Основными задачами в сфере развития системы защиты информации в ООО «Альпака-М» являются:

- формирование и совершенствование системы защиты информации, развитие ее научно-технического и кадрового потенциала;

- создание необходимых и достаточных правовых, организационных, экономических и научно-технических условий для обеспечения деятельности системы защиты информации;

- обеспечение эффективной технической защиты информации на объектах муниципальных органов и организаций;

- создание эффективной и гибкой системы управления системой защиты информации.

Основными принципами развития системы защиты информации в ООО «Альпака-М» являются:

- соответствие уровня развития системы защиты информации задачам обеспечения национальной безопасности Российской Федерации, безопасности и устойчивого развития ООО «Альпака-М» с учетом его экономических возможностей;

- обеспечение на территории ООО «Альпака-М» своевременной и адекватной реакции на возникающие и прогнозируемые угрозы ведения технической разведки, утечки информации по техническим каналам, несанкционированного доступа к информации и специальных воздействий на нее;

- использование новейших методов руководства системой защиты информации и ее развития;

- программно-целевое планирование развития системы защиты информации.

Основные направления формирования и развития системы защиты информации в ООО «Альпака-М» реализуются в результате целенаправленной повседневной деятельности ООО «Альпака-М» и организаций путем выполнения общегосударственных и региональных научно-технических программ в области защиты информации, а также программ информатизации общества, и могут быть выполнены:

1. При решении задачи формирования и совершенствования организационной структуры системы защиты информации, развития ее научно-технического и кадрового потенциала, т.е. при условии:

- формирования обособленного структурного подразделения (службы) или учреждения по защите информации;

- создания и развития системы подготовки и переподготовки специалистов в области защиты информации.

2. При решении задачи создания необходимых и достаточных правовых, организационных, экономических и научно-технических условий для обеспечения деятельности системы защиты информации, т.е. при условии:

- совершенствования концептуальных и правовых основ деятельности системы защиты информации;

- организации и обеспечения работ по выявлению и оценке угроз безопасности информации, прогнозированию их развития, разработке типового перечня угроз безопасности информации для объектов защиты;

- разработки нормативных правовых актов и методических документов по защите информации, конкретизирующих и дополняющих документы федерального уровня, обеспечении ими организаций;

- оснащения объектов информатизации муниципальных органов и организаций современными сертифицированными средствами защиты информации (в том числе средствами контроля эффективности защиты информации).

3. При решении задачи обеспечения эффективной технической защиты информации в организациях, т.е. при условии:

- разработки и внедрения типовых систем защиты информации для объектов муниципальных органов и организаций;

- проведения мероприятий по защите информации при организации выставок, конференций, совещаний, в том числе с использованием открытых информационных систем;

- использования только легального и сертифицированного общего и специального программного обеспечения, сертифицированных средств защиты информации.

4. При решении задачи создания эффективной и гибкой системы управления системой защиты информации, приспособленной к изменяющимся условиям обстановки, т. е. при условии:

- создания системы мониторинга состояния системы защиты информации в интересах информационного обеспечения принятия решений по защите информации;

- создания и развертывания информационно-аналитической системы защиты информации.

В рамках же данного дипломного исследования рассматриваются проблемы безопасной эксплуатации сайтов ООО «Альпака-М» и пути их решения.

2.3 Безопасность веб-сайта ООО «Альпака-М»

В первой главе были рассмотрены вопросы правильного выбора системы управления контентом сайта. Кроме того, необходимо рассматривать вопросы надежного хостинга, серверного программного обеспечения и своевременного проведения мероприятий, направленных на снижение вероятности возникновения проблемных ситуаций на веб- проектах.

Одной из первостепенных задач для владельцев веб-проектов является качественная и надежная защита от хакерских атак, взлома и кражи хранящейся на сайте информации. Для этого в системе «1С-Битрикс: Управление сайтом» предусмотрен модуль «Проактивная защита», с помощью которого реализуется целый комплекс защитных мероприятий для сайта и сторонних приложений. Проактивная защита является существенным дополнением к стандартной политике безопасности продукта. Поэтому одноименный модуль включен во все редакции продукта «1С-Битрикс: Управления сайтом» (кроме Старта). Обращает на себя внимание и тот факт, что «Проактивная защита» и «Проактивный фильтр» впервые в мире включены непосредственно в сам продукт.

