Тематические статьи по защите корпоративных порталов и систем от несанкционированного доступа (НСД)
Библиотека информационной безопасности, документ "Концепция защиты СВТ и АС от НСД к информации".
Оглавление
1. Общие положения
2. Определение НСД
3. Основные принципы защиты
4. Модель нарушителя в АС
5. Основные способы НСД
6. Очновные направления обеспечения защиты от НСД
7. Основные характеристики технических средств защиты от НСД
8. Классификация АС
9. Организация работ по защите
1. Общие положения
1.1. Настоящий документ излагает систему взглядов, основных принципов, которые закладываются в основу проблемы защиты информации от несанкционированного доступа (НСД), являющейся частью общей проблемы безопасности информации.
1.2. Концепция предназначена для заказчиков, разработчиков и пользователей СВТ и АС, которые используются для обработки, хранения и передачи требующей защиты информации.
1.3. Концепция является методологической базой нормативно-технических и методических документов, направленных на решение следующих задач:
- выработка требований по защите СВТ и АС от НСД к информации;
- создание защищенных СВТ и АС, т.е. защищенных от НСД к информации;
- сертификация защищенных СВТ и АС.
Удостоверяющий центр EKEY.RU, "Защита от несанкционированного доступа к информации. Термины и определения. ГОСТЕХКОМИССИЯ РОССИИ".
... настоящий документ устанавливает термины и определения понятий в области защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации.
Установленные термины обязательны для применения во всех видах документации.
Для каждого понятия установлен один термин. Применение терминов - синонимов термина не допускается.
Сайт Журнала о компьютерных сетях и телекоммуникационных технологиях "Сети и системы связи", статья "Корпоративные межсетевые экраны. Руководство покупателя".
Неотъемлемым элементом защиты сети крупной организации от вторжения злоумышленников является корпоративный межсетевой экран. Предлагаем вашему вниманию вопросы, которые следует рассмотреть, прежде чем решать вопрос о его приобретении.
Многие десятки компаний занимаются продажей межсетевых экранов (МЭ) для любых сред: от МЭ класса desktop (для настольных систем) и МЭ класса SOHO (для малого/домашнего офиса) до межсетевых экранов, предназначенных для поставщиков телекоммуникационных услуг (carrier class), - выбор подчас просто огромный. Поэтому принятие правильного решения о покупке МЭ немыслимо без глубокого понимания потребностей в обеспечении сетевой безопасности.
Портал CITForum.ru, электронная книга "Атака через Internet".
Предлагаемая читателю книга целиком посвящена проблеме безопасности Internet. В отличие от других подобных изданий, она построена на принципе анализа возможных и существующих уязвимостей Сети, которые реализуются или могут быть реализованы в Internet. В книге рассматриваются практически все угрозы, поджидающие пользователя при работе с Internet. Те угрозы, которые поджидают каждого в этом удивительно интересном, но, подчеркиваем, опасном путешествии и работе в Сети.
Сайт Internet News, статья "Как вовремя засечь сниффера".
На сегодняшний день самым злачным объектом для сетевой атаки являются внутренние сети больших корпораций, или проще - интранет.
Интранет объединяет множество внутренних сетей корпорации в одно общее информационное поле. Отметим 4 разновидности интранета.
1. Статический доступ к статическим данным. Поиск нужной информации ведется на базе известных адресов вручную.
2. Динамический доступ к статическим данным. Поиск ведется на основе специальной поисковой системы. Технологически сеть усложняется и облегчается процесс поиска.
3. Для доступа к корпоративным базам данных, а также к коммерческим, бухгалтерским и др. приложениям, используется удобный клиентский интерфейс. Пользователи получают современную систему получения информации - выталкивающая модель (push). Вместо поиска корпоративный работник создает свой профиль интереса, на который ориентируется система. Согласно профилю, система сама решает, какая информация нужна пользователю. Реализуется динамический доступ к динамическим данным.
4. Корпорация будущего. В ней обеспечивается персонифицированный доступ к персонифицированным данным внутри и вне корпорации.
Сайт Корпорации Microsoft "GOT DOT.NET", статья "Средства безопасности ASP.NET Часть 1 – Аутентификация".
