52
Рисунок 20 – Декомпозиция бизнес-процесса «Защита от атак и
вирусов»
Как видно из рисунка 20, в результате декомпозиции бизнес-процесса
«Защита от атак и вирусов» такие подзадачи как проверка процессов
операционной системы, мониторинг пакетов в сети Интернет и
формирование журналов.
Декомпозиция бизнес-процессов «Резервное копирование и
восстановление данных» и «Защита рабочих мест специалистов» приведена в
приложении А.
Недостатком текущей системы информационной безопасности ООО
«Перспектива» является то, что в ней не применяются средства
криптозащиты, которые позволяют усилить защиту от попыток получения
несанкционированного доступа. На следующем этапе выполним разработку
мероприятий по усилению защиты данных в корпоративной сети
предприятия на основе криптографических методов.
53
Выводы по главе 2
На основании выполненного анализа и разработанных мероприятий по
усилению защиты данных в корпоративной сети ООО «Перспектива» можно
сделать выводы:
1. В состав корпоративной сети ООО «Перспектива» входит сервер IP-
телефонии Tower TRINITY L5630, коммутатор Cisco SB SRW2008-K9-G5,
маршрутизатор Cisco 1921/K9, точка доступа Cisco AIR-CAP1552E-R-K9.
2. На сервере установлена операционная система Windows Server 16
Essentials, которая поддерживает современные технологии, позволяющие
обеспечить высокую производительность сети и защиту данных. Для
автоматизации деятельности ООО «Перспектива» используется
интегрированная система управления предприятием Галактика ERP 9.0, в
основе которой находятся современные технологические и прикладные
достижения научно-технического прогресса.
3. В системе защиты корпоративной сети ООО «Перспектива»
применяются продукты компании IBM Tivoli, включающие подсистемы IBM
Tivoli Identity Manager, IBM Tivoli Access Manager, IBM Tivoli Privacy
Manager, Tivoli Security Compliance Manager, IBM Tivoli Risk Manager.
4. Анализ бизнес-процессов показал, что недостатком текущей системы
информационной безопасности ООО «Перспектива» является то, что в ней не
применяются средства криптозащиты, которые позволяют усилить защиту от
попыток получения несанкционированного доступа.
54
ГЛАВА 3. МОДЕРНИЗАЦИЯ ЗАЩИТЫ ДАННЫХ В
КОРПОРАТИВНОЙ СЕТИ ООО «ПЕРСПЕКТИВА»
3.1 Настройка аппаратного обеспечения сети
В Zabbix мониторинг основан на связи с агентом - программным
обеспечением, которое установлено на устройствах, которые нужно
контролировать. На данный момент для всех платформ существуют
собственные агенты. Если агент установлен, можно получить максимальную
информацию из контролируемого устройства. Безрисковый мониторинг - еще
одна альтернатива. Благодаря безрисковому мониторингу Zabbix может
подключаться к общим службам, таким как HTTP, FTP или Secure Socket
Shell (SSH), чтобы узнать, доступны ли они, или может использовать
протокол SNMP. Поскольку SNMP является широко используемой службой
мониторинга сети, можно получить информацию о контролируемом
устройстве, особенно если устройство оснащено информационной базой
управления (MIB), которая определяет, какие функции устройства доступны.
При активном мониторинге, если превышен определенный порог,
действие системы мониторинга должно быть предпринято автоматически.
Zabbix позволяет настроить это путем автоматического выполнения
удаленных команд или команд Intelligent Platform Management Interface
(IPMI). В последнем решении стандарт управления IPMI используется для
связи с оборудованием контролируемого устройства. [26]
Для построения системы мониторинга нужно настроить сервер Zabbix,
для этого нужно создать виртуальную машину и установить актуальный
дистрибутив или скачать с сайта разработчика подготовленный образ
виртуальной машины.
Основные параметры настройки сервера Zabbix приведены на рисунке
21.
55
Рисунок 21 - Основные параметры настройки сервера Zabbix
На рисунке 8 показаны следующие параметры сервера Zabbix:
Host name - уникальное имя хоста. Разрешены буквенные обозначения,
пробелы, точки, тире и символы подчеркивания. При запуске агента Zabbix
на хосте, параметр файла конфигурации агента Hostname должен иметь то же
значение, что и имя хоста, введенное в этом поле. [6]
Visible name - имя отображаемое в списках и картах. Этот атрибут
поддерживает UTF-8.
Groups - группы хостов, к которым принадлежит хост. Хост должен
принадлежать хотя бы одной группе хостов.
New host group - новая группа может быть создана и связана с хостом.
Interfaces - для хоста поддерживаются несколько типов интерфейсов,
таких как Agent, SNMP, JMX и IPMI. Чтобы добавить новый интерфейс,
нужно нажать «Добавить» в блоке «Интерфейсы» и ввести информацию о IP-
адресе интерфейса и используемый им порт. Интерфейсы, которые
используются во всех элементах, не могут быть удалены, и ссылка для них
выделена серым цветом.
