Частный бизнес

Визит в мир банков средней величины.

Рассказ об одном и том же вертикальном рынке в двух выпусках подряд — не в правилах нашей рубрики. Но волей обстоятельств банковская тематика приобрела в последнее время особую актуальность, да и банки, как выяснилось, все разные. Если обратить внимание на рекламу в газетах, то неожиданно на первый план стали выходить банки, образно говоря, "среднего калибра". В течение длительного времени все мы просто не замечали того факта, что отечественная банковская система опирается не только на империи олигархов, но и на широкий слой относительно небольших банков. Кризис показал, что именно банки средней величины оказались самыми стабильными структурами, и не исключено, что в ближайшее время именно они начнут играть главную роль в финансовой системе страны (по крайней мере они стараются активно использовать открывшиеся перед ними возможности). С учетом всего вышесказанного, а также очевидных отличий корпоративных систем этих банков от систем более крупных структур не только масштабами, но и самой организацией работы, наш сегодняшний выбор тематики вполне оправдан.

В ЧАСТНОМ ПОРЯДКЕ

История развития "Частного Банка", наверное, во многом характерна для других банков "среднего калибра" и нашла, о чем мы будем говорить чуть позже, свое отражение в развитии корпоративной системы банка. Судя по официальной хронологии истории банка, с течением времени частота ключевых событий возрастала. Первым после основания в 1992 году важным шагом стало получение лицензии на операции с валютой в феврале 1996 г., а затем и лицензии на работу на рынке ценных бумаг в декабре 1997 г. В этом году банк расширил число направлений, создав ряд дочерних компаний ("Частную охранную компанию", например), и резко активизировал свою основную деятельность после того, как разразился кризис. Как и все банки, кому удалось продемонстрировать свою финансовую и организационную стабильность в условиях кризиса, ЧБ испытал значительный приток клиентов (в результате их оттока из менее устойчивых финансовых структур). Кризис привел также к расширению спектра услуг банка за счет предоставления таких актуальных сегодня сервисов, как "спасение" застрявших средств из неблагополучных банков.

Что характерно, за прошедшие со времени образования годы численность сотрудников банка изменилась не так драматически, как могло бы показаться из этого краткого рассказа. Конечно, штат со временем увеличился, но по-прежнему остался в характерных для среднего бизнеса рамках. Вместе с тем за последний год объемы хранимой и обрабатываемой информации возросли на порядок. Учитывая относительно небольшой рост числа служащих, приходящийся на каждого из них объем данных стал заметно большим. Как следствие, всякий сотрудник каким-либо образом связан (имеет доступ, изменяет, создает и т. д.) со значительным количеством информации. Во многом это обусловлено тем, что сами руководители банка являются активными пользователями системы, в особенности подсистемы внутреннего документооборота. Высокая удельная плотность информационных потоков в пересчете на сотрудника повышает критичность их обработки и контроля за ними. Поскольку руководство банка, как уже отмечалось, достаточно просвещено в области информатизации, оно внимательно следит за тем, как отдел ИС справляется с задачами защиты информации и контроля за использованием ресурсов системы.

КТО, ГДЕ, КОГДА

Прежде чем переходить непосредственно к вопросам учета и контроля, следуя традиции рубрики, мы начнем с самого начала и расскажем о системе в целом. В настоящее время в "Частном Банке" установлена кабельная система "АйТи-СКС" (инсталлятор — компания "Монлайн" — выполнил также работы по проектированию и инсталляции локальной сети в целом). Следует заметить, что монтажникам компании пришлось, что уже стало традицией, столкнуться с некоторыми проблемами ремонтно-строительного происхождения. Конечно, мы с большим интересом познакомили бы читателей с тем, как ликвидировать причины, а не следствия, но, во-первых, бороться со следствиями придется, к сожалению, еще долго, а, во-вторых, напоминание о том, с какими проблемами приходится сталкиваться на практике, будет нелишним.

