Защита информационных ресурсов
Рассмотрена классификация существующих угроз безопасности web-портала, проведен обзор существующих систем управления его содержимым (CMS) и их составляющих — систем безопасности. Основная часть статьи посвящена проектированию универсальной системы безопасности высокого уровня, которая призвана обесп...
Gespeichert in:
| Veröffentlicht in: | Реєстрація, зберігання і обробка даних |
|---|---|
| Datum: | 2009 |
| Hauptverfasser: | , |
| Format: | Artikel |
| Sprache: | Russian |
| Veröffentlicht: |
Інститут проблем реєстрації інформації НАН України
2009
|
| Schlagworte: | |
| Online Zugang: | https://nasplib.isofts.kiev.ua/handle/123456789/50391 |
| Tags: |
Tag hinzufügen
Keine Tags, Fügen Sie den ersten Tag hinzu!
|
| Назва журналу: | Digital Library of Periodicals of National Academy of Sciences of Ukraine |
| Zitieren: | Защита информационных ресурсов / В.И. Гайдаржи, Н.А. Смирнова // Реєстрація, зберігання і обробка даних. — 2009. — Т. 11, № 3. — С. 53-59. — Бібліогр.: 9 назв. — pос. |
Institution
Digital Library of Periodicals of National Academy of Sciences of Ukraine| id |
nasplib_isofts_kiev_ua-123456789-50391 |
|---|---|
| record_format |
dspace |
| spelling |
Гайдаржи, В.И. Смирнова, Н.А. 2013-10-16T22:13:01Z 2013-10-16T22:13:01Z 2009 Защита информационных ресурсов / В.И. Гайдаржи, Н.А. Смирнова // Реєстрація, зберігання і обробка даних. — 2009. — Т. 11, № 3. — С. 53-59. — Бібліогр.: 9 назв. — pос. 1560-9189 https://nasplib.isofts.kiev.ua/handle/123456789/50391 004.7; 004.056/057 Рассмотрена классификация существующих угроз безопасности web-портала, проведен обзор существующих систем управления его содержимым (CMS) и их составляющих — систем безопасности. Основная часть статьи посвящена проектированию универсальной системы безопасности высокого уровня, которая призвана обеспечить защиту ресурса от большинства видов атак. Розглянутo класифікацію існуючих загроз безпеці web-порталу. Представлено огляд існуючих систем управління його вмістом (CMS) та їхніх складових — систем безпеки. Основну частину присвячено проектуванню універсальної системи безпеки високого рівня, яка призначена забезпечити захист ресурсу від більшості видів атак. The classification of existent security threats of web-portal is considered. An overview of existent control management systems (CMS) and their components — security systems is given. Main part is dedicated to designing the universal high-level security system, which is intended for providing resource protection from most types of attacks. ru Інститут проблем реєстрації інформації НАН України Реєстрація, зберігання і обробка даних Методи захисту інформації в комп’ютерних системах і мережах Защита информационных ресурсов Захист інформаційних ресурсів Information Resources Protection Article published earlier |
| institution |
Digital Library of Periodicals of National Academy of Sciences of Ukraine |
| collection |
DSpace DC |
| title |
Защита информационных ресурсов |
| spellingShingle |
Защита информационных ресурсов Гайдаржи, В.И. Смирнова, Н.А. Методи захисту інформації в комп’ютерних системах і мережах |
| title_short |
Защита информационных ресурсов |
| title_full |
Защита информационных ресурсов |
| title_fullStr |
Защита информационных ресурсов |
| title_full_unstemmed |
Защита информационных ресурсов |
| title_sort |
защита информационных ресурсов |
| author |
Гайдаржи, В.И. Смирнова, Н.А. |
| author_facet |
Гайдаржи, В.И. Смирнова, Н.А. |
| topic |
Методи захисту інформації в комп’ютерних системах і мережах |
| topic_facet |
Методи захисту інформації в комп’ютерних системах і мережах |
| publishDate |
2009 |
| language |
Russian |
| container_title |
Реєстрація, зберігання і обробка даних |
| publisher |
Інститут проблем реєстрації інформації НАН України |
| format |
Article |
| title_alt |
Захист інформаційних ресурсів Information Resources Protection |
| description |
Рассмотрена классификация существующих угроз безопасности web-портала, проведен обзор существующих систем управления его содержимым (CMS) и их составляющих — систем безопасности. Основная часть статьи посвящена проектированию универсальной системы безопасности высокого уровня, которая призвана обеспечить защиту ресурса от большинства видов атак.
