پروژه در مورد توسعه و ارتقاء شبكه ارتباطي ساختمان هاي شماره 1 و 2 استانداري خراسان رضوي

مقدمه :

با گسترش روز افزون استفاده از تكنولوژي اطلاعات براي انجام امور ، استفاده از رايانه و شبكه هاي رايانه اي به عنوان زير ساخت اين امر اهميت بيشتري يافته است .شبكه هاي كامپيوتري به عنوان يكي از مهمترين زيرساختهاي تحقق دولت الكترونيك در يك سازمان از اهميت بسزايي برخوردار است كه با توجه به پيشرفت سريع تكنولوژي لزوم بازنگري مداوم شبكه در بازه هاي مشخص زماني بيش از پيش احساس مي شود .

شبكه رايانه اي استانداري خراسان رضوي بصورت تدريجي از سال 1378 نصب و توسعه يافته است . محور اصلي اين شبكه ساختمان جديد برج استانداري خراسان بود كه اولين شبكه محلي بزرگ استانداري در اين ساختمان بصورت توكار نصب و راه اندازي شد . تجهيزات Active مورد استفاده درآن زمان تجهيزات Accton  بوده است .

در طرح توسعه بعدي تمامي ساختمان هاي استانداري تحت پوشش شبكه رايانه اي قرار گرفته و به يكديگر متصل شده اند . در توسعه شبكه از تجهيزات Cisco استفاده شده است .

طرح حاضر با توجه نياز به ارتقاء و توسعه شبكه استانداري و ساختمان هاي تابعه تهيه شده و مشتمل بر چهار بخش اهداف ، وضع موجود و چالشها ، وضع مطلوب و مزيتها و تجهيزات و هزينه ( فاز اول و دوم ) مي باشد .

نحوه طراحي و اجرا بر مبناي اصول كابل كشي ساخت يافته

طراحي :

شبكه هاي كامپوتري بايد مدل سه لايه داشته باشند . شبمه هايي كه داراي سوئيچ هاي تماماً تك لايه اند ، غير استاندارد هستند و پياده سازي Routing و VLAN در آنها دشوار است .

كابل كشي ساخت يافته ، استانداردي براي اجراي درست يك پروژه شبكه كامپيوتري است كه بر پايه ي آن چگونگي همبندي كابلها ، خم ها ، فواصل ، اجزاي شبكه و … مشخص مي شود . اجراي يك پروژه بر پايه ي اصول كابل كشي به شكل ساخت يافته ، تضمين كننده سلامت اتصالات و در نتيجه بستر فيزيكي مناسب است .

بستر فيزيكي و Back bone

اصول علمي :

بستر فيزيكي يك شبكه كامپيوتري ، خواه مبتني بر باسيم و يا بي سيم ، بايد از قابليت اطمينان و سرعت و پهناي باند مناسب برخوردار باشد . ( تمام كابلها و سوئيچ هاي در نظر گرفته شده همگي داراي سرعت 1000Mb/s مي باشند )

بستر اصلي شبكه يا Backbone رسانه اي است كه تجهيزات فعال شبكه را به يكديگر پيوند مي دهد و امكان انتقال اطلاعات ميان آنها را فراهم مي آورد . پهناي باند اين بستر دست كم 10 برابر پهناي باندي است كه براي نقاط دسترسي فرهم است . در اين ساختار ، تمام سوئيچ ها ، روترها و سرورهاي شبكه با پهناي باند بالاتري با اين بستر ارتباط دارند . ( در طرح ارائه شده ارتباط بين سوئيچ ها كه جزئي از Backbone مي باشد 10Gb/s در نظر گرفته شده است و از كابل فيبر نوري بدين منظور استفاده مي شود )

اهداف :

• دستيابي به اهداف دولت الكترونيك
• افزايش بهره وري از VPN
• صرفه جويي در هزينه هاي جاري سازمان
• استفاده بهينه از تجهيزات و امكانات
• توسعه و ارتقاء شبكه ارتباطي ساختمان هاي شماره 1 و 2

وضع موجود و چالشها

وضع موجود :

