Подсистема удаленного администрирования

• Идентификация и аутентификация удалённого администратора при дистанционном управлении
• Модуль регистрации СФ
• Модуль мониторинга
• Модуль статистики
• Модуль дистанционного конфигурирования СФ

Программно-аппаратный комплекс "ФПСУ Х.25" содержит специальные программные средства, позволяющие осуществлять централизованное дистанционное управление и мониторинг состояний МЭ (в режиме времени близком к реальному) с использованием графического интерфейса работой группы СФ (до 128) с одного компьютера из любого фрагмента сети Х.25. Для обеспечения указанной возможности комплекс включает в себя подсистему удалённого администрирования, состоящую из программного обеспечения для АРМ управляющего администратора и ряда подсистем в комплексе "ФПСУ Х.25", поддерживающих работу удаленной части системы администрирования.

Главный принцип удаленного администрирования - взаимная аутентификация при обмене информацией между СЕТЕВЫМ ФИЛЬТРОМ и удалённым администратором (далее УА). Для обеспечения взаимной аутентификации МЭ и удалённый администратор должны быть взаимно зарегистрированы, т.е. каждый администратор должен зарегистрировать подконтрольные МЭ и сам должен быть зарегистрированным этими МЭ, получив при регистрации от их локальных администраторов определенные конкретные полномочия на контроль и управление МЭ.

Обмен информацией между УА и МЭ ведётся в режиме "клиент-сервер", т.е. запрос данных осуществляет администратор, а МЭ ему высылает ответ, и никогда наоборот.

Удаленный администратор МЭ имеет собственный сетевой адрес для осуществления запросов к МЭ, передачи приказов и получения необходимой информации, но иные обращения по сети (исходящие или входящие) к нему запрещены.

В подсистеме удаленного администрирования реализованы следующие механизмы защиты от НСД:

• блокировка входящих вызовов;
• идентификация и аутентификация МЭ при запросах удаленного администратора;
• идентификация и аутентификация удалённого администратора при запуске подсистемы;
• защита работы подсистемы путем блокировки любых действий до введения пароля.

Программное обеспечение удалённого администратора может быть установлено на любом компьютере сети с обычной операционной системой, отвечающем условиям применения (см. Раздел 2 "Условия применения комплекса"), и включает в себя ряд модулей со следующими функциями:

Модули	Назначение
Модуль регистрации	Регистрация СЕТЕВЫХ ФИЛЬТРОВ с целью их последующей идентификации и аутентификации при запросах удаленного администратора
Модуль статистики	Дистанционный контроль за работой МЭ
Модуль мониторинга
Модуль конфигурации	Дистанционное управление МЭ

В локальном комплексе для поддержки дистанционного управления реализованы:

• подсистема регистрации удалённых администраторов, имеющих доступ к данному МЭ (не более четырёх на один МЭ), для их последующих идентификации и аутентификации при запросах; подсистема содержит средства, позволяющие локальному администратору МЭ просмотреть список зарегистрированных УА с установленными для них правами на доступ;
• модуль аутентификации удалённых администраторов в подсистеме фильтрации, который после проверки подлинности администратора и его прав на запрошенную операцию осуществляет доступ его к соответствующим подсистемам комплекса.

Подсистема удаленного администрирования даёт администратору (при наличии зарегистрированных полномочий) следующие возможности:

• просмотреть список зарегистрированных МЭ, зарегистрировать новые МЭ или удалить их из списка;
• внести изменения в ранее полученные инициализационные данные МЭ или изменить собственные параметры с последующей перерегистрацией;
• ограничить или запретить доступ к работе с подсистемой другим лицам путем установления режима запуска подсистемы по аутентификационным данным, установления режима запуска подсистемы по паролю или блокировки работы подсистемы до введения пароля;
• запросить, получить, просмотреть и проанализировать правила фильтрации, установленные на подконтрольных МЭ;
• согласованно изменить и установить правила фильтрации для группы подконтрольных МЭ, режимы их работы и использовать резервную линию ANET для резервирования основной линии связи при сбоях в глобальной сети x.25;
• синхронизировать время на подконтрольных МЭ с текущим временем своего компьютера;
• запросить, получить, просмотреть, проанализировать и обработать указанную по виду и времени регистрационную информацию о событиях на подконтрольных МЭ как в автоматическом режиме с заданным периодом времени, так и в режиме непосредственного обращения;
• программировать автоматический анализ получаемой информации с оперативно отображаемой графической и звуковой сигнализацией событий по попыткам нарушения правил фильтрации, изменению правил фильтрации и по состоянию сетевых портов при их возникновении на МЭ;
• осуществлять автоматический мониторинг состояния удалённых МЭ практически в реальном масштабе времени;
• использовать графический интерфейс для удалённого централизованного контроля состояния и управления МЭ с отображением топологии сети и состояния подконтрольных МЭ.