Розглянутo класифікацію існуючих загроз безпеці web-порталу. Представлено огляд існуючих систем управління його вмістом (CMS) та їхніх складових — систем безпеки. Основну частину присвячено проектуванню універсальної системи безпеки високого рівня, яка призначена забезпечити захист ресурсу від більшості видів атак.
The classification of existent security threats of web-portal is considered. An overview of existent control management systems (CMS) and their components — security systems is given. Main part is dedicated to designing the universal high-level security system, which is intended for providing resource protection from most types of attacks.
|
| issn |
1560-9189 |
| url |
https://nasplib.isofts.kiev.ua/handle/123456789/50391 |
| citation_txt |
Защита информационных ресурсов / В.И. Гайдаржи, Н.А. Смирнова // Реєстрація, зберігання і обробка даних. — 2009. — Т. 11, № 3. — С. 53-59. — Бібліогр.: 9 назв. — pос. |
| work_keys_str_mv |
AT gaidarživi zaŝitainformacionnyhresursov AT smirnovana zaŝitainformacionnyhresursov AT gaidarživi zahistínformacíinihresursív AT smirnovana zahistínformacíinihresursív AT gaidarživi informationresourcesprotection AT smirnovana informationresourcesprotection |
| first_indexed |
2025-11-24T15:57:58Z |
| last_indexed |
2025-11-24T15:57:58Z |
| _version_ |
1850849708684083200 |
| fulltext |
Методи захисту інформації
в комп’ютерних системах і мережах
ISSN 1560-9189 Реєстрація, зберігання і обробка даних, 2009, Т. 11, № 3 53
УДК 004.7; 004.056/057
В. И. Гайдаржи, Н. А. Смирнова
Национальный технический университет Украины «КПИ»
проспект Победы, 37, 03056 Киев, Украина
Защита информационных ресурсов
Рассмотрена классификация существующих угроз безопасности web-
портала, проведен обзор существующих систем управления его со-
держимым (CMS) и их составляющих — систем безопасности. Основ-
ная часть статьи посвящена проектированию универсальной систе-
мы безопасности высокого уровня, которая призвана обеспечить за-
щиту ресурса от большинства видов атак.
Ключевые слова: система безопасности, безопасность, информация,
информационные ресурсы, атака.
Введение
В настоящее время в мире используется огромное количество информации,
хранимой в виде информационных ресурсов сети Интернет. С развитием исполь-
зования сетевых информационных технологий доступа к ресурсам растет и коли-
чество разнообразных атак на эти ресурсы. Поэтому в любой организации рано
или поздно возникает проблема обеспечения безопасности ресурсов для преду-
преждения и нейтрализации последствий подобных атак. Решение данной проб-
лемы предполагает установку соответствующей потребностям предприятия систе-
мы безопасности информационных ресурсов и организацию ее функционирования.
Говоря об информационной безопасности, все, в первую очередь, имеют в
виду защиту от вирусов и «хакеров», но у специалистов по безопасности инфор-
мационных ресурсов в большей степени озабоченность вызывают действия не-
компетентных сотрудников. Это явно показали и ежегодный отчет ФБР «Com-
puter Crime and Security Survey»[1], и отчет «Global Information Security Survey»
компании Ernst&Young [2]. Так, по данным этих исследований, ущерб от неосто-
рожных и неправомерных действий сотрудников в несколько раз превышает по
объему причиненного вреда ущерб от действия вирусов и т.п. «хакерских» атак.
