Обеспечение безопасности в системе пакетного веб-транспорта Текст научной статьи по специальности «Компьютерные и информационные науки»

ний об инцидентах информационной безопасности необходимо формировать в Ж-мерном пространстве признаков (рис. 2).

Рис. 2. Схема интеллектуального пространства

Библиографическая ссылка

1. Тузовский А. Ф., Чириков С. В., Ямпольский В. З. Системы управления знаниями (методы и технологии). Томск : Изд-во НТЛ, 2005. 260 с.

При обнаружении нового инцидента информационной безопасности в информационной системе будет осуществляться поиск корреляции знаний с инцидентами, зарегистрированными в базе, после чего на основании полученных данных будет осуществляться планирование стратегии реагирования, прогнозирование развития данного инцидента и определение возможных последствий (рис. 3).

Результатом работы является модель онтологии предметной области и модельно-алгоритмическое обеспечение системы поддержки принятия решений при разрешении и управлении инцидентами информационной безопасности в целом.

Таким образом, разработанная модель управления знаниями об инцидентах информационной безопасности позволит автоматизировать процесс решения подобного класса задач и оптимизировать процесс управления инцидентами информационной безопасности в целом. Создание программного обеспечения на базе предложенной модели позволит повысить эффективность работы экспертов в сфере информационной безопасности.

Reference

1. Tuzovskii A. F., Chirikov S. V, Yampolsky V Z. Sistemy upravleniya znaniyami (metody i tekhnologii) (Knowledge management systems (methods and technologies)). Tomsk, NTL, 2005. 260 p.

© KaraneB A B., 2014

Рис. 3. Концептуальная схема системы

УДК 004.56

ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ В СИСТЕМЕ ПАКЕТНОГО ВЕБ-ТРАНСПОРТА

Д. Д. Кононов

Институт вычислительного моделирования СО РАН Российская Федерация, 660036, г. Красноярск, Академгородок, 50/44 E-mail: [email protected]

Представлено краткое описание системы пакетного веб-транспорта ptransport, предназначенной для передачи данных по закупкам для муниципальных организаций города Красноярска. Приведены основные методы обеспечения безопасности. Описаны основные характеристики программного обеспечения.

Ключевые слова: Интернет, web, транспорт, безопасность.

Методы и средства защиты информации

SECURITY IN WEB-BASED PACKAGE TRANSPORT SYSTEM

D. D. Kononov

Institute of Computational Modeling SB RAS 50/44, Akademgorodok, Krasnoyarsk, 660036, Russian Federation Е-mail: [email protected]

The brief description of web-based package transport system for exchanging procurement information for municipal organizations of Krasnoyarsk city is presented. Main security aspects are given. The main features of presented software are described.

Keywords: Internet, web, transport, security.

В настоящее время активно развиваются системы для поддержки информационных процессов органов государственной и муниципальной власти. Существует законодательная база (ФЗ-44), предписывающая осуществлять информационный обмен посредством сети Интернет.

Является актуальной защита информации при передаче данных через открытые сети, в том числе Интернет. Согласно исследованию Kaspersky Security Bulletin за 2013 год [1], 91 % опрошенных организаций в мире минимум один раз в течение года подвергались кибератаке. Основным странами-источниками веб-атак за 2013 год являются США (25,54 %), Россия (19,44 %), Нидерланды (12,80 %) и Германия (12,51 %). Также ввиду активной информатизации населения Россия относится к группе повышенного риска по заражению через Интернет (41-60 %).

В связи с активным развитием информационных технологий в органах государственной и муниципальной власти широко внедряются программные системы, осуществляющие сбор и обработку информации, связанной с актуальными задачами органов власти. Одной из таких систем в городе Красноярске является Автоматизированная система поддержки процессов планирования и размещения муниципального заказа (АСП МЗ) [2]. В задачи системы входит сбор и формирование реестра муниципальных потребностей, согласование документации по закупкам, размещение извещений о закупках на общероссийском официальном сайте, взаимодействие с федеральными торговыми площадками и ведение реестра муниципальных контрактов. В муниципальных учреждениях города Красноярска установлены входящие в систему автоматизированные рабочие места, которые используются специалистами по закупкам для выполнения своих должностных обязанностей. Эти автоматизированные рабочие места активно обмениваются данными с уполномоченным органом (УО), а также главными распорядителями бюджетных средств (ГРБС). Передача данных между узлами осуществляется через промежуточный шлюз, выполняющий транспортные функции.

Для решения задач обмена данными на промежуточном шлюзе разработан и реализован пакетный транспортный протокол ptransport, который осуществляет обмен данными между муниципальными организациями, обеспечивает целостность и защиту информации согласно установленным политикам безо-

пасности. Протокол позволяет обмениваться информацией по муниципальным закупкам, обновлениям справочников, реестров, а также программному обеспечению. Протокол позволяет встраивать средства электронной подписи для контроля целостности пересылаемых данных.

Согласно OWASP Top Ten 2013 [3] самыми опасными угрозами для веб-приложений являются: инъекции кода и данных, проблемы аутентификации и управления сессиями пользователей, межсайтовое выполнение сценариев (Cross-Site Scripting - XSS), небезопасные прямые ссылки, ошибки при конфигурировании, раскрытие важных данных, недостаточный контроль доступа пользователей, межсайтовая подделка запроса (Cross-Site Request Forgery - CSRF), использование уязвимых компонентов и библиотек, непроверенные перенаправления и ссылки. Задача обеспечения безопасности требует применения комплексных мер в различных областях, касающихся функционирования веб-приложений.

