авторефераты диссертаций БЕСПЛАТНАЯ БИБЛИОТЕКА РОССИИ

КОНФЕРЕНЦИИ, КНИГИ, ПОСОБИЯ, НАУЧНЫЕ ИЗДАНИЯ

<< ГЛАВНАЯ
АГРОИНЖЕНЕРИЯ
АСТРОНОМИЯ
БЕЗОПАСНОСТЬ
БИОЛОГИЯ
ЗЕМЛЯ
ИНФОРМАТИКА
ИСКУССТВОВЕДЕНИЕ
ИСТОРИЯ
КУЛЬТУРОЛОГИЯ
МАШИНОСТРОЕНИЕ
МЕДИЦИНА
МЕТАЛЛУРГИЯ
МЕХАНИКА
ПЕДАГОГИКА
ПОЛИТИКА
ПРИБОРОСТРОЕНИЕ
ПРОДОВОЛЬСТВИЕ
ПСИХОЛОГИЯ
РАДИОТЕХНИКА
СЕЛЬСКОЕ ХОЗЯЙСТВО
СОЦИОЛОГИЯ
СТРОИТЕЛЬСТВО
ТЕХНИЧЕСКИЕ НАУКИ
ТРАНСПОРТ
ФАРМАЦЕВТИКА
ФИЗИКА
ФИЗИОЛОГИЯ
ФИЛОЛОГИЯ
ФИЛОСОФИЯ
ХИМИЯ
ЭКОНОМИКА
ЭЛЕКТРОТЕХНИКА
ЭНЕРГЕТИКА
ЮРИСПРУДЕНЦИЯ
ЯЗЫКОЗНАНИЕ
РАЗНОЕ
КОНТАКТЫ


Pages:   || 2 | 3 | 4 |
-- [ Страница 1 ] --

МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РОССИЙСКОЙ ФЕДЕРАЦИИ

САНКТ-ПЕТЕРБУРГСКИЙ НАЦИОНАЛЬНЫЙ

ИССЛЕДОВАТЕЛЬСКИЙ УНИВЕРСИТЕТ ИНФОРМАЦИОННЫХ

ТЕХНОЛОГИЙ, МЕХАНИКИ И

ОПТИКИ

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ,

ПРОЕКТИРОВАНИЕ И ТЕХНОЛОГИЯ

ЭЛЕМЕНТОВ И УЗЛОВ

КОМПЬЮТЕРНЫХ СИСТЕМ

Сборник трудов молодых ученых, аспирантов и

студентов научно-педагогической школы кафедры

проектирования и безопасности компьютерных систем

ВЫПУСК 2 САНКТ-ПЕТЕРБУРГ 2013 МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РОССИЙСКОЙ ФЕДЕРАЦИИ САНКТ-ПЕТЕРБУРГСКИЙ НАЦИОНАЛЬНЫЙ ИССЛЕДОВАТЕЛЬСКИЙ УНИВЕРСИТЕТ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ, МЕХАНИКИ И ОПТИКИ Сборник трудов молодых ученых, аспирантов и студентов научно-педагогической школы кафедры проектирования и безопасности компьютерных систем ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ, ПРОЕКТИРОВАНИЕ И ТЕХНОЛОГИЯ ЭЛЕМЕНТОВ И УЗЛОВ КОМПЬЮТЕРНЫХ СИСТЕМ Выпуск Санкт-Петербург Сборник трудов молодых ученых, аспирантов и студентов научно педагогической школы кафедры ПБКС «Информационная безопасность, проектирование и технология элементов и узлов компьютерных систем». / Под ред. Ю. А. Гатчина. – СПб: НИУ ИТМО, 2013. Выпуск 2 – 136 с.

Представлены научные работы молодых ученых, аспирантов и студентов, выполненные в Санкт-Петербургском национальном исследовательском университете информационных технологий, механики и оптики на кафедре проектирования и безопасности компьютерных систем в 2013 г.

ISBN 978-5-7577-0462- 2009 году Университет стал победителем многоэтапного конкурса, в результате которого определены 12 ведущих университетов России, которым присвоена категория «Национальный исследовательский университет». Министерством образования и науки Российской Федерации была утверждена программа его развития на 2009– годы. В 2011 году Университет получил наименование «Санкт Петербургский национальный исследовательский университет информационных технологий, механики и оптики»

Санкт-Петербургский национальный исследовательский университет информационных технологий, механики и оптики, Сборник трудов научно-педагогической школы кафедры ПБКС Предисловие Кафедра Проектирования и безопасности компьютерных систем (ПБКС) Санкт-Петербургского национального исследовательского университета информационных технологий, механики и оптики создана в 1945 году. Научно-педагогическая школа кафедры, созданная выдающимися учеными университета профессорами Майоровым С.А., Петуховым Г.А., Немолочновым О.Ф. в 80-е годы прошлого века, включает важнейшие направления, которые определяют уровень научно-технического прогресса России.

Основными направлениями кафедры являются микроэлектроника, современные системы автоматизированного проектирования (САПР), CALS-технологии и комплексные системы информационной безопасности.

Системы автоматизированного проектирования дают возможность на основе новейших достижений фундаментальных наук отрабатывать и совершенствовать методологию проектирования, стимулировать развитие математической теории проектирования сложных технических систем и технологических объектов. При этом основное внимание уделяется разработке систем, представляющих собой не просто объединенный набор отдельных программных решений, а целостную интегрированную систему взаимосвязанных инструментальных модулей, способных функционировать на различных технических платформах, взаимодействовать с производственным оборудованием, обрабатывать данные об электронном изделии, с использованием новейших информационных технологии.

Такие системы поддерживают технологию параллельного проектирования и функционирования различных подразделений, согласованно выполняющих в рамках единой компьютерной модели операции проектирования, сборки, тестирования изделия, подготовку производства и поддержку изделия в течение всего его жизненного цикла, вплоть до утилизации.

Создаваемая системой модель основывается на интеграции данных и представляет собой полное электронное описание изделия, где присутствуют как конструкторская, технологическая, производственная и другие базы данных по изделию. Это обеспечиваетзначительное улучшение качества проектирования, Сборник трудов научно-педагогической школы кафедры ПБКС снижение себестоимости и сокращение сроков выпуска изделий на рынок.

На кафедре осуществляется подготовка магистров по программе «Технологии и инструментальные средства проектирования электронных систем», учитывающей условия современного производства. С 2013 г. утверждена новая магистерская программа по направлению «Проектирование электронных средств в защищенной интегрированной среде».

В условиях открытости информационного пространства вопросы защиты информации выходят на первый план. При этом важным является создание основ проектирования инфраструктуры систем защиты информации на предприятии, защиты персональных данных, стеганографии.

Кафедра реализует магистерскую программу по направлению информационная безопасность - «Проектирование комплексных систем информационной безопасности».

На кафедре ведутся исследования по оптическим технологиям, целью которых является автоматизация технологического процесса производства оптического волокна.

За 2013 год на кафедре ПБКС защищено 7 кандидатских диссертации, опубликовано 2 монографии, более 40 статей в журналах ВАК и 80 тезисов докладов. Проведено 3 конференции и научные школы.

В данный сборник включены результаты научных исследований за 2013 г. студентов, аспирантов и молодых ученых кафедры Проектирования и безопасности компьютерных систем и базовой кафедры Машинного проектирования бортовой электронно вычислительной аппаратуры ОКБ «Электроавтоматика».

Сборник трудов научно-педагогической школы кафедры ПБКС СОДЕРЖАНИЕ I МЕТОДЫ И СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ М.Д. Газарян Методы снижения вероятности угроз информационной безопасности М.Д. Газарян, К.Н. Заикин Применение методов построения сложных структур для создания архитектуры интегрированных систем безопасности В.И. Гусев, В.В. Власов Разработка комплекса мер по защите инфраструктурного облака Н.А. Дородников, А.А. Малиин Разработка системы планирования, развертывания и комплексной защиты сети Р.Н. Захаров, А.Ю. Цивилёв, Ю.Б. Бондаренко Подписанные cookie как возможность хранения части пользовательской сессии Д.Д. Николаев, Ю.А. Гатчин Организационно-правовые проблемы при переходе к обработке и хранению корпоративных данных в среде облачных вычислений Е.В. Салимгареева Электронный документооборот. Достоинства и недостатки Д.А. Сергеев Разработка защищенного фреймворка системы администрирования интернет-проекта О.А.Теплоухова Анализ угроз безопасности систем дистанционного банковского обслуживания и построение системы защиты В.А. Чеповский, В.В. Власов Разработка системы безопасности Веб-приложения в условиях множественной аренды (SaaS) А.С. Чернов, Д.А. Козырев, К.Н. Заикин Разработка рекомендаций по защите носителей информации предприятия от угрозы похищения через эвакуационные выходы Щербакова А.А., Фирсова А.Е., Заикин К.Н. Анализ информационной безопасности в локальной вычислительной сети на примере предприятия ЗАО «Диаконт» II ПРОЕКТИРОВАНИЕ И ТЕХНОЛОГИЯ ЭЛЕМЕНТОВ И УЗЛОВ КОМПЬЮТЕРНЫХ СИСТЕМ И.Б. Бондаренко Разработка структуры многоагентной системы принятия технических решений в условиях частого изменения видов продукции оптического производства И.О. Жаринов Исследование амплитудно-частотных характеристик фильтров нижних частот на примере фильтров Бесселя, Баттерворта, Чебышева Сборник трудов научно-педагогической школы кафедры ПБКС В.А. Климанов Метод передачи данных между серверами автоматизированной системы проектирования рекурсивных кодовых шкал Е.В. Книга, И.О. Жаринов Особенности унификации и стандартизации проектных решений при конструировании крейтов интегрированной модульной авионики Е.В. Книга, И.О. Жаринов Принципы организации межмодульного информационного обмена в бортовых цифровых вычислительных системах интегрированой модульной авионики М.О. Костишин, И.О. Жаринов Реализация алгоритмов управления в автономной системе навигации мобильного робота М.О.Костишин, И.О. Жаринов, В.А. Нечаев Принцип построения многоканальной системы навигации автономного мобильного робота П.П. Парамонов, Ю.А. Гатчин, И.О. Жаринов, О.О. Жаринов Организация выпуска электронной конструкторской, программной и технологической документации на промышленных предприятиях с использованием отраслевой САПР авиационного приборостроения П.П. Парамонов, И.О. Жаринов, О.О. Жаринов, В.А. Нечаев, М.О. Костишин Принцип построения имитационной среды для отработки компонентов математического и программного обеспечения бортового оборудования П.П. Парамонов, П.В. Коновалов, И.О. Жаринов, Ю.А.

