22
работы с конфиденциальной информацией. В ней определена структура и состав
информационной системы, приводятся правила настройки электронной почты
при работе в сети Интернет и другими сторонними ресурсами.
В Политике использования электронной почты ООО «Р-Лоджикс»
приводятся правила работы с электронной почтой, поступающей из сети
Интернет на рабочие станции. При работе с электронной почтой сотрудники
структурных подразделений должны:
- обеспечивать сохранность паролей и не передавать их сторонним лицам;
- использовать электронную почту только в рамках выполняемых
должностных обязанностей;
- удалять подозрительные сообщения и проверять получаемые сообщения
с помощью антивирусной системы.
В Антивирусной политике ООО «Р-Лоджикс» установлены требования к
рабочим станциям при работе в сети Интернет. В IT-компании защита от
внешних угроз представлена в виде многоуровневой системы, в которой ведется
антивирусный контроль получаемых данных от провайдера, обеспечивается
защита поступающего трафика из сети Интернет, используются персональные
брандмауэры.
На всех на всех рабочих станциях в соответствии с Антивирусной
политикой ООО «Р-Лоджикс» установлено антивирусное программное
обеспечение, которое работает в режиме онлайн и контролирует поступающую
на рабочие станции информацию. Обновление антивирусной программы
производится в соответствии с настроенным расписанием автоматически. В
случае проникновения вредоносного программного обеспечения на рабочие
станции антивирусная программа оповещает об этом сотрудников и производит
уничтожение вирусов [2].
В Политике подготовки обмена и хранения конфиденциальной
информации приводятся требования при работе с документами. При работе с
документами в ООО «Р-Лоджикс» разрешено передавать только те данные, к
которым сотрудникам предоставлен авторизованный доступ.
23
В Политике информационно-технической поддержки ООО «Р-Лоджикс»
приводятся правила использования службы информационно-технической
поддержки Service Desk, которая представлена на трех уровнях.
На первом уровне в службе Service Desk поддерживается обработка заявок
общего профиля, связанных с получением доступа к конфиденциальной
информации. На втором уровне осуществляется поддержка, представленная в
виде обучения и консультаций в вопросах восстановление данных, обеспечения
защиты документов.
На третьем уровне службы Service Desk приводится консультативная
поддержка по планированию и развертыванию новых приложений. Структурные
подразделения Service Desk в соответствии с Политикой информационно-
технической поддержки обслуживаются по заявкам. Каждая заполненная заявка
направляется в IT-службу по почте. В свою очередь, IT-служба регистрирует
заявки в специальном журнале и в соответствии с графиком производит их
обработку.
Политика серверной безопасности ООО «Р-Лоджикс» включает стандарты
по работе с серверным оборудованием. В соответствии с данной политикой
работа и защита сервера обеспечивается службами, входящими в состав
серверной операционной системы Windows Server 2012. Выявление угроз
производится антивирусным программным обеспечением посредством
сканирования портов и службами серверной операционной системы Windows
Server 2012 [8].
Для обеспечения антивирусной защиты в деятельности ООО «Р-Лоджикс»
применяется антивирусная программа Kaspersky Security Center, позволяющая
организовать централизованную защиту компьютерной сети. В программе
предусмотрена настройка компонентов информационной безопасности серверов
и рабочих станций.
Используя антивирусную программу Kaspersky Security Center
специалисты IT-отдела ООО «Р-Лоджикс»:
- производят администрирование системы защиты сервера и рабочих
станций;
- управляют системой антивирусной защиты «Лаборатория Касперского»;
24
- создают образы серверной и клиентской операционных систем с
разворачиванием их на рабочих станциях и сервере;
- централизовано распределяют ключи антивирусной программы и
наблюдают за их использованием;
- управляют ключами криптозащиты информации на жестких и съемных
устройствах;
- производят инвентаризацию сетевого оборудования.
Характеристика компонентов системы Kaspersky Security Center
приведена в табл. 1.2.
Таблица 1.2
Характеристика компонентов системы Kaspersky Security Center
Компонент
Назначение
Сервер
администрирования
Для централизованного хранения данных о компьютерной
сети и установленного в ней программного обеспечения
Агент
администрирования
Для организации взаимодействия между сервером
администрирования и антивирусной программой
«Лаборатория Касперского»
Консоль
администрирования
Пользовательский интерфейс для работы со службами
агента и сервера администрирования
Сервер мобильных
устройств
Для управления мобильными устройствами,
подключенными к компьютерной сети через консоль
администрирования
Веб-консоль
Для управления информационной безопасностью через
браузер
Антивирусная программа Kaspersky Security Center позволяет получить
журнал событий и отчеты по текущему состоянию защиты компьютерной сети.
