Диссертация (Разработка программного комплекса оценки качества и надежности программных продуктов без исходных текстов), страница 16

92-102.55. Самарин Н.Н. Анализ виртуальных машин с целью их применения навозможностьвыявлениянедокументированныхдействийпрограммногообеспечения без исходного кода //Горный информационно-аналитическийбюллетень (научно-технический журнал), 2013. № 12. С. 84-89.56. Самарин Н.Н. Алгоритм получения и интерпретации данных из журналаработы виртуальной машины//Горный информационно-аналитический бюллетень(научно-технический журнал), 2014. № 1. С. 242-245.57.

Кубрин С.С., Самарин Н.Н. Обеспечение промышленной безопасностиАСУТПконтролемпрограммногообеспеченияна«недекларируемыевозможности работы с оперативной памятью» // Горный информационноаналитический бюллетень (научно-технический журнал), 2015. № 12. С. 277-280.58. Самарин Н.Н. Виды потенциально-опасных возможностей, реализуемыхвредоносным кодом // Успехи современной науки и образования (Международныйнаучно-исследовательский журнал) 2016, № 9, том 4, с.199-202.Выступления на конференциях59. КубринобеспеченияС.С., СамаринавтоматизированныхН.Н.

Анализ надежности программногосистемуправлениятехнологическимипроцессами горных предприятий от сбоев и вмешательства извне// Проблемыосвоения недр в XXI веке глазами молодых: Материалы 11 Международной133научной школы молодых ученых и специалистов, 24–28 ноября 2014. – М.: ИПКОНРАН. С. 150-152.60. КубринС.С.,СамаринН.Н.Результатыкомплексногоанализапрограммного обеспечения горнодобывающих компаний на недекларированныевозможности// Проблемы освоения недр в XXI веке глазами молодых: Материалы11 Международной научной школы молодых ученых и специалистов, 24–28 ноября2014.

– М.: ИПКОН РАН. – С.152-154.61. Самарин Н.Н. Поиск скрытых угроз реализуемых программнымобеспечением без исходного кода // Материалы Международной научнотехнической конференции «INTERMATIC– 2013», 2–6 декабря 2013 г., Москва. /Под ред. академика РАН А.С. Сигова. – М.: Энергоатомиздат, 2013, часть 5. – с. 859062. Самарин Н.Н. Метод анализа программного обеспечения без исходногокода на скрытые угрозы // Материалы Международной научно-техническойконференции «INTERMATIC– 2013», 2–6 декабря 2013 г., Москва.

/ Под ред.академика РАН А.С. Сигова. – М.: Энергоатомиздат, 2013, часть 5. – с. 99-103.63. ФедунецН.И.,СамаринН.Н.Проблемысозданияинфокоммуникационных технологий для построения больших вычислительныхкомплексов // Проблемы подготовки кадров в сфере инфокоммуникационныхтехнологий. Санкт-Петербургская научно-практическая конференция. СанктПетербург : Сборник трудов конференции / СПОИСУ.

– СПб., 2011. С. 75-77.Режим доступа: http://www.spoisu.ru/files/ikt/ikt2011/ikt2011_trudi.pdf.64. Самарин Н.Н. Задачи контроля программно-технических ресурсовинформационно-телекоммуникационных систем от утечки информации поканалам организованным вредоносным программным обеспечением // Материалы21-ой научно-технической конференции «Методы и технические средстваобеспечения безопасности информации», - Санкт-Петербург, 2012. - С.167-168.65. Самарин Н.Н. Задачи анализа программного обеспечения на уязвимостиМатериалы 22-й научно-технической конференции методы и технические средстваобеспечения безопасности информации, Санкт-Петербург, 2013.