Модуль «Проактивная защита» представляет собой целый ряд технических решений по обеспечению безопасности продукта и разработанных веб-приложений, объединенных общей концепцией безопасности. Несколько уровней защиты от большинства известных атак на веб-приложения, включенных в этот модуль, серьезно повышают безопасность разработанных пользователями интернет-проектов. В комплекс по защите веб-приложений включены: [22]

1. Проактивный фильтр (WAF - Web Application Firewal), обеспечиваю- щий защиту от большинства известных атак на веб-приложения. В потоке внешних запросов пользователей проактивный фильтр распознает большинство опасных угроз и блокирует вторжения на сайт. Проактивный фильтр - наиболее эффективный способ защиты от возможных ошибок безопасности, допущенных при реализации интернет-проекта (XSS, SQL Injection, PHP Including и ряда других). Действие фильтра основано на анализе и фильтрации всех данных, поступающих от пользователей через переменные и куки. Фильтр обеспечивает:

- защиту от большинства известных атак на веб-приложения;

- экранирование приложения от наиболее активно используемых атак;

- создание списка страниц-исключений из фильтрации (по маске);

- распознавание большинства опасных угроз;

- блокировку вторжений на сайт;

- защиту от возможных ошибок безопасности;

- фиксирование попыток атак в журнале;

- информирование администратора о случаях вторжения;

- настройку активной реакции - действий системы при попытке вторжения на сайт (сделать данные безопасными; очистить опасные данные; добавить IP адрес атакующего в стоп-лист на определенное количество минут; занести попытку вторжения в журнал);

- обновление вместе с продуктом.

2. Веб-антивирус - компонент защиты, полностью соответствующий общей концепции безопасности продуктов «1С-Битрикс» и повышающий защищенность и скорость реакции веб-приложения на веб-угрозы

«Веб-антивирус» препятствует имплантированию вредоносного кода непосредственно в веб-приложения. И происходит это следующим образом.

«Веб-антивирус» выявляет в HTML коде потенциально опасные участки и «вырезает» подозрительные объекты из кода сайта. В итоге вирусы не могут проникнуть на компьютер пользователя сайта - антивирус препятствует этому. И, что особо важно, «Веб-антивирус» уведомляет администратора портала - предупреждает о наличии инфицирования. Получая информацию об этом, администратор ищет источник зловредного кода, проводит «зачистку» компьютера и усиливает профилактические меры.

Веб-антивирус как система противодействия заражениям сайтов:

- выявляет в HTML коде потенциально опасные участки;

- определяет 90% заражений сайта;

- информирует администратора сайта;

- включает «белый список» для отсечения ложно-положительных срабатываний.

3. Панель безопасности с уровнями защищенности, предназначенная для выдачи рекомендаций пользователю по повышению защищенности собственного сайта. Панель позволяет выбрать и настроить один из уровней безопасности модуля: стандартный; высокий; повышенный (рисунок 2.1).

Начальный уровень безопасности получают проекты на базе Bitrix Framework без установленного модуля «Проактивная защита». Стандартный уровень - в проекте задействованы стандартные инструменты проактивной защиты продукта:

- проактивный фильтр (на весь сайт без исключений);

- ведется журнал вторжений за последние 7 дней;

- включен контроль активности;

- повышенный уровень безопасности для группы администраторов;

- использование CAPTCHA при регистрации;

- режим вывода ошибок (только ошибки).

Высокий уровень - рекомендованный уровень защиты для проектов, выполнивших требования стандартного уровня, и дополнительно включившие:

- журналирование событий главного модуля;

- защита административной части;

- хранение сессий в базе данных;

- смена идентификатора сессий.

