Анализ локальной сети администрации Красноармейского района

 

 

ВВЕДЕНИЕ

В дипломном проекте представлена разработка система информационной безопасности локальной информационной сети администрации Красноармейского района Самарской области.

Объединение компьютеров в локальную информационную сеть (ЛИС) привносит определённые трудности в работу сотрудников предприятия. Так как компания ведет работу с закрытой информацией, доступ к которой посторонним лицам строго запрещен, то возникает проблема защиты информации в локальной информационной сети.

Реализация решений проекта позволит повысить информационную безопасность локальной сети предприятия в соответствии с требованиями заказчика. Как следствие, появляется уверенность ведущих работников администрации Красноармейского района в том, что конфиденциальные сведения предприятия не станут известны конкурирующим предприятиям с различными формами собственности.

ЛИС спроектирована так, чтобы обеспечить надлежащую степень защищенности данных. Надо помнить, что от этого не должно страдать удобство пользователей и администраторов сети.

Целью проекта является разработка системы информационной безопасности локальной информационной сети администрации Красноармейского района на основе современных технологий защиты информации с применением новейшего оборудования ведущих фирм.

Для реализации поставленной цели в дипломном проекте решены следующие основные задачи:

- выполнена системотехническая  разработка сети;

- проведён анализ локальной сети администрации Красноармейского района;

- выполнено обоснование выбора  сетевого программного обеспечениия;

- разработана система информационной безопасности;

- обоснован выбор средств защиты  от НСД;

- обоснован  выбор средств защиты  каналов связи.

На основе выполненных задач сформулировать вывод о правильности проектных решений.

1  Анализ  локальной сети администрации Красноармейского района 1.1  Общие технические характеристики

 

Администрация Красноармейского района находиться, для которого модернизируется ЛИС и разрабатывается система информационной защиты, расположено на первом этаже административного офиса и состоит из следующих отделов: 

• Отдел архитектуры;
• Отдел по мобилизационной работе;
• Отдел по ГО и ЧС;
• Комитет по экономическому развитию, инвестициям и торговле;
• Отдел бухгалтерии;
• Управление сельского хозяйства;
• Организационно-правовой отдел;
• Архивный отдел;
• Отдел по экологии;
• Технический отдел.

Структура существующей локальной сети администрации, приведена на рисунке 1.1, Это одноранговая сеть на рабочих группах (топология сети - звезда). При этом физическая скорость передачи данных в локальной сети рассчитана на 100 Мбайт/c

В сеть включено 38 локальных машин, которые используют ресурсоемкие сетевые служебные и прикладные программы. Данная ЛИС была смонтирована в 2002 году, и в соответствии с требованиями заказчика уже исчерпала свои ресурсы. Интернет, пропускной способностью рассчитанной на 512 кбит/с, имеется только в двух отделах (отделе архитектуры и отделе по ГО и ЧС ), безопасность данных отделов от внешних угроз обеспечивает межсетевой экран Agnitium Outpost Firewall 1.0, что отбивает значительную долю Интернет атак. Межсетевой экран установлен на каждой рабочей станции подключенной к сети Интернет.

Расположение ПК приведены в приложении А на рисунках А.1. - А.3.

 

 

 

1.2 Техническое обеспечение

 

В качестве сетевого оборудования в существующей сети применяется оборудование фирмы D-Link.

В сети применяются коммутаторы семейства DES-1016D.

Рис. 1.3 – Коммутатор DES-1016D

 

Основные характеристики этого семейства следующие:

• 16 портов 10/100 Мбит/с с автоопределением MDI|MDX
• Все порты поддерживают полу/полнодуплексный режим
• Управление потоком для предотвращения потерь данных (полный дуплекс)
• Динамический буфер данных для каждого порта
• Автообучение конфигурации сети
• Схема коммутации "store-and-forward"
• Авто коррекция обратной полярности витой пары

Стандарты:

• IEEE 802.3 10Base-T
• IEEE 802.3u 100Base-TX
• ANSI/IEEE 802.3 автоопределения NWay
• 100 Ом Категории 3,4,5 (для 10Base-T) и Кат 5 (для 100Base-TX) кабеля неэкранированной витой пары
• EIA/TIA-568 100 Ом кабеля экранированной витой пары

