Информационная безопасность

Оглавление

Введение 2

Обзор объекта информационных процессов. Веб-сервер, используемый для электронной коммерции 2

1. Анализ уязвимостей и угроз 4

1.1. Угрозы безопасности и методы их устранения 7

2. Методы повышения уровня защищенности объекта 10

2.1. Выявление вторжений 11

2.2. Защита  данных сайта 11

2.3. Политика  безопасности 12

2.4. Защита информации при электронной коммерции 19

2.5. Шифрование и электронно-цифровая подпись. 21

2.5.1. Распространенные алгоритмы шифрования 23

2.5.2. Сравнение методов шифрования 23

2.6. Обзор систем защиты информации в Интернет. 24

2.7. Безопасность электронной коммерции 27

2.7.1. Безопасность соединений 28

2.7.2. Хранение информации на компьютере клиента 29

2.7.3. Отказ от выполненной операции 29

2.7.4. Реализация безопасности серверной части 30

2.7.5. Информация, хранящаяся на сервере 30

2.7.6. Защита сервера от нападений 30

2.7.7. Размещение сервера 30

2.7.8. Конфигурация операционной системы 32

2.7.9. Конфигурация Веб-сервера 33

2.7.10. Реализация безопасности сервера базы данных 34

2.7.11. Место размещения базы данных 34

2.7.12. Соединение с сервером электронной коммерции 35

2.7.13. Защита внутреннего доступа 36

2.7.14. Разработка архитектуры системы электронной коммерции 36

2.7.15. Расположение сервера и соединения 37

Заключение 39

Список использованной литературы 40

Введение

Количество  пользователей Интернета достигло несколько сот миллионов и появилось новое качество в виде «виртуальной экономики». В ней покупки совершаются через торговые сайты, с использованием новых моделей ведения бизнеса, своей стратегией маркетинга и прочее. В данной курсовой работе проводится анализ угроз, использующих уязвимости защиты, и разработка методов повышения уровня защищенности объектов информационных процессов.

Обзор объекта  информационных процессов. Веб-сервер, используемый для электронной коммерции

Электронная коммерция (ЭК) – это предпринимательская  деятельность по продаже товаров через Интернет. Как правило, выделяются две формы ЭК:

• торговля  между предприятиями (business to business, B2B);
• торговля между предприятиями и физическими лицами, т.е. потребителями (business to consumer, B2С).

 

ЭК породила такие новые понятия как:

• Электронный  магазин – витрина и торговые  системы, которые используются производителями или дилерами при наличии спроса на товары.
• Электронный  каталог – с большим ассортиментом  товаров от различных производителей.
• Электронный  аукцион – аналог классического  аукциона с использованием Интернет-технологий, с характерной привязкой к мультимедийному интерфейсу, каналу доступа в Интернет и показом особенностей товара.
• Электронный  универмаг – аналог обычного  универмага, где обычные фирмы выставляют свой товар, с эффективным товарным брендом (Гостиный двор, ГУМ и т.д.).
• Виртуальные  комъюнити (сообщества), в которых  покупатели организуются по группам интересов (клубы болельщиков, ассоциации и т.д.). 

 

 

Интернет  в области ЭК приносит существенные выгоды:

• экономия  крупных частных компаний от  перевода закупок сырья и комплектующих на Интернет-биржи достигает 25 - 30%;
• участие  в аукционе конкурирующих поставщиков со всего мира в реальном масштабе времени приводит к снижению запрограммированных ими за поставку товаров или услуг цен;
• повышение  цен за товары или услуги  в результате конкуренции покупателей со всего мира;
• экономия за счет сокращения числа необходимых сотрудников и объема бумажного делопроизводства. 

Каждый  интернет-магазин включает две основных составляющих: электронную витрину и торговую систему. 

Электронная витрина содержит на Web-сайте информацию о продаваемых товарах, обеспечивает доступ к базе данных магазина, регистрирует покупателей, работает с электронной «корзиной» покупателя, оформляет заказы, собирает маркетинговую информацию, передает сведения в торговую систему. 

