52
технологию IEEE 802.11ac. Настройка точки доступа Cisco WAP 150
производится без контроллеров и существует возможность подключения до 4
точек в один кластер. Питание производится от сети переменного тока и PoE.
Следующей точкой доступа является точка доступа Cisco WAP 361,
поддерживающая стандарт IEEE 802.11 ac и позволяющая передавать данные со
скоростью до 1200 Мбит/с. Точка доступа Cisco WAP 361 включает один канал
GigE LAN с 4-мя коммутационными портами, поддерживает возможность
питания от сети переменного тока и PoE.
Точка доступа Cisco WAP 571 позволяет производить подключение к двум
радиоканалам с максимальной скоростью передачи данных 1900 Мбит/с.
Поддерживает технологии IPv6 и QoS, может быть установлена в двойной
локальной сети Gigabit Ethernet со статическим LAG. Выполним сравнительный
анализ точек доступа компании Cisco с помощью таблицы 2.4.
Таблица 2.4
Сравнительный анализ точек доступа компании Cisco
Параметр для
сравнения
Cisco WAP 150
Cisco WAP 361
Cisco WAP 571
Скорость
передачи
данных
1200 Мбит/с – Wi-Fi,
867 Мбит/с – IEEE
802.11 ac, 300Мбит/с
– IEEE 802.11n
1200 Мбит/с – Wi-Fi,
867 Мбит/с – IEEE
802.11 ac, 300Мбит/с
– IEEE 802.11n
1900 Мбит/с – Wi-
Fi, 130 Мбит/с –
IEEE 802.11 ac,
600Мбит/с – IEEE
802.11n
Управление
Без контроллера до 4
WAP150 на один
кластер
GigE LAN с 4
коммутационными
портами GigE
Без контроллера до
16 WAP571 на один
кластер
Поддержка
Поддержка 802.3af
PD, PoE
PoE, PD, PSE
IPv6, QoS, PoE+,
PoE
Монтаж
Настольное
размещение, монтаж
на стену
Монтаж в настенную
соединительную
коробку
Монтаж в
соединительную
коробку
Для организации IP-телефонии свое распространение получили IP-
телефоны Grandstream GXP1630, включающие в свой состав 2 Gigabit порта с
поддержкой технологии PoE, HD аудио. Данные телефоны позволяют
организовать 4-х стороннюю конференцсвязь, имеют жидкокристаллический
дисплей разрешением 132х64 точки.
53
К техническим характеристикам IP-телефонов Grandstream GXP1630
относятся [39]:
- количество линий: 3 линии и 3 SIP аккаунта;
- количество портов: 2 порта со скоростью передачи данных 1000 Мбит/с;
- защита: технологии шифрования TLS и SRTP с защитой звонков и
аккаунтов;
- аудио: возможность проведения 4-х сторонней аудиоконференции;
- сетевой интерфейс: Gigabit Ethernet;
- функции телефонии: удержание или перевод вызова, встроенная
телефонная книга в XML-формате на 500 записей;
- поддержка технологии QoS, ToS, MPLS, DiffServ;
- энергопотребление и экологическая эффективность: IEEE 802.3af, PoE;
- соответствие стандартам: FCC класс BCE, EN55022, УТ55024 класс В.
Следует также отметить IP-телефоны Escene WS330-PEGV, имеющие
расширенный функционал, включающих 2 Ethernet-порта и поддерживающие
технологии QoS, VLAN, VPN и DHCP Relay. С помощью телефонов Escene
WS330-PEGV существует возможность организации 3-х сторонней
конференцсвязи, голосовой почты.
К техническим характеристикам IP-телефонов Escene WS330-PEGV
относятся:
- количество линий: 3 линии SIP и одна «горячая линия»;
- сеть: SIP v1, веб-управление: HTTP/HTTPS, поддержка беспроводных
технологий: IEEE 802.11 ac;
- управление: FTP/TFTP, SNMP v1 и возможность управления
конфигурацией через браузер;
- поддержка кодеков: G.722, G.711m/A, G.726, VAD, CNG, AEC, AGC;
- безопасность: VLAN QoS (IEEE 802.1pq), VPN (L2TP), TLS, AES-
шифрование;
- функции телефона: голосовая почта, переадресация вызова, телефонная
книга LDAP, 3-х сторонняя конференцсвязь;
- эксплуатационные характеристики: Ethernet, IEEE 802.3af, потребляемая
мощность до 3,5Вт.
54
IP-телефоны YeaLink SIP-T19 E2 поддерживают функции SIP, быстрого
набора, переадресации, группового прослушивания, проведения конференции и
автоматической настройки времени.
