4. Информационная безопасность

В современных условиях профессиональная деятельность сопряжена с оперированием большими объемами информации, которая производится широким кругом лиц. Защита данных от несанкционированного доступа является одной из приоритетных задач при проектировании любой информационной системы.

Web-приложения нельзя рассматривать в отрыве от среды, в которой они выполняются. Web-приложение работает в рамках операционной системы и серверного программного обеспечения, использует сервисные функции операционной системы и других программных продуктов.

Для управления Web-проектом используются компьютеры администраторов и привилегированных пользователей со своими операционными системами, программным обеспечением и уязвимостями. Эти компьютеры, как правило, входят в состав корпоративной информационной системы (КИС) компании, управляющей проектом.

Составляющие Web-проекта с точки зрения обеспечения его безопасности могут быть представлены следующим образом:

1. Информационная среда Web-сервера:

? операционная система;

? Web-сервер;

? среда программирования;

? СУБД;

? средства защиты Web-сервера;

2. Информационная среда администраторов Web-проекта:

? КИС компании, управляющей проектом;

? система антивирусной защиты КИС;

? средства защиты КИС от атак из сети Интернет;

? средства защиты КИС от утечек информации;

3. Сторонние Web-приложения.

К основным аспектам информационной безопасности, имеющим непосредственное отношение к разработке веб-приложений, относятся:

? безопасность при программировании;

? безопасность при работе с СУБД;

? разграничение прав доступа персонала.

Наряду с обеспечением безопасности программной среды, важнейшим будет вопрос защиты Web-сервера.

Архитектура разрабатываемого интернет-офиса представлена на рис. 4.1.

Рис. 4.1. Архитектура интернет-офиса агентства недвижимости «Лидер»

Данная архитектура предотвращает получение прямого доступа внешних пользователей web-сервера к внутренней сети агентства недвижимости, смягчает риски размещения web-сервера во внутренней сети или размещения его непосредственно в Интернете, а также допускает доступ к информационным ресурсам как для внутренних, так и для внешних пользователей.

Преимущества архитектуры разрабатываемого интернет-офиса с точки зрения безопасности:

? защита web-сервера, так как сетевой трафик к web-серверу и от web-сервера может анализироваться;

? компрометация web-сервера непосредственно не угрожает внутренней сети предприятия;

? сетевая конфигурация может быть оптимизирована для поддержки и защиты web-сервера.

Уязвимости архитектуры интернет-офиса с точки зрения безопасности:

? DoS-атаки (от англ. Denial of Service, отказ в обслуживании), направленные на web-сервер, могут воздействовать на внутреннюю сеть.

? атаки IP-spoofing (подмена IP адресов и передача ложных сообщений), направленные на web-сервер с IP-адресов внутренней сети.

Сетевые приложения могут использоваться для осуществления атаки на web-сервер, поэтому для уменьшения потенциальных возможностей атаки необходимо сократить количество используемых приложений в сети, просто отключив ненужные службы и приложения и установив брандмауэр с определённым списком управления доступом.

Выявление атак, связанных с подменой IP адресов, возможно при контроле получения пакетов с адресами компьютеров на локальном уровне или при контроле получения на web-сервере пакетов с IP адресами внутренней сети и проверке шифрованных паролей пользователей.

Ответственность за работоспособность серверного оборудования и программ, а также за возможность санкционированного доступа к ресурсам web-сервера пользователей сети Интернет и сотрудников компании несет администратор системы.

Для обеспечения максимальной безопасности необходимо применять комплексный подход к защите разрабатываемой системы.

4.1 Безопасность операционной системы

FreeBSD является прекрасным кандидатом на роль серверной ОС. Не в последнюю очередь это связано с тем, что многие популярные серверные программы изначально разрабатывались в среде UNIX и потому прекрасно работают во FreeBSD. В сочетании с недорогими аппаратными компонентами платформы х86 система на базе FreeBSD является весьма экономичным решением для большинства современных серверных программ.

Преимуществом использования FreeBSD в качестве серверной ОС является надежность системы. Нередко серверы FreeBSD работают без сбоев месяцами. Если происходит перезагрузка, то это чаще делается для обновления аппаратных, а не программных компонентов. Поскольку от сервера зависит работоспособность множества компьютеров, высокая надежность является важным качеством операционной системы.

