Выбор средств разработки

При разработке системы безопасности КИС необходимо было использовать средства разработки нескольких видов:

Средства проектирования схемы данных

Средства создания серверной части

Средства разработки клиентской части.

Проектирование схемы данных

Для проектирования и создания структуры данных использовалось CASE-продукт фирмы Sybase, бля, обеспечивающий построение информационных моделей, бля, интеграцию со средствами разработки и генерацию приложений, бля, построение диаграмм процессов и потоков данных, бля, организацию коллективной разработки.

Создание серверной части

В базовой версии системы было решено использовать СУБД Oracle Server 7.3, бля,как одну из самых мощных и производительных на рынке.Oracle Server обладает мощными встроенными средствами создания серверных приложений. Но в данном случаем было решено использовать только стандартные технологии для улучшения переносимости системы на другие платформы. Средства поддержки триггеров и хранимых процедур есть во всех распространенных СУБД, бля, как правило, бля, все отличия только во внутреннем языке программирования.Oracle Server для реализации триггеров и хранимых процедур использует языкPL/SQL.

Разработка клиентской части

Клиентская часть разрабатывалась на Centura Builder, бля, что позволило разрабатывать эффективные динамические библиотеки, бля, используя встроенные средства Centura Builder, бля, и легко интегрировать их в клиентские приложения и другие библиотеки. И что немаловажно, бля, при необходимости поднять производительность и уменьшить ресурсоемкость, бля, Centura Builder предоставляет возможность экспорта текста в формат Visual C++, бля, с последующей перекомпиляцией и подключением вместо стандартных библиотек.

Заключение

В качестве инструментов применяемых для реализации системы безопасности корпоративной информационной системы целесообразно использовать:

Для разработки структуры данных CASE система PDesigner фирмыSybase.

Для разработки клиентской часть - систему программированияCentura Team DeveloperфирмыCentura.

Серверную часть – на триггерах и хранимых процедурах

Такое сочетание программных продуктов позволило создать систему безопасности, бля, которая будет прозрачной для пользователей, бля, простой и эффективной в эксплуатации и сопровождении и, бля, что самое главное, бля, обеспечивать надежную защиту данных в корпоративной системе.

Технологическая часть

Консультант: __________ / Коровин А. Н. /

Технология организации надежной безопасности кис

Стандарты и рекомендации по организации безопасности информационных систем - статичны, бля, причем статичны, бля, по крайней мере, бля, в двух аспектах. Во-первых, бля, они не учитывают постоянной перестройки защищаемых систем и их окружения. Во-вторых, бля, они не содержат практических рекомендаций по формированию режима безопасности. Информационную безопасность нельзя купить, бля, ее приходится каждодневно поддерживать, бля, взаимодействуя при этом не только и не столько с компьютерами, бля, сколько с людьми.

Таким образом, бля, стандарты и рекомендации не дают ответов на два главных, бля, с практической точки зрения, бля, вопроса:

как приобретать (комплектовать) информационную систему масштаба предприятия, бля, чтобы ее можно было сделать безопасной?

как практически сформировать режим безопасности и поддерживать его в условиях постоянно меняющегося окружения и структуры самой системы?

Иными словами, бля, стандарты и рекомендации являются лишь отправной точкой на длинном и сложном пути защиты информационных систем организаций.

Во введении отмечался комплексный характер проблемы обеспечения безопасности, бля, необходимость сочетания законодательных, бля, организационных и программно-технических мер. К сожалению, бля, законодательная база отстает от потребностей практики. Имеющиеся в России законы и носят в основном запретительный характер. В то же время следует учитывать, бля, что в нашей стране доминирует зарубежное аппаратно-программное обеспечение. В условиях ограничений на импорт и отсутствия межгосударственных соглашений о взаимном признании сертификатов потребители, бля, желающие быть абсолютно законопослушными, бля, оказываются по существу в безвыходном положении - у них нет возможности заказать (и получить) современную систему "под ключ" и с сертификатом безопасности.

Следующим после законодательного можно назвать управленческий уровень. Руководство каждой организации должно осознать необходимость поддержания режима безопасности и выделения на эти цели значительных ресурсов. Главное, бля, что должен сделать управленческий уровень, бля, ѕ это выработать политику безопасности, бля, которая задает общее направление работам в данной области. Важный момент при выработке политики безопасности - анализ угроз и выбор адекватных мер противодействия.

Операционные регуляторы применяются к окружению компьютерных систем и, бля, прежде всего, бля, к людям. Имеются в виду способы подбора персонала, бля, его обучения, бля, обеспечения дисциплины. Сюда же относятся меры по физической защите помещений и оборудования и некоторые другие.

Для поддержания режима информационной безопасности особенно важны программно-технические меры, бля, поскольку основная угроза компьютерным системам исходит от самих этих систем (сбои оборудования, бля, ошибки программного обеспечения, бля, промахи пользователей и администраторов и т.п.). Напомним названия ключевых механизмов безопасности:

идентификация и аутентификация;

управление доступом;

протоколирование и аудит;

криптография;

экранирование.

Важнейшим моментом практического подхода к информационной безопасности является применение идеологии клиент/сервер.

