22
производительности. Примером виртуализации ресурсов является
создания программного посредника Flow Visor и установка его между
SDN-контроллерами коммутаторами.
Программа-посредник Flow Visor выполняет функции создания
логических сегментов сети с применением различных алгоритмов
управления потоками данных и обеспечением изоляции одной сети от
другой. Каждый OpenFlow-контроллер производит управление только
своей логической сетью и не влияет на работу других.
Выделения логических подсетей является сложным процессом,
поэтому программа-посредник Flow Visor применяется для формирования
дополнительных соединений.
Программа-посредник Flow Visor имеет свои характерные
особенности, зависящие от версии спецификации, программного кода и
сетевых характеристик.
Рассмотрим пример формирования срезов с помощью программы-
посредника. Конфигурация срезов производится на основании
определенных правил, которые зависят от требований к виртуализации, а
также спецификации протокола. Базовыми правилами для каждого среза
является разрешение модификации данных, возможность использования
управляющей информации и отброс ненужных данных.
В дальнейших срезах производится формирование правил и политик
для управления программной конфигурацией корпоративных сетей.
Некоторые последовательности применяются для описания процесса в
образовании петель в случае некорректной работы протокола.
Причиной возникновения петель является недостаточная пропускная
способность в логических срезах и отсутствие механизма предупреждения
ошибок в работе SDN-контроллера.
Развитие новых технологий создает необходимость повышения
качества обслуживания корпоративной сети, на основании этого
23
увеличивается роль возможности динамического управления трафиком
программно-конфигурируемых сетей.
Эффективным способом обеспечения необходимого качества
обслуживания корпоративной сети является распределение трафика и
определение маршрутов и классов. Внедрение перспективных подходов
для создания оптимальной маршрутизации и балансировки трафика
повышает эффективность работы корпоративных сетей, сокращает
трудоемкость создания оптимальных маршрутов и распределения трафика
по параллельным маршрутам [19, c.58].
Для повышения эффективности управления программной
конфигурацией корпоративной сети можно использовать алгоритм парных
перестановок маршрутов и построить графовую модель корпоративной
сети.
При разработке графовой модели создается множество вершин графа
отвечающих узлам связи или маршруту в сети и рёбра, отвечающие
возможным каналам связи между этими узлами. При этом каждое ребро
соответствует определенному каналу. На практике весу рёбра могут
соответствовать цена аренды канала, затраты на единицу трафика,
передаваемого по сети или сложная функция, в которой учитывается
количество параметров корпоративной сети.
В целом корпоративную сеть можно представить в виде
неориентированного взвешенного связного графа:
),,( WEVG
, (8)
где
V
- это вершины или узлы связи;
ENV ,
- это рёбра или линии связи;
WME ,
- это веса ребер или стоимость линий связи.
24
Пусть на графе
G
в определенный период времени необходимо
осуществить поиск оптимального маршрута до всех узлов с начального
узла, то есть разработать дерево оптимальных маршрутов с корнем в узле
vs
. Это дерево можно обозначить как
T
E
.
Рассмотрим каналы
G
по признаку вхождения канала в дерево с
разделением исходного множества на подмножества. При этом каналы
дерева являются множеством каналов графа
G
.
При соответствующих условиях определенный канал,
инициированный узлом, может перейти в множество каналов графа
G
,
заменив некоторый канал. При этом инцидент канала или узел выступает
обязательным условием. В свою очередь канал будет переходить во
множество дерева
T
E
. Такие переходы можно назвать парными и
определить как E и G. В дереве
T
E
можно выделить подмножество,
представленное каналами замены для дерева и подмножество непарных
каналов, включающее элементы канала, не участвующие ни в одном из
отношений. Алгоритм динамического управления трафиком приведен в
таблице 1.