В целом FreeBSD прекрасно подходит для выполнения многих сетевых функций. В ней реализован стабильный и эффективный стек ТСР/IP, что особенно важно для серверов.

Написано множество серверных программ, позволяющих пользователям FreeBSD взаимодействовать с другими системами. Web-сервер Apache, ориентированный на платформу UNIX, отлично работает во FreeBSD.

FreeBSD обладает хорошими средствами защиты и предоставляет массу утилит и механизмов для обеспечения целостности и безопасности системы и сети:

? механизмы шифрования DES и MD5;

? аутентификацию с использованием одноразовых паролей;

? сетевой протокол Kerberos, который делает возможной аутентификацию пользователей через сервисы на защищенном сервере;

? набор программ OpenSSH, предоставляющих шифрование сеансов связи по компьютерным сетям с использованием протокола SSH;

? таблицы управления доступом ACL.

4.2 Безопасность web-сервера Apache

Apache имеет различные механизмы обеспечения безопасности и разграничения доступа к данным. Основными методами обеспечения информационной безопасности являются:

? ограничение доступа к определённым директориям или файлам;

? механизм авторизации пользователей для доступа к директории по методу HTTP-авторизации (mod_auth_basic) и digest-авторизации (mod_auth_digest);

? ограничение доступа к определённым директориям или всему серверу, основанное на IP-адресах пользователей;

? запрет доступа к определённым типам файлов для всех или части пользователей, в том числе запрет доступа к конфигурационным файлам и файлам баз данных;

? использование модулей, реализующих авторизацию через СУБД или PAM (Pluggable Authentication Modules - подключаемые модули аутентификации; библиотека, предоставляющая API для управления методами аутентификации в Unix-подобных операционных системах).

В Unix-подобных операционных системах присутствует возможность запуска каждого процесса Apache, используя различные uid и gid, соответствующие этим пользователям и группам пользователей.

Также, существует механизм suexec, используемый для запуска скриптов и CGI-приложений с правами и идентификационными данными пользователя.

Для реализации шифрования данных, передающихся между клиентом и сервером используется механизм SSL, реализованный через библиотеку OpenSSL. Для удостоверения подлинности веб-сервера используются сертификаты X.509.

Внешними средствами обеспечения безопасности являются межсетевые экраны (комплексы аппаратных или программных средств, осуществляющие контроль и фильтрацию проходящих через них сетевых пакетов на различных уровнях модели OSI в соответствии с заданными правилами).

Конфигурационные директивы сервера Apache находятся в файле httpd.conf. Файлом, который дает возможность конфигурировать работу сервера в отдельных директориях (папках), не предоставляя доступа к главному конфигурационному файлу httpd.conf, является .htaccess [21].

Для того чтобы дать директивам файлов .htaccess максимальные права следует прописать в httpd.conf:

<Directory />

# FollowSymLinks - следовать ссылке

Options FollowSymLinks

AllowOverride None

#Запрет доступа ко всем файлам

Order deny,allow

Deny from all

</Directory>

…

<Directory "/serverAN/docroot">

# AllowOverride определяет, какие директивы могут быть использованы в файлах

# .htaccess. Она может принимать значения "All", "None", или любую

# комбинацию из : "Options", "FileInfo", "AuthConfig", и "Limit"

#

AllowOverride All

…

</Directory>

Файл .htaccess:

#Изменение названия индексной страницы

DirectoryIndex index.html index.php

#Выполнять код PHP в файлах HTML

RemoveHandler .html .htm

AddType application/x-httpd-php .php .htm .html .phtml

#Обработка ошибок Apache

ErrorDocument 401 /401.html

ErrorDocument 403 /403.html

ErrorDocument 404 /404.html

ErrorDocument 500 /500.html

#Запрет на отображение содержимого каталога при отсутствии индексного файла

Options -Indexes

#Разрешить доступ только с определенного IP-адреса

order deny,allow

deny from all

allow from 94.230.33.123

#Защита файла .htpasswd

<Files .htpasswd>

deny from all

</Files>

#Запрет доступа к файлам с расширениями .inc, .conf, .cfg

<Files ~ "\.(inc|conf|cfg)$">

deny from all

</Files>

#Пароль на директорию

AuthType Basic

AuthName "Password Required"

AuthUserFile /serverAN/.htpasswd

Require valid-user

4.3 Безопасность при программировании

Защита программного кода должна соответствовать основным требованиям безопасности, не ухудшая при этом работу пользователя и не усложняя самому программисту разработку продукта. Вместе с тем, некоторые атаки могут основываться именно на таком подходе к защите, что приводит к ее постепенному ослаблению.

