37
альянсом FIDO, Microsoft Passport может быть использован на множестве
различных устройств и платформ (и, возможно, получит более широкое
распространение).
1.2.4 Анализ системы обеспечения информационной
безопасности и защиты информации
В ООО «Технолинк» разработана и применяется политика безопасности.
Основными целями политики безопасности можно выделить [15]:
обеспечение конфиденциальности критичных информационных
ресурсов;
реализация постоянного доступа к информационным ресурсам
Компании для увеличения эффективности бизнес деятельности;
сохранение целостности деловых данных с целью обеспечения
возможности ООО «Технолинк» оказывать услуги высокого качества и
принимать эффективные управленческие решения;
увеличение понимания пользователей в рамках рисков, которые
напрямую связаны с информационными ресурсами ООО «Технолинк»;
выявление меры ответственности и обязанностей сотрудников в
процессе обеспечения информационной безопасности в ООО «Технолинк».
Руководители подразделений ООО «Технолинк» обязаны поддерживать
регулярный контроль за соблюдением всех пунктов приведенной политики. А
также должна быть реализована периодическая проверка следования всем
предписаниям по информационной безопасности с подготовкой итогового
отчета по результатам указанной проверки руководству.
Все пункты политики относятся ко всем данным и ресурсам обработки
информации ООО «Технолинк». Соблюдение политики строго обязательно для
каждого сотрудника (как постоянного, так и временного). В пунктах договора с
третьими лицами, также имеющими доступ к информации ООО «Технолинк»,
должны быть прописаны обязательства третьего лица по соблюдению всех
приведенных требований политики безопасности.
38
ООО «Технолинк» относится по праву собственности (в т. ч. и по праву
интеллектуальной собственности) абсолютно вся деловая информация и
вычислительные ресурсы, которые были куплены (получены) и введены в
эксплуатацию для реализации деятельности в рамках действующего
законодательства. Указанное право собственности относится также к на
голосовой и факсимильной связи, осуществляемой с применением оборудования
ООО «Технолинк», созданное самостоятельное и купленное ПО, все письма
ящиков электронной почты, электронные и бумажные документы всех
действующих подразделений и персонала ООО «Технолинк».
В отношении совокупного количества информационных активов ООО
«Технолинк», активов, которые находятся под контролем ООО «Технолинк», а
также активов, применяемых для получения доступа к инфраструктуре ООО
«Технолинк», необходимо определить ответственность конкретного сотрудника
ООО «Технолинк».
Данные о смене владельцев активов, их перераспределении, изменениях в
параметрах и сфере использования за пределами ООО «Технолинк» должна
передаваться руководителю отдела информационных технологий ООО
«Технолинк».
Проведем детализацию частной политик безопасности. Вначале
необходимо разделить всех пользователей на группы (по отделам или по правам
доступа), дать каждой группе определенный набор прав на доступ к ресурсам
сети (таблица 2.2 - 2.5). У каждого пользователя должен быть свой профиль и
личный каталог на файл-сервере. Пользователь имеет доступ только к той
информации, которая нужна ему для служебной деятельности. Как правило, это
информация того отдела, сотрудником которого является рассматриваемый, а
также особо выделенная информация других отделов.
Учетные записи пользователя позволяют индивидуальным пользователям
получать доступ к сетевым ресурсам. Учетная запись пользователя - это
однозначно определенный набор учетных данных, который распознается сетью.
Учетная запись защищена паролем. Пароли меняются раз в месяц в соответствии
с парольной политикой, при этом сохраняются в парольной базе, что не
позволяет пользователю в новом периоде использовать уже когда
39
задействованный пароль. Сложность паролей контролируется системным
администратором. Для создания паролей приняты следующие правила:
длина не менее 8 символов;
использование специальных символов;
использование как минимум одной буквы в верхнем регистре;
использование как минимум двух цифр.
