52
организационной структурой, что соответствует компании, рассматриваемой в
дипломном проекте.
Решения VipNet включают в себя компоненты:
- защиты от сетевых атак;
- фильтрации IP-трафика;
- настройку доступа к Интернет-ресурсам;
- создание виртуальной сети;
- функции автоматического шифрования трафика между узлами;
- криптографические функции с возможностями автоматического
обновления ключевой информации.
На рисунках 3.12 – 3.15 приведены основные рабочие программного
продукта VipNet.
Рисунок 3.12 - Окно параметров VipNetCrytoService
53
Рисунок 3.13 - Настройка транспорта VipNetCrytoService
Рисунок 3.14 - Настройка параметров безопасности VipNetCrytoService
54
Рисунок 3.15 - Окно ПО VipNetClient
Так же решено использовать средство мониторинга по выявлению
инцидентов информационной безопасности сети.
На данный момент в ЛВС компании функционирует система мониторинга
событий ИБ ArcSight ESM (рисунок 3.16).
55
Рисунок 3.16 - Архитектура ArcSight ESM
Использование данной системы позволяет существенно упорядочить работу
с разнообразными современными носителями информации и внешними
устройствами, и тем самым минимизировать риски утечки и
несанкционированной передачи конфиденциальной информации.
Обобщенная схема функционирования средств мониторинга съемных
носителей приведена на рисунке 3.17.
56
Рисунок 3.17 - Обобщенная схема функционирования средств мониторинга
съемных носителей в проводном сегменте сети
В качестве программного средства мониторинга съемных носителей, будем
использовать программу DeviceLock, так как данное средство мониторинга
обладает наиболее полным набором функциональных возможностей
относительно аналогов.
Рабочее окно программы DeviceLock с параметрами разрешений приведено
на рисунке 3.18.
Рисунок 3.18 - Выбор разрешений в программе
Поскольку в компании в любом случае есть определенный список
устройств, которые должны быть разрешенными к подключению, в DeviceLock
присутствует возможность создание постоянных и временных "белых списков".
Произведем обзор технических характеристик предлагаемого программного
средства.
57
Информация о версии применяемого средства и системные требования:
- Версия: 8.1.63283;
- Системные требования: Windows 2000/XP/Vista/7/8/8.1/10/Server 2003-2012
R2 (32/64-бита); CPU Pentium 4, память 512 Мб, диск 1 Гб.
Предлагаемый программный продукт имеет возможности контролировать
следующие типы устройств:
- Floppy-приводы;
- Приводы CD-ROM/DVD/BD;
- Любые съемные носители данных (флэш, карты памяти и др.);
- Жесткие диски;
- Ленточные накопители;
- Адаптеры Wi-Fi;
- Адаптеры Bluetooth;
- Устройства AppleiPhone/iPodtouch/iPad, BlackBerry, устройства под
управлением WindowsMobile и Palm OS;
- MTP-устройства (устройства под управлением Android, WindowsPhone и
др.);
- Принтеры (локальные, сетевые и виртуальные);
- Устройствакласса Terminal Service Devices.
Контролируемые интерфейсы:
- USB;
- FireWire;
- Infrared;
- Последовательный и параллельный порты.
Контролируемые каналы сетевых коммуникаций:
- Почтовые протоколы и web-сервисы (включая мобильные версии): MAPI
(MicrosoftExchange), SMTP/SMTP over SSL, IBM Notes (ранее LotusNotes), Почта
Mail.Ru, Рамблер-Почта, Яндекс.Почта, Gmail, AOL Mail, Hotmail/Outlook.com,
Yahoo! Mail, GMX.de, Web.de, Outlook Web App/Access (OWA);
58
- Социальныесети (включаямобильныеверсии): ВКонтакте (+API),
Одноклассники, LiveJournal, LiveInternet.ru, Facebook (+API), Twitter, Google+,
LinkedIn, Tumblr, MySpace, XING.com, MeinVZ.de, StudiVZ.de, Disqus;
- Сетевые сервисы файлового обмена и синхронизации: Яндекс.Диск,
ОблакоMail.Ru, Google Drive, Dropbox, OneDrive/SkyDrive, Box, iCloud, Amazon
S3, iFolder.ru (Rusfolder.com);
- Службы мгновенных сообщений: Skype, АгентMail.Ru, ICQ/AOL, MSN
Messenger, Jabber, IRC, Yahoo! Messenger, WhatsApp Web;
- Сетевые протоколы: HTTP/HTTP-SSL, FTP/FTP-SSL, Telnet, Torrent;
- Прочее: внутрисетевые файловые ресурсы (SMB), звонки Skype.
