Цель аудита сети - анализ уязвимостей компонентов автоматизированных систем (таких как сервера баз данных, межсетевые экраны, маршрутизаторы, сервера приложений, терминальные, почтовые, WEB, рабочие станции) с целью устранения этих уязвимостей, оптимизации и повышения надежности.
Аудит локальной сети - это комплексная диагностика платформы функционирования информационной системы и ее составной части - компьютерной сети с целью локализации дефектов и «узких мест», характеризующих общее состояние, а также дающее возможность оценить количественные характеристики и качество обслуживания.
В рамках технического аудита сети проводится комплекс работ, позволяющих сделать достоверные выводы о производительности и исправности серверов, рабочих станций, активного оборудования, каналов связи локальной и распределенной сети, каналов связи с Internet (качество услуг ISP), а также о качестве работы основных сетевых сервисов (WEB, SQL, SMTP).
Для чего нужен аудит ЛВС
Многие организации производят стыковку своих сетей с общественными сетями передачи данных (Public Data Networks), в частности с Internet. В связи с этим обеспечение безопасности передаваемой и хранимой информации требует все больших усилий.
Кроме того, безопасность информации напрямую зависит и от надежности работы самой сети, поэтому неудивительно, что все меньше остается предприятий, желающих строить сети кустарным способом. Большинство их доверяют проектирование и построение сетей специализированным фирмам. Это дает возможность предприятию получить грамотно реализованную компьютерную сеть, но, конечно, не гарантирует безопасности информации. Для этого необходимо осуществлять специальные организационно-технические меры.
При правильном использовании возможностей аудита можно без дополнительных финансовых затрат существенно повысить безопасность информации в имеющейся компьютерной сети.
Аудит ЛВС целесообразно проводить в следующих случаях:
1. перед модернизацией сети, если Вы хотите спроектировать новую сеть на основе объективных «цифр», а не на основе «субъективных ощущений» администратора сети
2. чтобы установить истину, когда одна сторона утверждает, что виновата сеть, а другая сторона, что виноваты прикладные программы
3. после модернизации сети, чтобы убедиться, что сеть была спроектирована адекватно требованиям ТЗ, например, если системный интегратор при сдаче сети заказчику не проводил ее комплексное тестирование (а проверил, например, только качество кабельной системы)
4. при запуске нового программного обеспечения, когда необходимо установить является ли существующая сеть приемлемой технически и/или субъективно, для функционирования нового комплекса
5. при возникновении подозрений в утечке трафика и несанкционированного доступа к ресурсам локальной сети Заказчика
6. для оценки качество сервиса. Например, чтобы убедиться, что ISP выполняет взятые на себя обязательства по качеству предоставляемого сервиса (производительности канала, его доступности и т.п.)
7. при передаче функций администрирования локальной сети другому лицу или организации.
Что входит в аудит локальных вычислительных сетей
Внутренний аудит ресурсов локальной сети:
Изучение особенностей аппаратных и программных ресурсов рабочих станций и серверов локальной сети Заказчика
Состояние носителей информации, их отказоустойчивость
Наличие систем резервного копирования информации
Анализ распределения прав доступа и возможностей получения информации из публичных или удалённых сетей
Сканирование локальной компьютерной сети заказчика
Сканирование позволяет выявить уязвимости, которые есть в сети, даст четкую картину того, что видит взломщик при атаке на компьютеры или сеть.
Любой узел, предоставляющий какой-нибудь сервис, не может быть на 100% защищен. Если компьютер уязвим, то уязвимость в какой-то момент времени может быть использована. Даже наиболее сложные системы безопасности могут иметь «дыры» и аудит системы безопасности с внешней стороны является наилучшим способом обнаружить это.
Сканирование включает более 1000 тестов для ОС UNIX, Windows и активного сетевого оборудования. Некоторые тесты называются «сбор информации» и они производятся для того, чтобы показать, что постороннее лицо может узнать о вашем компьютере. Остальные тесты проверяют уязвимость систем, производиться сканирование на наличие известных «дыр».
Каждый компьютер сканируется на наличие открытых портов, и пользователи будет знать, какие из запущенных сервисов видны и уязвимы для хакерских атак.
Сканирование не наносит вреда, так как «разрушительные» действия не предпринимаются.
При сканировании риск минимизируется, избегается перегрузка сети или превышение максимума пропускной способности сети.
Однако не стоит считать сканирование панацеей от всех бед. Эти работы ни в коем случае не заменяют полного комплекса мер по обеспечению режима безопасности. Они всего лишь помогают быстро проверить сотни узлов, в т.ч. и находящихся на других территориях.
Они помогут обнаружить практически все известные уязвимости и порекомендовать меры, их устраняющие. Они автоматизируют этот процесс, а с учетом возможности описания своих собственных проверок, помогут эффективно применять их в сети любой организации, учитывая именно вашу специфику.
Надо помнить, что сканер - это всего лишь часть эффективной политики безопасности сети, которая складывается не только из применения различных технических мер защиты (средств анализа защищенности, систем обнаружения атак, межсетевых экранов и т.п.), но и из применения различных организационных и законодательных мер.