Телефоны IP-телефоны YeaLink SIP-T19 E2 поддерживают кодек G.722,
G.711, полудуплексной громкой связи Full-duplex, обнаружения активности
голоса VAD, адаптивного буфера для голосовых пакетов AJB и регулировки
чувствительности микрофона AGC.
Сравнительный анализ технических характеристик IP-телефонов приведен
в таблице 2.5.
Таблица 2.5
Сравнительный анализ технических характеристик IP-телефонов
Параметр
Grandstream
GXP1630
Escene WS330-
PEGV
YeaLink SIP-
T19 E2
Количество линий
3 линии и 3 SIP
аккаунта
3 линии и 3 SIP
аккаунта
1 линия SIP
Количество портов
2 порта со
скоростью
передачи данных
1000 Мбит/с
2 порта со
скоростью
передачи данных
1000 Мбит/с
2 порта со
скоростью
передачи
данных 100
Мбит/с
Защита
Технологии
шифрования TLS и
SRTP
MD5 и MD5-sess
MD5 и MD5-
sess
Энергопотребление
и экологическая
эффективность
IEEE 802.3af, PoE
IEEE 802.3af, PoE
IEEE 802.3af,
PoE
Поддержка кодеков
G.722, G.726
G.722, G.711m/A,
G.726, VAD, CNG,
AEC, AGC
G.722, G.711
Безопасность
VLAN QoS (IEEE
802.1pq), VPN
(L2TP), TLS, AES
VLAN QoS (IEEE
802.1pq), VPN
(L2TP), TLS, AES
VPN (L2TP),
TLS
На основании выполненного сравнительного анализа наилучшие
технические характеристики телефоны Grandstream GXP1630, имеющие высокий
уровень защиты и позволяющие обеспечить в сети скорость передачи данных
1000 Мбит/с.
Выполним обзор IP ATC-серверов для организации IP-телефонии и
передачи видео и аудио по сети. Для организации IP-телефонии свое
55
распространение получили серверы IP ATC FreePBX Phone System 400,
включающие VoIP-шлюз, колл-центр, сервер голосовых и видеоконференций,
IVR-сервер и сервер голосовой почты [40].
Для организации IP-телефонии можно использовать IP-ATC сервер IP-
ATC Zycoo CooVox U50 V2 для организации конференцсвязи до 100 человек.
Данный сервер имеет достаточно высокую масштабируемость и гибкость. В его
состав входит 4 портовых модуля FXO или FXS.
IP-ATC сервер IP-ATC Zycoo CooVox U50 V2 поддерживает до 8 GSM-
каналов, 4 Гб для голосовой почты и записи разговоров, а также управление
через веб-интерфейс.
На основании сравнительного анализа можно сделать выводы, что
наилучшие технические характеристики имеет IP ATC FreePBX Phone System
400.
2.4 Выбор платформы для покрытия всех необходимых задач
управления сетью и обеспечения ее безопасности
Для управления сетью и ее защиты свое распространение получила
платформа Cisco Advanced Malware Protection (AMP), включающая в состав
систему мониторинга и контроля, позволяющую не только предотвращать
нарушения безопасности, а также вести контроль и устранение вредоносного
программного обеспечения.
Платформа Cisco AMP включает инструменты, позволяющие производить
проверку оконечных устройств, сетей, межсетевых экранов, устройств защиты
электронной почты, web-трафика, облачных сервисов.
Больше возможностей в области управления инфраструктурой позволяет
создать платформа Cisco Stealthwatch, которая включает инструменты для
проведения мониторинга сети, оперативного управления инцидентами,
поведенческого анализа и оценки нагрузки на сеть. Архитектура платформы
Cisco Stealthwatch приведена на рис.2.5.
56
Рис. 2.5. Архитектура платформы Cisco Stealthwatch
В состав платформы Cisco Stealthwatch входит консоль управления,
которая позволяет блокировать вредоносное программное обеспечение,
предотвращать утечки и компрометации систем. Консоль управления Stealth
watch (SMC) представлена в виде физического или виртуального устройства,
позволяющего агрегировать данные и представить результаты анализа данных
используя интерфейс пользователя.
Модуль Flow Collector включает средства централизованного управления,
контроля требований безопасности. Под ее управлением работают физические
или виртуальные устройства Flow Sensor, поддерживающие работу с флагами
TCP и позволяющие вести контроль трафика между виртуальными машинами.
Для передачи данных одновременно нескольким получателям в состав
платформы Cisco Stealth watch входит модуль UDP Director и средства для
каскадирования Flow Collector.
Мониторинг HTTP-трафика, данные о пользователях можно получить с
помощью прокси-системы платформы Cisco Stealth watch. В данном случае
прокси-система будет производить отправку данных Syslog (UDP/514) и
производить ассоциацию полученных журналов с сеансами.
