31
Руководство, касающееся управления безопасностью информационных
технологий. Часть 1. Концепции и модели безопасности информационных
технологий».[39]
На конкретной стадии задача защиты информационных технологий
сводится к выполнению частных подзадач: гарантия конфиденциальности,
целостности и доступности информации. Для данных подзадач необходимо
выработать некоторые решения, касающиеся организации взаимодействия
объектов и субъектов информационной системы.
К числу подобных решений следует относить методы:
1. Процедура аутентификации субъектов и объектов
информационного взаимодействия, которые предназначены для того, чтобы
предоставить взаимодействующим сторонам возможность убедиться в том,
что противоположная сторона на самом деле представляет собой того, кем
себя выдает;
2. Процедура шифрования информационных данных,
предназначенных для защиты сведений при перехвате ее третьими лицами;
3. Процедура контроля целостности, предназначенная для гарантии
того, чтобы сведения не была искажены или подменены;
4. Процедура управления доступом, предназначенная для того,
чтобы разграничить доступ к данным для ряда пользователей;
5. Процедура увеличения надежности и отказоустойчивости работы
системы, ориентированная для обеспечения гарантии осуществления
информационной системой базовых функций;
6. Процедура управления ключами, направленная на организацию
формирование, распространение и применение ключей субъекта и объекта
информационной системы для того, чтобы создать требующийся базис для
процессов аутентификации, шифрования, контроля подлинности и
управления доступом.[40]
В ходе анализа способов оценки качества ПО и приемов
32
формирования систем его защиты, был сделан вывод:
1. Системы защиты в значительной степени отличаются друг от
друга в зависимости от характера осуществляемых в них алгоритмов.
2. Системы защиты могут быть разбиты на подсистемы, которые
являются схожими по функциональному признаку.
3. Ряд показателей качества системы защиты отличаются
специфическими особенностями, которые не позволяют осуществить их
оценку посредством методов оценки качества ПО общей направленности.
4. Системы защиты отличаются показателями качества, которые
схожи по характеру с качественными показателями ПО общей
направленности, которые могут оцениваться посредством методов оценки
качества ПО общей направленности.
5. В процессе оценки качества защиты того или иного ПО следует
изучать не только используемую в ней систему защиты, а также систему
«защищаемое ПО - система защиты ПО» в совокупности.[38]
Необходимо понимать, что качество системы защиты ПО представляет
собой комплекс потребительских свойств системы защиты ПО, отражающих
ее способность к удовлетворению потребностей пользователя по защите ПО.
Надежность ПО заключается в его способности к выполнению
заданных функций в соответствии с программной документацией с учетом
появления отклонения в рабочей среде, которые могут быть вызваны сбоем в
работе технических средств, ошибкой во входной информации, ошибкой в
обслуживании или иными негативными воздействиями. В использовании
защитных систем программного обеспечения негативными воздействиями
принято также считать попытки взлома защитной системы. Следовательно,
показатели надежности такой системы отражают ее способность к
выполнению собственных функции при наличии негативных факторов. Ряд
показателей качества программного обеспечения из наиболее
распространенной номенклатуры не дают возможности оценить качество
33
защитной системы.
К подобным показателям можно отнести:
1. Сложность.
Защищенность алгоритма деятельности системы защиты программного
обеспечения отражает уровень сложности понимания алгоритма работы
защитной системы ПО. В связи с тем, что данный параметр имеет
взаимосвязь с показателем сложности ПО, то логично защитить алгоритм
работы защитной системы ПО путем его представления в виде соотношения
сложности алгоритма функционирования системы без учета защитных
средств и сложности алгоритма работы системы с учетом средств защиты.
Кроме того, следует определить методику, которая наилучшим образом
подойдет необходимо выбрать подходящую методику оценки сложности для
оценки. Таковой по праву считается метрика Холстеда и ее параметр,
который называется потенциальным объемом программы.
2. Уровень интегрированности защитной системы с защищаемым
программным обеспечением.
Остальные показатели качества защитной системы программного
обеспечения подразумевают оценку способами, которые аналогичны для ПО
общего назначения.
К числу показателей универсальности защитных систем ПО
необходимо относить:
1. Гибкость. По отношению к защитным системам ПО под
гибкостью следует понимать возможность использования защитных систем
совместно с различными видами программного обеспечения. Необходимую
гибкость защитной системы ПО следует обеспечить еще на этапе
технического задания по его разработке. Указанный показатель обладает
огромных значением в ходе качественной оценки систем защиты навесного
типа.
2. Мобильность защитных систем программного обеспечения.