-С.139-141.134Интеллектуальная собственность66. Самарин Н.Н. Программный макет системы визуализации тракта данныхв электронной вычислительной системе «Путь» / Баженов А.С., Борисов А.В.,Кудяков К.И., Самарин Н.Н. // Свидетельство о государственной регистрациипрограммы для ЭВМ №2013614133 от 24.04.2013г.67. Самарин Н.Н. Программный комплекс контроля и визуализации областейпамяти электронной вычислительной системы. / Баженов А.С., Борисов А.В.,Самарин Н.Н. // Свидетельство о государственной регистрации программы дляЭВМ №2013660975 от 26.11.2013г.68. Самарин Н.Н. Программный комплекс определения циклов в областяхпамяти электронной вычислительной системы с их автоматической регистрацией// Борисов А.В., Кубрин С.С., Самарин Н.Н.

// Свидетельство о государственнойрегистрации программы для ЭВМ №2015615141 от 08.05.2015г.135ПРИЛОЖЕНИЯ136Приложение А(к стр.20)Таблица 1- Классификации в области безопасности программВидКлассификациивредоносногопрограммногообеспеченияПримерыОсобенностиMitre MAEC (Malware Attribute Enumeration andCharacterization) – перечень и характеристикипризнаков вредоносного ПОKaspersky ClassificationЛаборатории Касперского–классификацияSymantec Classification – классификацияфирмыSymantecРеестры иклассификацииуязвимостейпрограммныхсистемКлассификацииугрозбезопасности икомпьютерныхатак на ресурсысистемыЯзыкдляописаниявредоносногоПО,учитывающийпризнакиповедения, тип атаки и т. п.КлассификациявредоносногоПОпоспособам воздействияКлассификацияобнаруженноговредоносного ПОMITRE CVE (Common Vulnerabilities andБаза данных известныхExposures)–общиеуязвимостииуязвимостей«незащищенности»Базауязвимостей,NVD (National Vulnerability Database) –использующаянациональнаябазауязвимостейСШАидентификаторы CVEOSVDB (Open Security Vulnerability Database) – База данных известныхбаза уязвимостей открытого доступауязвимостейОписаниенайденныхUS-CERT Vulnerability Notes Database –уязвимостей и способов ихбазауязвимостейобнаруженияБюллетени разработчиков: Microsoft Bulletin IDСводкинайденныхуязвимостей Secunia ID VUPEN IDУстаревшая классификацияТаксономия Бишопа и Бейлиуязвимостей Unix-системДесятьнаиболееактуальных классов угроз,OWASP Top Ten – 10 самых распространенныхсвязанных с уязвимостямиугроз для веб-приложенийweb-приложенийзапоследний годMITRE CAPEC (Common Attack PatternEnumerationandClassification)– Всесторонняяпереченьиклассификацияраспространенныхтип классификация типов атаковатакMicrosoft STRIDE Threat Model – модельугроз Описание пяти основныхMicrosoftкатегорий уязвимостейКлассификацияизъянов,WASC Threat Classification 2.0 – классификацияугрозweb-безопасности,угрозКонсорциумабезопасностиwebнацеленнаянаприложенийпрактическое применение137Продолжение таблицы 1ВидКлассификациидефектов,внесенных впроцессеразработкиКлассификациидефектов,внесенных впроцессевнедрения иэксплуатацииПримерыОсобенностиMITRECWE(CommonWeaknessesEnumeration)–общаяклассификациядефектовПОFortify Seven Pernicious Kingdoms– 7 разрушительных «царств»компании HP FortifyCWE/SANSTop25MostDangerous Software Errors – 25наиболее опасных ошибок вразработке ПОOWASPCLASP(OWASPComprehensive,Lightweight,ApplicationSecurityProcess)–описание процесса безопаснойразработки приложенийСистема классификации «изъянов»ПОКлассификация дефектов ПО на 8основных видов25 наиболее распространенных иопасных ошибок, которые могутстать причиной уязвимостиПринципыбезопасностиорганизации процесса разработкиприложенийСистема типов дефектов ПО,DoDSoftwareFaultPatterns–ассоциированнаясCWEиобразцы программных ошибокразработаннаясцельюМинобороны СШАавтоматизации их выявленияУстаревшие классификации: перечни RISOS/PA таксономия ЛандвераПервые проекты по частичнойкаталогизации известных дефектов таксономия Асламабезопасности и их классификации таксономия Макгоу таксономия Вебера перечень PLOVERИдентификацияпроблемныхMITRE Common Configurationконфигурацийсистемы,Enumeration(CCE)–устанавливающаясоответствиеобщийреестрконфигурациймежду различными источникамиБаза данных паролей по умолчаниюDPE (Security-Database Default для сетевых устройств, ПО и ОС,PasswordEnumeration)– предназначенная для тестирования среестрпаролейпоумолчаниюцельювыявленияслабыхконфигураций138Приложение В(к стр.