56
Connect to - нажатие этой кнопки сообщит серверу Zabbix метод,
который необходимо использовать для извлечения данных от агентов,
подключение по IP-адресу или подключение по имени DNS хоста
Port - TCP/UDP номер порта. Значения по умолчанию:
10050 для агента Zabbix;
161 для агента SNMP;
12345 для JMX;
623 для IPMI.
Monitored by proxy - хост может контролироваться либо сервером
Zabbix, либо одним из прокси Zabbix:
no proxy - хост контролируется сервером Zabbix;
Proxy name- хост контролируется прокси Zabbix.
Хотя SNMP очень популярен и доступен на большинстве
подключенных к сети устройств, существует относительно новый протокол,
который также предоставляет данные мониторинга Интеллектуальный
интерфейс управления платформой или IPMI. IPMI обычно реализуется как
отдельный независимый модуль управления и мониторинга операционной
системы операционной системы, который также может предоставлять
информацию, даже когда машина выключена. IPMI применяет карты
управления, доступные сегодня для большинства серверных предложений.
Желательно контролировать состояние оборудования непосредственно
с карты управления, поскольку это не зависит от типа операционной системы
или даже от того, работает ли она вообще. [6]
Для добавления устройства в систему мониторинга Zabbix, нужно
заполнить параметры, которые показаны на рисунке 22.
57
Рисунок 22 – Параметры добавления устройства IPMI
Основными параметрами на рисунке 22 являются IP-адрес интерфейса
IPMI устройства и его имя. Параметры настройки устройства показаны на
рисунке 23.
Рисунок 23 – Настройка платы IPMI
Пример данных, получаемых по протоколу IPMI, с карты управления
одного из серверов приведен на рисунке 23.
58
Рисунок 23 - Пример данных, получаемых по протоколу IPMI
Коммутаторы и маршрутизаторы, применяемые ООО Спецпромстрой,
производства HP, имеют встроенную поддержку протокола SNMP. Форма
добавления коммутатора показана на рисунке 24.
Рисунок 24 – Форма добавления коммутатора по протоколу SNMP
На коммутаторах нужно включить протокол SNMP и отправку
тревожных сообщений, выполнением следующих команд:
[192.168.3.30] snmp-agent trap enable
[192.168.3.30] snmp-agent target-host trap address udp-domain 192.168.3.3
params securityname
public v2
[192.168.3.30] quit
59
Для мониторинга гипервизора, под управлением которого находится
сервер Zabbix, также удобно применить протокол SNMP, рисунок 25.
Рисунок 25 – Форма добавления мониторинга сервера ESXi
Приведенные выше действия позволили создать сервер мониторинга
Zabbix под управлением гипервизора ESXi 6.0, а также, настроить основные
интерфейсы для мониторинга аппаратного обеспечения сети.
Для мониторинга серверов применены платы управления, которые
позволяют получать информацию о состоянии сервера даже без запуска
операционной системы, это гарантирует непрерывный мониторинг
оборудования даже при программном сбое сервера.
Коммутаторы и маршрутизаторы производства HP добавлены в
мониторинг по протоколу SNMP, так же, как и сам гипервизор ESXi 6.0.
60
3.2 Разработка скриптов системы мониторинга
Ранее было показано, что система мониторинга Zabbix поставляется с
исчерпывающим функционалом, тем не менее, систему нужно адаптировать
под конкретную задачу, для этого применяются различные скрипты. [39]
Сценарий может быть написан на любом языке, который
поддерживается операционной системой, под управлением которой работает
сервер Zabbix. Для большинства нужд достаточно простого сценария Bash,
его можно быстро разработать чтобы сделать оповещения более полезными.
По умолчанию Zabbix будет искать скрипты в каталоге
/usr/lib/zabbix/warncripts в пакете CentOS 7, предоставляемом Zabbix, но это
можно изменить, указав параметр AlertScriptsPath в конфигурации Zabbix.
Также, нужно убедится, что сценарий является исполняемым для правильных
пользователей. [39]
По умолчанию в Zabbix нет готовых к использованию скриптов, таких
как резервное копирование конфигурации или подключение
узкоспециализированного оборудования. Zabbix - это общая система, которая
может расширяться с помощью специальных функций, реализованных самим
пользователем. [35]
Для отправки смс сообщений применен GSM модем с Ethernet
интерфейсом. Для его подключения к системе мониторинга Zabbix нужно
создать скрипт управления. На рисунке 26 показано добавление ссылки на
скрипт. [30]
61
Рисунок 26 – Добавление скрипта в систему мониторинга Zabbix
Текст скрипта для командной оболочки bash приведен на рисунке 27.
Входные параметры скрипта $ {1}, $ {2}, $ {3} в Zabbix связаны с адресом
получателя, субъектом и текстом сообщения, соответственно. Файл скрипта
должен быть расположен в соответствии с параметром AlertScriptsPath,
например, в папке /usr/lib/zabbix/warncripts, указанной в zabbix_server.conf, и
должен иметь разрешения на выполнение для пользователя zabbix или иного,
установленного в файле конфигурации. [35]
Рисунок 27 – Скрипт отправки СМС сообщений
Скрипт должен запускаться периодически, обычно через cron. Это
заставит скрипт отправлять свои данные на сервер Zabbix. Если для защиты