Разработка защищенной автоматизированной системы для информационной поддержки публичных мероприятий

Скачать 0.5 Mb.

Название	Разработка защищенной автоматизированной системы для информационной поддержки публичных мероприятий
страница	11/11
Дата публикации	26.04.2015
Размер	0.5 Mb.
Тип	Документы

100-bal.ru > Информатика > Документы

1 2 3 4 5 6 7 8 9 10 11

3.4 Методы защиты от актуальных угроз.

Для защиты от угрозы НСД к модулям ИС требующим авторизации разработан модуль авторизации пользователей, описанный в п.2.4 второй главы.

В качестве защиты от угрозы «Анализа сетевого трафика» и атаки Man-in-the-Middle для сайта был приобретен сертификат в УЦ, в настройках сервера разрешены соединения только по HTTPS по инструкции[20].

В качестве защиты от угрозы угроз сканирования, направленных на выявление типа операционной системы и других сведениях о модулях ИС был применен алгоритм защиты от атаки сбора данных(Fringerprinting) описанный в п.1.4 первой главы.

Для минимизации угрозы получения НСД путем подмены доверенного объекта был использован протокол HTTPS ,использован надежный алгоритм генерации сессии.

Методы защиты от атак реализующих угрозу НСД на этапе разработки системы:

SQL-injection – в качестве защиты от данной атаки была применена технология доступа к данным(EntityFramework), где все данные параметризированы и экранируются .

XSS- защиту от данной атаки предоставляют стандартные средства разработки ASP.NET MVC.

Fingerprinting – В файле конфигурации приложения была отключена передача информации о версии ASP.NET и версии сервера IIS.

CSRF- использование POST запросов при операциях с данными.
DirectoryTraversal – разделение всех пользователей по ролям и жесткое ограничение на доступ к директориям на основании роли пользователя, применен алгоритм авторизации и аутентификации п.2.3 Главы II.

Для минимизации угроз удаленного запуска приложений, угроз внедрения по сети вредоносных программ на хостинг-сервере ИС установлено антивирусное ПО.

Для угрозы типа «Отказ в обслуживании» мер противодействия применить не удалось в виду специфики реализации данной угрозы, но существует соглашение с компанией предоставляющей хостинг-сервер, которая отвечает за защитные меры против данной атаки .
Для контролирования действий сотрудников применен ряд мер:

Для возможности контролирования действий пользователей производится логирование всех действий пользователей на уровне триггеров базы данных. Лог представляет информацию о том, кто и когда совершил какое-то действие.
Для доступа в административную панель было выделено два типа пользователей, это администраторы и клиенты(организаторы). Все представления данных в веб-приложения имеют разграничение на основе роли пользователя после авторизации в системе.
Авторизация и аутентификация пользователей происходит по алгоритму описанному в п.2.4 второй главы.
Для возможности усиления защиты доступа в панель администратора создана двухэтапная авторизации через SMS , после ввода правильного логина и пароля на номер пользователя отправляется смс, содержащее код подтверждения для авторизации на втором этапе.
Использование протокола HTTPS дает возможность от одной из актуальных угроз перехвата учетных данных при входе в систему.
Во избежание потери доступа в панель в программном коде и на уровне триггеров базы данных запрещено удалять пользователя с ID=1 и менять его роль в системе как администратора.
Программно запрещено организатору создавать учетные записи с ролью организатора для другого мероприятия, к которому отсутствует доступ.
Физически записи не удаляются, а помечаются флагом isDelete.
Для обеспечения защиты от внутренних нарушителей категорий I,II,III был выбран юридический метод, а именно подписание соглашения о неразглашении данных и составление трудового договора с учетом ответственности за нарушения информационной безопасности ИС.

В качестве защиты от техногенного фактора реализовано резервное копирование БД по расписанию.

ЗАКЛЮЧЕНИЕ

В дипломной работе была спроектирована и разработана защищенная автоматизированная система для ведения бизнеса путем предоставления услуг по информационной поддержке публичных мероприятий. На первом этапе были рассмотрены методы и технологии осуществления информационной поддержки, рассмотрены системы предоставляющие данные услуги. На основе рассмотренных методов были сформированы требования к системе и список предоставляемых функций. Далее была спроектирована архитектура системы с учетом требований информационной безопасности и выбраны технологии разработки.

На стадии программирования были применены методы защиты от ряда угроз ИБ. После завершения разработки системы была построена модель угроз, выявлены актуальные угрозы и применены средства защиты для их минимизации. Можно сделать вывод о том, что поставленные задачи выполнены, тем самым достигнута цель дипломной работы.

