Защита серверного пространства по внешним и внутренним каналам связи (на примере ЗАО НПФ «ТопКом»)

Объектом исследования являются корпоративное серверное пространство предусматривающее возможность масштабирования и обеспечивающей высокую надежность.
Защищал в ПНИПУ в июне 2015.
Рецензент - консультант РосАтома по безопасности. ...

Содержание
Введение………………………………………………………………………………………....9
1 Общие сведения о предприятии…………………………………………………………….11
1.1Описание объекта информатизации……………………………………………………11
1.1.1 Описание организации как хозяйственного субъекта……………………………11
1.1.2Объекты защиты …………………………………………………………………..12
1.2Теоретическая модель серверного пространства……………………………………...13
1.2.1Операционная система и программные компоненты…………………………….14
1.2.2Расчет вычислительной мощности сервера. Количество ядер процессора и их тактовая частота…………………………………………………………………………..16
1.2.3Расчет объема оперативной памяти……………………………………………….18
1.2.4Расчет объема жестких дисков…………………………………………………….18
1.2.5Расчет требования к пропускной способности канала связи……………………20
1.2.6Расчет отказоустойчивости………………………………………………………...21
1.2.7 Расчет показателей безопасности ...……………………………………………...23
1.2.8 Выводы по разделу…………………………………………………………………24
1.3 Градация и вероятность угроз серверного пространства……………………………..25
1.3.1Техническая безопасность и отказоустойчивость серверного оборудования…..25
1.3.2Физические и социальные атаки…………………………………………………...26
1.3.3 Сетевые атаки……………………………………………………………………….27
1.3.4 Выводы по разделу………………………………………………………………...35
1.4 Выводы по главе………………………………………………………………………...35
2 Описание объекта информатизации……………………………………………………….36
2.1Техническое задание……………………………………………………………………36
2.2 Разработка структурной и функциональной схемы серверного пространства ЗАО НПФ "ТопКом"……………………………………………………………………………...38
2.2.1 Выбор оборудования для объекта информатизации и дополнительного обрудования………………………………………………………………………………38
2.2.2 Техническое решение……………………………………………………………....41
2.2.3 Операционная система для серверной инфраструктуры WindowsServer 2012 R2Datacenteredition………………………………………………………………………….45
2.2.4Рассчет пропускной сособности MicrosoftHyper-VVDI………………………..48
2.2.5 Выводы по разделу………………………………………………………………....51
2.3Выбор программых средств для реализации технического решения……………….51
2.3.1Hyper-V……………………………………………………………………..……….51
2.3.2DirectAccess…………………………………………………………………………52
2.4Расчет характеристик проектируемой серверной инфраструктуры………………...56
2.4.1Расчет количества удаленных рабочих столов 56
2.4.2Расчет дополнительных возможностей серверной инфраструктуры 57
2.4.3Выводы по разделу 57
2.5Выводы по главе 58
3 Разработка средства атаки комутаторов…………………………………………………….58
3.1 Архитектура PacketSnifferSDK………………………………………………………...59
3.2 Теоретическая основа использованных механизмов злома…………………………...59
3.3 Тестирование атакующего генератора пакетов…..……………………………………61
3.4 Выводы по главе………………..………………………………………………………..63
4 Технико-экономическое обоснование проекта…………………………………………….63
4.1 Расчет капитальных вложений…………………………………………………………64
4.2 Расчет годовых эксплуатационных расходов…………………………………………68
4.3 Выводы по разделу……………………………………………………………………...70
5 Безопасность жизнедеятельности…………………………………………………………..71
5.1 Выделение рабочего места из совокупности помещений…………………………….71
5.2 Определение перечня потенциальных опасных и/или вредных производственных факторов………………………………………………………………………………………..72
5.3 Вычисление показателей безопасности bi для каждого i-го источника опасности…81
5.4 Вычисление показателя безопасности Врм рабочего места………………………….81
5.5 Вывод по разделу………………………………………………………………………..82
Заключение…………………………………………………………………………………….83
Список использованных источников………………………………………………………...85
Приложения……………………………………………………………………………………88
Графический материал:
Лист 1. Градация и вероятность угроз серверного пространства. (плакат)
Лист 2. Серверное помещение. Схема комбинированная расположения
Лист 3. Серверные стойки и оптимальные конфигурации. Чертеж общего вида
Лист 4. Терминальная сеть. Схема функциональная.
