокола TCP и
поддерживающий технологию Cisco Platform Exchange Grid.
Применение данного способа позволит обеспечить масштабируемость
данных при передаче трафика и возможность контроля меток входящих в состав
пакетов. Коммутатор должен поддерживать списки SGACL, а маршрутизатор
возможность создание VPN-сети.
Организация VLAN-сети, поддерживающей технологии Cisco TrustSec
позволит ООО «Лепесток» повысить не только производительность обмена, но и
улучшить систему защиты передачи данных на основе новых политик доступа.
Кроме этого создание VLAN-сети с поддержкой технологии Cisco
TrustSec ускорит масштабирование сети и создание новых рабочих групп для
организации обмена данными.
1.2.3 Обоснования необходимости использования
вычислительной техники для решения задачи
В связи с развитием деятельности ООО «Лепесток» открыло филиал в
городе Санкт-Петербург. Работа филиала позволяет получить дополнительные
доходы от привлечения клиентов в Ленинградской области. Недостатком
является то, что в настоящее время работа филиала не автоматизирована, что
приводит к необходимым затратам на обмен конфиденциальной информацией и
приводит к высокой трудоемкости решения задач по обработке данных и
подготовке отчетной документации.
Для исключения недостатков необходимо выполнить проектирование
ЛВС филиала ООО «Лепесток» и создать VLAN-сеть для обмена данными в
защищенном режиме.
При проектировании сети филиала ООО «Лепесток» среди существующих
топологий офисной сети получила топология «звезда».
20
Проектируемая схема офисной сети для работы филиала ООО «Лепесток»,
приведена на рис. 1.5.
Интернет
Рис. 1.5. Проектируемая схема ЛВС филиала ООО «Лепесток»
Как видно из рис. 1.5, в сети ЛВС филиала ООО «Лепесток» будет
установлен сервер баз данных, беспроводный маршрутизатор с межсетевым
экраном для получения данных с сети Интернет и организации беспроводного
сегмента и коммутаторы для создания двух сегментов сети с количеством
рабочих станций по 5 в каждом.
1.2.4 Анализ системы обеспечения информационной
безопасности и защиты информации
Проведем анализ системы обеспечения информационной безопасности и
защиты данных ООО «Лепесток». В настоящее время в ООО «Лепесток»
применяется система защиты информации от несанкционированного доступа
21
Dallas Lock 8.0-K. Данная система представлена в виде программного комплекса
выполняющего обработку данных и поддерживающего работу с серверной
системой Windows Server 2016 и операционной системой Windows 10.
Программный комплекс Dallas Lock 8.0-K включает в свой состав
механизмы, поддерживающие смарт-карты eToken, ключи Touch Memory и
электронную цифровую подпись для защиты документов [19].
Архитектура программного комплекса Dallas Lock 8.0-K приведена на рис.
1.6.
Рис. 1.6. Архитектура программного комплекса Dallas Lock 8.0-K
Использование средства защиты от несанкционированного доступа Dallas
Lock 8.0-K позволяет ООО «Лепесток» усилить информационную безопасность,
производить разграничение доступа к информационным ресурсам на основе
матрицы доступа, вести журналы событий для оценки работы пользователей и
контролировать целостность файловой системы.
При работе с программным комплексом Dallas Lock 8.0-K администратор
компьютерной сети ведет анализ журналов регистрации событий, контроля
входа пользователей в локальную вычислительную сеть и получение доступа к
ресурсам, управление политикой безопасности и учетными записями
пользователей.