Разработка защищенной вычислительной сети

Процесс внедрения новых информационных технологий все больше затрагивает все сферы общества. Использование достижений техники позволяет идти в ногу со временем, получать больше информации и качественно ее обрабатывать. Таким образом, использование информационных технологий является в настоящее время стратегическим фактором выживания на рынке.

Цель данного курсового проектирования — построение защищенной информационной системы для учреждения. В работе рассматриваются вопросы реализации документооборота, создание локальной вычислительной сети, позволяющей пользователям получать доступ к сети передачи данных Интернет. Внедрение системы позволит сократить расходы на бумажный документооборот, ускорить процесс принятия решений и их доведения до исполнителей, сократить некоторые операции, увеличить производительность и качество труда. Кроме этого сотрудники получат возможность быстрого обмена документами и сообщениями и доступ к сети Интернет. Согласно заданию, при построении информационной системы рекомендуется использовать следующие технические средства: серверы, маршрутизаторы, межсетевые экраны, рабочие станции. На их основе требуется развернуть информационную сеть учреждения, которая будет отвечать требованиям защищенности и при этом позволит пользователям комфортно исполнять свои служебные обязанности.

1. Описание объекта

Структура исследуемого объекта изображена на рисунке 1.

Рисунок 1 — Организационная структура Центра службы занятости Рассмотрим потоки документов между частями организационной структуры. Очевидно, что от директора к начальникам отделов поступают его руководящие указания, содержащие планы, цели, задачи отделов, координирующие деятельность организации, оформлением которых занимается секретарь.

От начальников отделов к директору поступают отчеты о проделанной работе, предложения по улучшению условий для работы, так же обрабатываемые секретарем. На основе приказов директора начальники формируют распоряжения по своим отделам и секторам. Последние формируют отчеты о работе и передают их вверх по служебной лестнице — соответствующим начальникам отделов. Между равными по иерархии сотрудниками передается информация, необходимая им для работы. Скорость и надежность передачи рабочей информации значительно влияет на качество работы всего предприятия.

Также необходимо заметить, что выполнение служебных обязанностей работниками организации включает работы, связанные с персональными данными, что следует учитывать при построении информационной системы. Учреждение располагается в одноэтажном здании.

На момент проектирования информационной системы для автоматизации организационно — распорядительного документооборота на предприятии уже была реализована локальная вычислительная сеть, состоящая из элементов, указанных в таблице 1.

Таблица 1 — Элементы локальной сети

2. Технико-экономическое обоснование разработки защищенной вычислительной сети

Для совершенствования документооборота, повышения его защищенности, ускорения работы с документами, модернизации всей организации в целом было принято решение внедрить защищенную ЛВС.

Цели создания сети:

связь;

совместная обработка информации;

совместное использование файлов;

централизованное управление компьютерами;

контроль доступа к данным;

резервное копирование данных;

доступ в Интернет;

доступ к сетевым принтерам;

обмен документами;

обновление антивирусных баз.

Поэтому на любом предприятии, где ведется активная работа с различными документами, рано или поздно встает проблема систематизации, обработки и безопасного хранения значительных объемов информации. Другими словами, необходима автоматизация документооборота, или система автоматизации документооборота предприятия (система электронного документооборота), которая заключается в комплексной автоматизации разработки, согласования, распространения, поиска и архивного хранения документов организации. На каждой рабочей станции будут применены такие методы защиты, как: стойкие пароли, антивирусное ПО, контроль и разграничение доступа к сетевым ресурсам.

В результате внедрения системы электронного документооборота удается достичь:

повышения исполнительской дисциплины;

повышения продуктивности работы отдельных сотрудников и подразделений в целом;

сокращения времени исполнения поручений;

оптимизации маршрутов прохождения документов;

повышения оперативности получения необходимой информации;

качественного улучшения контроля различных направлений деятельности предприятия;

повышения оперативности и качества принятия управленческих решений за счет более адекватного отражения реальной ситуации в управленческой модели.