Идентификация и аутентификация удалённого администратора при дистанционном управлении

В подсистеме удаленного администрирования реализовано несколько механизмов защиты от НСД работы самой подсистемы и её программной и информационной частей:

• идентификация администратора при запуске подсистемы;
• аутентификация администратора при запуске подсистемы;
• блокировка действий администратора в процессе работы подсистемы до ввода правильного пароля.

Идентификация администратора при попытках запуска подсистемы удалённого администрирования МЭ осуществляется путем запроса на предъявление персональных аутентификационных данных подсистемы удалённого администрирования, хранимых на дискете. При непредъявлении таких данных или предъявлении некорректных данных доступ неидентифицированному субъекту не предоставляется, регистрируется попытка выполнения несанкционированных действий и программа подсистемы удалённого администрирования МЭ автоматически заканчивает свою работу.

Аутентификация администратора при попытках запуска подсистемы удалённого администрирования МЭ осуществляется посредством запроса на предъявление вводимого с клавиатуры личного пароля администратора (от 5 до 15 символов) и сравнением его с ранее зарегистрированным паролем администратора. В случае ввода пустого или неверного пароля доступ неаутентифицированному администратору не предоставляется, регистрируется попытка выполнения несанкционированных действий и программа подсистемы удалённого администрирования МЭ автоматически заканчивает свою работу.

Кроме вышеописанных механизмов идентификации и аутентификации администратора при попытках запуска подсистемы удалённого администрирования МЭ, существует возможность установления режима блокировки действий администратора в процессе его работы в подсистеме администрирования до выполнения аутентификации. Подсистема удалённого администрирования при включенной блокировке продолжает исполнение автоматических функций по запросу, приему и анализу регистрационных данных со всех зарегистрированных на ней МЭ. Возможны следующие режимы блокировки:

• ручной - по специальному приказу администратора;
• автоматический - по истечении определенного времени после последнего обращения к подсистеме.

Снятие режима блокировки произойдет только после аутентификация администратора при попытке выполнения любых действий с использованием клавиатуры компьютера или манипулятора "мышь". Аутентификация осуществляется посредством запроса на предъявление вводимого с клавиатуры личного пароля администратора (размером от 5 до 15 символов) и сравнением его с ранее зарегистрированным паролем администратора. В случае ввода пустого или неверного пароля попытка выполнения действий игнорируется, регистрируется попытка выполнения несанкционированных действий и подсистема удалённого управления продолжает исполнение автоматических функций по запросу, приему и анализу регистрационных данных со всех зарегистрированных на ней СФ.

Модуль регистрации СФ

Для обеспечения возможности удалённого управления работой СФ необходимо зарегистрировать подсистему удалённого администрирования на СФ, дать администратору соответствующие полномочия (права), выдать аутентификационные данные СФ для регистрации удалённым администратором и зарегистрировать СФ на компьютере удалённого администратора.

Каждая подсистема удалённого администрирования должна иметь уникальный номер, определяемый удаленным администратором при первом запуске и контролируемый СФ в процессе регистрации.

Модуль регистрации СФ подсистемы удалённого администрирования позволяет зарегистрировать удалённые СФ по их уникальному серийному номеру, вырабатываемому в процессе генерации инсталляционных дискет с программно-аппаратным комплексом "ФПСУ Х.25", а также просматривать и редактировать список зарегистрированных СФ.

Регистрация производится путём обмена проверочными частями аутентификационных данных, вырабатываемыми самостоятельно каждой из регистрируемой сторон и записываемыми на дискеты.

Права на доступ к подсистемам МЭ для удалённых администраторов устанавливает локальный администратор МЭ (только классов "администратор" и "главный администратор") при взаимной регистрации МЭ и удалённого администратора. Удалённому администратору могут быть предоставлены следующие права:

• получение данных о работе локальных администраторов МЭ;
• получение данных о работе удалённых администраторов МЭ;
• получение конфигурации МЭ (правил фильтрации);
• изменение конфигурации МЭ (правил фильтрации) - предоставляется данным МЭ только одному администратору из списка зарегистрированных;
• синхронизация текущего времени/даты на компьютере МЭ с временем/датой компьютера удалённого администратора - предоставляется данным МЭ только одному администратору из списка зарегистрированных.

При запросах удаленного администратора на контроль и управление МЭ производятся обязательные взаимные процедуры идентификации и аутентификации.

