При новом порядке

Стратегии управления Intranet ныне в моде. В нашей статье мы описываем некоторые неожиданные возможности.

НЕ ПОЗВОЛЯЙТЕ, ЧТОБЫ ЭТО С ВАМИ СЛУЧИЛОСЬ
За воротами

Прогуливаясь по выставке Internet World в Нью-Йорке в декабре прошлого года, мы не переставали удивляться большому числу продуктов для разработки и реализации корпоративных сетей Intranet. Всего лишь за год до этого, когда выставка проходила в Бостоне, предложения для Intranet в глаза не бросались.

Нет никакого сомнения, что 1996 год стал годом Intranet. Начинавшиеся как системы для нескольких опытных пользователей, сети Intranet стали рекламироваться в качестве инфраструктуры, внедрение которой кардинальным образом изменит саму организацию бизнеса.

Зачастую, когда говорят об Intranet, имеют в виду изолированную от Internet или скрытую за брандмауэром внутреннюю корпоративную сеть и выполняющиеся в ней приложения на базе Internet. И действительно, подавляющее большинство сетей Intranet опирается на Web как на базис. Технологии Web просты в использовании, благоприятствуют эффективному разделению ресурсов, имеют открытую архитектуру и работают независимо от вычислительных платформ конечных пользователей. Кроме того, продукты на базе Web, такие как серверы и браузеры, появляющиеся словно грибы после дождя, повышают доступность технологии для корпоративных конечных пользователей. Еще одно преимущество технологий Intranet на базе Web в том, что организация может без труда добавить серверы и приложения Web при модернизации сетевой инфраструктуры.

ПРИОБЩЕНИЕ К INTRANET

При всей быстроте эволюции Intranet управление системами в масштабе предприятия остается далеко позади. Персонал ИС часто оказывается в незавидном положении, когда он вынужден на скорую руку ставить заплаты (например, затыкать дыры в сети). К сожалению, такая стратегия - назовем ее стратегией реактивного управления - неизбежно приводит к катастрофе: если база данных или сервер Web выходят из строя в рабочее время, то работа всей организации может остановиться.

Успех Intranet зависит от нескольких факторов. Отсутствие, например, надлежащих процедур резервного копирования чревато безвозвратной потерей критически важных данных, а плохо функционирующая инфраструктура сети может вызвать общее недовольство пользователей. Ключом к предотвращению такого рода проблем служит планирование и надежная документированная практика управления.

Из-за отсутствия единообразия в замыслах и реализации Intranet общего решения проблемы управления не существует. Однако хорошей исходной точкой было бы определение правил и процедур использования Intranet. Эти правила необходимо отразить в краткой и емкой документации с описанием условий их использования. Например, документация должна содержать формальное описание того, что сотрудники имеют право делать в зависимости от того, к каким узлам Web они обращаются.

Что касается использования в нерабочих целях, документация должна четко указывать разрешенные для этого часы, а также определять электронную информацию, рассматриваемую как собственность вашей компании (например, внутреннюю электронную почту и внутренние объявления на электронных досках объявлений). Необходимо четко определить, какую информацию допустимо и какую не допустимо помещать в сообщения.

После составления документов согласуйте их с руководством и юрисконсультом фирмы. Затем они должны быть доведены до сведения всех сотрудников.

Правила и процедуры образуют базис стратегии управления Intranet. Другие уровни включают управление сетью, приложения, управление информационным наполнением, защиту информации и аварийную систему предупреждения. Для каждого из них вы должны разработать и реализовать подробную стратегию управления.

ПОСТРОЕНИЕ МАГИСТРАЛИ

Сеть представляет собой сложную систему кабелей, концентраторов, мостов, маршрутизаторов и других компонентов, работающих на высокой скорости с множеством протоколов. Эти устройства составляют основу вашей сети Intranet, так что проблемы с любым из них могут повлиять на работу компании в целом.

Первый шаг, который вы должны предпринять при разработке стратегии управления сетью, - документирование всех ресурсов вашей сети, включая аппаратное и программное обеспечение, а также телефонные номера технической поддержки поставщиков. Нарисуйте диаграмму сети с указанием местоположения всех концентраторов, коммутаторов и кабелей и документируйте ключи или коды защиты доступа к закрытым областям. Кроме того, ведите подробную запись всех проблем с сетью.

Следующий ваш шаг - разработка стратегии управления IP-адресами, что особенно важно в случае крупных организаций, где управление многочисленными IP-адресами и именами хостов, как правило, отнимает много времени и чревато ошибками. Проблему можно свести к минимуму, если запретить конечным пользователям назначать IP-адреса и присваивать имена хостам самостоятельно. В противном случае появление двойных IP-адресов и бессмысленных имен хостов практически неизбежно.