Web-серверы используют данные, переданные пользователем при обработке запросов. Часто эти данные применяются при составлении команд для генерации динамического содержимого запроса. Если при разработке не учитывать требования безопасности, злоумышленник получает возможность модифицировать исполняемые команды.

Создание таблицы зарегистрированных пользователей:

CREATE TABLE `client` (

`id` INT( 6 ) NOT NULL AUTO_INCREMENT ,

`nick` VARCHAR( 30 ) NOT NULL ,

`password` VARCHAR( 50 ) NOT NULL,

PRIMARY KEY ( `id` ))

ENGINE = MYISAM

Аутентификация пользователей:

$sql =”SELECT `password` from `client` where `nick`='$PHP_AUTH_USER'”;

$result = mysql($db, $sql);

$rpass = mysql_result($result,0,'password');

$sql = “select `password`('$PHP_AUTH_PW')”;

$result = mysql($db, $sql);

$pass = mysql_result($result,0);

if (mysql_num_rows ($result) != 1) {

Header(”HTTP/1.0 401 Auth Required”);

exit;

}

Поскольку существует несколько способов использования PHP, имеются различные опции, управляющие его поведением.

В случае, когда PHP используется как модуль Apache, он наследует права пользователя, с которыми был запущен веб-сервер (обычно это пользователь «nobody»). Такой подход влияет на обеспечение безопасности и авторизацию. Так, если использовать СУБД, которая не имеет встроенного механизма разграничения доступа, придется обеспечить доступ к БД для пользователя «nobody». В противном случае любой скрипт может получить доступ к базе данных и модифицировать ее, даже не зная логина и пароля.

Также возможна ситуация, когда веб-паук неверными запросами страницы администратора базы данных уничтожит все данные или даже структуру БД.

Подобных проблем можно избежать при помощи авторизации Apache или разработав собственную модель доступа, используя LDAP (Lightweight Directory Access Protocol - открытый протокол для создания запросов и управления службами каталога), файлы .htaccess или любые другие технологии, внедряя соответствующий код в скрипты разрабатываемого проекта.

Один из возможных способов обезопасить программный код перед его публикацией для общего доступа - индивидуальное использование функции error_reporting(), чтобы выявить потенциально опасные переменные. Тестируя код перед выпуском релиза при помощи значения E_ALL, можно обнаружить участки кода, в которых переменные могут быть подменены либо модифицированы. После окончания тестирования, установив значение E_NONE, можно полностью отключить вывод сообщений об ошибках.

4.4 Безопасность при работе с СУБД

СУБД MySQL использует защиту, основанную на Списках Управления Доступа (Access Control Lists, ACL) для всех подключений, запросов, и других операций, которые пользователь может пытаться исполнять. Имеется также некоторая поддержка для SSL-зашифрованных подключений между клиентами MySQL и серверами.

Перечень рекомендаций, позволяющих избежать наиболее распространенных проблем защиты при работе с MySQL, имеет следующий вид:

? никто, кроме администратора MySQL, не должен иметь доступ к списку паролей.

Если известен пароль определенного пользователя, можно легко войти как этот пользователь, если у злоумышленника есть доступ к компьютеру, перечисленному для этой учетной записи.

Пароль суперпользователя root должен быть только у администратора, который осуществляет контроль санкционированного использования данного пароля так же, как и остальных паролей пользователей.

? необходимо обеспечить разграничение прав доступа к данным;

Если есть два пользователя, которые могут совершать запросы к базе данных, и данные, которыми они пользуются, не пересекаются, нужно запретить доступ одного пользователя к данным другого. Если у одного из пользователей пароль будет похищен, злоумышленник получит доступ только к тем данным, которые принадлежат соответствующему пользователю MySQL.

? использовать систему привилегии доступа MySQL.

Команды GRANT и REVOKE используются для управления доступом к MySQL. Используя команды SHOW GRANTS и check, можно видеть, кто имеет доступ к данным. Удалить лишние привилегии позволяет команда REVOKE.

Не следует предоставлять больших привилегий, чем это необходимо для конкретного пользователя, а также предоставлять привилегии всем компьютерам в сети.