Торговая  система доставляет товар и оформляет  платеж за него. Торговая система - это совокупность магазинов, владельцами которых являются разные фирмы, берущие в аренду место на Web-сервере, который принадлежит отдельной компании. 

 

Технология  функционирования интернет-магазина выглядит следующим образом:

Покупатель  на электронной витрине с каталогом  товаров и цен (Web-сайт) выбирает нужный товар и заполняет форму с  личными данными (ФИО, почтовый и электронный адреса, предпочитаемый способ доставки и оплаты). Если происходит оплата через Интернет, то особое внимание уделяется информационной безопасности.

Передача  оформленного товара в торговую систему  интернет-магазина, где происходит комплектация заказа. Торговая система  функционирует ручным или автоматизированным способом.

 

Осуществление доставки  и оплаты товара.

Доставка товара покупателю осуществляется одним из возможных способов:

 

• курьером  магазина в пределах города  и окрестностей;
• специализированной  курьерской службой ( в том  числе из-за границы);
• почтой;
• самовывозом;
• по  телекоммуникационным сетям доставляется  такой специфический
• товар как информация.

 

Оплата  товара может осуществляться следующими способами:

 

• предварительной  или в момент получения товара;
• наличными  курьеру или при визите в  реальный магазин;
• почтовым  переводом;
• банковским  переводом;
• наложенным  платежом;
• при  помощи кредитных карт;
• посредством электронных платежных систем через  отдельные коммерческие банки.

 

В последнее  время электронная коммерция  или торговля посредством сети Интернет в мире развивается достаточно бурно. Естественно, что этот процесс осуществляется  при непосредственном участии кредитно-финансовых организаций. И этот способ торговли становится все более популярным, по крайней мере, там, где новым электронным рынком можно воспользоваться значительной части предприятий и населения.

Коммерческая  деятельность в электронных сетях  снимает некоторые физические ограничения. Компании, подключая свои компьютерные системы к Интернет, способны предоставить клиентам поддержку 24 часа в сутки без праздников и выходных. Заказы на продукцию могут приниматься в любое время из любого места.

Однако  у этой «медали» есть своя оборотная  сторона. За рубежом, где наиболее широко развивается электронная коммерция, сделки или стоимость товаров часто ограничиваются величиной 300-400 долларов. Это объясняется недостаточным решением проблем информационной безопасности в сетях ЭВМ. По оценке Комитета ООН по предупреждению преступности и борьбе с ней, компьютерная преступность вышла на уровень одной из международных проблем. В США этот вид преступной деятельности по доходности занимает третье место после торговли оружием и наркотиками.

Объем мирового оборота электронной коммерции  через Интернет в 2006 году, по прогнозам  компании Forrester Tech., может составить  от 1,8 до ,2 трлн. долл. Столь широкий диапазон прогноза определяется проблемой обеспечения экономической безопасности электронной коммерции. Если уровень безопасности сохранится на сегодняшнем уровне, то мировой оборот электронной коммерции может оказаться еще меньшим. Отсюда следует, что именно низкая защищенность системы электронной коммерции является сдерживающим фактором развития электронного бизнеса.

Решение проблемы обеспечения экономической  безопасности электронной коммерции в первую очередь связано с решением вопросов защиты информационных технологий, применяемых в ней, то есть с обеспечением информационной безопасности.

Интеграция  бизнес-процессов в среду Интернет приводит к кардинальному изменению положения с обеспечением безопасности. Порождение прав и ответственности на основании электронного документа требует всесторонней защиты от всей совокупности угроз, как отправителя документа, так и его получателя. К сожалению, руководители предприятий электронной коммерции в должной степени осознают серьезность информационных угроз и важность организации защиты своих ресурсов только после того, как последние подвергнуться информационным атакам. Как видно, все перечисленные препятствия относятся к сфере информационной безопасности.

1. Анализ  уязвимостей и угроз

Среди основных требований к проведению коммерческих операций – конфиденциальность, целостность, аутентификация, авторизация, гарантии и сохранение тайны.