Для отечественных компаний внедрение подобных систем означает упорядочивание деятельности, приведение ее к четким процедурам и значительное повышение эффективности работы. По оценкам отечественных экспертов, внедрение электронного документооборота в государственных структурах способно на 15−20% сократить расходы на бюрократический аппарат и на 25−30% - непосредственно аппарат.

В настоящий момент на рынке представлено множество систем электронного документооборота. Наша задача выбрать одну из них, которая обладала бы минимальной стоимостью при наилучшей защищенности и при этом не требовала бы больших затрат на внедрение и поддержание.

3. Выбор конфигурации вычислительной сети

Все отделы данного предприятия расположены на одном этаже.

Рисунок 2 — Схема Центра службы занятости Исходя из организационной структуры учреждения наиболее оптимальной топологией будет сеть звезда. Сетевую архитектуру можно понимать как поддерживающую конструкцию или инфраструктуру, лежащую в основе функционирования сети. Данная инфраструктура состоит из нескольких главных составляющих, в частности компоновка или топология сети, кабельная проводка и соединительные устройства.

В курсовой работе конфигурация широко распространена при установке сетей, где количество пользователей не превышает 50 человек. Эта стандартная конфигурация подходит для большинства случаев проектирования сетей и проста в реализации. Ниже приведена ее характеристика:

Таблица 2 — Характеристика локальной вычислительной сети

Описание услуг и возможностей локальной вычислительной сети представлено в Таблице 3.

Таблица 3 — Услуги вычислительной сети

3.1 Выбор системы электронного документооборота

Так как одной из задач данного курсового проекта является внедрение информационно системы для организационно-распорядительного документооборота, то необходимо выбрать наиболее подходящую систему из нескольких, представленных на рынке программного обеспечения.

Основными критериями при оценке и сравнении систем будем использовать стоимость и безопасность, надежность. Выбор именно этих критериев обусловлен тем фактом, что ресурсы рассматриваемого учреждения носят ограниченный характер. При этом необходимо, чтобы внедряемая система обладала наилучшей системой безопасности и была достаточно надежной.

Отбор систем по критерию безопасности будем проводить по следующим характеристикам:

Авторизация пользователей с паролем;

Поддержка шифрования документов;

Резервное копирование;

Протоколирование.

Сегодня на любом современном предприятии основным способом представления информации является документ.

По данным характеристикам были выбраны для рассмотрения четыре системы ЭД:

ЕВФРАТ-Документооборот;

1С:Электронный документооборот;

Directum;

PayDox.

Все перечисленные программные комплексы полностью удовлетворяли требованиям безопасности. Однако не маловажен и такой фактор, как стоимость и легкая обучаемость работы с СЭД. По данному критерию система PayDox выходит на первое место среди рассматриваемых.

Система PayDox Электронный Документооборот не требует установки на компьютер пользователя вообще никакого нового программного обеспечения — это привычные для всех пользователей MS Internet Explorer, MS Word, MS Excel, MS Outlook Express. Обучение PayDox у пользователей происходит существенно быстрее, система выглядит гораздо проще в пользовательском интерфейсе. Пользователям обычно хватает часа, чтобы научиться работать с системой в рамках необходимой функциональности и, как правило, пользователям нравится работать с системой.

Система PayDox Электронный Документооборот устанавливается только на центральный сервер системы — установки и последующего обслуживания системы на компьютерах пользователей не требуется. Внесение изменений в настройки системы и установка новых версий системы делаются только на сервере, после чего эти изменения становятся доступны на всех компьютерах пользователей. Соответственно, затраты на обслуживание системы минимальны и почти не зависят от количества подключенных к системе компьютеров. Поэтому, с учетом относительно невысокой цены приобретения системы, ожидаемый возврат инвестиций в приобретение системы возможен максимально быстро.