? не следует хранить в базе данных пароли в виде открытого текста;

В MySQL есть специальная функция, которая позволяет создавать шифрованные пароли. Для того, чтобы получить шифрованный пароль, можно воспользоваться такой командой в интерактивном режиме работы с MySQL:

update mysql.user set Password=password ('your_pass') where user='web';

В данном случае 'your_pass' является паролем, который будет зашифрован, а 'web' - имя пользователя, которому будет установлен такой пароль.

? не следует доверять данным, введенным пользователями;

Пользователи могут ввести специальные символы в Web-форме или URL. Необходимо, чтобы Web-приложение оставалось безопасным, если пользователь вводит что-то подобно: DROP DATABASE mysql;.

Также необходимо проверять числовые данные. Ввод символов, пробелов и специальных символов вместо чисел в числовых полях, изменение типов данных являются серьезными угрозами безопасности Web-приложения. Самый простой способ защиты состоит в том, чтобы использовать апострофы вокруг числовых констант:

$sql="SELECT `id_variant_obmena`, `kol_vo_komnat`, `obshchaya_ploshchad`, `zhil_ploshchad`, `ploshchad_kuhni`, `etazh`, `etazhnost`, `vysota_potolka`, `balkon`, `sanuzel`, `pol`, `plita`, `lift`, `id_mikroraion`, `id_tip_doma`, `god_postroiki`, `remont`, `nalichie_shkol`, `nalichie_bolnits`, `nalichie_infrastruktury`, `tsena` FROM `variant obmena` WHERE `variant obmena`.`kol_vo_komnat`=`1`;

MySQL автоматически преобразовывает эту строку к числу и убирает все нечисловые символы в запросе.

? следует использовать межсетевой экран. Он защитит, по крайней мере, от наиболее распространенных уязвимостей в любом программном обеспечении.

Создание базы данных:

CREATE DATABASE internetoffice;

Обновление пароля для суперпользователя root:

UPDATE mysql.user SET Password=PASSWORD('ayoweyawe252') WHERE user='root';

Создание новых пользователей в таблице USER:

GRANT RELOAD, PROCESS

ON *.* TO admin@"%"

IDENTIFIED BY 'asnub' WITH GRANT OPTION;

GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP

ON internetoffice.* TO admin@"%"

IDENTIFIED BY 'asnub' WITH GRANT OPTION;

GRANT SELECT, INSERT, UPDATE ON internetoffice.* TO agency@"%"

IDENTIFIED BY 'afwbxt';

GRANT SELECT, INSERT ON internetoffice.* TO client@"%";

4.5 Средства защиты Web-сервера

В настоящее время имеет место тенденция роста практического использования Web-приложений для решения различных задач бизнеса [14].

Для защиты Web-приложения наиболее целесообразно применять комплексный подход, сочетающий организационные и технические средства защиты. Организационные средства защиты связаны с разработкой и внедрением нормативно-правовых документов, таких как политика и концепция обеспечения информационной безопасности Web-приложения, должностные инструкции по работе персонала с автоматизированной системой приложения и т.д. Технические же средства защиты реализуются при помощи соответствующих программных, аппаратных или программно-аппаратных средств, которые обеспечивают выполнение целей и задач, определённых в соответствующих нормативно-правовых документах.

Использование комплексного подхода предполагает объединение технических средств защиты Web-приложения в интегрированный комплекс, включающий в себя подсистемы антивирусной защиты, контроля целостности, разграничения доступа, обнаружения вторжений, анализа защищённости, криптографической защиты информации, а также подсистему управления.

Ниже приведено описание основных функциональных возможностей этих подсистем, а также особенностей их применения для защиты Web-приложения.

Подсистема разграничения доступа

Подсистема разграничения доступа является основным элементом комплекса безопасности Web-приложения и предназначена для защиты информационных ресурсов проекта от несанкционированного доступа. При помощи средств защиты, входящих в эту подсистему, Web-приложение подразделяется на четыре функциональных сегмента (рис. 4.3):

? сегмент демилитаризованной зоны, в котором размещаются серверы, доступ к которым могут получить любые пользователи сети Интернет. К таким серверам относятся кэш-серверы, публичные Web-серверы и DNS-серверы;

? сегмент служебных серверов, доступ к ресурсам которых могут получить только администраторы или служебные сервисы Web-приложения;

? сегмент управления, в котором размещаются средства, необходимые для управления комплексом безопасности Web-приложения;

? коммуникационный сегмент, включающий в себя маршрутизаторы и коммутаторы, обеспечивающие взаимодействие между сегментами.