На этапе идентификации будет проверено, что удалённый администратор, осуществляющий попытку установления соединения передачей пакета "Запрос вызова", является зарегистрированным по его уникальному номеру и не производит работу с данным МЭ в текущее время, а удаленный МЭ, ответивший на этот запрос, имеет тот же серийный номер МЭ, к которому обращался удалённый администратор. Таким образом реализуется схема взаимной идентификации.

На этапе аутентификации будет проверено, что удалённый администратор, от которого пришел вызов, обладает теми же знаниями, которыми должен обладать администратор с выявленным в процессе идентификации номером, а также что МЭ, к которому обращался удалённый администратор, обладает теми же знаниями, которыми должен обладать МЭ с данным серийным номером. Таким образом реализуется схема взаимной аутентификации.

Взаимная аутентификация будет производиться как при запросе на установление связи (проключение виртуального канала), так и на каждый блок передаваемой информации.

Механизм идентификации заключается в том, что при передаче пакета "Запрос вызова" подсистема удалённого администрирования дополняет его полями, содержащими собственный уникальный номер и уникальный серийный номер МЭ, к которому он обращается. При получении этого запроса МЭ производит поиск в регистрационной таблице удалённых администраторов по указанному уникальному номеру. В случае отрицательного результата идентификация удалённого администратора на МЭ считается невыполненной, будет выдан приказ на разъединение проключаемого виртуального соединения с регистрацией данного события в подсистеме статистики и процесс идентификации будет закончен с отрицательным результатом.

В случае положительного результата поиска МЭ вышлет пакет "Подтверждение вызова", снабдив его собственным серийным номером и уникальным номером удалённого администратора, идентификация которого осуществлена. Подсистема удаленного администрирования, приняв пакет, проверяет совпадение посланных и полученных данных. При несовпадении идентификация удалённого МЭ администратором считается невыполненной, будет выдан приказ на разъединение установившегося виртуального соединения с регистрацией данного события в подсистеме статистики и процесс идентификации будет закончен с отрицательным результатом.

После успешной идентификации удалённый МЭ и удалённый администратор начинают процедуру взаимной аутентификации при вызове посредством передачи друг другу некоторых случайно сгенерированных вопросов и ответов на эти вопросы с использованием, выработанным при генерации персональных аутентификационных данных. Каждая из сторон проверит ответ на свой вопрос с использованием зарегистрированных проверочных аутентификационных данных. При отрицательном результате аутентификация любой из сторон противоположной стороной считается невыполненной, будет выдан приказ на разъединение установившегося виртуального соединения с регистрацией данного события в подсистеме статистики и процесс взаимной аутентификации будет закончен с отрицательным результатом.

В дальнейшем при передаче конкретных запросов на выполнение действий по дистанционному контролю или управлению МЭ по установившемуся виртуальному соединению будет также производиться взаимная аутентификация МЭ и удалённого администратора с контролем прав, установленных для данного удалённого администратора (подлинность уникального номера которого была выяснена в процессе идентификации и аутентификации при попытке установления виртуального соединения) при регистрации на МЭ локальным администратором соответствующего класса и реализуемых данным удалённым администратором в текущем запросе. При отрицательном результате аутентификации или превышении прав на доступ в текущем запросе будет выдан приказ на разъединение установившегося виртуального соединения с регистрацией данного события в подсистеме статистики и процесс удалённого управления или контроля будет закончен с отрицательным результатом.

Алгоритм выработки ответа на аутентификацию и проверки его построен по рекомендациям протокола ITU-T X.509.

Реализованная таким образом в программно-аппаратном комплексе "ФПСУ X.25" схема аутентификации удалённого администратора при запросах на доступ к МЭ с целью контроля или управления обеспечивает устойчивость передачи данных к пассивному и активному перехвату информации в сетях Х.25.

Модуль мониторинга

Модуль мониторинга работает параллельно с другими компонентами программы администратора и предназначен для сбора и просмотра состояний одного или группы МЭ практически в реальном масштабе времени, накопления, автоматического анализа и отображения запрограммированных событий.

Модуль мониторинга предоставляет администратору следующие возможности:

• визуализация в графическом режиме топологии сети, включая общие сети X.25, подконтрольные МЭ с собственными номерами, защищаемые ими подсети и линии связи, для удобства и наглядности контроля и управления;
• графическое отображение на указанной топологии определенной части информации, на которую требуется быстрая реакция администратора, полученной подсистемой удалённого администрирования в результате автоматического анализа поступающей в автоматическом режиме регистрационной информации с подконтрольных МЭ;
• быстрый выбор требуемого для контроля или управления МЭ посредством указания его курсором "мыши" на графическом отображении сети;
• немедленное получение полной предоставляемой подсистемой информации о состоянии выбранного МЭ, состоянии подключенных к нему линий связи и о произошедших на текущий момент времени событиях на нем посредством вызова соответствующих информационных окон нажатием клавиши "мыши";
• программирование ряда событий (выбор их из предлагаемого списка), на которые требуется немедленная реакция администратора для графической и звуковой сигнализации (сигнал тревоги типа "сирена"), включая изменение правил фильтрации.

