1 2
Содержание
Введение
1. ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ПРОЕКТИРОВАНИЯ ЛОКАЛЬНЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ
1.1. Понятие локальной компьютерной сети
1.2. Экономическая сущность задачи
1.4. Технологии организации безопасного обмена данными локальной сети и удаленных рабочих мест
1.5. Анализ существующих разработок и обоснование выбора технологии проектирования
1.6. Обоснование проектных решений по видам обеспечения:
1.6.1. по техническому обеспечению
1.6.2. по информационному обеспечению
1.6.3. по программному обеспечению
1.6.4. по технологическому обеспечению
Выводы по первой главе
2. ПРОЕКТИРОВАНИЕ СЕТИ ПЕРЕДАЧИ ДАННЫХ
2.1. Схема планируемой СПД
2.3. Пассивное оборудование сети
2.4. Активное оборудование сети
2.5. Серверное оборудование
2.6. Обеспечение безопасного обмена информацией между удаленными АРМ и центральным офисом
2.7. Реализация подключения к сети Интернет
2.8. Средства улучшения качества электропитания
2.9. Документирование и администрирование СКС
Выводы по второй главе
Заключение
Список использованных источников
Введение
Назначение локальной сети заключается в объединение разрозненных рабочих станций пользователей и администраторов, осуществляющих информационный обмен по каналам связи с использованием телекоммуникационного оборудования. При этом линии связи определяются совокупностью технических средств и физической среды, обеспечивая передача информации как между рабочими станциями, так и серверным оборудованием.
Ключевой задачей объединения рабочих станций в единую телекоммуникационную систему является предоставление возможности совместного доступа к информационным ресурсам на основе критериев доступа к ним.
Существенной характеристикой любой локальной сети является ее территориально–распределенная структура.
Основная задача объединения удаленных офисов (локальных сетей) в единую коммуникативную систему – это предоставление всех имеющихся сервисов всем сотрудникам компании с быстрым, простым, надежным доступом к ним без необходимости создания отдельной инфраструктуры на каждой из территориально удаленных площадок.
Методологической основой исследования являются анализ нормативно–правовых стандартов обеспечения качества обслуживания, в частности анализ требований стандарта, научные труды отечественных и зарубежных ученых в области организации локально–вычислительных сетей и мероприятий по обеспечению их защищенности.
Актуальность темы исследования определяется комплексом системных мероприятий по обеспечению режима информационной безопасности при организации безопасного обмена данными центрального офиса с сотрудниками, работающими удаленно. Информационная безопасность обладает разнообразными аспектами, среди которых значение имеют все аспекты. Невозможно отказаться от определенных мероприятий, поскольку разработанная система обеспечения режима информационной безопасности не будет достаточна эффективна.
Новизна темы обуславливается комплексным подходом к разработке системы обеспечения режима информационной безопасности при удаленном доступе сотрудников к ресурсам локальной сети.
Теоретическая значимость темы исследования направлена на минимизацию угроз системе защиты информации, позволяющую если полностью не исключить, то свести к минимуму последствия дестабилизирующих факторов.
Практическая значимость темы исследования заключается в оптимизации выбора аппаратно–технических мер защиты.
Целью выпускной квалификационной работы является организация безопасного обмена данными центрального офиса с сотрудниками, работающими удаленно в компании.
Для достижения поставленной цели необходимо первоначально решить следующие задачи:
- провести анализ литературы по теме исследования;
- проанализировать необходимость защиты информации при удаленном доступе к локальным ресурсам;
- оценить перспективные решения в сфере информационной безопасности;
- разработать рекомендации и предложения по проектированию системы удаленного доступа.
Объектом исследования является исследование методов и средств обеспечения информационной безопасности при удаленном доступе сотрудников.
Предметом исследования является проект системы систему удаленного доступа к ресурсам локальной сети компании.
Для защиты информации существуют программные и технические средства. Программные средства – это программы, установленные на серверной части предприятия и каждом компьютере в частности, обеспечивающие защиту информации, её безопасную передачу и хранение. Технические средства – это инженерно–технические устройства и приспособления, применяемые для фильтрации входящего и исходящего потока информации.