Протоколы:

• IEEE 802.3 Ethernet CSMA/CD
• IEEE 802.3u Fast Ethernet CSMA/CD
• IEEE 802.3x Flow Control\
• Производительность (скорость фильтрации пакетов в секунду по порту):
• 10Base-T, полный дуплекс = 14,880
• 100Base-TX, полный дуплекс = 148,800
• 10Base-T, полудуплекс = 14,880
• 100Base-TX, полудуплекс = 148,800
• Пропускная способность внутренней магистрали: 3,2 Гбит/с
• Метод коммутации: Store-and-Forward
• Размер таблицы МАС-адресов: 8K
• Размер буфера данных: 512kB, динамическое выделение буфера для каждого порта

D-Link DES-1016D является неуправляемым  коммутатором 10/100 Мбит/с 2 уровня, предназначенным  для повышения производительности  работы небольшой группы пользователей, обеспечивая при этом высокую  пропускную способность. Мощный  и одновременно с этим простой в использовании, DES-1016D, позволяет пользователям не задумываясь подключать в любой порт сетевое оборудование, работающее на скоростях 10 Мбит/с или 100 Мбит/с, понизить время отклика и удовлетворить потребности в большой пропускной способности сети.

Коммутатор снабжен 16 портами 10/100 Мбит/с, позволяющими небольшой рабочей группе гибко подключаться сетям к Ethernet и Fast Ethernet, а также интегрировать их. Это достигается благодаря свойству портов автоматически определять сетевую скорость, согласовывать стандарты 10Base-T и 100Base-TX, а также режим передачи полу/полный дуплекс.

 

1.3 Сетевое программное обеспечение

 

Существующая сеть построена на основе сетевой операционной системы (ОС) Microsoft Windows XP Pro.

ОС появилась в  2001 году. Это полностью 32 разрядная ОС с приоритетной многозадачностью. В её основе лежат те же принципы, на которых базировались все NT. Система может иметь привычный интерфейс ОС семейства Windows, с некоторыми добавлениями и расширениями, поддержку файловых систем NTFS5, NTFS4, FAT16 и FAT32. Большинство приложений, написанных под MSDOS, W9x, NT4, а также некоторые программы под OS/2 и POSIX запускаются и функционируют без проблем. При проектировании NT учитывалась возможность работы системы в различных сетевых средах, поэтому в поставку входят средства для работы в Unix- и Novell-сетях. Система работает на различных процессорах семейства x86 производства Intel и AMD.

Windows XP характеризуется :

- возможностью оптимальной настройки  сервера Windows XP как файлового сервера,  сервера печати, или сервера приложений;

-  симметричной поддержкой до 4 процессоров;

-  программной поддержкой RAID-технологий;

- возможностью функционирования  в качестве информационного сервера  Internet, поддерживающего HTTP, FTP и Gopher серверы,

- обеспечение целого ряда дополнительных сетевых сервисов, таких как многопротокольная маршрутизация, DNS, DHCP и др.;

- поддержкой единой базы данных  сетевого администрирования NT Directory Services (NTDS).

К основным свойствам Windows NT Workstation 4.0 относятся:

- вытесняющая многозадачность;

- возможность использования 2-го  процессора;

- наличие файловой системы NTFS, поддерживающей локальную безопасность, то есть разграничение прав пользователя на собственной рабочей станции; NTFS поддерживает избирательные права доступа и привилегии владельца, гарантирующие целостность хранящихся данных;

- возможность запуска приложений  в отдельной области памяти, что  существенно повышает стабильность  работы операционной системы;

- интеграция с продуктами семейства Microsoft BackOffice, в состав которого входит Microsoft SQL Server;

- более высокие по сравнению  с Windows NT и 2000 характеристики для приложений, интенсивно использующих процессор.

Реализована привычная для NT система безопасности на уровне пользователей.  К стандартным пользователям относятся Administrator (администратор) и Guest (гость). Данного пользователя нельзя удалить из системы, но можно переименовать.

Administrator обладает полным контролем над системой и может выполнять следующие действия:

- управлять доступом пользователей  к ресурсам сети;

- изменять конфигурацию сетевой  операционной системы;

- создавать и иметь полный  доступ к общим сетевым директориям;

- инсталлировать принтеры;

- создавать разделы на жестком  диске и форматировать его.