Ситуация, с которой столкнулись монтажники "Монлайн", любопытна тем, что причина ее возникновения связана не со слишком поздним (что характерно для России), а, наоборот, со слишком ранним началом работ. Ремонт в коридоре предполагалось провести уже после монтажа системы. Монтажникам пришлось установить короба и проложить в них кабель таким образом, чтобы короба можно было аккуратно отсоединить от стены (при этом сеть, естественно, должна была продолжать работать), а затем уже установить на возводимые фальш-стены. Процедура эта обошлась без последствий, но соответствующие выводы были сделаны. Вообще, определенные надежды вселяет тот факт, что, совершая ошибки, отечественные заказчики очень быстро на них учатся. Хорошо, если бы они учились еще и на чужих ошибках. Завершая кабельную тему, отметим, что крылья здания связаны волоконно-оптическими магистралями. У телефонной системы магистральные каналы выполнены на витой паре. В принципе, в случае острой необходимости, "телефонная" магистраль может служить горячим резервом и для компьютерной сети (отдел ИС банка считает, что это будет самый крайний случай, до которого дело дойти все же не должно).

Что касается архитектуры сети, то она представляет собой традиционный вариант коммутируемого решения (см. Рисунок 1). Ядро сети составляет коммутатор 3Com Switch 3000 с волоконно-оптическими интерфейсами. Он связывает коммутаторы рабочих групп 3Com Switch 1000 и обслуживающий серверы коммутатор Switch 3000. Магистральные соединения и подключение некоторых интенсивно использующих сетевые ресурсы станций (в основном, из отдела ИС) осуществляется с помощью Fast Ethernet. Во всех остальных случаях обычных 10-мегабитных каналов оказывается вполне достаточно. Кстати, это свидетельствует о том, что отечественные руководители отделов ИС стремятся объективно оценить потребности своих организаций в пропускной способности сети. Вместе с тем на основании одного такого примера мы не можем утверждать, что период экстенсивного бездумного наращивания сетевых ресурсов в нашей стране заканчивается, но несомненно, что накопленный опыт и диктуемая сложившейся ситуацией необходимость в экономии средств изменят ситуацию к лучшему.

В качестве серверных платформ "Частным Банком" используется три ОС. NetWare обеспечивает рабо-ту системы RS-Bank; серверы с Windows NT обслуживают основные сетевые сервисы (файловый сервер, SQL-сервер и почтовый сервер Exchange), а один сервер под управлением FreeBSD поддерживает связь сети банка с внешним миром через Internet. Сервер Web банка функционирует на базе популярного в мире и России (до 70% всех инсталляций) ПО Apache. Кроме того, UNIX-сервер выполняет функции SMTP/POP- и proxy-сервера. Внутренняя IP-сеть банка использует зарезервированный для "закрытых" сетей диапазон адресов, а proxy-сервер выполняет трансляцию адресов NAT. Собственные службы сервера защищены при помощи фильтрации пакетов. В принципе, для обеспечения надежной защиты пакетной фильтрации недостаточно, но дело в том, что все критические ресурсы сети останутся недоступны, даже если злоумышленнику удастся проникнуть на UNIX-сервер. Он никоим образом не сможет получить доступ к системе операционного дня, поскольку она использует в своей работе протокол IPX и остается абсолютно невидимой для сети IP.

