52
режимом, что приводит к зависанию сети и создает задержки при передаче
данных.
Для исключения этого недостатка, предлагаем использовать в
управляемом коммутаторе L2 Edge-Core ECS3510-28T взвешенный алгоритм
кругового обслуживания (Weighted Round Robin, WRR), который позволит
исключить существующие недостатки и обеспечить обработку очередей на
основании назначенного им веса и полосы пропускания для очередей,
имеющих более низкий приоритет.
Обработку очередей предлагаем выполнять по круговому принципу.
Для каждой очереди будет передаваться определенный объем трафика,
который будет пропорционален установленному весу, после этого будет
осуществляться переход к следующей очереди, в зависимости от
установленного приоритета.
Схема предложенного алгоритма WRR обслуживания очередей
приведена на рисунке 16.
Рисунок 16 – Схема предложенного алгоритма WRR обслуживания очередей
Как было установлено, в офисной сети предприятия в настоящее время
применяется алгоритм выборочного отбрасывания пакетов, что создает
задержки времени передачи пакетов. Для исключения этого недостатка
предлагаем в офисной сети использовать алгоритм RED, в основе которого
53
находиться отбрасывание поступающих пакетов вероятностным способом, на
основе определения среднего размера очередей. В данном случае не нужно
дожидаться полного заполнения очередей, коммутатором будут
отбрасываться пакет с вероятностью, что средний размер очереди превышает
минимальное граничное значение.
На основе предлагаемого управляемого коммутатора L2 Edge-Core
ECS3510-28T этот механизм можно реализовать и в дополнение к этому
производителями предлагается окрашивание пакетов для реализации политик
обслуживания с использованием приоритетов. Другими словами, пакеты
зеленого цвета имеют наиболее высокий приоритет, а красного – самый
низкий.
С помощью алгоритма на коммутаторе L2 Edge-Core ECS3510-28T
можно будет задавать два пороговых значения для каждой из очередей –
максимальное и минимальное. Когда длина очереди будет меньше
установленного минимального значения, тогда коммутатором будет
выполнено помещение пакетов в очередь.
С помощью управляемого коммутатора L2 Edge-Core ECS3510-28T
также можно будет настроить списки управления доступом ASL, что
позволит усилить защиту офисной сети.
Профили доступа позволят определять типы критериев фильтрации,
которые будут проверяться в пакете данных, а также в правилах. Когда
коммутатором будет получаться кадр, он будет его проверять на совпадение
с существующими типами фильтрации, которые будут установлены
администратором в правилах.
Для этого в правилах работы с коммутатором, предлагаем создать
номера профилей и порядковый номер правил. Первоначальном будет
выполняться проверка требований установленных в правиле 1 и профиле 1.
Если полученный пакет не будет удовлетворять указанным условиям, то
далее он будет проверяться с требованиями, указанными в правиле 2
54
профиля 1 и это будет длиться до тех пор, пока не будут определены все
параметры поступившего пакета.
Схема предложенного алгоритма управления списком доступа ASL
приведена на рисунке 16.
Рисунок 17 – Схема предложенного алгоритма управления списком доступа
ASL
55
Также предлагаем заменить модем TP-LINK TD-W8961ND на более
новую модель типа Cisco RV130W-E-K9-G5 имеющий следующие
характеристики:
- количество портов LAN: 4;
- мощность передачи данных 17dbN;
- частотный диапазон 2,4 ГГц;
- скорость передачи данных 1000 Мбит/с.
Предлагаемая схема локальной компьютерной сети на основе
выделенного сервера ООО «Северал Системс» приведена на рисунке 18.
Рисунок 18 – Предлагаемая схема локальной компьютерной сети на основе
выделенного сервера ООО «Северал Системс»
Для обеспечения высокого уровня безопасности беспроводной сети
предлагаем усилить защиту за счет использования:
- менеджера управления системой безопасности Cisco Security Manager
(CSM);
56
- программного аппаратного решения для централизованного
управления Cisco Secure Access Control Server;
- платформы, выполняющей централизованное управление Cisco IP
Solution Center (ISC).