Пользователь Guest имеет ограниченный администратором доступ к объектам файловой системы. Может быть использован для организации доступа относительно большого количества пользователей к некоторым файлам и директориям компьютера под управлением Windows XP как локально, так и удаленно.

Для Windows XP определены такие понятия как права (rights) и допуски (permissions). Права определены для действий, а допуски – для объектов файловой системы.

Приведем перечень прав, как правило, присваиваемых пользователям:

- доступ к данной рабочей  станции по сети;

- включение рабочей станции  в домен;

- резервное копирование файлов  и директорий;

- изменение системного времени;

- удаленное выключение рабочих  станций;

- загрузка и выгрузка драйверов  устройств;

- локальная регистрация на рабочих  станциях;

- управление аудитом;

- восстановление файлов и директорий;

- выключение системы;

- взятие файлов во владение, то есть возможность управлять  доступом к этим файлам.

Windows XP имеет встроенные в систему сетевые возможности, что обеспечивает возможность связи с различными типами компьютеров-хостов благодаря наличию разнообразных транспортных протоколов и технологии "клиент-сервер".

Архитектура ОС защищает приложения от повреждения друг другом и самой операционной системой. При этом используется отказоустойчивая структурированная обработка особых ситуаций на всех архитектурных уровнях, которая включает восстанавливаемую файловую систему NTFS и обеспечивает защиту с помощью встроенной системы безопасности и усовершенствованных методов управления памятью.

 

 

 

1.4  Сетевая технология

 

В существующей сети реализована технология Ethernet 100BaseTX.

Ethernet - это самый распространенный  на сегодняшний день стандарт  локальных сетей. Общее количество  сетей, использующих в настоящее время Ethernet, оценивается в 5 миллионов, а количество компьютеров, работающих с установленными сетевыми адаптерами Ethernet - в 50 миллионов.

Технология Ethernet была разработана в исследовательском центре компании Xerox в 70-х годах и достигла своего нынешнего лидирующего положения в 80-х . Впервые термин Ethernet был использован Робертом Меткалфом в заметке, написанной им в этом исследовательском центре в мае 1973 года.

 Ethernet 100BaseTX получила наибольшее распространение для сравнительно небольших сетей (примерно до 100 рабочих станций). Буква Т в названии означает, что средой передачи является неэкранированная витая пара (Unshielded Twisted Pair, UTP). Применение дешевых кабелей UTP является одним из основных преимуществ l00BaseT по сравнению со спецификациями 10Base2 и 10Base5. Подключение узлов к сети осуществляется с помощью телефонных гнезд RJ-45 и RJ-11 и четырехпарного телефонного кабеля UTP. Вилка RJ-45 вставляется напрямую в сетевую плату. Протяженность отрезка кабеля от коммутатора до станции не превышает 100 м.

 

 

1.5 Расчет основных характеристик существующей сети

 

Исходные данные:

- максимальное расстояние между  двумя станциями  150 м;

- скорость модуляции 100 Мбит/с;

- число станций 38;

- скорость распространения сигнала по кабелю связи 2,3×105 км/с;

- максимальное число коммутаторов между двумя станциями 3;

- средняя длина информационной  части кадра LH = 1600 бит;

- средняя длина служебной части  кадра 320 бит;

- среднее значение интенсивности  сообщений, поступающих от каждой станции 2,104 (1/с);

- закон распределения длин информационной  части кадра (обычно экспоненциальный) ; 

- закон распределения длин служебной  части кадра (обычно детерминированный) ;

Обычно сеть принимается однородной.

На основании указанных исходных данных произведем расчет времени задержки в сети и определим ее пропускную способность.

1. Время  распространения сигнала по кабелю между двумя наиболее удаленными станциями рассчитаем по формуле:

 

      (1.2)

 

где  S – протяженность сети;

V – скорость распространения сигнала по кабелю связи.

 

 

 

2. Время передачи информационной части кадра описывается следующей зависимостью:

 

     (1.2)

 

где LИ – длина информационной части кадра;

В – скорость передачи данных в моноканале.

