Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 3)

– 1;

– 317.

Проверка осуществляется со значениями 0,1,317,318.

1. анализ причинно-следственных связей

Анализ причинно-следственных связей дает возможность выбирать тесты, дающие высокий результат. Используется при этом алгебра логики с причиной (отдельное входное условие или класс эквивалентности) и следствием (выходное условие или преобразование системы).

Построение теста выполняется при:

– выполняется разбиение спецификации на рабочие участки;

– выполняется определение множества причин и следствий в этой спецификации;

– выполняется построение таблицы истинности на основе анализа смыслового содержания спецификации. Произведение перебора комбинаций причин и определение следствий для каждой комбинации причин.

В таблице А.6 представлен пример проведения причинно-следственных связей.

Таблица А.6 – Пример причинно-следственных связей

Причины	Действие 1	Действие 2	…	Действие N
Корректный ввод: Имя	0	0	…	1
Корректный ввод: Фамилия	0	0	…	1
Корректный ввод: телефон	Х	Х	…	Х
Корректный ввод: e-mail	0	0	…	1
Корректный ввод: login	0	0	…	1
Корректный ввод: password	0	1	…	1
Следствия
Регистрация в системе	0	0	…	1

Примечания к таблице А.6 :

– 1 – выполняется условие;

– 0 – не выполняется условие;

– Х – условие не считается важным;

– Регистрация пройдена в случае, когда выполнены все условия.

в) метод белого ящика

При выполнении этого метода, экспертная группа получает тестовые данные посредством анализа логики работы программы. При этом выполняются действия: представление программы в виде графа и выполнить структурные критерии (производится тестирование команд, ветвей, путей, условий).

1. выполнение структурных критериев:

– тестирование команд (критерий С0) – набор тестов в совокупности должен обеспечить прохождение каждой команды не менее одного раза. Это слабый критерий, он, как правило, используется в больших программных системах, где другие критерии применить невозможно;

– тестирование ветвей (критерий С1) – набор тестов в совокупности должен обеспечить прохождение каждой ветви не менее одного раза. Это достаточно сильный и при этом экономичный критерий, поскольку множество ветвей в тестируемом приложении конечно и не так уж велико. Данный критерий часто используется в системах автоматизации тестирования;

– тестирование путей (критерий С2) – набор тестов в совокупности должен обеспечить прохождение каждого пути не менее одного раза. Если программа содержит цикл (в особенности с неявно заданным числом итераций), то число итераций ограничивается константой. Число итераций ограничивается константой, эта константа часто равна двум, или числу классов выходных путей;

– тестирование условий - покрытие всех булевских условий в программе. Критерии покрытия решений (ветвей – С1) и условий не заменяют друг друга, поэтому на практике используется комбинированный критерий покрытия условий/решений, совмещающий требования по покрытию и решений, и условий (пример представлен в таблице А.7).

1. представление программы в виде блок-схемы (пример указан на рисунке А.5);

Например, при помощи метода белого ящика был проверен участок кода.

1 public void Method (ref int x) {

2 if (x>17)

3 x = 17-x;

4 if (x == -13)

5 x = 0;

6 }

– критерий команд (C0): (вх, вых) = {(30, 0)} - все операторы пути 1-2-3-4-5-6;

– критерий ветвей (C1): (вх, вых) = {(30, 0),(17, 17)};

– критерий путей (C2): (вх, вых) = {(30,0), (17,17),(-13,0), (21,-4)};

Рисунок А.5 – Графическое представление работы программы

Таблица А.7 – Условия операторов if

В С1 добавляется один тест к множеству тестов для С0 пути 1-2-4-6. Путь 1-2-3-4-5-6 проходит через все ветви достижимые в операторах if при условии true, а путь 1-2-4-6 через все ветви, достижимые в операторах if при условии false.

Критерий ветвей С2 проверяет программу более тщательно, чем критерии С0 и C1, однако даже если он удовлетворен, нет оснований утверждать, что программа реализована в соответствии со спецификацией.

Примечание: структурные критерии не проверяют соответствие спецификации, если оно не отражено в структуре программы. Поэтому при успешном тестировании программы по критерию C2 есть вероятность не заметить ошибку, связанную с невыполнением некоторых условий спецификации требований

Анализ защищенности внутреннего и внешнего периметра сети ИС

Первым этапом проведения является перепроверка правильной установки и настройки шлюзов безопасности, средств межсетевого экранирования, виртуальных частных сетей, системы обнаружения и предотвращения вторжений.

