Аудит серверной инфраструктуры для протезно-ортопедического предприятия

Решения

Документ содержит анализ используемого сетевого и серверного оборудования, рекомендации по изменению. Представленные сведения и рекомендации сформированы на основании фактического состояния информационной среды заказчика на момент проведения анализа.
Аудит был проведен на основании данных от 17.10.25

Этап 1. Первичное взаимодействие с Заказчиком для получения необходимых данных

Инвентаризация оборудования

Укрупненная схема сетевого взаимодействия аудируемого оборудования

Состояние компонентов (по данным мониторинга)

Этап 2. Анализ виртуализационной платформы

• Гипервизор: VMware vSphere ESXi 6.7.0 Update 3.
• Физические серверы вне виртуальной среды: SERVER1C, Dataserver.
• Требуемый RTO: ≤12 часов.
• Рассмотренные архитектурные варианты отказоустойчивости:
   1. Активно-пассивная конфигурация.
   2. Активно-активная конфигурация.
   3. Конфигурация с внешней системой хранения данных (СХД).

Этап 3. Анализ программной инфраструктуры

Список серверов

Дополнительные сведения по серверам:

• SERVER1C:

- Использует 2 физических сетевых интерфейса и 1 виртуальный коммутатор Hyper-V.
- Ранее на сервере были развёрнуты ВМ через Hyper-V, в настоящее время они отключены, диск с ВМ удалён из системы.
- Сервер имеет 3 IP-адреса и 3 DNS-записи на контроллере домена.

• ServerHP:

- На сервере размещены базы данных Microsoft Access, с локальным экземпляром MS SQL Server.
- Выдан сетевой доступ на большое количество сетевых папок без единой структуры.

• SERVER0:

- Выдан сетевой доступ на множество отдельных папок, отсутствует единая иерархия файлового хранилища.

Установленное прикладное ПО

Схема резервного копирования

• Резервное копирование баз 1С выполняется через задания SQL Server Agent.
• Резервные копии хранятся на том же сервере (SERVER1C).

Этап 4. Сетевая инфраструктура и подключение серверов

• Топология: звезда.
• Центральный коммутатор: D-Link DGS-1024D (неуправляемый, 24- портовый гигабитный)., 2 шт.
• Маршрутизатор: MikroTik RB3011UiAS (RouterOS v6.46.5).
• VLAN: отсутствуют.
• DHCP: ранее работал одновременно на MikroTik и SERVERDC; в настоящий момент отключён на SERVERDC.
• DNS: размещён на SERVERDC.
• Firewall: настроен на MikroTik.

Этап 5. Безопасность и политика доступа

Членство в привилегированных групп

• Domain Admins: ***********, ***** *******, ******, ********.
• Enterprise Admins: **************, *********.
• Remote Desktop Users: **********, ************, **** ********, ***** ******
• Локальные администраторы: *************, ******* ************, ******** *****, ***** **********, ******* *******.

Дополнительные данные

• Лицензия на Kaspersky Endpoint Security — просрочена.
• VLAN отсутствуют, вся инфраструктура в одном L2-сегменте.
• Зафиксированы попытки входа с различных учётных записей, (см. приложение, файл “Аудит отказа.evtx”)

Этап 6. Заключение

На основании проведённого аудита серверной и сетевой инфраструктуры предприятия можно сделать вывод, что текущая ИТ-инфраструктура характеризуется высоким уровнем рисков, затрагивающих все уровни — от физического оборудования до управления доступом и стратегии восстановления.

Ниже представлены детализированные выводы, основанные на собранных данных.

Аппаратные риски: устаревание, отсутствие резервирования и мониторинга

На сервере Supermicro (X8DTH) зафиксированы SMART Medium Errors на дисках в слотах 0, 1 и 2. Это не критические ошибки, но они являются чётким предупреждением о скором отказе накопителей. Риск отказа дисков в ближайшее время — высокий, что в условиях отсутствия резервного копирования критически опасно.

