Помощь студентам в учебе
Обеспечение безопасности системы управления инфраструктурой центра обработки данных ТПУ
|
Введение 17
Глава 1 Обзор тенденций и основ информационной безопасности 18
1.1 Оценка тенденций в сфере защиты информации 18
1.2 Информационная безопасность 19
1.3 Шифрование и аутентификация 21
Глава 2 Исследование системы управления ЦОД в контексте информационной безопасности 25
2.1 Область атаки атомарной виртуальной машины ЦОД 29
Глава 3 Проектирование системы управления инфраструктурой 32
3.1 Выбор типа аутентификации 33
3.1.1 Аутентификация по протоколу GSSAPI 33
3.1.2 Аутентификация по принципу доверенных узлов 34
3.1.3 Аутентификация по открытым ключам 34
3.2 Выбор способа распространения учетных записей 36
3.2.1 Network Information Service 37
3.2.2 Lightweight Directory Access Protocol 37
3.2.3 Puppet 38
3.2.4 Chef 39
3.2.5 Ansible 40
3.2.6 Salt 41
3.3 Выбор способа защиты от атак подбора учетных данных 43
3.3.1 Netfilter 43
3.3.2 Fail2ban 44
3.4 Выбор системы сбора журналируемой информации 45
3.4.1 Rsyslog...
3.4.2 Syslog-ng 47
3.5 Выбор дистрибутива операционной системы 48
3.5.1 Gentoo Linux 49
3.5.2 Debian Linux 50
3.5.3 CentOS Linux 51
3.6 Концептуальная модель разрабатываемой системы управления 52
3.6.1 Узел управления 53
3.6.2 Узел журналирования 54
Глава 4 Реализация системы управления инфраструктурой 55
4.1 Узел управления 56
4.1.1 Модуль tpu_sshd 60
4.1.2 Модуль tpu_ssh_acc 63
4.1.3 Модуль tpu_autoupdate 64
4.1.4 Модуль tpu_mirror_repository 65
4.1.5 Описание конфигурации атомарного управляемого узла 65
4.2 Узел журналирования 66
Глава 5 Финансовый менеджмент, ресурсоэффективность и ресурсосбережение 69
5.1 Организация и планирование работ 69
5.2 Продолжительность этапов работ 70
5.3 Расчет накопления готовности проекта 72
5.4 Расчет сметы затрат на выполнение проекта 73
5.4.1 Расчет затрат на материалы 74
5.4.2 Расчет заработной платы 74
5.4.3 Расчет затрат на социальный налог
5.4.4 Расчет затрат на электроэнергию 75
5.4.5 Расчет амортизационных расходов 76
5.4.6 Расчет прочих расходов 77
5.4.7 Расчет общей себестоимости работы 77
5.4.8 Расчет прибыли 78
5.4.9 Расчет НДС 78
5.4.10 Цена разработки НИР 78
5.5 Оценка экономической эффективности проекта 79
5.6 Оценка научно-технического уровня НИР 80
Глава 6 Социальная ответственность 82
6.1 Анализ возможных сбоев разрабатываемой системы 82
6.2 Анализ причин сбоев в работе системы 83
6.3 Меры по аппаратной защите системы 84
6.4 Организационные меры, обеспечивающие защиту системы 85
6.5 Меры по программной защите системы 85
6.6 Требования к аппаратному и программному обеспечению 88
6.7 Влияние данной работы на существующую инфраструктуру 89
6.7.1 Результирующее состояние системы управления инфраструктурой ... 90
6.7.2 Угрозы, привнесенные разработанной системой управления
инфраструктурой 91
Заключение 93
Список литературы 95
Приложение А Экземпляры объявления узлов в файле manifests/site.pp 101
Приложение Б Исходный текст файла modules/tpu_sshd/manifests/init.pp 102
Приложение В Экземпляры определения учетных записей администраторов в файле modules/tpu_ssh_acc/manifests/init.pp 105
Приложение Г Исходный текст файла modules/tpu_autoupdate/manifests/ init.pp 107
Приложение Д Исходный текст файла modules/tpu_mirror_repository/manifests/ init.pp 109
Глава 1 Обзор тенденций и основ информационной безопасности 18
1.1 Оценка тенденций в сфере защиты информации 18
1.2 Информационная безопасность 19
1.3 Шифрование и аутентификация 21
Глава 2 Исследование системы управления ЦОД в контексте информационной безопасности 25
