61
2.1.3. Организационно-правовые и программно-аппаратные
средства обеспечения информационной безопасности и защиты
информации
Под информационной безопасностью (ИБ) АИС понимается состояние
защищенности информационной среды АИС, обеспечивающее её
формирование, использование и развитие, которое не приводит к искажению,
разрушению или несанкционированному использованию информационных
ресурсов, включая хранимую, обрабатываемую и передаваемую информацию,
а также программные средства [2, с.147].
Рассмотрим возможности внешних нарушителей, целью любого
внешнего нарушителя является получение конфиденциальной информации, а
как следствие получение конкурентного преимущества по средствам
использования информации полученной незаконными способами, либо
получение денежного вознаграждения за данную конфиденциальную
информацию. Объекты, представляющие интерес нарушителю в конечном
итоге - файлы и базы данных конфиденциальной информацией, физические
носители информации, в том числе черновики и отходы делопроизводства, а
также сотрудники, обладающие доступом к информации, являющейся
конфиденциальной.
Типовые шаги внешнего нарушителя:
Разведка и сбор основных данных об организации и ее работниках
из открытых источников информации;
Разведка и сбор данных о внешнем периметре сети организации с
использованием технических средств;
Подбор вектора атаки на основе полученной информации, в
основном это передача вредоносного программного обеспечения во
внутреннею сеть организации;
62
Вторжение и захват одного из узлов сети организации;
Распространение вредоносного ПО внутри организации,
повышение привилегий в сети;
Подавление работоспособности защитных средств;
Поиск нужной злоумышленнику конфиденциальной информации
в сети организации;
Извлечение необходимой информации;
Скрытие следов и минимизация влияния, путем удаления всех
активных компонентов вредоносного ПО, с возможностью его дальнейшего
восстановления.
Из данных типовых шагов внешнего нарушителя, при атаке на
организацию с использованием технических средств нарушитель сможет
выполнить только первые два шага, т.е. сбор данных из открытых источников
и сканирование внешнего периметра сети организации. В рамках проведения
эмуляции действий внешнего нарушителя, был рассмотрен перечень
программных средств, позволяющих производить внешнее сканирование сети
организации на предмет поиска уязвимостей:
Nmap – сканер для изучения внешних узлов сети организации, на
предмет наиболее важных и «самописных» приложений организации для
дальнейшего исследования и проверки по базе известных CVE-уязвимостей;
Проверка узлов по базе CVE-уязвимостей в ручном режиме и с
использованием специализированного ПО организации; Metasploit –
программное обеспечение для анализа полученных уязвимостей;
John The Ripper. – программное обеспечение для восстановления
паролей из хешей;
the harvester – программное обеспечение для сбора информации о
сотрудниках компании;
63
Nikto и DirBuster – программное обеспечение для анализа
корректности конфигурации веб-сервисов;
Sqlmap – программное обеспечение для проверки возможности
внедрения sql-инъекций.
Часть данного программного обеспечения была использована
совместно с работниками службы безопасности ООО «Табер Трейд». Не
удалось найти уязвимости пригодные для эксплуатации. Соответственно
можно сделать вывод что меры и средства защиты информации делают
угрозы данного типа не актуальными.
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в таблице 2.2.
Таблица 2.2
Разграничение прав пользователей
Группы
Справочники
системы
Управлен
е
Модуль
«Приемка
товара»
Модуль
«Отгрузка
товара»
Модуль
«Приемка
по
качеству»
Отчеты
Менеджеры
отдела
Чтение
Нет
доступа
Ограниченны
й доступ
(ввод
данных об
ожидаемых
поставках,
чтение
данных о
приемке
товара)
11ет доступа
Ограниче
нный
доступ
Чтение
Менеджеры
отдела
продаж
Чтение
Нет
доступа
11ет доступа
Ограниченны
й доступ
(Ввод
данных о
заказах,
чтение
данных об
отгрузках)
Нет
доступа
Чтение
Администрат
ор
Полный
доступ
Нет
доступа
Чтение
Чтение
Чтение
Чтение
Консультант
Ограниченны
й доступ
Нет
доступа
Полный
доступ
Нет доступа
Ограниче
нный
доступ
Полны
й
доступ
64
Менеджер по
работе с
клиентами
Ограниченны
й доступ
Нет
доступа
11ет доступа
Полный
доступ
Нет
доступа
Полны
й
доступ
Контролер
качества
Ограниченны
й доступ
Нет
доступа
Чтение
11ет доступа
Полный
доступ
Чтение
Системны
й
админис-
тратор
Полный
доступ
Полный
доступ
Полный
доступ
Полный
доступ
Полный
доступ
Полны
й
доступ
На сервере системы и рабочих местах должно быть установлено
антивирусное ПО. ООО «Табер Трейд» использует антивирусную программу
Kaspersky Enterprise Space Security для комплексной защиты корпоративной
сети от всех видов современных компьютерных угроз.