Внешний аудит, тестирование на проникновение
Выявление в предоставленных для исследования Интернет-ресурсах Заказчика уязвимостей и определение их уровня.
В случае обнаружения уязвимостей, Исполнитель предоставляет документальные доказательства возможности компрометации, искажения, уничтожения критичной информации Заказчика в предоставленных для исследования Интернет-ресурсах Заказчика;
На основании результатов проведенных работ Заказчик сможет:
Определить эффективность защиты критичной информации от несанкционированного доступа через Интернет
Устранить существующие уязвимости принадлежащих Заказчику Интернет-ресурсах
Уменьшить риск несанкционированной компрометации, искажения, уничтожения критичной информации Заказчика со стороны глобальной компьютерной сети Интернет
Результаты аудита локальных вычислительных сетей
В результате проведения обследования Заказчик получает:
Перечень выявленных уязвимостей (слабых мест) в настройках оборудования, сетевых сервисов, операционных систем, прикладного программного обеспечения
Подробное описание каждой обнаруженной уязвимости, ее расположение и оценка возможных последствий ее использования злоумышленниками
Рекомендации по нейтрализации уязвимостей (снижению возможного ущерба от их использования злоумышленниками), изменению конфигурации и настроек компонент АС, используемых защитных механизмов, установке необходимых обновлений (patches, hot-fixes) установленного программного обеспечения и т.п.
Технический Аудит Сети - это комплексная проверка сети, результатами которой являются:
1. письменное заключение о качестве работы сети:
Информация о характеристиках работы сети
Дефектах
Процедура АУДИТА
Технический аудит ЛВС проводят специалисты компании СЦ Компьютерные системы.
Результаты технического аудита позволяют руководителям компаний:
Объективно оценить соответствие ИТ требованиям бизнеса
Провести анализ выявленных недостатков и упущений
Обосновать потребность в инвестициях в управленческую деятельность
Прогнозировать развитие ситуации и надежно управлять ею
Эффективно планировать развитие ИТ-структуры организации
Осознавать выгоды и риск при внесении изменений в информационную систему
Прогнозировать возникновение проблемных ситуаций (проблем и инцидентов)
Обосновано решать проблемы информационной безопасности и контроля деятельности
Аргументированно приобретать или модернизировать аппаратно-программные средства
Принимать своевременное решение о приобретении технических услуг (outsourcing)
Проводить планомерное повышение квалификации сотрудников ИТ-подразделений
Управлять ИТ-составляющей бизнес-проектов (контролировать время и стоимость их реализации, оценивать полноту достижения целей).
Цель аудита сети - анализ уязвимостей компонентов автоматизированных систем (таких как сервера баз данных, межсетевые экраны, маршрутизаторы, сервера приложений, терминальные, почтовые, WEB, рабочие станции) с целью устранения этих уязвимостей, оптимизации и повышения надежности.
Аудит локальной сети - это комплексная диагностика платформы функционирования информационной системы и ее составной части - компьютерной сети с целью локализации дефектов и "узких мест", характеризующих общее состояние, а также дающее возможность оценить количественные характеристики и качество обслуживания.
В рамках технического аудита сети проводится комплекс работ, позволяющих сделать достоверные выводы о производительности и исправности серверов, рабочих станций, активного оборудования, каналов связи локальной и распределенной сети, каналов связи с Internet (качество услуг ISP), а также о качестве работы основных сетевых сервисов (WEB, SQL, SMTP).
Для чего нужен аудит ЛВС
Многие организации производят стыковку своих сетей с общественными сетями передачи данных (Public Data Networks), в частности с Internet. В связи с этим обеспечение безопасности передаваемой и хранимой информации требует все больших усилий. Кроме того, безопасность информации напрямую зависит и от надежности работы самой сети, поэтому неудивительно, что все меньше остается предприятий, желающих строить сети кустарным способом. Большинство их доверяют проектирование и построение сетей специализированным фирмам. Это дает возможность предприятию получить грамотно реализованную компьютерную сеть, но, конечно, не гарантирует безопасности информации. Для этого необходимо осуществлять специальные организационно-технические меры.
При правильном использовании возможностей аудита можно без дополнительных финансовых затрат существенно повысить безопасность информации в имеющейся компьютерной сети.
Аудит ЛВС целесообразно проводить в следующих случаях:
- перед модернизацией сети, если Вы хотите спроектировать новую сеть на основе объективных "цифр", а не на основе "субъективных ощущений" администратора сети
- чтобы установить истину, когда одна сторона утверждает, что виновата сеть, а другая сторона, что виноваты прикладные программы
- после модернизации сети, чтобы убедиться, что сеть была спроектирована адекватно требованиям ТЗ, например, если системный интегратор при сдаче сети заказчику не проводил ее комплексное тестирование (а проверил, например, только качество кабельной системы)
- при запуске нового программного обеспечения, когда необходимо установить является ли существующая сеть приемлемой технически и/или субъективно, для функционирования нового комплекса
- при возникновении подозрений в утечке трафика и несанкционированного доступа к ресурсам локальной сети Заказчика
- для оценки качество сервиса. Например, чтобы убедиться, что ISP выполняет взятые на себя обязательства по качеству предоставляемого сервиса (производительности канала, его доступности и т.п.)
