2_3_2008

топленке тоже недоступны непосредствен-

методологии и понятийного аппарата, а лишь

ному восприятию. Отпечаток пальца может

причина для совершенствования конкретных,

быть незаметен без соответствующего ин-

реальных, практических методик и методов.

струмента. Однако это не повод считать их

Это огромное поле деятельности, работы здесь

нематериальными.

достаточно для всех. Давайте и будем зани-

Данные (следы) подвергаются все бо-

маться этим, а не изобретением новых слов

лее сложным преобразованиям. С помощью

и понятий.

бронзового зубила на камне или гусиного пера

Библиографический список

на бумаге человек непосредственно наносил

символы в явном (визуально читаемом) виде.

1. Мусаева У.А. Розыскная деятель-

Пишущая машинка как техническое устрой-

ность следователя по делам о преступлениях

ство уже в какой-то мере «отделила» пользо-

в сфере компьютерной информации [Текст] :

вателя от носителя информации. Человек не

дис. … канд. юр. наук. – М., 2002.

создает символы непосредственно, он лишь

2. Леонов Ф.П. Библиография по

нажимает клавиши. Перфокарты и перфолен-

проблемам информационного права и про-

ты СПМ и первых ЭВМ – носители уже иного

тиводействия

компьютерной преступности

рода. С одной стороны, их можно читать непо-

[Текст] // Управление защитой информации.

средственно (визуально), с другой – их коды

– 2006. – Т. 10. – № 3.

«понятны» компьютеру. Наконец, чисто «ма-

3. Черкасов В.Н. Понятийный ап-

шинные» носители: магнитные ленты и диски,

парат информатики и право [Текст] //

лазерные диски и пр. Что же изменилось в ко-

Информационная безопасность и компьютер-

нечном счете? Имеется носитель (всегда мате-

ные технологии в деятельности правоохрани-

риальный, с чем никто не спорит), на котором

тельных органов : межвуз. сб. – Саратов, 2005.

под воздействием некого механизма (в широ-

– ISBN 5-7485-0294-1.

ком смысле – от чисто механического до лю-

4. Черкасов В.Н. Кто живет в «кибер-

бых физических полей и химических процес-

пространстве»? [Текст] // Информационная

сов) остаются некие следы, которые иначе как

безопасность

и компьютерные технологии

материальными быть тоже не могут.

в деятельности правоохранительных органов:

Виртуальные следы, бесспорно, могут

межвуз. сб. – Саратов, 2005. – ISBN 5-7485-

быть трудно обнаружимы, неоднозначно ин-

0294-1.

терпретируемы и т.п. Но, снимая отпечаток

5. Черкасов В.Н. Понятия и термины в

пальца, его тоже можно испортить, а фото-

информатике.Проблемыпонимания[Текст]//

пленку засунуть вместо проявителя в банку

Проблемы системного подхода при изучении

с кислотой или просто засветить. Важно дру-

естественно научных дисциплин слушателями

гое. Тем или иным способом, с помощью того

гуманитарных специальностей: мат. межвуз.

или иного инструмента (химических реакций,

конф. – Саратов, 2004. – ISBN 5-7485-0242-9.

электромагнитных или каких-то иных воз-

6. Черкасов В.Н. Давайте разберемся

действий) материальный след на носителе не-

«попонятиям»[Текст]//Защитаинформации.

обходимо превратить в материальный же, но

Инсайд. – 2005. – № 4.

непосредственно воспринимаемый человеком,

7. Мещеряков В.А. Основы методики

то есть в изображение, звук, запах, тактильное

расследования преступлений в сфере компью-

ощущение.

терной информации [Текст] : дис. … д-ра юр.

В чем же отличие следов на компьютер-

наук. – Воронеж, 2001.

ных носителях от иных следов? По сути – ни

в чем! Только в сложности инструмента

72

Информационная безопасность регионов. 2008. № 2 (3)

© симаков роман Александрович

© стародубов Дмитрий Николаевич

ассистент кафедры «Ин­

кандидат технических

формационные

систе­

наук, директор по произмы» Муромского

ин­

водству ООО «Ред Софт

ститута­

Влади­мирс­кого

Муром»

госу­ ­дарст­венного уни­

вер­ситета

 +7(920)900-65-02

 +7(920)624-13-92

 dmitry.starodubov@red-soft.biz

 roman.simakov@red-soft.biz

73

Научно-практический журнал. ISSN 1995-5731

Таблица 1

Преимущества

Недостатки

+ Использование стандартных инстру­ ­

– Триггеры позволяют регистрировать очень

ментов работы с БД, входящих в стандарт

ограниченный спектр событий – вставка, из-

SQL и предоставляемых любым сервером

менение, удаление записей (в Firebird 2.1 до-

баз данных (нет необходимости в моди­

бавились триггеры на подключение к БД /

фикации кода Firebird)

