4. ПУБЛИКАЦИЯ WEB-РЕСУРСОВ В СЕТИ «ИНТЕРНЕТ»

Для публикации вашего web-ресурса в сети «Интернет» необходимо загрузить его на хостинг. Хостинг (англ. hosting — размещающий) — услуга по предоставлению ресурсов для размещения информации на сервере, постоянно находящемся в сети.

Обычно хостинг входит в пакет по обслуживанию сайта и подразумевает услугу размещения файлов сайта на сервере, на котором запущено ПО, необходимое для обработки запросов к этим файлам (web-сервер). Хостинг базы данных, размещение файлов, хостинг электронной почты, услуги DNS могут предоставляться отдельно как самостоятельные услуги либо входить в комплексную услугу. Хостинг может быть как платным, так и бесплатным.

DNS (англ. Domain Name System — система доменных имен) — компьютерная распределенная система для получения информации о доменах, которая используется для получения IP-адреса по имени хоста (компьютера или устройства), получения информации о маршрутизации почты, обслуживающих узлах для протоколов в домене.

Распределенная база данных DNS поддерживается с помощью иерархии DNS-серверов, взаимодействующих по определенному протоколу.

Основой DNS является представление об иерархической структуре имени и зонах. Каждый сервер, отвечающий за имя, может делегировать ответственность за дальнейшую часть домена другому серверу (с административной точки зрения — другой организации или человеку), что позволяет возложить ответственность за актуальность информации на серверы различных организаций, отвечающих только за конкретную «свою» часть доменного имени.

Одним из старейших прикладных протоколов передачи файлов по сети является FTP (англ. File Transfer Protocol — протокол передачи файлов).

Протокол построен на архитектуре «клиент – сервер» и использует разные сетевые соединения для передачи команд и данных между клиентом и сервером. Пользователи FTP могут пройти аутентификацию, передавая логин и пароль открытым текстом, или же, если это разрешено на сервере, подключаться анонимно.

TFTP (англ. Trivial File Transfer Protocol — простой протокол передачи файлов) используется главным образом для первоначальной загрузки бездисковых рабочих станций. TFTP,

вотличие от FTP, не содержит возможностей аутентификации (хотя возможна фильтрация по IP-адресу).

Для безопасной передачи, скрывающей (шифрующей) логин и пароль, а также шифрования содержимого используется протокол SSH (англ. Secure SHell — безопасная оболочка) — сетевой протокол прикладного уровня, позволяющий производить удаленное управление операционной системой.

ВИнтернете базовым протоколом считается протокол TCP / IP (совместная работа двух протоколов — IP и TCP).

TCP / IP — сетевая модель передачи данных, представленных в цифровом виде. Модель описывает способ передачи данных от источника информации к получателю. В модели предполагается прохождение информации через четыре уровня, каждый из которых описывается правилом (протоколом передачи). Наборы правил, решающих задачу по передаче данных, составляют стек протоколов передачи данных, на которых базируется Интернет. Название TCP / IP происходит из двух важнейших протоколов семейства — Transmission

Control Protocol (TCP) и Internet Protocol (IP), которые были первыми разработаны и описаны

вданном стандарте.

Вместе с тем, если ресурс представляет собой статические HTML-страницы, можно воспользоваться бесплатными сервисами, например таким, как GitHub Pages.

Приведем пример по использованию данного сервиса. Для начала создадим аккаунт на

GitHub (рис. 12).

18

5. ПРИНЦИПЫ БЕЗОПАСНОСТИ ПРИ РАБОТЕ В ОТКРЫТОМ ПРОСТРАНСТВЕ СЕТИ «ИНТЕРНЕТ»

Большая часть нарушений безопасности происходит внутри локальной сети, но эти нарушения могут быть пресечены администратором сети. Наибольшую опасность представляют попытки нарушения безопасности из Интернета. В любой момент может быть произведена попытка нарушить существующие системы безопасности, поэтому при работе с ресурсами в сети «Интернет» следует принимать и соблюдать некоторые меры безопасности, к которым относится:

−применение прокси-серверов, брандмауэров, файрволов;

−применение антивирусных продуктов и других средств выявления вредоносных программ;

−обнаружение попыток вторжения;

−фильтрация трафика HTTP;

−сбор данных о работе пользователей и др.

Рассмотрим некоторые рекомендации к этим принципам, которые позволят существенно обезопасить web-ресурс.