Поддержка лицензии Stealth watch Threat Intelligence позволяет
производить в системе непрерывное обновление данных об угрозах, производить
57
совершенствование алгоритмов, взаимодействовать с CnC-серверами и другими
хостами.
Государственная система обнаружения и предупреждения ликвидаций
ГосСОПКА выступает центром, который поддерживается государственными
органами России и ФСБ России. Система ГосСОПКА соответствует:
- Приказу ФСТЭК России от 14 марта 2014 года № 31 «Об утверждении
требований к обеспечению защиты информации в автоматизированных системах
управления производственными и технологическими процессами на критически
важных объектах, потенциально опасных объектах, а также объектах,
представляющих повышенную опасность для жизни и здоровья людей и
окружающей среды»;
- Приказу ФСТЭК России от 18 февраля 2013 года № 21 «Об утверждении
состава и содержания организационных и технических мер по обеспечению
безопасности персональных данных при их обработке в информационных
системах персональных данных»;
- Приказу ФСТЭК России от 11 февраля 2013 года № 17 «Об утверждении
требований о защите информации, и составляющих государственную тайну,
содержащейся в государственных информационных системах»;
- Методическим рекомендациям по созданию ведомственных и
корпоративных центров государственной системы обнаружения
предупреждения и ликвидации последствий компьютерных атак на
информационные ресурсы Российской Федерации № 149/2/7-200 от 24.12.2016
г.;
- Федеральному закону от 26 июля 2017 года № 187 «О безопасности
критической информационной инфраструктуры Российской Федерации»
1
.
В состав технических средств ГосСОПКА входит система взаимодействия
персонала, средства инвентаризации информационных систем, средства для
анализа событий безопасности, средства взаимодействия с главным центром
ГосСОПКА, средства выявления уязвимостей, средства учета и обработки
инцидентов. Основные элементы ГосСОПКА приведены на рис.2.6.
1
https://www.anti-malware.ru/analytics/Market_Analysis/analysis-russian-market-security-operations-
center?utm_source=google&%3Butm_medium=email&%3Butm_campaign=amdelivery
58
Рис. 2.6. Основные элементы ГосСОПКА
Компания может присоединиться к корпоративному центру мониторинга
ГосСОПКА, а также системе управления инцидентами. В состав центра
ГосСОПКА входят инструменты для расследования инцидентов и выявления
уязвимостей.
В систему мониторинга ГосСОПКА входят инструменты для анализа
уязвимостей, сигнатурного анализа и анализа инцидентов.
В настоящее время для защиты компьютерной сети получили свое
распространение различные системы обнаружения вторжений. Среди
сертифицированных ФСТЭК средств обнаружения вторжений следует отметить
систему StonGate IPS-1030, которая устанавливается в сегментах сети малых и
средних предприятий.
Система StonGate IPS-1030 позволяет обеспечить защиту с помощью
стандартных интерфейсов Ethernet. В состав системы входят средства,
позволяющие обнаружить вредоносное или нежелательно программное
обеспечение и провести анализ сетевого трафика с блокировкой движения
нарушителей.
К техническим характеристикам системы обнаружения вторжений
StonGate IPS-1030 относятся:
- HTTP-проверка с пропускной способностью до 90 Мбит/с;
- инспекция с пропускной способностью до 200 Мбит/с;
59
- количество одновременных TCP-соединений с проверкой - 300000;
- SSL, TLS-проверка при пропускной способности 50 Мбит/с;
- сетевой интерфейс 1 000 Мбит/с;
- рабочая температура от 5 до 35
0
C.
Сертификация ФСТЭК подтверждает, что система обнаружения
вторжений FortiGATE относится к программно-техническим средствам защиты
от несанкционированного доступа. Её профиль защиты соответствует
четвёртому классу (ИТ.МЭ.А4.П3 ФСТЭК России 2016 г). Система обнаружения
вторжений FortiGATE 100D относится к межсетевому экрану, включающему в
свой состав 20 портов GE-RJ-45.
Среди многих предприятий для обеспечения защиты свое
распространение получила система VipNET IDS, которая включается в свой
состав модули для обнаружения компьютерных вторжений и атак в
корпоративные информационные системы. При обнаружении вторжений
система регистрирует события, производит идентификацию атак с последующим
оповещением администраторам. Использование VipNET IDS возможно с
другими продуктами VipNET Network Security с целью повышения уровня
защищенности информационных систем, расследования инцидентов
информационной безопасности [4].
Система VipNET IDS подключается к каналам связи контролируемых
формационных систем с использованием коммутатора, имеющего SPAN-порт
или TAP-устройство. Трафик, проходящий через коммутатор, передаётся на
программно-аппаратный комплекс и зеркалируется.