Таблица 1– Алгоритм динамического управления трафиком
Номера
этапов
Описание
1
2
1
Для узла связи, полученные списки будут привязываться к узлу,
размещенному в нижней части иерархии дерева
2
Вычисление парных переходов для каждого узла и выбор наиболее
благоприятного значения потенциала в парных переходах
3
Формирование полного списка парных переходов для каждого узла
корпоративной сети
4
Создание списка маршрутов, проходящих через каналы, входящих в дерево
оптимальных маршрутов
Продолжение таблицы 1.1
25
1
2
5
Для каждого типа трафика корпоративной сети необходимо установить
приоритеты. Для наиболее чувствительного типа трафика необходимо
установить высший приоритет, далее приоритеты будут устанавливаться в
порядке сокращения в зависимости от характера и частоты использования
приложений
6
Оптимальный маршрут для каждого узла будет включать трафик высшего
приоритета, а маршруты замены будут иметь меньший приоритет
7
Анализируя полученный протокол маршрутизации, необходимо определить
стоимость канала связи
8
Определение парных переходов
9
Создание оптимальных маршрутов с помещением их в дерево
10
Выполнение балансировки трафика по маршрутам
11
Необходимо передать пакеты трафика высшего приоритета в оптимальный
маршрут, а трафики меньшего приоритета в маршруты замены, тем самым
выполнив перераспределение трафика
12
Пересчет точек вхождения в дерево
Рассмотрим пример работы предложенного алгоритма в управлении
программной конфигурацией корпоративных сетей, используя граф
корпоративной сети, приведенный на рисунке 6.
Рисунок 6 – Граф корпоративной сети
Каналы графа можно представить множеством
8.57.56.35.24,13,12,1
;;;;;; eeeeeeeE
T
, а каналы замены множеством
26
8.67.46.45.44.2
;;;; eeeeeE
S
с выделением множества непарных каналов
8,7
eE
P
.
Работа алгоритма парных перестановок предусматривает
динамическое изменение стоимости канала для всех входящих узлов в
дерево оптимальных маршрутов, находящееся в отношении парного
перехода. В этом случае необходимо выполнить пересмотр списка
оптимальных маршрутов и их замены, а также определить стоимость.
После формирования списка оптимальных маршрутов и замены для
каждого узла автоматически необходимо установить приоритеты трафика
по непересекающимся маршрутам с учетом частоты характера
используемых приложений в сети, а также распределением трафика и
балансировки.
Предложенный алгоритм оптимальной маршрутизации балансировки
трафика позволяет повысить эффективность управления программной
конфигурацией корпоративных сетей и использовать возможность парных
перестановок.
Выводы по первой главе
В первой главе работы были рассмотрены методы организации
управления программной конфигурацией корпоративных сетей и
установлено, что программная конфигурация должна позволять проводить
не только передачу и сбор больших массивов информации, но и иметь
высокий уровень защиты и отказоустойчивости используемых в ней
элементов.
Программно-конфигурируемые сети являются современной
технологией построения корпоративных сетей, в которой управление
сетью, в отличие от традиционных подходов, основано на
конфигурировании сетевого оборудования или отдельных сегментов сети.
27
Исследования показали, что в настоящее время свое распространение
получили облачные технологии, которые выступают перспективным
направлением для интеграции программно-конфигурируемых сетей в
облачных решениях. Облачные технологии позволяют управлять
сегментами корпоративной сети в удаленном режиме через имеющиеся
облачные сервисы.
28
2 АНАЛИЗ МЕТОДОВ УПРАВЛЕНИЯ ПРОГРАММНЫМ
ОБЕСПЕЧЕНИЕМ В СЕТИ И ПОСТАНОВКА ЗАДАЧИ
2.1 Способы защиты информации
На сегодняшний день существуют такие способы защиты
конфиденциальной компьютерной информации от несанкционированного
доступа третьих лиц как (Рис. 7):
системы сильной аутентификации (СА);
предотвращение нецелевого использования информационных
ресурсов;
аудит действий пользователей сети;
архивирование конфиденциальной корреспонденции;
шифрование конфиденциальных данных.
Способы защиты
информации
Системы сильной
аутентификации
Предотвращение
нецелевого
использования
информационных
ресурсов
Аудит
действий
пользователей
сети
Архивирование
конфиденциальной
корреспонденции
Шифрование
конфиденциаль
ных данных
Рисунок 7 Методы защиты конфиденциальной компьютерной
информации от несанкционированного доступа
Рассмотрим отдельно каждый такой метод.
Системы сильной аутентификации.
Подобные решения (идентификация, авторизация,
администрирование) часто используются для охраны данных от
несанкционированного использования или доступа к ним. В их основе
29
заложен двух или трехфакторный процесс аутентификации, который
позволяет пользователю получить доступ к запрашиваемым данным.
Недопущение нецелевого использования IT-ресурсов.
Подобные системы представляют из себя набор различных функций,
которые начинаются с защиты от вирусов или спама и заканчиваются
фильтрацией на уровне постовых сообщений и URL-адресов.