Кирсанова, С.Б. Уткин Особенности использования метрических данных при формировании индикационного кадра в бортовых системах картографической информации П.П. Парамонов, И.О. Жаринов, О.О. Жаринов, В.А. Нечаев, В.Д. Суслов Автоматизация проектирования бортовых навигационных комплексов авионики с использованием принципов комплексирования информации А.А. Петров, В.В. Давыдов Генератор синусоидального сигнала управляемой частоты для квантового стандарта частоты на атомах Cs133 Е.Ю. Трофимова Проектирование источников света с помощью современных САПР Сборник трудов научно-педагогической школы кафедры ПБКС I МЕТОДЫ И СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ УДК 004. МЕТОДЫ СНИЖЕНИЯ ВЕРОЯТНОСТИ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ М.Д. Газарян Представлены методы снижения вероятности угроз конфиденциальной информации, рассмотрены основные условия обеспечения защиты информации, каналы утечки и кража конфиденциальной информации по неосторожности.

Ключевые слова: вероятность угроз, конфиденциальная информация, физическая безопасность, спам, вирусы, черви.

Введение В каждой сфере деятельности существуют свои объекты защиты и, в зависимости от рода деятельности той или иной организации и типа объекта защиты, следует сделать акцент на определённые методы обеспечения защиты информации. Целью данной работы является определение методов, которые помогут снизить вероятности угроз конфиденциальной информации. Постоянное совершенствование методов угроз конфиденциальной информации создаёт проблемы, которые в свою очередь требует определённых способов защиты [1].

Вероятность угроз информационной безопасности Для каждой информации существуют угрозы безопасности с различной вероятностью возникновения.

Можно выделить такие угрозы информационной безопасности как:

кража конфиденциальной информации, физическая безопасность, неправомерные действия сотрудников с использованием информационных систем, вирусы и черви, финансовое мошенничество с использованием информационных систем.

Сборник трудов научно-педагогической школы кафедры ПБКС Данные угрозы могут возникнуть на объектах различного типа.

Это банки, торговые центры, частные предприятия и т. д. И в каждом из объектов своя вероятность возникновения той или иной угрозы.

Для того чтобы снизить риск вероятности той или иной угрозы, в зависимости от объекта защиты, необходимо предпринять соответствующие меры.

Кража конфиденциальной информации Остановимся подробнее на одном из перечисленных выше угроз, а именно на защите конфиденциальной информации. Защита конфиденциальной информации (КИ) является одним из важнейших факторов создания предпосылок для стабильного существования и прогрессивного развития организации.

Основными условиями обеспечения информационной безопасности организации в контексте намеченного подхода к решению задач защиты КИ являются:

построение моделей злоумышленников и конкурентов на основе поиска и аутентификации информации об их намерениях и устремлениях;

определение перечня сведений, составляющих объект защиты интересов концерна в конкретных областях его деятельности;

формирование предпочтительной для концерна структуры системы защиты КИ на основе синтеза, структурной оптимизации и технико-экономической оценки альтернативных вариантов СКЗКИ;

управление процессом реализации избранного замысла защиты КИ и координация работ по организации защиты КИ между всеми заинтересованными структурными подразделениями организации;

совмещение организационно-административных мер защиты КИ с активными вовлечением в указанный процесс всего персонала организации;

введение персональной ответственности (в том числе и материальной) должностных лиц всех уровней, а также других работников концерна, допущенных к КИ, за обеспечение установленного в АО режима конфиденциальности [2].

Каналы утечки конфиденциальной информации Для снижения вероятности утечки конфиденциальной информации, очень важно чётко представлять по каким каналам может осуществляться утечка конфиденциальных данных.

Сборник трудов научно-педагогической школы кафедры ПБКС Рассмотрим некоторые из них:

1. Съемные накопители Съемные накопители становятся причиной инцидентов относительно редко. Несмотря на то, что различные USB-накопители получили достаточно широкое распространение, они не очень часто используются для переноса и хранения конфиденциальных данных. И этот канал не сложно контролировать. Вполне достаточно ввести обязательное шифрование данных на корпоративных "флешках", чтобы обезопасить их в случае утери накопителя.

2. Бумажные документы При защите от утечек конфиденциальных данных, не редко забывают о бумажных документах. Нельзя недооценивать серьёзность последствий в случае утечки конфиденциальной информации по данному каналу. Инцидентов, которые связаны с распечатанной на бумаге информацией, происходит довольно не мало.

Есть два фактора, которые усугубляют ситуацию. Первый фактор заключается в том, что в большинстве организаций контроль заканчивается на печати документа. После чего его перемещение по офису и утилизация никак не отслеживается и в полной мере остается на совести сотрудников. Вторым фактором является то, что на сегодняшний день контроль бумажных документов возможен только с помощью организационных мер. Хотя трудовая дисциплина во многих компаниях остается достаточно низкой. В результате, документы с конфиденциальной информацией не утилизируются должным образом, а просто оказываются в мусорной корзине. Откуда они попадают в мульду и вполне могут быть найдены злоумышленниками.

3. Другие каналы утечки Помимо описанных выше каналов утечки конфиденциальной информации, есть и другие. Они не являются столь распространёнными, но, тем не менее, о них нельзя забывать.

Большинство этих каналов не редко используются злоумышленниками для целенаправленной добычи конкретной информации. Такие утечки, несмотря на их небольшой процент в общей доле, способны нанести существенный ущерб любой организации.

В основном к таким каналам относятся архивные накопители, которые предназначены для хранения копий конфиденциальной информации, включая всевозможные базы данных. В большинстве случаев, многие компании записывают на них информацию в открытом виде. И в случае утери или кражи такого накопителя злоумышленники легко могут заполучить данные. Другим каналом утечки конфиденциальных данных является некорректная утилизация компьютерного оборудования и носителей. Нередко бывает, что в Сборник трудов научно-педагогической школы кафедры ПБКС большинстве организаций списанные компьютеры продаются или передаются в некоммерческие учреждения. И случаи, когда ПК отдаются в том виде, в каком они есть, без удаления всей информации не редкость. Но, даже если отформатировать жесткий диск компьютера, восстановить данные не составит никакого труда. Перед утилизацией носитель необходимо подвергнуть специальной процедуре очистки, которая сделает восстановление информации невозможным.

Есть ещё несколько каналов утечки конфиденциальной информации, к которым так же относятся мошеннические действия в отношении сотрудников компании, фишинг и пр. [3].

Кража конфиденциальной информации по неосторожности Не редко бывает так, что инсайдеры неправомерно подвергают корпоративные секреты риску. К примеру, случайно выложив секретные документы на веб-сайт, перенести данные в ноутбук или карманный компьютер, который впоследствии будет утерян или украден, а также отослать корпоративные сведения по неверному почтовому адресу. В данном случае используются в основном такие средства защиты как фильтрация трафика и контроль операции на уровне рабочих станций, а также шифрование данных на мобильных устройствах. Столкнувшись с невозможностью осуществить задуманную операцию, инсайдер не станет упорствовать, и скорее всего, не причинит никакого вреда [4].

Заключение Защитить информацию от угроз на сто процентов невозможно, есть угрозы, от которых практически невозможно защититься, но применение всех мер по защите информации, позволит значительно снизить вероятность их возникновения.

Литература Защита конфиденциальной информации - 2013. [Электронный 1.

ресурс] – Режим доступа: http://odiplom.ru/pravo/zaszita-konfidencialnoi informacii, свободный.

Разработка системы защиты конфиденциальной информации 2.

2011. [Электронный ресурс] – Режим доступа:

http://bre.ru/security/20864.html, свободный.

Каналы утечки конфиденциальной информации - 2012.

3.

[Электронный ресурс] – Режим доступа: http://www.anti malware.ru/reviews/leak-channels, свободный.

Сборник трудов научно-педагогической школы кафедры ПБКС Кража конфиденциальной информации по неосторожности 4.

[Электронный ресурс] – Режим доступа:

2011.

http://insideinform.ru/page/krazha-konfidentsialnoj-informatsii-po neostorozhnosti, свободный.

Санкт-Петербургский национальный – Газарян исследовательский университет Мгер Давидович информационных технологий, механики и оптики, магистрант, g19892000@yandex.ru УДК 004. ПРИМЕНЕНИЕ МЕТОДОВ ПОСТРОЕНИЯ СЛОЖНЫХ СТРУКТУР ДЛЯ СОЗДАНИЯ АРХИТЕКТУРЫ ИНТЕГРИРОВАННЫХ СИСТЕМ БЕЗОПАСНОСТИ М.Д. Газарян, К.Н. Заикин Проанализированы сложные архитектуры, показаны возможные варианты их применения при создании системы безопасности.