- при передаче функций администрирования локальной сети другому лицу или организации
Что входит в аудит локальных вычислительных сетей
Внутренний аудит ресурсов локальной сети
- изучение особенностей аппаратных и программных ресурсов рабочих станций и серверов локальной сети Заказчика
- состояние носителей информации, их отказоустойчивость
- наличие систем резервного копирования информации
- анализ распределения прав доступа и возможностей получения информации из публичных или удалённых сетей
Сканирование позволяет выявить уязвимости, которые есть в сети, даст четкую картину того, что видит взломщик при атаке на компьютеры или сеть.
Любой узел, предоставляющий какой-нибудь сервис, не может быть на 100% защищен. Если компьютер уязвим, то уязвимость в какой-то момент времени может быть использована. Даже наиболее сложные системы безопасности могут иметь "дыры" и аудит системы безопасности с внешней стороны является наилучшим способом обнаружить это. Сканирование включает более 1000 тестов для ОС UNIX, Windows и активного сетевого оборудования. Некоторые тесты называются "сбор информации" и они производятся для того, чтобы показать, что постороннее лицо может узнать о вашем компьютере. Остальные тесты проверяют уязвимость систем, производиться сканирование на наличие известных "дыр". Каждый компьютер сканируется на наличие открытых портов, и пользователи будет знать, какие из запущенных сервисов видны и уязвимы для хакерских атак.
Сканирование не наносит вреда, так как "разрушительные" действия не предпринимаются.
При сканировании риск минимизируется, избегается перегрузка сети или превышение максимума пропускной способности сети.
Однако не стоит считать сканирование панацеей от всех бед. Эти работы ни в коем случае не заменяют полного комплекса мер по обеспечению режима безопасности. Они всего лишь помогают быстро проверить сотни узлов, в т.ч. и находящихся на других территориях. Они помогут обнаружить практически все известные уязвимости и порекомендовать меры, их устраняющие. Они автоматизируют этот процесс, а с учетом возможности описания своих собственных проверок, помогут эффективно применять их в сети любой организации, учитывая именно вашу специфику.
Надо помнить, что сканер - это всего лишь часть эффективной политики безопасности сети, которая складывается не только из применения различных технических мер защиты (средств анализа защищенности, систем обнаружения атак, межсетевых экранов и т.п.), но и из применения различных организационных и законодательных мер.
Внешний аудит, тестирование на проникновение
Выявление в предоставленных для исследования Интернет-ресурсах Заказчика уязвимостей и определение их уровня;
В случае обнаружения уязвимостей, Исполнитель предоставляет документальные доказательства возможности компрометации, искажения, уничтожения критичной информации Заказчика в предоставленных для исследования Интернет-ресурсах Заказчика;
На основании результатов проведенных работ Заказчик сможет:
- Определить эффективность защиты критичной информации от несанкционированного доступа через Интернет
- Устранить существующие уязвимости принадлежащих Заказчику Интернет-ресурсах
- Уменьшить риск несанкционированной компрометации, искажения, уничтожения критичной информации Заказчика со стороны глобальной компьютерной сети Интернет
Результаты аудита локальных вычислительных сетей
В результате проведения обследования Заказчик получает:
- перечень выявленных уязвимостей (слабых мест) в настройках оборудования, сетевых сервисов, операционных систем, прикладного программного обеспечения
- подробное описание каждой обнаруженной уязвимости, ее расположение и оценка возможных последствий ее использования злоумышленниками
- рекомендации по нейтрализации уязвимостей (снижению возможного ущерба от их использования злоумышленниками), изменению конфигурации и настроек компонент АС, используемых защитных механизмов, установке необходимых обновлений (patches, hot-fixes) установленного программного обеспечения и т.п.
- письменное заключение о качестве работы сети:
- информация о характеристиках работы сети
- дефектах
- "узких местах"
- рекомендации по улучшению работы сети
Почему у нас
Наша компания специализируется на администрировании офисных компьютерных сетей и имеет большой опыт по их настройке. Работая с различными организациями, мы хорошо изучили их потребности.
