17
В отделе технической поддержки выполняются работы по поддержке
уже имеющихся готовых продуктов и решению по облачным услугам. Есть
несколько линий консультаций в зависимости от уровня сложности систем.
Отдел продаж занимается активными продажами облачных услуг.
Каждый продавец имеет своего клиента, который выполняет сопровожде-
ние проекта по всему жизненному циклу.
В отделе маркетинга выполняются работы по программе повышения
продаж и узнаваемости бренда.
Бухгалтерия выполняет основные отчётный и бухгалтерские функ-
ции, поддерживает работы по обеспечению бухгалтерского учёта в компа-
нии и отчётности в налоговые органы.
В отделе по персоналу ведётся работа по учёту сотрудников, зара-
ботной платы и корпоративного менеджмента.
В компании существует большой отдел безопасности, который за-
нимается, как ни странно, обеспечением информационной безопасности,
превентивными мерами предотвращения взломов, решением инцидентов,
и самое главное обучением сотрудников.
В отделе проектирования выполняются решения по анализу дея-
тельности компании и проектировании продуктов на компанию, анализ
эффективности внесённых изменений и т.д.
Сервисная служба работает по поддержке компьютеров и перифе-
рийного оборудования в офисе компании, а также в некоторых филиалах.
Клиенты компании внедряют инновации и этим ускоряют рост ком-
пании с помощью полного спектра цифровых, аналитических и корпора-
тивных облачных сервисов.
Инженеры компании проводят тщательный анализ бизнес-целей и
стратегии роста. В своей работе используют глубокие отраслевые и техни-
ческие знания, проектируют, внедряют и управляют облачным ресурсом,
18
чтобы обеспечить быстрые и достижимые результаты, соответствующие
целям преобразования клиента.
1.1.3 Программная и техническая архитектура ИС предприятия
Для описания информационной модели предприятия выделим её
бизнес процессы:
– Стратегическое планирование и целеполагание;
– Продажа облачных услуг;
– Финансовая деятельность;
– Маркетинговая деятельность;
– Управление персоналом;
– Продажа продуктов и услуг по автоматизации бизнеса.
Программное обеспечение компании:
– Пакет офисных программ своей разработки;
– Программа учёта заявок;
– Внутренняя собственная автоматизированная система управления и
учёта;
– Программа для видеоконференций (собственная разработка)
AnyMeeting;
– Программные системы защиты информации;
– Операционные системы на рабочих станций;
– Дополнительные собственные утилиты;
Аппаратное обеспечение компании:
– сетевые устройства компании Cisco;
– серверы;
– межсетевые экраны;
– аппаратные системы защиты информации;
19
Архитектура компьютерной сети предприятия Интермедиа состоит
из серверов, рабочих станций, сетевого оборудования, программного обес-
печения. Организована виртуальная (VPN) сеть для удалённых пользова-
телей, которые распределены не только в черте города, но и по разным
странам, включая США, Англию, Австралию и Россию.
Модель расположения рабочих станций, серверов и сетевого обору-
дования представлена на рисунке 1.2
Рисунок 1.2 – Модель сети компании
Подразделения оснащены современными компьютерными система-
ми и периферийной оргтехникой. В кабинете директора установлен моно-
блок, периферийные устройства, многофункциональное устройство (прин-
тер/копир/сканер). Приёмная оборудована так же как и кабинет директора.
В бухгалтерия два автоматизированных рабочих места, одно из которых
представлено ноутбуком, а второе системным блоком, жидкокристалли-
ческим монитором, периферийными устройствами, лазерным принтером.
Компьютеры всех отделов объединены между собой в локальную сеть,
20
а также подключены к глобальной сети интернет. На рабочие станции
сотрудников и компьютеры в переговорках установлена система Windows
10 корпоративная, с общими политиками и единым корпоративных кон-
тролем учётных записей на базе Active Directory. Для общения по техни-
ческим вопросам сотрудники внутри и между командами используют Slack
c приватными и общими каналами. Так же используется корпоративная
разработка Unite для обращения по личным вопросам в бухгалтерию или
HR. Для видеоконференций и совместных митингов для распределённых
команд используется внутренняя разработка AnyMeeting, поддерживаю-
щая видео и аудио звонки как с компьютеров, так и со стационарных
телефонов.