СПИСОК ЛИТЕРАТУРЫ

Omyconf [Электронный ресурс] //URL: http://omyconf.com/ru. (Дата обращения:01.12.13)
KitApps [Электронный ресурс] //URL: http://attendify.com (Дата обращения:01.12.13)
Bizzabo [Электронный ресурс] // URL: www.bizzabo.com (Дата обращения:01.12.13)
Веб-сервер [Электронный ресурс] // URL:http://en.wikipedia.org/wiki/Web_server (Дата обращения: 15.01.14)
Сравнение веб-серверов [Электронный ресурс] //URL: http://ru.wikipedia.org/wiki/Сравнение_веб_серверов. (Дата обращения: 15.01.14)
MVC [Электронный ресурс] //URL:http://habrahabr.ru/post/49718/ mvc.( Дата обращения:01.12.13)
SOAP [Электронный ресурс] // URL: http://www.rsdn.ru/article/xml/soap.xml. (Дата обращения:15.01.14 )
REST vs SOAP[Электронный ресурс] // URL: http://habrahabr.ru/post/158605. (Дата обращения:15.01.14 )
Российские и мировые продажи смарфонов по операционным системам [Электронный ресурс] // URL: http://www.json.ru/poleznye_materialy/free_market_watches/analytics/rossijskie_i_mirovye_prodazhi_smartfonov_po_operacionnym_sistemamm_2011_-_2016/. (Дата обращения:15.01.14 )
Архитектура ОС Android [Электронный ресурс] // URL:http://android-shark.ru/arhitektura-operatsionnoy-sistemyi-android/. (Дата обращения:15.01.14 )
iOS [Электронный ресурс] // URL: http://ru.wikipedia.org/wiki/IOS. (Дата обращения:15.01.14 )
Статистика уязвимостей веб-приложений [Электронный ресурс]// URL: http://www.ptsecurity.ru/download/analitika_web.pdf - (Дата обращения : 15.01.14)
Об информации, информационных технологиях и о защите информации: Федеральный закон Российской Федерации от 27 июля 2006 г. N 149-ФЗ
Информационная безопасность [Электронный ресурс] // URL http://ru.wikipedia.org/wiki/Информационная_безопасность. (Дата обращения:15.01.14)
Базовая модель угроз ФСТЭК России [Электронный ресурс] // URL:http://fstec.ru/component/attachments/download/289. (Дата обращения:15.01.14 )
Типовая модель угроз для ЛПУ [Электронный ресурс] // URL:http://www.aksimed.ru/download/center/Model_ugroz_MIS_LPU_2009.pdf. (Дата обращения:15.01.14 )
Методы и средства обеспечения безопасности. [Электронный ресурс]// URL:http://expert.gost.ru/ID/DOC/17799.pdf (Дата обращения : 15.01.14)
ServerMisconfiguration [Электронный ресурс]// URL:http://projects.webappsec.org/w/page/13246959/Server%20Misconfiguration//ServerMisconfiguration – (Дата обращения : 15.01.14)
Методы борьбы с XSS [Электронный ресурс] // URL: http://help.yandex.ru/webmaster/security/xss.xml. (Дата обращения:15.01.14)
Настройка службы HTTPS в IIS [Электронный ресурс]. – URL: http://support.microsoft.com/kb/324069/ru (Дата обращения:01.02.14)
CocoaaControls [Электронный ресурс] // URL: http://www.cocoaacontrols.com. (Дата обращения:15.01.14)
GitHub [Электронный ресурс] // URL: http://www.github.com. (Дата обращения:15.01.14)
BitBucket [Электронный ресурс] // URL: http://www.bitbucket.com. (Дата обращения:15.01.14)
Android Asynchronous Http Client [Электронный ресурс] // URL: http://loopj.com/android-async-http. (Дата обращения:15.01.14)
AFNetworking [Электронный ресурс] // URL: https://github.com/AFNetworking/AFNetworking. (Дата обращения:15.01.14)

ORM Lite [Электронный ресурс] URL: http://ormlite.com/sqlite_java_android_orm.shtml. (Дата обращения:15.01.14)

ПРИЛОЖЕНИЕ 1

Пример запроса и ответа протоколу SOAP:

Рис. 13 – XML запрос SOAP.

Рис. 14 – XML ответ SOAP[15].

ПРИЛОЖЕНИЕ 2

Пример запроса и ответа REST:

Рис. 15 – Запрос ответ REST[15].

ПРИЛОЖЕНИЕ 3

Подробная схема базы данных с основными таблицами представлена на Рис.16

Рис. 16 Схема БД.

ПРИЛОЖЕНИЕ 4

Методы предоставляемые REST-сервисом.