Таким образом, VipNET IDS не оказывает влияния на прохождение
трафика через канал. Управление осуществляется администратором с помощью
специальной консоли, или системы управления.
Для обнаружения вторжений так же существует возможность
использования сетевого сенсора Cisco IPS-4240, который представлен в виде
системы для обнаружения вторжений. В состав системы обнаружения
вторжений входят сенсоры для обнаружения, предотвращения и классификации
вредоносного трафика в сети. Система работает в режиме реального времени и
подключена к централизованной базе Cisco Sensor Base Network. Каждый
60
сенсор, установленный в системе, производит обмен информацией с
централизованной базой о новых обнаруженных угрозах или получении
несанкционированного доступа.
Сравнительный анализ технических характеристик системы обнаружения
вторжений Cisco IPS приведен в таблице 2.6.
Таблица 2.6
Сравнительный анализ технических характеристик системы обнаружения
вторжений Cisco IPS
Параметр
Cisco IPS-4240
Cisco IPS-4255
Cisco IPS-4262
SX
Количество портов
4
4
4
Тип питания
АС 220В
АС 220В
АС 220В
Высота
1U
1U
1U
Порты консольные
RJ-45
RJ-45
RJ-45
Производительность
250 Мбит/с
500 Мбит/с
1 Гбит/с
Среди многих предприятий для обеспечения защиты свое
распространение получил программный межсетевой экран ИКС-ПМЭ,
сертифицированный ФСТЭК. Программный межсетевой экран ИКС-ПМЭ
выступает в виде Интернет-шлюза, имеющего инструменты для анализа
трафика, управления доступом, развертывания почтового, файлового, web- и
прокси-серверов.
За счёт установки программного комплекса ИКС-ПМЭ предприятие имеет
возможность усиления нецелевого расхода трафика с возможностью
установления ограничений для отдельных групп пользователей при работе в
сети Интернет. Кроме функций защиты система позволяет оптимизировать сеть
посредством маршрутизации, настройки сетевой трансляции адресов (NAT),
DNS-сервера, выполнения динамической конфигурации сети, осуществления
туннелирования с поддержкой шифрования, выполнения контроля интернет-
подключений с оповещением администратора о нештатных ситуациях.
На основании сравнительного анализа возможностей в проекте офисной
сети филиала рекомендуем ООО «Стандарт» использовать систему Cisco IPS-
4262 SX с производительностью 1Гб/сек и систему управления сетью Cisco
Stealthwatch.
61
На основании выполненных исследований можно сделать выводы:
1. ООО «Стандарт» специализируется в области сбыта производителей
строительных материалов с 2007 г. и в настоящее время у него установлены
взаимовыгодные отношения, как с отечественными, так и зарубежными
поставщиками строительных материалов.
2. Для передачи данных по компьютерной сети используется кабель
«витая пара» FTP 4PR 24AWG категории 5е. В состав кабеля «витая пара» входит 4
проводника из меди. Внешняя оболочка покрыта полиэтиленом.
3. Для передачи данных в компьютерной сети применяется технология
Gigabit Ethernet. Эта технология поддерживает стандарт IEEE 802.3 и позволяет
обрабатывать данные со скоростью передачи данных 1000 Мбит/с.
4. В компьютерной сети применяется двухуровневая технология «клиент-
сервер», в которой функции по формированию пользовательского интерфейса
происходят на рабочей станции, а все другие функции связанные с управлением
базой данных и выбора правил работы на сервере.
5. В компьютерной сети для организации связи с провайдером
применяется технология VPN, которая позволяет обеспечить высокую защиту
данных, поскольку поддерживает механизмы шифрования данных, производит
контроль целостности передаваемых данных и аутентификацию сетевого
оборудования.
6. В состав оборудования для организации компьютерной сети ООО
«Стандарт» входят сервер SL1000/TminiG4, межсетевой экран DEPO Stream
1040RU, коммутатор TP-LINK TL-SG105, беспроводный маршрутизатор TP-
LINK Archer C20(RU) AC750 и точка доступа TP-LINK EAP110. На местах
сотрудников установлены офисные персональные компьютеры Brand Star
1100160, производительность которых обеспечивается 2-х ядерными
процессорами типа Intel Celeron J1800. К персональным компьютерам
подключён лазерный принтер SAMSUNG SL-M2020(XEV/FEV), который работает
в чёрно-белом режиме печати со скоростью 20 стр./мин.
7. Для ускорения сетевого трафика на рынке аппаратного обеспечения
свое распространение получили контроллеры оптимизации WOC (WAN