Другая эффективная стратегия состоит в создании подсетей и выделении диапазона адресов для каждого логического подразделения вашей компании. Имена хостов должны отражать местонахождение (например, cube-177.mainoffice.company.com) или следовать схеме деления на отделы в соответствии с такими признаками, как штат или цвет (например, michigan.mainoffice.company.com). Поместите регистрационные формы и формы запросов об изменении адресов и имен на узле Web и храните данные либо в базе данных, либо в файле для контроля. Исчерпывающий список выделенных адресов и присвоенных имен поможет вам и конечным пользователям решить проблему адресации.

Если ваша сеть Intranet полностью изолирована или предлагает только посреднические услуги в Internet, вы можете выбрать любую схему IP-адресации с использованием номеров с 1 по 254.

Номер 1 в каждой подсети лучше зарезервировать для шлюза. Кроме того, мы рекомендовали бы оставить все номера меньше 15 для сетевого оборудования, принтеров и тестовых машин отдела ИС.

Для поддержки и управления динамической IP-адресацией можно использовать протокол динамической конфигурации хостов DHCP для машин под Windows и BOOTP для машин под Unix. С помощью этих протоколов компьютеры могут запрашивать у сервера IP-адреса из зарезервированного пула адресов. Использование последнего позволяет поддерживать DNS в синхронизированном состоянии, но помните, что каждому сетевому сегменту или подсети необходимо иметь собственный сервер

IP-адресов с зарезервированными адресами. Если вы подключены к Internet, то для получения блока адресов следует обратиться в InterNIC по адресу: www.internic.net.

Резервное копирование - одна из функций управления сетью, о которой часто забывают. Все критические для бизнеса системы и данные необходимо резервировать ежедневно в нерабочее время. Кроме того, проинформируйте пользователей об именах и местоположении серверов резервного копирования, чтобы они могли обращаться к ним для резервного копирования и архивирования данных. Хорошо бы хоть раз в неделю отдавать магнитную ленту на хранение в другое помещение. К тому же резервирование нужно проводить планово в соответствии с заранее составленным графиком, а пользователи должны иметь возможность без труда восстановить необходимые им данные.

Автоматизируйте как можно больше процессов управления. Это позволит вам сэкономить драгоценное время, которое лучше использовать для более важных дел, например для планирования будущих нововведений или обновления информационного наполнения.

Решение по автоматизации может быть и простым, и сложным: например, написать несколько сценариев и программ для контроля таких параметров, как загруженность и состояние сервера, соединения с удаленными узлами и накопление недоставленной почты, или использовать какую-либо мощную систему управления типа TME 10 Net.Commander компании Tivoli. Это приложение автоматически определяет все серверы в сети, распространяет программное обеспечение и выполняет мониторинг сети. Таким образом, с его помощью вы можете контролировать доступ пользователей к вашему серверу Web.

Одной этой системой список приложений управления, конечно, не исчерпывается. Например, программное обеспечение серверов Web следующего поколения типа Netscape Enterprise Server имеет в целях упрощения управления интерфейс на базе Web. Использование закрытого паролем интерфейса позволяет запускать и останавливать сервер Web и менять настройки с любой машины в сети.

Управление сетью помогут упростить и такие устройства, как буквенно-цифровые пейджеры, если к ним есть электронный доступ через модемы, электронную почту или узлы Web. Многие компании используют узлы Web для интеграции пейджинговой связи в систему управления. Такая система позволяет практически мгновенно извещать о возникающих в вашей сети Intranet проблемах.

ОСВОЕНИЕ ПРИЛОЖЕНИЙ

Приложения составляют следующий уровень стратегии управления Intranet. Сети Intranet поддерживают самые разные приложения: браузеры Web, пакеты электронной почты, ftp, программное обеспечение коллективной работы, доски объявлений, видеоконференции, апплеты Java и заказные программы. Отбор приложений не должен представлять затруднений: выясните пожелания пользователей, проведите ревизию наличного программного обеспечения и выберите то, которое наилучшим образом подходит для вашей среды.

Если новые приложения Internet интегрируются с существующими, то вы можете столкнуться с некоторыми трудностями. Чтобы свести возможные проблемы к минимуму, обучите несколько опытных пользователей работе с этими приложениями и протестируйте все изменения на нескольких машинах с выделением серверов. Если нельзя разрешить возникающие трудности собственными силами, то обратитесь к поставщику. Только после того как все выявленные проблемы устранены, вы можете развертывать эти приложения в масштабах всей компании.