Анкета (список вопросов)
Вопросы к Клиенту для проведения аудита сети на выявление угроз информационной безопасности- Существует ли схема (паспорт) Вашей сети? (с названием серверов, доменов, обозначением клиентских мест, обозначением IP адресов
- Что представляет из себя внутренняя сеть компании (главное отделение, филиалы), какими каналами связи соединены филиалы с главным офисом, имеются ли мобильные пользователи, подключающиеся через удаленный доступ (модем или выделенная линия)
- Какая доменная (или иная) структура сети (Unix, Windows Server, Novell, другое)
- Какие операционные системы установлены на серверах и рабочих станциях, общее количество и процентное соотношение
- Имеется ли выход в Интернет, для всех пользователей или нет, указать количество и машины, где имеются
- Какие почтовые, WEB, VPN, терминальные сервера имеются в компании
- Имеются ли модемы, используют ли сотрудники съемные накопители или флэш-карты, опечатаны ли корпуса компьютеров
- Имеются ли средства защищенности, описать каждое (антивирусы, IDS, файрволы, смарт-карты, VPN, другое)
- Имеются ли внешние Интернет сервисы (Web сайт), используется ли ICQ
- Используются ли базы данных, описать тип
Процедура АУДИТА
Технический аудит ЛВС проводят сертифицированные специалисты компании "ТэТ-СЕРВИСс" совместно с представителями заказчика.
Результаты технического аудита позволяю руководителям компаний:
- Объективно оценить соответствие ИТ требованиям бизнеса
- Провести анализ выявленных недостатков и упущений
- Обосновать потребность в инвестициях в управленческую деятельность
- Прогнозировать развитие ситуации и надежно управлять ею
- Эффективно планировать развитие ИТ-структуры организации
- Осознавать выгоды и риск при внесении изменений в информационную систему
- Прогнозировать возникновение проблемных ситуаций (проблем и инцидентов)
- Обосновано решать проблемы информационной безопасности и контроля деятельности
- Аргументированно приобретать или модернизировать аппаратно-программные средства
- Принимать своевременное решение о приобретении технических услуг (outsourcing)
- Проводить планомерное повышение квалификации сотрудников ИТ-подразделений
- Управлять ИТ-составляющей бизнес-проектов (контролировать время и стоимость их реализации, оценивать полноту достижения целей)
Аудит локальных вычислительных сетей |
|
| Аудит маршрутизатора ЛВС на предмет уязвимости от атак через сеть Интернет | 6000 |
| Комплексный аудит ЛВС, до 2-х серверов и 20 рабочих станций | 10000 |
| Комплексный аудит ЛВС, до 4-х серверов и 50 рабочих станций | 20000 |
| Комплексный аудит ЛВС, до 6-х серверов и 100 рабочих станций | 30000 |
Аудит локальной сети – это процесс, направленный на поиск уязвимостей элементов ЛВС с целью их выявления и устранения. В рамках данной процедуры осуществляется полная комплексная диагностика, предназначенная для сбора достоверной информации о корректности работы каналов связи, серверного оборудования, рабочих станций и основных сетевых сервисов. Если не выполнить аудит локальной сети компании, то в будущем это может быть причиной весьма серьезных проблем, связанных не только с эффективностью документооборота, но и безопасностью хранения конфиденциальных данных. Обычно данный процесс состоит из трех этапов, внутреннего, внешнего и сканирования ЛВС. Однако наиболее важным из них является последний, так как именно на этом этапе проводится ИТ аудит локальной сети, связанный с поиском уязвимостей, которые могут быть использованы для несанкционированного вторжения из внешней системы и кражи с серверов информации, представляющей корпоративную тайну.
Аудит локальной сети
Аудит локальной сети позволяет эффективно выявить даже самые мелкие “бреши”, которые могут отрицательным образом сказываться на безопасности корпоративной системы, а также мешать пользователям при ежедневной работе. Так, например, если Вы заметили, что с ЛВС периодически происходят странные вещи, такие как внезапное отключение одной или нескольких рабочих станций или систематическое зависание сервера, то это верный сигнал о том, что Вам требуется, как можно быстрее выполнить аудит локальной сети компании. Мы имеем многолетний опыт проведения данных мероприятий, в которые входит:- Предварительная диагностика ЛВС при первичном осмотре
- Составление подробного план-графика и сметы на запланированные работы
- Обнаружение кабельных трас и портов для последующей маркировки
- Проведение тестирования в области безопасности и топологии системы
- Доскональная проверка работы всего активного оборудования
Аудит локальной сети компании
Помимо документирования процессов, аудит локальной сети компании позволяет проверить насколько хорошо было выполнено создание ЛВС. Это позволяет владельцам получить реалистичную картину того, насколько эффективно были израсходованы все средства, выделенные на формирование вычислительной системы. В случае, если аудит локальной сети компании покажет, что интегратор допустил просчеты на этапе внедрения, у Вас появится возможность срочно их устранить без финансовых проблем. Проверка имеет большое значение, так как монтажные работы обычно выполняются не специализированными предприятиями.Современный бизнес просто не может нормально развиваться без выхода в интернет и передачи данных на большие расстояния. Но вместе с ростом скорости производственных процессов, повышается и вероятность кражи конфиденциальных данных. Аудит локальной сети компании позволяет выявить слабые места в топологии ЛВС и предупредить появление происшествий. Во время данной процедуры сканируется каждый узел и компьютер системы, благодаря чему удается выявить незначительные уязвимости.В работе ЛВС возникают неполадки? Отсутствует документация? Требуется выполнить проверку корректности монтажных работ после переезда? Аудит локальной сети компании решит все эти проблемы. Специалисты проведут мониторинг системы, после чего предоставят Вам подробный отчет, содержащий все выявленные ошибки и уязвимости, а также рекомендации по устранению!