34
3. Степень мобильности защитных систем программного
обеспечения, как правило, определяется видом оцениваемой системы и
методом ее разработки. Так, разные защитные методы, касающиеся
отладчиков и дизассемблеров, чаще всего, совершенно непереносимы, а их
использование в защитной системе снижают показатель мобильности. Таким
образом, для того, чтобы оценить мобильность защитных систем
программного обеспечения, могут быть использованы все перечисленные
приемы.
4. Модифицируемость защитных систем программного
обеспечения. Данный показатель отличается таким же свойствами, что и у
ПО обычной направленности. В качестве исключения могут быть названы
ситуации, при которых происходит сознательное усложнение осуществления
алгоритма с целью затруднения его понимания. Соответственно, оценка в
данном случае возможна только приемами, которые аналогичны для ПО
общего назначения.[16,с464]
Необходимо понимать, что компьютерная программа может
рассматриваться с разных точек зрения. С одной стороны, она представляет
собой алгоритм, который она призвана реализовать. С другой стороны, это
череда различных команд процессора, а также файл, который содержит в
себе последовательность байтов. Совокупность таких определений
формируют иерархию моделей компьютерных программ. Следует выбрать
модель определенного уровня, а также метод, которым она будет
представлена. Кроме того, важно, чтобы модель РПС и программы
задавались одинаковым методом, применяя понятия одного уровня.
Еще одной значимой проблемой считается формирование формальных
моделей программ, или конкретных классов РПС. Механизм формирования
отношения между программой и РПС характеризуется методом
представления модели. Задача создания обобщенной модели гарантии
безопасности информационных данных, систем защиты ПО и защищаемого
35
объекта является предметом дальнейших научных исследований.
Модель угроз технологической безопасности программного
обеспечения должна являться нормативным документом, которым будут
руководствоваться заказчики и создатели программных комплексов при
формировании программного обеспечения.
В виде приложения к модели стоит разрабатывать банк сведений,
касающийся РПС, которые были выявлена, а также описание связанных с их
поиском обстоятельств, которые со временем могут пополняться и
уточняться.
Основой модели может являться схема возможных угроз, стандартный
вид которой по отношению к ПО КС отражается в приложении А.
Создание моделей угроз безопасности ПО компьютерной сети
представляет собой один из наиболее значимых этапов комплексного реше-
ния проблемы гарантия безопасности информационных технологий, который
на стадии создания компьютерной сети отличается от создания таких
моделей для стадии их использования.
Существенная разница в подходах к синтезу моделей угроз
технологической и эксплуатационной безопасности программного
обеспечения состоит в разнообразии мотивационных установках поведения
возможного злоумышленника, а также разнообразии принципов, методов и
средств влияния на ПО на разных стадиях его жизненного цикла.
36
ГЛАВА 2. АНАЛИЗ ИНФОРМАЦИОННОЙ СЗИ НА
ПРЕДПРИЯТИИ ООО «ДЕСТЕНИ МЕДИА»
2.1. Краткая характеристика предприятия ООО «ДЕСТЕНИ МЕДИА»
Группа компаний ООО «ДЕСТЕНИ МЕДИА» работает в области
компьютерных технологий более 15 лет. Компания - одна из лидирующих
компаний на рынке информационных технологий. Компания продуктивно и
высокоэффективно развивается на рынке информационных технологий и
предлагает клиентам высококвалифицированный
программ
сервис.
ООО «ДЕСТЕНИ МЕДИА» обладает
компания
высокопрофессиональным
составом
программных
сотрудников, имеющих
лучшие
специальное образование,
группа
огромный
плодотворный
информационных
опыт и технические
группа
навыки в сфере информационных
прямыми
технологий.
Успешность деятельности ООО «ДЕСТЕНИ МЕДИА», стратегия
области
деятельности и развития
реализацией
основана и подкрепляется
технические
культурой производства,
рынке
качеством сервиса,
таких
высокопрофессиональным персоналом,
группа
прямыми
долгосрочными
компания
сервисными контрактами
прямыми
с предприятиями работающими
предлагает
в
области компьютерных
лидирующих
технологий.
Отдел поставок оказывает квалифицированную помощь в подборе и
занимается реализацией широчайшего спектра компьютерного
оборудования, сетевого оборудования, серверов, комплектующих, расходных
и сопутствующих материалов на ИТ рынке уже 15 лет. ООО «ДЕСТЕНИ
МЕДИА» работает с продукцией многих всемирно известных брендов, таких
как: In-Win, LinkWorld, Titan, Asus, MSI, Palit, Gigabyte, Samsung, XFX,
Albatron, GeCube, AsRock, Kingston, FSP, Seagate, Acer, Toshiba (ноутбуки),
APC, ASUS, BenQ, Canon, Dell, HP, LG и многие другие. Наличие прямых
контрактов с дистрибьюторами гарантируют партнерам компании лучшие
цены и гибкие условия поставок.
