ВКР (1209243), страница 5

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 5)

В компании существует взаимодействие с компанией филиалом через сеть Интернет посредством защищенного соединения VPN. (рисунок 3.1)

Рисунок 3.1 – Схема взаимодействия информационных систем

Схема размещения компонентов сети ИС (ОТСС и ВТСС), на которых обрабатывается информация

Данная схема создается с общим планом всех помещений и каждого по отдельности, в которой находится ИС.

Примечание: при общем плане помещений рекомендуется указать название отделов, отвечающих за выполнение определенных функций.

Схема размещения компонентов ИС представлена на рисунке 3.2.

ПК

Телефон

Факс

МФУ

Окно

Рисунок 3.2 – Схема размещение компонентов ИС

Состав прикладного ПО, используемого в ИС;

При определении состава необходимо учитывать все отделы организации и каждое автоматизированное рабочее место (АРМ) по отдельности. Итоговые данные представляются в виде таблицы.

Пример перечня прикладного ПО представлен в таблице 3.2.

Таблица 3.2 – Перечень прикладного ПО, используемого в ИС

Название отдела	Название АРМ	Состав прикладного ПО
Научно-исследовательская лаборатория	АРМ НИЛ_№3	MS Word, MS Excel, Adobe Reader, VMware
…	…	…
Отдел главного конструктора	АРМ начальника отдела	MS Word,MSExcel,Adobe Reader

Второй этап. Правильность определения настройки программных, технических и программно-технических средств.

Проверка настройки технических и программно-технических средств обработки информации в ИС (маршрутизаторы, коммутаторы и т.д.)

На данном этапе проводится проверка настройки оборудования системным администратором и оператором безопасности. По окончанию проверки составляется таблица всех технических и программно-технических средств обработки информации в ИС с указанием технических и программных средств, отдел в котором оно располагается и ошибки в настройках (таблица 3.3).

Таблица 3.3 – Перечень средств обработки информации

Окончание таблицы 3.3

Проверка настройки технических, программных и программно-технических средств защиты информации внедряемой системы защиты

После проверки всех средств обработки информации в ИС приступают к проверке настроек средств защиты информации. По окончанию проверок, которые выполняет оператор безопасности, составляется подобная таблица, как и предыдущем пункте, основные отличия состоят в том, что в этой таблице также указываются сертификаты выданные устройству.

Примечание: таблица также служит, как перечень всех средств защиты информации, поэтому в ней также обозначаются средства не нуждающиеся в настройках.

Пример перечня средств защиты информации представлен в таблице 3.4.

Таблица 3.4 – Перечень средств защиты информации

Окончание таблицы 3.4

Третий этап. Анализ защищённости внутреннего и внешнего периметра сети ИС

После проверки правильности настроек всего имеющегося оборудования в ИС, а именно средств обработки и средств защиты информации, производится анализ защищенности внутреннего и внешнего периметра сети ИС путем действий потенциально возможного нарушителя со стороны сети Интернет (внешний периметр сети), а также путем попыток отрицательного воздействия внутреннего нарушителя (внутренний периметр сети).

Анализ защищенности внутреннего и внешнего периметра сети проводится при помощь каких-либо инструментальных средств, а также по средства осмотра территории организации и проверки оборудования слежения.

Пример

Потенциально опасными действиями могут быть внедрение вредоносного ПО, сканирование сетевого трафика, внесение изменений в работу устройств и т.д.

Рисунок 3.3 – Сканирование сетевого трафика в программе Wireshark

При анализе выявляется способность противостоять угрозам нарушителей и определение оценки уровня защищенности ИС от внешних и внутренних атак.

Четвёртый этап. Поиск уязвимостей ПО в ИС

Проверка персонала на знание и умение работать с средствами защиты информации

Проверка персонала может проводиться в нескольких видах, таких как тестирование, ознакомление и тестирование без оповещения (например фишинг), результаты проверки фиксируются, а работники не прошедшие проверку отправляются на курсы повышения квалификации или для них проводиться повторное ознакомление с документами по работе со средствами защиты информации и реагирования на угрозы.

Таблица 3.5 – Результаты проверки сотрудников организации

Проверка организационных мер защиты информации в ИС

Экспертной группой поднимаются вся документация организации, от которой зависит безопасность информации и защищённость системы в целом. Причем к организационным уязвимостям можно отнести любые слабости защиты, не являющиеся уязвимостями в технических, программных или технически-программных средствах.

Все результаты проверок фиксируются в табличном виде с указанием всех документов существующих в организации, а также документов, которые предстоит разработать.

Пример перечня организационных документов по защите информации представлен в таблице 3.6.