Лист 5. Кластер высокой готовности. Схема принципиальная
Лист 6. VPNподключения. Схема комбинированная функциональная
Лист 7. Наполнение серверной машины. Схема структурная
Лист 8. ПринципзащитыEnd-to-end. Схема принципиальная
Лист 9. Организационно-экономический раздел. (плакат)

Серверное пространство – один из наиболее жизненно важных и защищаемых объектов предприятия, в следствии чего серверное оборудование и программное обеспечение безостановочно развивается и совершенствуется.
Основными преимуществами централизованного серверного пространства являются: надежность хранения и обработки информации, возможность контролированного удаленного доступа к информации на серверах, быстрая масштабируемость.

2.1 Выбор оборудования для объекта информатизации и дополнительного обрудованияСерверМасштабируемыйсерверNECExpress5800/A1080a-Sобладает отличной надежностью и масштабируемостью, требующейся для решений Enterprise-уровня [18]:высокодоступные критичные приложения и платформы облачных сервисов: • Крупномасштабные и ресурсоемкие серверные консолидации и платформы виртуализации;• Серверные системы крупных предприятий с высокой вычислительной нагрузкой для больших СУБД и ERP систем. Модельный ряд A1080a поддерживает работу 8 процессоров и 80 ядер. Это обеспечивает параллельную обработку до 160 потоков и использование больших объемов памяти. Производительность серверов при обработки SQL-запросов выше, чем у 32-процессорных RISC-систем, что гарантирует первое место среди подобных систем в этойкатегории.Предлагаемый компанией NEC современный RAS-функционал включает в себя встроенные средства мониторинга и диагностики для обеспечения непрерывности бизнеса. Замена неисправных процессоров или модулей памяти может производиться в рабочем режиме без остановки всей системы. Большая часть компонентов системы поддерживает режим «горячей замены» (hot-swap). Простой мнугофункциональный инструментарий управления и диагностики позволяет экономить рабочее время IT-персонала. Низкое энергопотребление и архитектура Dual 4-way полностью удовлетворяет требованиям минимальных габаритных размеров, охлаждения и энергопотребления систем для больших кластеров и пулов виртуализации. Спецификация сервера отображена в Приложении 1.Источник бесперебойного питания Источник бесперебойного питания APCbySchneiderElectricSmart-UPS 750VA/500WUSB&Se-rial 230V. Рассматриваемая модель может обеспечивать подключенную нагрузку с суммарной потребляемой мощностью до 700 Вт (1000 VA). Устройство способно автоматически стабилизировать напряжение в диапазоне от 151 до 302 В до безопасного уровня (210-230 В) и позволяет электронике работать неограниченное время как при пониженном, так и при повышенном напряжении. В случае полного нарушения электропитания ИБП способен поддерживать работу устройств с суммарной потребляемой мощностью 700 Вт в автономном режиме в течение 6 мин.Наличие развитой системы логов напряжений, мощности нагрузки, частоты напряжения и температуры дает богатые возможности для анализа состояния сети. Также в этом программном комплексе есть функции диагностики ИБП и корректного завершения специализированных приложений и баз данных. Программная оболочка PowerChute Business Edition может быть установлена в качестве единого центра по управлению за источниками питания APC, поэтому она имеет два типа панели управления. Спецификация ИБП отображена в Приложении 2.KVM–переключательDVI USB KVM-удлинитель CE604 позволяет удаленно, на расстоянии до 60 м. от компьютера, подключить консоль управления оператора. Устройство состоит из двух модулей - локального CE604L и удаленного CE600R. Функционал устройства позволяет удаленно подключить клавиатуру и мышь с интерфейсом USB, динамики и микрофон. Функция Dual View обеспечивает возможность удаленного подключения двух мониторов к двум DVI видеовыходам видеокарты компьютера.