Разработка системы защищенного электронного документооборота в организации ООО «Брянск Связь-ТВ»

RAID-массивы

На сервере необходимо построить RAID Level-10, который комбинирует (объединяет) RAID 0 и RAID 1, т.е. зеркалирование группы дисководов, объединенных в RAID 0 для обеспечения максимального быстродействия. Этот уровень обеспечивает избыточность за счет зеркального отражения.

Так как массив большой и скорость его работы важна - предпочтительна конфигурация из 8 относительно небольших HDD, вместо меньшего количества HDD большей емкости. По подсчетам эффективности и надежности винчестеров используются SATA - винчестеры.

Для реализации RAID Level-10 с использование жестких дисков Segate Barracuda 500Gb необходима сумма порядка 30 000 р.

Для обеспечения надежности функционирования технических средств  желательно использование источников бесперебойного питания (ИБП/UPS). На рабочих станциях будет достаточно использовать ИБП APC Back-UPS CS 500VA. По своим характеристикам и цене он отлично подходит для использования на этой организации.

Тип: линейно-интерактивный;

Окно пропускания 180 - 260В, изменяется в диапазоне 160 - 282В

Кол-во выходных розеток 3 + 1 без резервного питания;

Батареи необслуживаемые, герметичные, свинцовые аккумуляторные батареи с возможностью "горячей" замены;

Срок службы 3 - 6 лет;

Комплект заменяемых батарей - RBC2;

Время работы от батарей 15.9 минуты при нагрузке 150 ватт, 4.5 минуты при нагрузке 300 ватт;

Максимальная энергия входного импульсного воздействия 300 Джоулей; Время зарядки 6 часов;

Индикация по средством 4 индикаторов: Сеть, Заменить батарею, Питание от батареи (ИБП издает 4 коротких звуковых сигнала через каждые 30 секунд), Перегрузка (ИБП издает непрерывный сигнал);

Мощность 300 ватт;

Уровень шума 40 дБ(А) на расстоянии 1 м от поверхности устройства;

Интерфейс USB; кабель USB входит в комплект поставки;

Размеры внешние 9.14 х 16.51 х 28.45 см Вес 5.91 кг.

Стоимость такого решения для всех рабочих станциях на которых происходит обработка конфиденциальных документов будет составлять порядка 18 200 р.

Для сервера будет необходимо использование  Liebert GXT2U

ИБП c двойным преобразованием напряжения для цепей питания критичного оборудования, универсальной конструкцией напольного и стоечного 19" исполнения (2U вертикали), подключением неограниченного числа внешних батарей

UPStation GXT2 — надежный, высокоэффективный  «on-line» источник бесперебойного  питания (ИБП) с двойным преобразованием входного напряжения, внутренними батареями, размещаемыми в одном компактном корпусе — небольшой шкаф высотой 2U. Характеризуется легкостью обслуживания, имея батареи, которые пользователь может заменить самостоятельно

UPStation GXT2 обладает всеми функциями для защиты от провалов, выбросов, всплесков, перебоев, сильного понижения напряжения, а так же шумов, колебаний частоты и искажений формы волны. Обеспечивает коррекцию коэффициента мощности, преобразование частоты, имеет внутренние батареи с возможностью подключения неограниченного числа внешних батарей и ручной байпас.

Питание чувствительного к помехам  электронного оборудования производится переменным током идеальной синусоидальной формы

Преимущества:

• Технология on-line с двойным преобразованием
• Работа в стойке или в конфигурации «tower»
• Высота всего 2U ( мощностью до 3000 ВА, включая батарею);
• Возможность значительного увеличения времени автономной работы от батареи за счет внешних батарейных шкафов 2U «Plug and Play»;
• Совместимость с программным обеспечением Multilink фирмы Liebert (входит в комплект вместе с кабелем);
• Совместимость с Intellislot SNMP WEB картой;
• Возможность конфигурирования пользователем выходных параметров и сигналов тревоги;
• Возможность быстрой замены батарей;
• Широкий диапазон входного напряжения до 115 В в зависимости от нагрузки;
• Привлекательный внешний вид

Технологические особенности:

Подключаемая мощность 2000 ВА (Liebert GXT2 UPS 2000)

Для питания используется сетевой  источник переменного тока напряжением 208?240 В, частотой 50 или 60 Гц с надлежащим заземлением.

Нулевое время переключения питания

Конструкция он-лайн означает нулевое  время переключения с внешнего на внутреннее питание. В случае перебоев в электросети критичная нагрузка будет бесперебойно продолжать получать питание от UPStation GXT 2.