Цена аудита локальной сети
На аудит локальной сети цена определяется исходят из суммарного количества рабочих станций в системе, топологии ЛВС и часов, затраченных специалистом на проведение мероприятий по диагностике. Также определяющим фактором может являться наличие подробной документации, в которой должны быть указаны все особенности сетевой инфраструктуры. Наличие данного материала существенно ускорит деятельность специалистов, благодаря чему на аудит локальной сети цена изменится в меньшую сторону. Однако всегда стоит помнить, что стоимость данных работ, в независимости от их сложности и масштаба, существенно ниже возможного ущерба от взлома корпоративной системы и кражи данных с серверов.После того, как аудит локальной сети компании будет полностью окончен, и все рекомендации переданы клиенту, мы можем предложить Вам услуги по регулярному обслуживанию компьютерного парка, поставке оборудования или проведению разовых доработок и исправлений несоответствий в функционировании ЛВС. В большинстве случае сотрудничество с нами значительно выгоднее наличия штатного специалиста или системного администратора для проведения таких работ, как аудит локальной сети. В данном случае, Вы платите исключительно за диагностику, благодаря чему повышается эффективность от вложенных средств.
Заказать аудит локальной сети
Заказать аудит локальной сети компании является эффективной проверкой, целью которой является формирование точного представления о качестве функционирования корпоративной системы. В него входит подробная информация о параметрах работы ЛВС, сведения о выявленных брешах в защите информационной системы, а также узлах и компонентах, которым срочно требуется модернизация. В результате, если решено заказать аудит локальной сети, руководство получает достоверную и объективную оценку безопасности системы для принятия решений о необходимости и размере будущих инвестиций, которые необходимо сделать для улучшения эффективности и защищенности инфраструктуры.Привет, %username%! Готов поспорить, что рано или поздно все сисадмины относительно небольших компаний сталкиваются с такой волшебной задачей от руководства, как составление проекта развития ИТ-инфраструктуры компании. Особенно если тебе предложили должность и сразу же попросили составить план развития и бюджетирования. Вот и мне однажды поставили такую задачу. О всех подводных камнях, с которыми можно столкнуться, я и напишу. Всем заинтересовавшимся велкам под кат!
Сразу поясню, что вы тут не найдете советов о том, какое оборудование выбирать для тех или иных решений, какие программные продукты выбирать, open source или платное ПО, с какими интеграторами общаться стоит, а с какими нет. Это все полностью индивидуально и будет напрямую зависеть от вас и того, что в итоге вы хотите - залатать дыры в текущем корыте или построить ИТ-инфраструктуру таким образом, чтобы любая задача сводилась к нажатию кнопки “СДЕЛАТЬ ХОРОШО” (да я ленивый).
Данная статья больше нацелена на тех, кто совсем мало в этой сфере работает и от него требуют всего и сразу. Думаю молодым сисадминам небольших компаний будет полезно.
Вот собственно примерный список проблем, с которыми можно столкнуться при проведении аудита ИТ-инфраструктуры:
1. Отсутствие тех, у кого можно хоть что-то спросить - именно такая проблема встала передо мной, когда руководство поручило провести аудит с целью улучшения инфраструктуры в целом. На тот момент я являлся самым старым сотрудником отдела компании и поинтересоваться мне было просто не у кого. По этой причине времени на ковыряние и попытку понять “за каким же это хреном сделано” было затрачено не мало, ведь пока я был простым сисадмином меня почти не посвящали в тонкости организации ИТ-инфраструктуры.
2. Отсутствие четко поставленных хотелок со стороны руководства - все думаю согласятся с тем, что нам - айтишникам - по долгу службы приходится быть немного экстрасенсами, т.к. довольно много приходится додумывать и допонимать, опираясь на контекст поставленной задачи. В моем случае приходилось додумывать варианты направления развития бизнеса в целом.
3. Отсутствие четкого (документированного) описания текущей инфраструктуры - увы (! ) этого не было никогда ранее. Никто и никогда не составлял банальную карту сети офиса. Не описывал как организована связь между филиалами (коих более 10 штук по всей стране). Я уже не говорю про банальную маркировку кабелей на маршрутизаторах.
4. Полное отсутствие документации - вообще! Абсолютно никакой документации не велось в отделе никогда. И это категорически печально. Ведь банальные копии договоров (на телефонию, интернет, обслуживание 1С, аренду хостинга и прочее) хотя бы в электронном виде должны быть в отделе. И это одно из обязательных условий, ведь любой сотрудник отдела ИТ должен знать, к кому обратиться в случае если упал интернет в другом регионе (где время +3 к Москве).