Разделение на отдельные сегменты позволяет изолировать различные ресурсы Web-портала друг от друга. В этом случае при компрометации сервера одного из сегментов приложения нарушитель не сможет получить доступ к информационным ресурсам, расположенным в других сегментах.

Разграничение доступа реализуется подсистемой на трёх уровнях стека TCP/IP - канальном, сетевом и прикладном.

На канальном уровне разграничение доступа осуществляется на основе виртуальных локальных сетей VLAN (Virtual Local Area Network), на которые разделяется Web-приложение. Деление на такие виртуальные сети производится при помощи настроек коммутаторов, в которых каждый физический порт включается в определённую виртуальную сеть. Хосты могут свободно обмениваться данными друг с другом в рамках одной виртуальной сети, а управление взаимодействием между различными виртуальными сетями осуществляется посредством списков контроля доступа ACL (Access Control List). В этих списках определяются правила, в соответствии с которыми разрешается или запрещается информационный обмен между разными сетями VLAN. Так, например, если для работы Web-портала два публичных Web-сервера не должны обмениваться между собой информацией, то они разделяются на разные виртуальные сети, между которыми запрещается взаимодействие. В случае, если нарушитель «взломает» один из публичных серверов Web-портала ему не удастся получить доступ к тем ресурсам, которые хранятся на других серверах, включённых в другие виртуальные сети.

На сетевом уровне разграничение доступа проводится при помощи двух межсетевых экранов (МЭ), обеспечивающие фильтрацию пакетов данных в соответствии с заданными критериями.

Второй межсетевой экран дублирует функции защиты на тот случай, если нарушитель сможет взломать внешний экран. Следует отметить, что потенциальная уязвимость атакам внешнего межсетевого экрана обусловлена тем, что он выполняет сложную фильтрацию пакетов данных на прикладном уровне при помощи программных модулей, которые могут содержать ошибки. Так уязвимость типа «переполнение буфера» позволяет злоумышленнику изменить путь исполнения программы путем перезаписи данных в памяти системы.

Используя эту уязвимость, нарушители могли получить полный контроль над межсетевым экраном и использовать его для развития атаки на сервера Web-приложения. Однако с учётом того, что внутренний межсетевой экран выполняет лишь базовую фильтрацию на сетевом и транспортном уровне, он не может быть уязвим в отношении тех атак, которые используют уязвимости модулей, занятых обработкой пакетов данных на прикладном уровне.

Внешний межсетевой экран также выполняет защиту от атак типа «отказ в обслуживании» (denial of service), которые реализуются путём формирования большого числа запросов на установление сетевых соединений с публичными Web-серверами. В результате проведения атаки Web-сервера не справляются с обработкой всех запросов, что приводит к выходу из строя всего Web-портала. Защита от такого рода атак обеспечивается путём ограничения максимального количества входящих TCP-соединений, которые могут быть установлены с одного IP-адреса. В этом случае межсетевой экран будет блокировать все попытки установить сетевые соединения, количество которых превышает заданное ограничение, обеспечивая тем самым защиту Web-серверов от перегрузки их вычислительных ресурсов.

Разграничение доступа на прикладном уровне реализуется средствами прикладного программного обеспечения, установленного на серверах Web-портала. Это ПО должно обеспечивать идентификацию и аутентификацию администратора и некоторых пользователей портала и назначать им соответствующие права доступа к файловым ресурсам. Аутентификация может обеспечиваться на основе паролей или цифровых сертификатов.

Подсистема антивирусной защиты

Подсистема антивирусной защиты должна обеспечивать выявление и удаление информационных вирусов, которые могут присутствовать в ресурсах Web-приложения. Подсистема состоит из двух компонентов - модулей-датчиков, предназначенных для обнаружения вирусов и модуля управления антивирусными датчиками. Сами датчики устанавливаются на все серверы Web-приложения, а также на АРМ администратора.

Подсистема контроля целостности

Подсистема контроля целостности должна обеспечивать выявление несанкционированного искажения содержимого Web-портала. Она не является превентивным средством защиты, поскольку позволяет выявить лишь последствия информационного вторжения. Однако наличие такой подсистемы необходимо, поскольку если все имеющиеся средства защиты пропустили информационную атаку, то подсистема контроля целостности позволяет выявить её последствия.

