Программная система «Аттестации ИT-специалистов»

- Оперативное получение  статистической информации по категории (количество вопросов, максимальный балл по категории)

- Редактирование вопросов  в категории

а) Встроенный текстовый  редактор

б) Встроенный графический  редактор

в) Возможность передачи текстовой части через буфер  обмена

г) Возможность передачи графической части через буфер обмена

- Внесение количества  баллов за вариант ответа с  автоматическим подсчётом общей  суммы баллов за вопрос

-  Изменение категории  вопроса

 

Рабочее место  проведения аттестации – компонент программной системы, предназначен для автоматизированного проведения аттестации специалистов на своих рабочих местах.

Возможности:

- Начало сессии аттестации

- Выбор любого количества  категорий, вопросы из которых  задавать

- Свободное перемещение  по базе вопросов, с сохранением  уже данных ответов

- Возможность выхода  из системы с сохранением всех  данных ответов

- Возможность продолжить  сессию аттестации в любое  удобное время с сохранением  уже данных ответов

 

Сервер баз  данных Interbase для платформы Linux – x86 – компонент программной системы предназначенный для хранения и предварительной обработки всех данных используемых системой и как следствие осуществляющий связь между компонентами.

Возможности (использованные):

- Автоматический контроль  ссылочной целостности данных

-Встроенная защита данных от несанкционированного доступа

- Выполнение хранимых  процедур, созданных для обработки  данных

- Автоматическая генерация  уникального ключа

- Встроенная возможность  резервного копирования данных

 

Общие возможности  для всех  компонент системы:

- Однотипная регистрация  в системе личным именем пользователя  и паролем

- Автоматическое сжатие  данных при передаче на сервер  баз данных (текстовая и графическая  часть вопроса), с использованием  алгоритма адаптивного сжатия  Хаффмена

- Автоматическая распаковка сжатых данных при приёме с сервера баз данных (текстовая и графическая часть вопроса)

- Работа всех компонент  в корпоративной сетевой среде  либо в сети Internet

 

Обоснование выбора сервера  баз данных Interbase:

 

- Поддерживает архитектуру  клиент-сервер

- Поддерживает процедурное  расширение языка SQL

- Не сложен в установке  и настройке

- Компактен

 

Обоснование выбора серверной  платформы

 

- С финансовой точки  зрения Linux обладает одним весьма  существенные, достоинством — она  не коммерческая. В отличие от операционной системы Unix, Linux распространяется бесплатно по генеральной открытой лицензии GNU в рамках Фонда бесплатного программного обеспечения (Free Software Foundation), благодаря чему эта ОС доступа всем желающим.

- Система Linux отличается  высокой производительностью и гибкостью и предоставляет все средства Unix, включая возможность работы в многозадачном и многопользовательском режимах.

- Высокая надёжность

- Развитая сетевая  архитектура

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

7  Формирование  отчетов

    Отчеты формируются на основе  результатов  полученных  при  закрытии сессии . На рисунке  7.1   и 7.2  представлены формы формирования отчетов программной системы.

           Рис.7.1 Формирование отчетов из  ITA-Руководитель

 

8.  Решение проблемы защиты информации

8.1 Основные  принципы

 

Решение задачи разработки и создания технических систем обеспечения  безопасности состоит из трех обязательных и взаимосвязанных этапов. На первом этапе необходимо количественно  оценить и определить все характеристики объекта информационной защиты, т.е. понять, каким образом может произойти утечка информации, и достоверно «вычислить» вероятные каналы утечки. В результате должны быть получены обоснованные рекомендации по проведению мероприятий, гарантирующих достижение требуемого уровня информационной безопасности.

На втором этапе необходимо провести комплексную разовую проверку, так называемую «очистку» объекта, т.е. выявить и нейтрализовать уже созданные с помощью технических средств нападения (если таковые будут обнаружены) каналы утечки. И только затем следует приступать к третьему этапу — установке на объекте системы информационной защиты, т.е., начиная с момента окончания «очистки», «отрезать» возможность утечки информации.

При этом, если на первых двух этапах имеется возможность проведения дополнительного обследования и проверки, уточнения неясных моментов и т.п. (семь раз проверить), то последний этап, связанный, как правило, с какими-либо монтажными, строительными, интерьерными работами, желательно проводить как единое, цельное мероприятие (один раз отрезать). Это тем более справедливо потому, что разработка подобной системы представляет собой проектирование комплекса технических средств и систем, осуществляемое по критерию «максимально эффективного использования вложенных средств с точки зрения достижения требуемого уровня информационной защиты».

 

8.2 Защита информации  средствами СУБД InterBase 6.0

Для защиты информации используется встроенный механизм сервера баз  данных Interbase. В дополнении к нему был модифицирован метод регистрации пользователей в системе (рис. 1.1).

 

 

 

 

 

 

 

 

 

Алгоритм:

 

1. Клиент логинится  своим именем и паролем в сети.
2. Сервером сети проверяется введённый пароль
3. Клиент подключается от имени пользователя к базе данных.
4. Проверяется зашифрованный пароль
5. Выполняется реальное подключение с реальным пользователем

 

 

 

 

 

8.3 Защита от  повреждения носителей

Данная глава посвящена  защите информации от повреждения физических носителей.