Рис. 2.1. Настройка одного из уровней безопасности модуля

Повышенный уровень включает специальные средства защиты, обязательные для сайтов, содержащих конфиденциальную информацию пользователей, для интернет-магазинов, для тех, кто работает с критичной информацией. Дополнительно к высокому уровню обеспечиваются:

- включение одноразовых паролей;

- контроль целостности скрипта контроля.

4. Технология одноразовых паролей (OTP) обеспечивает поддержку одноразовых паролей и их выборочное использование для любых пользователей на сайте. Данная технология рекомендуется задействовать администраторам сайтов, поскольку это сильно повышает уровень безопасности пользовательской группы «Администраторы».

Система одноразовых паролей дополняет стандартную систему авторизации и позволяет значительно усилить систему безопасности интернет-проекта. Для включения системы необходимо использовать аппаратное устройство (например, Aladdin eToken PASS) или соответствующее программное обеспечение, реализующее OTP. Технология способствует строгой аутентификации пользователя. Физический брелок выдает уникальные одноразовые пароли и только при нажатии, делая его похищение или перехват паролей бессмысленным. Технология обеспечивает:

- усиление системы безопасности интернет-проекта;

- использование аппаратных устройств;

- использование ПО, реализующего OTP;

- расширенная аутентификация с одноразовым паролем - при авторизации на сайте пользователь в дополнение к паролю дописывает одноразовый пароль;

- авторизация только с использованием имени (login) и составного пароля;

- заполнение при инициализации двух последовательно сгенерированных одноразовых паролей, полученных с устройства;

- восстановление синхронизации в случае нарушения синхронизации счетчика генерации в устройстве и на сервере.

5. Двусторонняя TLS-аутентификация, весь необходимый функционал которой реализован с помощью специально разработанного для продуктов

«1С-Битрикс» модуля TrustedBitrixLogin. Модуль позволяет безопасно передавать необходимую информацию (организуется защищенный канал с передачей данных по TLS-протоколу с использованием ГОСТ-алгоритмов шифрования) и автоматически обеспечить проверку подлинности как клиента, так и сервера.

Чтобы внедрить технологию TLS-аутентификации на создаваемый корпоративный портал, потребуется установить и настроить ПО компании

«Цифровые технологии»: на сервере - Trusted TLS, «КриптоАРМ»,

«КриптоПро CSP», на клиенте: «КриптоПро CSP».

6. Защита авторизованных сессий - механизм, исключающий похищение данных об авторизованной сессии в результате атаки на веб-приложение. Для авторизованной сессии администратора - это особо важная задача. В дополнение к стандартным инструментам защиты сессий, которые устанавливаются в настройках группы, механизм защиты сессий включает специальные - и в некотором роде уникальные.

Хранение данных сессий в таблице модуля позволяет избежать чтения этих данных через скрипты других сайтов на том же сервере, исключив ошибки конфигурирования виртуального хостинга, ошибки настройки прав доступа во временных каталогах и ряд других проблем настройки операционной среды. Кроме того, это разгружает файловую систему, перенося нагрузку на сервер базы данных. Механизм обеспечивает:

- защиту сессий несколькими способами (время жизни сессии; смена идентификатора сессии раз в несколько минут; маска сети для привязки сессии к IP; хранение данных сессий в таблице модуля);

- исключение ошибок конфигурирования виртуального хостинга;

- исключение ошибок настройки прав доступа во временных каталогах;

- исключение проблем настройки операционной среды;

- разгрузку файловой системы;

- бесполезность похищения сессий злоумышленниками.

7. Контроль активности, позволяющий установить защиту от чрезмерно активных пользователей, программных роботов, некоторых категорий DDoS- атак, а также отсекать попытки подбора паролей перебором. В настройках можно установить максимальную активность пользователей для вашего сайта (например, число запросов в секунду, которые может выполнить пользователь). Кроме того, механизм обеспечивает:

- фиксирование превышения лимита активности пользователя в Журнале вторжений;

- блокирование пользователя, превысившего количество запросов в заданный временной интервал;

- вывод для заблокированного пользователя специальной информационной страницы.