Два сервера Supermicro не имеют гарантии. Учитывая возраст оборудования (процессоры Xeon X5650 — 2010 года, E5-2620 — 2012 года), вероятность отказа компонентов значительно выше, чем у современных платформ.

Кроме того, на одном из Supermicro-серверов отсутствует телеметрия по вентиляторам — система не может определить их скорость или состояние. Это снижает управляемость и делает невозможной проактивную диагностику перегрева.

Физическая инфраструктура: отсутствие маркировки

В ходе аудита выявлены недостатки в организации кабельной и энергетической инфраструктуры серверной:

1. Отсутствует маркировка сетевых кабелей
Это затрудняет диагностику подключений, усложняет внесение изменений и повышает вероятность ошибок при перекоммутации. Рекомендуется внедрить сквозную нумерацию всех сетевых кабелей: каждый кабель должен иметь уникальный номер, нанесённый на оба конца (у источника и у получателя).

2. Отсутствует маркировка кабелей питания и распределение по ИБП
Неясно, какие серверы и сетевые устройства подключены к какому из двух источников бесперебойного питания. Это критично при обслуживании или выходе одного из ИБП из строя. Необходимо промаркировать все силовые кабели и составить схему распределения нагрузки по ИБП с учётом резервирования.

3. Требуется тестирование батарей ИБП
Состояние аккумуляторных батарей не проверялось; их ресурс может быть исчерпан, что приведёт к мгновенному отключению оборудования при кратковременном перебое питания. Рекомендуется провести диагностику ИБП с нагрузочным тестированием батарей и при необходимости заменить их на новые.

4. Отсутствует структурированная кабельная разводка
Сетевые кабели подключены напрямую к оборудованию без использования патч-панелей, что нарушает принципы структурированной кабельной системы (СКС). Рекомендуется установить 24-портовую патч-панель (Cat6 или выше), завести все стационарные линии в неё и выполнить кабельменеджмент с использованием горизонтальных и вертикальных организаторов.

Эти меры значительно повысят обслуживаемость, надёжность и визуальное понимание коммутации серверной инфраструктуры.

Программные и архитектурные уязвимости

Гипервизор ESXi 6.7.0 Update 3 официально не поддерживается VMware с 15 октября 2022 года. Это означает, что организация лишена критических обновлений безопасности, патчей, вероятно отсутствие инструкций совместимости для новых версий ОС.

Рекомендуется обновить до VMware vSphere ESXi 7.0 U3 или 8.x — актуальных поддерживаемых версий.

Сервер ServerHP работает под управлением Windows Server 2003 Datacenter — ОС, поддержка которой прекращена в 2015 году. Аналогично, SERVERDC на Windows Server 2008 R2 (поддержка прекращена в 2020 году) выполняет роль единственного контроллера домена.

Необходимо заменить обе ОС на Windows Server 2022, предварительно развернув второй контроллер домена для обеспечения отказоустойчивости AD.

Прикладное ПО также устарело:

• 1С:Предприятие 8.3.24.1738 (25.10.24) → актуальная версия 8.3.27.1786.
• MS SQL Server 2008 R2 / 2003 → необходимо обновление до SQL Server 2022.
• MS Office 2003 → необходимо обновление до MS Office 2019-2022

Важно: перед переносом сервисов на новое ПО обязательно требуется тестирование в изолированной среде:

• На отдельной ВМ развернуть Windows Server 2022.
• Провести поэтапное тестирование:
  - Обновление SQL Server до версии 2022.
  - Миграция 1С:Предприятие на актуальную платформу.
  - Замена устаревших компонентов (включая Access 2003).

• Только после успешного тестирования — переводить сервисы в эксплуатацию.
• Выведенное из эксплуатации серверное оборудование целесообразно использовать для размещения данных резервного копирования.