Таблица 1.2
Доступ к внутренним ресурсам (базам данных компании)
Отдел
БД 1С
Бухгалтерия
БД 1С
Зарплата
Генеральный директор
RW
RW
Технический директор
RO
-
Бухгалтерия
RW
RW
Отдел продаж
RW
-
Склад
RW
-
Отдел кадров
RW
RW
Отдел МТО
RW
-
Отдел логистики
RO
-
Системный администратор
RW
RW
RO – только чтение; RW – чтение и запись; «-» - доступа нет
Таблица 1.3
Доступ к внутренним ресурсам (файловые ресурсы)
Отдел
FS_SHARES
(ОБМЕН)
FS_Accounting
FS_HR
FS_Logistic
FS_Purchase
FS_Sales
FS_IT
Генеральный
директор
RW
RW
RW
RW
RW
RW
RW
Технический
директор
RW
RO
RO
RW
RW
RW
-
Бухгалтерия
RW
RW
RO
-
RO
RO
-
40
Отдел
FS_SHARES
(ОБМЕН)
FS_Accounting
FS_HR
FS_Logistic
FS_Purchase
FS_Sales
FS_IT
Отдел продаж
RW
RO
-
-
RO
RW
-
Склад
RW
-
-
RW
-
RO
-
Отдел кадров
RW
RO
RW
-
-
-
-
Отдел МТО
RW
RO
-
RO
RW
RO
-
Отдел логистики
RW
-
-
RW
-
RO
-
Системный
администратор
RW
RW
RW
RW
RW
RW
RW
RO – только чтение; RW – чтение и запись; V – просмотр содержимого «+»
- доступ есть; «-» - доступа нет
Политика доступа в внешним ресурсам представлена в таблице 1.3.
Таблица 1.4
Доступ к внешним ресурсам
Отдел
Web/Интернет
Соц. сети
Генеральный директор
+
+
Бухгалтерия
-
-
Отдел продаж
+
+
Склад
+
-
Отдел кадров
+
+
Отдел МТО
+
-
Отдел логистики
+
-
Системный администратор
+
+
«+» - доступ есть; «-» - доступа нет
Разграничим доступ к сети в зависимости от пользователя (см. таблицу 1.4)
41
Таблица 1.5
Права доступа по группам пользователей
Отдел
Web/Интернет
Файл
-сервер
RDP
– сервер
Внешний DNS
Руководство
+
+
+
-
Сотрудники
+
+
+
-
Клиенты
+
-
-
+
Гости
+
-
-
+
«+» - доступ есть; «-» - доступа нет
1.3 Анализ существующих разработок и выбор сетевого
оборудования
1.3.1 Обзор современного рынка сетевого оборудования
Серверное и клиентское оборудование
Серверы
Сервер – программное обеспечение, принимающее запросы от клиентов, а
также компьютер (или специальное компьютерное оборудование), выделенный
и/или специализированный для выполнения определенных сервисных функций.
Рабочие станции
Рабочая станция (англ. workstation) — комплекс аппаратных и
программных средств, предназначенных для решения определённого круга
задач.
Рабочая станция как место работы специалиста представляет собой
полноценный компьютер или компьютерный терминал (устройства ввода-
вывода, отделённые и часто удалённые от управляющего компьютера), набор
необходимого ПО, по необходимости дополняемые вспомогательным
оборудованием: печатающее устройство, внешнее устройство хранения данных
на магнитных и/или оптических носителях, сканер штрих-кода и пр.[1]
Сетевое оборудование
Повторители
42
Повторитель (репитер, от англ. repeater) — сетевое оборудование,
предназначенное для увеличения расстояния сетевого соединения путём
повторения электрического сигнала «один в один».
Концентраторы
Сетевой концентратор или хаб (от англ. hub — центр) — устройство для
объединения компьютеров в сеть Ethernet c применением кабельной
инфраструктуры типа витая пара.