بستر فيزيكي شبكه LAN در ساختمان شماره 2 مبتني بر فيبر نوري با سرعت 1Gb/s مي باشد . در ساختمان شماره 1 كابل كشي موجود در داخل طبقات مبتني بر CAT5 با سرعت حداكثر 100Mb/s و ارتباط بين طبقات مبتني بر CAT6 مي باشد كه با افزايش ارتباطات شبكه ( VPN وزارت كشور ، استانداريها ، فرمانداريها و بخشداريها ) ارتباط با ساختمان شماره 2 ، پياده سازس نرم افزارهاي كاربردي ( سيستم اتوماسيون اداري ، MIS معاونت پشتيباني و توسعه منابع انساني ) ، نرم افزار هاي انتخابات و … پاسخگوي نيازهاي آتي نخواهد بود . در اين خصوص ارتقاء اين بستر به سرعت 1Gb/s با بستر فيبر نوري ضروري است . ميزان تقريبي فيبر نوري مورد نياز 3000 متر است . همچنين جهت استقرار Backbone شبكه با سرعت 1Gb/s نياز به خريداري Manageable با امكانات VLAN و … مي باشد . ارتباط بين ساختمان شماره 1 و 2 با تكنولوژي Wireless و يا ارتباط VPN ( خط ديتا / فيبر نوري ترجيحاً ) نيز نيازمند برقراري ارتباز ديتا ، خريد پهناي باند مناسب ( حداقل 100Mb/s با هزينه ساليانه 40 ميليون تومان ) ، خريد روتر ، مودم و … ميباشد .

چالشها :

1. نياز به ارتقاء سرورها
2. تجهيزات پشتيبان گيري
3. مخاطرات امنيتي و نياز به بازنگري مستمر آن
4. مديريت ، نظارت و سنجش دائمي شبك

وضع مطلوب و مزيت ها

ارتقاء سرور ، خريد سرور مناسب و تجهيزات پشتيبان گيري :

سرور در واقع مركزر اطلاعات هر سازماني است و ايشتگاه هاي كاري ديگر به آن مرتبط شده و از اطلاعات و سرويس هاي آن بهره مي برند . جهت تهيه سروري مناسب ابتدا بايد نوع كاربري ، تعداد كاربران مرتبط با آن و نوع نرم افزارهاي كاربردي روي آن مشخص شوند و پس از آن اقدام به تهيه سرور با سخت افزاري متناسب با نياز نمود . داشتن پشتيبان در قطعات از شرايط ديگر يك سرور خوب است . به عنوان مثال داشتن دو پردازنده يا دو پاور با قابليت تأمين توان كافي و يا چند ديسك سخت جهت راه اندازي Raid نرم افزاري يا سخت افزاري از مزيت هاي يك سرور استاندارد مي باشد . داشتن امكانات كافي تهيه نسخه پشتيبان از اطلاعات نظير Tape Backup Driver و يا حتي يك دستگاه DVD Writer از مشخصه هاي ديگر يك سرور مناسب هستند .

بنابراين با ارتقاء Backbone شبكه به 1Gb/s و برقراري ارتباط دو ساختمان جايگزين نمودن PC هاي فعلي كه به تعداد 7 دستگاه در ساختمان شماره 2 و 3 دستگاه در ساختمان شماره 1 به عنوان سرور استفاده مي شوند و اضافه كردن 2 دستگاه سرور جديد براي امور Wsus و آنتي ويروس و … با مارك هاي معتبر مانند HP بسيار ضروري و اجتناب ناپذير است .

پياده سازي امنيت در سازمان :

امنيت مختص يك يا چند دستگاه كامپيوتري نبوده بلكه كل سازمان را شامل مي شود . وجود اصول و اساسنامه جهت ايمن سازي اطلاعات سازمان از درب وروي شروع شده و تا محل قرارگيري اطلاعات ادامه پيدا مي كند . تعريفي كه براي امنيت مي شود مرزها را شكسته و كليه عوامل تهديد كننده اطلاعات را در سازمان شامل مي شود . امكان از بين رفتن اطلاعات در اثر عوامل فيزيكي ( نظير آتش سوزي ) ، تهديدات نفوذگران شبكه ، ويروس ها و كرم هاي اينترنتي ، دزدي رسانه و … همگي از عوامل تهديد كننده اطلاعات سازمانها هستند لذا داشتن برنامه و استراتژي جامع و كاملي كه كليه موارد تهديد كننده و نحوه برخورد با هر يك را مشخص نمايد از اولويت هاي هر سازمان مي باشد . در زير تنها به برخي از عوامل تهديد كننده اطلاعات شبكه هاي كامپيوتري اشاره شده است :

الف ) ويروس ها ، كرمها و تروجان ها :

با توجه به گسترش شبكه هاي كامپيوتري و ارتباط آنها با اينترنت ، امكان ورود نرم افزارهاي مخرب كوچك نظير ويروس ها ، كرمها و تروجان ها به سرورها و ايستگاه هاي كاري وجود خواهد داشت لذا استفاده از ويروس يابها و ويروس كش هاي مناسب بايد در دستور كار مدير شبكه قرار گيرد . همچنين وجود Adware و Spyware ، باعث كندي دستگاه هاي كامپيوتري و سرورها شده و از كارايي شبكه مي كاهد .

