Антиплагиат (1209242), страница 8
Текст из файла (страница 8)
3.2. Схема размещение компонентов ИС1.6.Состав прикладного ПО, используемого в ИС;При определении состава необходимо учитывать все отделы организациии каждое автоматизированное рабочее место (АРМ) по отдельности.Итоговые данные представляются в виде таблицы.Пример:Таблица 3.2. Перечень прикладного ПО, используемого в ИСНазвание отдела Название АРМ Состав прикладного ПОНаучно-исследовательскаялабораторияАРМ НИЛ_No3MS Word, MS Excel, AdobeReader, VMware... ...
...Отдел главногоконструктораАРМ начальникаотделаMS Word,MSExcel,AdobeReaderПКТелефонФаксМФУОкно42... ... ...2. Правильность определения настройки программных, технических ипрограммно-технических средств2.1. Проверка настройки технических и программно-технических средствобработки информации в ИС (маршрутизаторы, коммутаторы и т.д.);На данном этапе проводится проверка настройки оборудованиясистемным администратором и оператором безопасности. По окончаниюпроверки составляется таблица всех технических и программно-техническихсредств обработки информации в ИС с указанием технических ипрограммных средств, отдел в котором оно располагается и ошибки внастройках.Пример:Таблица 3.3. Перечень средств обработки информацииНаименование средствобработки информациив ИСМесто размещения Ошибки в настройкахCisco C881-K9 Научно-исследовательскийотделНет...
... ...АРМ_НИЛNo3 Научно-исследовательскийотделОтключен межсетевойэкран ОС... ... ...2.2. Проверка настройки технических, программных и программно-технических средств защиты информации внедряемой системызащиты;После проверки всех средств обработки информации в ИС приступают кпроверке настроек средств защиты информации. По окончанию проверок,43которые выполняет оператор безопасности, составляется подобная таблица,как и предыдущем пункте, основные отличия состоят в том, что в этойтаблице также указываются сертификаты выданные устройству.Примечание: таблица также служит, как перечень всех средств защитыинформации, поэтому в ней также обозначаются средства не нуждающиеся внастройках.Пример:Таблица 3.4.
Перечень средств защиты информацииНазваниеотделаНазваниеАРМНаименованиесредств защитыСертификатсоответствияОшибки внастройкеНаучноисследовательскийотделАРМ_НИЛNo3 Соната-ВК3 СертификатФСТЭКРоссииNo2533/1 до09.11.2018 г.... ... ... ... ...ОтделглавногоконструктораАРМначальникаотделаDallasLock 8.0ССертификатФСТЭКРоссииNo2945 до16.08.2019 г.Ошибка внастройкепараметроврегистрациисобытий...
... ... ... ..3. Анализ защищённости внутреннего и внешнего периметра сети ИСПосле проверки правильности настроек всего имеющегося оборудованияв ИС, а именно средств обработки и средств защиты информации,производится анализ защищенности внутреннего и внешнего периметра сети44ИС путем действий потенциально возможного нарушителя со стороны сетиИнтернет (внешний периметр сети), а также путем попыток отрицательноговоздействия внутреннего нарушителя (внутренний периметр сети).Пример:Потенциально опасными действиями могут быть внедрение вредоносногоПО, сканирование сетевого трафика, внесение изменений в работу устройстви т.д.Рис.
3.3. Сканирование сетевого трафика в программе WiresharkПри анализе выявляется способность противостоять угрозам нарушителейи определение оценки уровня защищенности ИС от внешних и внутреннихатак.4. Поиск уязвимостей ПО в ИС4.1.Поиск уязвимостей экспертной группой;4.1.1. Проверка персонала на знание и умение работать с средствами45защиты информации;Проверка персонала может проводиться в нескольких видах, таких кактестирование, ознакомление и тестирование без оповещения (напримерфишинг), результаты проверки фиксируются, а работники не прошедшиепроверку отправляются на курсы повышения квалификации или для нихпроводиться повторное ознакомление с документами по работе со средствамизащиты информации и реагирования на угрозы.Таблица 3.5.