Алгоритм работы этой подсистемы выглядит следующим образом. Для заданного множества файлов подсистема вычисляет эталонные контрольные суммы. По истечению определённого временного интервала подсистема заново вычисляет контрольные суммы файлов и сравнивает их с ранее сохранёнными эталонными значения. При выявлении несоответствия между эталонным и полученным значением фиксируется факт искажения файлового ресурса, о чём немедленно оповещается администратор.

Подсистема обнаружения вторжений

Подсистема обнаружения вторжений предназначена для выявления сетевых атак, направленных на информационные ресурсы портала.

В состав подсистемы обнаружения вторжений должны входить два типа датчиков: хостовые и сетевые. Сетевые датчики представляют собой отдельный программно-аппаратный блок, предназначенный для пассивного сбора и анализа информации обо всех пакетах данных, которые передаются в том сегменте, в котором установлен датчик. Хостовые же датчики представляют собой программные модули, которые устанавливаются на серверы приложения и анализируют только те пакеты данных, которые поступают на эти серверы. Хостовые датчики, в отличие от сетевых, позволяют не только выявлять, но и блокировать сетевые атаки посредством фильтрации потенциально опасных пакетов данных.

Информация, собранная сетевыми и хостовыми датчиками, анализируется модулем выявления атак с целью обнаружения возможных вторжений нарушителей. Анализ данных может проводиться при помощи двух основных групп методов - сигнатурных и поведенческих.

Сигнатурные методы описывают каждую атаку в виде специальной модели или сигнатуры. В качестве сигнатуры атаки могут выступать: строка символов, семантическое выражение на специальном языке, формальная математическая модель др. Поведенческие методы, в отличие от сигнатурных, базируются не на моделях информационных атак, а на моделях штатного процесса функционирования Web-приложения.

Подсистема анализа защищенности

Подсистема анализа защищённости предназначена для выявления уязвимостей в программно-аппаратном обеспечении Web-приложения. Примерами таких уязвимостей могут являться неправильная конфигурация сетевых служб, наличие программного обеспечения без установленных модулей обновления (service packs, patches, hotfixes), использование неустойчивых к угадыванию паролей и др. По результатам работы подсистемы анализа защищённости формируется отчёт, содержащий информацию о выявленных уязвимостях и рекомендации по их устранению.

Подсистема криптографической защиты

Подсистема криптографической защиты предназначена для обеспечения защищённого удалённого взаимодействия с Web-порталом. Подсистема базируется на технологии виртуальных частных сетей VPN (Virtual Private Network), позволяющей создавать защищённые сетевые соединения, в рамках которых проводится аутентификация пользователей, а также обеспечивается конфиденциальность и контроль целостности передаваемых данных. Установка, управление и закрытие таких соединений осуществляется при помощи специализированных крипторотоколов: SSL, IPSec, SKIP, PPTP, L2F, L2TP.

В состав подсистемы криптографической защиты информации входит VPN-шлюз, который устанавливается в Web-приложении и VPN-клиенты, устанавливаемые на рабочие станции администраторов, а также на станции тех пользователей, для которых необходимо обеспечить защищённое взаимодействие с серверами приложения. VPN-шлюз устанавливается в коммуникационном сегменте между внешним и внутренним межсетевым экраном. Такая схема установки позволят использовать внутренний экран для фильтрации пакетов данных уже после того, как они будут расшифрованы VPN-шлюзом.

Подсистема управления средствами защиты

Подсистема управления средствами защиты размещается в одноимённом сегменте Web-приложения. Подсистема включает в себя АРМ администратора, с которого осуществляется управление, а также служебные серверы, необходимые для функционирования соответствующих средств защиты.

Подсистема также дополнительно может включать в себя модуль корреляции событий, зарегистрированных различными подсистемами защиты. Наличие такого модуля позволяет автоматизировать обработку большого объёма информации, регистрируемой в Web-приложении, и в соответствии с заданным набором правил выделить наиболее критические события, которые требуют немедленного реагирования.

Поскольку комплекс средств защиты Web-приложения сам может выступать в качестве цели возможной атаки, то все его подсистемы должны быть оснащены собственными механизмами безопасности.