Несмотря на совершенность существующих систем безопасности невозможно достичь сто процентной защиты. Самой уязвимой частью системы защиты являются сотрудники, работающие в компании удаленно. Именно на них приходится восемьдесят процентов всех атак повлекших хищение данных, и лишь двадцать процентов на технические или программные уязвимости.
Данная выпускная квалификационная работа состоит из двух разделов. Первый раздел теоретический, где представлены: анализ предметной области локальных сетей и средств удаленного доступа к ним, программная и техническая архитектура локально–вычислительной сети компании, выявление проблем, сравнение существующих на рынке решений по выбранным функциональным возможностям.
Второй раздел проектный, где рассматривается: схема проектируемой сети безопасного обмена данными центрального офиса с сотрудниками, работающими удаленно в компании, выбор и настройка пассивного и активного оборудования, разработка проекта модернизации технических и программных средств.
1. ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ПРОЕКТИРОВАНИЯ ЛОКАЛЬНЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ
1.1. Понятие локальной компьютерной сети
Локальная компьютерная сеть представляет собой коммуникационную сеть особого рода, в которой информация является продуктом генерирования, переработки, хранения и использования, а узлами сети — вычислительное оборудование. Основным критерием, отличающим компьютерные сети от автономных рабочих станций, является наличие обмена информацией между сетевыми узлами, связанными линиями передачи данных [1, стр. 28].
Локальная компьютерная сеть представляет собой сложный комплекс взаимосвязанных и согласованно функционирующих программных и аппаратных компонентов, основными элементами которого являются [11, стр. 56]:
– рабочие станции и серверное оборудование;
– коммуникационное оборудование;
– системное и прикладное программное обеспечение.
Несмотря на то, что компьютеры занимают центральное место в построении компьютерных сетей, коммуникационные устройства в последнее время играют далеко не последнюю роль. Как по влиянию на характеристики сети, так и по стоимости маршрутизаторы, модульные концентраторы, мосты, коммутаторы, кабельные системы и повторители из вспомогательных компонентов превратились наряду с системным программным обеспечением и компьютерами в базовый элемент создаваемой сети.
Последней составляющей, обеспечивающей информационной составляющую локальной компьютерной сети, является программное обеспечение. Все используемое в сети программное обеспечение можно разделить на системное и прикладное [13, стр. 136].
В общей виде общую структуру локальной компьютерной сети можно представить в виде единой структурированной инфраструктуры, изображенной на рисунке 1.1.
Рисунок 1.1 – Общая структура локальной компьютерной сети
Компьютерная сеть организации не должна представлять собой просто «набор» соединенных воедино рабочих станций, серверов, принтеров и сетевого оборудования.
1.2. Экономическая сущность задачи
Рассмотрим основные причины объединения отдельных рабочих станций в локальную компьютерную сеть [18, стр. 41]:
– организация общего доступа к сетевым ресурсам, расположенным на серверах;
– снижение затрат на программное обеспечение в расчете на одного пользователя.
К локальной сети организации предъявляются требования:
– надежности и отказоустойчивости;
– производительности;
– масштабируемости;
– обеспечения информационной безопасности;
– экономической эффективности.
При проектировании структуры локальной компьютерной сети организации должны быть учтены множество разнообразных аспектов таких как [6, стр. 89]:
– проектирование транспортной подсистемы;
– разработка структуры взаимодействия рабочих станций и серверов;
– обоснование выбора операционной системы рабочих станций и серверов;
– разработка структурированной кабельной системы;
– разработка структуры телефонной сети и необходимость ее интеграции с кабельной системой;
В зависимости от того, какие цели и задачи ставятся при объединении удаленных офисов, зависит и то, какая технологическая платформа будет использована, и, соответственно, какова будет общая стоимость проекта [14, стр. 92].
Если все ресурсы, необходимые удаленным пользователям, находятся в центральном офисе, а удаленные площадки являются лишь потребителями этих ресурсов, заказчику будет достаточно установить у себя в головном офисе терминальный сервер, на котором одновременно будут работать все удаленно подключаемые сотрудники каждый в своем сеансе. При этом не обязательно организовывать постоянно действующий канал VPN. Можно обойтись установлением сеансовых VPN по необходимости, что удешевляет проект.
Если все ресурсы находятся в центральном офисе, а на удаленных площадках достаточно серьезная инфраструктура (свой сервер), то в этом случае необходимо организовывать постоянно действующий канал VPN между площадками, как бы виртуально объединив площадки в общую локальную сеть.