Существует два основных метода:

-резервное копирование;

-избыточность носителей;

Мы используем оба  этих метода. Резервное копирование InterBase поддерживает в двух режимах: “горячее” и “холодное”. “Горячее” используется во время работы БД для уменьшения потерь и времени восстановления после сбоев. “Холодное” резервное копирование выполняется в нерабочее время при остановке экземпляра InterBase путем копирования средствами ОС файлов БД. Для повышения надежности резервное копирование выполняется на отдельный сервер. Для уменьшения объема хранимых данных организовано инкрементальное резервирование. В качестве средств решения данной задачи служат:

-утилиты tar и gzip;

-ftp-сервер;

-ОС Linux;

Для предупреждения сбоев  при отказе дисков используется RAID-массив. При рассмотрении вариантов мы остановились на организации программного RAID-1-массива(зеркало). Данный тип RAID-массива выбран с учетом минимизации времени восстановления работоспособности после сбоя и уменьшения финансовых затрат.

Каждый месяц полная копия архива СУБД, в том числе  конфигурационные и исполняемые файлы InterBase записываются на компакт диск, что позволит, даже в случае серьезной аварии, восстановить систему в течение нескольких часов.

 

В Interbase встроен механизм резервного копирования, которым необходимо пользоваться администратору системы для предоставления сохранности данных. Доступен он через программу администрирования IBconsole.exe и выбора соответствующего пункта меню. Программа администрирования позволяют выполнять следующие функции:

1. Установка связи с сервером (локальным или удаленным);
2. Ведение списка пользователей сервера;
3. Создание баз данных;
4. Резервное копирование и восстановление данных.

 

8.4Опознавание  пользователя

Первой задачей СУБД является опознавание пользователя. InterBase предоставляет 2 способа идентификации пользователей:

-по паролю;

-операционной системой;

Опознавание ОС имеет  недостаток в том, что пользователь должен быть зарегистрирован в системе, на которой работает экземпляр InterBase.

Опознавание по паролю может  производиться как самой СУБД, так и специальными службами, такими как LDAP, NDS, KERBEROS, что позволяет повысить защищенность и предоставляет дополнительные возможности в корпоративной работе.

При опознавании по паролю самой СУБД нет контроля длины  и сложности пароля, необходимо использовать продукты сторонних производителей.

Мы используем опознавание  по паролю самой СУБД, так как InterBase работает на отдельном сервере и создавать на нем пользователей ОС неоправданно как с точки зрения безопасности, так и с точки зрения администрирования. Опознавание специальными службами не используем ввиду малого числа пользователей и невысоких требований конфиденциальности.

8.5 Целостность  данных

Помимо управления доступом к данным необходимо защитить сами данные от потери целостности, то есть обеспечит непротиворечивость данных. InterBase имеет для этого следующие средства:

-типизация;

-поддержка ключей(первичных  и внешних);

-индексация;

-последовательности;

-триггеры;

-транзакции;

Отдельно нужно отметить механизм транзакций. Любая современная  СУБД должна поддерживать транзакции для однозначности изменений БД.

Для реализации механизма  транзакций InterBase использует очень надежные средства сегменты отката, и журнал транзакций.

 

8.6 Защита средствами ОС

Защитить операционную систему гораздо сложнее, чем  СУБД. Это обусловлено тем, что число различных типов защищаемых объектов в современных ОС может достигать нескольких десятков, а число различных типов защищаемых информационных потоков – нескольких сотен. ОС имеет очень сложную внутреннюю структуру и поэтому задача построения адекватной политики безопасности для ОС решается значительно сложнее, чем для СУБД.

Для полноценной работы СУБД InterBase необходима надежная, пусть даже не очень высокоскоростная платформа, которая в состоянии обеспечить требуемые ресурсы при распределении памяти, процессорного времени и обладающая высоким уровнем защиты. Вышеуказанным требованиям соответствует ОС Linux Red Hat 7.0, на которой, собственно находится база. Пользователи, проходящие тест, логинятся пользователем с минимальным набором прав, достаточных для работы только с базой данных, но недостаточных для ,копирования  и проведения над базой деструктивных действий. Между сервером и клиентом поддерживается протокол шифрования DES или MD5.

8.7 Прочие меры  защиты информации

 

К таким методам можно отнести следующие:

-ограничение доступа  в помещение, где находится  сервер;

-хранение резервных  копий информации в отдельном  здании на случай стихийных  бедствий;

-использование бесперебойных  источников питания UPS;

-меры воздействия  на пользователей при нарушении политики безопасности предприятия;

8.7 Законодательная  часть.

Вопросы безопасности на предприятии регулируются официальным  документом – «Концепция безопасности информационно-вычислительных систем»  утверждённой 30.12.1999г. заместителем председателя правления РАО «ЕЭС России», начальником департамента экономической безопасности и режима РАО «ЕЭС России» В.Ю. Платоновым. Приведём некоторые положения из этого документа:

1. Управление доступом к ресурсам информационной системы должно осуществляться с помощью идентификации и проверки подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия.
2. Особенно должен контролироваться доступ в ИВС через каналы обмена данными и должны быть предприняты особые меры защиты сетевого уровня ЛВС.
3. Уровень конфиденциальности используемых средств вычислительной техники должен быть не ниже уровня конфиденциальности обрабатываемой с помощью этого средства информации.
4. Должна осуществляться идентификация терминалов, ЭВМ, узлов сети ЭВМ, каналов связи, внешних устройств ЭВМ по логическим именам и/или адресам.
5. Должна осуществляться регистрация входа/выхода субъектов доступа в систему/из системы.
6. Должна осуществляться регистрация изменений полномочий субъектов доступа и статуса объектов доступа и сигнализация попыток нарушения защиты.
7. Должен быть предусмотрен администратор (служба) защиты информации, ответственный за ведение, нормал<span class="dash041e_0431_044b_0447_043d_044b_0439__Char" style=" font-size: 14