Другим важным аспектом управления приложениями является обучение конечных пользователей. Вряд ли они располагают свободным временем на самостоятельное освоение нового программного обеспечения, поэтому их обучение представляется кратчайшим путем к его освоению.

При составлении стратегии обучения вы должны сами сесть за новое программное обеспечение и попытаться с его помощью решить те задачи, для которых его будут применять пользователи. Например, развертывая новый пакет электронной почты, запишите всю последовательность действий при отправке и просмотре почты. Кроме того, надо будет описать, как сохранять почту в папку по выбору, как фильтровать приходящую почту, как создать список рассылки и т. д.

Написав документацию, преобразуйте ее в интерактивно доступное руководство для начинающих. Укажите все различия между новой и старой системами и объясните пользователям, в чем недостатки старой системы и достоинства новой. Если вы имеете интерактивно доступную корпоративную доску объявлений, то вы можете организовать что-то вроде внутренней конференции или дискуссии, где пользователи будут обмениваться вопросами и ответами, делиться своим опытом и знаниями.

АКТИВНЫЕ ИНГРЕДИЕНТЫ

Одна из основных причин для развертывания Intranet состоит в упрощении совместного использования информации. Часто пользователи и подразделения проявляют желание сделать свою информацию доступной интерактивно. Если этот процесс оставить без контроля, то он приобретет хаотический характер: пользователи начнут писать свою информацию поверх чужой, ссылки будут устаревать или указывать на несуществующие ресурсы, а информационное наполнение станет неупорядоченным.

Контроль за информационным наполнением не всегда прост, как хотелось бы. Но если вы напишете документацию с правилами добавления и изменения информационного наполнения, этот процесс будет существенно проще. Реализуйте систему контроля за изменениями информационного наполнения упорядоченным образом. Например, пользователи должны хранить историю всех сделанных изменений на случай, если им понадобится предыдущая версия. Кроме того, только один пользователь может иметь право редактировать какой-либо документ в конкретный момент времени.

Другая сфера, за которой вам надо постоянно следить, - ссылки. Они подобны информационному наполнению в том отношении, что полезность и привлекательность узла Web быстро сходит на нет, если они устаревают. К сожалению, отслеживание ссылок - задача не из легких, в особенности если некоторые из них указывают на узлы в Internet. Ввиду отсутствия запоминания адресов в Web внутренние и внешние ссылки могут появляться и исчезать в мгновение ока.

Однако управлять ссылками вам могут помочь несколько приложений. Например, программа WebMapper компании NetCarta (приобретена Microsoft в 1996 году) выполняет автоматическую проверку ссылок на вашем узле. Если вы не хотите тратить деньги на коммерческое приложение, то попытайтесь найти в специализированных изданиях сценарии для проверки ссылок. Эти сценарии можно без труда доработать с тем расчетом, чтобы они проверяли ссылки автоматически и отправляли сообщения по электронной почте о висячих ссылках.

Другой компонент управления информационного наполнения - анализ использования вашего узла. Он позволит выявить слабые места - например страницы, к которым никто не обращается, или программы, которые никто не запускает. Если вы поместили важное объявление, то с помощью анализа можно увидеть, кто его прочитал, а кто нет. Такой анализ поможет также определить время, которое пользователи тратят на просмотр той или иной страницы, ресурсы, к которым они обращаются чаще всего, периоды напряженного трафика и т. п.

Как и при управлении ссылками, проанализировать использование узла вам могут помочь несколько инструментов. Например, net.Analysis Pro от net.Genesis представляет собой межплатформенное приложение для анализа узлов Web со средним и высоким трафиком.

Приложение это использует реляционную базу данных и предоставляет несколько средств навигации, позволяющих получить подробную информацию о вашем узле Web. Кроме того, net.Genesis предлагает настольную версию продукта для узлов с относительно небольшим трафиком.

Другое приложение для анализа - WebTrends компании e.g. Software для составления отчетов об Intranet. Например, вы можете получить данные о том, какие отделы обращаются к вашему серверу, в какое время они это делают, какие программы они для этого используют и т. п. Существенным недостатком этого приложения является то, что оно не использует базы данных, а это затрудняет выявление тенденций за продолжительный период.

Bazaar Analyzer от Aquas Software имеет интерфейс Java. Продукт не нужно устанавливать на настольную систему, поэтому с ним может работать любой пользователь с Java-совместимым браузером. Приложение имеет также широкий выбор настраиваемых отчетов, режимы работы в реальном времени и встроенного планировщика.