Менеджер управления системой безопасности Cisco Security Manager
(CSM) представляет собой централизованную систему управления
средствами защиты компании Cisco. Он используется для настройки
используемых межсетевых экранов, а также позволяет создать систему
защиты от вторжений. Среди преимуществ CSM следует выделить
поддержку значительного числа устройств защиты, представлять
информацию в различных формах, использовать различные механизмы
обнаружения отклонений от принятой политики безопасности,
автоматизация часто повторяющихся задач администратора сети.
К преимуществам Cisco Security Manager (CSM) следует отнести:
- наличие графического интерфейса управления;
- обнаружение конфликтов в правилах политики безопасности и
выявление правил, которые не влияют на защищенность сети;
- возможность группировки, клонирования настроек, позволяющих
ускорить модернизацию сети;
- поддержка наследования и иерархии политики безопасности;
- аудит, управление отказоустойчивостью, контроль качества и
балансировки нагрузки сети.
Сервер централизованного управления доступом Cisco Secure Access
является программно-аппаратным обеспечением, позволяющим выполнять
централизованное управление доступом через сетевое оборудование и
защитные устройства компании Cisco.
Было установлено, что сетевое оборудование использует стандарт
802.11n, что приводит к ограничению пропускной способности. Для
повышения эффективности сети предлагаем использовать технологию MU-
57
MIMO, которая позволит определять положение клиента в сети и передавать
на его устройство одновременно несколько потоков [15, c.37].
Применение технологии MU-MIMO позволит усиливать сигнал на
стороне клиента, а в противоположных направлениях его ослаблять, что
существенно повысит защиту сети ООО «Северал Системс»».
Таким образом, для модернизации компьютерной сети ООО «Северал
Системс» было предложено:
- заменить неуправляемые коммутаторы на управляемый и
высокоскоростной коммутатор типа L2 Edge-Core ECS3510-28T, что
позволит повысить скорость передачи данных в сети и увеличить
пропускную способность между рабочими станциями;
- заменить модем TP-LINK TD-W8961ND на более новую модель типа
Cisco RV130W-E-K9-G5, что позволит увеличить скорость работы в сети
Интернет и быстрее осуществлять обмен файлами с CRM-системой «Steam
Telecom»;
- для управления роутером Cisco RV130W-E-K9-G5 использовать
менеджер управления системой безопасности Cisco Security Manager, для
усиления информационной безопасности сети;
- внедрить технологию MU-MIMO, что позволит усиливать сигнал на
стороне клиента.
3.2 Предложения по усилению защиты облачной среды предприятия
В процессе анализа было установлено, что в настоящее время в ООО
«Северал Системс» используется облачная CRM-система «Steam Telecom».
К основным проблемам безопасности в облачной инфраструктуре
относятся обеспечение защиты периметра и разграничение сети, уязвимость
и атаки в виртуальном пространстве, динамичность виртуальных ресурсов,
защищенность данных и приложений, управление обновлениями, защита
бездействующих виртуальных машин.
58
Проблемы также возникают в том, что возможность сегментации сети с
помощью межсетевого экрана затрудняется, поскольку большая часть
трафика фигурирует между виртуальными машинами.
Если традиционная модель безопасности за счет обеспечения
целостности гарантирует стабильность работы. Уязвимость операционной
системы или приложений в виртуальной среде распространяются без
контроля, проявляясь через определенный интервал времени (например, при
восстановлении из резервной копии). Поэтому в среде облачных вычислений
нужно создать возможность фиксирования состояния защиты независимо от
ее размещения и состояния [13, c. 178].
В настоящее время средства защиты в среде облачных вычислений
разделяются на два класса. К первому классу относятся средства защиты,
которые представлены готовыми аппаратными решениями. Они не
привязаны к защите виртуальной среды, а направлены на снижение затрат на
эксплуатацию средств защиты. В качестве примеров таких аппаратных
решений можно привести SSL VPN, антивирусы, решения, позволяющие
выполнять URL-фильтрацию и средства для управления защитой данных.
Ко второму классу относятся средства защиты среды облачных
вычислений, приведенные на рисунке 19 [9, c. 32].
Рисунок 19 – Второй класс средств защиты среды облачных вычислений
1
• межсетевые экораны (брандмауэры)
2
• средства обнаружения и предотвращения вторжений
3
• средства контроля целостности
4
• средства защиты от вредоносных программ, учитывающие виртуализацию
5
• средства защиты от несанкционированного доступа
6
• средства контроля политик безопасности в виртуальной инфраструктуре
59
Преимуществом данного класса средств защиты является учет
особенностей при выполнении защиты виртуальной среды и их
коммуникаций.