Проблемы с сетевой конфигурацией SERVER1C и Active Directory

На сервере SERVER1C используется 2 физических сетевых интерфейса и 1 виртуальный коммутатор Hyper-V, оставшийся после неудачной попытки развёртывания ВМ. Хотя ВМ в настоящее время отключены, а диск с ними удалён, сетевая конфигурация не была приведена в порядок. В результате сервер зарегистрирован в DNS с тремя IP-адресами, что создаёт:

• Избыточные DNS-записи,
• Усложнение диагностики сетевых проблем.

Рекомендуется:

• Удалить неиспользуемый виртуальный коммутатор Hyper-V.
• Отключить лишние сетевые интерфейсы.
• Очистить DNS от дублирующих записей.
• Оставить один основной IP-адрес для сервера 1С.

Критические проблемы с контроллером домена

Во время аудита на SERVERDC были выявлены следующие проблемы с работой Active Directory:

При выполнении команды dcdiag /test:connectivity обнаружено, что контроллер домена не может распознать своё собственное имя — то есть система не может правильно разрешить его DNS-запись.

Это приводило к сбоям при авторизации пользователей в сетевые папки с рабочих станций.

Временное решение — перезагрузка контроллера, но это не устраняет корневую причину.

Учитывая, что SERVERDC работает на неподдерживаемой ОС (Windows Server 2008 R2) и является единственным контроллером домена, ситуация рискованная.

Рекомендуется:

1. Развернуть новый контроллер домена на Windows Server 2022 в той же сети.
2. Выполнить полную репликацию всех ролей FSMO, зон DNS, политик и учётных записей на новый контроллер.
3. Протестировать стабильность новой конфигурации.
4. Перевести все клиенты на использование нового DC как основного.
5. После подтверждения работоспособности — демонтировать старый контроллер и вывести его из эксплуатации.
6. Развернуть дополнительный контроллер домена, локация размещения отличная от размещения основного.

Это устранит текущие проблемы с авторизацией и обеспечит отказоустойчивость.

Файловые серверы: хаотичная структура и избыточность

На ServerHP и SERVER0 наблюдается хаотичное выдача общего сетевого доступа до папок:

• ServerHP: большое количество общих папок, содержащих базы Access и связанные с локальным MS SQL.
• SERVER0: множество отдельных локаций, без единой иерархии или логической структуры.

Это приводит к:

• Сложности в управлении правами доступа,
• Увеличению рисков утечки данных,
• Затруднению резервного копирования и миграции.

Рекомендуется:

• Объединить SERVER0 и Dataserver в единый файловый сервер на Windows Server 2022.
• Разработать единую иерархическую структуру (например: \\FS\Departments, \\FS\Projects).
• Перенести все данные с сохранением прав NTFS.
• Настроить централизованный доступ через группы AD.

После миграции — отключить SERVER0 и Dataserver

Резервное копирование: формальный подход без защиты данных

Централизованная система резервного копирования не развернута. Резервирование реализовано только для баз данных 1С с использованием встроенных средств SQL Server Agent, при этом резервные копии хранятся локально на том же физическом сервере (SERVER1C). Такой подход нарушает фундаментальные принципы надёжного бэкапа:

• Нет изоляции данных и их копий — при аппаратном сбое SERVER1C резервные копии будут утеряны вместе с основными данными.
• Не соблюдается правило «3-2-1» (три копии, два типа носителей, одна копия вне площадки).
• Отсутствует верификация целостности резервных копий.
• Не проводится регулярное тестирование процедур восстановления.

Рекомендуется развернуть централизованную систему резервного копирования на базе Veeam Backup & Replication (VBR) для обеспечения полного охвата: виртуальные машины, физические серверы (включая контроллер домена, сервер 1С, файловые серверы), конфигурации сетевого оборудования и гипервизора.

Стратегия «3-2-1» должна быть реализована следующим образом:

• 3 копии данных: оригинал + 2 резервные копии.
• 2 различных типа носителей: основное хранилище — локальный репозиторий VBR, вторичное — NAS-система.
• 1 копия вне основной локации: разместить резервный NAS в другом крыле здания или отправлять копии в филиал в Москве через защищённый VPN-туннель.