Качественное питание

Независимо от качества поступающего питания на выходе будет присутствовать чистое синусоидальное напряжение, в  точности соответствующее требованиям  критичного оборудования. В отличие от ИБП, работающих по другому принципу, UPStation GXT 2 решает все потенциальные проблемы с питанием.

  Преобразование частоты

Преобразование входного сигнала 60 Гц в выходной сигнал с частотой 50 Гц и наоборот без ухудшения  качества.

Подключение неограниченного числа внешних батарей

Для получения дополнительного  времени автономной работы от батарей  можно подключить любое количество батарейных шкафов 2U.

Стоимость такого решения будет  порядка 40000 р.

Для реализации связи по защищенному  каналу построенному по принципу VPN можно использовать программу OpenVPN — свободное программное обеспечение для поднятия VPN. Она написана Джеймсом Йонан(James Yonan), и распространяется под лицензией GNU GPL. Для обеспечения безопасности управляющего канала и потока данных, OpenVPN использует библиотеку OpenSSL. Благодаря этому задействуется весь набор шифров, доступных в данной библиотеке. Также может использоваться пакетная авторизация HMAC, для обеспечения большей безопасности, и аппаратное ускорение для улучшения производительности шифрования. Эта библиотека использует OpenSSL, а точнее SSLv3/TLSv1 протокол. OpenVPN используется на Solaris, OpenBSD, FreeBSD, NetBSD, GNU/Linux, Apple Mac OS X и Microsoft Windows.

OpenVPN предлагает пользователю несколько  видов аутентификации. Предустановленный ключ, - самый простой метод. Сертификатная аутентификация, - наиболее гибкий в настройках метод. С помощью логина и пароля, - может использоваться без создания клиентского сертификата (серверный сертификат все равно нужен).

OpenVPN проводит все сетевые операции через 1 IP порт. Могут использоваться как протокол UDP, более предпочтительный, так и TCP. Также возможна работа через большую часть прокси серверов, включая HTTP, через NAT и сетевые фильтры. Сервер может быть настроен на назначение сетевых настроек клиенту. Например: IP адрес, настройки маршрутизации и параметры соединения. OpenVPN предлагает два различных варианта сетевых интерфейсов, используя драйвер TUN/TAP. Возможно создание Layer 3 based IP туннель, называемый TUN, и Layer 2 based Ethernet – TAP, способный передавать Ethernet трафик. Также возможно использование библиотеки компрессии LZO, для сжатия потока данных. Используемый порт 1194 выделен Internet Assigned Numbers Authority для работы данной программы. Версия 2.0 позволяет контролировать несколько одновременных туннелей, в отличие от версии 1.0, позволявшей создавать только 1 туннель на 1 процесс.

Использование OpenVPN стандартных протоколов TCP и UDP позволяет ему стать альтернативой IPsec в ситуациях, когда Интернет-провайдер блокирует некоторые VPN протоколы.

Для ограничения доступа к оборудованию и usb портам необходимо использовать DeviceLock, который представляет собой средство контроля доступа к сменным носителям и устройствам в системах, работающих под управлением Windows NT/2000/XP и Windows Server 2008. DeviceLock позволяет назначать права доступа для пользователей и групп пользователей, контролировать доступ к дисководам, приводам CD-ROM, принтерным и модемным портам и любым другим устройствам. При этом поддерживаются все виды файловых систем - FAT, NTFS (версии 4 и 5), CDFS и другие.

DeviceLock имеет встроенные средства  удаленного администрирования, позволяющие  контролировать доступ к устройствам  на каждом компьютере в локальной  сети.

Использование неавторизованных USB устройств представляет угрозу корпоративным сетям и данным. Все это делает механизм аутентификации USB устройств, встроенный в DeviceLock, незаменимым и подчас безальтернативным решением проблем внутренней корпоративной безопасности.

Кроме доступа к USB портам, DeviceLock позволяет контролировать весь спектр потенциально опасных устройств: дисководы, CD-ROM, а также FireWire, инфракрасные, принтерные (LPT) и модемные (COM) порты, WiFi и Bluetooth адаптеры.

С помощью DeviceLock вы можете:

• Контролировать доступ пользователей или групп к устройствам (USB, FireWire, CD-ROM и т.п.);
• Контролировать доступ в зависимости от времени и дня недели;
• Установить доступ "только чтение" для сменных носителей, жестких дисков и CD-ROM-ов;
• Заблокировать доступ к USB порту, но разрешить использование заранее авторизованных устройств ;
• Защитить диски от случайного или преднамеренного форматирования;
• Управлять доступом через групповые политики в домене Active Directory ;
• Протоколировать обращения пользователей к устройствам.