Требуется регулярно обновлять антивирусную базу, чтобы иметь
эффективную защиту от новейших вирусов. Базу данных ИС склада следует
зашифровать средствами Microsoft SQL Server 2008, который обеспечивает
прозрачное шифрование данных (Transparent Data Encryption или TDE). TDE
позволяет шифровать базы данных целиком. Когда страница данных
сбрасывается из оперативной памяти на диск, она шифруется. Когда страница
загружается обратно в оперативную память, она расшифровывается. Таким
образом, база данных на диске оказывается
полностью зашифрованной, а в оперативной памяти – нет. Основным
преимуществом TDE является то, что шифрование и расшифровка
выполняются абсолютно прозрачно для приложений. Следовательно,
получить преимущества от использования TDE может любое приложение,
использующее для хранения своих данных Microsoft SQL Server 2008. При
этом модификации или доработки приложения не потребуется.
65
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Информационная модель представляет собой сумму сведений об
объекте и внешней среде, составленную по установленным правилам.
Другими словами -схема потоков информации, происходящих в процессе
функционирования объекта[17].
Внедрение информационной системы в компании позволит
автоматизировать работу менеджера по согласованию цен товаров между
поставщиками и клиентами компании. Учет поступающей товара и товара,
отгруженной клиентам, будет вестись в одной программе, что позволит
постоянно иметь актуальную информацию.
Как можно увидеть на схеме, менеджер получить возможность
формировать отчеты по работе с клиентами и поставщиками, в том числе:
Формы на поставку товара;
Отчет по поступлению по типам товара;
Отчет по поступлению по товару за период;
Отчет по отправке по типам товара;
Отчет по отправке за период.
Деятельность менеджера будет осуществляться с помощью,
разработанной ИС, то есть при работе вся информация вводится в ИС с
помощью экранных форм, а отчеты формироваться по необходимости в виде
экранных таблиц, которые можно будет вывести на печать. Таким образом,
бумажные документы будут формироваться только при желании менеджера,
а подсчет итоговых результатов в отчетах будет проводится автоматически,
что позволит значительно снизить трудоемкость выполняемых специалистом
операций.
66
ТОРГ-13 на
отправку
продукции
Заявка на
поступление
Менеджер по продажам
Менеджер по продажам
Список продукции Заявка на отгрузку
Список заявок
Справочник
Клиент
Справочник
Продукция
Справочник Тип
продукции
Справочник Тип
упаковки
Справочник
Работа
Экранная форма
учета продукции
1.1 Учет продукции
Продукция
Формирование
списка продукции
Экранная форма
учета отгрузки
1.2 Учет отгрузки
товаров
Файл отгрузка
товаров
Формирование ТОРГ-
13
ТОРГ-13 на отправку
продукции
ТОРГ-13 на
получение
продукции
Экранная форма
учета поступления
1.3 учет поступления
продукции
Файл
Поступление
продукции
Формирование ТОРГ-
13
ТОРГ-13 на
получение
продукции
Отчет по
поступлению по
типам продукции
Экранная форма
получения отчетов
1.4 Получение
отчетов
Файл отчетов
Формирование Отчет
по поступлению по
типам продукции
Экранная форма
Отчет по
поступлению по
типам продукции
Список продукции
Список продукции
Отчет по
поступлению по
продукции за
период
Формирование
Отчет по
поступлению по
продукции за период
Экранная форма
Отчет по
поступлению по
продукции за
период
Отчет по отправке
по типам
продукции
Формирование
Отчет по отправке по
типам продукции
Экранная форма
Отчет по отправке
по типам продукции
Отчет по отправке
по продукции за
период
Формирование
Отчет по отправке по
продукции за период
Экранная форма
Отчет по отправке
по продукции за
период
Рис. 2.2 Информационная модель системы менеджера по продажам
67
Проведенный реинжиниринг позволяет сократить два наиболее
трудоемких бизнес-процесса в результате внедрения разработанного модуля,
в связи с чем должен быть признан оправданным. Информационная модель
разработанной ИС представлена на рисунке 2.2.
2.2.2. Характеристика нормативно-справочной, входной и
оперативной информации
Технологический процесс внутри машинного анализа информации
является совокупностью операций, выполняющиеся в диалоговом режиме
работы с ПК и в различной последовательности. То есть череда
технологических операций выражена в процессе диалога пользователя с ПК.
Работа в диалоговом режиме не содержит чётко определенной
последовательности действий. Потому схема технологического процесса в
диалоговом режиме становится комплексом технологических операций,
отвечающих в схеме диалога задачи и существующий в рамках схемы работы
системы. Пользователь ИС оснащен своим интерфейсом доступа. Любой
пользователь может выполнить только действия, на которые у него есть права.
