Курсовая работа на тему «IT-инфраструктура офиса в бизнес-центре: понятия, построение ЛВС и анализ угроз» — скачать бесплатно

Содержание

1. Введение
2. 1 ОПРЕДЕЛЕНИЕ IT-ИНФРАСТРУКТУРЫ ОФИСА И БИЗНЕС-ЦЕНТРА
3. 1.1 Понятие IT-инфраструктуры: границы, уровни и контекст бизнес-центра
4. 1.2 Элементы инфраструктуры офиса и здания: «слои» и точки ответственности
5. 1.3 Программное обеспечение как часть инфраструктуры: классы, роли, примеры
6. 2 ОПИСАНИЕ ЛОКАЛЬНОЙ ВЫЧИСЛИТЕЛЬНОЙ СЕТИ (ЛВС) БИЗНЕС-ЦЕНТРА: ВАРИАНТЫ РЕАЛИЗАЦИИ И СЕГМЕНТАЦИЯ
7. 2.1 Типовые модели связи арендатора с сетью здания (L2/L3, «интернет как услуга», VPN)
8. 2.2 Логическая и физическая топология ЛВС бизнес-центра: распределение, узлы, каналы
9. 2.3 Сегментация и изоляция: VLAN/VRF/ACL, гостевые сети, Wi‑Fi, DMZ
10. 3 АНАЛИЗ ПОТЕНЦИАЛЬНЫХ АТАК НА КОМПЬЮТЕРЫ ОФИСА И СО СТОРОНЫ ВЛАДЕЛЬЦА ЗДАНИЯ И АРЕНДАТОРОВ (ВКЛЮЧАЯ MITM) И МЕРЫ ЗАЩИТЫ
11. 3.1 Модель нарушителя и поверхность атаки в бизнес-центре
12. 3.2 Программные атаки на конечные устройства и серверы офиса
13. 3.3 Атаки в сети и на стыке с инфраструктурой здания: MITM, подмена шлюза, ARP/DHCP/DNS
14. 3.4 Организационные и технические меры защиты: «нулевое доверие», контроль доступа, мониторинг
15. Заключение
16. Список литературы

Введение

Офис в бизнес-центре редко существует «сам по себе». Даже если компания арендует один этаж и закупает собственные рабочие станции, её цифровая среда всё равно упирается в инфраструктуру здания: кроссовые, магистрали, общие точки доступа, узлы провайдеров, иногда — в единый диспетчерский контур (СКУД, видеонаблюдение, инженерные системы). Отсюда возникает двойственность. С одной стороны, бизнес получает удобство: быстрый ввод в эксплуатацию, готовые каналы связи, централизованное обслуживание. С другой — появляется зона неопределённости и риска: не все сетевые «трубы» принадлежат арендатору, не все администраторы подчиняются его политике, а границы ответственности могут быть описаны договором поверхностно, словно контуры на карте, нарисованные карандашом. Цель настоящей главы — выполнить литературный обзор и систематизировать базовые понятия IT-инфраструктуры офиса, расположенного в бизнес-центре, описать элементы такой инфраструктуры (аппаратные, сетевые и программные), а также рассмотреть типовые варианты построения ЛВС в здании и подходы к сегментации. Дополнительно кратко анализируются потенциальные уязвимости и атаки, характерные для среды, где рядом находятся независимые арендаторы и администратор здания, имеющий физический и сетевой доступ к общим ресурсам. Задачи главы: (1) дать определение IT-инфраструктуры офиса и бизнес-центра, выделить уровни и состав; (2) описать ЛВС бизнес-центра, включая распространённые модели реализации и методы сегментации; (3) проанализировать угрозы — программные и сетевые, включая атаки типа Man‑in‑the‑Middle (MITM), — и перечислить меры защиты и противодействия. Объект исследования — IT-инфраструктура офисного сегмента в условиях размещения в бизнес-центре. Предмет исследования — архитектурные решения ЛВС и сопряжённые с ними риски безопасности (включая взаимодействие арендаторов и администратора здания). Методическая база включает обзор профильной литературы по сетям (модели L2/L3, VLAN, маршрутизация), практик информационной безопасности (моделирование угроз, MITM, контроль доступа), а также нормативно-методических документов и руководств производителей. Практическая значимость главы заключается в том, что систематизация типовых решений и угроз позволяет корректнее формулировать требования к провайдеру/управляющей компании, проектировать сегментацию, выбирать программные средства защиты и точнее фиксировать границы ответственности в договорной документации.