Ключевые слова: модель Захмана, дерево принятия решений, архитектура, интегрированная система безопасности.

Введение Применение сложных архитектур для решения проблем или вопросов различного характера в сфере информационной безопасности вполне оправдано. Ведь это не редко помогает не только эффективно решить проблему, но и избежать лишних финансовых затрат. В данной статье рассматриваются два метода построения сложных архитектур, для создания архитектуры интегрированных систем безопасности. Это модель Захмана, и дерево принятия решений.

Методы построения сложных структур Построения архитектуры комплексной системы безопасности начинается с изучения информации о предприятии. Его бизнес планы, стратегии развития, политики предприятия и другая информация, которая отличает это предприятие от других. Исходя из этого, строится модель интегрированной системы безопасности (ИСБ).

Сборник трудов научно-педагогической школы кафедры ПБКС Существует множество моделей описания архитектур. К примеру, модель Захмана.

Джон Захман внёс существенный вклад в формирование концепции архитектуры предприятия. С момента публикации «модель Захмана для описания архитектуры предприятия» она поднялась на некую ступень в своем развитии и стала фундаментальной, на базе которой большинство организации создавали свои собственные методики описания информационной инфраструктуры предприятия. [1] Модель Захмана базирована на дисциплине традиционной архитектуры и обеспечивает единый словарь и набор возможностей либо структур, с целью описания современных сложных корпоративных систем.

В своей работе Джон Захман представил архитектуру предприятия в виде набора описательных моделей, которые можно применить для описания предприятия в соответствии с требованиями управленческого персонала и которые могут развиваться в течение определенного периода. [2] Преимущество модели Захмана заключается в простоте и функциональной полноте описания архитектуры системы.

Дерево принятия решений В каждой организации одним из основных задач работы управленческого персонала, является – своевременная разработка и принятие правильного решения.

Любое непродуманное решение может нанести ущерб компании.

На деле, результат одного решения заставляет нас принимать следующее решение и т. д. Когда необходимо принять несколько решений в условиях неопределенности, когда каждое решение зависит от исхода предыдущего решения или исходов испытаний, то применяют схему, называемую деревом решений.

Дерево решений — это графическое изображение процесса принятия решений, в котором отражены альтернативные решения, альтернативные состояния среды, соответствующие вероятности и выигрыши для любых комбинаций альтернатив и состояний среды [3].

Рассмотрим данную методику на примере предприятия ООО «Ока-Фрост». Данное предприятие является крупным поставщиком в области холодильного оборудования в Москве и Московской области.

Допустим на предприятии ООО «Ока-Фрост» главному инженеру надо решить, монтировать или нет новые компоненты интегрированной системы безопасности. Если новые компоненты ИСБ будут работать безотказно, компании не придётся заново покупать новую ИСБ и она Сборник трудов научно-педагогической школы кафедры ПБКС сэкономит 220 тыс. рублей. Если же новые компоненты будут работать некорректно, компания может потерять 130 тыс. рублей из-за зря купленных компонентов.

При создании интегрированных систем, отсутствие необходимой нормативной документации, определяющей требования к интеграции, не редко приводит к коллизионной ситуации между производителями и потребителями. И в результате возникает масса проблем, которые можно разделить на два типа: терминологические и технические.

Поэтому новые компоненты системы могут работать не корректно.

Даже производители известных фирм не всегда правильно используют понятие "интегрированная система". Так как термин "интеграция" в этом контексте можно рассматривать как объединение различных систем в единое целое, то, по представлению производителя, под интегрированной системой следует понимать только такую систему, которая обеспечивает полную реализацию всех базовых функций, присущих двум или более входящим в ее состав функциональным подсистемам [15]. Поэтому вполне может быть, что компоненты не заработают.

Главный инженер считает, что вероятность того, что новые компоненты ИСБ откажут, составляет 65%. Можно создать экспериментальную модель системы и после этого уже решать, монтировать новые компоненты ИСБ или нет.

Экспериментальная модель системы, подразумевает собой метод исследования системы на корректность работы с новыми компонентами ИСБ. Создание интегрированной системы безопасности в меньших масштабах, с целью изучения возможных проблем при применении новых компонентов.

Стоимость эксперимента составит 15 тыс. рублей. По мнению Главного инженера, вероятность того, что экспериментальная модель системы будет работать, составляет 50%. Если экспериментальная модель системы заработает, то 95% шансов за то, что смонтированные компоненты ИСБ также будут работать. Если же экспериментальная модель системы не заработает, то только 25% шансов за то, что компоненты ИСБ заработают. Чтобы определить, нужно ли строить экспериментальную установку, нужно ли монтировать новые компоненты системы и какова ожидаемая стоимостная оценка наилучшего решения, необходимо построить дерева принятия решений.

Дерево принятия решений представлено на рисунке.

Сборник трудов научно-педагогической школы кафедры ПБКС Рисунок. Дерево принятия решений В таблице представлены пояснения элементов дерева принятия решений.

Места, где принимаются решения Места появления исходов Возможные решения Возможные исходы Таблица. Элементы дерева принятия решений.

Для каждой альтернативы рассчитаем ожидаемую стоимостную оценку (expected monetary value (ЕМV)) — максимальную из сумм оценок выигрышей, умноженных на вероятность реализации выигрышей, для всех возможных вариантов [3].

Анализ ожидаемой денежной стоимости (Expected Monetary Value (EMV) Analysis) – Это статистический метод, вычисляющий средний результат, когда в будущем имеются сценарии, которые могут произойти, а могут и не произойти. Обычно этот метод используется в рамках анализа дерева решений [4].

Сборник трудов научно-педагогической школы кафедры ПБКС В узле F возможны исходы «компоненты работают» с вероятностью 0,35 (что приносит прибыль 220) и «компоненты не работают» с вероятностью 0,65 (что приносит убыток - 130) = оценка узла F. EMV(F) = 0,35 220 + 0,65 (-130) = -7,5. Это число мы пишем над узлом F.

EMV(G) = 0.

В узле 4 мы выбираем между решением «монтируем компоненты ИСБ» (оценка этого решения EMV(F) = -7,5) и решением «не монтируем компоненты ИСБ» (оценка этого решения EMV(G) = 0):

EMV(4) = max {EMV(F), EMV(G)} = max {-7,5;

0} = 0 = EMV(G). Эту оценку мы пишем над узлом 4, а решение «монтируем компоненты ИСБ» отбрасываем и зачеркиваем.

Аналогично:

EMV(B) = 0,95 220 + 0,05 (–130) = 209 – 6,5 = 202,5.

EMV(С) = 0.

EMV(2) = max {EMV(В), EMV(С} = max {202,5;

0} = 202,5 = EMV(В).) Поэтому в узле 2 отбрасываем возможное решение «не монтируем компоненты ИСБ».

EMV(D) = 0,25 220 + 0,75 (–130) = 55 — 97,5 = –42,5.

EMV(E) = 0.

EMV(3) = max {EMV(D), EMV(E)} = max {–42,5;

0} = 0 = EMV(E). Поэтому в узле 3 отбрасываем возможное решение «монтируем компоненты ИСБ».

ЕМV(A) = 0,5 202,5 + 0,5 0 - 15 = 86,25.

EMV(l) = max {EMV(A), EMV(4)} = max {86,25;

0} = 86,25 = EMV(A). Поэтому в узле 1 отбрасываем возможное решение «не строим модель системы».

Ожидаемая стоимостная оценка наилучшего решения равна 86, тыс. рублей. Строим модель системы. Если модель системы работает, то монтируем компоненты ИСБ. Если модель системы не работает, то компоненты ИСБ монтировать не надо.

Таким образом, мы выяснили наиболее оптимальный выход из данной ситуации, который позволит предприятию сохранить свой бюджет и не ошибиться с выбором новых компонентов ИСБ [3].

Заключение Модель Захмана, так же как и «дерево принятия решений» могут быть адаптированы под различные сферы деятельность, такие как экономика или информационная безопасность, но, тем не менее, их нельзя считать универсальными, хотя бы, потому что цели применения этих архитектур разные. Модель Захмана отлично подходит для Сборник трудов научно-педагогической школы кафедры ПБКС описания архитектур различных систем, а «дерево принятия решений»

применимо исключительно для определения вероятности того или иного исхода. Таким образом, применение подобных сложных архитектур остаётся актуальным и в наше время.

Литература Методики описания архитектур – 2012. [Электронный ресурс] – 1.

Режим доступа:

http://www.intuit.ru/studies/courses/995/152/lecture/2232?page=2, свободный. – Загл. с экрана. – Яз. рус.

Применение модели Захмана для проектирования ИТ 2.

архитектуры предприятия – 2013. [Электронный ресурс] – Режим доступа:

http://www.cbz.com.ua/contents/article/index/section/61/language/ru/article/ 28, свободный. – Загл. с экрана. – Яз. рус.

Дерево управленческих решений – 2008. [Электронный ресурс] – 3.

Режим доступа: http://www.elitarium.ru/2008/04/09/derevo_reshenijj.html, свободный. – Загл. с экрана. – Яз. рус.

Анализ ожидаемой денежной стоимости (Expected Monetary Value 4.

(EMV) Analysis) – 2013. [Электронный ресурс] – Режим доступа:

http://www.pm-glossary.com/pmbok/49--expected-monetary-value-emv analysis-, свободный. – Загл. с экрана. – Яз. рус. Дата обращения:

19.10.2013 г.

