21
знания в этой области, иначе при возникновении технических сложностей
возможен длительный простой в бизнес-процессах, что очевидно вызовет
финансовые потери, которые несоизмеримы с экономией средств на покупку
ОС. Ввиду изложенных обстоятельств, компанией принято решение о закупке
ОС семейства Windows для пользовательских ПК и серверной части.
В мультисервисной сети использование программного обеспечения
подразумевает
в основном мониторинг работоспособности сети.
Рассмотрим несколько вариантов ПО:
PRTG Network Monitor
Программный компонент PRTG, совместимый с устройствами на базе ОС
Windows, предназначен для мониторинга сетей. Используется не только для
сканирования устройств, которые в данный момент подключены к сети, но
также может послужить отличным помощником и в обнаружении сетевых
атак.
Nagios
Nagios – это
продвинутое решение для мониторинга, управление которым
основано на веб-интерфейсе. Он отнюдь не прост в освоении, однако,
благодаря своему довольно большому интернет-сообществу и хорошо
проработанной документации, может быть освоен за несколько недель.
Zabbix
Система мониторинга Zabbix – это универсальное решение для сетевого
мониторинга с открытым исходным кодом, которое может быть
сконфигурировано
под отдельные сетевые модели. В основном, оно
предназначено для систем, которые обладают многосерверной архитектурой
(в частности, Zabbix интегрируется с серверами Linux/FreeBSD/Windows).
Так как в нашей сети используется небольшое количество устройств,
покупка ПО для мониторинга будет нецелесообразной тратой денежных
средств. Ввиду этого обстоятельства сравним два популярах решения Zabbix
и PRTG Network Monitor
Таблица 5
Параметр PRTG Zabbix
Nagios
Сложность установки
низкая средняя
средняя
Сложность использовании низкая высокая
высокая
Сложность администрирования средняя высокая
средняя
Поддержка Windows Есть Нет
Есть
22
Исходя из этих базовых значений и сложностях использования Linux
систем, указанных выше, для мониторинга сети будет использована
бесплатная версия PRTG Network Monitor ввиду простоты использования и
поддержке Windows ОС.
1.4.3. Обоснование проектных решений по техническому обеспечению
Для компаний ООО «РКВ», в реализуемом проекте, основным критерием
при выборе оборудования является отказоустойчивость, которое могут
обеспечить бренды, давно зарекомендовавшие
себя на соответствующих
рынках.
Кроме престижа и отказоустойчивости брендовое оборудование
обладает рядом преимуществ:
имеют привлекательные условия на стадии создания системы (системы
лояльности)
имеют доступные и удобные решения для масштабирования
наличие комплектующих на складах
понятную документацию
удобные условия гарантийного и постгарантийного обслуживания
программы модернизации и
выкупа оборудования
Кроме того, брендовое оборудование зачастую сохраняет
работоспособность гораздо дольше чем менее популярные аналоги.
В этом сегменте лидеры неизменны, так же как и качество производимого
оборудования. Лидеры этого рынка Cisco, HP, Huawei, Juniper Networks и
Arista Networks. В качестве обеспечение мултисервисной сети было
рассмотрено оборудование, указанное в таблице 3:
HP FlexNetwork MSR930
Cisco C1111-4P
MikroTik RouterBoard RB2011iLS-IN
HUAWEI AR151
Cisco C1111-4P. Превосходство
этого сетевого оборудования признано IT
специалистами во всем мире и ему доверяют самые крупные и известные
компании с самой высокой капитализацией в мире.
23
HP FlexNetwork MSR930. Компания HP это подтвержденный лидер на
рынке серверного оборудования. Однако сетевой сегмент не является
основным профилем компании.
MikroTik RouterBoard RB2011iLS-IN. Универсальная платформа, в
которой реализовано множество сетевых технологий, так же является дешевой
и не требующая дополнительных расходов на лицензии. Однако качество и
надежность оставляет желать лучшего.
HUAWEI AR151. Компания HUAWEI в последнее время добилась
хороших результатов на
рынке IT оборудования. Но проблемы с качеством все
еще присутствуют и IT сообщество пока не рискует использовать данного
производителя в серьезных проектах, требующих гарантий надежности.