Глава 1

1.1 Понятие IT-инфраструктуры: границы, уровни и контекст бизнес-центра В литературе и практике термин «IT-инфраструктура» используется широко и иногда расплывчато: от перечня серверов и сетевого оборудования до целостной системы, включающей людей, регламенты и жизненный цикл. Для целей данной работы целесообразно рассматривать IT-инфраструктуру как совокупность технических средств, программного обеспечения, сетевых сервисов и организационных механизмов, обеспечивающих хранение, обработку и передачу данных, а также доступ пользователей к корпоративным ресурсам и внешним информационным системам. Если офис расположен в бизнес-центре, границы инфраструктуры приобретают «слоистую» природу. Есть контур арендатора (рабочие станции, локальные серверы, корпоративный Wi‑Fi, средства защиты), а есть контур здания (кабельные трассы, этажные кроссы, магистральные коммутаторы, точки доступа общего пользования, узлы связи, иногда — единая система управления инженерными подсистемами). Между ними — стык, где чаще всего и возникают спорные вопросы: кто управляет VLAN, кто выдает адреса, кто имеет доступ к стойкам, кто видит трафик. Полезно выделять уровни инфраструктуры: — физический уровень (помещения, стойки, электропитание, UPS, климат, кабельные трассы); — уровень передачи данных (коммутаторы, маршрутизаторы, Wi‑Fi-контроллеры, точки доступа, оптика/медь, межсетевые экраны); — вычислительный уровень (серверы, виртуализация, контейнеризация, рабочие станции, мобильные устройства); — уровень системного ПО и сервисов (ОС, доменная инфраструктура, DNS/DHCP, каталоги, PKI, резервное копирование); — уровень прикладных систем (ERP/CRM, документооборот, почта, ВКС, корпоративные порталы); — уровень управления и регламентов (учёт активов, политики доступа, мониторинг, реагирование на инциденты). В бизнес-центре два первых уровня часто частично «разделены» между арендатором и владельцем здания (управляющей компанией). Чем больше доля внешнего управления, тем важнее формальные соглашения: SLA, схема подключения, перечень точек демаркации. Иначе инфраструктура становится похожей на чердак старого дома: провода есть, но кто их тянул и куда они ведут — выясняется уже после аварии. 1.2 Элементы инфраструктуры офиса и здания: «слои» и точки ответственности Для системного описания инфраструктуры офиса в бизнес-центре удобно перечислить элементы по группам, параллельно отмечая возможное разделение ответственности. 1) Инженерная основа (как «скелет»): — электроснабжение рабочих мест и серверной зоны; источники бесперебойного питания (UPS), распределение питания по PDU; — система заземления, грозозащита (актуально при длинных линиях связи и наличии антенных систем); — кондиционирование и вентиляция серверной/кроссовой; — физическая безопасность: СКУД, замки, видеонаблюдение, журналы доступа. В бизнес-центре часть этих компонентов относится к зданию, но арендатор обычно отвечает за локальные UPS, организацию «малой серверной» и защиту собственного оборудования. 2) Структурированная кабельная система (СКС): — магистральные линии (оптоволокно, витая пара категории 5e/6/6A); — этажные кроссы и патч-панели; — розетки рабочих мест, коммутационные шнуры; — маркировка, план кабельных трасс. СКС — это инфраструктура с длинной памятью: её трудно быстро переделать. Ошибка в проектировании (например, отсутствие резервных волокон или переполненные лотки) потом «звучит» годами. 3) Сетевое оборудование: — коммутаторы доступа (часто PoE для телефонов и точек доступа); — распределительные/агрегационные коммутаторы (L3 или L2 с uplink на маршрутизатор); — маршрутизаторы/шлюзы, пограничные устройства; — межсетевые экраны (NGFW), системы предотвращения вторжений (IPS), WAF (если есть публичные веб-сервисы); — Wi‑Fi: точки доступа, контроллер или облачное управление. В здании может существовать «операторская» сеть, предоставляющая услугу доступа к Интернету и/или связи между офисами. Тогда оборудование провайдера размещается в узле связи, а у арендатора — демаркационный порт (медь/оптика) и собственный пограничный узел. 4) Конечные устройства: — рабочие станции, ноутбуки, тонкие клиенты; — IP-телефоны, видеотерминалы, МФУ/принтеры; — мобильные устройства, корпоративные планшеты; — IoT-элементы (смарт-ТВ в переговорных, датчики, терминалы бронирования). Эта группа часто недооценивается: именно «край сети» чаще всего становится точкой входа для атак. 5) Вычислительная среда и хранение: — физические серверы, гипервизоры, виртуальные машины; — сетевые хранилища NAS/SAN; — резервное копирование: локальные репозитории, ленточные библиотеки (реже), облачные бэкапы; — средства централизованного управления конфигурациями. 