При достижении безопасности информации обеспечение  ее доступности, конфиденциальности, целостности и юридической значимости являются базовыми задачами. Каждая угроза должна рассматриваться с точки зрения того, как она может затронуть эти четыре свойства или качества безопасной информации.

Конфиденциальность  означает, что информация ограниченного доступа должна быть доступна только тому, кому она предназначена.

Под целостностью информации понимается ее свойство существования в неискаженном виде. Доступность информации определяется способностью системы обеспечивать своевременный беспрепятственный доступ к информации субъектов, имеющих на это надлежащие полномочия.

Юридическая значимость информации приобретает важность в последнее время, вместе с созданием нормативно-правовой базы безопасности информации в нашей стране.

Если  первые четыре требования можно обеспечить техническими средствами, то выполнение двух последних зависит и от технических средств, и от ответственности отдельных лиц и организаций, а также от соблюдения законов, защищающих потребителя от возможного мошенничества продавцов.

Под угрозой безопасности информации понимаются события или действия, которые могут привести к искажению, несанкционированному использованию или даже  к разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств. 

Информационная  безопасность включает: 

• состояние защищенности информационного пространства, обеспечивающее его формирование  и развитие в интересах граждан, организаций и государства;
• состояние инфраструктуры, при котором информация используется строго по назначению  и не оказывает негативного воздействия  на систему при ее использовании;
• состояние информации, при котором исключается или существенно затрудняется  нарушение таких ее свойств, как  конфиденциальность, целостность и доступность;
• экономическую составляющую (структуры управления в экономической сфере, включая системы сбора, накопления и обработки информации в интересах управления  производственными структурами, системы  общеэкономического анализа и прогнозирования хозяйственного развития, системы управления и координации в промышленности и на транспорте, системы управления энергосистем, централизованного снабжения, системы принятия решения и координации действий в чрезвычайных ситуациях, информационные и телекоммуникационные  системы);
• финансовую составляющую (информационные сети и базы данных банков банковских  объединений, системы финансового обмена и финансовых расчетов). 

Обеспечение информационной безопасности должно начинаться с выявления субъектов отношений, связанных с использованием информационных систем. Спектр их интересов  может быть разделен на следующие  основные категории: доступность (возможность  за приемлемое время получить  требуемую информационную услугу), целостность (актуальность и непротиворечивость информации, ее защищенность от разрушения  и несанкционированного изменения), конфиденциальность (защита от несанкционированного ознакомления). 

 

К объектам информационной безопасности на предприятии относят:

 

• информационные  ресурсы, содержащие сведения, отнесенные к коммерческой тайне и конфиденциальную информацию, представленную в виде информационных массивов и баз данных;
• средства  и системы информатизации - средства вычислительной и информационной техники, сети и системы, общесистемное и  прикладное программное обеспечение, автоматизированные системы управления, системы связи и передачи данных, технические средства сбора, регистрации, передачи, обработки и отображения информации, а так же их информационные физические поля. 

Скачать в ZIP (29.60 Кб)

Система обеспечения безопасности информации включает подсистемы:

 

• компьютерную  безопасность;
• безопасность  данных;
• безопасное  программное обеспечение;
• безопасность  коммуникаций. 

 

Компьютерная  безопасность обеспечивается комплексом технологических и административных  мер, применяемых в отношении  аппаратных средств компьютера с целью обеспечения доступности, целостности и конфиденциальности, связанных с ним ресурсов.

Безопасность  данных достигается защитой данных от неавторизованных, случайных, умышленных или возникших по халатности модификаций, разрушений или разглашении.

Безопасное  программное обеспечение представляет собой общесистемные и прикладные программы и средства, осуществляющие безопасную обработку данных и безопасно использующие ресурсы системы.

Безопасность  коммуникаций обеспечивается принятием мер по предотвращению предоставления неавторизованным лицам информации, которая может быть выдана системой в ответ на телекоммуникационный запрос.

Политика  безопасности включает в себя анализ возможных угроз и выбор соответствующих мер противодействия, являющихся совокупностью  тех норм, правил поведения, которыми пользуется конкретная организация при обработке информации и ее защите.