На сегодняшний день информация в мире имеет очень большое значение, часто утечка даже самого незначительного её количества может оказаться огромной потерей. Для избежания подобных инцидентов нужно уметь её защищать. С этой целью в мире ИТ было создано множество способов, начиная от обычного шифрования информации методом Цезаря (перемещение каждого символа на 3 вперёд) и заканчивая внедрением карт доступа и средств биосканирования.
- Аутентификация Windows:
- Аутентификация формой:
- Аутентификация формой с использованием отдельных XML-файлов:
- Аутентификация формой с использованием файла конфигурации:
- Аутентификация формой с использованием базы данных:
- Аутентификация формой с использованием Web-служб:
- Аутентификация паспортом:
Сайт Корпорации Microsoft "GOT DOT.NET", статья "Средства безопасности ASP.NET Часть 3 - Криптография".
В предыдущих двух частях статьи были рассмотрены вопросы аутентификации и авторизации пользователей. Напомним, что аутентификация подразумевает под собой ввод имени логина и его пароля, т. е. регистрацию; а авторизация - это проверка прав доступа к определённому ресурсу или на выполнение каких-либо действий. Нераскрытым остался последний вопрос - криптография.
Основная задача криптографии - сделать конечные данные непонятными для третьих лиц. Первые и простейшие методы шифрования начали встречаться ещё в эпоху античности: существовал так называемый метод Цезаря, который заключался в смещении каждого символа текста на три позиции вперёд по алфавиту. Но если две с лишним тысячи лет назад криптография имела лишь практическое представление, то сегодня существует целая наука криптология, занимающаяся вопросами шифрования и дешифрования и имеющая прочную теоретическую базу.
Сайт Корпорации Microsoft "
GOT DOT.NET", статья "
Модель безопасности ASP.NET"
Решение вопросов безопасности в распределенных многоуровневых приложениях представляет собой непростую задачу. Чтобы правильно ее решать необходимо четко представлять механизмы безопасности, лежащие в основе той или иной используемой технологии...
Решение вопросов безопасности в распределенных многоуровневых приложениях представляет собой непростую задачу. Чтобы правильно ее решать необходимо четко представлять механизмы безопасности, лежащие в основе той или иной используемой технологии. Частота возникающих вопросов на форуме сайта
, связанных с безопасностью Web приложений на основе ASP.NET натолкнуло меня на мысль, что не всегда есть четкое понимание общей архитектуры безопасности ASP.NET приложений. Зачастую, отвечая на вопросы, и сам ловил себя на мысли, что мои ответы выглядят фрагментарно и , более того , при отсутствии полной информации по той или иной ситуации, могут уводить от правильного решения проблемы. Важность этой темы обуславливается так же и тем, что ASP.NET используется как основная технология для построения Web Services на платформе .NET и может использоваться для оганизации взаимодействии компонент по HTTP каналу в .NET Remoting. Таким образом понимание архитектуры безопасности ASP.NET становится критически важным при построении распределенных приложений на .NET. Вместе с тем, эта архитектура претерпела существенные изменения по сравнению со своей предшественницей – технологией безопасности ASP. Зачастую именно здесь и кроется корень проблем разработчиков, пытающихся напрямую применить к ASP.NET подходы безопасности, применяемые ими в ASP. Кроме того и .NET Framework привнесла новые механизмы, которые могут использоваться внутри ASP.NET приложений. Вместе с тем сведения, относящееся к этой важной теме, разбросаны по документации, фрагментированы и порой из них трудно составить общую картину архитектуры безопасности ASP.NET. В Microsoft работают на созданием целого ряда руководств по использованию технологий .NET в распределенных многоуровневых приложений. Значительная часть этих документов будет посвящена вопросам безопасности. Данный материал можно рассматривать как сжатое изложение части вопросов, связанных с архитектурой безопасности ASP.NET.
Сайт MOSTINFO Web-ежедневник РУнета - статья "Как за каменной стеной: ставим файрвол".