Вы можете также найти бесплатные программы анализа в Internet по ключевым словам "web site", "log" и "analysis"; правда, в своих функциональных возможностях они ограничены.

КЛЮЧИ К КОРОЛЕВСТВУ

Все вышеперечисленные аспекты управления Intranet не имеют никакого значения, если вы не сформулировали правила и не реализовали систему защиты информации. Ваша информационная система может понести громадный урон, если какой-либо злонамеренный или просто любопытный пользователь получит доступ туда, куда ему не положено (см. врезку "За воротами").

Система информационной безопасности имеет несколько уровней. Основной из них - защита инфраструктуры сети. Такое оборудование, как файловые серверы, маршрутизаторы, концентраторы и серверы удаленного доступа, должно находиться в защищенных областях. Если какое-то оборудование в силу тех или иных причин находится в незащищенных областях, то риск взлома можно свести к минимуму посредством ограничения числа входов. Однако защищенные хосты не должны слепо доверять такой машине. Более того, периодически следует проводить проверку этой машины.

Типичная сеть Intranet состоит из километров кабеля, причем зачастую кабель прокладывается в пустотах под полом или над потолком. Эти пустоты представляют собой отличные укрытия для тайной установки следящих устройств. Используйте средства фильтрации пакетов маршрутизаторов и другого сетевого оборудования для ограничения доступа к жизненно важным машинам и подсетям.

Следующий уровень защиты касается передачи данных. Один из способов защитить данные при передаче - это применить шифрование. Шифрование с открытыми/личными ключами, цифровые подписи, Kerberos, протоколы SSL и Secure HTTP - вот лишь некоторые средства шифрования данных при передаче по сети.

Предотвращение несанкционированного доступа к закрытой информации или сервисам также чрезвычайно важно. Доступ к серверам с важной информацией должен быть закрыт как минимум паролем, причем пользователи обязаны предъявлять цифровой сертификат от доверенного уполномоченного. Администратору следует регулярно проверять журнал обращений к этим серверам в целях выявления таких событий, как повторяющиеся неудачные попытки входа, доступ с неизвестных машин и т. п. Он должен также периодически вычислять контрольные суммы важнейших системных программ и проверять систему на наличие вирусов (особенно это касается машин под Windows).

Администратору следует обезопасить все программное обеспечение серверов, в особенности несерийные программы типа сценариев CGI на серверах Web. Помочь в написании программ для доступа к важным данным могут такие методы, как CGI Wrap. Более или менее сведущий пользователь может без труда воспользоваться известными дырами в стандартном программном обеспечении типа sendmail и ftp, если только отдел ИС своевременно их не закроет. Программы проверки системы защиты типа Crack или SATAN позволяют анализировать систему на предмет наличия в ней известных дыр.

Рабочие станции пользователей являются, вероятно, наиболее уязвимыми компонентами Intranet. Заражение машин вирусами, махинации с электронной почтой и злоупотребление правами доступа - обычное дело. Так уж сложилось, что пользователи относятся к паролям весьма легкомысленно: их выбор зачастую чересчур прост, к тому же они имеют привычку записывать пароли на листе бумаги на своем столе.

Чтобы кто-нибудь посторонний не воспользовался открытым пользователем сеансом, администратор должен настаивать на том, чтобы пользователи блокировали свою консоль, когда они уходят от компьютера. Многие системы позволяют блокировать систему, если пользователь не производил никаких действий в течение заданного периода времени.

ХОЛОДНЫЙ ПОТ

Все мы рано или поздно сталкиваемся с этим - с катастрофой, в результате которой работа всей сети останавливается. В одной из компаний, в которых нам довелось работать, катастрофа была вызвана выполнением команды rm -rf на файловом сервере пользователем с полномочиями root. Сотрудник отдела ИС, подавший эту команду, не подозревал о том, что работает под root, и никак не мог понять, почему процесс выполняется так долго. Он пошел покурить, а когда вернулся, содержимое всего дискового массива RAID на 20 Гбайт было стерто. Большую часть данных удалось восстановить с резервных копий, но они были недельной давности.

В другой компании волоконно-оптическая магистраль была повреждена бульдозером. Мы не имели резервного сервера, так что, пока кабель не был заменен, пришлось сидеть "на бобах" четыре дня.

Хотя некоторые чрезвычайные ситуации просто невозможно предвидеть, разница между небольшой помехой и полной катастрофой определяется планированием и принятием превентивных мер. Частое резервирование позволит избежать многих ситуаций, чреватых потерей данных.