Построить защиту от «внутреннего врага» — сложная задача, требующая бо-
льших усилий. Она складывается из обеспечения безопасности программных при-
ложений корпоративно-информационной системы предприятия и грамотного ее
администрирования, которое, прежде всего, подразумевает под собой определение
© В. И. Гайдаржи, Н. А. Смирнова
В. И. Гайдаржи, Н. А. Смирнова
54
четких привилегий сотрудников компании на доступ к ресурсам информационной
системы (в сформулированном виде это — политика безопасности). Проведенный
анализ существующих CMS показал, что ни одна из них не обеспечивает защиту
содержимого web-портала от всех возможных угроз безопасности.
Возникает задача — спроектировать автоматизированную универсальную
систему безопасности, которая обеспечит защиту как от «внешнего», так и от
«внутреннего врага».
Система безопасности CMS
CMS (от англ. Content Management System) — это программная система, ко-
торая позволяет управлять текстовым и графическим наполнением web-портала,
предоставляя пользователю удобные инструменты хранения и публикации ин-
формации [5].
На данный момент на рынке существующих систем CMS представлены про-
дукты с очень слабыми системами безопасности, например, продукты, написан-
ные на языке PHP (Joomla, Drupal, CMS Made Simple, XOOPS), которые в частых
случаях уязвимы даже для таких внешних воздействий как SQL-инжекции, не го-
воря уже о серьезных нежелательных вмешательствах профессионалов. Рассмот-
рим пример.
Допустим, серверное ПО, получив входной параметр id, использует его для
создания SQL-запроса. Рассмотрим следующий PHP-скрипт:
# Предыдущий код скрипта...
$id = $_REQUEST['id']; # переменной $id присвоено значение переменной
запроса $_REQUEST['id'];
$res = mysql_query("SELECT * FROM news WHERE id_news = $id"); # пе-
ременной $res присваивается результат выполнения SQL-запроса к базе данных;
# Следующий код скрипта...
Если на сервер передан параметр id, равный 5 (например, так:
http://example.org/script.php?id=5), то выполнится следующий SQL-запрос:
SELECT * FROM news WHERE id_news = 5
Но если злоумышленник передаст в качестве параметра id строку –1 OR 1=1
(например, так: — http://example.org/script.php?id=–1+OR+1=1), то выполнится за-
прос:
SELECT * FROM news WHERE id_news = -1 OR 1=1
Таким образом, изменение входных параметров путем добавления в них кон-
струкций языка SQL вызывает изменение в логике выполнения SQL-запроса (в
данном примере вместо новости с заданным идентификатором будут выбраны все
имеющиеся в базе новости, поскольку выражение 1=1 всегда истинно) [3].
Как средство повышения безопасности все больше потребителей систем
безопасности информационных ресурсов отдают предпочтения средствам разра-
ботки, основанным на платформах Java и .Net. Рассмотрим существующие CMS,
написанные на Java.
Apache Lenya — система управления содержимым, написанная на Java с ис-
пользованием стандартов XML и XSLT. Одной из основных компонент является
модуль Apache Cocoon, включающий в себя контроль ревизий, механизм поиска,
Защита информационных ресурсов
ISSN 1560-9189 Реєстрація, зберігання і обробка даних, 2009, Т. 11, № 3 55
журнал и WYSIWYG-редакторы.
Система безопасности этой CMS обеспечивает безопасность информацион-
ных ресурсов с помощью защищенного канала SSL (Secure Sockets Layer), а также
реализацию механизма контроля доступа, который позволяет администратору ог-
раничивать доступ к определенным частям сайта как группам, так и отдельным
пользователям. Можно управлять такими функциями как просмотр, редактирова-
ние, утверждение и администрирование. Кроме того, используются механизм
LDAP авторизации пользователей и контроль доступа по IP-адресу [6]. Но в дан-
ной системе отсутствуют элементы тестирования пользователя и самотестирова-
ния системы.
OpenCms — это система управления содержимым, которая дает возможность
создавать web-сайты и управлять ими без знаний языка программирования и
стандарта HTML. Встроенный WYSIWYG-редактор с пользовательским интер-
фейсом, подобным известным офисным приложениям, дает возможность пользо-
вателю создавать контент сайта, а шаблонный механизм формирует и отображает
общую разметку сайта.