Медиаконвертеры
Медиаконвертер (также преобразователь среды) — это устройство,
преобразующее среду распространения сигнала из одного типа в другой.
Коммутаторы
Коммутатор (switch) - представляет собой устройство, которые принимает
поступающие пакеты информации, временно сохраняет их и передает на другой
порт в соответствии с адресом получателя.
Маршрутизаторы
Маршрутизатор — специализированный сетевой компьютер, имеющий
два или более сетевых интерфейса и пересылающий пакеты данных между
различными сегментами сети.
Беспроводные точки доступа
Беспроводная точка доступа (англ. Wireless Access Point, WAP) — это
беспроводная базовая станция, предназначенная для обеспечения беспроводного
доступа к уже существующей сети (беспроводной или проводной) или создания
новой беспроводной сети.
Структурированные кабельные системы
Определение и состав СКС
Структурированная кабельная система (Structured Cabling System, SCS) -
это набор коммутационных элементов (кабелей, разъемов, коннекторов,
кроссовых панелей и шкафов), а также методика их совместного использования,
которая позволяет создавать регулярные, легко расширяемые структуры связей в
вычислительных сетях.
43
СКС разделяется на подсистемы, подсистемы состоят из функциональных
элементов, а функциональные элементы, в свою очередь, состоят из пассивных
элементов, которые группируются по определенным правилам.
Функциональные элементы СКС - это набор пассивных элементов,
выполняющих определенную функцию и объединенных вместе по
определенным правилам.
СКС может состоять из следующих функциональных элементов:
• главный кросс (MC);
• магистральный кабель 1 -ого уровня;
• промежуточный кросс (IC);
• магистральный кабель 2-ого уровня;
• горизонтальный кросс (HC);
• горизонтальный кабель;
• консолидационная точка (КТ);
• телекоммуникационная розетка (TO).
Горизонтальная подсистема СКС
Горизонтальная подсистема - это кабельная подсистема СКС от
телекоммуникационных розеток до распределительных устройств в HC.
Кабели и разъемы
В СКС разрешается использовать кабели с двумя типами сред: с медными
витыми парами и с оптическими волокнами. Только данные типы кабелей
описаны в стандартах на СКС.
Коаксиальные кабели не входят в состав СКС. Это не значит, что
коаксиальные кабели нельзя использовать на объекте, например, для создания
сети телевещания. Можно использовать, но в состав СКС они не будут
включены.
В качестве среды передачи сигналов в медных витопарных кабелях
используются медные проводники, свитые попарно и симметрично
относительно друг друга. В составе СКС используются 4-х парные кабели витая
пара, которые прокладываются от телекоммуникационных розеток до
распределительных устройств.
44
Кабель состоит из медных изолированных проводников, которые попарно
и равномерно скручены. Медные пары кабеля находятся под общей оболочкой.
Общая оболочка кабеля может быть изготовлена из различных материалов:
поливинилхлорида, полиэтилена, полипропилена, тефлона иди другого
материала.
В конструкцию кабеля может быть включен общий экран вокруг всех пар
- такие кабели будут относиться к типу экранированных кабелей или кабели с
общим экраном. Для обеспечения неразрывного контакта вдоль всего общего
экрана в экранированном кабеле прокладывается медный проводник обычно
диаметром 26 AWG.
Экран в кабеле может быть не только общий, но и экран вокруг каждой
пары. Если вокруг каждой пары будет экран, то такие кабели будут относиться к
типу защищенных витопарных кабелей.
В конструкцию кабелей могут входить различные дополнительные
материалы. Например, в кабеле может быть перегородка, которая улучшает
позиционирование скрученных пар в пространстве на протяжении всей длины
кабельной линии. Кабель может быть заполнен гелем или иметь специальные
материалы, препятствующие проникновению влаги.
Коммутационное оборудование
Кабельные линии различных подсистем коммутируются в кроссах
(распределительных пунктах) при помощи шнуров и перемычек.