 

 

3. Время передачи служебной части кадра определим по формуле:

 

     (1.3)

 

где LN – длина служебной части кадра;

B – скорость передачи данных в моноканале.

 

 

4. Суммарное время передачи кадра

 

   (1.4)

5. Степень детерминированности процесса можно охарактеризовать коэффициентом вариации.

Коэффициент вариации указывает насколько случайная величина интервала tСР отклоняется от своего среднего значения tСР, и определяется по формуле:

 

,      (1.5)

 

где s cp – среднеквадратическое отклонение.

 

s cp = .      (1.6)

 

В нашем случае:

 

s cp = .     (1.7)

 

Так как время передачи информационного поля является случайной величиной со средним значением tи. А закон распределения – экспоненциальный, то его среднеквадратическое отклонение s (tи) = tи.  Время передачи служебной части кадра носит детерминированный характер (остается постоянным), при этом среднеквадратическое отклонение будет равно s (tи) = 0.

Учитывая все выше изложенное, получим:

 

 

6. Суммарное значение интенсивности поступления сообщений

 

      (1.8)

 

где М – число станций;

      lCP – среднее значение интенсивности сообщений, поступающих от каждой станции (lCP = 2,104 1/с).

 

 

7.  Суммарный коэффициент загрузки

 

       (1.9)

 

8. Коэффициент дальнодействия, с учетом времени задержки

 

         (1.10)

 

9. Относительное время задержки доставки сообщения, определенное по соотношению

 

 (1.11)

 

10. Время задержки доставки

 

     (1.12)

 

11. Пропускная способность канала

 

      (1.13)

 

12. Предельно допустимое значение  суммарной   интенсивности, при котором загрузка достигает пропускной способности канала.

 

      (1.14)

 

13. Минимальное время задержки доставки (при R = 0)

 

   (1.15)

 

1.6 Выводы по главе

 

Приведенные данные о программном и сетевом оборудовании показывают, что ЛИС работает без нагрузок, но при этом увеличение рабочих станции приведёт к нестабильной работе сети. Исходя из требований заказчика, данная локально-информационная сеть должна быть модернизирована, для увеличения рабочих станции, установки сервера и более надёжного программного обеспечения

Выполненные расчеты вероятностно-временных характеристик, подтверждают надежность работы данной ЛИС, в её настоящем состоянии, но также результаты расчетов позволяют сделать вывод, что дальнейшее увеличение числа рабочих станций (требования заказчика) практически приведет к недопустимо большим задержкам при передаче сообщений по сети, что, в конечном счёте приведёт к увеличению времени передачи информации по существующей сети.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

2  Система информационной безопасности

2.1  Основные требования заказчика

 

Увеличить число пользователей сети до 70, а в перспективе на пять лет до 100, связать сетью соседнее здание (расстояние 150 метров), установить выделенный канала Интернет.

Обосновать выбор:

• технического обеспечения;
• программного обеспечения;

Разработать структурную схему ЛИС администрации на основе современного сетевого оборудования.

Выполнить расчёты:

- вероятностно-временных характеристик.

На основании анализа расчетных данных сформулировать вывод о правильности проектных решений.

 

 

 

 

 

2.2  Выбор технических сетевых средств

 

В качестве сетевого оборудования предлагается использовать уже установленное оборудование фирмы D-Link, за время службы оно зарекомендовали себя с самой лучшей стороны и, ещё не исчерпала свои ресурсы и не устарело.

Коммутация зарекомендовала себя как наиболее экономичная и гибкая технология, обеспечивающая увеличение полосы пропускания и повышение управляемости сети на всех уровнях.

Для увеличения рабочих станций в сети, было принято решение об замене 16-портовых коммутаторов DES-1016D на 24-портовые управляемые стекируемые коммутаторы Fast/Gigabit Ethernet уровня 3

 

Для обеспечения разрабатываемой сети требуется 5 коммутаторов DES-3326S

Рис 2.1 – Коммутатор DES-3326S

 

 и 1 мультисерверный маршрутизатор DI-3660

Рис. 2.2 – Маршрутизатор DL3660

 

 

 

2.3  Выбор сетевой операционной среды

На рабочих станциях в сети решено было применить операционную систему Microsoft Windows 8, однако для правильной и безопасной работы сервера было принято решения об установки серверной операционной системы

Практически все современные ОС поддерживают работу в сети. Однако в качестве ОС для сервера в настоящее время чаще всего используются Unix, Linux и Windows 2007 Server. 