Система PayDox Электронный Документооборот не только может обеспечить совместимость с уже имеющимися на предприятии системами и программами, но может использоваться как средство интеграции как уже существующих на предприятии систем и программ, так и приобретаемых или разрабатываемых в будущем. Такая интеграция может быть обеспечена как на уровне центральной SQL — совместимой базы данных, так и на уровне межпрограммного обмена в режиме реального времени либо файлового обмена. Открытая архитектура PayDox позволяет встраивать в систему любые дополнительные функции. Возможность выгружать и загружать описания документов и бизнес-процессов в XML-формате позволяет осуществлять обмен информацией как между несколькими инсталляциями PayDox, так и между PayDox и другими системами электронного документооборота и используемыми на предприятии приложениями.

Данные, содержащиеся в базах данных других корпоративных приложений, можно подключать к документам PayDox для безопасного санкционированного использования пользователями, которым разрешен к ним доступ[4].

Принцип проектирования системы «от данных», позволяющий гибко перенастраивать систему на выполнение большинства стандартных операций по вводу, поиску и редактированию данных, выполняемых сотрудниками организации. Система спроектирована как корпоративная БД с гибкой структурой, над которой сами пользователи или администраторы системы могут строить почти любые виды запросов (отчетов) и документов. Ядро системы готово к работе, дополнительная бизнес-логика может подключаться после запуска системы в эксплуатацию. А поскольку система написана на ASP, то ее адаптация и дальнейшая настройка возможна даже собственными силами программистов заказчика. Хранение информации в свою очередь возможно не только о происшедших, но и об ожидаемых событиях. Система позволяет делать отчеты, балансы и прогнозы (финансовые или материальные) на основе проектируемых (не вступивших в силу) документов, прогнозируя состояние предприятия в случае, если эти документы будут приняты или не приняты[3].

Система PayDox Электронный Документооборот изначально была спроектирована для решения важной задачи работы с удаленными офисами и предприятиями. Для организации единого информационного пространства предприятия с использованием PayDox можно использовать любые физические каналы связи — обычный телефон, выделенные линии связи, VPN, Интернет. Функциональность системы позволяет организовывать сбор периодической отчетности от удаленных подразделений — ежедневной, еженедельной, ежемесячной, ежеквартальной. Руководитель, уезжая в командировку, может быть в курсе всей текущей деятельности своего подразделения, подключаясь к системе с переносного компьютера.

В системе PayDox Электронный Документооборот имеется подсистема PayDox «Сообщения» для групповой работы сотрудников в режиме реального времени. Подсистема PayDox «Сообщения» позволяет в режиме реального времени наблюдать за всеми происходящими в системе электронного документооборота предприятия событиями — подготовкой документов, согласованием, утверждением документов, обсуждением хода работ и т. п. Любая новая информация по документу — факт визирования или утверждения документа, поступление платежа, замечание или вопрос по документу, загрузка новой версии документа и т. п. — сразу появляется на экранах пользователей, имеющих право просмотра данного документа. С помощью подсистемы PayDox «Сообщения» можно организовывать дискуссионные группы между различными группами пользователей, в режиме реального времени обсуждать ход проектов или бизнес-процессов, и эти обсуждения будут сохранены вместе с карточкой документа и доступны только пользователям, имеющих право просмотра данного документа. Состав дискуссионной группы по документу или проекту формируется автоматически только из пользователей, которым разрешен доступ к данному документу.