Самый защищенный компьютер - компьютер, не подключенный к сетям. К сожалению, в наше время уже немыслимо применение ПК без доступа в интернет. Использование Сети дает нам множество преимуществ, от которых вряд ли кто-то сможет отказаться. Но интернет является и источником опасности.
За последние 2-3 года все чаще вспыхивают вирусные эпидемии сетевых червей. Благодаря различным дырам в программном обеспечении информация, находящаяся на носителях данных компьютера пользователя, может стать доступной кому угодно.
Некоторые программы (spyware) без вашего ведома отсылают различную приватную информацию своим разработчикам: характеристики ПК, регистрационные данные, адреса посещенных сайтов, установленное ПО.
Антивирусы могут защитить вас только от вирусных программ. Да и то, не успеете вы скачать антивирусное обновление, как компьютер будет уже поражен очередной модификацией сетевого червя. Вспомним хотя бы нашумевший в свое время MSBlast. Этот червь проникал на ПК пользователя без его ведома. Не требовалось ни запуска зараженного файла, ни открытия письма. Все происходило само собой. Миллионы компьютеров тогда оказались заражены этим вирусом, который еще и имел пренеприятную особенность перезагружать компьютер, когда тот подключался к интернету. Файрвол (или, иначе, "брандмауэр") способен защитить ваш ПК от всех этих напастей. По сути, файрвол - это программа, которая фильтрует трафик и блокирует как несанкционированное подключение к интернету шпионских модулей программ, так и атаку извне. Она помогает сохранить информацию, находящуюся на дисках компьютера, от несанкционированного доступа из Сети, от попыток передачи информации о пользователе какой-либо программой в Сеть, а также защищает сетевые порты от внешних атак, которые могут привести к зависанию компьютера, отключению его от интернета.
Сайт ООО МПО "
Классика", статья "
Безопасность в корпоративных сетях".
Бизнес многих компаний стал в последнее время в значительной степени территориально распределенным, многие организации имеют свои филиалы по всей стране или активно взаимодействуют с партнерами из других городов и стран. Такая территориальная распределенность вместе с необходимостью тесного взаимодействия привела к активному внедрению в бизнес-процессы интернет-технологий и систем электронного документооборота - как внутри одной компании, так и между фирмами-партнерами. Интернет играет в бизнес-процессах все большую роль и все чаще используется как основная сетевая среда для выполнения внешних и внутренних электронных транзакций предприятия. Обмен данными между центральным офисом и удаленными филиалами, взаимодействие с партнерами, электронная коммерция, передача информации, оказание консультационных услуг в режиме on-line и многие другие операции становятся нормой жизни. В этих условиях разрушение информационного ресурса, его временная недоступность или несанкционированное использование могут нанести компании значительный материальный ущерб. Соответственно огромную важность приобрели вопросы передачи данных и информации не только с гарантированным уровнем обеспечения целостности и доступности, но и защищенности.
Сайт "Articles.org.ru", статья "Классификация компьютерных преступлений".
В практике исследования противоправных деяний, совершенных при помощи компьютеров и компьютерных сетей, существует достаточно много статей и научных работ юридической и публицистической направленности, большинство из которых характеризует главу 28 Уголовного кодекса РФ - преступления в сфере компьютерной информации (ст.ст.272-273-274). Основной акцент в работах делается на рассмотрение диспозиции и санкции вышеуказанных ст. УК. Позитивность данных работ неоспорима, как в процессе создания научного потенциала по данной проблеме права, так и в формировании общественных взглядов, способствующих предупреждению совершения преступлений в сфере компьютерной информации.
Портал CITForum.ru, статья "Вопросы защищенности".
Общая система защиты вашей WEB-системы может состоять из следующих подсистем:
- Подсистема защиты информации от несанкционированного доступа
- Подсистема защиты внутренней сети от несанкционированного доступа
- Подсистема защиты информации на стадии ее передачи от источника к пользователю и в обратную сторону
В зависимости от предполагаемой мощности всей системы защиты в целом вы можете использовать как всю совокупность подсистем, так и некоторые подсистемы в отдельности.
Приведенные в разделе "Ресурсы" статьи отражают мнение авторов статей и могут не совпадать с мнением редакции сайта. Наша задача привести все мнения по рассматриваемым темам.