Возможности контроля буфера обмена:
- Контроль операций обмена данными между приложениями;
- Раздельный контроль типов данных: файлы, текстовые данные,
графические данные, аудио данные, неопределенные данные;
- Контроль операций обмена данными между гостевой и родительской ОС;
- Контроль снимков экрана (для приложений и клавиши PrintScreen).
Контролируемые типы данных:
- Более 5300 типов файлов, распознаваемых вне зависимости от расширения
файла;
- Протоколы синхронизации с мобильными устройствами:
MicrosoftActiveSync®, Palm® HotSync, iTunes®;
- Контроль текста в графических изображениях (встроенных в документы
MS Office, AutoCAD и Adobe PDF или отдельных графических файлах, всего
более 30 графических форматов);
- Каналы печати.
Как видно, перечень возможностей DeviceLock весьма широк. Данный
программный продукт полностью удовлетворяет требованиям компании в сфере
мониторинга по выявлению инцидентов информационной безопасности.
DeviceLock состоит из трех частей:
- агент (DeviceLock Service);
- сервер(DeviceLock Enterprise Server);
59
- консольуправления (DeviceLock Management Console, DeviceLock Group
Policy Manager иDeviceLock Enterprise Manager).
DeviceLock Service – это ядро системы DeviceLock. Агент устанавливается
на каждый компьютер компании, автоматически запускается и обеспечивает
защиту устройств на машине-клиенте, оставаясь в то же время невидимым для
локального пользователя [8].
Схемавнедрения DeviceLock Service приведена на рисунке 3.19.
Рисунокк 3.19 - Схема внедрения DeviceLockService
DeviceLock Enterprise Server – это дополнительный компонент,
используемый для централизованного сбора и хранения данныхтеневого
копирования и журналов аудита. DeviceLock Enterprise Server использует MS
SQL Server для хранения данных.Для рассматриваемой компании установим два
экземпляра DeviceLock Enterprise Server в сети, чтобы равномерно распределить
нагрузку [9].
Схема внедрения DeviceLock Enterprise Server приведена на рисунке 3.20.
60
Рисунок 3.20 – Схема внедрения DeviceLock Enterprise Server
Консоль управления – это интерфейс контроля, который системный
администратор использует для удаленного управления любой системой, на
которой установлен агент (DeviceLockService). DeviceLock поставляется стремя
различными консолями управления: DeviceLock Management Console(оснастка
для MMC), DeviceLock Enterprise Manager и DeviceLock Group Policy Manager
(интегрирован в редактор групповых политик Windows). DeviceLock Management
Console также используется для управления DeviceLock Enterprise Server.
Схема внедрения Консоли управления DeviceLock приведена на рисунке
3.21.
61
Рисунок 3.21 - Схема внедрения Консоли управления DeviceLock
3.4 Размещение основного оборудования Wi-Fi-сети компании ООО
«Легион ПРО»
При построении сети возникает вопрос – где лучше всего установить
серверное оборудование.
На выбор места влияет несколько факторов:
- из-за высокого уровня шума сервер желательно установить отдельно от
остальных рабочих станций;
- необходимо обеспечить постоянный доступ к серверу для технического
обслуживания;
- по соображениям защиты информации требуется ограничить доступ к
серверу;
- необходима система кондиционирования.
Таким образом, было выбрано место установки сервера, не требующее
перестройки внутренних помещений. Сервер решено установить в торцевой части
помещения, вблизи выхода в отдельной комнате, так как данное расположение
удовлетворяет требованиям, то есть уровень шума в помещении минимален,