51
ViPNet Удостоверяющий и ключевой центр (УКЦ);
ViPNet Client или ViPNet CryptoService для организации обмена
служебной информацией с другими узлами сети ViPNet.
Сервер(ы) с установленным ПО ViPNet Coordinator,
размещенный на границе сети или на границах участков сети. В зависимости
от своей роли в сети координатор может выполнять различные функции[36].
Компьютеры пользователей с установленным клиентским ПО
ViPNet Client или ViPNet CryptoService.
52
3 ОЦЕНКА ЭФФЕКТИВНОСТИ ПРОЕКТА
3.1 Средства и критерии оценки сети и определение показателей
Рассмотрим существующие программы тестирования сетей.
‒ Nagios;
‒ LAN Speed Test;
‒ FTest;
‒ Essential NetTools;
‒ Zenoss;
‒ AggreGate Network Manager.
Zenoss — распространяемая под свободной лицензией GPL система
мониторинга сетевой инфраструктуры, позиционируемая в качестве
открытой альтернативы продуктам IBM Tivoli, HP OpenView, BMC Patrol.
Программа написана на языке Python с использованием Zope, в
качестве СУБД используется MySQL 5.0.x. В web-интерфейсе присутствуют
элементы Ajax.
В программе можно использовать модули мониторинга от системы
Nagios. Также поддерживается получение информации о состоянии объектов
через SNMP, SNMP Trap, Ping/ICMP, SSH/Telnet, Syslog, WMI, XML/RPC
интерфейс.
AggreGate Network Manager – система мониторинга ИТ-
инфраструктуры и управления сетями. Система разрабатывается и
поддерживается российским R&D офисом компании Tibbo Technology.
AggreGate Network Manager является единственной российской системой
мониторинга сетей, составляющей конкуренцию продуктам крупнейших
мировых вендоров.
Сравнение рассмотренных программ приведено в таблице 3.1.
В результате сделанного сравнение выбираем программу FTest, так как
53
она обладает большим функционалом для тестирования сети, а не только ее
мониторинга.
Таблица 3.1 Сравнение программных средств тестирования сети
Nagios
LAN
Speed
Test
FTest
Essential
NetTools
Zenoss
AggreGate
Network
Manager
Диаграммы
Да
Да
Да
Да
Да
Да
Отчёты SLA
Да
Через
плагин
Да
(Ограниченн
ые)
Да
Да
Да
Логическая
группировка
Да
Да
Да
Да
Нет
Да
Агент
Нет
Да
Да
Да (не
обязателе
н)
Да
(поддержив
ается)
Поддержив
ается
SNMP
Да
Через
плагин
Да
Да
Да
Да
Nagios
LAN
Speed
Test
FTest
Essential
NetTools
Zenoss
AggreGate
Network
Manager
Syslog
Через плагин
(Syslog)
Через
плагин
Да
Да
Нет
Да
Внешние
скрипты
Да
Да
Да
Да
Да
Да
Плагины
Да
Да
Да
Да
Да
Да
Инвентаризация
Нет
Через
плагин
Да
Через
агент
Да
(ограничено)
Да
Метод хранения
данных
RRDtool,
MySQL,
PostgreSQL
Плоская
база
данных,
SQL
PostgreSQL,
MongoDB
Плоская
база
данных,
SQL
RRDtool,
PostgreSQL
SQL
Карты
Через плагин
(Weathermap)
Динами
ческие и
настраи
ваемые
Да
Да
Да
Да
Стоимость данной программы – около 55000 рублей, в тоже время она
позволяет провести нагрузочное тестирование локальной сети среднего
размера с формированием отчетов о всех показателях ЛВС. Поэтому для
использования в сети выберем данную программу.
Тестируемая сеть состоит из следующих компонентов:
‒ около 50 рабочих станций;
54
‒ маршрутизатор;
‒ 2 коммутатора;
‒ 3 сервера различного назначения;
‒ соединительные линии;
‒ программное обеспечение.
Обмен данными с активным сетевым оборудованием исполняется через
информационное пространство благодаря протоколам и методикам обмена
данными. В качестве основных протоколов из канального уровня OSI-модели
выделяют: 10 Gigabit Ethernet или Gigabit Ethernet. Основными протоколом
сетевого уровня на базе модели OSI выступает IP-протокол.
Активное аппаратное обеспечение сети для отправки данных включает
коммутаторы уровня доступа, коммутаторы ядра и маршрутизатор для
взаимодействия с сетями извне.
Коммутаторами уровня доступа становятся управляемые коммутаторы
2 уровня (Layer 2) в рамках модели OSI. Эти коммутаторы помогают
отправлять данные со скоростью передачи до 100 Мбит/с к каждому ПК, а
также помогают поддерживать технологии и протоколы: VOICE VLAN, VTP,
Rapid PVST, IEEE 802.1Q, PAgP, PVST. Число портов считается исходя из
совокупного числа мест, прибавляется 20% для масштабируемости и все эти
данные указываются на этапе проектирования. Соединение с коммутаторами
уровня ядра происходит по магистральным линиям связи и состоит из
стабильной архитектуры на базе 2 независимых линий связи.