Если все ресурсы находятся в центральном офисе, и ряд сотрудников, работающих удаленно, должны из совершенно произвольных мест регулярно подключаться к офису для обмена информацией с корпоративных ноутбуков или планшетов, также можно организовать индивидуальные аппаратные или программные VPN каналы к центральному офису.
Выбор конкретного решения, конкретного перечня необходимого оборудования, программного обеспечения, формирование конкретного проекта зависит от ситуации заказчика, где в некоторых случаях VPN канал является необходимой частью инфраструктуры, а в некоторых – дополнительным технологическим элементом, обеспечивающим более высокий уровень защищенности подключения.
1.3. Технические и программные средства организации сети
Оборудование компьютерных сетей классифицируется по исполняемым функциям [5, стр. 82]:
– активное, включает сетевых карты рабочих станций и серверов, маршрутизаторы, концентраторы и т.п.;
– пассивное – кабели, соединительные разъемы, коммутационные панели и т. п.
С физической точки зрения, активное оборудование представляется устройствами, которым для функционирования необходима подача энергии, в то время как пассивному оборудованию подачи энергии не требует.
Также оборудование компьютерных сетей классифицируется на конечные системы или устройства, являющиеся источниками и/или потребителями информации, и промежуточные системы, обеспечивающие прохождение информации по сети.
1.4. Технологии организации безопасного обмена данными локальной сети и удаленных рабочих мест
Объединение удаленных офисов в единое информационное пространство посредством защищенной корпоративной сети передачи данных – один из важнейших инструментов развития организации, предназначенный для обеспечения эффективного функционирования информационной инфраструктуры предприятия и решения следующих задач [10, стр. 82]:
– доступ к ресурсам через авторизацию (веб–сайт, единые файлы, электронная почта) вне зависимости от места положения пользователей;
– обеспечение обмена заданной информацией с необходимыми скоростями между всеми элементами сети;
– обеспечение обмена заданной информацией с необходимыми внешними сетями;
– безопасное, обеспеченное надежной защитой взаимодействие сотрудников с ресурсами, находящимися в разных офисах;
– оптимизация управления информационными ресурсами;
– практика единых телефонных номеров локальной офисной АТС;
– поддержка работы всех информационно–аналитических процессов предприятия, управление хранением, копированием и восстановлением его информационных активов;
– поддержка соответствующих прав доступа абонентов сети к ее информационным ресурсам, аутентификация пользователей сети и ее элементов;
– оперативность технической поддержки, благодаря наличию удаленного управления серверами, ПК и прочим оборудованием.
Схемы удаленного взаимодействия центрального филиала и территориально–распределенных АРМ приведена на рисунке 1.2.
Рисунок 1.2 – Общая схема удаленного доступа
Таким образом, виртуальная частная сеть является некоторой имитацией сети, спроектированной на выделенных каналах. Если публичной сетью предоставляется данный вид сервиса, то в ней одновременно может быть создано несколько виртуальных корпоративных сетей, разделенных общими коммутаторами и физическими каналами связи.
Потоки данных отдельного предприятия образуют виртуальные каналы частной сети.
А вот защищенность от потоков данных других организаций может пониматься по–разному.
Согласно общепринятой терминологии защищенность может пониматься в следующих отношениях [8, стр. 126]:
–параметров пропускной способности сети;
– конфиденциальности обработки данных.
Естественно, каждая организация хотела бы, чтобы виртуальные сети были максимально схожи с внутренними локальными сетями, пропускная способность которых определяется пожеланиями руководства организации. Откуда следуют следующие требования к частной сети:
– пользователям VPN должны быть предоставлены определенные гарантии качества обслуживания виртуальной частной сетью, такие как, уровни задержек кадров и средняя пропускная способность;
– пользователям VPN должны быть доступны инструменты, предназначенные для контроля действительных параметров пропускной способности каналов связи.
1.5. Анализ существующих разработок и обоснование выбора технологии проектирования
Информационная безопасность обеспечивается использованием технических средств [22, стр. 71]:
- построения модели защищенной системы;
- управления доступом к ресурсам системы;
- обеспечения целостности и конфиденциальности;
- обеспечения наблюдаемости;
- защиты от воздействий вирусов и иных воздействий, вызывающих любую несанкционированную модификацию информации;
- защиты информации при передаче информации.