Компания имеет собственные ДЦ в разных уголках планеты и под-
держивает сервера на базе Windows и Linux. Между конкретным пользова-
телем и сервером стоит сложная многоуровневая сетевая инфраструктура
с балансировщиками по географическому положению, балансировщиками
по нагрузке, несколькими уровнями различных сетей на базе современного
сетевого оборудования. Точные названия и модели не имею права приво-
дить по корпоративной политике безопасности. За этим очень строго сле-
дит служба безопасности, а утечка подобной информации может поставить
всю сеть под удар со стороны хакеров.
В компании в зависимости от команд и продуктов используются
различные системы доставки и мониторинга программного обеспечения.
Одни команды предпочитают использовать и тестировать современные
подходы и давно уже перешли на Docker и Kubernetes. Другие, из-за
принятых процессов, или исторических причин, используют собственные
системы, или репозитории deb пакетов, автоматизируя процессы при по-
мощи Chef’a.
21
1.2 Характеристика комплекса задач, задачи и обоснование необ-
ходимости автоматизации
На данный момент при анализе и синтезе сложных программных
и аппаратных систем все чаще используется системный подход. Важным
моментом для системного подхода является определение структуры систе-
мы — совокупности связей между элементами системы, отражающих их
взаимодействие.
Принципы системного анализа — это положения общего характера,
являющиеся обобщением опыта работы человека со сложными системами.
Пренебрежение принципами при проектировании любой нетривиальной
технической системы, непременно приводит к потерям того или иного
характера, от увеличения затрат в процессе проектирования до снижения
качества и эффективности конечного продукта.
Системный анализ выполнен в соответствии с [1].
1.2.1 Характеристика процессов, связанных с задачей, и описание
места проектируемой задачи.
Экосистема продукта EmailSecurity.
Основной задачей отдела EmailSecurity является обеспечение без-
опасности пересылаемой клиентами компании электронной почты. Основ-
ные услуги это:
– Фильтрация спама
– Проверка SPF и DKIM
– Проверка входящей и исходящей корреспонденции на вирусы
– Проверка входящей и исходящей корреспонденции на Фишинг
– Эвристические проверки для категоризации корреспонденции
22
– Подключаемый модуль для проверки ссылок пересылаемых в корре-
спонденции
– Подключаемый модуль для подписи пересылаемой корреспонден-
ции DKIM
– Админский и пользовательский карантины
– Модуль административного управления системой
Процесс обработки письма схематически представлен на Рисун-
ке 1.3.
Рисунок 1.3 – Схематичное представление процесса обработки письма
23
Первоначально приходящая корреспонденция попадает на балан-
сировщик нагрузки, где распределяется между имеющимися серверами
входящей почты.
В задачи серверов входящей почты входит:
– Проверка входящего SMTP соединения на спам. Для этого создаётся
запрос в облачные сервера партнёров, где проходит анонимная про-
верка сессионной SMTP информации;
– Reject писем, не прошедших проверку у партнёров;
– Проверка SPF и DKIM подписи;
– Добавление служебных заголовков для последующей обработки
письма;
Сервера входящей почты в среднем отфильтровывают до 60% вхо-
дящего трафика благодаря стоп-листам партнёров компании Интермедия.
После первоначальных проверок, сервер устанавливает SMTP-сессию с
Ядром и передаёт письмо для углублённого анализа. Ядром в общем
смысле называется кластер машин обеспечивающих основной функци-
онал EmailSecurity. В частном смысле Ядром так же называется кон-
кретный асинхронный высоко-производительный инстанс в кластере. В
зависимости от дата-центра и нагрузки кол-во инстансов в системе может
изменяться от двух (для поддержания отказоустойчивости) до восьми с
разными конфигурациями виртуальных машин по количеству CPU/Mem.
Ядром проводится доскональная проверка пришедшего Email, присвоение
категории, и по окончании проверки выносится вердикт, что с этим пись-
мом необходимо сделать. Отправится ли письмо в карантин в соответствии
с настройками акаунта пользователя, или будет положено в ящик без
изменений в соответствии с белыми списками. По окончанию обработки
письма Ядро сообщает серверу входящей почты, что письмо получено
и обработано корректно, после чего сервер закрывает сессию с Ядром
24
и ретранслирует в сессию выше с почтовым сервером из интернета, что
письмо было принято. Если во время проверки письма произошла вне-
штатная ситуация, ядро старается её отработать и сообщить корректный
код серверу входящей почты о необходимости отказать в принятии письма,
или необходимости положить письмо в очередь и повторить проверку
через небольшой промежуток.