Впрочем, возможность взлома сети остается пока чисто умозрительной, поскольку значительную часть своего рабочего времени отдел ИС посвящает поиску и устранению всех возможных "дыр" в сети. Уязвимые извне места отыскиваются главным образом с помощью экспериментов над открытыми "снаружи" сервисами. На момент работы над материалом, например, специалисты по защите анализировали проблему, связанную с врожденным дефектом программы sendmail. Если в процессе авторизации из командной строки отправитель представляется именем почтового сервера, то он получает возможность отправлять через сервер любые объемы почты без дополнительной авторизации. Подобная брешь не так опасна, поскольку она открывает лазейку только для спаммеров (к тому же они далеко не всегда обладают нужной для ее использования квалификацией). Тем не менее эта брешь внимательно рассматривалась, поскольку политика отдела ИС (в соответствии с требованиями руководства банка) предполагает строгий контроль за всеми возможными лазейками. Кроме того, анализ защищенности системы проводится с помощью различного "полухакерского" (обоюдоострого, другими словами) ПО, такого, как известный "сниффер" Satan, а также программ подбора паролей.

Подбор паролей относится уже к контролю за внутренними уязвимыми местами, поскольку легко угадываемые пароли задают сами пользователи сети. Вообще, в политику защиты информации в банке входит строгий контроль за использованием сотрудниками сетевых ресурсов, о чем они честно заранее информируются. Рабочие места сотрудников сконфигурированы так, что загрузка операционных систем осуществляется через сервер. Таким образом, не зарегистрировавшись в сети, рабочую станцию запустить невозможно (дисководы, разумеется, отключены). Сервер DHCP работает в псевдостатическом режиме, т. е. каждая рабочая станция получает все время один и тот же IP-адрес. В результате отдел ИС может централизованно контролировать назначение IP-адресов и появление в системе "неизвестных" ПК. Контроль осуществляется и при помощи отслеживания MAC-адресов. Это, может быть, и не очень удобно, так как замена неисправного сетевого адаптера влечет за собой значительный объем работ по настройке системы, но вместе с тем почти гарантированно защищает систему от подключения к ней компьютера "со стороны". В эпоху относительно недорогих ноутбуков вероятность такого подключения не является совсем уж немыслимой.

Вообще, все системные события в сети отслеживаются посредством анализа журналов NT (см. Рисунок 2). Администратором написана программа на языке Perl (очень удобное средство для обработки строк). Программа работает на серверах как системный сервис и отсылает обработанные данные на UNIX-сервер, где они хранятся в SQL-сервере. Последний представляет собой бесплатное ПО для FreeBSD MySQL, найти которое можно по адресу: http://www.tcx.se/ . (Кстати, коллектор статистики NT бесплатно распространяется автором, Ильей Кулагиным, по адресу: http://www.chas.ru/document/nteventlog .) Сервер UNIX выбран в качестве хранилища статистики системных журналов, потому что он, во-первых, является внешним по отношению ко всем серверам NT, а, во-вторых, как уже говорилось, служит в качестве сервера Web. Доступ к выборкам из архива системных журналов осуществляется через интерфейс Web (после соответствующей авторизации), что упрощает работу с системой. Анализ журналов позволяет, например, следить за тем, кто и как использует сетевые принтеры. Это дает администраторам возможность оптимизировать работу сервиса сетевой печати, а руководству следить за тем, чтобы никто из сотрудников не злоупотреблял печатью документов в личных целях. Еще раз напомним, что все сотрудники официально предупреждены о контроле за использованием сетевых ресурсов. Кстати, также все официально предупреждены о наличии контроля за исходящей электронной почтой (обращение к каким-либо внешним почтовым серверам не допускаются). Это, конечно, не значит, что вся электронная почта перлюстрируется, просто такая возможность предусмотрена.

Кстати, в Соединенных Штатах после ряда щекотливых судебных процессов компании ввели в практику фиксацию возможного доступа к персональной электронной корреспонденции сотрудника в декларации корпоративной политики. Это позволяет им избежать обвинений в нарушении прав личности.