Однако, по причине пользования сервером не только сетевым администратором, но и другими доверенными лицами, было принято решения об установки операционной системы семейства Microsoft Windows, - как наиболее быстро осваиваемой системы. Эта версия ОС поддерживает работу с большим объемом оперативной памяти и большим количеством процессоров. Она включает в себя средства организации кластеров и механизмы распределения нагрузки. Улучшенная производительность. Добавлена поддержка большего объема оперативной памяти, большего количества процессоров. Новая система более эффективно использует аппаратные ресурсы компьютера, а также позволяет следить за расходованием процессорного времени и управлять этим расходованием

По сравнению с Windows 2003 версия Windows 7 Server обладает следующими новыми возможностями:

• Active Directory. Новая служба каталога, основанная на спецификациях Х.500 и заменяющая собой домены Windows NT 4.0. Служба Active Directory интегрирована с DNS, использует аутентификацию Kerberos, поддерживает наследуемые доверительные отношения и репликацию с несколькими главными контроллерами домена;
• Улучшенная управляемость. Новая система включает в себя продуманный и последовательный интерфейс управления системой (Microsoft Management Console, MMC), поддержку групповой политики (Group Policy), средство автоматической установки Microsoft Installer, средства синхронизации папок в отключенном от сети состоянии, а также службы Telnet и Terminal Services (службы терминалов) для обеспечения удаленного администрирования;
• Улучшенная поддержка сети. Среди нововведений, связанных с работой в сети, следует упомянуть улучшенные службы DNS, WINS и DHCP, поддержку технологии Quality of Service (QoS), сжатие http, защиту данных IP Security (IPSec), поддержку Asynchronous Transfer Mode (ATM), совместное использование канала связи с Интернетом (Internet Connection Sharing), поддержку Virtual Private Network (VPN), а также службу маршрутизации и удаленного доступа Routing and Remote Access Service (RRAS);
• Улучшенная поддержка аппаратных устройств. Новая система включает в себя улучшенные драйверы существующего аппаратного обеспечения, а также цифровых видеодисков DVD (Digital Video Disks), устройств USB (Universal Serial Bus), новых сетевых адаптеров, сканеров, принтеров, модемов и других аппаратных устройств. В подавляющем большинстве случаев установка новых драйверов не требует перезагрузки системы. Если ранее перезагрузка системы требовалась приблизительно в пятидесяти случаях из ста, то теперь этот параметр снижен всего до семи случаев из ста;
• Управление системой долговременного хранения данных. Новая система включает в себя улучшенные механизмы хранения файлов, а также управления данными, хранящимися на дисках и других устройствах долговременного хранения информации. Среди новых механизмов — квотирование дискового пространства, шифрование данных, управление сменными носителями информации, контекстное индексирование и распределенная файловая система DPS (Distributed File System);

 

 

 

2.4  Выбор сетевой технологии

2.4.1 Обзор сетевых технологий

 

  На рубеже 2000 года началась очередная смена поколений кабельных систем локальных сетей. Действующие стандарты морально устарели, приняты новые категории, требующие частичной замены установленных линий,  разрабатываются новые стандарты. В таких условиях выбор систем на длительный срок эксплуатации, оказывается непростой задачей. Для ее решения нужна многоплановая информация, в том числе, о тенденциях развития кабельных систем. Именно она позволяет находить оригинальные решения и создавать открытые системы с реальными гарантиями будущего.

Принятие в 1991 году стандарта категории 3 имело далеко идущие последствия. Шестнадцатикратное расширение частотного диапазона витой пары по сравнению с категорией 2 (1 МГц) явилось впечатляющим шагом вперед. В результате изменились представления о витой паре, как о среде передачи только для речевых приложений. Была опубликована первая версия стандартов СКС. Витая пара начала вытеснять коаксиальный кабель.

