Наряду с многократно обсуждавшейся защитой систем и приложений большое значение придается надежному и прозрачному проектированию сети — как в вычислительном центре, так и по его периметру, поскольку в результате все большей интеграции деловых процессов и систем ИТ возникает общая сеть, в которую «физически вовлечены» не только все внутренние подразделения предприятия, но часто и внешние деловые партнеры. Поэтому для всеобъемлющей защиты корпоративной сети необходим так называемый «зонный дизайн»: с его помощью обеспечивается, с одной стороны, защита различных областей, а с другой — их надежная взаимосвязь. По сути сеть делится на несколько зон — в каждой из них функционируют определенные системы с заданными службами. Все взаимодействие происходит путем определения и документирования «потоков трафика».

Определение зон происходит на основе доступа, особенно внешнего, а также путем типизации услуг и данных на системах. Простейший вариант классификации зон представляет собой следующее разделение:

  • серверная зона — все серверы;
  • клиентская зона — все конечные устройства и их процессы доступа;
  • зона Internet — внешний доступ;
  • зона Extranet — системы электронного бизнеса и коммуникационные шлюзы.

Часто такой классификации недостаточно. Тогда предприятиям приходится организовывать дополнительные зоны с использованием виртуальных локальных сетей, брандмауэров и маршрутизаторов. В первую очередь следует защитить высокочувствительные системы и конфиденциальные данные (см. Рисунок 1). Тогда соответствующими зонами могут быть следующие:

  • зона с высоким уровнем защиты: руководство предприятием и бухгалтерия;
  • производственная зона — машины и пункты управления;
  • зона управления — сетевое и системное управление;
  • зона резервного копирования — собственная сеть хранения данных.

В будущем зонный дизайн станет важным компонентом модульных вычислительных центров. Однако в концепции проектирования зон необходимо учитывать, что оно позволяет не только увеличить уровень безопасности, но и гибко адаптироваться к требованиям пользователей. Тем самым выполняются все условия для отображения различных деловых процессов, к примеру, планируемых приложений «бизнес для потребителя» (Business-to-Consumer, B2C).

ЗАЩИТА ДОСТУПА

Почти на каждом предприятии важная информация и процессы, в числе которых — деловые транзакции, данные о клиентах и конфиденциальные документы, хранятся на разных системах, причем, что бывает довольно часто, распределенных. В такой ситуации весьма непросто обеспечить к этим службам доступ только строго определенного круга лиц. Для этого нужны механизмы контроля и специальные решения для блокирования доступа — например, к информации высокой важности, которую необходимо защищать от любого неавторизованного доступа третьих лиц, в том числе и администраторов ИТ. Однако последние нередко обладают правами, позволяющими получить доступ ко всем данным на предприятии.

Таким образом, в вычислительных центрах с современной архитектурой необходимо обратить особое внимание на безопасность доступа. Фундаментальное значение для концепции технического решения имеет категоризация систем по данным и их важности для предприятия.

ВАЖНЫЙ КОМПОНЕНТ — РЕШЕНИЯ КОНТРОЛЯ ДОСТУПА

Важным компонентом в контексте безопасности являются так называемые решения контроля доступа. С их помощью можно организовать доступ к наиболее значимым для деятельности предприятия частям инфраструктуры. Высокопроизводительные решения позволяют реализовать систему директив, определяющих, к примеру, круг лиц, обладающих особыми правами. Благодаря такому регулированию можно заметно сократить потенциальные риски в области безопасности, касающиеся конфиденциальных деловых данных и приоритетных корпоративных служб.

ЗАЩИТА СЕРВЕРОВ ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА

Наряду с логическим контролем доступа должны существовать механизмы защиты и на физическом уровне, поскольку многие атаки происходят, часто оставаясь незамеченными, именно там: к примеру, установка опасного руткита или «хищение» данных. Для сокращения количества таких потенциальных точек атак в вычислительных центрах все чаще используются шкафы с аутентификацией пользователей: открытие такого шкафа возможно только при наличии смарт-карты или чипа RFID. Установить имевший место факт физического доступа к определенным системам можно, если систему регистрации доступа объединить с Active Directory или LDAP. Централизованное протоколирование попытки доступа гарантирует более качественный и эффективный анализ всех событий, связанных с обеспечением безопасности. Для разделения физического и логического доступа управление регистрацией должно осуществляться посредством системы ролей и прав.

СОСУЩЕСТВОВАНИЕ ОФИСНЫХ И ПРОИЗВОДСТВЕННЫХ ИТ

Промышленные производственные системы все чаще присоединяются к корпоративной сети с целью создания единой коммуникационной платформы. Кроме того, эти системы вместе со своими пультами подключаются к общей системе ERP для реализации сквозных процессов и рабочих потоков, так что граница между офисными и производственными информационными технологиями постепенно размывается.

В такой объединенной системе необходимо отслеживать различные слабые места: производственные системы более уязвимы, чем торговые. Причем для них защитные меры, такие как антивирусные средства, межсетевые экраны и системы управления обновлениями, могут быть реализованы лишь в ограниченном объеме. Поэтому уже при проектировании решения интеграции необходимо обращать внимание на повышенные требования к уровню защиты.