Ввиду изложенного, MikroTik и HUAWEI хоть и имеют низкую стоимость,
но по надежности уступают более дорогим вариантам. HP мог бы стать
достойным вариантов для проекта, но унификация оборудования является
серьезным
плюсом при обслуживании инфраструктуры, в связи с этим
принято решение приобретать для проекта Cisco C1111-4P.
24
2. Проектная часть
2.1. Разработка проекта автоматизации
2.1.1. Этапы жизненного цикла проекта
При описании жизненного цикла руководствуемся ГОСТ Р ИСО/МЭК
15288-2005, подразумевающего каскадную модель жизненного цикла, а
именно:
Замысел
Разработка
Производство
Применение
Поддержка применения
Перевод в категорию непригодных для применения
Замысел.
На данном этапе осуществляется анализ предметной области,
возможности
к модернизации и расширения существующей сети, подготовка базовых
требований. Определяется будущая архитектура сети. Результатом данного
этапа является:
исходные данные;
перечень основных задач;
план выполнения работ.
Разработка.
Подбор оборудования, оценка стоимости проекта, поиск и выделение
денежных средств. Выбор оператора связи на местах внедрения. Подготовка
схем и документации. Анализ
возможных дополнений к проекту. Итогом
данного этапа будет:
Список оборудования;
Планируемые финансовые затраты;
Документация;
Производство.
Подготовительный этап перед внедрением. Подготовка конфигураций
оборудования, тестирование на виртуальном стенде. После успешного теста
на виртуальном стенде настройка оборудования по подготовленным ранее
конфигурациям, сборка физического стенда, проведение функциональных и
25
нагрузочных тестов. Подготовка будущих филиалов, подключение канала
связи. Результат:
Конфигурации оборудования;
Результаты тестирования;
Готовое к установке оборудование;
Канал связи в филиалах.
Применение
Непосредственное внедрение. Отправка оборудования на места.
Включение оборудования, проверка доступности, подключение
пользователей. Обеспечение оперативной поддержки на случай неучтённых
при тестировании ситуаций.
Результат:
Система в
работе.
Поддержка применения.
Обеспечение поддержки системы, участие в устранении инцидентов.
Перевод в категорию непригодных для применения.
Этап, в котором возможно изменение условий эксплуатации, при которых
функционирование системы будет невозможным или не иметь смысла.
2.1.2. Ожидаемые риски на этапах жизненного цикла и их описание
При проектировании и внедрении информационных систем существуют
следующие типы рисков:
Технологические риски – неработающее, ненадежное или не отвечающее
требованиям аппаратное или программное обеспечение.
Риски безопасности - утрата, повреждение, кража оборудования или
данных.
Политические или законодательные риски - вероятность того, что
изменения законодательных и нормативно-регулирующих актов приведут к
затруднениям при реализации проекта или полного отказа от него.
Кадровые риски - человеческий
фактор, некомпетентный подход к подбору
персонала, болезни сотрудников, увольнения.
26
Инфраструктурные – проблемы с электроэнергией, телефонной и интернет
связью и т.п. факторов, нарушающих функционировании системы.
Финансовые риски – падение дохода, ситуации приводящие к
перераспределению бюджета компании, что в свою очередь приведет
недофинансированию проекта или отказа от него. Не грамотное
распределение выделенных средств.
В таблице 6 указаны жизненные циклы, советующие им риски и возможное
управление. Далее подробное описание.
Таблица 6
Жизненный
цикл
Риски Управление
Разработка
Финансовый
Грамотный подход к выбору
оборудования и ПО исходя из
принципа "Цена-Качество"
Кадровый
Достойная и своевременная оплата
труда, обучение персонала,
грамотное распределение
обязанностей
Законодательный Соблюдение законодательства.
производство
Кадровые
Достойная и своевременная оплата
труда, обучение персонала,
грамотное распределение
обязанностей
Технологический
Компетентный подход к выбору
оборудования
Кадровый
Достойная и своевременная оплата
труда, обучение персонала,
грамотное распределение
обязанностей
Законодательный Соблюдение законодательства.