Таблица 3.6 – Перечень организационных документов по защите информации

Окончание таблицы 3.6

Поиск уязвимостей в прикладном ПО ИС

Выполнение данного этапа необходимо для определения особых уязвимых мест в коде ПО, используемого в ИС. После выполнения тщательного сканирования администратором безопасности, есть вероятность обнаружения множества угроз безопасности информации.

При выполнении поиска уязвимостей в ИС необходимо использовать такие методы поиска, как ручной поиск, метод черного ящика, метод белого ящика. Эти три метода дают полное и достаточное представление о уязвимостях в ПО ИС.

Примечание

Помимо трёх основных методик разрешено дополнительно проводить поиск уязвимостей и другими методами.

Ручной поиск

Метод основан на поиске уязвимых мест кода, приводящих к неправильной работе или ошибкам работы программы. Производится путем открытия программы в среде разработки и полном сканировании ПО.

Тестирующая группа должна провести мероприятия:

• графически смоделировать процесс работы программ. Пример графического представления работы программы представлен на рисунке 3.4;

• сравнить графически смоделированный процесс работы программы с техническим заданием;

• открыть ПО в среде разработки и анализировать логику программы.

Рисунок 3.4 – Графическое представление работы программы

Пример

После проверки графически смоделированного процесса программы и сравнения его с техническим заданием не было выявлено недостатков. Но после открытия ПО в среде разработки была выявлена уязвимость в коде.

void *SpecificMalloc(unsigned int size) { return malloc(size); }

...

char *buf;

size_tlen; //уязвимость

read(fd, &len, sizeof(len));

buf = SpecificMalloc(len);

read(fd, buf, len);

Данная уязвимость может позволить передавать в программу данные большого объема, превышающие 4 Гб, а это будет ошибкой в работе программы. Ошибка произойдет в том случае, если размер файла будет больше 4 Гб, а при чтении данных из этого файла программа выйдет за границы массива.

Метод черного ящика

При использовании данного метода выполняются несколько поэтапных тестов: эквивалентное разбиение, анализ граничных значений, анализ причинно-следственных связей.

Эквивалентное разбиение.

На этом этапе выполняются действия:

• входные данные разбиваются на конечное количество классов эквивалентности. Класс эквивалентности - множество тестов со сходными параметрами. Например в одном из классов эквивалентности содержится ряд тестов. Один из тестов смог определить некоторую ошибку (уязвимость). Следовательно, остальные тесты, которые содержаться в этом классе, обнаруживают эту же ошибку;

• минимизировать общее число тестов, путем включения их в максимальное количество классов эквивалентности.

Для точного выделения классов эквивалентности необходимо придерживаться рядом правил:

• когда входное условие принимает одно из значений определенного интервала (например [1,99]), соответственно выделяется один класс эквивалентности правильный (входит в данный диапазон) и два неправильных (не входят в диапазон, x<1 и x>99);

• при диапазоне входных значений, описываемым входным условием, определяется множество правильных классов эквивалентности, где одному значению из диапазона соответствует правильный класс эквивалентности;

• в том случае, когда множество входных значений описываются входным условием, то для них соответствует количество правильных классов приравненных количеству элементов входных значений.

Определение тестов происходит при условиях, что:

• присвоение уникального номера для каждого класса эквивалентности;

• при не включенных правильных классах составляются новые тесты, для покрытия наибольшего количества возможных классов;

• при остаточных неправильных классах, которые не были включены, пишутся тесты для покрытия только одного класса.

Пример эквивалентного разбиения представлен в таблице 3.7

Таблица 3.7 – Пример эквивалентного разбиения

Анализ граничных значений.

Под граничными значениями понимается некоторые ситуации, которые возникают на границах классов эквивалентности определенных входных значений или около них. Это позволяет увидеть, в каких местах резко увеличилась вероятность обнаружения ошибки (уязвимости).

1. Выбирается случайный элемент в классе эквивалентности, для определения тестом каждую границу класса.

2. Разрабатывается тест, при котором выделяются входные и выходные значения, для обнаружения ошибки.

Пример анализа граничных значений

Даны классы эквивалентности:

1. возраст>16

2. возраст<99

Определяем границы эквивалентности:

1. 16

2. 99

Проверка осуществляется со значениями 15,16,99,100.

Анализ причинно-следственных связей.

Анализ причинно-следственных связей дает возможность выбирать тесты, дающие высокий результат. Используется при этом алгебра логики с причиной (отдельное входное условие или класс эквивалентности) и следствием (выходное условие или преобразование системы).

Построение теста выполняется при выполнении:

• происходит разбиение спецификации на рабочие участки;

• определение множества причин и следствий в этой спецификации;

• построение таблицы истинности на основе анализа смыслового содержания спецификации. Произведение перебора комбинаций причин и определение следствий для каждой комбинации причин.

Пример причинно-следственных связей представлен в таблице 3.8

Характеристики

Список файлов ВКР