ب ) ارتباط به اينترنت :

پيشرفت تكنولوژي و كاهش هزينه ارتباط به اينترنت ، سازمان ها را ترقيب به استفاده بيش ار پيش نموده است . شبكه هاي زيادي هستند كه بطور مستقيم و بدون در نظر گرفتن هر گونه امكان امنيتي ، به اينترنت مرتبط هستند و از آن استفاده مي كنند . در اينگونه شبكه ها ، خطر نفوذ به سيستم و سوء استفاده از اطلاعات سازمان و همچنين ورود انواع ويروس ها و كرم ها وجود خواهد داشت . جداسازي سرور ها و سرويس ها ، استفاده از ديواره آتش مناسب ، IPS ، IDS از راه حل هاي ارتباط امن با اينترنت محسوب مي شوند . ساده ترين ساختاري را كه در طراحي امنيت سازمان تان مي توانيد لحاظ كنيد تقسيم بندي سرورها و شبكه كامپيوتري به سه ناحيه شبكه داخلي ، شبكه خارجي و ناحيه محافظت شده است . كليه سرورها و ايستگاه هاي كاري كه تنها بايد در شبكه داخل سازمان در دسترس باشند و نياز به ارتباط خارجي ندارند را در ناحيه شبكه داخلي ، اينترنت و شبكه هاي مرتبط با آن را در ناحيه شبكه خارجي و سرورهايي از شبكه داخلي كه نياز به ارتباط با اينترنت دارند ، در ناحيه محافظت شده يا DMZ قرار دهيد . نمونه اين سرورها FTP Server ، Mail Server هستند .

ج ) استفاده از ديواره آتش :

ديواره آتش نرم افزار يا سخت افزاري است كه جهت كحافظت و دور از دستري قرار دادن شبكه داخلي از حملات و نفوذهاي تحت شبكه مورد استفاده قرار نمي گيرد . با توجه به توضيحاتي كه در قسمت قبل داده شد به كمك ديواره آتش سه ناحيه داخلي ، خارجي و محافظت شده را مي توان از يكديگر متمايز نمود و پاكت هاي در حال تبادل بين نواحي مختلف را مورد سنجش قرار داد و حتي از عبور پاكت هاي اطلاعاتي غير ضروري ممانعت نمود .

Content Filtering ، Proxy ، Virus Scaning ، VPN ، SPAM Filter ، Anti Spyware ، Traffic Shaping ، Anti Phishing ، IPS/IDS و Ahthentication از مشخصه هاي ديگري هستند كه بايد در هنگام تهيه و انتخاب ديواره آتش ، آنها را مد نظر داشته باشيد .

د ) سياست نامه امنيتي :

تهيه و اجراي اساسنامه امنيت اطلاعات مبتني بر استانداردهاي موجود متناسب با سازمان و نوع كار پايه و اساس پياده ساري امنيت مي باشد . بدون داشتن برنامه و هدف اجراي امنيت در سازمان ، قادر به ايجاد فضايي امن براي اطلاعات نخواهيد بود . دامنه اين اساسنامه با نظر مدير سازمان متفائت خواهد بود . دامنه حفاظت شده يا Scope مي تواند كليه بخش هاي سازمان را در بر گيرد و يا حتي بخش هايي از آن را پوشش دهد . معمولاً براي شروع پياده سازي امنيت اطلاعات سازمان از واحد و بخش كوچمي آغاز كرده و به مرور آن را به بخش هاي ديگر تعميم مي دهند .

و ) نصب به موقع  Service Packها و Patch ها :

وجود مشكلات متعدد سيستم عامل ها و نرم افزارهاي مختلف ، سازندگان آنها را موظف به رفع مشكل آنها پس از شناسايي نوع مشكل مي نمايد لذا شركتهاي تهيه كننده نرم افزار اقدام به پخش نرم افزارهاي رفع خطا در قالب Patch ها و Service Packها مي نمايند . نصب به موقع اين بسته هاي كوچك نرم افزاري رفع خطا ، مشكلات موجود را مرتفع ساخته و از سوء استفاده از نقص هاي موجود جلوگيري خواهد كرد . به عنوان مثال تاكنون Service Pack 4 براي Win 2000 و Win2003 Server از جانب شركت مايكروسافت براي استفاده كاربران عرضه شده است كه قابل Download بر روي سايت آن شركت مي باشند .

بنابراين يكپارچه نمودن شبكه استانداري خريد دو دستگاه فايروال جديد ، آنتي ويروس هاي قوي داراي مجوز ، تجهيزات نگهداري داده ها ،  Recovery ، NAS و نرم افزارهاي امنيتي ( در مقابل ويروس ها ، دسترسيهاي غير مجاز و … در سطح بانكهاي اطلاعاتي و نرم افزارها ) ضروري و اجتناب ناپذير است .