2.1 Область атаки атомарной виртуальной машины ЦОД 29
Глава 3 Проектирование системы управления инфраструктурой 32
3.1 Выбор типа аутентификации 33
3.1.1 Аутентификация по протоколу GSSAPI 33
3.1.2 Аутентификация по принципу доверенных узлов 34
3.1.3 Аутентификация по открытым ключам 34
3.2 Выбор способа распространения учетных записей 36
3.2.1 Network Information Service 37
3.2.2 Lightweight Directory Access Protocol 37
3.2.3 Puppet 38
3.2.4 Chef 39
3.2.5 Ansible 40
3.2.6 Salt 41
3.3 Выбор способа защиты от атак подбора учетных данных 43
3.3.1 Netfilter 43
3.3.2 Fail2ban 44
3.4 Выбор системы сбора журналируемой информации 45
3.4.1 Rsyslog...
3.4.2 Syslog-ng 47
3.5 Выбор дистрибутива операционной системы 48
3.5.1 Gentoo Linux 49
3.5.2 Debian Linux 50
3.5.3 CentOS Linux 51
3.6 Концептуальная модель разрабатываемой системы управления 52
3.6.1 Узел управления 53
3.6.2 Узел журналирования 54
Глава 4 Реализация системы управления инфраструктурой 55
4.1 Узел управления 56
4.1.1 Модуль tpu_sshd 60
4.1.2 Модуль tpu_ssh_acc 63
4.1.3 Модуль tpu_autoupdate 64
4.1.4 Модуль tpu_mirror_repository 65
4.1.5 Описание конфигурации атомарного управляемого узла 65
4.2 Узел журналирования 66
Глава 5 Финансовый менеджмент, ресурсоэффективность и ресурсосбережение 69
5.1 Организация и планирование работ 69
5.2 Продолжительность этапов работ 70
5.3 Расчет накопления готовности проекта 72
5.4 Расчет сметы затрат на выполнение проекта 73
5.4.1 Расчет затрат на материалы 74
5.4.2 Расчет заработной платы 74
5.4.3 Расчет затрат на социальный налог
5.4.4 Расчет затрат на электроэнергию 75
5.4.5 Расчет амортизационных расходов 76
5.4.6 Расчет прочих расходов 77
5.4.7 Расчет общей себестоимости работы 77
5.4.8 Расчет прибыли 78
5.4.9 Расчет НДС 78
5.4.10 Цена разработки НИР 78
5.5 Оценка экономической эффективности проекта 79
5.6 Оценка научно-технического уровня НИР 80
Глава 6 Социальная ответственность 82
6.1 Анализ возможных сбоев разрабатываемой системы 82
6.2 Анализ причин сбоев в работе системы 83
6.3 Меры по аппаратной защите системы 84
6.4 Организационные меры, обеспечивающие защиту системы 85
6.5 Меры по программной защите системы 85
6.6 Требования к аппаратному и программному обеспечению 88
6.7 Влияние данной работы на существующую инфраструктуру 89
6.7.1 Результирующее состояние системы управления инфраструктурой ... 90
6.7.2 Угрозы, привнесенные разработанной системой управления
инфраструктурой 91
Заключение 93
Список литературы 95
Приложение А Экземпляры объявления узлов в файле manifests/site.pp 101
Приложение Б Исходный текст файла modules/tpu_sshd/manifests/init.pp 102
Приложение В Экземпляры определения учетных записей администраторов в файле modules/tpu_ssh_acc/manifests/init.pp 105
Приложение Г Исходный текст файла modules/tpu_autoupdate/manifests/ init.pp 107
Приложение Д Исходный текст файла modules/tpu_mirror_repository/manifests/ init.pp 109
С каждым днем информация играет всё более важную роль в нашей повседневной жизни. Мы стали информационно зависимым обществом XXI века и живем в мире команд и запросов. Это означает потребность в получении необходимой информации независимо от времени и места.
Для обеспечения бесперебойной доступности информационных систем Томского Политехнического Университета (ТПУ) на базе структурного подразделения Главный информационный узел (ГИУ) создан центр обработки данных (ЦОД). ЦОД представляет собой консолидированные в рамках одной инфраструктуры ресурсы вычисления, передачи и хранения данных, обеспечивающие работу большинства информационных систем университета.
С целью обеспечить возложенную на ЦОД задачу, в аппаратную и программную части ЦОД вложены существенные средства. Закуплено дорогостоящее надежное оборудование и не менее дорогостоящие программные продукты от именитых производителей.
Однако, существенной угрозой стабильности ЦОД является ненадлежащее внимание к вопросам информационной безопасности при осуществлении процедур администрирования информационных систем ЦОД.
Целью данной работы является модернизация существующей системы управления инфраструктурой центра обработки данных ТПУ (ЦОД) с учетом современных требований к безопасности, без ухудшения удобства управления и финансовых вложений на приобретение программных или аппаратных средств. Ключевой задачей является обеспечение безопасности системы управления ЦОД.
Для обеспечения бесперебойной доступности информационных систем Томского Политехнического Университета (ТПУ) на базе структурного подразделения Главный информационный узел (ГИУ) создан центр обработки данных (ЦОД). ЦОД представляет собой консолидированные в рамках одной инфраструктуры ресурсы вычисления, передачи и хранения данных, обеспечивающие работу большинства информационных систем университета.