Обычно коммутаторами уровня ядра выступает оборудование 3 уровня
(Layer 3) следуя модели OSI. Эти коммутаторы построены на модульной
основе и имеют режим стекирования (StackWise, FlexStack, StackWise Plus).
Для внедрения коммутаторов уровня доступа, серверов и подобного
активного сетевого оборудования используются порты более 100 Мбит/с. Эти
коммутаторы также имеют поддержку технологий и протоколов типа:
55
EIGRP, VTP, IEEE 802.1Q, PVST, Rapid PVST, RIPv2, PAgP. Контроль
реализуется посредством HTTP, Telnet, HTTPS, SSH. Коммутаторы уровня
ядра включают в себя особенности коммутаторов ядра и коммутаторов
уровня доступа.
Для работы с внешними сетями, к примеру, Internet, используется
маршрутизатор, работающий с протоколами и технологиями типа: OSPF,
EIGRP, GRE, IEEE 802.1Q. Соединение с сетью Internet выполняется в
рамках технических условий, описанных Заказчиком. Модель
маршрутизатора выбирается в процессе проектирования и исходя из
требуемой функциональности и скорости работы, определяемой
максимальным числом пользователей ЛВС.
Физическая топология CKC выступает в виде топологии «звезда» без
уровней иерархии.
Если же для одного объекта создается более одного узла СКС, все
зональные коммутационные узлы соединяются сразу с основным
коммутационным узлом СКС своими магистральными линиями.
Последовательное подключение коммутаторов не допускается.
Основной узел СКС выбирается исходя из минимизации кабельного
соединения до этажных кроссов. Часто применяется телекоммутационный
кросс серединного этажа.
Схема реализации СКС на всех местах выполняет идентично. Любой
телекоммуникационный разъем на месте сотрудника соединяется
горизонтальным кабелем сразу с телекоммуникационным кроссом.
Каждый кросс предусматривает место для установки коммутаторов (1
или более, объединенных в стек – исходя из рабочих мест на этаже) и ИБП.
Данные - это сведения о лицах, фактах, событиях, предметах,
процессах и явлениях без выбора формы их представления [1].
56
Нашу цивилизацию уже невозможно представить без носителей
информации. Сам носитель данных выступает в роли устройства, созданного
для записи, считывания, хранения данных, но в современном мире это
определение не может включить в себя все доступные функции новейших
носителей. История носителей данных начинается очень давно.
Наш мир определяется постоянным ростом роли информации [4].
Производственные процессы совместно с материальными (материалы,
аппаратура, энергия и т.д.) и нематериальными (принципы производства)
составными частями. Повышается число сфер производства, состоящих
почти на 100% только из данных, к примеру, дизайн, программирование,
рекламная деятельность и т.п. Цена и роль информационной компоненты на
современном производстве повышается.
Данные не могут быть сами по себе, в отрыве от носителя информации,
которые год от года обновляются.
С ростом значимости и ценности данных у носителей возникает
требование к надежному хранению и защите. Утечка или потеря данных
часто влечет материальный ущерб. Важно понимать, что данные могут быть
одним их инструментов управления, и нелегальное вмешательство в него
часто приводит к крайне негативным последствиям в промышленности,
военной сфере и транспорте.
Стабильная защита данных стоит дорого, поэтому важно оценить
возможный ущерб от утраты или разглашения данных с ценой ее защиты и
выбрать самое правильное решение.
При определении задачи по ЗИ важно выделить список возможных
угроз, состоящий из источников, а также организационные и
технологические методики защиты.
57
В процессе определения схемы ЗИ важно обращать внимание на
объективную надежность и сертификацию, что несет некую гарантию
стабильности ЗИ от злоумышленника.
Обычно подразумевают 2 вида ЗИ носителя - защита самого носителя
или защита данных на нем.
Первый тип состоит из защиты носителей данных, которые обычно
делят на программные, аппаратные и смешанные. Методом ЗИ выступает
криптография. Организационные мероприятия пол защите данных
значительно минимизируют риск утери носителя и имеющихся данных.
Смешанные методы включают как защиту самого носителя -
аппаратную защиту, так и всей сохраненной на нем информации – защиту на
программном уровне.
Программно-аппаратные методики необходимы для уменьшения
влияния угроз, связанных так или иначе с процессом анализа и перемещения
данных в ИС. Без описанных методов невозможно построить совокупную
надежную систему поддержки БИ. К этой группе относят такие методы:
• Разделение доступа к средствам анализа данных;
• Разделение доступа к объектам ЗИ;
• Разделение доступа для самих пользователей;
• Отслеживание внешний потоков информации;
• Отслеживание внутренних потоков информации;
• Защита структуры и цели использования ИС;
• Проверка подлинности данных;
• Кодирование данных при их передаче и хранении;
• Блокировка неактивных сервисов;
• Отслеживание целостного состояния ПО, параметров ИС;
• Контроль ДВ на ИС;
58
• Отслеживание работы пользователей информационных
процессов.