Информация, отображаемая графически на экране монитора (на топологии сети) одновременно для всех зарегистрированных удаленным администратором МЭ, включает в себя:

• информацию о состоянии МЭ: был ли он опрошен, работает ли он в текущий момент времени и передаются ли через него данные абонентов;
• информацию о состоянии линий связи, подключенных к МЭ: в рабочем ли состоянии линия и передаются ли по ней в данный момент данные абонентов;
• графическое отображение (и звуковую сигнализацию) запрограммированных администратором оперативных сообщений о некоторых событиях, произошедших на МЭ.

При вызове соответствующих информационных окон администратор способен отследить:

• по состоянию МЭ: сколько раз изменялась конфигурация МЭ, сколько раз МЭ перезапускался, сколько раз с ним невозможно было связаться (например, при неполадках в сети или работе локального комплекса);
• по каждой линии связи, подключенной к МЭ: время отсутствия связи с каждым портом, количество отсутствий физического соединения на каждом порту, количество разрешенных соединений, количество запрещённых соединений, объём переданной и принятой информации, время последнего сброса физического соединения, несоответствие нарисованной линии фактической по конфигурации;
• информацию о произошедших событиях в подсистеме удалённого администрирования с указанием даты и времени и кода операции.

Удалённый администратор может запрограммировать оперативную графическую и звуковую реакцию подсистемы на следующие события (соответствующие временные и количественные параметры также задаются администратором):

• отсутствие соединений на каждом порту в течение заданного времени,
• превышение допустимого количества сбросов физического соединения,
• превышение допустимого количества разрешённых попыток физического соединения,
• превышение допустимого количества неразрешённых попыток физического соединения,
• превышение допустимого количества запусков МЭ,
• превышение допустимого количества изменений конфигурации,
• превышение допустимого количества отсутствий связи.

Программируется также временной период опроса состояния (с какой частотой будут опрашиваться МЭ).

Подробное руководство по использованию мониторинга и описание графического интерфейса его работы содержится в Руководстве удалённого администратора СЕТЕВОГО ФИЛЬТРА X.25.

Модуль статистики

Модуль статистики подсистемы удалённого администрирования предоставляет администратору возможность запросить и получить данные статистики с локального комплекса.

Подсистема удаленного администрирования взаимодействует с подсистемой регистрации событий и состояний, входящей в локальный комплекс "ФПСУ X.25", в двух режимах: режиме непрерывного автоматического получения данных с заданной периодичностью и в режиме немедленного получения требуемых сведений от нужного МЭ - режиме ручного управления.

Удаленный администратор МЭ имеет возможность просмотреть текущее состояние работы подсистемы по опросу статистики в автоматическом режиме и прервать или возобновить автоматическое получение данных статистики для конкретного МЭ, зарегистрированного подсистемой.

Подсистема удаленного администрирования выполняет автоматический сбор статистики с СФ, для которых разрешен опрос. Администратор может установить нужные ему типы и подтипы регистрационных данных и временной интервал, по которым будет производиться автоматический запрос на поиск и получение их из MIB-базы удаленного МЭ. Если отмечены типы данных, на получение которых администратор не имеет прав, они ему переданы не будут.

Удаленный администратор МЭ может:

• просмотреть данные статистики; данные для просмотра могут быть выбраны по требуемым МЭ, за указанный период времени, а также по заданным видам данных статистики;
• удалить данные статистики по этим же условиям из хранилища;
• выдать просматриваемые данные в файл DBF формата;
• загрузить данные статистики с одной или нескольких дискет, на которые они были записаны локальным администратором МЭ.

При неполадках в работе сети (например, временном отсутствии связи) и невозможности опроса МЭ требуемая информация о его работе может быть записана локальным администратором МЭ на дискеты, которые будут переданы удаленному администратору. Удаленный администратор может внести полученные данные в хранилище и работать с ними описанным выше способом.

Модуль дистанционного конфигурирования МЭ

Модуль удалённого конфигурирования реализует следующие возможности подсистемы:

• дистанционное конфигурирование МЭ;
• согласование работы нескольких МЭ, в частности синхронизацию времени на всех подконтрольных МЭ с текущим временем компьютера удалённого администратора.

Процесс удалённого управления конфигурацией МЭ состоит из нескольких этапов: запроса и получения текущей конфигурации, редактирования конфигурации средствами подсистемы удалённого администрирования и передачи приказа на изменение конфигурации.

[Назад] [Содержание] [Вперед]