С целью обеспечить возложенную на ЦОД задачу, в аппаратную и программную части ЦОД вложены существенные средства. Закуплено дорогостоящее надежное оборудование и не менее дорогостоящие программные продукты от именитых производителей.
Однако, существенной угрозой стабильности ЦОД является ненадлежащее внимание к вопросам информационной безопасности при осуществлении процедур администрирования информационных систем ЦОД.
Целью данной работы является модернизация существующей системы управления инфраструктурой центра обработки данных ТПУ (ЦОД) с учетом современных требований к безопасности, без ухудшения удобства управления и финансовых вложений на приобретение программных или аппаратных средств. Ключевой задачей является обеспечение безопасности системы управления ЦОД.
Реализованная система отвечает всем требованиям поставленной задачи. Безопасность управления серверами, находящимися в ведении ГИУ ТПУ обеспечивается за счет механизмов аутентификации, авторизации и шифрования в соответствии с современными требованиями к стойкости алгоритмов и длине ключей.
Для защиты от атак посредника используется аутентификация на всех этапах взаимодействия: системы управления и серверов, администратора и системы управления, администратора и серверов. Аутентификация осуществляется при помощи криптографических алгоритмов асимметричного шифрования. При подключении нового сервера к системе, на сервер устанавливается агент puppet. Агент, совершая первый запрос к серверу, генерирует ключевую пару: открытый ключ и закрытый ключ, затем открытый ключ передается системе в виде запроса на выпуск сертификата. Коммуникация между сервером и системой возможна только после того, как администратор системы подпишет данный запрос и выпустит сертификат.
Для защиты от атак типа подбора на все серверы устанавливается программный продукт fail2ban, который отслеживает неудавшиеся попытки авторизоваться по протоколу ssh и, в случае превышения установленных лимитов, временно блокирует атакующего. Данная стратегия исключает возможность подбора пароля в разумные промежутки времени.
Для защиты от эксплуатации уязвимостей предусмотрен механизм автоматической проверки наличия обновлений безопасности в источниках дистрибутивов операционной системы.
Система обеспечивает централизованное администрирование из одной точки, т. е. с узла управления. Система спроектирована и реализована исходя из требования к обеспечению профилирования серверов и пользователей.
Поддерживаются группы доступа. За счет того, что на каждом подключенном к системе сервере установлен агент, который инициирует подключение к системе,решается проблема управления узлами, находящимися в закрытых подсетях ЦОД.
Отказ системы управления не может привести управляемые серверы в нештатный режим, так как вся конфигурация состояния сервера хранится на каждом сервере локально, включая пользователей их публичные ключи. Единственным негативным явлением, в данном случае, будет неспособность серверами получить обновление своего состояния.
Все примененные компоненты системы являются бесплатными. Их использование допустимо в коммерческой среде. Код данных приложений открыт.
Для защиты от атак посредника используется аутентификация на всех этапах взаимодействия: системы управления и серверов, администратора и системы управления, администратора и серверов. Аутентификация осуществляется при помощи криптографических алгоритмов асимметричного шифрования. При подключении нового сервера к системе, на сервер устанавливается агент puppet. Агент, совершая первый запрос к серверу, генерирует ключевую пару: открытый ключ и закрытый ключ, затем открытый ключ передается системе в виде запроса на выпуск сертификата. Коммуникация между сервером и системой возможна только после того, как администратор системы подпишет данный запрос и выпустит сертификат.
Для защиты от атак типа подбора на все серверы устанавливается программный продукт fail2ban, который отслеживает неудавшиеся попытки авторизоваться по протоколу ssh и, в случае превышения установленных лимитов, временно блокирует атакующего. Данная стратегия исключает возможность подбора пароля в разумные промежутки времени.
Для защиты от эксплуатации уязвимостей предусмотрен механизм автоматической проверки наличия обновлений безопасности в источниках дистрибутивов операционной системы.
Система обеспечивает централизованное администрирование из одной точки, т. е. с узла управления. Система спроектирована и реализована исходя из требования к обеспечению профилирования серверов и пользователей.
Поддерживаются группы доступа. За счет того, что на каждом подключенном к системе сервере установлен агент, который инициирует подключение к системе,решается проблема управления узлами, находящимися в закрытых подсетях ЦОД.
Отказ системы управления не может привести управляемые серверы в нештатный режим, так как вся конфигурация состояния сервера хранится на каждом сервере локально, включая пользователей их публичные ключи. Единственным негативным явлением, в данном случае, будет неспособность серверами получить обновление своего состояния.
Все примененные компоненты системы являются бесплатными. Их использование допустимо в коммерческой среде. Код данных приложений открыт.