Биячуев Т.А. Безопасность корпоративных сетей
Подождите немного. Документ загружается.
51
Рисунок 12. Элементы функциональной подсистемы
Обобщенная структура корпоративной сети, общие
требования к администрированию сети
С учетом введенных классификационных признаков можно
получить некоторую обобщенную структуру корпоративной сети,
которая приведена на рис.13. Практически любая корпоративная сеть
будет содержать фрагменты приведенной обобщенной структуры.
В рамках данной сети должна быть реализована вторичная сеть
связи - система управления, представленная на рис.14.
Здесь также могут использоваться выделенные каналы (пунктир на
рис.14 обозначает
функциональную связь – физический канал проходит
через средства маршрутизации, защиты и т.д., на рис.13).
В основе системы управления корпоративной сети должны лежать
следующие принципы:
• совмещение администрирования отдельных функциональных
подсистем (вопрос эффективности не может решаться вне
рассмотрения вопроса живучести сети, а вопрос безопасности без
учета эффективности и живучести (другими словами,
при
изменении уровня безопасности, например, изменяется и
эффективность, что должно быть учтено);
• централизованное/распределенное администрирование,
предполагающее, что основные задачи администрирования
должны решаться из центра (основной фрагмент сети); вторичные
52
задачи (например, в рамках удаленных фрагментов) средствами
управления отдельных подсистем;
• в рамках управляющей системы должны быть реализованы
функции системы автоматического управления. С целью
повышения оперативности реакции системы управления на особо
важные события, в системе должна реализоваться автоматическая
обработка особо важных воздействий;
• в рамках системы безопасности должен быть реализован
адаптивного управления безопасностью адекватно изменению
соответствующих событий (например, система обнаружения атак
может блокировать локальный порт в случае атаки типа «отказ в
обслуживании»).
53
Рисунок 13. Обобщенная структура корпоративной сети
54
Рисунок 14. Система управления корпоративной сетью
• Для повышения эффективности и надежности системы управления
необходимо предусмотреть экспертную систему – систему
«подсказок» для выработки управляющих воздействий на
различные события.
На рис.13 проиллюстрирован общий случай, отличающийся тем,
что структуры основного и удаленного фрагментов совпадают (по
функциям они различны - в основном фрагменте реализуется
централизованное управление сетью связи). Как правило, данные
фрагменты имеют различную сложность. При этом следует отметить,
что упрощение структуры сети состоит в части уменьшения сложности
удаленных фрагментов, с переносом соответствующих функций на
элементы основного фрагмента, (соответственно с его усложнением),
что, прежде всего, имеет место для следующих элементов:
• информационные серверы (с точки зрения обеспечения
безопасности сети имеет смысл сконцентрировать все
информационные серверы, обеспечивая для них необходимую
защиту организационными и техническими мероприятиями);
55
• администрирование всеми функциональными подсистемами для
корпоративных сетей, использующих ограниченное число
дополнительных средств реализации функциональных подсистем
(например, маршрутизаторов) может быть сконцентрировано в
основном фрагменте;
• подключение к общедоступным сервисам (сеть Интернет)
осуществляется с выделенных рабочих мест основного фрагмента
(здесь используются соответствующие средства защиты,
подключения к глобальным сетям в общем случае
отличные от
остальных).
С учетом сказанного, из рис.13. имеем упрощенную структуру
корпоративной сети, структура которой приведена на рис.15.
Замечание. Именно структура корпоративной сети, приведенная на
рис.15, может быть рекомендована как типовая для большинства мелких
и средних корпораций (структура сети, приведенная на рис.13
предполагает реализацию сети для очень разветвленной
инфраструктуры корпорации).
Итак, в данном разделе приведены два граничных варианта
структур корпоративной сети, граничных в том смысле, что отличаются
максимальной и минимальной сложностью структуры.
На практике большинство корпоративных сетей по сложности
организации занимают некоторое промежуточное положение,
соответственно в большей мере тяготея к одному из рассмотренных
вариантов.
56
Рисунок 15. упрощенная структура корпоративной сети
57
Структура управления эффективностью функционирования
сети. Основные требования
Рассмотрим структуру управления эффективностью
функционирования сети в рамках приведенных структур сети и
перечисленных ранее основных принципов администрирования.
В рамках корпоративной, как и в любой иной сети связи, должны
быть реализованы все основные функции сетевых протоколов
корпоративных сетей:
• маршрутизация;
• коммутация;
• управление потоками (обеспечение эффективности
функционирования при высокой загрузке);
• контроль времени жизни пакета.
Также как в любой иной сети задачи управления эффективностью
решаются в рамках вторичной (наложенной) сети связи.
Эффективное управление функционированием корпоративной сети
может быть обеспечено только при динамической маршрутизации, где
маршруты должны выбираться адаптивно к топологии и нагрузки в
сети.
Замечание. Изменение маршрутов адаптивно к изменению
топологии реализуется совместно с системой управления живучестью
сети.
Иерархическая структура системы управления эффективностью
приведена на рис.16, где маршрутизатор может рассматриваться в
качестве узла коммутации корпоративной сети.
Замечание. WAN общего пользования закрыты для управления в
рамках корпоративной сети (если только это не сети Х.25, где при
установлении соединения возможно согласование качества
обслуживания, включая задание маршрутов), поэтому в общем случае
фрагмент сети WAN следует рассматривать как виртуальный (не
управляемый) канал.
Структура системы управления эффективностью корпоративной
сети представлена на рис.17, потоки информации в системе управления
проиллюстрированы на рис.18.
Идеология централизованного/распределенного управления
эффективностью состоит в следующем:
• из единого центра реализуется управление узлами коммутации
(маршрутизаторами, именно это позволяет строить эффективные
корпоративные сети);
58
• локальные администраторы фрагментов управляют
соответствующими ЛВС.
Отсюда получаем следующие требования к элементам управления:
• администратор корпоративной сети должен осуществлять сбор
информации о состоянии сетевых компонент, в том числе и от
удаленных фрагментов; должен обрабатывать эту информацию в
соответствии с реализуемым алгоритмом управления, должен
вырабатывать и выдавать к объектам управления
соответствующие команды;
• маршрутизатор должен удалено управляться; осуществлять сбор
обработки и передачу информации (в рамках системы сбора
информации) о состоянии соответствующих компонент
корпоративной сети;
• администраторы ЛВС должны обеспечивать сбор обработки и
передачу необходимой информации о состоянии сетевых
компонент ЛВС, управлять ЛВС в рамках прописанных
полномочий.
Рисунок 16. Иерархическая структура системы управления
эффективностью
59
Рисунок 17. Обобщенная структура системы управления
эффективностью.
60
Рисунок 18. Потоки информации в системе управления.
Структура управления безопасностью сети. Основные
требования
Система обеспечения безопасности информации должна иметь
многоуровневую структуру и включать следующие уровни:
• уровень защиты автоматизированных рабочих мест (АРМ);
• уровень защиты локальных сетей и информационных серверов;
• уровень защиты корпоративной АС.
На уровне защиты автоматизированных рабочих мест должна
осуществляться идентификация и аутентификация пользователей
операционной системы. Должно осуществляться управление доступом:
предоставление доступа субъектов к объектам в соответствии с
матрицей доступа, выполнение регистрации и учета всех действий
субъекта доступа в журналах регистрации. Должна быть обеспечена
целостность программной среды, периодическое тестирование средств