Дополнительно рекомендуется организовать архив «холодных» копий: В согласованный период (например- ежегодно) создавать полный резервный образ всей ИТ-инфраструктуры и записывать его на внешний зашифрованный с последующим хранением вне офиса. Это обеспечит возможность аварийного восстановления инфраструктуры предприятия.

Сетевая инфраструктура: отсутствие сегментации и резервирования

Вся инфраструктура подключена к неуправляемым коммутаторам D-Link DGS- 1024D. Неуправляемые коммутаторы не поддерживают VLAN, мониторинг трафика, защиту от штормов, диагностику ошибок.

Рекомендуется заменить неуправляемые коммутаторы на управляемые L2/L3- устройства (D-Link, HPE Aruba и пр.) Если закупка невозможна в ближайшее время, рекомендуется перекоммутировать критическую серверную инфраструктуру напрямую на маршрутизатор MikroTik RB3011UiAS, поскольку большинство его LANпортов не задействованы.

Это позволит:

• Исключить зависимость от неуправляемых коммутаторов для ключевых сервисов (гипервизор, DC, 1С).
• Упростить диагностику и повысить предсказуемость сетевого поведения.

Маршрутизатор работает на устаревшей версии RouterOS 6.46.5. Необходимо обновить до актуальной стабильной версии 7.x и настроить корректные правила межсетевого экрана: ограничение входящего трафика, защита управляющих интерфейсов (WinBox, SSH).

Внедрить VLAN для логической сегментации трафика, включая выделение отдельного management-VLAN для интерфейсов управления серверами, гипервизорами и сетевым оборудованием.

В зависимости от специфики работы предприятия рекомендуется настроить резервный канал связи (через LTE или второго провайдера) и резервирование сетевого оборудования.

Настроить резервное копирование конфигураций маршрутизатора. Для оперативного восстановления в случае необходимости.

Замечание по стабильности сети: В текущей конфигурации контроллер домена не выполняет функции DHCPсервера, хотя ранее эта роль использовалась. Это могло привести к непредсказуемым изменениям IP-адресов серверов.

Для обеспечения стабильной работы инфраструктуры, предсказуемости сетевых настроек и упрощения диагностики рекомендуется назначить статические IP-адреса на всех ключевых серверах (включая гипервизор, контроллеры домена, файловые серверы, сервер 1С и сервер резервного копирования).

Такое решение позволит исключить зависимость от DHCP (в том числе в будущем), упростить настройку DNS, firewall и систем мониторинга, а также предотвратить возможные сбои, связанные с изменением IP-адресов серверов.

Безопасность и управление доступом

• Учётная запись USR1CV8 (приложение 1С) входит в Domain Admins → критическая уязвимость.
• Учётные записи ****, *******, ****** имеют привилегированные права без привязки к сотрудникам → нарушение принципа индивидуальной подотчётности.
• Лицензия на Kaspersky Endpoint Security просрочена → отсутствие защиты.

Рекомендуется:

• Исключить учётные записи приложений из привилегированных групп.
• Удалить общие/анонимные учётные записи.
• Применить принцип минимальных привилегий.
• Продлить лицензию на антивирус.

Архитектура отказоустойчивости: три варианта реализации

В рамках требований к RTO ≤ 12 часов и наличия двух серверов HP DL360 Gen10 рекомендуется рассмотреть следующие варианты:

Вариант 1. Кластеризация на базе существующих HP-серверов

• Объединить оба HP DL360 Gen10 в кластер VMware vSphere с vMotion и HA.
• Для симметричности:
   - Увеличить ОЗУ на первом сервере до 6×16 ГБ (96 ГБ).
   - Заменить процессоры на Xeon Silver 4215R (как на втором сервере), потребуется расширить систему охлаждения под задорный уровень TDP.
   - Пропорционально расширить дисковое пространство (добавить SSD в RAID).
   - При необходимости заменить БП на 800 Вт.