21)Таблица 2 - Классификация уязвимостей на основе причин их возникновения «Тип1. Уязвимости, вызванные дефектами кодирования и проектирования системы»КлассГруппаОбработка входных и выходныхданныхОбработка ипредставлениеданныхВнутренние трансформацииданныхОшибки доступа к даннымВнутренняяструктура изависимостиОбработкасобытий исостоянийРесурсы ивнутренниемеханизмысистемыВнедренныеобъекты(закладки)Злоупотребление APIВидПроверка и представление вводаНекорректное кодирование иэкранирование выводаНекорректная обработкасинтаксически неверных структурОшибки строкОшибки типовОшибки представленияЧисловые ошибкиПроблемы структур данныхОшибки управления информациейНеверный доступ к индексируемомуресурсуМодификация постоянных данных-Инкапсуляция-Время и внутреннее состояниеПроблемы с логикойфункционирования-Проблемы с обработчикамиМеханизмыОшибки каналов и путейОшибки инициализации иочисткиПроблемы ссылок ипсевдонимовОшибки свойственныеопределенному типуфункционалаНамеренно внедренные объектыВнедренные ненамереннообъектыОбработка ошибок и внештатныхситуацийПроблемы с указателямиПользовательский интерфейсПроблемы WEB-139Приложение СХарактеристики программного продукта для эмуляции аппаратногообеспеченияКак было сказано в главе 1, на основании результата проведенного анализа,в качестве гипервизора был выбран программный продукт Bochs.Bochs – это бесплатный эмулятор, на основе которого можно воссоздать насвоем устройстве операционную систему OS, VM, VSE.

Данный программныйпродукт включает в себя эмуляцию процессоров архитектуры х86, различныхвидеоадаптеров и версий прошивки BIOS. Bochs может эмулировать такиепроцессоры, как AMD 64, Pentium, Pentium Pro, 386, 486 и другие. Такжеподдерживает MMX, SSE3, SSE4, 3DNow, SSE, SSE2. Поскольку Bochs эмулируетмножество операционных систем, его используют для отладки новинок и запускастарых игр и приложений.[2]К основным возможностям эмулятора Bochs можно отнести следующее: эмуляцияоперационных систем Windows, Linux, DOS; проверкасостояния памяти и регистров процессора; поискошибок в программах и приложениях с помощью графическогоотладчика; эмуляцияпроцессоров 386, 486, Pentium всех поколений или x86-64,включая опциональные инструкции MMX, SSEx і 3DNow; поддержкавычисления типов памяти; поддержкаBroadwell ULT в CPUDB; проверкаи отладка VGA; сохранениеивосстановлениярасширенныхнастроекинтерфейсаоперационной систем; поддержкаобразов Oracle VM VirtualBox; поддержкаMIDI UART.Плюсы и минусы такого программного продукта приведены в Таблице 6.140Таблица 6 - Качественные характеристики эмулятора BochsПоложительные качестваработает без прав администратора;переносимая виртуальная машина;есть звук;быстро работает;распространяется на бесплатной основе.Отрицательные качестваанглоязычный интерфейс;сложная в использовании длянеопытного пользователя.На рынке такого рода программной продукции существует множествоаналогов.

К основным, наиболее известным, аналогам относятся:DOSBox – это бесплатный эмулятор PC, благодаря которому можно создатьDOS-окружение, необходимое для запуска старых игр и приложений. Имеетпростой и понятный интерфейс. Есть русификатор. Работает на бесплатной основе.VirtualBox – это мощная машина виртуализации, которая позволяетсоздавать среду, подобную до реальной операционной системы.