Функцию безопасности в OpenCms обеспечивает система распределения прав
пользователей, а также возможность восстановления удаленных файлов и папок
[7]. Недостатком системы является отсутствие таких элементов как создание
безопасного канала, поддержка механизма тестирования пользователя, а также
формирование журнала событий.
Magnolia — это первая CMS, которая была разработана с нуля для поддерж-
ки развивающегося стандарта API хранилища содержимого для Java (JCR) [8].
После первого выпуска в 2004 году Magnolia быстро стала популярным про-
граммным обеспечением для решения задачи управления содержимым на Java.
Благодаря легкому в использовании интерфейсу и открытым стандартам, таким
как JSR-170, она используется в нескольких тысячах инсталляций по всему миру.
Для обеспечения безопасности используется система управления резервными
копиями и система контроля прав доступа пользователей и их групп [9]. Безопас-
ный канал для передачи данных, тестирование пользователя и журнал событий в
данной системе отсутствуют.
Классификация существующих угроз безопасности
Угрозу безопасности web-ресурсов создают внешние и внутренние атаки. К
внешним атакам относятся:
— атаки, которые используют уязвимости в механизмах реализации аутенти-
фикации (процесса установления подлинности лица) web-серверов;
— атаки, направленные на авторизацию, т.е. на процесс, который использует-
ся web-сервером для предоставления определенному лицу доступа к некоторому
содержимому или функциям приложения. С помощью различных техник зло-
умышленник может повысить свои права и получить доступ к защищенной ин-
формации;
— атаки на клиентов. Используя web-ресурс, пользователь, как правило, не
ожидает атак со стороны сайта. Такое доверительное отношение злоумышленник
может использовать в своих целях и различными методами проводить атаки на
В. И. Гайдаржи, Н. А. Смирнова
56
клиентов сервера;
— атаки, приводящие к выполнению кода на web-сервере. При запросе поль-
зователь передает серверу данные, которые применяются для формирования ко-
манд. Если во время разработки не учитывать требования безопасности, зло-
умышленник получает возможность модифицировать исполняемые команды;
— разглашение информации. Получая дополнительную информацию о web-
приложении, такую как дистрибутивы программного обеспечения, номера версий
клиента и сервера, расположение временных файлов и др., злоумышленник может
использовать ее в своих целях;
— логические атаки. Атаки данного вида используют функции и логику са-
мого приложения. Например, восстановление паролей, регистрация учетных
записей, транзакции в системах электронной коммерции. Пользователю необхо-
димо выполнить несколько последовательных действий, но злоумышленник мо-
жет использовать эти механизмы в своих целях.
Внутренние атаки на web-ресурсы производятся инсайдерами (от англ.
insider) — авторизованными пользователями, которые имеют доступ к web-сайту.
Это может быть служащий, руководитель, бизнес-менеджер, консультант, под-
рядчик, бизнес-партнер и др. К инсадерским атакам относятся:
— невнимательность, халатность сотрудников;
— действия, приводящие к случайной утечке конфиденциальной информа-
ции. Данные могут быть утеряны по электронной почте, через чаты, форумы и
другие службы Интернета, с помощью средств мгновенного обмена сообщения-
ми, копирования информации на мобильные носители, а также посредством рас-
печатки ее на принтере;
— неумышленное инфицирование компьютера. Сотрудник может действо-
вать без злого умысла, создавая угрозу по собственной неосторожности. Напри-
мер, в процессе сетевой игры или посещения того или иного сайта вирус или
шпионская программа может инфицировать компьютер;
— умышленное инфицирование компьютера;
— неправомерные действия сотрудников, например, неправомерное отклю-
чение оборудования или изменение режимов работы устройств и программ;
— неквалифицированные действия сотрудников;
— намеренные нарушения политики информационной безопасности (унич-
тожение, блокирование, модификация, удаление информации);
— несанкционированное получение конфиденциальной информации;
— разглашение атрибутов разграничения доступа (паролей, ключей шифро-
вания, идентификационных карточек, пропусков и т.п.). Например, неквалифици-
рованные пользователи записывают процедуры входа-выхода при работе с ком-
пьютерной системой, а также пароли доступа, на отдельных бумажных листках;
— кража конфиденциальных данных;
— плохое качество программного обеспечения.