مديريت ، نظارت و سنجش دائمي شبكه :

سنجش دائمي ترافيك شبكه و مانيتورينگ آن توسط ابزارهاي مختلف نرم افزاري و سخت افزاري از عواملي مهم پيشگيري قبل از فاجعه هستند كه بايد در شبكه هاي كامپيوتري مدنظر قرار گيرند . بدين منظور مي توان از سخت افزارها و نرم افزارهاي مانيتورينگ نظير Fluck Tester ، Cisco Works ، Solarwins و هزاران نرم افزار ديگر شبكه خود را مورد بازرسي و بازبيني قرار داده و مشكلات آن را قبل از بروز خطايي غيرقابل جبران ، مرتفع نماييد .

بنابراين خريد تجهيزات مديريت شبكه و Monitoring از قبيل يك سوئيچ core قدرتمند و ماژولار ، خريد نرم افزار شناسايي نودهاي غير فعال و مشكل دار و تجهيزات عيب يابي شبكه و قطعي ان ضروري است .

فاز اول

تجهيزات و هزينه مربوطه :

با توجه به بررسي انجام شده تجهيزات مورد نياز به انضمام هزينه خريداري براي توسعه و ارتقاء شبكه هاي ارتباطي ساختمان هاي شماره 1 و 2 در دو فاز پيش بيني شده است و تجهيزات مورد نظر براي فاز اول به شرح ذيل مي باشد :

فاز دوم

در فاز دوم تجهيزات امنيتي ، پشتيبان گيري و برقراري ارتباط مد نظر قرار گرفته و برآورد هزينه بشرح ذيل مي باشد :

گزارش مستندات

پروژه ارتقاي امنيت شبكه

استانداري خراسان رضوي

مقدمه :

پروژه امنيت شبكه استانداري خراسان در سال 1385 تعريف و به اجرا گذاشته شد . استانداري خراسان از حداقل امكانات نرم افزاري شبكه برخوردار بود . عدم وجودActive Directory   ، عدم وجود سيستم هاي نرم افزاري مديريت شبكه و عدم وجود FireWall مطمئن از بزرگترين نواقص اين شبكه بود . بنابراين تصميم بر اين شد مه با بودجه تخصيص داده شده به اين پروژه حداقل اين امكانات مديريتي / امنيتي فراهم گردد .

بزرگترين فعاليتي كه صورت گرفت طراحي و پياده سازي Active Directory در شبكه استانداري خراسان بود كه با تلاش كارشناسان شركت AD نصب و تمامي ويندوزهاي ايستگاه هاي كاري شبكه به منظور يك دست سازي از نو نصب و با محدوديتهاي امنيتي جديد تركيب بندي شد .

علاوه بر اين امنيت دسترسي به شبكه دروني استانداري از بيرون سازمان به كمك يك دستگاه Juniper FireWall تأمين گشت . با توجه به بودجه تخصيص داده شده به اين پروژه تأمين امنيت فقط در سطح دسترسي از بيرون سازمان به شبكه تأمين شد .

لازم است در مراحل بعدي كار ساير ملاحظات امنيتي نيز مورد توجه قرار گرفته و اجرا شود . مجموعه پيشنهادات لازم براي ادامه اين كار به شرح ذيل مي باشد :

• طراحي و نصب Active Directory جهت متمركز ساختن شبكه
• نصب Antivirus تحت شبكه و مديريت آن جهت بروز كردن كلاينت ها
• نصب سرويس Wsus در شبكه جهت گرفتن update هاي مايكرو سافت بطور آفيس
• تنظيمات تجهيزات ارتباطي استانداري
• نصب و راه اندازي كلاينت در شبكه
• طريقه گرفتن Backup Active Directory
• و …

فصل يك : تحليل وضعيت موجود در شبكه استانداري

در شبكه استانداري خراسان برنامه هاي كاربردي زير در حال اجرا مي باشد :

شبكه فوق داراي domain نمي باشد و غير متمركز مديريت مي شود .

سرور و كلاينت بصورت workgoup كار مي نمايند .

سروري كه بتواند بصورت offline پچ هاي امنيتي را بگيرد وجود ندارد .

آنتي ويروس غير قابل مديريت و فقط update به روز share مي شود .

نبودن سرويس Wins در شبكه

1 – سرور اتوماسيون اداري گويا :

ملاحظات مربوط به سرور و نرم افزارهاي نصب شده :

• نرم افزار اتوماسيون گويا نصب شده بر روي server 2000 Sp4 كه داراي SQL 2004 Sp4       مي باشد .
• داراي Antivirus Symantec V.8.0 Server Based
• نرم افزار گويا  Webbasedو با Active فعال و نرم افزار MDAC مي باشد .

پروژه توسعه و ارتقاء شبكه ارتباطي ساختمان هاي شماره 1 و 2 استانداري خراسان رضوي