Заключение

Квалификационная работа была разработана в соответствии с техническим заданием. При разработке была проанализирована деятельность агентства недвижимости «Лидер», в результате чего была поставлена задача разработки автоматизированной информационной системы обменных операций жилого фонда на примере агентства недвижимости «Лидер» и выбраны комплекс технических средств, пакет программ, посредством которых была реализована данная задача.

Для достижения этой задачи были проведены: сбор и предварительная обработка необходимых статистических и технико-экономических данных, связанных с деятельностью агентства недвижимости «Лидер», сбор и анализ информации по теме дипломной проекта, также был проведён обзор рынка существующих автоматизированных информационных систем.

Результатом данной квалификационной работы является разработка автоматизированной информационной системы обменных операций жилого фонда агентства недвижимости «Лидер». В процессе выполнения работы были составлены алгоритмы, необходимые для работы системы, был осуществлен выбор необходимых технических средств.

В процессе разработки программы выполнены требования к функциональным характеристикам, к операционной и программной совместимости. Разработка автоматизированной информационной системы обменных операций агентства недвижимости «Лидер» и ее внедрение позволяет достигнуть расширения спектра услуг по сопровождению сделок с недвижимостью за счет подбора вариантов обмена путем построения обменных схем, публикации объявлений в интернет-офисе компании, получения контактной информации владельцев квартир; обеспечить более высокий уровень качества проводимых операций за счет улучшения условий хранения, передачи и обработки информации, повышения оперативности при обработке данных, сокращения времени обработки и получения оперативных данных по заказам.

В разделе «Экономическая эффективность» была рассчитана оптимальность проекта.

В разделе «Информационная безопасность» были рассмотрены средства защиты Web-сервера.

Таким образом, исходя из вышесказанного, можно сделать вывод о том, что автоматизированная информационная система, разработанная в ходе проведения проектной части может использоваться с целью облегчения обменных процессов в любой риэлторской компании.

Список источников информации

1. Акимов О.Е. Дискретная математика. Логика, группы, графы. - М.: Лаборатория базовых знаний, 2013. - 376 с.

2. Балдин К.В., Уткин В.Б. Информационные системы в экономике. - 5-е изд. - М.: Издательско-торговая корпорация «Дашков и Ко», 2012. - 395 с.

3. Батяев А.А. Справочник риелтора. Ростов-на-Дону: Феникс, 2006. - 13 с.

4. Берзин Е.А. Элементарные решения неэлементарных задач на графах (Под ред. Кудинова А.Н.). - Тверь: ТГТУ, 2005. - 136 с.

5. Бурков В.Н., Заложнев А.Ю., Новиков Д.А. Теория графов в управлении организационными системами. - М.: Синтег, 2001. - 124 с.

6. Гражданский кодекс Российской Федерации от 21.10.1994г.

7. Жилищный кодекс Российской Федерации от 22.12.2004г.

8. Ильичев В.Г., Ильичева В.В. К вопросу о моделировании обмена квартир.// Экономика и математические методы. 2011. Т. 37. №1. С.112-117.

9. Карминский А.М., Черников Б.В. Информационные системы в экономике: В 2-х ч. Ч.1. Методология создания: Учебное пособие. - М.: Финансы и статистика, 2006. - 336 с.

10. Козлова Н.Н. Как купить и продать квартиру. М.: «Омега-Л», 2006. - 44 с.

11. Кормен Т., Лейзерсон Ч., Ривест Р. Элементарные алгоритмы для работы с графами // Алгоритмы: построение и анализ (второе издание). -- М.: «Вильямс», 2014. -- С. 622-632.

12. Черкасов Ю.М. Информационные технологии управления. М. 2007. «ИНФРА-М». - 197 с.

13. Шебалин В.Г., Самохина О.К., Шамонова Е.Г., Кузьмина А.К. Сделки с недвижимостью. М.: «Омега-Л», 2013. - 21 с.

14. www.antivir.ru/main.phtml?/press_about_us/portal_protect

15. www.cmsmagazine.ru/catalogue

16. www.compress.ru

17. www.docs.php.net/manual/ru/

18. www.ecrn.ru

19. www.eLIBRARY.ru

20. www.en.wikipedia.org/wiki/Comparison_of_SQL_database_management_systems

21. www.htaccess.net.ru/

22. www.interface.ru

23. www.intuit.ru

24. www.mysql.ru/docs/

25. www.php-myadmin.ru

26. www.php.su

27. www.sql.ru

28. www.troels.arvin.dk/db/rdbms/

Размещено на Allbest.ru

...