Перечень необходимых мер обеспечения информационной безопасности устанавливается в результате обследования информационной системы, учитывая соотношения затрат на защиту информации к возможному ущербу:
- ответственность сотрудников предприятия за принятие решений, связанных с ее информационными активами, должна быть персонифицирована;
- адекватность ролей сотрудников выполняемым функциям в соответствии с критериями и системой оценки;
- доступность предоставляемых услуг. На предприятии должна обеспечиться доступность предоставляемых клиентам услуг в установленные для этого сроки, установленные соответствующими договорами;
- наблюдаемость и оцениваемость системы обеспечения информационной безопасности. Результат применения должен быть наблюдаем и оценен сотрудниками, обеспечивающими соблюдение режима информационной безопасности.
1.6. Обоснование проектных решений по видам обеспечения:
1.6.1. по техническому обеспечению
Взаимодействие центрального офиса с сотрудниками, работающими удаленно, должно осуществятся через криптомаршрутизатор.
Маршрутизатор должен быть укомплектован интегрированными средствами аппаратного ускорения шифрования, обеспечивающими функционал систем обнаружения вторжений и межсетевого экранирования [2, стр. 155].
В РД под межсетевым экраном (МЭ) понимается локальное (однокомпонентное) или функционально–распределенное программное (программно–аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в автоматизированную систему (АС) и/или выходящей из АС.
Указанным документом определены 12 показателей защищенности МЭ, требования к реализации которых задают класс защищенности МЭ.
К каждому классу защищенности МЭ сопоставлено в соответствие требование по защите категории информации ограниченного доступа. Иначе говоря, для того, чтобы АС возможно было аттестовать, объект информатизации должен быть защищен от внешней среды межсетевым экраном не ниже следующего класса:
– 5 класс для АС «1Д», «2Б», «ЗБ»;
– 4 класс для АС «1Г»;
– 3 класс для АС «1В», а также «2А», «ЗА» в случае обрабатываемой информации с грифом «секретно»;
– 2 класс для АС «1Б», а также «2А», «ЗА» в случае обрабатываемой информации с грифом «сов.секретно»;
– 1 класс для АС «1А», а также «2А», «ЗА» в случае обрабатываемой информации с грифом «особой важности».
Средства анализа защищенности должны обеспечивать возможность выявления уязвимостей, связанных с ошибками в конфигурации программного обеспечения информационной системы, которые могут быть использованы нарушителем для реализации атаки на систему.
1.6.2. по информационному обеспечению
Информационное обеспечение представляет совокупность единой системы классификации и кодирования информации, унифицированных систем документации, схем информационных потоков данных, циркулирующих в организации, а также методологии построения базы данных.
Комплекс технологической документации по организации безопасного обмена данными центрального офиса с сотрудниками, работающими удаленно в компании, включает [19, стр. 34]:
– инструкцию по порядку организации удаленного доступа пользователей в компьютерную сеть;
– инструкцию о порядке действий в нештатных ситуациях;
– инструкцию по порядку резервного копирования и архивирования информации;
– инструкцию по обеспечению работоспособности автоматизированных рабочих мест и серверного оборудования;
– инструкцию по организации антивирусной защиты;
– инструкцию по организации парольной защиты;
– инструкцию по регламентации работы администратора информационной безопасности.
Выполнение работниками организации требований данных инструкций позволяет избежать сбоев в организации безопасного информационного обмена средствами вычислительной техники.
1.6.3. по программному обеспечению
На рабочих станциях удаленных сотрудников должна быть установлена современная операционная система.
Операционная система Windows 10 характеризуется надежностью функционирования и защищенностью от несанкционированного воздействия. Ее проектирование осуществлялось с учетом требований обеспечения информационной безопасности, поэтому она обладает рядом преимуществ по основным ключевым направлениям:
– доверенная загрузка;
– улучшенный процесс идентификации;
– защита пользовательских данных;
– защита от внешних угроз безопасности.
Наибольшую опасность и сложность выявления представляют руткиты и буткиты, стартующие до загрузки операционной системы и работающие в привилегированном режиме, что позволят им получить практически неограниченный доступ к рабочей станции.