Подобное решение тесно связана с контентной информацией,
которая в первую очередь связана с сигнатурными базами.
Контроль действия пользователей в сети.
Отслеживание всех действий пользователей в рамках сети
представляется важным элементов во всей системе защиты
конфиденциальных данных от инсайдеров. Чтобы максимально снизить
подобные риски, важно постоянно проводить мониторинг всех действия
пользователей, даже тех, кто обладает доступом на уровне
администраторов.
Шифрование конфиденциальной информации.
Подобный подход актуален для тех данных, которые действительно
могут представлять интерес с точки зрения инсайдеров. К таким данным
обычно можно отнести базы данных, отчетности, финансовые показатели,
данные по аудиторским проверкам и т.д.
В этих утечках также большую роль играет и человеческий фактор.
Часто многие руководители полагаются на мощную техническую базу
забывая, что слабое звено в этой цепочке – сам человек. Эффективная
система ИБ должна быть гармонично увязана с технически грамотным
персоналом. В рамках одной компании реально уменьшить риски
случайного или преднамеренного доступа к конфиденциальным данным
путем внедрения политик безопасности. Такая политика часто описывает
поведение всех сотрудников в сети, характер работы с доверенными и не
доверенными источниками, правила скачивания файлов и папок из сети,
30
заполнение форм. Если возникает инцидент или одна и та же критичная
ситуация по отношению к введенной политики безопасности повторяется
много раз, необходимо прилюдно разбирать случившееся и наказывать
виновного.
Процесс защиты информации включает в себя организационно-
технические и программно-технические методы. Они постоянно
совершенствуются и дополняются, иногда для осуществления защиты
требуется дорогостоящее оборудование (к примеру, для распознавания
пользователя по отпечатку пальца или радужной оболочке глаза), но эти
затраты вполне оправданны, когда противоправный перехват информации
недопустим.
К первым относится техника построения политики информационной
безопасности относительно конкретной информационной системы. Для
этого в оборот вводятся документы, где закреплены принципы в сфере
информационной безопасности, которые должны соблюдаться всеми, кто
причастен к функционированию данной информационной системы. При
этом необходимо учитывать все этапы информационной защиты, которые
должны быть задействованы - от четкого определения ресурсов
информации, подлежащих защите до формулировки требований к системе
защиты данных и управления этой системой в целом.
Так называемые программно-технические методы - это именно та
практическая и весьма обширная база защиты, над усовершенствованием
которой ведется постоянная работа со стороны специалистов в области IT-
security. Она охватывает различные меры, направленные на сохранение
конфиденциальности и сохранения информации, как в случае
непредвиденной поломки электронных носителей, так и при
целенаправленных атаках на базы данных со стороны злоумышленников, а
также предусматривает методы защиты от незаконного прослушивания
телефонных разговоров и многое другое. Некоторые эти методы знакомы
31
многим, например, пароли сети и учетные записи (это один из наиболее
уязвимых для взлома методов), аудит, шифрование, антивирусные
программы и другие.
Также весьма популярным и довольно надежным средством
предохранения от перехвата данных являются защищенные ключевые
носители, предназначение которых - хранение закрытой информации.
Чаще всего используется USB-токен (непростое электронное устройство,
внешнее похожее флэш-карту), который помогает осуществить не только
доступ сотрудника к компьютеру и Интернету, но обеспечить доступ в
помещение и даже проводить финансовые операции. USB-токены стоят
довольно дорого, но зато на сегодняшний день - это наиболее простой в
эксплуатации защищенный ключевой носитель. Альтернативой этому
устройству служат более дешевые и многофункциональные смарт-карты,
но пользоваться ими труднее (нужно устанавливать считыватель со
специальным ПО для ПК).
Требования к аутентификации и авторизации определяются в
частной политике информационной безопасности.
Частная политика информационной безопасности - Документация,
детализирующая положения политики ИБ применительно к одной или
нескольким областям ИБ, видам и технологиям деятельности организации
[2].
Частные политики безопасности детализируют некоторые
направления общей политики безопасности. Свод правил по управлению
защитой информации говорится о таких политиках, как политика обмена
информацией, политика управления доступом, политика по
использованию криптографических средств управления и других.
Частная политика управления доступом формулируется
специалистами компании в области информационной безопасности,
утверждается руководителем компании и является документом,