Санкт-Петербургский национальный – Газарян исследовательский университет Мгер Давидович информационных технологий, механики и оптики, магистрант, g19892000@yandex.ru Санкт-Петербургский национальный – Заикин исследовательский университет Константин Николаевич информационных технологий, механики и оптики, к.т.н., доцент, pks.konstantin@gmail.com Сборник трудов научно-педагогической школы кафедры ПБКС УДК 004.056. РАЗРАБОТКА КОМПЛЕКСА МЕР ПО ЗАЩИТЕ ИНФРАСТРУКТУРНОГО ОБЛАКА В.И. Гусев, В.В. Власов Рассматриваются основные элементы архитектуры инфраструктурного облака, описаны классы уязвимостей, представлены способы обеспечения целостности, сохранности информации, доступности сети, меры для увеличения защищенности хост-системы, мониторинг состояния инфраструктуры и безопасности.

Ключевые слова: Облачные технологии, облачные вычисления, безопасности, IaaS, инфраструктурное облако Введение За последние 10 лет наблюдается устойчивая тенденция по переходу предприятий к использованию «облачных» технологий, вместо создания собственного «дата центра».

Облако — модель обеспечения повсеместного и удобного сетевого доступа по требованию к общему пулу конфигурируемых вычислительных ресурсов (например, сетям передачи данных, серверам, устройствам хранения данных, приложениям и сервисам — как вместе, так и по отдельности), которые могут быть оперативно предоставлены и освобождены с минимальными эксплуатационными затратами и/или обращениями к провайдеру [1]. Один из трех видов программного обеспечения, работающих по модели «облаков» является IaaS (англ. Infrastructure as a Service, инфраструктурное облако, далее ИО). Таким образом, ИО – это предоставление компьютерной инфраструктуры (обычно это платформа виртуализации) как услуги.

Потребитель полностью контролирует запущенные в виртуальных машинах операционные системы, содержимое хранилищ, частично контролирует сеть. Целью данной работы является разработка комплекса мер для защиты облачных вычислений модели IaaS на основе Xen Cloud Platfrom.

Устройство инфраструктурного облака Основной компонент ИО — это платформа виртуализации, именно она предоставляется как услуга. Основа виртуализации — возможность выполнять работу нескольких компьютеров с помощью Сборник трудов научно-педагогической школы кафедры ПБКС одного. Виртуальные серверы позволяют разместить несколько операционных систем в одном месте, перемещать их из одного места в другое. Виртуализация предоставляет возможность мигрировать виртуальные машины (virtual machine, VM) между физическими серверами (нодами, хостами). Виртуализация обеспечивается гипервизором (virtual machine monitor, VMM). Для использования всех возможностей виртуализации, необходимы особые способы управления.

Это управление осуществляют на различных уровнях, разделяя локальное управление на сервере и более высокоуровневое управление инфраструктурой. Совокупность физического сервера, на котором установлен гипервизор, виртуальная сеть и локальное управление, обслуживающие несколько виртуальных машин составляет один узел облака.

Облако содержит множество описанных узлов. Эта виртуальная инфраструктура размещена в физической сети, обеспеченной доступом к системе хранения данных, организовано управление этой системой, обеспечена балансировка нагрузки (если система доступна извне), кэширование с фильтрацией (рисунок).

Рисунок. Устройство инфраструктурного облака Разработка мер по обеспечению безопасности ИО Клиенты провайдеров ИО подвергаются более чем 50 рискам [2], которые проанализированы и описаны в работе, большей частью Сборник трудов научно-педагогической школы кафедры ПБКС зависящим от того, насколько защищена облачная инфраструктура провайдера. Уязвимости были сгруппированы в 7 классов: 1) уязвимости, связанные с «нарушением правил пользования инфраструктурой»;

2) «небезопасные внутренние интерфейсы и API»;

3) «злоумышленники среди сотрудников провайдера»;

4) «проблемы использования совместно-используемых (shared) технологий»;

5) «утечка конфиденциальных данных, потеря данных»;

6) «кража учетных данных клиента»;

7) «отказ в обслуживании». Например, в таблице представлены Механизмы защиты виртуальных машин от угроз в различные периоды их жизни.

Часть жизненного Способы защиты цикла Криптозащита, управление доступом (угрозы Хранение/Перенос 2, 4, 5) Шифрование загрузочных разделов и Развертывание разделов с данными (угрозы 3, 5). vTPM [28], «Связываемые» VM (угрозы 3, 5) Индивидуальное привязывание (угрозы 3, 4, Настройка 5) Обнаружение отклонений от «нормального»

Работа поведения (угрозы 1, 6), проверка целостности памяти VM (угрозы 1, 6).

Таблица. Механизмы защиты виртуальных машин от угроз в различные периоды их жизни Так для обеспечения целостности, сохранности информации в случае выхода из строя жесткого диска выполняется зеркалирование данных (RAID-1) с помощью модуля ядра dm-raid1. Используется программный RAID, а не аппаратный, для исключения единой точки отказа в виде RAID-контроллера. Для обеспечения доступности дисковых устройств виртуальных машин используется резервное хранилище, данные на которое реплицируются с помощью DRBD.

Для обеспечения доступности сети необходимо применить меры:

дублирование инфраструктуры и использование надежного оборудование с гарантированным временем между отказами (MTBF, Mean Time Between Failures). В архитектуру сети должна быть заложена избыточность для обеспечения доступности и надежности.

XCP позволяет обеспечить высокую доступность сети с помощью объединения сетевых интерфейсов (bonding). Объединение сетевых интерфейсов — это техника, предназначенная для улучшения отказоустойчивости, для увеличения доступной полосы пропускания.

Сборник трудов научно-педагогической школы кафедры ПБКС Для увеличения защищенности хост-системы XCP изменяются три типа настроек согласно предложенной схеме: общие настройки системы, настройки сетевых параметров системы, настройки гипервизора.

Мониторинг состояния инфраструктуры и безопасности позволяет контролировать аппаратную и программную часть облака и получать информацию о производительности работающих систем, задержек доступа к сети и дисковым устройствам.

Заключение В данной выпускной квалификационной работе был разработан комплекс мер для защиты ИО, в том числе: технические меры для увеличения доступности данных виртуальных машин в инфраструктурном облаке;

организационно-технические меры для увеличения доступности сети данных, управления и хранения информации;

организационно-технические меры для увеличения защищенности хост-систем с платформой виртуализации. Кроме того, разработана политика использования ключей SSH, создана модель системы мониторинга безопасности облака, реализован её прототип на основе Icinga.

Литература 1. Peter Mell, Timothy Grance. The NIST Definition of Cloud Computing. — 2011. [Электронная версия]. — Режим доступа:

свободный (дата http://csrc.nist.gov/publications/PubsByLR.html, обращения: 24.04.2013).

2. ENISA: Cloud computing: Benefits, risks and recommendations for information security. // European Network and Information Security Agency, Tech rep. — 2009.

– ООО «Селектел», инженер Гусев В.И.

программист, vlad@s10.in – Санкт-Петербургский национальный Власов исследовательский университет Виталий Владимирович информационных технологий, механики и оптики, ассистент, кафедры inxaoc@gmail.com Сборник трудов научно-педагогической школы кафедры ПБКС УДК 004. РАЗРАБОТКА СИСТЕМЫ ПЛАНИРОВАНИЯ, РАЗВЕРТЫВАНИЯ И КОМПЛЕКСНОЙ ЗАЩИТЫ СЕТИ Н.А. Дородников, А.А. Малиин Рассмотрены современные проблемы локальных сетей коммерческих организаций, произведен анализ их причин и возможных путей их предотвращения на этапах создания и развертывания сети. Разработан набор входных и ключевых выходных параметров сетей. С использованием многофакторной оптимизации создан набор алгоритмов по получению параметров каждого уровня из входных, а также по подбору подходящего сетевого оборудования. Разработан программный продукт, представляющий собой систему автоматизации процесса создания и предотвращения проблем локальных сетей.

Ключевые слова: Автоматизация создания сетей, предотвращение проблем, защита сетей, подбор оборудования, подбор конфигураций Введение Информационные технологии с каждым днем проникают в нашу жизнь все глубже и глубже. Это касается также и предприятий с их локальными сетями. При этом для бизнес-сферы показатели скорости, качества, полноты, гибкости и безопасности функционирования сети влияют на деятельность и эффективность работы компании напрямую.

Таким образом, задача правильного построения (и, как следствие, качественного обслуживания) IT-инфраструктуры на предприятиях имеет большое значение.

К сожалению, решение этой задачи наталкивается на определенные проблемы, главные из которых — отсутствие понимания глубины и важности этого процесса у руководства организации, отсутствие сотрудников необходимой квалификации, высокая стоимость найма профессиональных системных интеграторов для решения задачи проектирования. Эти проблемы характерны для большинства организаций, так как требуют вложений на начальных этапах становления организации. В результате, большинство локальных сетей коммерческих структур работают нестабильно, уязвимы, испытывают сложности с производительностью и конфигурируемостью, что мешает им стать действительно эффективным инструментом для оптимизации бизнес-процессов.

Таким образом, была определена цель работы: оптимизация Сборник трудов научно-педагогической школы кафедры ПБКС процесса проектирования корпоративных ЛВС путем создания системы автоматического планирования, развертывания и комплексной защиты сети.

Для достижения указанной цели необходимо решить следующие основные задачи:

провести системный анализ существующих проблем a) коммерческих ЛВС и способов их решения на этапе проектирования;

разработать набор ключевых параметров и характеристик b) устойчивой и защищенной сети на основании полученных результатов анализа;

с использованием метода многофакторной оптимизации c) создать алгоритм преобразования входных параметров организации в выходные параметры различных уровней полученной сети;

разработать систему выбора подходящих моделей d) существующего оборудования и организации IP-плана сети;

разработать систему функционального моделирования e) локальной сети на основе полученных параметров.

