Прикладное программное обеспечение сети

Безопасность компьютерной сети (в смысле защищенности ее от вредоносных действий) обеспечивается двумя методами: аудитом и контролем. Аудит безопасности — проверка настройки сети (открытых портов, доступности «внутренних» приложений извне, надежности аутентификации пользователей).

Сущность контроля безопасности состоит в выявлении аномальных событий в функционировании сети. Предполагается, что базовые методы обеспечения и контроля безопасности (аутентификация, фильтрация запросов по адресу клиента, защита от перегрузок и т. п.) встроена во все серверное ПО. Однако, во-первых, не всегда можно доверять этому предположению; во-вторых, не всегда такой защиты достаточно. Для полноценной уверенности в безопасности сети в большинстве случаев необходимо использовать дополнительные, внешние средства. При этом проверяют, как правило, следующие параметры:

• — нагрузку на серверное ПО и «железо»: аномально высокие уровни загрузки процессора, внезапное сокращение свободного места на дисках, резкое увеличение сетевого трафика зачастую являются признаками сетевой атаки;
• — журналы и отчеты на наличие ошибок: отдельные сообщения об ошибках в лог-файлах программ-серверов или журнале событий серверной ОС допустимы, но накопление и анализ таких сообщений помогает выявить неожиданно частые или систематические отказы;
• — состояние потенциально уязвимых объектов — например, тех, «защищенность» которых тяжело проконтролировать напрямую (ненадежное стороннее ПО, изменившаяся/непроверенная конфигурация сети): нежелательные изменения прав доступа к некоторому ресурсу или содержимого файла может свидетельствовать о проникновении.

Во многих случаях аномалии, замеченные при мониторинге и контроле, требуют немедленной реакции технических специалистов, соответственно, средство мониторинга сети должно иметь широкие возможности для пересылки оповещений (пересылка сообщений в локальной сети, электронной почтой, Интернет-пейджером). Изменения других контролируемых параметров реакции не требуют, но должны быть учтены для последующего анализа. Зачастую же необходимо и то, и другое — непрерывный сбор статистики, а также немедленная реакции на «выбросы»: например, отмечать и накапливать все случаи загрузки процессора более 80%, а при загрузке более 95% - немедленно информировать специалистов. Полноценное мониторинговое ПО должен позволять организовывать все эти (и более сложные) сценарии.

Рисунок 3.10 — Выбор типа проверки сервера в программе Alchemy Eye.

В качестве такого средства мониторинга состояния сети используется программа Alchemy Eye. Alchemy Eye позволяет создавать любое количество объектов мониторинга. Каждому объекту мониторинга соответствует проверка одного типа для одного компьютера. Чтобы добавить проверку в программ, нужно открыть диалог создания нового сервера (меню «Сервер>Добавить сервер>Новый»). На основной закладке этого диалога нужно задать логическое имя для объекта мониторинга, интервал между проверками, и тип проверки.

Скриншот на рисунке 3.10 может продемонстрировать лишь небольшое количество типов проверок, доступных в программе. Для ориентировки можно привести соответствия между задачами, описанными выше, и некоторыми проверками, доступными в Alchemy Eye:

• — Проверка физической доступности оборудования: ICMP, UDP, трассировка маршрута (traceroute).
• — Проверка работоспособности служб и сервисов, запущенных в сети: все стандартные протоколы (POP/SMTP, DNS, DHCP, HTTP/FTP), подключение к базам данных (Oracle, MySQL, MS SQL Server, или любая БД, доступная через источники данных ODBC). Кроме того, Alchemy Eye предоставляет мощное средство для проверки нестандартных серверов — TCP-скрипт. В этой проверке можно описать достаточно сложную логику подключения к порту сервера, отсылки ему любых строк-команд и тестирования ответов.
• — Проверка нагрузки сети и отдельных служб: можно использовать проверку стандартных переменных SNMP MIB (Management Information Base) программа не только позволяет контролировать их, но и предоставляет дерево-список всех доступных в MIB переменных. Счетчики производительности для Windows-машин доступны «из коробки», а сходная функциональность для nix-серверов — в виде бесплатного плагина на сайте производителя.
• — Проверка специфических параметров для данного окружения: список проверок включает и SQL-запросы с проверкой результата, и анализ лог-файлов (в том числе на удаленных компьютерах), и еще более специфичные проверки (например, анализ значений ключей реестра или журнала событий Windows).
• — Проверка состояния уязвимых объектов: сюда можно отнести подключение по TCP/IP к любому порту удаленного компьютера, проверка прав доступа к различным файлам и папкам (права могут быть изменены злоумышленником или некачественным ПО), проверка количества файлов в определенной папке и сравнения файла по содержимому с эталоном.

Рисунок 3.11 — Браузер счетчиков производительности Windows — выбор параметра для мониторинга В случае сложных окружений, для которых недостаточно встроенных проверок, можно использовать одну из возможностей расширения, доступных в Alchemy Eye: запуск скриптовых функций (VBScript, JavaScript, ActivePerl) или внешних приложений, а так же подсистему плагинов.

После выбора типа проверки нужно задать ее параметры — как правило, они включают адрес проверяемого сервера и несколько других, очевидных либо в деталях объясняемых всплывающими подсказками.

Если проверка является критичной, в этом же диалоге необходимо настроить уведомления: Alchemy Eye может отсылать их с помощью электронной почты, ICQ/MSN или сообщениями локальной сети (net send).

Когда объекты мониторинга созданы, главное окно Alchemy Eye само по себе становится инструментом анализа текущей ситуации, наглядно отображая состояния серверов (рисунок 3.12). Если заданных проверок больше чем 4−5 (и к тому же, они имеют разную степень критичности), лучше всего разбить их по папкам.

Рисунок 3.12 — Главное окно Alchemy Eye — мониторинг серверов (3 успешных проверки, 1 сбой) Все проверки Alchemy Eye «бинарные» (проверка либо прошла, либо нет), но на количество однотипных проверок никаких ограничений не накладывается. Таким образом, встроенных средств программы вполне достаточно для реализации сложных сценариев: например, две независимые проверки загрузки процессора одного и того же сервера — одна будет контролировать загрузку выше 95% и немедленно сообщать о проблеме техническим специалистам, а другая — загрузку выше 80% для статистического учета и последующего анализа.

Задачи этого рода (учет и анализ) в Alchemy Eye решаются с помощью встроенных отчетов (меню Отчеты). Стоит учесть, что вся статистика выполненных программой проверок и их результатов записывается в стандартной форме в файл stat. csv в папке программы, данные из него можно использовать для последующего анализа (Alchemy Eye позволяет подключать сторонние программы-анализаторы в качестве генераторов отчетов — подробная инструкция имеется в справке программы).