Для защиты конфиденциальной информации в ООО «Р-Лоджикс»
применяется СКЗИ КриптоПро CSP, выполняющий следующие функции защиты
[11]:
- обеспечивает защиту электронного документооборота при передаче
данных внутри компьютерной сети или по сети Интернет;
- контроль целостности прикладного и системного программного
обеспечения для его защиты от несанкционированного доступа;
- обеспечивает аутентификацию связывающих сторон, целостность и
конфиденциальность пересылаемой информации на основе сертификатов X.509.
25
1.3. АНАЛИЗ СУЩЕСТВУЮЩИХ РАЗРАБОТОК И ВЫБОР
СЕТЕВОГО ОБОРУДОВАНИЯ
1.3.1 Обзор современного рынка сетевого оборудования
В настоящее время на рынке сетевого оборудования распространение
получило оборудование компаний Cisco, Extreme Networks, Nortel, Riverstone.
Преимуществом использования оборудования компании Cisco является
высокое качество и гарантии. В настоящее время компания Cisco удерживает
лидирующие позиции, поскольку реализует стратегию установления
взаимоотношений с партнерами. Среди достоинств следует также отметить
введение политики средневзвешенной производительности и постоянного
обновления ассортимента [12].
Среди недостатков оборудования компании Cisco следует отметить
высокие цены, которые в сравнении с другими производителями выше на 15%.
Однако при установлении партнерских соглашений стоимость покупки
оборудования снижается.
Кроме этого оборудование компании Cisco требует прохождение
персоналом обучения, выделение затрат на техническую поддержку и
проведение сервисных работ. Компанией Cisco предлагается иерархическая
модель, которая позволяет не только упростить проектирование сети, но и
гарантировать совместимость с оборудованием других производителей.
Компания Extreme Networks, образованная в 1995 г. уступает по позициям
оборудованию Cisco. Однако по экспертным данным сетевое оборудование
компании Extreme Networks получило до 9% доли на рынке сетевого
оборудования, в частности в области использования магистральных
коммутаторов.
Преимуществом сетевого оборудования компании Extreme Networks
является то, что в коммутаторах используются стандартные протоколы,
упрощающие их эксплуатацию и конфигурирование. Компания ведет работу по
совершенствованию защиты данных, внедряют новые технологии.
26
Среди недостатков оборудования компании Extreme Networks следует
отметить отсутствие поддержки в России и Европе и стратегии партнерских
отношений, что негативно отражается на обновлении программного обеспечения
сетевого оборудования в процессе его эксплуатации.
На рынке сетевого оборудования следует также отметить компанию
Nortel, которая представила ассортимент современного сетевого оборудования,
имеющего высокую производительность данных. Сетевое оборудование
компании Nortel сопровождается сертификатами, которые действительны не
только за рубежом, но и на территории России [16].
Недостатком сетевого оборудования компании Nortel является отсутствие
партнерских программ поддержки, позволяющих получить скидки на
оборудование при проектировании IT-инфраструктуры.
На основании выполненного анализа можно сказать, что наибольшие
возможности в организации компьютерных сетей предоставляет сетевое
оборудование компании Cisco, которое отличается высоким качеством,
постоянной поддержкой производителем, как на этапе проектирования, так и на
этапе внедрения.
Для организации компьютерной сети и распространение получили
маршрутизаторы серии Cisco G2 2900, поддерживающие скорость передачи
данных 1000 Мбит/с.
Выполним сравнительный анализ маршрутизаторов компании Cisco серии
Cisco G2 2900 (табл. 1.3).
Таблица 1.3
Сравнительный анализ маршрутизаторов компании Cisco серии Cisco G2 2900
Модель
Количество
доступных портов
Скорость передачи
данных, Мбит/с
Поддержка
портов ISM
Cisco G2 2901
2
1000
1
Cisco G2 2911
3
1000
3
Cisco G2 2921
3
1000
1
Cisco G2 2951
3
1000
1
На основании сравнительного анализа можно сделать выводы, что
оптимальным вариантом для проектирования компьютерной сети ООО «Р-
27
Лоджикс» является маршрутизатор Cisco G2 2911, поддерживающий скорость
передачи данных 1000 Мбит/с, включающий 3 порта для подключения сетевого
оборудования и порт ISM. Кроме этого маршрутизатором поддерживаются
технологии Dynamic Multipoint VPN и Encrypted Transport VPN.