Анализ рынка проектирования сетей показал, что нет ни одной существующей системы автоматизации, которая бы предоставляла возможность моделировать сразу и на физическом, логическом, сетевом уровнях, а также на уровне сервисов. Существующие системы автоматизируют лишь отдельные уровни, не обеспечивая связи входных и выходных параметров с другими уровнями. При этом, для своего использования они, как правило, требуют наличия специальных знаний, а значит – предназначены для использования не конечными пользователями заказчика модели сети, а системными интерграторами.

Этапы проектирования, анализ проблем эксплуатации локальных сетей Анализ проблем показал, что большинство проблем в локальных сетях появляются из-за нескольких основных причин [1,2]:

неграмотное проектирование;

1.

воздействия извне;

2.

некачественное обслуживание;

3.

организационные ограничения;

4.

смена администрирующего сеть персонала.

5.

Неграмотное проектирование сети, то это — самая распространенная и широкая в своих проявлениях причина. При планировании сети часто не учитываются все факторы, а именно — возможности масштабирования, резервирования, увеличения нагрузки.

Также зачастую сеть не делят на зоны безопасности, не разделяют широковещательные домены, нагрузку не распределяют на группы и Сборник трудов научно-педагогической школы кафедры ПБКС виртуальные подсети, не разносят на независимые узлы.

Воздействие извне — тоже можно пресечь еще на этапе проектирования, но современные методы атаки на сети с каждым днем все изощреннее, и нет ни одного способа учесть все возможные каналы проникновения. Впрочем, воздействие может и не быть работой злоумышленника, может повлиять и форс-мажор, и воздействие окружающей среды.

Некачественное обслуживание также встречается повсеместно. Для качественного обслуживания таких технически сложных объектов, как сеть, необходимо строжайшее ведение всей необходимой документации, такой как:

логическая схема сети;

структурная схема сети;

физическая схема сети;

описание всех периодических мероприятий;

описание конфигураций каждого узла;

IP-план;

лог действий по настройке аппаратного обеспечения;

лог действий по настройке программного обеспечения;

описание выполняемых процедур по конфигурированию сети;

описание потоков данных и зон безопасности;

список сетевого и клиентского оборудования;

карта кабельных коммуникаций;

схемы работы АТС;

список пользователей и прав доступа;

протоколы проведения периодических проверок;

типовые эксплуатационные характеристики локальной сети;

перечень первостепенных признаков возможных неисправностей.

Разумеется, для ведения всей этой документации требуется много времени и в идеале — отдельный специалист. Однако, руководство предприятия зачастую не обладает знаниями специфики обслуживания сети, и имеют искаженное представление об уровне сложности и трудоемкости процесса обслуживания. Из-за этого очень часто весь комплекс задач по администрированию сети, обслуживанию и поддержке пользователей, обеспечению информационной безопасности, монтажу дополнительных коммуникаций, управлению договорами и сервисами сети — ложится на плечи одного-двух системных администраторов, которые не имеют времени и возможностей поддерживать документацию в должном состоянии. В связи с чем актуальность имеющейся информации снижается, а необходимое на проведение типовых конфигурационных работ время Сборник трудов научно-педагогической школы кафедры ПБКС — сильно увеличивается. Что и приводит к появлению проблем в различных сегментах сети.

Под организационными ограничениями понимаются ограничения, препятствующие процессам правильного обслуживания сети. Отчасти это уже упомянутая проблема нехватки персонала, с другой стороны — это проблема финансовой экономии на оборудовании, что лишает сеть гибкости и стабильности, а зачастую и масштабируемости. Также ограничения могут быть связаны с режимом работы предприятия, исключающим возможность плановых приостановок и контроля, запрещающим доступ к оборудованию в нерабочее время.

Смена администрирующего персонала — отдельная, очень специфическая тема. Дело в том, что при отсутствии настроенной по стандартам сети без временных доработок и изменений, при отсутствии всей необходимой документации, новый администратор не сможет правильно понять структуру сети. Особенно есть сеть распределенная, и ее схема не является прозрачной и очевидной. На изучение имеющейся сети у администратора уйдет очень много времени, а если сеть при этом изобилует разнообразными проблемами, то новые администраторы часто принимают решение о перенастройке сети, тем самым приводя к остановкам работы сотрудников, к распространению новых проблем, опирающихся на пробелы в опыте и знаниях нового администратора.

Из анализа проблем локальных сетей и этапов их проектирования, очевидна необходимость наличия достаточно обширных и разносторонних знаний у составителей проекта локальной сети, а также — важность учета множества неочевидных факторов, сказывающихся в дальнейшем на работе сети в целом. Надежная и хорошо спроектированная сеть требует меньших затрат на обслуживание, защищена от многих проблем, является гибкой и масштабируемой. Такая сеть может стать основой множества сервисов, упрощающих выполнение бизнес-процессов организации и напрямую влияя на ее доходы и качество работы.

Однако, проектирование такой сети профессиональными системными интеграторами слишком дорого для большинства компаний, особенно — на начальном этапе их развития, когда как раз и необходимо создавать сеть. Результатом высокой стоимости является отказ от использования профессионального подхода.

Разработка системы планирования, развертывания и комплексной защиты сети Основной функционал разработанной программы соответствует задачам, а именно сбор вводимых пользователем исходных данных, их хранение (с возможностью изменения), и генерация на их основе:

Сборник трудов научно-педагогической школы кафедры ПБКС плана офисов и подразделений компании с видами соединений между ними;

логических конфигураций коммутаций каждого офиса, включающих в себя типы, количества и характеристики подходящих сетевых устройств (и взаимодействий между ними);

логических и физических планов подключения и взаимодействий групп пользователей, групп внешней зоны, серверной фермы, ip телефонов, сетевого оборудования, оргтехники;

сетевых конфигураций оборудования офисов, включающих в себя распределение IP-подсетей, подробный IP-план, план виртуальных логических сетей;

таблиц маршрутизации и логики взаимодействия между офисами (различные виды VPN/VLAN/прямое оптическое соединение);

подробных конфигураций и списка подходящих моделей каждого сетевого устройства каждого офиса компании;

конфигураций физических серверов (включая виртуальную АТС);

конфигураций программных серверов и сервисов:

количества (приблизительного) необходимых ресурсов для организации сети (патч-панели, кабель 6 категории, кабель 5е категории, сетевые и телефонные розетки (2 вида), кабель-каналы ( вида), ip-шлюзы, коммутаторы, маршрутизаторы, серверные стойки ( вида));

приблизительных стоимостных оценок (материалы, оборудование, монтажные работы);

инструкций по обеспечению безопасности (зоны безопасности, настройки портов и vlan);

инструкций по развертыванию конфигурации на оборудование;

многоуровневой модели сети.

В результате, разработанный проект представляет собой web ресурс, с помощью которого пользователи (лица, занимающиеся на предприятиях разработкой локальных сетей) могут, не обладая специальными техническими знаниями, спроектировать и смоделировать оптимальную для данной организации сеть, а также получить инструкции по ее развертыванию и защите. Ресурс на данный момент размещен на частном сервере, запаса производительности которого достаточно для одновременной работы до 100 пользователей, и до 40000 готовых проектов для хранения. В базу данных проекта вносятся лишь входные данные, модель проекта генерируется заново при каждом переходе на страницу с результатами генерации проекта. В базе оборудования на данный момент находится более 100 устройств (маршрутизаторов, коммутаторов, аналоговых телефонных шлюзов) Сборник трудов научно-педагогической школы кафедры ПБКС таких производителей, как Cisco, HP, Juniper, EdgeCore, D-Link, Zyxel, Microtik.

Заключение В ходе выполнения данной работы были изучены технологии и особенности процесса проектирования сетей, перспективы развития локальных сетей на предприятиях, особенности корпоративных локальных сетей, а также был произведен анализ проблем коммерческих ЛВС.

На основании полученных данных был разработан комплекс мер по улучшению качества корпоративных локальных сетей, а именно таких показателей, как гибкость, надежность, безопасность и стабильность. Для внедрения данных мер была выявлена необходимость в оптимизации процессов разработки (планирования и развертывания) и обслуживания сети путем автоматизации этих процессов.

Для реализации этой задачи в рамках данной работы был разработан программный продукт, представляющий собой систему планирования, развертывании и комплексной защиты сети, а также включающую в себя инструменты для эффективного обслуживания полученной или существующей сети.

Поставленная перед работой цель по оптимизации процесса проектирования корпоративных ЛВС, таким образом, была достигнута.

Литература Таненбаум Э. Компьютерные сети, 4-е издание, Классика 1.

computer science, Питер,2008,-992 с.

Дородников, Н.А. Проблемы развития корпоративных локальных 2.

сетей / Дородников Н.А., Дородникова И.М. // Инновационные информационные технологии : матер. междунар. науч.-практ. конф., г.

Прага, Чехия, 22-26 апр. 2013 г. В 4 т. Т. 2 / МИЭМ НИУ ВШЭ [и др.]. М., 2013. - C. 75-79.

Санкт-Петербургский национальный Дородников – исследовательский университет Николай Александрович информационных технологий, механики и оптики, магистрант, nucleofag@gmail.com.