Таким образом, минимальное определение конфигурации (настройки ПО и технических средств) ИС должно состоять из таких действий, как:

– настройка правил разграничения доступа (правил фильтрации сетевых пакетов) на МЭ и маршрутизаторах;

– настройка параметров системы регистрации событий;

– настройка механизмов оповещения об атаках и реагирования;

– наличие и работоспособность средств контроля целостности;

– используемые схемы и настройка параметров аутентификации;

– использование механизмов, обеспечивающих сокрытие топологии защищаемой сети;

– версии используемого ПО и наличие установленных пакетов программных коррекций.

Все необходимые меры выполнения для вышеперечисленных действий описаны методическом документе ФСТЭК России “Меры защиты информации в ГИС”.

Вторым этапом производится анализ защищенности внутреннего и внешнего периметра сети ИС путем действий потенциально возможного нарушителя со стороны сети Интернет (внешний периметр сети), а также путем попыток отрицательного воздействия внутреннего нарушителя (внутренний периметр сети).

Потенциально опасными действиями могут быть внедрение вредоносного ПО, сканирование сетевого трафика (пример представлен на рисунке А.6), внесение изменений в работу устройств и т.д.

Рисунок А.6 – Сканирование сетевого трафика в программе Wireshark

При анализе выявляется способность противостоять угрозам нарушителей и определение оценки уровня защищенности ИС от внешних и внутренних атак.

Анализ работоспособности, проверка на уязвимости и их устранение в ИС при помощи инструментальных средств контроля защищенности информации от НСД к информации

В предыдущих действиях поиск уязвимостей в ПО и компонентах ИС были проведены в ручном режиме и нацелены на логические уязвимости. В этом этапе используются инструментальные средства анализа защищенности информации, которые позволяют не задействовать потенциал работников и выполнять сканирование ПО и ИС в целом в автоматическом режиме.

Рекомендуется использовать для анализа защищенности информации в ИС сетевые сканеры безопасности отечественного производства, например "Ревизор сети" версия 3.0 или «Сканер-ВС». Эти программы имеют сертификаты ФСТЭК и достаточно просты в использовании выполнения нужных задач.

Например, по итогам программы "Ревизор сети" можно узнать такую информацию, как:

– общая информация об узлах сети (имена узла, предполагаемый тип операционной системы, имя домена);

– информация об открытых TCP и UDP портах;

– информация о найденных уязвимостях;

– информация о пользователях и группах, зарегистрированных на узле сети;

– информация о доступных сетевых ресурсах;

– подробная информация по узлу.

Также программа автоматически генерирует отчет с выбором формата.

На рисунке А.7 и рисунке А.8 представлены фрагменты программы "Ревизор сети", где указана информация после сканирования сети и одного из узлов (АРМ) сети.

Рисунок А.7 – Фрагмент (скриншот) программы "Ревизор сети" с информацией обо всей сети

Рисунок А.8 – Фрагмент (скриншот) программы "Ревизор сети" с информацией о конкретном узле сети

Подведение итогов и составление отчетности по проведению анализа защищенности ИС

Заключительным этапом проведения анализа защищенности информации в ИС является сбор всей информации по проделанной работе. Все это закрепляется в одном документе, который дополнительно включает в себя автоматически сгенерированные отчеты использованных инструментальных средств по анализу защищенности. В финальной части необходимо указать рекомендации по устранению выявленных уязвимостей в ИС. Предлагаемая структура отчета по анализу защищенности информации в ИС исходит из пунктов методики проведения этого мероприятия.

Предлагаемая структура отчета по результатам анализа защищенности:

а) титульный лист;

б) термины, определения и сокращения;

в) выполняемые функции ИС;

г) структурно-функциональные характеристики ИС;

д) степень конфиденциальности обрабатываемой информации в ИС;

е) состав ИС:

1) схема размещения компонентов ИС;

2) перечень прикладного ПО, используемого в ИС;

3) взаимодействие с иными ИС;

4) состав технических и программных средств защиты информации ИС.

ж) результаты анализа событий безопасности в ИС;

з) результаты поиска уязвимостей ПО в ИС;

и) результаты анализа защищенности внутреннего и внешнего периметра сети ИС;

к) результаты анализа защищенности информации с использованием инструментальных средств контроля защищенности информации от НСД к информации;

л) соответствие требованиям ФСТЭК;

м) рекомендации по устранению найденных уязвимостей;

н) выводы, заключение;

о) приложения:

1. отчеты группы тестирования;

2. отчеты инструментальных средств.

Характеристики

Список файлов ВКР