Представленные на рынке коммутаторы компании Cisco можно разделить
на следующие группы:
- коммутаторы Campus LAN Switches для организации компьютерных
сетей;
- коммутаторы Cloud-Managed Switches для организации облачного
управления;
- коммутаторы Data Center Switches для центров обработки данных;
- коммутаторы Service Provider Switches для организации передачи данных
с поставщиками услуг;
- коммутаторы Virtual Networking для организации виртуальных сетей.
Коммутаторы Campus LAN Switches применяются на уровне ядра и
распределения доступа. Большая часть коммутаторов компании Cisco для
организации сетей Campus представлена Blade-коммутаторами серии Cisco 2960,
Cisco 2960, Cisco 3560, Cisco 3750, Cisco 3850, Cisco 4500, Cisco 6500 и Cisco
6800.
Для облачного управления компания Cisco предлагает использовать
коммутаторы Cisco Meraki, поддерживающие функции виртуального
стекирования. Они позволяют конфигурировать большое количество портов и
отслеживать передачу данных без привлечения IT-специалистов [6].
Коммутаторы для организации работы с центрами обработки данных
отличаются гибкостью транспортировки данных и поддерживают
масштабируемость компьютерной сети. Среди коммутаторов Data Center
Switches следует отметить коммутаторы Cisco Nexus и Cisco Catalyst 6500.
Коммутаторы Service Provider Switches представлены коммутаторами
агрегации и коммутаторами получения доступа к сети Ethernet.
Коммутаторы агрегации представлены в виде свечей Ethernet для
агрегирования трафика на границе сети.
28
Коммутаторы для получения доступа к сети Ethernet включают в свой
состав функции контроля на прикладном уровне, поддерживают различные
сервисы виртуализации и обеспечивает высокий уровень защиты.
Коммутаторы Virtual Networking применяются для организации
безопасных облачных сервисов с поддержкой технологии интеллектуальной
виртуализации.
На основании выполненного анализа сетевого оборудования компании
Cisco для проектирования сети рассмотрим коммутаторы моделей Cisco Catalyst
3560, Cisco Catalyst 3750, Cisco Catalyst 3750, Cisco Catalyst 4500 и Cisco Catalyst
6500.
Коммутаторы Cisco Catalyst 6500 отличаются возможностью
развертывания сетей на уровне ядра с применением сервисов коммутации. Они
поддерживают пропускную способность до 3Тбит/с, а при передаче данных по
сети Ethernet до 150 Гб/с.
Коммутаторы Cisco Catalyst 4500 применяются для проектирования сетей
среднего размера. Их отличительной характеристикой является высокая
пропускная способность, возможность быстрой адаптации к различным
сервисам и обновление программного обеспечения в режиме онлайн.
Коммутаторы Cisco Catalyst 3750 применяются для организации сетей
небольших размеров и в них поддерживаются технологии StackWese Plus и
StackPower, а также различные протоколы безопасности.
Коммутаторы Cisco Catalyst 3560 поддерживают технологии Access
Control List, Quality of Service, а также IP-маршрутизацию.
На основании выполненного сравнительного анализа для проектирования
сети выбираем коммутатор Cisco Catalyst серии 3560, поддерживающий
скорость передачи данных 1000 Мбит/с. Данный коммутатор относится
коммутатором корпоративного класса и он поддерживает стандарт IEEE 802.3af.
Его применяют для проектирования компьютерных сетей удаленных офисов и
небольших организаций.
За счёт поддержки технологии PoE и скорости передачи данных 1000
Мбит/с их можно использовать для организации беспроводного доступа, IP-
телефонии, организации связи с офисом.
29
Выполним сравнительный анализ коммутаторов Cisco Catalyst серии 3560
с помощью табл.1.4.
Таблица 1.4
Сравнительный анализ коммутаторов Cisco Catalyst серии 3560
Модель коммутатора
Количество
портов
Скорость передачи
данных, Мбит/с
Скорость
пересылки
данных, млн.
пакетов/сек
Cisco Catalyst 3560-8PС
8
1000
2,7
Cisco Catalyst 3560-24TС
24
1000
6,5
Cisco Catalyst 3560-48TС
48
1000
6,5
Cisco Catalyst 3560-24PС
24
1000
6,5
Cisco Catalyst 3560-48PС
48
1000
6,5
Cisco Catalyst 3560-24TS
24
1000
38,7
Cisco Catalyst 3560-48TS
48
1000
38,7
На основании выполненного сравнительного анализа для проектируемой
сети в большей степени подходит коммутатор Cisco Catalyst 3560-24TS, который
включает в свой состав 24 порта, поддерживает скорость передачи данных 1000
Мбит/с и позволяет обеспечивать пересылку пакетов со скоростью 38,7 млн.
пакетов/сек.