Модули CE604 оснащены RS-232 портами для обеспечения удаленного подключения устройств с последовательными интерфейсами, таких как сенсорные экраны и сканеры штрих-кодов. Кроме того, устройство поддерживает функцию PC Wake-Up, которая позволяет с помощью кнопки на удаленной консоли включить компьютер. Для связи модулей и передачи данных используется два кабеля UTP. Спецификация KVMотображена в Приложении 3.Комутатор Cisco 3560-CУпрощенная инфраструктура и устройство размещенияРезко снижения затрат на кабели, устраняя до одиннадцати 100-метровые кабелиГладкий и тихий безвентиляторный дизайн позволяет переключатель, чтобы быть colocated с конечными пользователямиУлучшенная Сетевая БезопасностьМАС стандарта IEEE стандарт безопасности (MACsec) для перехода с прыжка слой 2 на основе аппаратного шифрования для более высокой целостности данныхПолитики управления доступом на основе идентичности и роли-зависимые сети, целостность и конфиденциальность данных с Cisco TrustSecУлучшенный слой 2 угроза обороноспособности с интегрированными функциями безопасностиСтандарт безопасности данных индустрии платежных карт (стандарт PCI DSS в) соответствие выполнения требований регламентирующих мандатовФизическая охрана с кабель Guard и блокировкаЛегкость развертыванияКомпания Cisco умные операции для "нулевое касание" развертывания и упрощения поиска и устранения неисправностейКомпания Cisco SmartPorts для авто автоматическая настройка коммутатора на основе типа устройства, подключенного к портуКомпания Cisco AutoQoS для государства-оф-арт реализацию QoS для IP телефонии и видеоСнизить Затраты На ЭнергиюС поддержкой Cisco EnergyWise для мониторинга, управления и снизить энергопотребление устройств, подключенных к коммутаторуСвязь8-12 быстрый Ethernet или Gigabit Ethernet подключениеПитание по Ethernet плюс (PoE+), что до 30W на портДва 1-Гб Ethernet аплинкамиВерсии Программного ОбеспеченияЛан базы: предприятия открыть коммутации 2-го уровняИС базы: предприятия-доступ Layer 3 коммутации, включая открытие Кратчайшего пути первым (OSPF) для маршрутизируемого доступа2.2.2 Техническое решение В проекте необходимо сделать централизованное серверное пространство, на котором будет базироваться локальная сеть головного офиса и удаленные рабочие столы каждого из филиалов. Таким образом нам необходимо спроектировать безопасное серверное помещение, оптимальное наполнение и расположение оборудования в стойках. 2.2.2.1 Серверное помещение Нам необходимо выбрать оптимальные средства физической защиты серверов и систем обеспечения серверной комнаты показаных на рисунке (5)[18].Рисунок 5 – Серверное помещение“- Серверная комната по умолчанию требует наличия электропитания не ниже II категории: это 2 независимых питающих центра и источник бесперебойного питания.” - По этому пункту, в нашем проекте идет питание от центральной магистрали и к каждой серверной стойке прикреплен ИБП, так же в серверном помещении дополнительно раз-мещен дизельный генератор SDMO J300K.“- Не стоит забывать о заземлении. Шинам заземления следует быть доступными для подключения и визуального осмотра. Никакая часть заземляющих систем не должна иметь сопротивление свыше 4 Ом относительно самой земли.- В зависимости от размеров серверной и количества размещаемого в ней обору-дования необходимо заранее подсчитать максимальное потребление электроэнергии и предусмотреть возможность протяжки дополнительных линий электропередачи.” – в расчетах энерго потребления серверами были приняты дополнительное энергопотреб-ление ИБП и системой кондиционирования. Так же был оставлен запас на случай до-стройки серверного оборудования. Следующим пунктом была рассмотрена система кондиционирования сервер-ного помещения.