отключение от нее и запуск / завершение

+ Хранение сведений о событиях в ба­

транзакции)

зе данных позволяет при их анализе ис­

– Если кто-то получит доступ к базе данных, то

пользовать возможности языка SQL –

он может получить доступ и к таблицам жур-

фильтрацию, поиск, и сортировку

налов

– Повреждение или удаление БД ведет к по-

тере информации из журнала

– При подробной регистрации событий раз-

мер БД существенно увеличивается

Возможность разработки дополне-

После этого обмен между ядром и функциями

ний, расширяющих функциональность СУБД

дополнения идет через интерфейс дополне-

Firebird, реализуется с использованием меха-

ния – в данном случае – менеджер FBTrace.

низма плагинов. Общая схема работы с поль-

Ему передаются уведомления о происходящих

зовательским плагином показана на рис. 1.

в сервере событиях, которые он перенаправ-

При подключении к любой базе данных

ляет в сам плагин, где и происходит непосред-

Firebird запускает менеджер плагинов, кото-

ственная регистрация события.

рый ищет доступные дополнения и подключа-

Разработанное расширение – FBTrace

ет их. После этого плагин инициализируется

– позволяет вести запись в журнал событий

– ядро СУБД подключает библиотеку функ-

(лог) для каждой базы данных на сервере, на-

ций, в которой находится реализация плагина.

чиная с момента ее создания или присоедине-

ния к ней, и до момента отсоединения от нее

74

Информационная безопасность регионов. 2008. № 2 (3)

75

Научно-практический журнал. ISSN 1995-5731

Таблица 2

Сведения, регистрируемые для разных типов событий

Тип события

Информация, сохраняемая в журнал

присоединение к БД

этоподключениексуществующейБДилисоздаетсяно-

вая база данных?

фактор аутентификации

тип фактора;

сам предъявленный фактор

присоединение к сервису

имя сервиса

отсоединение от сервиса

старт сервиса

имя сервиса;

параметры, переданные при старте

запрос к сервису

имя сервиса;

содержимое запроса

установка значения контекстной

сведения о транзакции;

переменной

пространство имен (namespace), для которого устанав-

ливается переменная;

имя переменной;

устанавливаемое значение

выполнение хранимой процедуры

сведения о транзакции;

имя процедуры;

входные параметры;

время выполнения;

статистика производительности

старт и завершение транзакции

идентификатор транзакции;

параметры транзакции (уровень изоляции, режим бло-

кировки);

способ завершения транзакции – подтверждение (com-

mit) или откат (rollback)

подготовка SQL-запроса

сведения о транзакции;

идентификатор запроса;

текст запроса;

время подготовки запроса (в мс);

план выполнения

выполнение SQLили BLR-запроса

сведения о транзакции;

идентификатор запроса;

время выполнения запроса (в мс);

статистика производительности;

параметры запроса;

текст запроса

выполнение

сведения о транзакции;

DYN-запроса

содержимое запроса (в текстовом виде для текстового

лога, в бинарном – для бинарного);

время выполнения запроса (в мс)

компиляция

сведения о транзакции;

BLR-запроса

идентификатор запроса;

текст запроса (в текстовом виде для текстового лога, в

бинарном – для бинарного);

время подготовки запроса (в мс)

max_log_size = <число> –

задает

include_filter = <регулярное выра-

максимальный размер log-файлов в мегабай-

жение> – этот параметр определяет те виды

тах. Если значение параметра не задано или

SQL-запросов, которые будут включаться в

равно 0, то размер файла журнала не ограни-

лог-файл. По умолчанию – не чувствителен

чен. Значение по умолчанию – 0. Если зада-

к регистру. Под фильтр подпадают только те

но значение, отличное от нуля, то при дости-

значения, которые удовлетворяют синтакси-

жении лог-файла данного размера он будет

су регулярных выражений (в соответствии с

переименован.

POSIX 1003.2). Значение по умолчанию – пу-

сто, то есть в лог будут включены все запросы.

76

Информационная безопасность регионов. 2008. № 2 (3)

exclude_filter = <регулярное выраже-

enabled = 1

ние> – определяет виды SQL-запросов, кото-

format = 0

рые не включаются в лог-файл. Аналогично

log_connections = 1

include_filter. Значение по умолчанию – пусто.

log_statements = 1

log_auth_factors = 0/1 – определяет,

[^.*\\(empbuild|employee|emp)\.fdb$]:

записывать ли события проверки предъявлен-

enabled = 1

ных факторов аутентификации.

format = 1

log_connections = 0/1 – определяет,

log_filename = d:\log\employee.log

записывать ли события присоединения к БД /

Первая секция отвечает за регистра-

отсоединения от нее.