6) Программная составляющая (ядро сервисов): — операционные системы (Windows, Linux), политики обновлений; — доменная инфраструктура (Active Directory/LDAP), единый вход (SSO); — службы именования и адресации (DNS, DHCP, NTP); — средства удаленного доступа (VPN), шлюзы приложений; — журналы и мониторинг (SIEM/лог-менеджмент, Zabbix/Prometheus). 7) Организационные элементы: — документация (схемы сети, перечень активов, инструкции); — роли и полномочия (администраторы, ответственные за ИБ); — регламенты (учёт, резервное копирование, реагирование на инциденты). В литературном обзоре по управлению IT (например, ITIL-подходы) неоднократно подчёркивается: инфраструктура — не только «железо». Она включает процессы. Без них техника превращается в набор приборов, которые работают до первого нестандартного случая. Точки ответственности в бизнес-центре желательно фиксировать явно: — где проходит граница сети (порт на коммутаторе здания, медиа-конвертер, оптический ввод в офис); — кто администрирует L2/L3 (VLAN/VRF, маршрутизацию, ACL); — кто предоставляет DHCP/DNS и ведёт логи; — кто имеет физический доступ к кроссовым и стойкам; — кто отвечает за мониторинг и реагирование. 1.3 Программное обеспечение как часть инфраструктуры: классы, роли, примеры Программное обеспечение в инфраструктуре офиса можно представить как «невидимый цемент», который держит вместе устройства, пользователей и политики. В контексте бизнес-центра особенно важны классы ПО, влияющие на управляемость и безопасность. 1) Системное ПО и службы: — ОС серверов и рабочих станций (Microsoft Windows 10/11, Windows Server; Linux-дистрибутивы, например Ubuntu Server, Debian, RHEL-совместимые); — службы каталога и управления учетными записями: Active Directory, LDAP, Kerberos; — инфраструктурные сервисы: DNS (BIND, Microsoft DNS), DHCP (ISC DHCP/KEA, Windows DHCP), NTP/chrony. 2) Средства виртуализации и контейнеризации (по необходимости): — VMware vSphere/ESXi, Microsoft Hyper‑V, KVM; — Docker, Kubernetes (обычно в более зрелых организациях). 3) Сетевые сервисы и безопасность: — VPN (IPsec/OpenVPN/WireGuard; корпоративные решения на базе NGFW); — межсетевые экраны и их управляющие консоли (Fortinet FortiGate, Palo Alto, Check Point; либо open-source pfSense/OPNsense в небольших офисах); — NAC (Network Access Control) для контроля подключения устройств (например, Cisco ISE или альтернативы); — антивирус/EDR (Microsoft Defender for Endpoint, Kaspersky Endpoint Security и др.); — DLP-системы (при наличии требований по контролю утечек); — системы управления уязвимостями (сканеры, учёт патчей). 4) Управление, мониторинг, логирование: — мониторинг: Zabbix, Prometheus + Grafana; — централизованный сбор логов: syslog-серверы, ELK/Opensearch-стек; — SIEM (в больших компаниях) для корреляции событий и расследования. 5) Пользовательские и корпоративные приложения: — офисные пакеты, почта (Microsoft 365/Exchange, альтернативы), мессенджеры; — CRM/ERP, бухгалтерские системы; — системы ВКС (Zoom/Teams и др.), серверы конференц-связи. Выбор ПО в офисе бизнес-центра часто определяется тремя факторами: стоимость владения, требования ИБ (включая регуляторные, если применимо) и доступность компетенций. К примеру, NGFW без человека, который умеет читать логи и строить политики, превращается в дорогую «черную коробку». А SIEM без настроенных источников событий — просто склад текстовых файлов. Кратко о потенциальных уязвимостях (введение в проблематику) Уязвимость в такой среде редко выглядит как «дырка в одном месте». Чаще это цепочка: неверная сегментация + общий DHCP + доверие к локальному каналу. Типовые слабые места: — отсутствие изоляции арендаторов на уровне L2 (ошибки VLAN, trunk вместо access); — неконтролируемый Wi‑Fi (общие SSID, слабые пароли, отсутствие WPA2-Enterprise/802.1X); — незащищённые сервисы управления (веб-интерфейсы коммутаторов/точек доступа без ограничений по IP, устаревшие прошивки); — слабая дисциплина обновлений ОС и приложений на рабочих станциях; — отсутствие контроля устройств (подключение «чужих» ноутбуков в переговорных, незакрытые сетевые розетки); — недостаточная прозрачность действий администратора здания (кто имеет доступ к зеркалированию портов, кто ведёт логи). Этот перечень будет развёрнут и привязан к конкретным сценариям атак в разделе 3.