Технологии Secure Boot и Trusted Boot, встроенные в Windows 10, контролируют процесс загрузки и разрешают запуск только доверенным приложениям. Дополнительную защиту обеспечивает технология Early Launch Anti–Malware, выполняющая раннюю загрузку антивирусных средств.
Наиболее распространенный способ идентификации, включающий пару «логин–пароль», не обеспечивает требуемый уровень обеспечения информационной безопасности. При этом хакерами были неоднократно успешно реализованы атаки, направленные на взлом или подбор данных сведений. Поэтому в Windows 10 реализован новый метод авторизации, позволяющий использовать более безопасную альтернативу, сформированную на двухфакторной аутентификации.
Применяя технологию Windows Hello, в качестве дополнительной защиты можно использовать PIN–код или биометрические данные пользователя.
На рабочих станциях, оснащенных специальными камерами или сканером отпечатков, можно авторизоваться в системе с помощью отпечатков пальцев или лица.
Одной из наиболее актуальных проблем информационной безопасности является риск утечки конфиденциальной информации вследствие действий внутреннего нарушителя.
Предлагаемые сторонними разработчиками DLP–решения для защиты от данного риск характеризуются сложностью внедрения и сопровождения, а также стоимость лицензирования.
На рабочих станциях под управлением операционной системы Windows 10 Pro стала доступна технология защиты Windows Information Protection. Данное решение для предотвращения утечек информации по инсайдерским каналам позволяет:
– провести разграничение доступа личных и рабочих данных;
– зашифровать рабочие данные;
– надежно контролировать и предотвращать попытки несанкционированной передачи информации в ненадежные источники;
– в случае необходимости централизованно удалять информацию ограниченного распространения.
Также доступны следующие защитные механизмы:
– расширенные функциональные возможности защитника Windows;
– встроенную интеграцию с Windows Defender Advanced Threat Protection – интеллектуальную облачную службу, анализирующую угрозы на основе поведенческого анализа;
– система безопасности Credential Guard на основе виртуализации для защиты систем проверки подлинности;
–набор компонентов Microsoft Device Guard, обеспечивающих контроль целостности аппаратного и программного обеспечения.
Операционная система Windows 10 находится в процессе постоянного и непрерывного развития, предоставляя пользователям наиболее актуальную версию без дополнительной платы.
Поэтому кроме периодических обновлений, повышающих надежность функционирования, добавляются функциональные обновления, улучшающие качество функционирования без дополнительных затрат.
В Windows 10 встроен браузер Microsoft Edge, построенный на качественно ином уровне с поддержкой расширений и высокой скоростью работы.
1.6.4. по технологическому обеспечению
Администрирование является неотъемлемой составной частью ЛВС.
Администрирование включает в себя создание точной системы идентификации и хранения записей всех компонентов, входящих в состав ЛВС, включая трассы, элементы системы заземления и уравнивания потенциалов, кроссы и другие пространства, в которых она была установлена.
Все изменения, вносимые в кабельную систему, должны быть документированы непосредственно после их выполнения.
К функциональным элементам ЛВС, подлежащим администрированию, относятся [20, стр. 81]:
– горизонтальная кабельная подсистема;
– магистральная кабельная подсистема;
– трассы и пространства (помещения).
Администрирование телекоммуникационной инфраструктуры конечного пользователя выполняется с помощью следующих процедур [16, стр. 69]:
– присваивания уникальных идентификаторов компонентам инфраструктуры;
– оформления записей (паспортов) для всех присвоенных идентификаторов;
– определения взаимных ссылок записей с целью получения содержащейся в них информации.
Выводы по первой главе
Главная выгода от использования VPN для центрального офиса с сотрудниками, работающими удаленно – совокупность стоимостной эффективности возможного использования общедоступной сетевой среды для транспортирования частной информации и высокого уровня безопасности. Защищенная виртуальная сеть может предоставить множество уровней безопасности, включая усовершенствование конфиденциальности, целостности и аутентификации. Поскольку VPN использует существующую сетевую инфраструктуру, ее можно реализовать достаточно быстро, так как нет необходимости прокладывать новые (выделенные) линии связи.
Комбинация безопасности, быстрой установки и рентабельности с точки зрения стоимости может сделать VPN превосходным коммерческим коммуникационным решением.
1 2