5. Отсутствие общей базы паролей - все пароли были разные и менялись от случая к случаю. Весь этот ворох приходилось держать в голове, т.к. “все что записано однажды - может быть и считано”. Для того, чтобы предоставить новому сотруднику определенный доступ, необходимо переписать в почте (или на бумажке) все логины и пароли и передать их лично ему. А если ты еще не правильно пароль вспомнил… Ужас!
6. Отсутствие информации о том, как все организованно в регионах - имелась информация лишь о том, сколько там человек, кто руководитель и… всё! Т.е. имелась просто абстракция под названием “Региональное представительство в городе Мухосранске, где сидит 15 человек”. Никто никогда не задавался вопросом, как там устроена сеть, какие у нее слабые места, как происходит доступ сотрудников представительства в сеть Интернет, как организован доступ сотрудников к сетевым ресурсам центрального офиса.
И это еще не полный список, т.к. таких косяков просто огромное количество. И все они встретились мне на пути. Одним из тяжелейших моментов могу назвать тот факт, что я этим занимался впервые и ударить в грязь лицом не хотелось.
Понимая немного психологию в целом и учитывая, что огромная часть нас - айтишников - это интроверты, при составлении такого аудита в большинстве случаев побоятся обратиться к руководству компании с банальными вопросами. И мне было страшно. Но тем не менее я был вынужден переступить через свои страхи и задать те банальные вопросы, на которые мне способно дать ответ руководство.
Я не стану напоминать о том, что необходимо сделать инвентаризацию для того, чтобы понимать с чем работаешь, что является устаревшим, что можно заменить на более производительное. Это обязательное мероприятие. А вот о том, что после переписи всего оборудования надо все разделить всё на категории (активное сетевое, workstaion, bussiness-critical servers and service) напомню. При наличии доступа к административной панели сделать бэкапы конфигураций, описать “что”, “зачем” и “для чего” настроено в конкретной железке, переписать все сетевые адреса серверов, управляемых железок (да простят меня господа сетевики), сетевых хранилищ, принтеров и всего, что имеет доступ к сети (ну кроме рабочих станций).
Следующим этапом можно попытаться составить примерную схему того, как устроена сеть на план-схеме этажа, чтобы понимать где может быть бутылочное горлышко. В моем случае была проблема в том, что сеть этажа поделена на две части и в дальней от серверной части были проблемы с сетью, а оказалось все банально - не экранированная витая пара лежала вместе с силовой линией этажа бизнес-центра напряжением на 220 и 380 вольт - какая к черту сеть, ребята. После этого можно приступать к анализу железа.
Анализ железячной составляющей это одно из важных мероприятий. Необходимо понимать, насколько актуально на текущий момент времени используемое железо (как сетевое и серверное, так и пользовательские ПК). Обычно на этом этапе выясняется (с поддержкой от бухгалтерии, а так же коммерческих отделов), что вся bussiness-critical информация хранится в виде документов Excell на сервере, у которого жесткие диски работают уже третий гарантийный срок (! ) и все удивляются тому, что “файлы по сети медленно открываются” и сам сервер шумит дисками как больной психиатрии стучащий ложкой по кастрюле. А сетевые железки сняты с производства еще за год до того, как их купили в компанию и по отзывам они ужасны. Или например wi-fi в офисе поднят на точках доступа, которые по всем отзывам считаются такой дрянью, которую врагу не пожелаешь.
Далее, необходимо оценить текущие серверные мощности
Необходимо именно оценить серверные мощности. Т.е. необходимо оценить работу текущих серверов (физических и виртуальных, если в вашей организации присутствует виртуализация) и оценить то, насколько используются ресурсы. Может быть стоит какие-то сервера (или серверы?) ликвидировать вообще, т.к. необходимость в них отпала уже давно, а убрать их боялись. Какие-то сервисы может быть удобнее объединить, а какие-то наоборот разделить, потому что они несовместимы на одной машине и чрезмерно нагружают систему.
Виртуализируйте все!
Когда парк ваших серверов и сервисов достигает критической массы и вы вынуждены заходя в серверную смотреть, что это за систменик или тыкаться по KVM в поисках нужного сервера, то вам явно требуется виртуализация. Все системы, которые можно запустить на виртуалке необходимо перевести в виртуальную среду (всяческие СКУДы, сервер корпоративного портала, корпоративное облако, etc). Современных, а главное удобных инструментов для этого предостаточно (VMware, Proxmox, Xen, Hyper-V). Просто определитесь с тем, что вам нужно/нравится/можно купить и запускайте в работу.
Виртуализацию в топку! Даешь только хардвер!
Не виртуализируйте критичные вещи - такие как шлюзы, маршрутизаторы, VPN-сервера используемые для аварийного доступа в сеть, сервера 1С (тут в меня могу полететь тухлые помидоры). Важно здраво оценивать все факторы, руководствуясь которыми вы принимаете решение о том, что загонять в виртуальную среду, а что нет. Идеальных решений не существует.