В PayDox имеется возможность хранить историю документов в популярном формате блогов (веблогов). В карточке каждого документа можно создавать комментарии в виде блог-комментария, позволяющего представить всю историю создания, согласования, изменения и исполнения документа, весь жизненный цикл документа в системе электронного документооборота предприятия в виде хронологической последовательности наглядных записей. Для каждого такого блог-комментария к документу можно создавать ответные комментарии, что позволяет сохранить в истории документа всю переписку и дискуссии пользователей по данному документу. Доступ к записям истории документа получают только пользователи, авторизованные для данного документа в системе электронного документооборота предприятия. Записи блогов различных документов доступны также в on-line мониторе PayDox Monitor, который позволяет в режиме реального времени наблюдать за всеми событиями в системе электронного документооборота предприятия — подготовкой документов, согласованием, утверждением документов, обсуждением хода работ и т. п. — любой блог-комментарий сразу появляется на экранах пользователей, имеющих право просмотра данного документа. Удобный формат представления текстовой информации, ссылок, переписки сотрудников, информации о контактах в виде блога помогает в простой и наглядной форме фиксировать всю историю документа в системе электронного документооборота.

Система PayDox Электронный Документооборот позволяет осуществлять подготовку и контроль исполнения платежных документов, вести платежный статус документов как для исходящих, так и для входящих платежей.

Исполнители, ответственные за подготовку и исполнение платежных документов, получают автоматические уведомления по e-mail об изменении состояния платежного статуса документов.

Для хранения документов в PayDox используется центральная база данных, что предотвращает распространение документов по компьютерам пользователей. Документы в PayDox не перемещаются между компьютерами пользователей, а лежат в центральной базе данных системы, а пользователи получают e-mail уведомления со ссылками на необходимые документы. Документы внутреннего управленческого документооборота доступны только авторизованным пользователям, имеющим на это право. Вся работа пользователей с документами протоколируется в системном журнале. Доступ пользователей к документам полностью регламентируется.

Поэтому систему PayDox Электронный Документооборот можно использовать как через закрытую от доступа извне локальную сеть компании, так и через Интернет для организации единой корпоративной системы электронного документооборота между территориально удаленными подразделениями компании.

Архитектура системы PayDox Электронный Документооборот изначально спроектирована так, что система является масштабируемой. Стандартная инсталляция системы на одном недорогом сервере способна обслуживать от единиц до сотен пользователей. При возникновении необходимости повысить мощность и быстродействие системы нужно просто установить более мощный сервер (опять же вполне в рамках разумного), либо установить сервер приложений и сервер базы данных системы электронного документооборота на два отдельных сервера. Что отображено в структуре проектируемой сети.

4. Проектирование структурной схемы вычислительной сети

На данном этапе необходимо учесть все предыдущие этапы работы и критерии, которые были предъявлены и озвучены в них. Так, структура сети должна быть взаимосвязана со структурой организации в целом и планировкой помещений учреждения.

Физическое соединение элементов сети должно отвечать требованиям функционирования аппаратуры, а прокладка кабелей, размещение рабочих станций, серверов — требованиям пожарной безопасности и удобства.

Серверное оборудование расположим в отдельном помещении, находящемся. При этом серверное помещения должно обладать достаточно мощной системой охлаждения и вентилирования, чтобы обеспечить нормальное функционирование аппаратуры. Центральный свич будет находится в серверной.

План размещения сетевых устройств, прокладки кабелей, размещения серверов и рабочих станций в учреждении представлен на рисунке 3.

вычислительный сеть документооборот инфраструктура Рисунок 3 — Схема размещения сетевой инфраструктуры Перейдем теперь к структуре сети. Рассматриваемая сеть содержит множество различных устройств. Для предоставления доступа пользователей ЛВС к сети Интернет в ней используется маршрутизатор D-Link DSL-584T. Эта модель была выбрана из-за своей дешевизны и достаточной функциональности для рассматриваемого небольшого учреждения. D-Link DSL-584T оснащен встроенным ADSL модемом, что позволит нам организовать широкополосный доступ к сети Интернет без применения специального оборудования. Кроме этого, данная модель легко настраивается через WEB-интерфейс, что позволит быстро интегрировать ее в сетевую инфраструктуру.