Аналогичным образом осуществляется отправка почты наших кли-
ентов из системы. Из почтового ящика письмо попадает в ядро через
SMTP-сессию, где определяется как исходящее, и к нему применяются
другие правила обработки, которые так же могут быть настроены через па-
нель администрирования. После проверок и обработки исходящего письма
ядро устанавливает параллельную SMTP-сессию с сервером исходящей
почты и только после того, как будет получено подтверждение получения
письма, все сессии будут закрыты, а ресурсы освобождены для повторного
использования.
Таким образом осуществляется отказоустойчивая система доставки
письма, так как в любой момент его обработки внутри системы оно всегда
хранится минимум в двух экземплярах на сервере входящей почты и в
ядре.
Описание места проектируемой задачи.
По последним данным количество физических клиентов компании
измеряется миллионами, а количество зарегистрированных почтовых ящи-
ков десятками миллионов единиц. При это средне-дневная нагрузка на
почтовые сервера составляет примерно 21 миллион обработанных писем.
И это только те, что прошли через всю систему и не были отфильтрованы.
Как было сказано ранее, большая часть, порядка 60%, нежелатель-
ной корреспонденции отсеивается ещё до попадания во внутреннюю ин-
фраструктуру компании при помощи блок и стоп-листов партнёров. Это
25
существенно сокращает нагрузку на внутреннюю сеть и сервисы. Однако
данная услуга у партнёров не является бесплатной и тарифицируется по
количеству обращений. Что для текущей нагрузки выливается в суще-
ственную статью расходов на поддержание сервиса. Но ни отказаться от
этой системы, ни разработать собственную не представляется возмож-
ным, ввиду несоизмеримо больших финансовых потерь или вложений.
Однако у компаний-партнёров есть программа ”лояльности” позволяющая
получить скидку за передачу релевантных им данных. Другими словами,
внося свой вклад в пополнение баз данных партнёров можно как получить
существенную скидку на их услуги, так и поднять качество фильтрации
нежелательной корреспонденции.
Ввиду выше описанных фактов, проектирование и разработка ин-
формационной системы интеграции с компанией партнёром видится как
наиболее удачный проект автоматизации и оптимизации бизнес и инфор-
мационных процессов компании.
1.2.2 Анализ системы обеспечения безопасности и защиты инфор-
мации
Информационная безопасность в компании делится на три ветви.
Первая, это обеспечение безопасности внутренней сети для сотрудников.
Сюда входит:
– Обеспечение безопасной работы удалённых сотрудников посред-
ством сертифицированных рабочий станций (ноутбуков) с ограни-
ченными правами доступа и VPN;
– Обеспечение безопасности офисных сотрудников с применением
групповых политик;
– Обеспечение безопасности внутренних ресурсов компании: внутрен-
няя база знаний, репозитории с исходным кодом продуктов, системы
26
управления задачами и достаточное большое количество ресурсов
требуемых для функционирования разных команд и отделов. Для
предоставления авторизованного доступа к внутренним ресурсам ис-
пользуется собственная разработка с доступом к БД с сотрудниками
и MFA через приложения для Android/IOS;
– Обеспечение дополнительной безопасности production окружения. У
офисных сотрудников нету непосредственного доступа к серверам,
на которых обрабатываются запросы клиентов, а так же к серверам
хранящим не относящуюся к пользователям информацию, но важ-
ную для бизнеса, например аналитические данные запросов, стати-
стика, метрики. Для доступа к этим серверам выделены специальные
группы машин, каждая группа имеет доступ к ограниченной части
инфраструктуры, не имеет доступа во внешнюю сеть, учётные запи-
си имеет минимальные права. На машинах настроено расширенное
логирование. Доступ к машинам организован на базе протокола RDP
с двух факторной аутентификацией по паролю и генерируемому
пинкоду. Так же на машинах настроена система оповещения службы
безопасности о подозрительных действиях;
Вторая ветвь обеспечения безопасности, это мониторинг, защита
и устранение инцидентов от внешних угроз. Так как компания предо-
ставляет сервисы и услуги для бизнеса, иногда очень крупного, большой
пласт киберпреступников постоянно пытается получить доступ к базам
компании или базам клиентов компании для получения собственной вы-
годы средствами вымогательства, обмана, шантажа. Сотрудники служ-
бы информационной безопасности ежедневно мониторят происходящее
в инфраструктуре, отслеживают подозрительные действия и немедленно
реагируют, если имеется такая необходимость. Как пример из собственной
практики: коллега подключился к одной из машин для доступа в production