Последствия, которые влекут за собой как внешние, так и внутренние атаки,
приводят к следующим угрозам:
— случайной или намеренной утечке конфиденциальной информации;
— нарушению целостности данных;
— потере данных (безвозвратной потере данных);
Защита информационных ресурсов
ISSN 1560-9189 Реєстрація, зберігання і обробка даних, 2009, Т. 11, № 3 57
— инфикации компьютера;
— утрате атрибутов разграничения доступа.
Универсальная система безопасности
Чтобы разработать универсальную систему безопасности, необходимо учи-
тывать все возможные угрозы. Система безопасности должна включать в себя
компонент распределения прав, компонент самотестирования, компонент тести-
рования пользователя, компонент поддержки журнала событий, компонент отка-
та, компонент управления безопасным каналом для передачи данных (см.
рисунок).
Система безопасности
Компонент распределения прав. Права доступа (к информации) — сово-
купность правил, регламентирующих порядок и условия доступа субъекта к ин-
Внешний пользователь
Внутренний пользователь
Нарушение целостности
данных
Потеря данных
Инфикация компьютера
Утечка конфиденциальной
информации
Утрата атрибутов
разграничения доступа
Компонент
самотестирования
Компонент отката
Компонент поддержки
журнала событий
Компонент
распределения прав
Компонент тестирования
пользователя
Компонент управления
безопасным каналом
В. И. Гайдаржи, Н. А. Смирнова
58
формации и ее носителям, установленных правовыми документами или собствен-
ником, владельцем информации.
Компонент распределения прав в проектируемой системе отвечает за распре-
деления прав доступа между пользователями комплекса средств защиты. Он
обеспечивает реализацию таких функций: создание и редактирование учетных
записей пользователей; создание и редактирование групп пользователей; админи-
стративное управление правами доступа групп или отдельных пользователей к
защищенным объектам; административное управление правами доступа групп
или пользователей к функциональным режимам работы с объектами. Пользовате-
лями системы могут быть: администраторы с неограниченными правами доступа;
администраторы системы с ограниченными правами доступа, отвечающие за оп-
ределенные составляющие системы управления web-порталом; контент-менед-
жеры и др.
Компонент тестирования пользователя. Для того, чтобы избежать автома-
тических регистраций и отправления сообщений программами-роботами обычно
применяется СAPTCHA (от англ. «Completely Automated Public Turing test to tell
Computers and Humans Apart» — полностью автоматизированный публичный тест
Тьюринга) — компьютерный тест, используемый для того, чтобы определить, кем
является пользователь системы: человеком или программой-роботом. Довольно
часто CAPTCHA предлагает распознать искаженную или зашумленную надпись.
Идея теста состоит в том, что задача, с которой легко справится человек, для ком-
пьютера невозможна или крайне сложна. Могут встречаться и другие задачи, на-
пример: определить, что находится на картинке, отметить картинки с живой при-
родой, вычислить арифметическое действие или 3D CAPCHA, базируещейся на
трехмерных объектах, которые могут вращаться в разных плоскостях.
Кроме того, возникают ситуации, когда необходимо защитить web-ресурс не
от программы-робота, а от пользователей, для которых информация либо сервисы
сайта по каким-либо причинам закрыты. Например, не допускать к просмотру со-
держимого лиц, не достигших определенного возраста, либо автоматически уда-
лять резюме пользователей, которые не соответствуют определенным требованиям.
В этом случае, чтобы вычислить нежелательного пользователя необходимо
провести более сложный интеллектуальный или психологический тест. Например,
это могут быть вопросы либо загадки, требующие определенного уровня интел-
лекта, внимательности, логики или находчивости. В проектируемой универсаль-
ной системе безопасности спроектирован подобный компонент тестирования
пользователя.