Центральное место в структуре создаваемой сети занимает коммутатор D-Link DGS-1224T/GE с 22 портами 10/100/1000Base-T. В рассматриваемой сети всего 15 рабочих станций, три сервера и один маршрутизатор, поэтому построить сеть возможно на основе только одного коммутатора. Это позволит избежать применения дополнительных малопортовых коммутаторов, размещаемых обычно в отделах. Рассматриваемая модель идеально подходит нам и для того, чтобы разделить сети на три виртуальных сети: для бухгалтерии и отдела кадров и исследований, руководства и остальных. Разделение на виртуальные сети осуществим по технологии VLAN. Используемый нами коммутатор поддерживает эту технологию.

Для того чтобы обеспечить безопасность серверов в разрабатываемой сети применим имеющиеся в наличии аппаратные межсетевые экраны D-Link DFL-200 по одному на каждый сервер. Данные межсетевые экраны предназначены для небольших организаций и потому сравнительно недороги, просты в настройке (Web-интерфейс), обладают достаточным набором функций. В нашей сети межсетевые экраны будут использоваться с включенными функциями фильтрации пакетов, фильтрации содержимого, фильтрами по протоколам, запрещающими все, кроме необходимых для работы серверов и предоставления доступа к сети Интернет.

Кроме того, данные межсетевые экраны обладают встроенной системой IDS с возможностью регистрации событий и отправки сообщений на электронную почту администратора, а также возможностью обнаружения атак DDoS и возможностью обновления модели обнаружения атак через сеть Интернет.

Также в целях улучшения защиты сети нужно использовать антивирусное программное обеспечение. В нашем случае лучше будет, если оно будет относиться к корпоративным. Я остановила свой выбор на антивирусном программном обеспечении от Kaspersky Lab. По отчетам независимых тестирований оно лучше защищает от вредоносного программного обеспечения, а также обнаруживает его.

В рассматриваемой ЛВС присутствуют три сервера: файловый сервер, сервер PayDox и Интернет-сервер, на базе которого реализован кэширующий прокси-сервер, служба dns, сервер обновлений и централизованного администрирования антивирусного ПО от Kaspersky Lab. На все трех серверах установлена операционная система Windows Server 2003. Кэширующий Прокси-Сервер представляет собой программный продукт UserGate. Таким образом, структура сети имеет вид, представленный на рисунке 4.

Рисунок 4 — Структурная схема сети

5. Безопасность локальной вычислительной сети

Поскольку в сети будет обрабатываться информация не только общего, но и ограниченного доступа, как например персональные данные (отдел кадров), информация о текущих исследованиях (исследовательский отдел), вопросы защиты информации являются наиболее важными при построении ЛВС.

К основным угрозам можно отнести:

Неумышленные действия пользователей сети;

Неполадки и сбои;

Стихийные бедствия;

Сетевые атаки злоумышленников.

К основным задачам системы безопасности данной сети можно отнести:

обеспечение целостности обрабатываемых данных;

исключение несанкционированного доступа к ресурсам злоумышленниками и теми пользователями, которые не имеют права доступа к ним.

Для обеспечения этих задач применим в разрабатываемой сети следующие меры безопасности.

Для обеспечения целостности данных в случае неполадок, сбоев, стихийных бедствий, перебоев в электропитании, атак разрушающего действия, применим такие средства, как источники бесперебойного питания и резервное копирование данных.

Все сервера и рабочие станции подключены к сети не напрямую, а через источники бесперебойного питания. Это позволяет сглаживать скачки в сети, а в случае пропадания напряжения питания — корректно завершить работу серверов и избежать потери данных и повреждения файловых систем.

Так как работа системы PayDox связана с базами данных, то необходимо предусмотреть их резервное копирование.

Его должен проводить системный администратор через определенные директором промежутки времени. Носители, на которых содержатся резервные копии, должны храниться в специальных сейфах. Кроме этого, для дополнительной защиты от утери данных, жесткие диски серверов включены в raid массив в режиме зеркалирования, что позволит восстановить данные, даже если из строя полностью выйдет один из жестких дисков.