Организация сетей между филиалами
Вопрос довольно обширный и имеет множество решений. От самого простого - выделять каждому удаленному сотруднику логин и пароль для VPN, дорогого - арендовать L2-сеть у одного провайдера и до безумного - наставить самых различных сетевых железок от разных вендоров, с помощью которых организовать доступ в сеть на местах и доступ к сетевым ресурсам внутри компании (сетевые хранилища и т.п.). Оцените все “за” и “против” и примите верное и лучшее решение в конкретно вашем случае. Для простоты и понимания “что делать” и “как делать” смело приглашайте системных интеграторов и консультируйтесь с ними. За спрос не дадут по шее, а дадут понять как можно решить одну и ту же проблему разными способами (дешево и дорого). Уже после пары-тройки таких встреч вы сможете более точно и более четко описать для себя самого все свои хотелки и возможные способы их решения.
После всех выше описанных работ можно приступить к составлению примерного бюджета. Для выбора конкретных моделей оборудования обращайтесь за помощью в специализированные чаты (сам использовал чаты в Телеграм, т.к. там всегда живой народ и больше шансов получить быстрый ответ; список можно загуглить). Все оборудование, которое вы выбираете рассчитывайте с запасом на перспективу и рост потребностей ваших прямых клиентов - сотрудников компании. Больше общайтесь с руководством на тему дальнейшего развития бизнеса компании. Возможно они сами вам подскажут ответ на то, на что вы не знали ответа.
Вместо заключения
Правильно организуйте работу вашего отдела, особенно когда вас в отделе больше двух человек. Никогда не создавайте такую ситуацию, в которой какие-то вещи завязаны на одно человека. Это ваша точка отказа!
Старайтесь максимально документировать все свои действия на серверах в процессе изменения конфигураций сервисов. Это поможет и вам в дальнейшем, и вашим коллегам, которые будут работать вместе с вами (или вместо вас, когда вы пойдете на повышение/другую работу/отпуск).
И запомните две вещи:
- Идеальной инструкции не существует!
- Идеальной защиты не существует!
P.S.: На этом все. Жду ваших комментариев и здравой критики.
Теги: Добавить метки
г. Москва
Настоящая Политика конфиденциальности персональных данных (далее – Политика конфиденциальности) действует в отношении всей информации, которую сайт «Sorex Group», расположенном на доменном имени www..sorex.group, может получить о Пользователе во время использования сайта, программ и продуктов ООО «СОРЭКС».
1. ОПРЕДЕЛЕНИЕ ТЕРМИНОВ
1.1. В настоящей Политике конфиденциальности используются следующие термины:
1.1.1. «Администрация сайта Sorex Group (далее – Администрация) » – уполномоченные сотрудники на управления сайтом и приложением, действующие от имени ООО «СОРЭКС», которые организуют и (или) осуществляет обработку персональных данных, а также определяет цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
1.1.2. «Персональные данные» — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных): анкетные данные, данные о гео-локации, фото и аудио-файлы, созданные посредством сайта Sorex Group.
1.1.3. «Обработка персональных данных» — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
1.1.4. «Конфиденциальность персональных данных» — обязательное для соблюдения Оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.
1.1.5. «Пользователь сайта или сайта Sorex Group (далее — Пользователь)» – лицо, имеющее доступ к Сайту или Приложению, посредством сети Интернет.
1.1.7. «IP-адрес» - уникальный сетевой адрес узла в компьютерной сети, построенной по протоколу IP.
2. ОБЩИЕ ПОЛОЖЕНИЯ
2.1. Использование Пользователем сайта Sorex Group означает согласие с настоящей Политикой конфиденциальности и условиями обработки персональных данных Пользователя.
2.2. В случае несогласия с условиями Политики конфиденциальности Пользователь должен прекратить использование сайта Sorex Group.
2.3. Настоящая Политика конфиденциальности применяется только к сайту Sorex Group.
2.4. Администрация не проверяет достоверность персональных данных, предоставляемых Пользователем Sorex Group.
3. ПРЕДМЕТ ПОЛИТИКИ КОНФИДЕНЦИАЛЬНОСТИ
3.1. Настоящая Политика конфиденциальности устанавливает обязательства Администрации сайта по неразглашению и обеспечению режима защиты конфиденциальности персональных данных, которые Пользователь предоставляет по запросу Администрации сайта.
3.2. Персональные данные, разрешённые к обработке в рамках настоящей Политики конфиденциальности, предоставляются Пользователем путём заполнения регистрационной формы на сайте Sorex Group и
включают в себя следующую информацию:
3.2.1. фамилию, имя Пользователя;
3.2.2. контактный телефон Пользователя;
3.2.3. адрес электронной почты (e-mail) Пользователя;
3.3. Администрация защищает Данные, предоставляемые пользователемю.
3.4. Любая иная персональная информация неоговоренная выше, подлежит надежному хранению и нераспространению, за исключением случаев, предусмотренных в п.п. 5.2. и 5.3. настоящей Политики конфиденциальности.
4. ЦЕЛИ СБОРА ПЕРСОНАЛЬНОЙ ИНФОРМАЦИИ ПОЛЬЗОВАТЕЛЯ
4.1. Персональные данные Пользователя Администрация сайта может использовать в целях:
4.1.1. Идентификации Пользователя, зарегистрированного в приложении.