• Преимущество: Бесшовная миграция ВМ при деградации одного из серверов кластера.

Вариант 2. Активно-пассивная схема с репликацией

• Использовать более мощный сервер (4215R, 96 ГБ ОЗУ) как основной, менее мощный — как резервный.
• Настроить репликацию критических ВМ (1С, DC) через VMware Replication или Veeam.
• Преимущество: низкая стоимость внедрения;
• Недостаток: полуавтоматический переход при сбое, простой.

Вариант 3.1. Кластер с внешним хранилищем (СХД)

• Приобрести СХД с двумя контроллерами.Каждый сервер имеет два подключения к СХД — по одному к каждому контроллеру.
• Возможна модернизация:
    - ОЗУ до 96 ГБ на обоих узлах.
    - Процессоры до 4215R.
    - Установка 10GbE сетевых карт.
    - Замена БП при необходимости.
  
• Преимущество: масштабируемость, гибкость, отказоустойчивость на уровне физического доступа к дисковой полке.
• Недостаток: высокая стоимость внедрения.

Вариант 3.2. Кластер с внешним хранилищем (СХД)

• Приобрести две СХД.
  Обе СХД работают как единое хранилище (например, по FC, iSCSI или SAS), и оба сервера имеют к ним доступ. Каждый сервер имеет по два подключения: к СХД1 и к СХД2. СХД синхронизируются между собой зеркально.
• При отказе одной СХД — данные доступны со второй.
• Возможна модернизация:
  - ОЗУ до 96 ГБ на обоих узлах.
  - Процессоры до 4215R.
  - Установка 10GbE сетевых карт.
  - Замена БП при необходимости.

• Преимущество: масштабируемость, гибкость, высокая отказоустойчивость.
• Недостаток: высокая стоимость внедрения.

План модернизации

Этап 1. Срочные меры (0–30 дней):

• Развернуть новый и дополнительный контроллер домена на Windows Server 2022.
• Демонтировать старый контроллер домена после подтверждения стабильности нового.
• Перенести SERVER1C и Dataserver в виртуальную среду.
• Настроить централизованное резервное копирование.
• Обновить RouterOS и настроить базовый firewall.
• Устранить избыточные права доступа и лишние DNS-записи.
• Внедрить VLAN и сегментацию сети.
• Продлить лицензию антивирусного ПО.

Этап 2. Среднесрочные улучшения (1–3 месяца):

• Выбрать и внедрить архитектуру отказоустойчивости.
• Заменить устаревшие серверы и сетевое оборудование.
• Обновить все ОС до Windows Server 2022, гипервизор — до ESXi 7.0 U3 или 8.x.
• Объединить файловые ресурсы SERVER0 и Dataserver в единую структуру.

Этап 3. Долгосрочная стратегия (3–6 месяцев):

• Внедрить систему мониторинга (Zabbix или аналог).
• Разработать и утвердить регламенты ИБ, резервного копирования и восстановления.
• Реализовать маркировку кабелей, патч-панели, ИБП.
• Создание и поддержание в актуальном состоянии ИТ документации предприятия.

Итог:

Текущая ИТ-инфраструктура не обеспечивает базовых требований к надёжности, безопасности и отказоустойчивости. Без проведения комплексной модернизации предприятие остаётся уязвимым к техническим сбоям, кибератакам и операционным простоям, которые могут привести к полной остановке бизнес-процессов.

Реализация предложенных мер — включая полную виртуализацию, обновление ПО до актуальных версий, тестирование в изолированной среде, внедрение сегментации, централизованного бэкапа, корректного управления доступом, физической маркировки инфраструктуры и развертывание нового контроллера домена — позволит:

• Снизить RTO до требуемых ≤12 часов,
• Повысить уровень информационной безопасности,
• Упростить управление и обслуживание,
• Обеспечить соответствие современным ИТ-стандартам и требованиям бизнеса.

Инфраструктура должна рассматриваться не как набор отдельных компонентов, а как единая, защищённая и управляемая система.