Каждая учетная запись должна быть защищена паролем. При выборе пароля следует руководствоваться тем фактом, что он не должен быть словарным словом и иметь длину минимум шесть символов. При этом пароль желательно менять всем пользователям через заданные руководством промежутки времени.

Для надежной защиты от вирусов в рассматриваемой сети внедрена система централизованного администрирования антивирусных пакетов Касперский Administration Kit. Антивирусные средства установлены на каждую рабочую станцию в сети и на каждый сервер. При этом управление и обновление осуществляется через единую консоль администрирования, серверная часть которой установлена на том же компьютере, что и Прокси-Сервер.

Для того чтобы обеспечить защиту от сетевых атак, в разрабатываемой сети применено деление сети на три виртуальных сети по технологии vlan. Это реализовано на базе коммутатора d-link[5]. Такой подход позволит полностью исключить утечку данных из одной части сети в другую, поскольку пакеты из одной виртуальной сети не будут попадать в другую. Также это поможет избежать проблем с широковещательными штормами и атаками типа DdoS, поскольку в случае атаки будет поражена только часть сети. Вместе с тем, в нашей сети для более надежной защиты серверов применяются аппаратные межсетевые экраны D-Link[5]. По-умолчанию реализована конфигурация запрещено все, что явно не разрешено, поэтому необходимо разрешить те соединения, которые необходимы для обеспечения функционирования. Это позволит еще более надежно защитить серверное оборудование, заблокировав посторонний трафик.

Важным фактором обеспечение сетевой безопасности является и регулярный анализ системных журналов и журналов сетевых атак встроенных IDS межсетевых экранов. Это позволит оценить возможные недостатки в работе системы защиты, заблаговременно внести коррективы в ее работу.

Применение все описанных способов поможет сделать ЛВС более безопасной и устойчивой к отказам и атакам.

6. Теоретико-расчетная часть

На момент проектирования сама локальная сеть была уже развернута. Так что затраты предприятия составляют небольшая модернизация ЛВС и добавление компонентов для работы системы электронного документооборота.

Нам необходимо было поменять сетевое оборудование (коммутаторы), добавить два сервера для базы данных и Web-интерфейса и непосредственно покупка самих лицензий СЭД.

Таблица 4 — Подсчет затрат на оборудование и программное обеспечение

Итак, затраты на внедрение составят порядка 221 тыс. руб. Из предыдущих разделов мы знаем, что выгода от использование СЭД составляет около 749 750 тыс. руб.

Подсчитаем теперь срок окупаемости внедрения ЛВС и системы документооборота. Для этого разделим затраты на прибыль:

221 000/749 750? 0,3

Время окупаемости приблизительно равняется 3 месяцем. Это хороший показатель и еще один аргумент в пользу электронного документооборота.

Заключение

Подводя итоги, хотелось бы отметить, что все поставленные в курсовой работе цели были достигнуты. Локальная сеть хорошо структурирована и поддерживает возможность легкого расширения. Срок окупаемости достаточно мал, что говорит о ее корректности. Большое внимание при построении сети было уделено ее безопасности. Пропускная способность сети составляет 100 Мегабит в секунду, что достаточно для выполнения текущих задач.

Теоретический срок окупаемости сети составляет порядком 3 месяцев, однако в реальности эта цифра будет больше за счет непредвиденных издержек и человеческого фактора.

1. Методические указания к курсовому проекту по дисциплине «Безопасность вычислительных сетей» «Защищенная информационно — вычислительная сеть организации (учреждения, предприятия)» .

2. В. Г Олифер, Н. А. Олифер. Компьютерные сети. Принципы, технологии, протоколы. — СПб.: Издательство «Питер», 2006.

3. Материалы сайта http://www.interface.ru/paydox/home.htm .

4. Материалы сайта http://www.paydox.ru/ .

5. Материалы сайта http://www.dlink.ru/ .

6. Курс лекций по безопасности вычислительных сетей.