89
Информационные ресурсы локальной сети предприятия представлены
следующими позициями:
файловым сервером с установленными доступами по
пользовательским ролям;
сетевая копировально-множительная техника;
корпоративное ПО WIBS ERP;
Информационные сервисы локальной сети:
Web интерфейс почтовой системы;
система Service Desk;
система WIBS Bitrix24;
Тестирование МКС. На этом этапе производится оценка сети в целом на
соответствие требованиям Технического задания.
Внедрение системы необходимо проводить в три этапа:
подготовка объекта к внедрению; (в качестве объекта подразумевается
сама сеть)
опытное внедрение; (внедрение сети опытным персоналом или
сторонними специалистами)
сдача системы в промышленную эксплуатацию.
90
2.1.2 Ожидаемые риски на этапах жизненного цикла и их описание
Любой проект по созданию мультисервисной корпоративной сети
предприятия всегда имеет множество задач, которые связаны с общим
управлением проектом, разработкой программного обеспечения,
проектированием сети и последующим их внедрением, каждая из которых
сама по себе является отдельным проектом с присущими ему особенностями.
Поэтому в ходе разработки существуют различные риски.
Риски сопровождают весь жизненный цикл МКС. Возможными
влияниями на данную МКС следует считать: увеличение длительности
проекта, увеличение стоимости проекта и так далее. Ниже я рассмотрю риски
более подробно:
Существует риск некорректного, или не точного описания требований к
МКС. Это может повлечь затраты на переработку Технического задания или
самой МКС. Этого можно избежать, если перепроверить ТЗ или передать его
на проверку лицу, которое не участвует непосредственно в разработке.
На стадии эксплуатации могут произойти изменения в квалификации
сотрудников, использующих МКС, а также риски неполноты проверки
функциональных возможностей и пропуск ошибки. Это может привести к
последствиям, таким как, выход из строя всей Мультисервисной
корпоративной сети предприятия, оборудования и т.д. Этого риска можно
избежать путем контроля уровня знаний сотрудников, приступающих к
взаимодействию с МКС.
Во время разработки МКС может возникнуть ряд рисков, связанных с
неописанными свойствами программного или аппаратного обеспечения. В
свою очередь это приведёт к временным затратам. Этого риска избежать
нельзя.
Помимо этого, в процессе эксплуатации и сопровождения разработанной
МКС могут возникнуть следующие виды рисков:
технические риски;
91
риски персонала.
В числе факторов технических рисков:
ошибки в программном обеспечении вызывающие простой сети;
невозможность осуществления требуемых действий, «торможение»
сети;
использование вредоносных программ (вирусов, червей, троянов,
логических бомб), использование в корыстных целях найденных ошибок
(дыр) в программах,
перехват информации по телекоммуникационным канал, воровство
информации;
некорректная эксплуатация оборудования;
приостановка деятельности третьего лица (например, Интернет-
провайдера), что повлечет за собой невозможность передачи документации
из филиалов и как следствие - контроля деятельности филиалов;
несоответствие функциональных возможностей сети бизнес-процессам в
комплекс задач вследствие реорганизационных изменений. Предотвращение
данных обстоятельств возможно, при условии соблюдения следующих
моментов:
Проведение тщательного тестирование и выявление ошибок на этапе
разработки сети;
Устранение в кратчайшие сроки ошибок в сети силами прошедших
подготовку на этапе внедрения технических специалистов;
Администратором МКС необходимо отслеживать безопасность
информации, а также прибегать к использованию и своевременному
обновлению антивирусного программного обеспечения, произвести
правильную настройку межсетевого экрана, который в свою очередь будет
осуществлять разделение локальной и внешней сети предприятия и, как
следствие, предоставить сотрудникам компании возможность работы только
92
с той информацией, которая им необходима для исполнения своих
служебных обязанностей;
Осуществить разделение оборудования на клиентское и серверное,
помимо этого будет необходимым привлечение обученного работе с сетью
квалифицированного персонала;
Наличие каких-либо альтернативных средств доступа в к глобальной
телекоммуникационной сети Интернет или других способов передачи
данных;
Ведение документации по техническим условия, а также их
согласование со всеми заинтересованными участниками проекта;
Обязательное согласование любых изменений.
Факторами возникновения риска среди персонала являются такиеми
обстоятельствами как:
нарушение информационной безопасности работы;
возможная утечка информации из-за злоумышленных действий
сотрудников или нежелание работать с новой системой;
неопределенность этапа выхода проекта среди консультантов
заказчика.