“ - Проблема отвода тепла из серверных комнат с потреблением меньше 5 кВт решается достаточно просто: расположением на противоположной от оборудования стене бытовых кондиционеров. Главное - разместить их вдвое больше, чем требуется, и настроить их работу поочередно - сутки один, сутки другой.” – в серверной находиться 2 кондиционера Mitsubishi Electric MSZ-HJ25VA, но согласно экспертной оценке их должно быть 4.“- На качество отвода тепла влияют следующие моменты: Архитектурные осо-бенности здания. К сожалению, не все здания имеют правильную прямоугольную фор-му с постоянной высотой потолков. Перепады высоты, стены и перегородки, конструк-тивные особенности строения и воздействие солнечной радиации - все это может при-вести к возникновению дополнительных трудностей при охлаждении отдельных участ-ков ЦОД. Поэтому расчет систем охлаждения должен вестись с учетом особенностей помещения и с разбиением его на зоны. Высота потолков и фальшпола. Здесь все очень просто: если излишняя высота фальшпола не критична, то чрезмерно высокие потолки ведут к застою горячего воздуха (и как следствие - необходимости отвода его дополнительными средствами), а слишком низкие затрудняют движение горячего воздуха к кондиционеру. В случае с низким фальшполом (>500 мм) резко падает эффективность охлаждения. Показатели температуры и влажности воздуха в ЦОД. Как правило, для нормаль-ной работы оборудования требуется соблюдать температурный режим в границах 18-25 °C, а относительную влажность воздуха - от 45 до 60%. В этом случае оборудование оказывается защищенным от остановки по причине переохлаждения, от выхода из строя в случае выпадения конденсата при высокой влажности, от статического электричества в случае с низкой влажностью или же из-за перегрева. Резервирование систем кондиционирования. Вполне достаточным резервирова-нием считается система N + 1 для каждой зоны. В сумме резерв должен составлять 30% от явной холодопроизводительности.”Следующим рассмотренным аспектом были - нормы безопасности.“- Обычно меры предосторожности предусматривают применение программных и аппаратных замков и ключей, магнитных карт, периодических проверок эффективно-сти различных аспектов схем защиты. Одинаково важно предохранять внутренние и внешние трассы кабеля, а также информацию или базу данных о кабельном маршруте. Важно помнить, что меры защиты гораздо проще предусмотреть и реализовать еще на стадии проектирования, нежели внедрять их post factum. При этом для каждого отдель-ного случая применима только своя собственная логика системы обеспечения безопас-ности.” – в проекте мы учли, что в серверном помещении отсутствуют окна, одна вход-ная стальная дверь с механическим и магнитным замком с программируемой ключ-картой.“- СКУД - система контроля доступа. Ее задача - обеспечить быстрый доступ ав-торизованному сотруднику. Здесь, как правило, достаточно биометрического считыва-теля (по отпечатку пальца или ладони), магнитного считывателя и прочной двери. Не стоит использовать сканеры сетчатки глаза и распознавания лиц - это дорогостоящие и абсолютно неэффективные инструменты. Сканер сетчатки - достаточно дискомфортный инструмент, к тому же правильно считывать сетчатку ему удается через раз. А уж "узнать" ваше лицо в очках и с бородой система распознавания лиц точно не сможет. Система пожарной безопасности. Серверное помещение должно быть оборудо-вано охранно-пожарной сигнализацией, а если оно занимает площадь более 24 м2, то и оснащено газовой системой пожаротушения. Помещение должно быть герметично и снабжено информационным табло "Уходи, газ!". Следует учитывать: тушить необходи-мо как в самом помещении, так и под фальшполом. Также обязательно при посещении серверной переводить СГПТ из автоматического режима в ручной, предотвращая тем самым автоматический залп, если в помещении работает человек.” - СКУД реализована на программируемых магнитных ключ-картах, всего три ключа имеет доступ к сервер-ной - Генеральный директор, инженер серверного оборудования и системный админи-стратор.2.2.2.2 оптимальное наполнение и расположение оборудования