Запрос списка мероприятий

Запрос:

http://unfo.pro/api/index?action=get_actions

Данный запрос является открытым и не требует дополнительных параметров.

Ответ:

Авторизация участника

Запрос(пример):

action –get_auth.

login – логин пользователя.

pass – хэш пароля.

action_id – это id мероприятия из запроса get_actions;

http://unfo.pro/api/index?action=get_auth&login=89000000000&pass=SHA256(pass)&action_id=1

Ответ:

В ответе авторизации приходит вся информация о пользователе с набором параметров.

session_id(сессия) - используется для дальнейшей работы мобильного приложения с API.

Получить список событий(докладов) для конкретного мероприятия

После авторизации на конкретном мероприятии приложение пользователя запрашивает весь список событий(докладов), данная выгрузка может быть очень объемной в зависимости от количества событий, получить данную выгрузку может только пользователь авторизовавшийся, путем предоставления сессии в параметре session_id. Параметр action = get_events.

Получить список участников на мероприятии.

По данному запросу идет выгрузка всех участников с контактными данными, каждый пользователь имеет право скрыть свои контактные данные. Данный запрос позволяет реализовать возможность создать коммуникационную основу между людьми для создания новых деловых знакомств. Action=get_members.

Получить список докладчиков на мероприятии.

По данному запросу идет выгрузка всех людей , которые выступают с докладами. Каждый участник имеет право получить контактные данные докладчика. Зачастую люди приходят на мероприятие , чтобы попасть на доклад к конкретному человеку. Action= get_reporters.

Получить список объявлений.

Action- get_adverts, для того чтобы не выгружать все объявления посылается date = дата последнего полученного объявления, и если такого нет то date =01.01.1970.

Получить список партнеров.

Выгружаются списком информация о партнерах для конкретного мероприятия с контактной информацией. Action= get_partners.

Тюмень – 2014

1 2 3 4 5 6 7 8 9 10 11

Похожие:

	Реферат Отчёта по нир на тему: Разработка и внедрение автоматизированной... ...		Доклад Информационное обеспечение автоматизированной системы мониторинга... Учебник содержит тестовый контроль знаний по психотерапии и список рекомендуемой литературы. Для студентов медицинских вузов и врачей...
	Реферат Настоящий отчет был разработан в рамках выполнения научно-исследовательской... Целью выполнения работ является разработка Концепции единой автоматизированной системы персонального учета населения Кемеровской...		Отчет о научно-исследовательской работе исследования в области построения... Этап 2 «Разработка концепции построения системы управления информационным обменом в защищенной сети порталов через открытые каналы...
	Отчет о научно-исследовательской работе «Разработка методов и средств... «Разработка методов и средств информационной поддержки образовательных процессов с применением перспективных технологий передачи...		Отчет о выполнение научно-исследовательских работ на тему: «Разработка... «Разработка информационной системы «Информационная среда современного университета, этап 1»
	Положение об автоматизированной обработке персональных данных участников... Рабочая программа составлена на основании рабочего учебного плана по фгос утвержденного ученым советом юргту(нпи) протоколом №4 от...		Инструкция для организаторов тестирования в рамках апробации процедуры... Злотникова Т. В., кандидат юридических наук, председатель Комитета по экологии Государственной Думы Федерального Собрания Российской...
	Инструкция для организаторов тестирования в рамках апробации процедуры... Злотникова Т. В., кандидат юридических наук, председатель Комитета по экологии Государственной Думы Федерального Собрания Российской...		Междисциплинарный подход к формированию информационной среды по проблемам... Стран в области общественных наук началось еще в середине 1980-х годов, когда украинские потребители информации получили доступ к...
	Разработка автоматизированной системы состояния и использования земель... Работа выполнена в Московском государственном университете геодезии и картографии (миигаиК)		Руководство пользователя Руководство предназначено для специалистов Администрации города Екатеринбурга. В нем описываются возможности автоматизированной информационной...
	Разработка автоматизированной системы тестирования т. А. Фролова, Д. В. Бабанин График и методические указания по организации самостоятельной работы по дисциплине «Исполнительное производство» для студентов заочной...		Актуальные проблемы создания единой автоматизированной информационной... Концептуальные основы построения еаис в таможеных органах республики беларусь 9
	Моделирование коррозионных процессов для информационной системы поддержки... Ведущая организация – фгоу впо кемеровский государственный сельскохозяйственный институт		Дипломному проекту На тему: «Проектирование и разработка автоматизированной... Охватывают различные подразделения, начиная с приема больного в стационаре и заканчивая его выпиской. В медицинских учреждениях работает...

Школьные материалы