Ограничение доступа к контенту. Необходимо ограничивать права пользователей по добавлению, редактированию контента. Настроить политику прав учетных записей.

Анализ контента. Необходимо анализировать добавляемый контент от пользователей, чтобы исключить возможность загрузки вредоносных файлов, SQL-инъекций и т.п.

Антивирусная защита. Антивирусная программа — специализированная программа для обнаружения компьютерных вирусов, а также нежелательных (считающихся вредоносными) программ и восстановления зараженных (модифицированных) такими программами файлов и для профилактики — предотвращения заражения (модификации) файлов или операционной системы вредоносным кодом. Антивирусные системы ориентированы на решение следующих задач:

−сохранность данных;

−защита информации от утечки;

−обеспечение стабильности информационных систем;

−защита компьютерных сетей и серверов.

Для защиты от вирусов используют три группы методов:

1)к м етодам, основанным на анализе содержимого файлов (как файлов данных, так и файлов с кодами команд, относятся сканирование сигнатур вирусов, а также проверка целостности и сканирование подозрительных команд;

2)методы, основанные на отслеживании поведения программ при их выполнении, заключаются в протоколировании всех событий, угрожающих безопасности системы и происходящих либо при реальном выполнении проверяемого кода, либо при его программной эмуляции;

3)методы регламентации порядка работы с файлами и программами относятся к административным мерам обеспечения безопасности.

Не следует пренебрегать современными антивирусными продуктами и не забывать их регулярно обновлять.

Файрволы (firewall). Необходимо настроить политику доступа к серверу вашего web-

ресурса.

Сookie-файлы — небольшой фрагмент данных, отправленный веб-сервером и хранимый на компьютере пользователя. Веб-клиент (обычно веб-браузер) всякий раз при попытке открыть страницу соответствующего сайта пересылает этот фрагмент данных веб-серверу в составе HTTP-запроса. Применяется для сохранения данных на стороне пользователя, на практике обычно используется для:

20

−аутентификации пользователя;

−хранения персональных предпочтений и настроек пользователя;

−отслеживания состояния сеанса доступа пользователя;

−сведения статистики о пользователях.

Предусмотрите возможность защиты от подмены сookie-файлов — процесса изменения содержимого cookie. Хотя теоретически cookie должны сохраняться и отправляться назад на сервер неизменными, злоумышленник может изменить их содержимое перед отправкой.

Для защиты от подобных атак большинство веб-сайтов хранит в cookie лишь идентификатор сессии — случайно сгенерированное число или набор символов, используемых для определения сессии, в то время как вся другая информация хранится на сервере. В этом случае подмена cookie значительно затрудняется.

Сбор информации о пользователе. Одним из наиболее важных аспектов веббезопасности является возможность отслеживать, что происходит на сайте. Для эффективной работы необходимо реализовать журнал активности, чтобы отслеживать все изменения. Собранная информация поможет не только выявить потенциальные уязвимости и заметить подозрительное поведение, но и устранить технические проблемы и ошибки.

Таким образом, следует вести журнал активности пользователей web-ресурса, который представляет собой список событий или обновлений, обычно относящихся к веб-сайту. Иногда такой список упоминается как «контрольный журнал» или «журнал аудита».

Протоколы защищенной передачи данных. Необходимо всю пользовательскую информацию передавать по защищенным протоколам с шифрованием.

Аутентификация. Следует настроить систему аутентификации пользователей — проверку, действительно ли проверяемый пользователь является тем, за кого он себя выдает. Различные методы аутентификации необходимы фактически во всех системах ограничения и разграничения доступа к данным — как распределенных, так и предназначенных для защиты отдельного компьютера.

Паролирование. Все учетные записи должны быть защищены сложными паролями. Восстановление пароля. Не забудьте настроить сервис, который позволит защититься

от подбора паролей к учетным записям. Подключите двухфакторную систему восстановления пароля.

Конечно, эти меры не гарантируют 100 %-ю безопасность, но они существенно увеличивают надежность web-ресурса.

Практическое задание 5

Руководствуясь принципами безопасности, настройте прототип информационной системы.

Темы для самостоятельного изучения

1.SSL-сертификация для web-ресурса.

2.Виды криптографического шифрования.

Вопросы для самоконтроля

1.Что такое cookie-файлы?

2.Что такое firewall?

3.В чем отличие анонимности от конфиденциальности?

4.Что такое антивирус?

21