В противостоянии этому может выступать следующий перечень мер:
организация системы поощрений использующего сеть персонала
заказчика;
прием на работу сотрудников при условии неразглашения коммерческой
тайны в противном случае - применение штрафных санкций;
четкое планирование сроков проекта и момента прекращения работы
над проектом со стороны исполнителя.
93
2.1.3 Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Комплекс мер по защите информации в разрабатываемой МКС будет
включать в себя следующие мероприятия:
защита информации непосредственно в мультисервисной
корпоративной сети от внутренних угроз;
защита информации в рамках сети от внешних угроз.
На предприятии существует регламент по ведению работы в сети, в этот
регламент также входит и система обеспечения безопасности работы в сети
или интернете, каждый сотрудник раз в 2 недели обязан производить смену
пароля от рабочего компьютера.
У каждого отдела имеется своя общая сетевая папка, каждый сотрудник
имеет собственную именную папку, с именованием последней своей
Фамилией и инициалами, в случае если сотрудник ушёл в отпуск или
отсутствует на месте начальник отдела, то коллеги не могут найти нужную им
информацию, по причине того, что регламентом запрещено передавать пароль
третьим лицам, файлы, которые не содержать в себе корпоративную, или же
коммерческую тайну можно получить в общей папке отдела в соответствии с
правами доступа.
Защита от внешних угроз осуществляется путем применения следующих
мер:
использование программно-аппаратных комплексов;
разработки и соблюдение политик безопасности;
использованию защищенных каналов связи при передаче информации;
использованию антивирусных средств защиты;
физической защитой помещений с наиболее ценной информацией.
SSH (Secure Shell - Защищенная оболочка) - это сетевой протокол,
который обеспечивает защищенную аутентификацию, а так же, соединение и
94
безопасную передачу данных между хостами сети, путем шифрования,
проходящего через него трафика, с возможной компрессией данных. Важной
функциональной особенностью данного протокола, я выделю возможность
создания защищенных, шифрованных туннелей, для безопасной передачи
через небезопасную среду (например, интернет), других сетевых протоколов,
также с возможность сжатия трафика. Кроме того, протокол SSH отлично
работает с форвардингом (переадресацией, перенаправлением) портов одной
машины на порты другой в том числе и форвардинг удаленных клиентов
XWindow.
Безопасность протокола SSH обеспечивается посредство следующих
программных решений, перечень которых я приведу ниже с приведение
подробного описания последних:
шифрование всего трафика, проходящего через SSH соединение,
выполняемое по одному из возможных алгоритмов, которые выбираются в
процессе переговоров сторон сеанса связи. Шифрование трафика соединения,
которое в свою очередь способствует препятствию перехвата и
использования в злонамеренных целях. За счет выбора различных
алгоритмов шифрования, сеть становится очень гибкой, позволяя, к примеру,
избежать использования алгоритмов, с обнаруженными уязвимостями или
потенциальными угрозами безопасности, или использовать только тех
алгоритмов, которые имеют поддержку каждой из сторон;
аутентификация SSH сервера, производится всегда, при любом
соединении, что не позволяет осуществить подмену трафика или самого
сервера;
аутентификация SSH клиента, может происходить различными
способами, что, с одной стороны, позволяет сделать сам процесс
аутентификации более безопасным, а с другой стороны, делает сеть еще
более гибкой, что способствует упрощению работу с ней;
95
контроль целостности сетевых пакетов, дает возможность к
отслеживанию незаконных изменений трафика соединения, в случае
обнаружения данного факта, соединение обрывается незамедлительно;
временные параметры аутентификации, способствуют предотвращению
возможности использования перехваченных и через некоторое время,
расшифрованных данных соединения.
Протокол SSH имеет поддержку довольно разнообразных методов
аутентификации и авторизации удаленных клиентов на SSH сервере,
некоторые из них в рамках дипломного проекта я приведу ниже:
GSS-API-based аутентификация; (для доступа к сервисам безопасности)
Host-based аутентификация; ( для проверки уровня доступа и
сотрудника)
аутентификация пользователя с помощью публичного ключа;
аутентификация «вызов-ответ» (challenge-response) (способ
аутентификации, при котором пароль не подлежит передаче по каналу
связи);
аутентификация пользователя по паролю. ( вход в сеть пользователя с
посредством ввода пароля)
Системой контроля и управления доступом (СКУД) называется
совокупность программно-технических средств и организационно-
методических мероприятий, с помощью которых решается задача контроля
и управления посещением отдельных помещений, а также осуществления
оперативного контроля за перемещением персонала а так же времени его
нахождения на территории объекта.