По факту авторизации пользователь получает перечень возможных действий с
системой. Тут он может выбрать требуемый ему справочник или таблицу для
передачи нужных данных. Для этого в меню программы ищется
контролирующий это пункт. Затем в выбранном справочнике или таблице
добавляются, или корректируются уже имеющиеся записи, просматриваются
готовые документы или база остается неизменной [19].
Программирование считается процессом разработки программы,
который при стандартной неавтоматизированной разработке ПП при любом
методе построения является последовательностью таких шагов, как:
Выделение требований к программе;
68
Определение или реализация алгоритма решения описанной
задачи;
Набор команд;
Отладка;
Тестирование.
Нахождение требований к ПО можно считать основным этапов, где
четко приписывается исходная информация и готовятся требования к
итоговым значениям. Также описывается поведение программы в некоторых
случаях.
В процессе реализации и выбора алгоритма нужно отразить череду
действий, которые должны быть сделаны для реализации нужного результата.
Часть задач решаются разными способами. В этом случае программист,
применяя отдельный критерий, к примеру, быстродействие работы алгоритма
или его точность, отбирает подходящее решение. Далее пишется подробное
описание алгоритма. И по факту выражения требований к программе и
подготовки алгоритма решения, алгоритм забивается на языке
программирования [16].
Отладка программы состоит в нахождении и исправлении ошибок,
которые имеют место на всех этапах подготовки задачи для работы на ЭВМ.
Ошибки делят на синтаксические и семантические.
Синтаксические ошибки, связанные с неправильным написание
операторов языка программирования, находятся на этапе трансляции
программы. Тут даже можно увидеть сообщение, описывающее оператор, в
котором допущена ошибка, место, где она обнаружена, а также текст,
поясняющий суть проблемы.
Семантические ошибки, связанные, зачастую, с неправильным
построением математической модели и алгоритма выполнения задачи, при
69
процедуре прохода программы сразу не обнаруживаются, поскольку
программа выполняется и даже выдает итоговый результат.
Для сверки корректности программы выполняется ее тестирование, т.е.
ее реализация при таких исходных данных, для которых итоги решения уже
известны. При подборе тестовых наборов исходных данных важно учесть
доступность проверки разных вариантов решения задачи. Оценка
корректности программы реализуется методом сравнения результатов,
полученных при реализации программы, с имеющимися тестовыми.
Тестирование помогает доказать факт наличия смысловой ошибки. Для
ее определения и выявления причины, реализовавшей ошибку, лучше всего
применять отладочные операторы, позволяющие контролировать проход
программы, следить за чередой выполнения операторов программы и
корректировкой значений элементов массивов и переменных в процессе
работы программы, отследить правильность индексирования элементов
массивов, отслеживать обращение к подпрограммам [10].
Тут же важно проверить, как работает программа на максимальном
количестве входных наборов данных, пусть даже не самых верных. Опишем
более подробно основной шаг процесса программирования - алгоритмизацию.
Задача программиста заключена в продумывании последовательности
действий, выполнив которые, можно достигнуть требуемого результата.
Алгоритм - четкое предписание, отражающее процесс перехода от
начальных данных к итогу.
В создаваемом ПО необходимо реализовать такие алгоритмы, как:
Алгоритм взаимодействия со справочниками;
Алгоритм нахождения отчетов.
Исходя из применяемой модели БД, для ввода данных применяются
формы, в каждое поле которых переносится какой-то атрибут.
70
В описываемой информационной системе имеются 2 схемы
технологического процесса сбора, передачи, обработки и выдачи
информации. Первой является схема с точки зрения пользователя ИС
(администратор, оператор), описывающая процесс взаимодействия
пользователя с системой.
Схема технологического процесса сбора, передачи, обработки и выдачи
информации приведена на рисунке 2.3.
Работа начинается с загрузки системы. Выход из системы
осуществляется при выборе меню «Выход».
Выбор пункта меню «Отчеты» и конкретного документа открывает
доступ к просмотру, фильтрации заранее введенных документов с исходными
данными, которые он может выбрать, воспользовавшись меню видов
операций для работы с документом. Работа с другими документами
происходит по аналогичному сценарию.
На данной схеме представлены процессы редактирования внутренних
справочников ИС и формирование отчетов. Пользователь взаимодействует с
ИС с помощью графического интерфейса. После авторизации в интерфейсе
ИС пользователю открываются права, установленные его ролью. После
авторизации пользователь или администратор может выбрать интересующий
его пункт действий из главного меню для вызова экранной формы
взаимодействия. Пользователь имеет права добавить или откорректировать
уже имеющиеся записи, или просто просмотреть уже имеющиеся документы.
Новые записи, а также корректировки уже имеющихся, попадают в базу
данных информационной системы и становятся активными для операций с
ними.