Система организации безопасного инфо-обмена (СОБИ) является
практической реализацией на объекте защиты совокупных методик, приемов
и способов борьбы с возможным ДВ в процессе появления возможных угроз
БИ. Хорошая эффективность работы СОБИ поддерживается при условии
совместной реализации всех имеющихся в комплекте методов минимизации
угроз. Создание СОБИ часто реализуется в рамках положений отдельных
мировых стандартов в сфере БИ (к примеру, стандарта ISO 15408).
Основным принципом внедрения СОБИ становятся многоуровневая
реализация и системность. Исходя из этих принципов, предполагается, что
максимальная результативность ЗИ в КИС от применения ДВ реализовано,
когда СОБИ создается как многоуровневая система. Совокупный подход,
применяемый для создания СОБИ, состоит сразу из нескольких уровней
защиты, определяющих отношения по поддержке ИБ на всех этапах
использования ее в ИС
В процессе реализации по функциональным признакам, СОБИ
разделяется на подсистемы, которые выступают как отдельные службы
безопасности, поддерживающие реализацию целевых задач по защите ИР:
1. Подсистема поддержки проверенной среды нужна для контроля
целостной программно-аппаратной среды ИС, соблюдения гарантий
доверительности пользователей ИС к включенным в систему данным и
сервисам. В совокупности подсистема состоит из следующих средств:
антивирусная защита, лицензионный контроль, проверка отказоустойчивости
аппаратных платформ и каналов связи, отслеживание целостности
системного ПО и т.п.;
2. Подсистема определения пользователи необходима для
реализации процедур идентификации пользователей, приложений, СУБД и
59
т.д. на каждом этапе анализа при обращении к данным в ИС. Подсистема
поддерживается механизмами аутентификации, которые встроенные в СЗИ.
Подсистема активно работает с СКУД;
3. Подсистема СКУД нужна для контроля и контроля доступом
сотрудников к станциям, серверам, ПО, сервисам и другим компонентам,
включенным в ИС, в рамках многоуровневой политики безопасности.
Подсистема поддерживается механизмами деления полномочий,
включенными в системное ПО и СЗИ. Важной задачей подсистемы
становится создание политики «единой отслеживаемой точки входа» в
систему;
4. Подсистема защиты потоков нужна для реализации проверенных
каналов связи между частями одной ИС. Подобная подсистема поддерживает
защиту данных, отправляемых как по открытым методом, так и по секретным
каналам связи. Для выполнения функций, возложенных на эту подсистему,
применяются методики криптографического преобразования данных и
проверки их целостности;
5. Подсистема аудита и регистрации реализует получение и
хранение данных по совокупному положению программных и технических
компонентов, работающих отдельно или включенных в состав системы
безопасности, и нужна эта подсистема для начального анализа этих данных.
Подсистема, в требуемым момент, реализует оперативное оповещение СБ о
состоянии применяемого оборудования и ПО, работающего в рамках ИС, и
корректировках, работе администраторов и пользователей по изменению
оборудования и ПО, явной активности пользователей, произошедших
событиях по безопасности и т.п.;
6. Подсистема управления – основная система СОБИ, нежная для
постоянного управления как отельными составными частями СОБИ, так и
всей системой в совокупности, исходя из настроек политики по ИБ.
60
Подсистема содержит ряд механизмов, а именно: анализ данных с консолей
мониторинга СЗИ, поддержка принятия решений по оперативному
повышению или минимизации политики ИБ в конкретных частях или узлах
СОБИ и борьба с возможными атаками внутри или извне, а также управление
некоторыми средствами и комплексами СЗИ и т.п.
Применении в процессе построения СОБИ требуемых уровней защиты
и функциональных подсистем помогает минимизировать такой серьезный
недостаток, как сложность СОБИ (СЗИ), которая часто приводит к
изменению работы СОБИ, сбоям и т.п., что, в конечном итоге, может
привести к ясному повышению рисков в среде ИБ.
Подсистема распределения и межсетевого экранирования необходима
для разделения межсетевого доступа на этапе сетевого протокола и защиты
ЛВС компании от сетевых атак из сети Интернет и внешних сетей. Внутри
системы должна создаваться и выделяться архитектура соединения с сетями
общего доступа и внедрения демилитаризованной зоны (DMZ), включающей
межсетевой экран, VPN и Web-сервера, транслятор (relay) e-mail,
последовательный кэширующий DNS и LDAP-сервер, а также подсистему
защиты доступа извне.
В рамках сетевой инфраструктуры нужно использовать методы
разделения ЛВС на части. Эти методы должны базироваться на технологии
виртуальных ЛВС (VLAN) в рамках организационной структуры компании и
логикой работы отделов фирмы с информационными ресурсами.
Серверы ЛВС нужно размещать в выделенном сегменте сети. Важно
поддерживать отсутствие рабочих мест пользователей в данных сегментах
ЛВС.
В рамках внешнего информационного обмена важно использовать
методы межсетевого экранирования. Такой экран обязан обеспечивать