Комплекс мер по обеспечению информационной безопасности шлюза с системой ptransport можно разделить на следующие категории: 1) административные (разработка и внедрение мер по защите); 2) организационные (организация работы сотрудников, обсуживающих систему); 3) программно-технические (реализация методов защиты на программно-аппаратной платформе).

Программно-технические меры применяются для защиты следующих компонентов веб-приложения: системное программное обеспечение, веб-сервер, хранилище данных, язык программирования, сторонние компоненты и библиотеки, программный код системы. На программном уровне информационная безопасность обеспечивается следующими мерами: аутентификация и авторизация зарегистрированных пользователей, разграничение прав доступа на основе заданной модели безопасности, использование средств фильтрации данных, шифрование трафика, ведение журнала всех значимых операций. Осуществляется регулярный мониторинг состояния системы для выявления нештатных ситуаций.

В системе ptransport в качестве модели безопасности используется расширенная ролевая модель безопасности RBAC, адаптированная для веб-приложений [4]. Пользователи группируются по следующим ролям: муниципальная организация (МО), главный распорядитель бюджетных средств (ГРБС), уполномо-

ченный орган (УО), администраторы системы. Привилегии ролей сопоставлены различным частям программного интерфейса (API) протокола ptransport. Использование данной модели безопасности позволяет гибко разграничивать права доступа.

Разработанная система имеет клиент-серверную архитектуру. В качестве клиентов используются программное обеспечение АИС «Муниципальный заказчик» и АИС «Мониторинг движения документов», входящие в состав АСП МЗ. Данные программные комплексы обеспечивают подготовку, формирование и согласование документации по закупкам для муниципальных организаций. Программное обеспечение сервера шлюза работает под управлением операционной системы Microsoft Windows Server с использованием Internet Information Services (IIS). Система использует реляционную СУБД PostgreSQL.

Реализованная система успешно решает поставленные задачи. В системе используется комплекс мер для обеспечения информационной безопасности. В настоящее время система ptransport находится в режиме промышленной эксплуатации и используется в составе комплекса АСП МЗ для поддержки процессов планирования и осуществления закупок для муниципальных нужд города Красноярска. За 2013 г. с помощью системы проведено 3 360 процедур на общую сумму более 12 млрд руб., при этом экономия бюджета составила 1,3 млрд руб. Использование системы позволяет повысить эффективность работы органов муниципального управления, а также обеспечивает прозрачность на всех этапах формирования бюджета муниципальных организаций города Красноярска.

Библиографические ссылки

1. Kaspersky Security Bulletin 2013. Основная статистика [Электронный ресурс]. URL: http://media.

kaspersky.com/pdf/KSB_2013_RU.pdf (дата обращения: 10.09.2014).

2. Щербенин В. Ф. [и др.] Комплексная автоматизированная поддержка подготовки, размещения и контроля муниципальных заказов // Проблемы информатизации региона : материалы 10-й Всерос. науч.-практ. конф. В 2 т. Т. 1 / Сиб. федер. ун-т ; Политехн. ин-т. Красноярск, 2007. С. 3-11.

3. Open Web Application Security Project Top 10 2013 [Электронный ресурс]. URL: https://www.owasp.org/ index.php/Top_ 10_2013 (дата обращения: 10.09.2014).

4. Кононов Д. Д., Исаев С. В. Модель безопасности кроссплатформенных веб-сервисов поддержки муниципальных закупок // Прикладная дискретная математика. Приложение. 2011. № 4. С. 48-50.

References

1. Kaspersky Security Bulletin 2013. Overall statistics [Electronic resource]. URL: http://media.kaspersky.com/pdf/KSB_2013_EN.pdf (access date: 10.09.2014).

2. Sherbenin V. F., Luzan N. F., Nozhenkova L. F., Isaeva O. C., Zhuchkov D. V. Integrated automated support for planning, placement and control of municipal orders. Proc. of the 10-th all-Russian scientific practical conference Problems of Informatization of the region in 2 volumes, vol. 1, Krasnoyarsk, Sib. Feder. Un-t, Politech. in-t, 2007, p. 3-11.

3. Open Web Application Security Project Top 10 2013 [Electronic resource]. URL: https://www.owasp.org/ index.php/Top_ 10_2013 (access date: 10.09.2014).

4. Kononov D. D., Isaev S. V. The security model of cross-platform web services for municipal procurement support. Discrete applied mathematics, appendix, 2011, no. 4, p. 48-50.

© Кононов Д. Д., 2014

УДК 004.056

О ПРИМЕНЕНИИ НЕЧЕТКОГО ОТРИЦАТЕЛЬНОГО ОТБОРА ДЛЯ ОБНАРУЖЕНИЯ ИНЦИДЕНТОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В МНОГОПАРАМЕТРИЧЕСКИХ СИСТЕМАХ*

Н. А. Коромыслов

Сибирский государственный аэрокосмический университет имени академика М. Ф. Решетнева Российская Федерация, 660014, г. Красноярск, просп. им. газ. «Красноярский рабочий», 31

E-mail: [email protected]

Рассматриваются модификации алгоритма отрицательного отбора при помощи многоуровневого подхода -использования записей об угрозах в качестве детекторов и нечеткой логики для эффективного применения его в системах со многими параметрами.

Ключевые слова: искусственные иммунные системы, алгоритм отрицательного отбора, нечеткая логика, защита информации.

*Исследование выполнено при финансовой поддержке РФФИ в рамках научного проекта № НК 13-07-00222\14 от 12.03.2014 г.