Применение
Инфраструктурный
Анализ рынка подрядчиков,
операторов связи, арендодателей.
Выбор с достойной репутацией
Технологический
Проверка и тестирование
оборудования на этапе
производства.
Инфраструктурный
Анализ рынка подрядчиков,
операторов связи, арендодателей.
Выбор с достойной репутацией.
Дублирование система.
Технологический
Проверка и тестирование
оборудования на этапе
производства.
Кадровый
Достойная и своевременная оплата
труда, обучение персонала,
грамотное распределение
обязанностей
Законодательный Соблюдение законодательства.
27
Продолжение таблицы 6
Жизненный
цикл
риски управление
Поддержка
применения
Инфраструктурный
Анализ рынка подрядчиков, операторов
связи, арендодателей. Выбор с достойной
репутацией. распределение обязанностей
Поддержка
применения
Технологический
Проверка и тестирование оборудования
на этапе производства.
Инфраструктурный
Анализ рынка подрядчиков, операторов
связи, арендодателей. Выбор с достойной
репутацией
Технологический
Проверка и тестирование оборудования
на этапе производства.
Кадровый
Достойная и своевременная оплата труда,
обучение персонала, грамотное
распределение обязанностей
Законодательный Соблюдение законодательства.
На этапе разработки основный риски связаны с финансовой частью. При
планировании закупок оборудования вероятна ситуация, при которой
выделенных на проект средств будет недостаточно. Так же не маловажным
будет учесть технические риски, планируемое оборудование может быть не
совместимо с существующим, что вызовет пересмотр закупаемых моделей или
замену существующей системы. Компетентность сотрудников
на данном
этапе тоже не маловажна, выбор и закупка несоответствующего оборудования
может создать дополнительные трудности в будущем. Можно упомянуть
экономические и политические риски, ситуация в стране и мире может в
одночасье кардинально изменится, что повлечет за собой повышение цен или
невозможность покупки оборудования.
Этап производства в основном зависит сотрудников, их компетенция
на
данном этапе играет основную роль. Неполный и не качественные тест,
ошибки в конфигурациях приведут к тому, что в филиал уедет не готовое
устройство и при само худшем сценарии отсутствие связи с ним. Риск
доставки неисправного оборудования так же стоит учесть, замена или ремонт
такого оборудования очевидно приведет к задержкам
и возможным сдвигам
сроков.
Применение, этап на котором система включается в работу. Оборудование
может быть повреждено при доставке или не доставлено вовсе, провайдер не
подготовил канал связи или он не функционирует должным образом. Так же
актуальны риски упомянутые на этапе производства – ошибки при
конфигурировании оборудования.
28
На этапе поддержки применения основные риски, это ошибки на
предыдущих этапах, не полный анализ будущей системы, не верный выбор
оборудования, не учетные настройки в конфигурации устройств, все это могло
быть пропущено на этап планирования и подготовки и проявится при
эксплуатации системы. Так же при обслуживании системы актуальны
политические, экономически и социальные
риски.
2.1.3. Организационные, правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Наиболее значимые угрозы для потоков трафика — это его искажение,
перехват и отказ в обслуживании. Для защиты от искажения в локальной сети
необходимо использовать экранированную витую пару и оптический провод
где это оправдано, по возможности рекомендуется прокладка витой
пары
отдельно от электрической сети. Так же в серверной и в местах размещение
коммутационного оборудования желательно использовать систему контроля
доступа и видеонаблюдение, что позволит снизить риски вторжения в сеть и
перехвата трафика.
Оптимальным методом защиты трафика от перехвата в глобальной сети
является использование туннельных протоколов с шифрованием данных. В
локальной
сети возможно разделение трафика по категориям, путем
выделения для каждой категории отдельного широковещательного домена
(VLAN).
Таблица 7
Разграничение прав пользователей сети.