Вывод

 

Персонал на предприятии является едва ли не основным источником утечки информации. Таким образом, после  того как были проведены работы по установке инженерно-технических  и программно-аппаратных средств  защиты, необходимо в обязательном порядке провести инструктаж персонала, а иначе все предпринятые ранее меры бесполезны. В случае если было установлено какое-то новое оборудование или программное обеспечение, необходимо провести обязательное обучение сотрудников, чтобы избежать некорректного обращения с ним. Так же необходимо разъяснить всем сотрудникам их действия в случае возникновения различного рода опасностей. Необходимо объяснить сотрудникам, не имеющим права работы с защищенными документами, порядок их действий в случае обнаружения такого документа. Для этого составляется «инструкция по обеспечению сохранности сведений составляющих коммерческую тайну. Только после всего этого мы сможем быть уверены, что защита документооборота будет обеспечена на необходимом нам уровне.

Также необходимо постоянное повышение квалификации сотрудников путем отправления их на курсы.

3. Расчет экономических затрат на разрабатываемую систему защищенного документооборота

 

Для того чтобы определить выгодно  ли вкладывать денежные средства в  предлагаемые средства защиты, необходимо рассчитать экономические затраты и возможный уровень ущерба, и сопоставить их стоимость.

Таблица 4. Расчет экономических затрат

Предлагаемое  мероприятие	Статьи затрат	Название предлагаемого  средства /исполнитель работ	Стоимость (руб.)	Примечание
Инженерно-техническая  защита	Шкаф для сервера	Шкаф ШС-1	7000	необходимое кол-во штук 1
	Кабель-каналы	Кабель-каналы «TEC»	5 000
	Источник бесперебойного питания	APC Back-UPS CS 500VA	18 200
	Источник бесперебойного питания	Liebert GXT2U	40 000
Программно  – аппаратная защита	RAID Lelel-10	Segate Barracuda 500Gb	30000
ИТОГО:	100200 руб.

 

Далее необходимо сравнить стоимость  улучшений СЗИ с возможным  ущербом, который могут причинить  злоумышленники.

Убытки от потери информации или  ее утечки в системе документооборота проводятся с учетом меры (вероятности) реализуемости P рассматриваемого пути, а также цены соответствующего элемента информации C. Угроза безопасности информации, выраженной в величине ущерба S от попадания ее к злоумышленнику, определяется для каждого пути в виде S = С*Р. Общий ущерб определяется суммой найденных значений.

Вероятность реализации угрозы (P) оценивается от 1 до 3. Стоимость ресурса (С) чаще всего ранжируется в диапазоне от 1 до 3, где за 1 берется самое низкое значение, а за 3 – самое высокое.

Шкала величины рисков S выглядит следующим образом:

3 ≥ SR ≥ 1 – низкий уровень риска

6 ≥ SR ≥ 4 – средний уровень риска

9 ≥ SR ≥ 7 – высокий уровень риска

Таблица 5. Оценка величины риска

Угроза	Стоимость ресурса (C)	Вероятность реализации угрозы (P)	Уровень риска S
1.Сведения о сотрудниках
Антропогенная	Средняя (2)	Высокая (3)	6	Средний
Техногенная		Средняя(2)	4	Средний
Стихийная		Низкая (1)	2	Низкий
2. Инструкции, положения, перечни
Антропогенная	Высокая(3)	Средняя (2)	6	Средний
Техногенная		Средняя (2)	6	Средний
Стихийная		Низкая (1)	3	Низкий
3. Финансовая документация
Антропогенная	Высокая (3)	Высокая (3)	9	Высокий
Техногенная		Средняя (2)	6	Средний
Стихийная		Низкая (1)	3	Низкий
4. Материалы, содержащие коммерческую тайну предприятия
Антропогенная	Высокая (3)	Высокая (3)	9	Высокий
Техногенная		Высокая(3)	9	Высокий
Стихийная		Низкая (1)	3	Низкий
5. Сведения, об используемых на  предприятии СЗИ
Антропогенная	Высокая (3)	Средняя (2)	6	Высокий
Техногенная		Средняя (2)	6	Высокий
Стихийная		Низкая (1)	3	Низкий
6 Сведения о клиентах, поставщиках
Антропогенная	Средняя (2)	Средняя (2)	4	Средний
Техногенная		Низкая (1)	2	Низкий
Стихийная		Низкая (1)	2	Низкий