Санкт-Петербургский национальный Малинин – исследовательский университет Алексей Анатольевич информационных технологий, механики и оптики, доцент, к.т.н., a.malinin@gmail.com Сборник трудов научно-педагогической школы кафедры ПБКС УДК 004. ПОДПИСАННЫЕ cookie КАК ВОЗМОЖНОСТЬ ХРАНЕНИЯ ЧАСТИ ПОЛЬЗОВАТЕЛЬСКОЙ СЕССИИ Р.Н. Захаров, А.Ю. Цивилёв, Ю.Б. Бондаренко Показано как сохранять и верифицировать пользовательскую информацию веб сервером, которая хранится на стороне браузера с помощью механизма подписанных cookie.

Ключевые слова: HMAC, подписанные cookie, веб-приложения, масштабирование сервисов Введение В настоящее время активно используется механизм, называемый “куки” (от англ. cookie), позволяющий оставлять небольшую порцию информации посещаемым веб-сайтам на компьютере пользователя [1].

Из-за ограничения протокола HTTP сайты не имеют возможности определять пользователя и историю взаимодействий с ним никак, кроме как через cookie. Для этого обычно на стороне сервера создаётся уникальный ключ, который помещается в cookie. По данному ключу сервер может восстановить, например, из базы данных или файла ранее ассоциированные с данным пользователем данные. Например, это может быть история перемещения по ресурсу, информация о входе, список покупок в корзине и т.д.

Рис.1 Схема обмена куками Сборник трудов научно-педагогической школы кафедры ПБКС Данный подход хорошо себя зарекомендовал для небольших по нагрузке проектов. Но он не очень удобен при горизонтальном масштабировании сервиса из-за необходимости хранить для каждого пользователя ассоциированный с ним ключ отдельно в хранилище данных (база данных или файл), вероятно с промежуточным слоем для кэширования.


Разбирая стандартные практики использования сессий можно придти к выводу, что в большинстве случаев она используется для идентификации пользователя, а так же сохранения таких параметров как язык интерфейса, и т.д. Таким образом, получается дополнительная операция идентификации пользователя при каждом его запросе, а так же получение информации о персоне пользователя.

Подписанные cookie с помощью HMAC В качестве альтернативного решения предлагается хранить часть пользовательских данных сессии в cookie. Для исключения рисков, связанных с подменной cookie она подписывается на стороне сервера секретным ключом [2].

В качестве алгоритма подписи используется HMAC(англ. hash based message authentication code, хеш-код аутентификации сообщений) - способ проверить целостность информации, которая передаётся или хранится в не надёжной среде [3]. В качестве алгоритма хэширования может быть выбрана любая базовая хэш-функция, например MD5 или SHA256.

Схема работы HMAC представлена на рис. 2. По сути, HMAC представляет собой надстройку над алгоритмом хэширования, которая позволяет вычислять хэш-значение с использованием ключа. Для начала, необходимо выровнять размер ключа до размера входного блока данных хэш-алгоритма. Это производится либо путем добавления нулей, если ключ меньше, либо вычисления хэш-значения ключа и добавления нулей, если ключ больше размера блока входных данных. Затем с помощью полученного значения нужно вычислить два подключа ko и ki (внешний и внутренний соответственно) путем складывания по модулю 2 с шестнадцатеричными константами C1= 036(для ki) и C2= 05c(для ko). Значение HMAC получается путем расчета следующей формулы: H(ko, H(ki, text)), где H - используемая хэш функция, text - исходное сообщение [4].

Вероятность успешной атаки на HMAC равна вероятности атаки на встроенную хэш-функцию. Рассмотрим пример со 128-битной хэш функцией MD5. Сложность атаки на хэш-функцию при простом Сборник трудов научно-педагогической школы кафедры ПБКС переборе ключей равна 2128. Если же пользоваться “атакой дней рождений”, при которой находится коллизию H(M) = H(M’) при неравенестве сообщений M и M’. Сложность данной атаки составит 2 64, что представляется не безопасным. Однако, при использовании алгоритма HMAC, злоумышленник не знает секретного ключа, поэтому он должен следить за сообщениями, подписанными одним и тем же ключом и совершать атаку на них. Для этого потребуется 264 блоков или 272 бит, сгенерированных с помощью одного и того же ключа. При пропускной способности канала связи в 1Гбит для этого потребуется 150 000 лет.

Рис. 2. Схема кэширования HMAC Подписанные с помощью алгоритма HMAC cookie должны выглядеть следующим образом:

user name | expiration time | data | HMAC (user name|expiration time|data|session key, k), k = HMAC (user name|expiration time, sk)) [5], где user name - идентификатор пользователя в системе, expiration time - время жизни cookie, data - хранимые данные, session key секретный симметричный ключ ssl соединения, sk - секретный ключ сервера. Кроме вышеупомянутой увеличения производительности за счет меньшего числа обращений к базе данных (или файловой системе) данный подход имеет несколько преимуществ:

Даже если злоумышленник сможет вычислить сессионный ключ ssl и получить cookie, он не сможет эмулировать запрос от Сборник трудов научно-педагогической школы кафедры ПБКС клиента в следующей ssl сессии, т.к. значение cookie зависит от сессионного ключа SSL;

Атака на HMAC становится еще более сложнее, т.к. секретный ключ, подписывающий cookie при выдаче (k), меняется каждый раз, т.к. сам является хэш-значением от секретного ключа приложения, идентификатора пользователя и времени.

Минусы данного подхода:

В случае если атакующий узнает ключ, которым подписывается cookie, он сможет представиться любым пользователем, передать любые данные от имени другого человека.

При значительном размере данных сессии в подписанной cookie может значительно увеличится общий размер передаваемых данных. Допустим на странице 30 подключаемых файлов, тогда дополнительно передаётся на 4 кб30=120 кб больше, чем в классическом подходе с созданием сессии на сервере. Уменьшить количество передаваемых данных можно за счет перемещения подключаемых данных на отдельный домен.

Заключение Хранение части информации сессии в подписанных cookie является удобным с практической точки зрения способом, который упрощает разработку высоконагруженных веб-приложений и является сравнительно безопасной альтернативой классическому подходу.

Данный подход активно используется в популярных программных каркасах веб-сайтов, таких как Play framework, express.js, Ruby On Ralls.

Литература 1. Mozilla Foundation, Куки - информация, которую веб-сайты хранят на вашем компьютере [Электронный ресурс]. – Режим доступа:

http://support.mozilla.org/ru/kb/kuki-informaciya-kotoruyu-veb-sajty hranyat-na-vas, свободный. Яз. рус. (дата обращения 14.10.2013) 2. Ryan Grove, Why you probably shouldn't use cookies to store session data [Электронный ресурс]. – Режим доступа: http://wonko.com/post/why you-probably-shouldnt-use-cookies-to-store-session-data, свободный. Англ.

яз. (дата обращения 13.10.2013) 3. N. Koblitz ed., Keying Hash Functions for Message Authentication., Advances in Cryptolog, Crypto 96 Proceedings, Lecture Notes in Computer Science Vol. 1109, Germany: Springer-Verlag, 1996.

4. H. Krawczyk, HMAC: Keyed-Hashing for Message Authentication, Bellare UCSD, R. Canetti IBM, Сборник трудов научно-педагогической школы кафедры ПБКС 5. Alex X. Liu, Jason M. Kovacs, Chin-Tser Huang, Mohamed G. Gouda, A Secure Cookie Protocol, Michigan State University, 2009.

Санкт-Петербургский национальный – Захаров исследовательский университет Руслан Николаевич информационных технологий, механики и оптики, аспирант, post4ruX@gmail.com Санкт-Петербургский государственный – Цивилёв электротехнический университет, Андрей Юрьевич магистрант ziviland@gmail.com – Санкт-Петербургский национальный Бондаренко исследовательский университет Игорь Борисович информационных технологий, механики и оптики, к.т.н., доцент, igorlitmo@rambler.ru УДК 004. ОРГАНИЗАЦИОННО-ПРАВОВЫЕ ПРОБЛЕМЫ ПРИ ПЕРЕХОДЕ К ОБРАБОТКЕ И ХРАНЕНИЮ КОРПОРАТИВНЫХ ДАННЫХ В СРЕДЕ ОБЛАЧНЫХ ВЫЧИСЛЕНИЙ Д.Д. Николаев, Ю.А. Гатчин Рассмотрены основные проблемы, связанные с переходом к хранению и обработке корпоративных данных в среду облачных вычислений.

Ключевые слова: облачные вычисления, информационная безопасность, законодательство в сфере информационной безопасности Введение В настоящее время все большее число компаний осуществляет перенос вычислительных мощностей для обработки и хранения данных на виртуальные платформы.

Наряду с преимуществами, которые предоставляет использование среды облачных вычислений: сокращение расходов, простота и скорость масштабирования, увеличение производительности, – переход на виртуальную платформу влечет за собой как возникновение новых угроз с точки зрения информационной безопасности, так и необходимость адаптации и выполнения требований нормативно правовых и законодательных актов.

Сборник трудов научно-педагогической школы кафедры ПБКС Для возможности перехода к использованию среды облачных вычислений требуется анализ возможных организационно-правовых проблем, связанных с использованием указанной технологии в Российской Федерации.

Основные организационно-правовые проблемы Основные организационно-правовые проблемы при эксплуатации виртуальных платформ следующие:

правовое обеспечение информационной безопасности;

защита персональных данных;

юрисдикция и распределение ответственности;

множество субъектов доступа.

На текущий момент в Российской Федерации отсутствуют законодательные и нормативно-правовые акты, содержащие специальные требования, регулирующие:

обеспечение информационной безопасности при обработке и хранении с использованием технологии облачных вычислений;

непосредственное использование технологии облачных вычислений [1,2].

Модели предоставления услуг и юрисдикция Основными моделями предоставления услуг в среде облачных вычислений являются:

программное обеспечение как услуга – «Software as a Service» («SaaS»). Заказчику предоставляется программное обеспечение провайдера, выполняемое в среде облачных вычислений.