Результаты проверки сотрудников организацииНазвание отдела Ф.И.О. Должность РезультатпроверкиНаучно-исследовательскийотделСидоров И.П. СтаршийнаучныйсотрудникНе пройдена... ... ... ...Отдел ИТ Витальев К.В. СистемныйадминистраторПройдена... ... ... ....4.1.2. Проверка организационных мер защиты информации в ИС;Экспертной группой поднимаются вся документация организации, откоторой зависит безопасность информации и защищённость системы в целом.Причем к организационным уязвимостям можно отнести любые слабостизащиты, не являющиеся уязвимостями в технических, программных илитехнически-программных средствах.Все результаты проверок фиксируются в табличном виде с указанием всехдокументов существующих в организации, а также документов, которыепредстоит разработать.Пример:Таблица 3.6. Перечень организационных документов по защитеинформации46Название документа Дата введения ИтогПравила маркированияи обращения сконфиденциальнымидокументами10.03.2015 Разработать документ ввиду его отсутствия...
... ...Правила увольнениядолжностных лиц24.09.2015 Доработать документ сучётом возвратаресурсов... ... ...4.1.3. Поиск уязвимостей в прикладном ПО ИС;Выполнение данного этапа необходимо для определения особыхуязвимых мест в коде ПО, используемого в ИС. После выполнениятщательного сканирования администратором безопасности, есть вероятностьобнаружения множества угроз безопасности информации.При выполнении поиска уязвимостей в ИС необходимо использоватьтакие методы поиска, как ручной поиск, метод черного ящика, метод белогоящика. Эти три метода дают полное и достаточное представление оуязвимостях в ПО ИС.Примечание: помимо трёх основных методик разрешено дополнительнопроводить поиск уязвимостей и другими методами.1.
Ручной поискМетод основан на поиске уязвимых мест кода, приводящих кнеправильной работе или ошибкам работы программы. Производится путемоткрытия программы в среде разработки и полном сканировании ПО.Тестирующая группа должна провести мероприятия:1) Графически смоделировать процесс работы программы;Например:47Рис. 3.4. Графическое представление работы программы2) Сравнить графически смоделированный процесс работы программы стехническим заданием;3) Открыть ПОв среде разработки и анализировать логику программы;Например:После проверки графически смоделированного процесса программы исравнения его с техническим заданием не было выявлено недостатков.
Нопосле открытия ПОв среде разработки была выявлена уязвимость в коде.void *SpecificMalloc(unsigned int size) { return malloc(size); }...char *buf;size_tlen; //уязвимостьread(fd, &len, sizeof(len));buf = SpecificMalloc(len);read(fd, buf, len);Данная уязвимость может позволить передавать в программу данныебольшого объема, превышающие 4 Гб, а это будет ошибкой в работепрограммы. Ошибка произойдет в том случае, если размер файла будетбольше 4 Гб, а при чтении данных из этого файла программа выйдет заграницы массива.2. Метод черного ящикаПри использовании данного метода выполняются несколько поэтапныхтестов: эквивалентное разбиение, анализ граничных значений, анализпричинно-следственных связей.A.
97 Эквивалентное разбиение.На этом этапе выполняются действия:1) Входные данные разбиваются на конечное количество классов48эквивалентности.Класс эквивалентности - множество тестов со сходными параметрами.Например:В одном из классов эквивалентности содержится ряд тестов. Один изтестов смог определить некоторую ошибку (уязвимость). Следовательно,остальные тесты, которые содержаться в этом классе, обнаруживают эту жеошибку.2) Минимизировать общее число тестов, путем включения их вмаксимальное количество классов эквивалентности.Примечания:Для точного выделения классов эквивалентности необходимопридерживаться рядом правил:Когда входное условие принимает одно из значений определенногоинтервала (например [1,99]), соответственно выделяется один классэквивалентности правильный (входит в данный диапазон) и дванеправильных (не входят в диапазон, x<1 и x>99);При диапазоне входных значений, описываемым входным условием,определяется множество правильных классов эквивалентности, гдеодному значению из диапазона соответствует правильный классэквивалентности.В том случае, когда множество входных значений описываютсявходным условием, то для них соответствует количество правильныхклассов приравненных количеству элементов входных значений.Определение тестов происходит при условиях, что:Присвоение уникального номера для каждого класса эквивалентности;При не включенных правильных классах составляются новые тесты,для покрытия наибольшего количества возможных классов.При остаточных неправильных классах, которые не были включены,пишутся тесты для покрытия только одного класса.49Пример эквивалентного разбиения:Ограничение назначение параметраПравильные классыэквивалентностиНеправильные классыэквивалентностиХ – входные значения(возраст).Ограничение повозрасту от 16 до 99 лет.1) 16<X<992) X – числовоезначение.3) Х – целое число.1) Х<162) X>993) X – нечисловоезначение.4) X – не целоечисло.B.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