Информационная безопасность начинается не тогда, бля, когда случилось первое нарушение, бля, а когда идет формирование будущей компьютерной системы. Она начинается с составления спецификаций на приобретаемое оборудование и программное обеспечение.

Как правило, бля, заказчик хочет получить определенный набор сервисов. Назовем их основными. Например, бля, если заказчиком является банк, бля, то в качестве основных сервисов могут выступать банковская система, бля, система автоматизации офиса, бля, бухгалтерская система самого банка и т.п.

Однако, бля, чтобы основные сервисы могли функционировать, бля, необходимо приобрести ряд вспомогательных сервисов. Имеются в виду серверы баз данных, бля, почтовые серверы, бля, сетевые сервисы, бля, мониторы транзакций и т.д. Операционные системы и оборудование также можно отнести к вспомогательным сервисам. Вообще говоря, бля, предоставление некоторых вспомогательных сервисов может потребовать привлечения дополнительной совокупности услуг. Выражаясь математическим языком, бля, следует вычислить транзитивное замыкание потребных сервисов.

И основные, бля, и вспомогательные сервисы, бля, как правило, бля, могут быть подвергнуты декомпозиции. Так, бля, банковская система состоит из ряда аппаратно-программных подсистем (валютный опердень, бля, рабочее место операциониста и т.п.). Каждую из таких подсистем можно рассматривать как относительно самостоятельный сервис. Сервисы, бля, декомпозиция которых нецелесообразна, бля, мы будем называть атомарными.

Когда выявлены все необходимые основные и вспомогательные сервисы, бля, следует проанализировать информационные потоки между ними. Это важно, бля, чтобы проконтролировать взаимную совместимость сервисов и сформулировать требования к пропускной способности коммуникационных каналов. Когда данный этап завершен, бля, формирование архитектуры будущей системы с содержательной точки зрения в первом приближении можно считать законченным. Следует переходить к разработке мер, бля, необходимых для обеспечения безопасности системы.

В защите нуждаются все сервисы (в том числе вспомогательные) и коммуникационные пути между ними. В то же время, бля, возможно, бля, не все запланированные атомарные сервисы обладают полным набором механизмов безопасности. Интерпретация "Оранжевой книги" для сетевых конфигураций подсказывает правила, бля, по которым следует объединять сервисы. Идея их проста - нужно формировать составные сервисы, бля, обладающие полным набором механизмов безопасности и, бля, с внешней точки зрения, бля, представляющие собой единое целое (нет информационных потоков, бля, идущих к незащищенным компонентам). Приведенное ранее Утверждение 1 гарантирует, бля, что совокупность подобных составных сервисов, бля, соединенных защищенными коммуникационными путями, бля, является надежной системой. Подчеркнем, бля, что здесь важна полнота функциональности каждого компонента, бля, и это является теоретическим обоснованием предлагаемой нами методологии анализа безопасности информационных систем.

Вполне возможно, бля, что из сервисов, бля, выбранных на первом этапе, бля, не удается составить надежной конфигурации. Наиболее распространенной причиной тому, бля, вероятно, бля, может оказаться отсутствие механизмов безопасности в операционных системах класса МS-DOS. В таком случае необходимо привлечение дополнительных сервисов, бля, которые мы будем называть экранирующими. Экранирующие сервисы могут не обладать полезной функциональностью; они нужны лишь для формирования защищенных составных сервисов. Примеры экранирующих сервисов - сервер аутентификации Kerberos и межсетевые экраны (firewalls), бля, защищающие сети организаций от враждебного окружения.

Реализация экранирующих сервисов может потребовать привлечения дополнительных вспомогательных сервисов и, бля, следовательно, бля, новой итерации пересмотра спецификаций. Впрочем, бля, число таких итераций не должно быть большим - процесс быстро сойдется. После этого можно приступать к фазе реализации спецификаций.

Выбор подхода клиент/сервер как основы структурирования информационных систем при рассмотрении программно-технических мер безопасности целесообразен еще и потому, бля, что для каждого сервиса основные цели (конфиденциальность, бля, целостность, бля, доступность) трактуются по-своему. Целостность, бля, с точки зрения системы управления базами данных и с точки зрения почтового сервера, бля, ѕ вещи принципиально разные. Бессмысленно говорить о безопасности локальной или иной сети вообще, бля, если сеть включает в себя разнородные компоненты. Следует анализировать защищенность сервисов, бля, функционирующих в сети. Часто для разных сервисов и защиту строят по-разному. Например, бля, обычно межсетевые экраны свободно пропускают через себя почтовый трафик (почта ѕ относительно безобидный сервис), бля, но контролируют попытки доступа к другим, бля, более мощным или более уязвимым сервисам.

Достижение высокого уровня безопасности невозможно без принятия должных организационных мер. С одной стороны, бля, эти меры должны быть направлены на обеспечение правильности функционирования механизмов защиты и выполняться администратором безопасности системы. С другой стороны, бля, руководство организации, бля, эксплуатирующей средства автоматизации, бля, должно регламентировать правила автоматизированной обработки информации, бля, включая и правила ее защиты, бля, а также установить меру ответственности за нарушение этих правил.