Группы
пользова-
телей
Почта БД Файловый
сервер
1С Доступ в
Internet
Генеральный
директор
Пользовательс
кий доступ
нет
Пользовател
ьский
доступ
Пользова
тельский
доступ
Полный
доступ
Бухгалтерия
Пользовательс
кий доступ
нет
Пользовател
ьский
доступ
Полный Ограничен
Отдел кадров
Пользовательс
кий доступ
нет
Пользовател
ьский
доступ
Пользова
тельский
доступ
Ограничен
Отдел ИТ Полный доступ
Полный
доступ
Полный
доступ
Полный
доступ
Полный
доступ
29
Продолжение таблицы 7
Группы
пользова-
телей
Почта БД Файловый
сервер
1С Доступ в
Internet
АХО
Пользовательс
кий доступ
нет
Пользовател
ьский
доступ
Пользова
тельский
доступ
Ограничен
Отдел продаж
Пользовательс
кий доступ
нет
Пользовател
ьский
доступ
Пользова
тельский
доступ
Ограничен
В таблице 8 указан состав проектируемых программных, аппаратных и
регламентных средств защиты.
Таблица 8
Нормативно-правовые акты,
стандарты (международные и
отечественные);
№ 152-ФЗ «О персональных данных»
№ 390-ФЗ «О безопасности»
Регламентирующие документы
организации, стандарты
предприятия и т.д.
Политика информационной безопасности
предприятия
Правила внутреннего трудового распорядка
Должностная инструкция
Антивирусные и антишпионские
средства; Windows Defenfer
Проактивная защита от внешних
угроз и защита внешнего
периметра; списки доступа, WAF
Защита от сетевых угроз; списки доступа, WAF
Защита от инсайдерских угроз и
защита информационных
ресурсов;
Политика информационной безопасности
предприятия
Физическая защита информации. Резервное копирование
При обеспечении информационной безопасности в плане
административных и правовых мер компания будет основываться на
законодательстве РФ и внутренних должностных инструкциях. Сотрудник
допустивший, намеренно или косвенно, нарушение целостности и
сохранности данных будет уволен или привлечен к ответственности.
Защита сетевого периметра делится на следующие области:
Центральный офис
ЦОД
30
Филиалы
Канала передачи данных сети «Интернет»
Защиту центрального офис и филиалов будут обеспечивать пограничные
маршрутизаторы с настроенными фильтром доступа по принципу «Запрещено
все, что не разрешено». В локальной сети офисов и торговых точек так же
будет использоваться тот же принцип.
В ЦОД для доступа к оборудованию и внутренним ресурсам
так же будут
использоваться списки доступа по аналогии с офисами. Защиту сайта от DDoS
атак, сканирования уязвимостей и не валидных запросов, будет обеспечивать
сторонняя система WAF.
Каналы передачи данных обеспечиваются шифрованием по протоколу
ipsec поверх протокола GRE.
2.2. Разработка структуры и функционирования
2.2.1. Разработка и обоснование общей структуры решения
Структура сети представлена распределенной филиальной
сетью, с
серверной частью в центральном офисе и ЦОД. Удаленные локальные сети
объединяются между собой по средствам туннелей с шифрованием.
Сеть филиалов представлена в виде локальных устройств, объединённых
широковещательным доменом на коммутаторе. Пограничный маршрутизатор
обеспечивает филиальную связь, выход в интернет, фильтрацию и
приотеризация трафика.
Общая и межфилиальная схемы отображены на рисунках
П1.1 и П1.2
Сеть центрального офиса объединяет несколько широковещательных
доменов разделенных на отделы и серверную часть. Коммутатор обеспечивает
разделения широковещания на канальном уровне. Маршрутизатор в своею
очередь обеспечивает движение трафика между подсетями, в то числе
фильтрует его и выставляет приоритет. Так же устанавливает и поддерживает
туннельные соединения с филиалами и
ЦОД. В сети центрального офиса
находится сервер приложения 1С:Преприятие со своей базой данных,
файловый и почтовый сервера.
Сеть ЦОД делится на две подсети, внутреннею и DMZ (изолированная) для
web сервера. Коммутация и маршрутизация реализована по средствам
облачных ресурсов и используется «Как сервис». Для ИТ инженеров компании
предоставлен минимальных функционал, основой настройкой
занимаются