Коммутационное оборудование - это пассивное оборудование или
устройство, обеспечивающее соединение, распределение и заделку кабеля,
подключение шнуров или перемычек.
Коммутационное оборудование подразделяется на два типа:
• распределительные устройства;
• телекоммуникационные розетки.
Телекоммуникационные розетки устанавливаются на рабочих местах. К
ним подключается оконечное оборудование.
Распределительные устройства устанавливаются в
телекоммуникационных помещениях и пространствах. Наиболее часто
используются в качестве распределительных устройств в составе СКС, так
45
называемые, на профессиональном жаргоне, патч-панели. Патч панели имеют
стандартный интерфейс для медной витой пары это RJ-45, позволяют
специалистам быстро и легко осуществить подключение или отключение
шнуров.
Распределительные устройства и телекоммуникационные розетки
позволяют осуществить процесс коммутации при помощи шнуров и перемычек.
Распределительное устройство - это пассивное коммутационное
оборудование, используемое для фиксации, распределения, заделки кабелей и
коммутации кабельных линий.
Коммутационная панель - это монтажный корпус с предустановленными
телекоммуникационными модулями или монтажный корпус с местами для
размещения телекоммуникационных модулей.
1.3.2 Выбор и обоснование проектирования сети
Основными проблемами, возникающими при пользовании сетью
компании, являются [3]:
1. Большие задержки при работе пользователей с сетевыми ресурсами,
что не позволяет полноценно использовать файлы и данные, находящиеся в сети.
2. Низкая надежность и масштабируемость системы из-за устаревшего
оборудования и инфраструктуры [32].
3. Недостаточная управляемость и безопасность из-за отсутствия
средств управления сетью и средств защиты информации.
4. Низкая производительность системы из-за устаревшего сетевого
оборудования.
У некоторых задач, возложенных на отдельные серверы, увеличились
требования к ресурсам и стабильности, в итоге сервера требуют замены или
обновления.
Большая часть компонентов сети, такие как почтовый сервер, сервер БД и
другие, не оснащены функцией резервирования, и в случае поломки одной
составляющей вся система либо совсем останавливается, либо работает лишь
46
какая-то ее часть, а замена или ремонт неисправного оборудования занимает
значительное время.
Система дублированного энергообеспечения отсутствует, и в случае
кратковременного отключения питания в компании или резких скачках
напряжения есть реальная угроза потери рабочего состояния ЛВС. ИБП уже
выработали весь срок эксплуатации, да и находятся они не на всех ПК и
серверах.
Для передачи информации применяется морально устаревший кабель типа
UTP 3. Кабельная система строилась стихийно, и не был произведен учет
критических моментов из-за отсутствия целей дальнейшего расширения, что
сейчас уже не позволяет расширить ее, хотя это требуется в связи с увеличением
числа рабочих мест.
Из-за невысокой производительности каждого отдельно взятого сервера,
сума всех серверов, которые нужны для стабильного обеспечения работы
компании слишком велика, и поэтому страдает управляемость сети и ее
безопасность.
По итогу, имеющаяся в компании ЛВС не отвечает современным
требованиям бизнеса, не имеет возможности обеспечения бесперебойного и
скоростного обмена данными между пользователями, не реализует ЗИ на
должном уровне от большинства угроз. Также конфигурация сети такова, что
нет возможности увеличить число пользователей и гарантировать стабильность
работы при увеличении трафика.
В результате большая часть времени сотрудников компании расходуется
нерационально, с минимальной эффективностью, а также с значительными
нарушениями правил безопасности в отношении используемой информации,
часть которой должна относится к секретной.
Также, были обнаружены следующие недостатки:
• Минимальная пропускная способность сети;
• Нет должного количества серверов;
• Отсутствует нормальная защиты сети;
• Отсутствуют механизмы безопасного удалённого
администрирования;