Контроль и управление инфраструктурой среды облачных вычислений осуществляется организацией или третьим лицом (облачным провайдером);

платформа как услуга – «Platform as a Service» («PaaS»).

Заказчику предоставляется платформа для развертывания программного обеспечения Заказчика, разработанного под определенную среду функционирования с использованием установленного ряда средств разработки. Контроль и управление инфраструктурой среды облачных вычислений осуществляется организацией или третьим лицом (облачным провайдером);

инфраструктура как услуга – «Infrastructure as a Service»

(«IaaS»). Заказчику предоставляется платформа для развертывания как операционных систем, так и произвольного программного обеспечения.

Контроль и управление инфраструктурой среды облачных вычислений Сборник трудов научно-педагогической школы кафедры ПБКС осуществляется организацией или третьим лицом (облачным провайдером). Управление операционными системами, средствами хранения и частично сетевой инфраструктурой осуществляет Заказчик [3,4].

Решение вопросов Тип Юрисдикция законодательного регулирования Управляется юридическим лицом:

Частное Легко разрешимы организацией или третьим лицом Публичное Управляется одним Решение требует усилий локальное юридическим лицом средней степени Высокая степень совместных Управляется усилий для решения в связи с Публичное множеством возможными различиями в глобальное юридических лиц законодательной базе разных стран Таблица – Основные типы среды облачных вычислений с точки зрения информационной безопасности Основные риски с точки зрения соответствия требованиям регуляторов При переходе к облачным вычислениям можно выделить следующие основные риски с точки зрения соответствия требованиям регуляторов:


один объект доступа соответствует как одному, так и множеству субъектов;

защите подлежат как обособленные субъекты, так и взаимодействие между субъектами;

отсутствие контролируемой зоны.

Проблемы при использовании облачного сервиса «IaaS»:

ограничения на установку определенных средств защиты в инфраструктуру облачного провайдера;

возможность установки собственных средств защиты;

обслуживание (замена) вышедших из строя средств защиты;

защита данных при доступе к среде облачных вычислений с использованием мобильных устройств.

Сборник трудов научно-педагогической школы кафедры ПБКС Проблемы при использовании облачных сервисов «PaaS», «SaaS»:

соответствие модели угроз данных Заказчика и в среде облачных вычислений;

соответствие модели нарушителя данных Заказчика и в среде облачных вычислений;

отсутствие возможности корректировки модели угроз и нарушителя, а также системы защиты информации облачного провайдера.

Проблемы, связанные с хранением данных с использованием сторонних хранилищ:

наличие у облачного провайдера требуемых лицензий ФСБ и ФСТЭК на осуществление определенного вида деятельности (использование шифровальных средств, защита информации);

обязанность предоставления доступа специальным службам, судебным и правоохранительным органам к данным, хранящимся и обрабатываемым в среде облачных вычислений, по запросу;

невозможность контролировать получения доступа к данным указанными специальными службами и органами;

невозможность полного управления системой защиты информации, как следствие, необходимость контроля сторонних механизмов защиты облачного провайдера.

Проблемы, связанные с использованием механизмов криптографического преобразования данных в среде облачных вычислений и использованием сертифицированных средств защиты:

необходимость установки собственных криптографических средств;

необходимость ремонта, обслуживания и замены вышедших из строя собственных криптографических средств;

возможность экспорта из Российской Федерации собственных криптографических средств;

возможность законного использования механизмов криптографического преобразования в разных странах мира при использовании публичного глобального облачного сервиса;

криптографическое преобразование данных при доступе к корпоративным данным с использованием сетей общего доступа посредством мобильных устройств (Примечание – Указанные выше проблемы имеют место при использовании облачного сервиса «IaaS»);

невозможность передачи государственных информационных ресурсов за пределы Российской Федерации в соответствии указом Президента РФ от 17 марта 2008 г. № 351 «О Сборник трудов научно-педагогической школы кафедры ПБКС мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно телекоммуникационных сетей международного информационного обмена»;

необходимость соответствия облачного провайдера требованиям приказа ФСТЭК от 11 февраля 2013 г. № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» и приказа ФСТЭК от 18 февраля 2013 г. № 21«Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»

[5];

необходимость использования облачным провайдером исключительно сертифицированных средств защиты;

необходимость аттестации облачным провайдером информационных систем.

Дополнительно следует учитывать следующие проблемы, связанные с обработкой персональных данных:

необходимость соответствия требованиям указанного выше приказа ФСТЭК № 17, содержащего «меры по защите среды виртуализации» [5];

необходимость использования исключительно сертифицированных средств защиты;

плохо адаптируемые требования ФСТЭК к специализированным средствам защиты среды облачных вычислений;

трансграничная передача персональных данных (требуется получить письменное согласие субъекта персональных данных со стороны Заказчика).

Заключение По результатам анализа нормативно-правовых и законодательных актов выделены ключевые риски и возможные организационно правовые проблемы, связанные с обработкой и хранением корпоративных данных в среде облачных вычислений.

Для соблюдения требований регуляторов при переходе к использованию среды облачных вычислений следует:

учесть изложенные в настоящей статье проблемы;

оценить юридические риски;

Сборник трудов научно-педагогической школы кафедры ПБКС разработать модель угроз и модель нарушителя, сопоставить и согласовать модели с облачным провайдером;

разработать принципиальные технические решения в части обеспечения безопасности информации в среде облачных вычислений;

предусмотреть взаимодействие с облачным провайдером, в том числе на юридическом уровне;

разработать процедуры контроля и собственной независимой оценки облачного провайдера с точки зрения выполнения как собственных, так и установленных регуляторами требований.

Литература Мурзина Л., Закон для IaaS[Электронный ресурс] – Режим 1.

доступа: http://www.osp.ru/nets/2013/04/13037392/.

Лукацкий А., Новые требования по безопасности ждут до конца 2.

года [Электронный ресурс] – Режим доступа:http://www.lukatsky.blogspot.ru/2013/08/blog-post_28.html.

Сахнюк П. А., Основы облачных технологий [Электронный 3.

ресурс] – Режим доступа:http://www.stgau.ru/company/personal/user/7684/files/lib/.

А. Б. Данилов, Кармановский Н. С., Проблемы обеспечения 4.

безопасности облачных вычислений [Текст] // Сборник трудов молодых ученых, аспирантов и студентов научно-педагогической школы кафедры ПБКС «Информационная безопасность, проектирование и технология элементов и узлов компьютерных систем». / Под ред. Ю. А.

Гатчина. – СПб: НИУ ИТМО, 2013. Выпуск 1. – С. 54 – 60.

Официальный Интернет-ресурс ФСТЭК России. Техническая 5.

защита конфиденциальной информации. [Электронный ресурс] – Режим доступа:http://fstec.ru/tekhnicheskaya-zashchita informatsii/dokumenty.

Санкт-Петербургский национальный Николаев – исследовательский университет Дмитрий Дмитриевич информационных технологий, механики и оптики, аспирант, nikolayevdd@gmail.com Санкт-Петербургский национальный Гатчин – исследовательский университет Юрий Арменакович информационных технологий, механики и оптики, д.т.н., профессор, зав.

кафедрой, gatchin@mail.ifmo.ru Сборник трудов научно-педагогической школы кафедры ПБКС УДК 004. ЭЛЕКТРОННЫЙ ДОКУМЕНТООБОРОТ. ДОСТОИНСТВА И НЕДОСТАТКИ Е.В. Салимгареева Выполнен анализ преимуществ и недостатков использования электронного документооборота на предприятии. Выявлены основные особенности компании, при которых использование электронного документооборота наиболее или наименее целесообразно.

Ключевые слова: документооборот, электронный документооборот Введение В настоящее время функционирование любого предприятия, будь то государственное учреждение или мелкая частная фирма, не может обойтись без правильной организации документооборота и способов её защиты.

Идея отказаться от бумажного документооборота обсуждается довольно давно. Новые технологии позволяют практически полностью отказаться от бумаги. Но это не означает, что данное решение подойдет любой компании и его так легко осуществить. К сожалению, пока возможность электронного документооборота (ЭД) ограничена законодательно, да и пользователи к такому режиму пока не готовы.

Перед внедрением такой системы необходимо взвесить все плюсы и минусы электронного документооборота. Многие руководители не уделяют достаточно внимания вопросам автоматизации бизнес-процессов в целом и документооборота в частности – просто в силу незнания достоинств этого метода.

Достоинства ЭД Приведем перечень основных достоинств применения электронного документооборота:

а) повышение качества управления. Улучшается контроль исполнительской дисциплины, растет процент выполненных в срок поручений за счет упорядоченности и прозрачности документопотоков;

б) стоимость хранения информации меньше по сравнению с бумажным документооборотом, так как не нужно занимать огромные площади для хранения всех бумаг. Снижаются материальные затраты на канцелярские принадлежности;

Сборник трудов научно-педагогической школы кафедры ПБКС в) сохранность и безопасность документов. В современных системах используются шифрование данных, поддержка электронной подписи, разграничение прав доступа, наличие встроенных средств контроля целостности данных и автоматического резервного копирования. Все это может пресечь возможность утечки информации и обеспечить её целостность, доступность и конфиденциальность;

г) увеличивается скорость доступа к информации. Поиск необходимого документа чаще всего удобный и быстрый, в отличие от поиска по архивам, сокращаются временные затраты практически на все рутинные операции с документами. Кроме того, происходит ускорение документооборота и, как следствие, всех процессов в организации;

д) уменьшается время передачи документов между исполнителями;

е) сохранение истории работы с документами (учет времени и авторов всех действий с документом, сохранение рабочих комментариев, поддержка версионности присоединенных файлов);

ж) возможность производить поиск по различным атрибутам и сортировать по любым критериям;

з) снижаются количественные потери документов;

и) упрощается процесс редактирования документов;

к) электронный документооборот, по сравнению с бумажным, гораздо более экологичен.