в стойкахНа стадии проектирования было принято решение реализации серверов на основе про-дукции компании NEC, сетевого оборудования Cisco. Каждая стойка имеет индивидуальное наполнение, ориентированное на определенную спецификацию. Всего в серверном помещении 5 стоек - 2 из которых ориентированы на внутренние нужды головного офиса компании, 2 на удаленные филиалы и 1 стойка от-ведена для почтового и WEB-сервера. Первые 4 стойки назовем основными, на каждой из них стоит - терминальный, файловый и коммуникационный сервера. Плюс сетевое оборудование, источники бесперебойного питания и KVM-переключатель по 1 на 2 стойки, наполнение показано в Таблице (4). Пятая стойка отвечает исключительно за почтовый сервер и web-сервер компании.Таблица 4 – Оборудование серверной стойки ТипНаименование и характеристикиКол-вомасштабируемый серверNEC Express5800/A1080a1ИБПAPC by Schneider Electric Smart-UPS 750VA/500W USB & Serial 230V1МониторMonitor17"BENQ<FP73G>LCD 1КлавиатураSven 330, <PS/2>, Silver1МышьA4-Tech MOP-59, red Optical, Mini, USB+PS/2, Roll1KVM–переключательATEN CE604 1ТипНаименование и характеристикиКол-вокоммутаторCisco 3560-C 12.2.3 Операционная система для серверной инфраструктуры Windows Server 2012 R2 Datacenter edition Windows Server 2012 R2 Datacenter Edition [19] представляет собой серверную операционную систему, позволяющую управлять сетевыми ролями, такими как сервер печати, контроллер домена, веб-сервер и файловый сервер. В качестве серверной опера-ционной системы продукт также играет роль платформы для отдельно приобретенных серверных приложений, таких как Exchange Server или SQL Server. Выпуск Datacenter Edition разработан для организаций с большими нагрузками и высокой степенью вирту-ализации серверных сред.Преимущества для организаций:-Выполнения нескольких серверных ролей и запуска различных операци-онных систем на одном сервере;-Уменьшения аппаратной части для обслуживания серверных нагрузок;-Уменьшения времени, необходимого для установки и настройки аппарат-ных средств и программного обеспечения, а также воспроизведения тестовых сред; Основные возможности:- Виртуализация сервера: Hyper-V предоставляет инструменты для создания виртуальной серверной вычислительной среды и управления ею. Hyper-V Replica может реплицировать виртуальную машину из одного места в другое, не прибегая к совместно используемому хранилищу, обеспечивает улучшенное восстановление после отказа и отличается высокой доступностью.-Управление сервером: Server Core обеспечивает минимальную среду для выполнения определенных серверных ролей. Эти роли впоследствии легче поддержи-вать и управлять ими. Они менее подвержены атакам. Сюда входят Active Directory и сопутствующие службы, DHCP, DNS, файловые службы, Hyper-V, службы печати, службы потокового мультимедиа и веб-сервер (IIS).-Комплексные услуги: Windows Server 2012 является единой платформой для веб-публикации, объединяющей в себе IIS, ASP.NET и Windows Communication Foundation, а также поддерживает службы SharePoint Services.-Отказоустойчивая кластеризация: администраторы могут уменьшить ко-личество отказов служб и приложений, создав среду с резервным сервером с динамиче-ским обособлением аппаратных средств.-Сервер приложений: данная серверная роль обеспечивает создание инте-грированной среды для развертывания и запуска стандартных бизнес-приложений на основе Microsoft .NET Framework 3.5.-DirectAccess: данная функция защищённого туннелирования обеспечивает доступ к сети с любого компьютера или устройства. Она работает быстрее чем обычные VPN соединения и обеспечивает удаленный доступ к общим каталогам, резервным ап-паратным средствам и другим ресурсам.Основные усовершенствованиятаблица (5):Новый пользовательский интерфейс Modern UI.2300 новых командлетов Windows PowerShell.Усовершенствованный Диспетчер задач.