Для защиты данных в облачной среде предлагаем использовать
продукт компании Safe Net ProtectV, который представляет собой
комплексную платформу для обеспечения безопасности в среде облачных
вычислений.
За счет данного средства защиты информации обеспечивается
бесперебойная работа центров обработки данных. Данное решение не
предъявляет требований к установке агентов и упрощает администрирование
системы безопасности в виртуальной среде.
С помощью данной системы можно создавать любые конфигурации
систем безопасности, поскольку она включает интегрированные модули,
обеспечивающие защиту серверов на любом уровне.
Схема архитектуры обеспечения безопасности облачной среды на базе
платформы Safe Net ProtectV приведена на рисунке 20 [16].
Рисунок 20 – Схема архитектуры обеспечения безопасности облачной среды
на базе платформы Safe Net ProtectV
60
Как видно из рисунка 20, платформа Safe Net ProtectV включает
систему централизованного управления ProtectV Manager, с помощью
которой администраторы создают профили безопасности для серверов,
отслеживают предупреждения и принимают профилактические меры в
случае выявления угроз и атак.
Также в состав данной платформы включено виртуальное устройство
безопасности ProtectV Client, выполняющее защиту всех расположенных на
хост-сервере клиентских машин.
За безопасность облачной инфраструктуры отвечает компонент Key
Secure, позволяющий распространить политику безопасности ЦОД в
общедоступных и гибридных средах облачных вычислений, а также
обеспечить централизованное управление, предотвратить вторжения и
обеспечить контроль целостности вычислительных систем.
Такие подходы позволяют обеспечить автоматическую защиту новых
виртуальных серверов, исключают дублирование антивирусного
программного обеспечения и значительно упрощает управление защитой
среды облачных вычислений [19].
Данная архитектура в области управления защитой данных снижает
эксплуатационную сложность организации системы безопасности, повышает
возможности в размещении виртуальных машин и ускоряет процессы
внедрения технологий виртуализации.
Следует отметить, что Safe Net ProtectV с различными облачными
сервисами в области логического разделения политик и информации,
предоставляет возможности делегирования полномочий и выполнения
самообслуживания, а также эластичного масштабирования облачных
сервисов за счет автоматического развертывания и запуска компонентов.
Важным преимуществом в информационной безопасности является
обеспечение контроля целостности за счет данного средства на уровне
гипервизора. С использованием технологии Intel TPM/TXT комплексом
61
отслеживаются любые происходящие неавторизованные изменения в
платформе, а функция контроля целостности создает возможности
разворачивания, доверенных виртуальные окружения, способствует
повышению уровня защищенности среды облачных вычислений и исключает
хакерские атаки.
Данное решение может быть внедрено как в виде виртуального
устройства, так в виде программного продукта, что позволяет предприятиям
своевременно предупреждать атаки и угрозы [1, c. 44].
Виртуальный патчинг (Virtual Patching) позволяет системным
администраторам при обнаружении уязвимости «нулевого дня» в том или
ином программном обеспечении закрыть брешь на сетевом уровне до
выпуска, соответствующего патча разработчиком программного
обеспечения.
Таким образом, одновременно минимизируется риск заражения, и
сокращаются операционные расходы, благодаря чему специалисты получают
больше временных ресурсов для решения стратегических задач. Safe Net
ProtectV умеет на сетевом уровне оперативно «залатывать дыры» в
различных типах приложений, в том в числе крупных софтверных
комплексах – системах управления базами данных, почтовых и веб-серверах,
файловых хранилищах.
Для создания резервных копий в сетевом хранилище предлагаем
использовать платформу Zoolz Cloud Backup Basic, с помощью которой
можно выполнить синхронизацию данных с компьютерами.
Для настройки удаленного копирования на персональный компьютер
нет необходимости установки дополнительного программного обеспечения,
поскольку все операции NAS выполняет самостоятельно.
Также существует возможность настройки резервного копирования с
использованием расписания, что создает удобство в работе администратора в
области контроля операций резервного копирования.