В 1997 года в организациях стандартизации разного уровня была начата  работа по спецификации параметров категорий 6 и 7, вновь расширяющих диапазон витой пары в два и шесть раз соответственно. В июне 1999 году Ассоциация стандартов Института инженеров электроники и электротехники приняла стандарт протокола витой пары  Gigabit Ethernet IEEE Std 802.3a. В конце того же года Ассоциация телекоммуникационной промышленности совместно с Ассоциацией  электронной промышленности утвердили Приложение ANSI/TIA-568-A-5 "Спецификации параметров передачи 4-парных 100-омных кабельных систем категории 5е". В сентябре 2000 года вступили в действие стандарты класса D (аналогичные категории 5е), принятые международной и европейской организациями стандартизации. В 2002 году принята вторая редакция стандарта ISO/IEC 11801, включающая спецификацию параметров кабелей и разъемов категорий 1 - 7 и линий  каналов классов C, D, E и F.

 

Таблица 2.1 - Хронологическая таблица принятия категорий СКС

Категория СКС	Диапазон частот	Приложения, под которые разрабатывались категории	Год принятия стандарта
Категория 3	16 МГц	Ethernet, 10Base-T	1991
Категория 4	20 МГц	Token Ring 16Мбит/с	1993
Категория 5	100 МГц	100Base-TX (Fast Ethernet)  АТМ 155	1995
Категория 5E	100 МГц	100Base-TX (Fast Ethernet) 1000Base-T (Gigabit Ethernet)	1999
Категория 6   Категория 7	200 МГц   600 МГц	Gigabit Ethernet 1000Base-TX  Gigabit Ethernet 2,5 Гб/с Предложений нет	2002  Не ранее 2004

 

Как видно из приведенной таблицы, выбор категории СКС под текущие приложения обеспечивает срок службы не более двух - трех лет. Исключение составляет категория 5, которая продержалась без изменений четыре года.

Следует отметить, что за десять лет меняется не менее семи поколений компьютеров и три поколения сетевых устройств. Тенденция развития информационных технологий на рубеже 2000 годов показывает, что темпы увеличения объема передаваемых данных в локальных сетях не уменьшаются, а возрастают.  СКС призвана обеспечить десятилетний срок службы без замены кабелей горизонтальной подсистемы.

Практика показывает, что срок появления систем, расширяющих частотный диапазон, не превышает пяти лет. Скорости передачи данных возрастают на порядок каждые четыре года. Сегодня мы стоим на границе третьего качественно нового шага вперед в смене поколений среды передачи.

Замена кабелей локальных сетей в здании требует значительных инвестиций и приводит к нарушению производственного ритма предприятия. Особенно сложно проводить модификации в горизонтальной подсистеме СКС, поскольку она включает более 90% всех кабелей, которые в наибольшей степени, по сравнению с магистральной подсистемой, интегрированы в конструкцию здания. Их прокладывают в стенах, полах и потолках. Даже при наличии лотков, коробов и фальш-панелей не избежать многочисленных проходов сквозь стены и перекрытия и сложных маршрутов прокладки кабелей, требующих больших трудозатрат. Поэтому долговечность горизонтальной подсистемы является важнейшим требованием.

Горизонтальная подсистема СКС в подавляющем большинстве случаев состоит из электропроводных кабелей. Именно этим объясняется такое внимание разработке новых категорий и выбору систем с резервом на несколько поколений сетевых устройств.

Выбор зависит в первую очередь от оценки того, какие приложения появятся и потребуются в течение этого срока.

Шина используется для обмена данными оперативной памяти центрального процессора и всех периферийных устройств, включая сетевые карты и дисководы.

По текущим оценкам стоимость решений Gigabit Ethernet на абонентских каналах в 2 -3 раза превышает стоимость Fast Ethernet. Это уже неплохо, учитывая десятикратное увеличение производительности. В ближайшее время цена обоих решений и разница в цене будут уменьшаться. Наряду с ростом потребностей в скорости передачи и повышением эффективности использования протокола переход на Gigabit Ethernet в горизонтальных подсистемах СКС станет экономически целесообразным.

Следовательно, проблема выбора сводится к тому, считают ли заказчики скорость на абонентских каналах в один гигабит в секунду достаточной для обозримого будущего, и не предусматривают ли они роста потребностей сверх этого предела через пять лет и более. Однако не все производители гарантируют совместимость категорий и элементов. Эту проблему следует рассмотреть особо.