Теперь Server Core стал рекомендуемым вариантом установки, а переключение между режимами с классическим рабочим столом и режимом Server Core может быть выполнено без переустановки сервера.Новая роль IPAM (IP Address Management) для управления и аудита адресным пространством IP4 и IP6.Усовершенствования в службе Active Directory.Новая версия Hyper-V 3.0. Новая файловая система ReFS (Resilient File System).Новаяверсия IIS 8.0 (Internet Information Services).Таблица 5 –Возможности версии DatacentrSpecificationsDatacenterДоступностьVolume Licensing и OEMLicensing modelPer every pair of processor chipsМаксимально число процессоров в системе64Максимальное число пользователей в системеНеограниченноFile Services limitsНеограниченноNetwork Policy and Access Services limitsНеограниченноRemote Desktop Services limitsНеограниченноПродолжение таблицы 5Specifications DatacenterServer Core modeДаVirtualization rightsНеограниченноРоль DHCP сервераДаРоль DNS-сервераДаРоль Факс сервераДаUDDI ServicesДаPrint and Document ServicesДаWeb Services (Internet Information Services)ДаWindows Deployment ServicesДаWindows Server Update ServicesДаActive Directory Lightweight Directory ServicesДаActive Directory Rights Management ServicesДаApplication server roleДаServer ManagerДаWindows PowerShellДаПродолжение таблицы 5Active Directory Domain ServicesДаActive Directory Certificate ServicesДаActive Directory Federation ServicesДаОтключение Modern UI и использование классического рабочего стола, как в Windows 7*ДаHyper-VДа2.2.4 Рассчет пропускной сособности Microsoft Hyper-V VDI Для вычисления загрузки процессора гостевыми ОС, используется экземпляр счетчика PercentGuestRunTime. Формула (9) обещго вида для вычисления загрузки: (9) ГдеGN — Percent Guest Run Time (именно это значение следует заменять на другие экземпляры, если интересно вычислить другие показатели нагрузки на процессор);PN — Timestamp_PerfTime; FN — Frequency_PerfTime;LP — количество логических процессоров (из набора счетчиков «Hyper-V Hypervisor»).Сначала снимаются показания счетчиков G1 и P1, затем G2 и P2. Для получения реальных значений загрузки процессора потребуется снимать показание дважды через незначительный интервал времени.Для проверки работы формулы дважды снимем показания счетчиков «Hyper-V Hypervisor Logical Process» функцией Win32_PerfRawData_HvStats_HyperVHypervisorLogicalProcessor с интервалом примерно в десять секунд. Сервер имеет два логических процессора, виртуальная машина настроена на использование одного виртуального процессора, и в ней запущена расчетная задача, потребляющая 100% доступных процессорных ресурсов. Очевидно, что в данном случае формула должна показать значение близкое к 50% (т.к. занят лишь один процессор).Запускаюкоманду winrm enum wmi/root/cimv2/* -filter:"select * from Win32_PerfRawData_HvStats_HyperVHypervisorLogicalProcessor where name='_Total'". Вотполученныйрезультат:Win32_PerfRawData_HvStats_HyperVHypervisorLogicalProcessor C1TransitionsPersec = 409197889 C2TransitionsPersec = 0 C3TransitionsPersec = 0 Caption = null ContextSwitchesPersec = 889911109 Description = null Frequency_Object = 0 Frequency_PerfTime = 14318180 Frequency_Sys100NS = 10000000 HardwareInterruptsPersec = 92282462 InterProcessorInterruptsPersec = 8174254 InterProcessorInterruptsSentPersec = 8174254 MonitorTransitionCost = 16 Name = _Total PercentC1Time = 4193635539355 PercentC2Time = 0 PercentC3Time = 0 PercentGuestRunTime = 314976793671 PercentHypervisorRunTime = 53745475789 PercentIdleTime = 8385447570540 PercentTotalRunTime = 368722269460 SchedulerInterruptsPersec = 384836664 TimerInterruptsPersec = 33425466 Timestamp_Object = 0 Timestamp_PerfTime = 6268633722843 Timestamp_Sys100NS = 4199325031975 TotalInterruptsPersec = 518718846Примерночерез 10 секундзапускаемповторно: winrm enum wmi/root/cimv2/* -filter:"select * from Win32_PerfRawData_HvStats_HyperVHypervisorLogicalProcessor where name='_Total'".