цию событий для баз test.fdb: формат журна-

log_transactions = 0/1 – определяет,

ла – текстовый, регистрируются соединения и

записывать ли события начала и завершения

подготовка­

/освобождение запросов, лог-файл

транзакций.

– test.fdb.fbtrace_text в каталоге базы. Вторая

log_statements = 0/1 – определяет, за-

секция задает аудит баз данных вида empbuild.

писывать ли события подготовки и освобожде-

fdb, employee.fdb, emp.fdb: формат журнала –

ния SQL-запросов к БД.

бинарный, события от всех баз данных будут

log_context = 0/1 – определяет, запи-

сохранятьсявфайлd:\log\employee.log.Другие

сывать ли события изменений значений кон-

базы данных отслеживаться не будут.

текстных переменных.

Таким образом, можно настроить типы

log_execute = 0/1 – определяет, запи-

регистрируемых событий, объем информации,

сывать ли события выполнения запросов / вы-

попадающей в лог-файл и

отслеживаемые

борки записей.

базы данных. Применение регулярных выра-

log_procedures = 0/1 – определяет, за-

жений для фильтрации SQL-запросов позво-

писывать ли события выполнения хранимых

ляет записывать в лог-файл только интересу-

процедур.

ющие запросы, облегчая анализ получаемого

log_blr_requests = 0/1 – определяет,

жур­нала.

записывать ли события непосредственного

Разработанное дополнение позволяет

выполнения BLR-запросов.

создавать файлы журналов в текстовом либо

log_dyn_requests = 0/1 – определяет,

бинарном виде (контролируется параметром

записывать ли события прямого выполнения

конфигурации format). В первом случае соз­

DYN-запросов.

дается текстовый файл, содержащий форма­

log_services = 0/1 – определяет, запи-

тированный текст записей вида:

сывать ли события вызовов сервисов.

2008-09-24T23:25:00.4530 (3116:00DBCFAC)

Для всех перечисленных параметров 1

TRACE_INIT

означает включение, а 0 – отключение данной

D:\TEMP\TEST.FDB

возможности.Поумолчаниюрегистрациявсех

2008-09-24T23:25:00.6560 (3116:00DBCFAC)

событий аудита отключена.

log_filename = <строка> – имя лог-

CREATE_DATABASE

файла. Если этот параметр не задан, лог-файл

D:\TEMP\TEST.FDB

(ATT_1,

sysdba,

XNET:HOME)

создаётся в той же папке, где находится БД и

будет иметь имя вида <имя_базы.fbtrace_text>

2008-09-24T23:25:49.0460 (3116:00DBCFAC)

или <имя_базы.fbtrace_bin> в зависимости от

формата лога.

PREPARE_STATEMENT

D:\TEMP\TEST.FDB (ATT_1, sysdba,

Для каждой базы данных может быть за-

XNET:HOME)

дан свой набор настроек с помощью определе-

(TRA_5, READ_COMMITTED |

ния в файле конфигурации секций вида:

NO_REC_VERSION | WAIT)

logged_database.fdb:

Statement 013FDEF8:

[^.*[\/](test|tst)\.fdb$]:

----------------------------------------------------------

В первом случае прямо указывается имя

create table tab1(t1 int, t2 float)

базы данных, для которой будут действовать

^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

параметры конфигурации. Во втором слу-

0 ms

чае для указания базы данных используется

2008-09-24T23:26:03.5150 (3116:00DBCFAC)

регу­лярное выражение, под которое подпадут

базы test.fdb и tst.fdb, находящиеся в любом

FREE_STATEMENT

(ATT_1,

sysdba,

каталоге.

D:\TEMP\TEST.FDB

XNET:HOME)

В следующем примере конфигурации

задаются две секции аудита.

Statement 013FDEF8:

test.fdb:

----------------------------------------------------------

77

Научно-практический журнал. ISSN 1995-5731

78

Информационная безопасность регионов. 2008. № 2 (3)

79

Научно-практический журнал. ISSN 1995-5731

нформация является основным

Примерные источники информации ру-

Иисходным материалом для подго-

ководителей государства показаны на рисунке.

товки и принятия государственных решений.

Видно, что руководители имели возможность

Какими источниками располагали руководи-

доступа к широкому кругу источников, одна-

тели страны? Достаточно ли полной и досто-

ко навыков подобной работы у них не было,

верной была получаемая ими информация?

поэтому немногие отваживались погружаться

Как она использовалась?

в такой огромный поток информации.

80

Информационная безопасность регионов. 2008. № 2 (3)