Компонент самотестирования. Так как при администрировании web-порта-
ла людской фактор всегда будет присутствовать, и полностью исключить его не-
возможно, с целью обеспечения безопасности информационных ресурсов необхо-
димо предусмотреть систему обнаружения нарушений в работе web-приложения
и быстрого восстановления его рабочей версии. Эту задачу решает компонент са-
мотестирования, который осуществляет проверку на наличие нарушений в отде-
льных составляющих системы управления порталом, а также обеспечивает поль-
зователям интерфейс для инициации процедур самотестирования в комплексе
средств безопасности.
Защита информационных ресурсов
ISSN 1560-9189 Реєстрація, зберігання і обробка даних, 2009, Т. 11, № 3 59
Компонент поддержки журнала событий. Все процессы и нарушения в CMS
фиксируются в системном журнале событий, чтобы можно было своевременно об-
наружить повреждение. Компонент журнала отвечает за отображение состояния
системы на текущий момент, а также любой деятельности пользователей портала.
Компонент отката. При фиксации повреждения целостности web-прило-
жения компонент отката системы безопасности запускает механизмы отката,
обеспечивая его быстрое восстановление системы до рабочей версии.
Компонент управления безопасным каналом для передачи данных. Ор-
ганизация защищенного канала связи осуществляется поверх стандартных откры-
тых каналов сети Интернет. Безопасность обмена данными обеспечивается сред-
ствами криптографии, такими как шифрование, аутоидентификация, инфраструк-
тура публичных ключей и др. Для организации безопасного канала используются
различные технологии и протоколы передачи данных. Наиболее широкое распро-
странение сейчас имеет технология под названием SSL и ее современная версия
TLS (Transport Layer Security). Компонент управления безопасным каналом отве-
чает за создание и конфигурирование безопасного канала для передачи данных на
базе технологии SSL.
Таким образом, предлагаемый проект системы защиты способствует повы-
шению уровня безопасности портала, при этом обеспечивается противодействие
угрозам, возникающим при обнаружении как «внутренних», так и «внешних» атак
на информационные ресурсы портала.
1. Computer Crime and Security Survey/ Computer Security Institute (CSI). — San Francisco
Federal Bureau of Investigation's (FBI) Computer Intrusion Squad. — Режим доступа:
http://www.usdoj.gov/criminal/cybercrime/CSI_FBI.htm
2. Global Information Security Survey/ Paul Van Cessel, Technology and Security Risk Services,
Ernst&Young. — Режим доступа: http://www.ey.com/UA/en/Issues/Managing-risk/Information-
security-and-privacy/Assurance---Advisory---Technology-and-Security-Risk---Global-Information-Secu-
rity-Survey-2008
3. Секреты хакеров. Безопасность Web-приложений — готовые решения/ [Джоел Скембрей,
Майк Шема, Йен-Минг Чен, Дэвид Вонг]. — М.: Вильямс, 2003. — 384 с.: ил.
4. Валентин Цирлов. Основы информационной безопасности / Валентин Цирлов. — М: Фе-
никс, 2008. — 256 с.
5. Горнаков Сергей. Осваиваем популярные системы управления сайтом (CMS) / Горнаков
С.Г. — М.: ДМК-Пресс, 2009. — 336 с.
6. Apache Lenya — Open Source Content Management (Java/XML) / The Apache Software
Foundation. — The Apache Lenya Community. — Режим доступа: http://lenya.apache.org/
7. OpenCms, the Open Source Content Management System (CMS)/ Alkacon Software GmbH. —
Режим доступа: http://www.opencms.org/en/
8. JCR — Java Code Reviewer / John Dickson. — Режим доступа: http://jcodereview.sourceforge.net/
9. Products — Magnolia — Simple Open Source Content Management / Magnolia International
Ltd. — Режим доступа: http://www.magnolia-cms.com/home/products.html
Поступила в редакцию 11.09.2009
|