Одним из эффективных подходов является уже упоминавшийся зонный дизайн, поскольку он позволяет контролируемым образом защитить производственные системы и тем не менее осуществить интеграцию. Как следствие, на магистрали вычислительного центра должны быть установлены все необходимые решения и мощности, поскольку она поддерживает сразу все соединения.

УВЕЛИЧЕНИЕ ПРОИЗВОДИТЕЛЬНОСТИ ВИРТУАЛЬНЫХ ПЛАТФОРМ

Наряду с виртуализацией информационных технологий на уровнях сервера, системы хранения данных, сети и приложений, а также связанного с ними обеспечения гибкости и высокой готовности, для создания всеобъемлющего решения необходима интеграция пользователей. Предоставление так называемых услуг с самообслуживанием позволяет максимально эффективно использовать динамические виртуализованные платформы инфраструктуры ИТ. Самообслуживание позволяет выделять ресурсы ИТ не с запасом, а лишь в том объеме, в каком они действительно нужны.

Благодаря привлечению к процессу пользователей удается сократить затраты на техническую справочную службу и администрирование вычислительного центра — при одновременном повышении гибкости, необходимой сотрудникам предприятий. Реализация сравнительно проста: при помощи порталов с дружественным интерфейсом можно отслеживать процессы предоставления услуг (самообслуживание пользователя), к примеру, изменение или отмену паролей или назначение прав специализированным подразделениям.

Через те же порталы сотрудникам предоставляется возможность самостоятельного управления необходимыми службами ИТ (самообслуживание клиента), изменения размера почтового ящика, предоставления приложений по требованию или настройки функций обеспечения безопасности, к примеру, удаленного доступа или доступа по виртуальной частной сети (Virtual Private Network, VPN). На всех уровнях самообслуживания за реализацию процессуальных требований отвечают рабочие потоки и процессы выдачи разрешений. Таким образом, правильно выбранный путь при проектировании зон может обеспечить не только достаточный уровень защиты, но и увеличить эффективность всех задействованных процессов. Выгода заключается не только в сокращении затрат,
но и в увеличении гибкости.

Маркус Гайер — генеральный директор компании @yet.

© AWi Verlag

Рисунок 1. Проектирование зон в вычислительном центре: с особой тщательностью следует защищать высокочувствительные системы и конфиденциальные данные.

Безопасность вычислительного центра — защита серверного помещения

Стандартные меры безопасности по защите ИТ. Наиболее важными требованиями являются следующие.

ЗАЩИТА ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА

Защита объектов:
          здание, забор.

Контроль доступа:

  • выдача ключей (подходит только для небольших областей);
  • наличие проходной (большая нагрузка на персонал, зависимость от персонала);
  • система контроля доступа (очень гибкая);
  • защита системы подачи питания: 
       – распределительная сеть;
       – защита от высокого напряжения;
       – ИБП, генератор аварийного тока;
       – кабельные трассы.
  • защита от огня:
       – конструктивная защита;
       – техническая защита.

Соблюдение параметров климата

Классический вычислительный центр:

  • температура, защита от пыли, влажность воздуха, подача свежего воздуха
       – комплексная система климатизации.

Серверные помещения:

  • температура, защита от пыли, влажность воздуха
       – охлаждение.

Проблемные области:

  • нет постоянно присутствующего персонала
  • размещение в труднодоступных местах (в подвалах и пр.);
  • помехи со стороны технических систем;
  • защита от воды.

Возможные источники опасности:

  • дождевая вода (плоская крыша, открытое окно);
  • вода, используемая для пожаротушения;
  • напитки;
  • охлаждающие средства.

Проблемные области:

  • внешнее воздействие (ураган, град);
  • безразличное отношение;
  • несоблюдение указаний;
  • неправильная оценка ситуации;
  • вред, причиненный в результате проведения других работ.

ИНФРАСТРУКТУРНЫЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ

При выборе и проектировании вычислительного центра или серверного помещения необходимо принять ряд инфраструктурных и организационных мер.

Иногда приходится действовать разными методами в зависимости от того, где будет находится серверное помещение — в новом здании или в уже построенном. Во втором случае возможности реализации адекватной защиты ИТ весьма ограничены. В любом случае необходима правильно скоординированная схема планирования и реализации.

При планировании серверных помещений, где предусмотрена инсталляция систем подачи питания, климатизации и защиты от пожара, следует обеспечить должный уровень физической безопасности. Для этого необходимо, в частности, вывести водопроводные трубы из серверной комнаты. При повышенных требованиях к доступности следует позаботиться о достаточной избыточности технической инфраструктуры, чтобы обеспечить нормальную работу в случае каких-либо отказов.

Доступ к вычислительному центру могут получать лишь те лица, кому для выполнения их рабочих задач необходим прямой доступ к серверам и прочим устройствам, например коммуникационным распределителям или брандмауэрам. Запрет курения внутри здания даже не обсуждается. Серверные помещения всегда должны быть закрыты, если внутри никого нет.