В состав СКУД Bravo входят следующие элементы:
96
контроллер-концентратор СКД сетевой СК-05 - Используется для
управления исполнительными устройствами, хранения базы данных
пропусков, а также регистрации событий;
контроллер замка сетевой КД-01 - Данный контроллер является
электронным устройством, работающим в составе сетевой СКД «BRAVO», и
предназначенным для управления электромагнитными замками,
электромеханическими защелками, а также турникетами сторонних
производителей, в качестве ключей доступа могут использоваться ключи
Touch Memory либо электронные бесконтактные карты при использовании
считывателей СВ-01;
считыватель бесконтактный СВ-01 - Устройство предназначено для
идентификации карт доступа пользователей типа Proximity.
конвертер интерфейсов RS422/USB - устройство предназначено для
подключения устройств с выходным интерфейсом RS422 (концентратор) на
расстоянии до 1200 м к компьютеру через интерфейс USB.
97
2.2 Информационное обеспечение задачи
Для информационного обеспечения с использованием технологии VPN
на предприятии ООО «Депо электроникс» предполагаются следующие
решения:
на компьютер пользователя, которому необходимо получение
удаленного доступа в локальную сеть посредством технологии Интернет,
устанавливается VPN-агент. VPN-агент ведет свою работу с пакетами
протокола IP (согласно модели OSI).
VPN-клиент служит для автоматического шифрования всех
исходящих данных и последующего дешифрования всех входящих данных.
VPN-клиент выполняет контроль целостности пакетов данных с помощью
электронно-цифровой подписи или криптографической контрольной
суммы, рассчитанной при помощи ключа шифрования.
Перед отправкой IP-пакета VPN-агент действует следующим образом:
Из нескольких поддерживаемых им алгоритмов шифрования и ЭЦП по IP-
адресу получателя выбирает нужный для защиты данного пакета, а также
ключи. При условии что в его настройках такого получателя не имеется, то
как следствие информация отправлена не будет, из этого следует что
необходимо соблюдать следующий алгоритм действий:
Произвести определение и получателя в пакет ЭЦП отправителя
или имитоприставку;
Произвести процедуру шифрование пакета (целиком, включая его
заголовок);
Провести инкапсуляцию, т. е. сформировать новый заголовок, с
последующим указание адреса не самого получателя, а его VPN-агента.
Позволяет произвести обмен данными как между двумя сетями, так и
обмен между двумя компьютерами, на которых установлены VPN-агенты.
Всякая полезная для преступных целей злоумышленника информация,
например, внутренние IP-адреса, ему уже недоступна, по причине её
шифрования.
98
При получении IP-пакета выполняются обратные действия:
В заголовке содержатся сведения о VPN-агенте отправителя. Если
таковой не входит в список разрешенных в настройках, то информация
просто отбрасывается. То же самое происходит при приеме пакета с
намеренно или случайно поврежденным заголовком;
Согласно настройкам, выбираются алгоритмы шифрования и
электронной цифровой подписи, а также необходимые криптографические
ключи;
Происходит дешифровка пакета, затем проверяется его
целостность. Если ЭЦП неверна, то он выбрасывается;
Пакет в его исходном виде отправляется настоящему адресату по
внутренней корпоративной сети.
Все операции выполняются в автоматическом режиме. Сложной в
технологии VPN является только настройка VPN-агентов, которую в целом,
может осуществить и обычный пользователь. VPN-агент может находиться
непосредственно на защищаемом ПК, что будет весьма полезным для
мобильных пользователей, подключающихся к Интернету. В этом случае
он обезопасит обмен данными только того компьютера, на котором он
установлен. Помимо этого возможно совмещение VPN-агента с
маршрутизатором (в этом случае его называют криптографическим) IP-
пакетов. Ведущие мировые производители в последнее время выпускают
маршрутизаторы со встроенной поддержкой VPN, например, Express VPN
от Intel, который шифрует все проходящие пакеты по алгоритму Triple
DES. Как видно из описания, VPN-агенты создают каналы между
защищаемыми сетями, которые называют “туннелями”. И действительно,
они “прокопаны” через Интернет от одной сети к другой; циркулирующая
внутри информация спрятана от чужих глаз.
Кроме того, что все пакеты подвергаются “фильтрации” в соответствии
с настройками.