Практическое занятие № 4 Обеспечение безопасности систем электронной коммерции Необходимые термины и определения Защита информации – принятие правовых, организационных и технических мер, направленных на: Обеспечение защиты информации от неправомерного доступа, уничтожения, изменения и других неправомерных действий; Соблюдение конфиденциальности информации; Реализацию права на доступ к информации. Защита информации осуществляется на нескольких уровнях: 1. Правовой: включает авторское право, патентование, а также различные инструкции, нарушение которых влечет за собой ответственность. 2. Организационный: реализуется созданием регламентов работы пользователей, правилами разграничения доступа к конфиденциальной информации. 3. Технический: представляет собой программные или аппаратные решения, направленные на защиту информации; условно выделяют физические, аппаратные, программные и математические (криптографические) решения. Классификация средств защиты информации (СЗИ) СЗИ Нормативные (неформальные) Программно-технические (формальные) • Законодательные: обеспечиваются государством в виде законов, их нарушение ведет к наступлению ответственности; • Административные: оборудование помещений, в которых хранится информация, организация допуска как в саму организацию, так и к ценной информации; • Морально-этические: моральные нормы, этические правила, корпоративная культура. • Физические: любые механические, электрические и электронные механизмы, функционирующие независимо от информационных систем и препятствующие доступу к ним. (замки, ТСО, СУД, видеонаблюдение); • Аппаратные: устройства (механические, электрические, электронные), встраиваемые в ИС и препятствующие доступу к информации; • Программные: ПО, связанное с обеспечением информационной безопасности. • Криптографические: внедрение методов шифрования информации при ее хранении и передаче – программные компоненты шифрования (криптопровайдеры), средства организации VPN, средства формирования и проверки ключей. Защита информации в любой ИС всегда осуществляется комплексно, то есть используются несколько уровней защиты, основанных на разных принципах. Основные элементы системы комплексной защиты Защита элементов ИС от несанкционированного доступа; Защита информационного обмена между объектами ИС; Защита при взаимодействии с внешними сетями; Специальные средства анализа защищенности и обнаружения атак; Контекстный анализ электронной почты и исходящего трафика; Обеспечение противодействия проникновению вирусов. Обеспечение безопасности веб-приложений Устойчивая система – это система, документировано реагирующая на любое изменение внешних условий. То есть устойчивая система должна: Предсказуемо работать при вводе клиентом предусмотренных данных (логически верные идентификаторы, текстовые поля, включающие только символы, которые могут быть интерпретированы только как текст); Выводить сообщения об ошибках, которые генерируются самим веб-приложением, но не интерпретатором языка, на котором это приложение написано; Осуществлять фильтрацию данных, полученных от клиента. Обеспечение безопасности веб-приложений Фильтрация – изменение содержания некоторого параметра таким образом, чтобы избежать недокументированной реакции со стороны веб-приложения. Условно выделяют 2 типа фильтрации: С блокированием подозрительных значений параметров; С приведением параметра к безопасному значению. Фильтрация с блокированием сводится к тому, что, если в передаваемом параметре обнаружены потенциально подозрительные элементы (‘’ ; <>), то выполнение веб-приложения блокируется и клиенту выводится сообщение об ошибке. У такой фильтрации есть существенное ограничение – когда фильтруемые символы необходимо использовать по их прямому назначению. Фильтрация с приведением к безопасному виду: суть заключается в приведении значений из запросов, поступающих со стороны клиента к безопасному для выполнения веб-приложения виду (вырезание кавычек из строковых параметров и т.п.) Защита от несанкционированного доступа (НСД) Основные задачи: 1. Идентификация и аутентификация пользователей. 2. Разграничение доступа к защищаемым ресурсам. 3. Контроль целостности программного обеспечения. 4. Протоколирование действий пользователей. Безопасная авторизация и аутентификация в веб-приложениях o Идентификация – процесс определения что за человек перед нами. o Аутентификация – процесс подтверждения, что идентифицируемый человек тот, за кого себя выдает. o Авторизация – проверка, имеет ли право данный пользователь выполнять определенное действие или право доступа к определенным ресурсам. Авторизации, как правило, предшествует аутентификация . Защита от НСД: аутентификация Подтверждение подлинности пользователя предъявление Того, что он знает (пароль, личный идентификационный номер, криптографический ключ) Того, чем он и только он владеет (личная карточка или иное устройство) Того, что может принадлежать только ему (биометрические характеристики: голос, отпечатки пальцев) В веб-системах в большинстве случаев используется пара значений «имя пользователя – пароль». Парольная защита Программно-аппаратный комплекс, реализующий системы идентификации и аутентификации пользователей ИС на основе одноразовых или многоразовых паролей. Для создания устойчивых веб-систем пара логин/пароль должны обрабатываться на стороне сервера, передаваться