Кроме того, зеркальное копирование содержимого на другую машину поможет сэкономить вам несколько часов или дней при возникновении проблем с конкретной системой.

Что касается защиты оборудования, серверные комнаты должны иметь хорошую систему вентиляции и быть оснащены средствами для тушения пожаров.

Хорошо спроектированная сеть обеспечивает необходимую меру избыточности. Если связь с удаленными узлами осуществляется через частную виртуальную сеть, то, быть может, есть смысл подписать соглашение еще с одним провайдером (на случай, если у первого из них возникнут проблемы).

Многие компании имеют собственные команды быстрого реагирования. Такая команда может объединять представителей из отдела ИС, руководства, всех отделов и администраторов Web. Каждый член команды по очереди неделю дежурит на телефоне на случай возникновения чрезвычайной ситуации. Если ему необходимо отлучиться из офиса по своим делам, то и тогда он должен быть доступен, например через пейджер.

Но есть у вас такая команда или нет - не важно; вам все равно необходимо разработать план восстановления Intranet после аварий. Найдите время подумать, какие неприятности могут случиться с вашей системой, и разработайте порядок действий для выхода из таких ситаций. Запишите контактную информацию, например номера телефонов и пейджеров всех ваших поставщиков и ответственных за информационную безопасность, чтобы вы могли с ними быстро связаться. Пересматривайте периодически план с целью учета изменений в вашей системе.

ЗРЕЛОСТЬ СИСТЕМЫ УПРАВЛЕНИЯ

Меры, обсуждаемые в нашей статье, - это только исходная точка для эффективного управления Intranet. Готового решения для каждой системы просто не существует, значит, вам самим решать, что для вашей организации важно, а что нет. Разработка, реализация и доведение плана управления часто занимают месяцы, но в данном случае овчинка стоит выделки.

Сети Intranet пока находятся в младенческом состоянии, однако по мере их совершенствования будут совершенствоваться и методы управления, а доморощенные системы заменяться на интегрированные комплекты инструментов. С повышением степени интеграции Intranet поставщикам будет проще разрабатывать пакеты для управления ею. Новое поколение продуктов должно появиться уже в ближайшие годы.

Однако помните, что ничто не сможет заменить хорошо продуманный, основанный на здравом смысле подход к управлению, учитывающий все аспекты вашей сети Intranet. Даже наиболее совершенные продукты в мире не смогут защитить вашу сеть при отсутствии плана управления.

НЕ ПОЗВОЛЯЙТЕ, ЧТОБЫ ЭТО С ВАМИ СЛУЧИЛОСЬ

За воротами

Вы рассматриваете информационную безопасность как одну из тех вещей, о которых вы позаботитесь, когда дойдут руки? Вы пренебрегаете ею, потому что вам не хватает времени и потому что вы заняты введением и оформлением информационного наполнения? Если вы, отвечая на эти вопросы, говорите "да", то читайте дальше.

Опубликованная в "Нью-Йорк Таймс" статья в августе 1995 года рассказывала о неком русском по имени Владимир Левин и его двух безымянных соучастниках. Эта троица, как утверждалось, взломала корпоративную компьютерную систему банка Citibank и перевела 10 млн. долларов из американских фондов на банковские счета в несколько точек мира. Большую часть денег удалось в конце концов вернуть обратно, но официальные лица по-прежнему озабочены возможностью атак других хакеров на их системы управления наличностью.

Вы все еще не обеспокоены проблемой защиты сети? Надеемся, что следующая душераздирающая история убедит вас в этом окончательно и бесповоротно. Статья в "Нью-Йорк Таймс", опубликованная в мае 1995 года, содержит отчет о событиях, участником которых был Билл Гаеде, бывший сотрудник Advanced Micro Design и Intel. Гаеде признался в том, что он использовал свой домашний компьютер для просмотра микросхем процессоров 386, 486 и Pentium и снял его на видеопленку. Позднее Гаеде продал пленку Кубе, а та передала ее бывшим Восточной Германии и Советскому Союзу. Мотивы: личная корысть и любовь к коммунизму. По оценкам, потери только в 1991 году составили 165 млн. долларов, с тех пор они многократно выросли.

Мораль этой истории такова - защиту сети, включая все элементы сети Intranet, никогда нельзя откладывать на потом. Новые версии программного обеспечения, внесение последних исправлений и контроль за подозрительными действиями в вашей сети помогут вашей компании избежать упоминания ее имени в качестве жертвы подобных историй.