Среди существующего оборудования компании Cisco для организации
VLAN-сети распространение получили коммутаторы серии Cisco Catalyst 2960,
поддерживающие технологии беспроводной голосовой связи, расстановки
приоритетов при передаче информации, возможность добавления резервных
источников питания.
Таким образом, на основании обзора рынка сетевого оборудования для
проектирования сети ООО «Р-Лоджикс выбираем коммутаторы уровня ядра
Cisco Catalyst 6500, маршрутизатор Cisco G2 2911 и коммутатор уровня доступа
Cisco Catalyst 3560-24TS.
1.3.2 Выбор и обоснование проектирования сети
На основании рассмотренных способов для проектируемой задачи была
выбрана организация VLAN-сети. Организация VLAN-сети предусматривает
30
конфигурирование сетевого оборудования и не зависит от физической топологии
сети.
Организация VLAN-сети позволит сократить поток широковещательного
трафика в компьютерной сети ООО «Р-Лоджикс». При этом будет усилена
безопасность сети при работе в сети Интернет и от несанкционированного
доступа.
Сеть на основе VPN относится к легко масштабируемым сетям. И
позволяет кроме одной сети филиала подключить несколько филиалов. Для
построения VLAN-сети существует возможность использования одной из
моделей [13]:
- VLAN-сеть на основе модели Intranet, в основе которой находится
использование открытых каналов для передачи данных, возможность связи
удаленных филиалов и обеспечения необходимого уровня защиты данных.
- VLAN-сеть на основе модели Remote Access для создания
зашифрованного туннеля между главным офисом и компьютерной сетью.
Недостатком данной модели является низкая защита передаваемых данных;
- VLAN-сеть на основе модели Extranet для предоставления пользователям
порционного доступа с применением алгоритмов шифрования;
- VLAN-сеть на основе модели «клиент-сервер», позволяющая
организовать передачу данных по сегментам внутри сети и связать их по
безопасным протоколам шифрования данных.
Для проектируемой VLAN-сети будем использовать две модели VLAN-
сеть на основе модели Remote Access для организации обмена между главным
офисом и филиалом ООО «Р-Лоджикс» и модель «клиент-сервер» для
организации передачи по сегментам внутри сети.
В настоящее время для организации VLAN-сети можно использовать
несколько способов:
- организация VLAN-сети на основании портов;
- организация VLAN-сети на основании MAC-адресов;
- организация VLAN-сети на основании стандарта IEEE 802.1Q.
Выполним сравнительный анализ перечисленных способов организации
VLAN-сети. В случае организации VLAN-сети на основе портов необходимо
31
каждому порту назначить определенную подсеть VLAN в независимости от
подключения к коммутатору пользователей. В данном случае все пользователи
будут входить в рабочую группу одной VLAN-сети. Недостатком является то,
что при организации VLAN-сети на основе портов конфигурирование
коммутаторов осуществляется статическим способом и вручную.
При организации VLAN-сети на основе MAC-адресов производится их
группировка. Однако, если в VLAN-сети используется большое количество
узлов, то это увеличивает трудоемкость выполняемых задач администратором.
Организация VLAN-сети на основе MAC-адресов является более гибким
способом, чем построение VLAN-сети на основе портов.
Организация VLAN-сети на основании стандарта IEEE 802.1Q
предусматривает использование дополнительных полей кадра для хранения
информации о принадлежности VLAN-сети.
С точки зрения гибкости и удобства настроек организация VLAN-сети на
основании стандарта IEEE 802.1Q является более эффективным способом и
имеет следующие преимущества:
- удобство в конфигурировании портов коммутатора;
- возможность добавления тегов VLAN-сети через коммутаторы,
поддерживающие стандарт IEEE 802.1Q;
- позволяет ускорить процесс добавления и излечения тегов из заголовков.
Следует отметить, что стандарт IEEE 802.1Q предусматривает внесение
изменений в структуру кадров Ethernet для данных по VLAN-сети. При этом
вставка кадра Ethernet происходит в тег с отражением идентификатора VID.
Поле VID имеет объем 12 бит и номер VLAN может принимать любое значение
от 1 до 4094 (номера 0 и 4095 являются зарезервированными номерами и
используются для служебных целей).
Кроме идентификатора VID в теге отображается приоритет каждого поля.
Тег включает TPID (Tag Protocol Identifier) и TCI (Tag Control Information). Тег
TPID используется при сдвиге кадров вправо и указывает на новый тип кадра по
стандарту 802 1Q.
На основании анализа выполненных способов организации VLAN-сети
для проектируемой задачи выбираем организацию VLAN-сети на основании на