В том, что касается резервного копирования, в "Частном Банке" пока не торопятся с принятием решения об установке "продвинутой" системы. Это связано частично с тем, что основная масса важных документов хранится в почтовой базе Exchange и в личных папках на рабочих местах (особенно у руководства, которое берет "работу" (ноутбуки) на дом). Архивация папок Exchange с рабочих станций, на которых программа запущена практически всегда, оказывается невозможна из-за их блокировки в Windows 95, так что критическое архивирование приходится выполнять чаще всего вручную. Это, кстати, составляет один из аргументов в пользу перевода рабочих мест на NT Workstation (другим, очевидно, является ее большая защищенность и управляемость). Переход сдерживался тем, что до недавнего времени обращение за архивными данными осуществлялось со многих рабочих мест с помощью старой версии RS-Bank, клиентская часть которой некорректно работала под NT. Теперь необходимость в старой системе отпала, поэтому, скорее всего, старые системы будут оставлены на нескольких рабочих местах для разовых обращений, а остальные рабочие места будут переведены на NT. Резервное копирование осуществляется при помощи утилиты NT Backup на носители DDS-3 (по нашим впечатлениям, эти носители приобрели в последнее время большую популярность, дав второе дыхание технологии DAT как массовому решению и вновь оттеснив DLT на рынок очень мощных и критичных приложений).

ЗАКЛЮЧЕНИЕ

Одним из самых интересных, на наш взгляд, моментов в рассмотренном примере является подход отдела ИС (и руководства банка, разумеется) к контролю использования ресурсов системы. Желающие могут, конечно, дискутировать на тему необходимости такого строгого надзора за сотрудниками, но не это главное. Детальность сбора статистики и жесткость контроля — дело личных предпочтений и объективной необходимости. Нам же в данном случае важен сам принцип выработки официальной корпоративной политики, которая доводится до сведения всех сотрудников. Опыт показывает, что далеко не во всех отечественных организациях приняты корпоративные стандарты на конфигурацию рабочих мест, правила использования ресурсов и т. д. Однако наличие жестких стандартов — не просто средство облегчить жизнь администраторам, но и реальный фактор повышения надежности работы системы в целом.

Я думаю, не будет лишним еще раз подчеркнуть, что обеспечение защиты информации представляет собой непрерывный процесс. Иными словами, комплекс мер по защите данных не может быть выработан раз и навсегда, так как ситуация, как внутри компании, так и вне ее, постоянно меняется. И, наконец, один характерный именно для систем среднего масштаба момент: администраторы часто для решения каких-то задач прибегают к собственным разработкам, причем они оказываются весьма эффективными и иногда переживают даже "фирменные" утилиты. Думается, однако, что такое применение своим навыкам программирования может найти администратор системы любого масштаба, поскольку нужную программу часто бывает проще написать самому, чем найти требуемую утилиту где-нибудь еще.

Александр Авдуевский — редактор журнала LAN, с ним можно связаться по адресу: shura@lanmag.ru.

В двух словах: "Частный Банк"

ЗАО "Частный Банк"

Факты. "Частный Банк" предоставляет широкий спектр финансовых услуг для юридических и частных лиц. Во время кризиса банку приходится действовать в условиях обострившейся конкуренции между банками его уровня. Объем информации, к которой сотрудники имеют доступ (все вместе и по отдельности), достаточно велик, а сама информация имеет для банка критическое значение.

Задача. В силу высокой удельной плотности информации значение контроля за использованием и доступом к информационным ресурсам заметно повысилось. Помимо очевидной защиты от проникновения в сеть посторонних отделу ИС требовалось обеспечить защиту от злоупотребления сотрудниками своими правами доступа к ресурсам корпоративной системы.

Решение. Политика защиты информации и контроля за доступом к ресурсам системы получила в банке официальный статус на уровне служебных инструкций. В банке предусмотрен и внедрен контроль за всеми действиями пользователей. Некоторые жесткие меры не применяются повседневно, но о возможности их задействования в любой момент все сотрудники проинформированы.

Вывод. Управляемость корпоративной сети во многом зависит не только от умения и профессионализма сотрудников ИС, но и от готовности руководства организации поддержать (а также вырабатывать самостоятельно) политику использования корпоративных информационных ресурсов.