на сервер методом HTTP Post с использованием защищенного протокола https. Безопасная авторизация и аутентификация в веб-приложениях Особенностью веб-систем является то, что каждое последующее посещение веб-страницы – это, посути, новое действие, никак не связанное с предыдущим. Таким образом, при каждом новом посещении необходимо осуществлять аутентификацию. Последующая аутентификация 1. HTTP cookie Cookies — это небольшие файлы, в которых хранится некоторая информация сервера. Cookies могут храниться как на жестком диске (постоянные), так и в оперативной памяти (сессионные) либо в течение срока сессии, либо заданное время. При использовании cookies первичная аутентификация осуществляется вводом пары логин/пароль. Последующая авторизация проводится с использованием cookie-значений. При этом в cookie хранятся имя пользователя и хеш пароля, при повторном заходе на страницу из БД извлекается переданное имя пользователя и пароль; вычисляется его хеш и сравнивается с переданным. Недостатки: Для авторизации достаточно знать лишь хеш пароля, который хранится либо на жестком диске, либо который можно перехватить (например с использованием уязвимостей типа XSS); Хранение на сервере паролей пользователей в открытом или в любом другом обратимом виде. Знание хеша при определенных условиях позволяет подобрать по нему пароль по словарю. В этом случае злоумышленник может определить и саму хеш-функцию. Безопасная авторизация и аутентификация в веб-приложениях Последующая аутентификация 1. Сессии При аутентификации с использованием сессий после первичного ввода логина и пароля на стороне сервера генерируется идентификатор сессии. ID сессии представляет собой длинное число, генерируемое случайным образом и сопоставляемое в БД аутентифицированному пользователю, причем он также имеет временное ограничение, в течение которого он действует. То есть пользователю также может сопоставляться или текущее время, или время окончания сеанса. Авторизация при этом проводится по поиску имени пользователя и сопоставлению ему ID и срока его действия. Недостатки: Неустойчивость системы при первичном вводе логина и пароля (для этого при передаче используется шифрование – например, SSL). Достоинства: Нет необходимости хранить на сервере пароль в открытом виде; достаточно будет хранить его хеш; Даже при похищении ID злоумышленник может им пользоваться в течение ограниченного времени и не успеть воспользоваться в принципе; Для выполнения наиболее важных действий (например, смена пароля) кроме ID необходимо отдельное подтверждение паролем. В этом случае перехват ID также ничего не даст. Безопасная авторизация и аутентификация в веб-приложениях Методы защиты веб-приложений, работающих на CMS 1. Использование уникальной административной записи По умолчанию в большинстве CMS административной записи соответствует логин с именем admin. В целях защиты используется логин, состоящий из набора случайных букв и цифр. 2. Разграничение прав Для внесения изменений в наполнение веб-приложения используется специальная учетная запись, не обладающая админитративными правами. 3. Использование сложного пароля как для доступа к учетной записи, так и для доступа к БД. 4. Блокирование программного перебора пары логин/пароль – использование капчи при неверном вводе более нескольких попыток. 5. Изменение url-адреса административной панели со стандартного на новый, который будет известен ограниченному кругу лиц. 6. Запрет доступа к административной панели со всех IP-адресов, кроме доверенных. 7. Перенос конфигурационного файла в другую директорию на веб-сервере. Защита информационного периметра (межсетевое экранирование) Межсетевой экран - программное или программно-техническое средство, реализующее функции контроля фильтрации в соответствии с заданными правилами проходящих через него сетевых потоков. Основные задачи: Обеспечение безопасного подключения к Internet; Управление IP-адресацией между внешними и внутренними частями или сегментами сети; Централизованное управление информационными потоками в распределенной корпоративной сети. Защита информационного периметра (межсетевое экранирование) Виды МЭ: 1). Сетевые фильтры (МЭ с пакетной фильтрацией) Обрабатывают пакеты на основании информации, содержащейся в заголовках пакетов (анализируют IPадреса отправителя и получателя, протокол, номера программного порта отправителя и получателя). Если пакет соответствует правилам политики он передается серверу. 2). МЭ прикладного уровня Посредники прикладного уровня принимают запросы от клиентов внутренней сети и от его имени устанавливают связь с сервером, находящимся во внешней сети. Посредник прикладного уровня проверяет содержимое каждого пакета данных и устанавливает либо запрещает соединение с запрашиваемым сервером. Защищенное взаимодействие VPN (построение виртуальных частных сетей) Основные задачи: Криптографическая защита данных, передаваемых по открытым каналам связи (шифрование информационных потоков производится только на выходе во внешнюю сеть); Защищенное подключение удаленных и мобильных пользователей; Безопасный доступ к ресурсам сети общего пользования. VPN служит для объединения физически удаленных объектов в одну виртуальную сеть с использованием открытых каналов связи. При передаче информации она проходит через сеть общего пользования, в связи с чем ее необходимо защищать как от чтения, так и от изменения – используются различные средства шифрования. VPN сети строятся по 2-м схемам: «сеть-сеть» используется для соединения удаленных офисов одного предприятия. В этом случае на каждом объекте устанавливается VPN-шлюз, встроенный в межсетевой экран. «точка-сеть» для подключения к корпоративной сети удаленных пользователей. В этом случае на компьютере пользователя должен быть установлен VPN-клиент. Защищенное взаимодействие VPN (построение виртуальных частных сетей) Основные требования, которые должны выполнять решения VPN: 1) Аутентификация пользователя и предоставление доступа только аутентифицированным пользователям. 