Подытоживая сказанное, можно утверждать: основные преимущества электронного документооборота состоят в том, что в результате его внедрения все структуры компании смогут работать в едином информационном пространстве, позволяющем существенно увеличить скорость обработки всех типов документов. Другой фактор, ставящий автоматизированный документооборот выше обычного – это безопасность и сохранность документов. Так, шифрование данных позволяет пресечь попытки несанкционированного доступа к информации. Еще одно преимущество заключается в повышении производительности сотрудников, существенном снижении количества ошибок при обработке документов. Использование системы электронного документооборота позволяет достичь значительного экономического эффекта. Процесс внедрения электронного документооборота налаживает и поддерживает корпоративную культуру. Оптимизация взаимодействия сотрудников и развитие горизонтальных связей приводят к сплочению команды. В то же время возрастает ответственность каждого сотрудника за качественное выполнение выданного ему задания [Л].

Сборник трудов научно-педагогической школы кафедры ПБКС Недостатки ЭД Следует отметить, что электронный документооборот имеет и недостатки:

а) человеческий фактор: многие сотрудники не обладают достаточной компьютерной грамотностью и не желают тратить свое время на освоение новых технологий;

б) появление новых каналов утечки информации, связанных с преобразованием ее в цифровой формат, обработкой и хранением на ЭВМ;

в) резкое увеличение потока документооборота может вызвать отказ аппаратного обеспечения (серверов), и как следствие, падение производительности труда. При наличии бумажного документооборота такой резкий рывок невозможен;

г) увеличение трудозатрат в связи с увеличением документооборота. Работодатель не успевает адекватно реагировать на подобные скачки в принятии решений по кадровым вопросам. Объемы возрастают, тогда, как штатный состав остается прежним;

д) целостность: к цифровым данным можно легко получить доступ, но также легко их можно и потерять. Если жесткий диск выйдет из строя, пропадут все документы, хранящиеся на нем. Чтобы не потерять данные нужно использовать внешнюю систему резервного копирования;

е) остается необходимость некоторые документы иметь в бумажном варианте;

ж) переход на электронный документооборот предполагает пересмотр текущих процессов и операций в компании. Это так же влечет за собой определенные временные затраты.

При первичном внедрении неизбежны большие расходы на приобретение и внедрение системы электронного документооборота, не удастся избежать и стрессов со стороны сотрудников, привыкших к ручному труду. Резкое возрастание объема документооборота – еще один минус. Однако следует отметить, что многие из перечисленных недостатков – явление временное.

Заключение Переход на электронный документооборот не является универсальным решением, его целесообразность зависит от специфики компании. Перед внедрением средств электронного документооборота обязательно должны быть проанализированы все преимущества и недостатки применительно к особенностям документооборота данного Сборник трудов научно-педагогической школы кафедры ПБКС предприятия, присутствовать понимание и обоснование целесообразности этого перехода, должна быть сформирована четко спланированная стратегия развития автоматизации и организован процесс, который будет способствовать повышению производительности работы предприятия.

Литература Л. Юшина, Е. А., Караваева, Е. В., Макаркина, М. А.

Документационное обеспечение управленческой деятельности: теория и практик: учебное пособие / под общ. ред. Е. А. Юшиной. – Киров, 2012. – 112 с.

Санкт-Петербургский национальный – Салимгареева исследовательский университет Екатерина Валерьевна информационных технологий, механики и оптики, магистрант, kirieshka.kate@gmail.com УДК 004. РАЗРАБОТКА ЗАЩИЩЕННОГО ФРЕЙМВОРКА СИСТЕМЫ АДМИНИСТРИРОВАНИЯ ИНТЕРНЕТ-ПРОЕКТА Д.А. Сергеев Изложены результаты разработки защищенного фреймворка, предназначенного для разработки и сопровождения систем администрирования интернет-проектов, управления данными, хранящимися в базе данных и в файловой системе сервера;

описана классификация уязвимостей интернет-проектов, угроз безопасности, соответствующих им механизмов и методов защиты.

Ключевые слова: Веб-безопасность, Framework, CMS, PHP, MySQL, SQL-инъекции, межсайтовый скриптинг XSS, внедрение PHP-кода, Zend Framework, Yii, CakePHP, Kohana, Acunetix Web Vulnerability Scanner, Sqlmap, Skipfish, SQL Inject Me, XSS Me Введение Актуальность темы обуславливается отсутствием бесплатных систем, обеспечивающих гибкость в разработке и необходимый уровень информационной безопасности. В ходе работы были исследованы наиболее популярные фреймворки Zend Framework, Yii, Сборник трудов научно-педагогической школы кафедры ПБКС CakePHP, Kohana. Каждое из известных решений обладает одним или несколькими недостатками, такими как недостаточно проработанная документация, сильная привязка к структуре каталогов, сложность в конфигурировании и настройке, отсутствие узкоспециализированных готовых решений, таких как автоматическое формирование отчетов [1 4].

Целью разработки является создание программного комплекса, обеспечивающего:

а) гибкость, быстроту и удобство в разработке систем администрирования (СА);

б) защищенность программного обеспечения СА интернет проекта (ИП);

в) бесперебойную доступность СА ИП;

г) сохранение конфиденциальности, целостности и доступности информации, хранящейся в базе данных ИП и в файловой системе веб сервера.

Основными задачами разработки являются:

а) исследование основных угроз информационной безопасности ИП;

б) обеспечение авторизации пользователей в СА;

в) управление группами доступа пользователей;

г) разграничение прав доступа пользователей к разделам СА;

д) создание системы управления содержимым базы данных (БД);

е) создание тестового ИП на основе разработанного фреймворка и оценка уровня защищенности системы.

Классификация уязвимостей, угроз безопасности, механизмов и методов защиты интернет-проектов В работе исследованы уязвимости веб-сайтов к внедрению PHP кода, SQL-инъекциям, межсайтовому скриптингу XSS, в результате чего произведена классификация уязвимостей интернет-проекта (ИП), угроз безопасности, соответствующих им механизмов и методов защиты [5-8]. На рисунке 1 представлена взаимосвязь уязвимостей к межсайтовому скриптингу XSS, угроз, механизмов и методов обеспечения информационной безопасности ИП.

В основу фреймворка положены следующие модули:

а) основной модуль, обеспечивающий вывод блоков данных, подсказок, ошибок, сообщений о завершении операций, подключение шаблонов и формирование страницы;

Сборник трудов научно-педагогической школы кафедры ПБКС б) модуль, обеспечивающий авторизацию пользователей в системе, проверку прав доступа к разделам, функциям СА и протоколирование действий пользователей;

в) модуль, обеспечивающий вывод данных в табличном виде с использованием фильтров разных типов, сортировок и группировок данных из таблиц БД по полям, с автоматическим формированием многотабличных SQL запросов;

г) модуль, обеспечивающий формирование форм с использованием любых полей ввода данных, проверка и фильтрация входных данных;

д) модуль, обеспечивающий вставку, редактирование, удаление и чтение любого количества строк в таблицах БД с использованием фильтров разных типов по полям;

е) модуль, обеспечивающий формирование отчетов в виде графиков и диаграмм с использованием фильтров, сортировкой и группировкой по полям таблиц БД;

ж) модуль, обеспечивающий формирование элементов навигации с учетом прав доступа пользователя к разделам и функциям СА.

Рис. 1. Взаимосвязь уязвимостей к межсайтовому скриптингу XSS, угроз, механизмов и методов обеспечения информационной безопасности ИП Сборник трудов научно-педагогической школы кафедры ПБКС Описание разработанного фреймворка На рис. 2 изображена схема обработки запроса пользователя на вывод элементов в таблице с использованием сортировки, постраничного вывода и фильтров по полям. Модули фреймворка адаптированы для работы друг с другом.

Рис. 2. Схема обработки запроса пользователя на вывод элементов в таблице с использованием сортировки, постраничного вывода и фильтров.

Описание тестового интернет-проекта, созданного на основе разработанного фреймворка Для определения степени защищенности разработанной системы был создан тестовый ИП с использованием возможностей фреймворка.

СА тестового ИП предназначена для управления процессом размещения статей внутри ИП, обеспечения взаимодействия пользователей различных групп доступа.

Сборник трудов научно-педагогической школы кафедры ПБКС Система рассчитана на 3 группы доступа: редакторы, модераторы и администраторы. Редакторы обеспечивают создание новых статей и внесение корректировок в ранее созданные статьи. Модераторы проверяют все статьи и внесенные в статьи корректировки на предмет соответствие правилам ИП и законодательству. Администраторы поддерживают систему технической поддержки, управляют рассылками новостей, имеют доступ к отчетам, графикам и журналам ИП, обрабатывают сообщения о возникающих в системе ошибках, ведут мониторинг деятельности редакторов и модераторов в СА.

Основные возможности СА разработанного ИП:

а) личный кабинет пользователя;

б) подсистема технической поддержки;

в) подсистема управления версиями статей;



Pages:   || 2 | 3 | 4 |
 





 
© 2013 www.libed.ru - «Бесплатная библиотека научно-практических конференций»

Материалы этого сайта размещены для ознакомления, все права принадлежат их авторам.
Если Вы не согласны с тем, что Ваш материал размещён на этом сайте, пожалуйста, напишите нам, мы в течении 1-2 рабочих дней удалим его.