4.1.2. Установления с Пользователем обратной связи, включая направление уведомлений, запросов, касающихся использования Сайта, оказания услуг, обработки запросов и заявок от Пользователя.
4.1.5. Подтверждения достоверности и полноты персональных данных, предоставленных Пользователем.
4.1.6. Уведомления Пользователя сайта Sorex Group о новых событиях.
4.1.7. Предоставления Пользователю эффективной клиентской и технической поддержки при возникновении проблем связанных с использованием сайта Sorex Group.
5. СПОСОБЫ И СРОКИ ОБРАБОТКИ ПЕРСОНАЛЬНОЙ ИНФОРМАЦИИ
5.1. Обработка персональных данных Пользователя осуществляется без ограничения срока, любым законным способом, в том числе в информационных системах персональных данных с использованием средств автоматизации или без использования таких средств.
5.2. Пользователь соглашается с тем, что Администрация вправе передавать персональные данные третьим лицам в рамках рабочего процесса – выдачи призов или подарков Пользователю.
5.3. Персональные данные Пользователя могут быть переданы уполномоченным органам государственной власти Российской Федерации только по основаниям и в порядке, установленным законодательством Российской Федерации.
5.4. При утрате или разглашении персональных данных Администрация информирует Пользователя об утрате или разглашении персональных данных.
5.5. Администрация принимает необходимые организационные и технические меры для защиты персональной информации Пользователя от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц.
5.6. Администрация совместно с Пользователем принимает все необходимые меры по предотвращению убытков или иных отрицательных последствий, вызванных утратой или разглашением персональных данных Пользователя.
6. ОБЯЗАТЕЛЬСТВА СТОРОН
6.1. Пользователь обязан:
6.1.1. Предоставить информацию о персональных данных, необходимую для использования сайтом Sorex Group.
6.1.2. Обновить, дополнить предоставленную информацию о персональных данных в случае изменения данной информации.
6.2. Администрация обязана:
6.2.1. Использовать полученную информацию исключительно для целей, указанных в п. 4 настоящей Политики конфиденциальности.
6.2.2. Обеспечить хранение конфиденциальной информации в тайне, не разглашать без предварительного письменного разрешения Пользователя, а также не осуществлять продажу, обмен, опубликование, либо разглашение иными возможными способами переданных персональных данных Пользователя, за исключением п.п. 5.2. и 5.3. настоящей Политики Конфиденциальности.
6.2.3. Принимать меры предосторожности для защиты конфиденциальности персональных данных Пользователя согласно порядку, обычно используемого для защиты такого рода информации в существующем деловом обороте.
6.2.4. Осуществить блокирование персональных данных, относящихся к соответствующему Пользователю, с момента обращения или запроса Пользователя или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных на период проверки, в случае выявления недостоверных персональных данных или неправомерных действий.
7. ОТВЕТСТВЕННОСТЬ СТОРОН
7.1. Администрация, не исполнившая свои обязательства, несёт ответственность за убытки, понесённые Пользователем в связи с неправомерным использованием персональных данных, в соответствии с законодательством Российской Федерации, за исключением случаев, предусмотренных п.п. 5.2., 5.3. и 7.2. настоящей Политики Конфиденциальности.
7.2. В случае утраты или разглашения Конфиденциальной информации Администрация не несёт ответственность, если данная конфиденциальная информация:
7.2.1. Стала публичным достоянием до её утраты или разглашения.
7.2.2. Была получена от третьей стороны до момента её получения Администрацией сайта.
7.2.3. Была разглашена с согласия Пользователя.
8. РАЗРЕШЕНИЕ СПОРОВ
8.1. До обращения в суд с иском по спорам, возникающим из отношений между Пользователем приложения и Администрацией, обязательным является предъявление претензии (письменного предложения о добровольном урегулировании спора).
8.2 Получатель претензии в течение 30 календарных дней со дня получения претензии, письменно уведомляет заявителя претензии о результатах рассмотрения претензии.
8.3. При не достижении соглашения спор будет передан на рассмотрение в судебный орган в соответствии с действующим законодательством Российской Федерации.
8.4. К настоящей Политике конфиденциальности и отношениям между Пользователем и Администрацией сайта применяется действующее законодательство Российской Федерации.
9. ДОПОЛНИТЕЛЬНЫЕ УСЛОВИЯ
9.1. Администрация вправе вносить изменения в настоящую Политику конфиденциальности без согласия Пользователя.
9.2. Новая Политика конфиденциальности вступает в силу с момента ее размещения на Сайте www.sorex.group, если иное не предусмотрено новой редакцией Политики конфиденциальности.
9.3. Все предложения или вопросы по настоящей Политике конфиденциальности следует сообщать через электронную почту, указанную на сайте.
9.4. Действующая Политика конфиденциальности размещена на странице по адресу www.sorex.group /politicy.pdf