2) Управление IP-адресами: средство VPN должно выдавать адреса из подсети и гарантию того, что эти адреса не будут раскрыты 3) Шифрование данных. 4) Управление ключевой информацией: VPN-средство должно генерировать ключи от шифрования и обновлять их с определенной периодичностью. Варианты построения сети VPN (4-е варианта): 1) «Intranet VPN» объединяет в одну защищенную сеть несколько распределенных филиалов организации (топология «сеть» - «сеть»); в этом варианте на конце каждой сети расположен шлюз, обеспечивающий безопасность при передаче данных между сетями. Данные, передаваемые между сетями, защищены шифрованием. Защищенное взаимодействие VPN (построение виртуальных частных сетей) Варианты построения сети VPN (4-е варианта): 2) «Client/Server VPN» обеспечивает защиту передаваемых данных между 2-мя узлами (но не сетями) корпоративной сети. Особенность – VPN выстраивается между узлами, находящимися в одном сегменте сети (в одной физической сети строится несколько логических). 3) «Extranet VPN» (межкорпоративная сеть) предназначен для сетей, к которым подключаются сторонние пользователи, уровень доверия к которым ниже, чем к собственным сотрудникам.обеспечивает защиту передаваемых данных между 2-мя узлами (но не сетями) корпоративной сети. Особенность – VPN выстраивается между узлами, находящимися в одном сегменте сети (в одной физической сети строится несколько логических). Защищенное взаимодействие VPN (построение виртуальных частных сетей) Варианты построения сети VPN (4-е варианта): 4) «Remote Access VPN» позволяет реализовать защищенное взаимодействие меду сегментом корпоративной сети и одиночным пользователем, подключающимся к сети с устройств, не имеющих статического IP-адреса (из дома). В этом случае на компьютер пользователя устанавливается ПО, реализующее функции VPN. Каждое устройство аутентифицируется и для него организуется VPN-туннель. Защита от вредоносных программ Антивирусная программа: Специализированная программа для обнаружения вредоносных программ, профилактики (предотвращения модификации файлов) или лечения таких программ. Методы работы антивирусных программ 1. Сканирование сигнатур: основано на поиске сигнатур, характерных для определенного вируса. 2. Контроль целостности основывается на предположении, что любое изменение данных на диске является подозрительным событием. 3. Сканирование подозрительных команд основано на выявлении подозрительных команд (например, форматирование HD). 4. Отслеживание поведения программ основывается на анализе поведения запущенных программ, требует часто решения пользователя на запуск того или иного процесса Защита от вредоносных программ Основные виды антивирусных программ • Программы-детекторы обеспечивают поиск и обнаружение вирусов в оперативной памяти и на внешних носителях, и при обнаружении выдают соответствующее сообщение. • Программы-доктора (фаги) а). определяют зараженные вирусами файлы и б). удаляют из файла тело программы вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к «лечению» файлов. • Программы-ревизоры запоминают исходное состояние программ, каталогов и системных областей диска и сравнивают текущее состояние с исходным. Сравнение состояний производят сразу после загрузки операционной системы, при этом проверяются длина файла, его контрольная сумма, дата и время модификации. По некоторым мнениям, относятся к наиболее надежным средствам защиты. • Программы-вакцины (иммунизаторы) — программы, предотвращающие заражение файлов; применяются только против известных вирусов. Модифицируют программу или диск таким образом, чтобы это не отражалось на их работе, а вирус воспринимал их зараженными и поэтому не внедрялся. • Программы-фильтры представляют собой небольшие программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерные для вирусов. Резервное копирование Резервное копирование – это процесс создания непротиворечивой копии данных. Виды резервного копирования: оперативное (Online backup) – накопитель, на который осуществляется резервное копирование / восстановление данных, подключен все время. автономное (Offline backup) – резервная копия хранится только на съемном носителе. Типы резервирования: Полное – создается резервный архив всех системных файлов, реестра и другой информации, необходимой для полного восстановления данных. Добавочное – резервный архив создается из всех файлов, которые были модифицированы после предыдущего резервирования. Разностное – архив включает только файлы, которые были изменены после последнего полного резервирования. Выборочное – резервирование только отобранных файлов. Программное обеспечение для резервирования данных Norton Ghost; Backup Plus; Acronis True Image; APBackUp.