37
Сертифицированные специалисты оказывают квалифицированную
помощь в подборе программ лицензирования, консультации по вопросам
программного обеспечения.
ООО «ДЕСТЕНИ МЕДИА» предлагает огромный спектр программных
продуктов фирм Microsoft, ESET, Symantec, DrWeb, Entensys, McAfee,
Лаборатории Касперского, Abbyy Software, Adobe и многих других. При
выборе поставщика ориентируется, в первую очередь, на установление
долгосрочных отношений, что может гарантировать лучшие коммерческие
условия для партнеров.
Общая схема главного подразделения предприятия ООО «ДЕСТЕНИ
МЕДИА» представлена на рисунке 3.[35]
Рисунок 3 Общая схема организационной структуры предприятия ООО
«ДЕСТЕНИ МЕДИА»
ООО «ДЕСТЕНИ МЕДИА» состоит из множества отделов,
специализирующихся в определенной среде. Поэтому информационная
система представляет собой комплекс узкоспециализированных программ,
Директор
Диспетчерская
сۡлуۡжбۡа
Научно-
исследовательский
отۡдеۡл
Бухгалтерия
Заместитель
дۡиреۡкторۡа
Главный
дۡисۡпетчер
Диспетчеры
Юристы
Информационные
сۡпеۡцۡиۡаۡлۡистۡы
Главный
буۡхۡгۡаۡлтер
Бухгалтеры
Главный
фۡиۡнۡаۡнсۡист
38
таких как:
1. 1С:Предприятие (База данных, автоматизации деятельности на
предприятия);
2. 1С:Конфигуратор (СУБД 1С);
3. Консультант Плюс (Законодательство, кодексы и законы РФ);
4. СТМ Сервис (Система управления программным обеспечением);
5. Citrix (Виртуализация и построение компьютерных сетей).
Инфраструктура сети ООО «ДЕСТЕНИ МЕДИА» включает в себя
использование технологий удаленного доступа (Рисунок 4), тонкого клиента
и виртуальной сети.
Рисунок 4 Удаленный доступ (Remote Desktop) ООО «ДЕСТЕНИ
МЕДИА»
Виртуальная инфраструктура ООО «ДЕСТЕНИ МЕДИА» представляет
собой следующее:
- Автоматизированное резервное копирование ресурсов.
- Виртуализация компьютера под архитектуру x86.
- Создание множества пользователей удаленным рабочим столом.
- Создание групп пользователей с возможностью установки прав
доступа и последующей корректировки.
- Виртуализация отдельных приложений для конкретных
39
пользователей
- Создание точек аварийного восстановления пользователей сетевой
системы.(Рис.5)
Рисунок 5 Общая схема информационной системы ООО «ДЕСТЕНИ
МЕДИА»
В настоящее время предприятие ООО «ДЕСТЕНИ МЕДИА»
использует следующее оборудование:
- Источник бесперебойного питания - APC Smart 1000VA [SUA1000I];
- Центральный коммутатор - Cisco Catalyst 3000 Series Switches;
- Сервер - Intel Server P4000FP;
- Файловый массив - SI-1349RUS3;
- Массив резервного копирования - WD 3 TB [WDBAAU030HBK].
База данных, используемая на предприятие ООО «ДЕСТЕНИ МЕДИА»
представляет собой распределенную систему, имеющую древовидную
структуру, в которой существует корневой узел и определено отношение
"главный - подчиненный" для каждой пары связанных узлов (Рисунок 6).
40
Рисунок 6 Узловая схема БД
Внесение изменений в конфигурацию такой БД возможно только в
одном (корневом) узле распределенной системы и они передаются от
главного узла к подчиненным. При этом изменять данных можно в любом
узле системы и эти изменения передаются между любыми связанными
узлами.
2.2. Анализ финансовых показателей деятельности предприятия
Основные экономические показатели работы ООО «ДЕСТЕНИ
МЕДИА» в динамике за три года представлены в таблице 1.
Таблица 1 Основные показатели финансово-хозяйственной
деятельности ООО «ДЕСТЕНИ МЕДИА» в 2014-2016 г.г. тыс.руб.
Показатели
2014г.
2015г.
2016г.
Абс. откл. (+,-),
тыс. руб.
Темп
прироста, %
2015г.к
2014г.
2016г.к
2015г.
2015г.к
2014г.
2016г.к
2015г.
1. Выручка, тыс.
руб
132151
139397
76211
+7246
-63186
105,48
54,67
2. Полная
себестоимость,
тыс. руб.
298652
607286
751158
308634
143872
203,34
123,69
3. Прибыль от
продаж, тыс. руб
8260
17885
142
+9625
-17743
216,53
0,79
4.Чистая
прибыль, тыс. руб
145
5090
332
+4945
-4758
3510,3
6,52