8. Журнал вторжений, регистрирующий все события, происходящие в системе, в том числе необычные или злонамеренные. Оперативный режим регистрации этих событий позволяет просматривать соответствующие записи в Журнале сразу же после их генерации. В свою очередь, это позволяет обнаруживать атаки и попытки атак в момент их проведения. Это значит, у вас есть возможность немедленно принимать ответные меры, и, в некоторых случаях, даже предупреждать атаки. Кроме того, механизм обеспечивает:

- отбор злонамеренных событий по фильтру;

- просмотр и анализ событий в реальном времени;

- немедленную реакцию, как ответную меру на событие;

- профилактику и предупреждение событий на основе их анализа.

9. Защита административного раздела, позволяющая компаниям строго регламентировать сети, которые считаются безопасными и из которых разрешается сотрудникам администрировать сайт. Специальный простой интерфейс позволяет задать список или диапазоны IP-адресов, из которых как раз и позволяется управление сайтом.

Применение данной защиты делает неэффективными любые XSS/CSS-атаки на компьютер пользователя и похищение перехваченных данных для авторизации с чужого компьютера.

10. Стоп-лист - таблица, содержащая параметры, используемые для ограничения доступа посетителей к содержимому сайта и перенаправлению на другие страницы. Все пользователи, которые попытаются зайти на сайт с IP-адресами, включенными в стоп-лист, будут блокированы. Технология обеспечивает:

- перенаправление посетителей, параметры которых содержатся в стоп- листе;

- блокировку пользователей по IP адресам из стоп-листа;

- ручное пополнение стоп-листа новыми записями;

- учет статистики пользователей, которым запрещен доступ к сайту;

- установку периода действия запрета на доступ к сайту для пользователя, IP-сети, маску сети, UserAgent и ссылку, по которой пришел пользователь;

- изменяемое сообщение, которое будет показано пользователю при попытке доступа к сайту.

11. Контроль целостности скрипта - механизм проверки скрипта контроля на наличие изменений. При первом запуске скрипта в форму вводится произвольный пароль (состоящий из латинских букв и цифр, длиной не менее 10 символов), а также произвольное кодовое (ключевое) слово (отличное от пароля). Символьный пароль обеспечивает защиту целостности скрипта.

12. Контроль целостности файлов - механизм, быстро определяющий изменения в файлах системы. Позволяет в любое время проверить целостность ядра, системных областей, публичной части продукта.

Указанные технологии и механизмы позволят существенно повысить защищенность сайта. Причем, безопасность сайта подразумевает не только безопасность кода и используемого ПО, но и безопасность его администрирования, сохранность паролей, защиту от перегрузок, а также решение ряда организационных и технических вопросов с провайдером. При дальнейшей эксплуатации сайта начинается долгий, непрерывный и отчасти рутинный процесс обеспечения его постоянной готовности к различным атакам хакеров.

«1С-Битрикс: Управление сайтом» - это профессиональная система управления сайтом, состоящая из модулей, каждый из которых несет в себе определенную функциональность. Практически любой сайт на PHP можно перевести под управление «1С-Битрикс: Управление сайтом», сразу имея в распоряжении целый набор уже готовых функциональных возможностей таких как: новостные блоки, форумы, блоги, каталоги товаров, почта, рассылки, опросы, веб-формы, аналитика посещаемости сайта и другие полезные вещи. Программный код модулей полностью открыт и может быть изменен веб программистом. Для реализации функций безопасности, программный комплекс имеет набор необходимых модулей.

Глава 3. Рекомендации по настройке модуля «Проактивная защита» в ООО «Альпака-М»

3.1 Настройка стандартного уровня проактивной защиты

Основой рассматриваемого программного пакета «1С-Битрикс: Управление сайтом» является универсальная программная среда (CMF) для разработки индивидуальных Интернет-решений Bitrix Framework [22]. CMF - это программная платформа (набор инструментов), с помощью которых, можно создать любой законченный веб-продукт, в частности CMS систему.

Любой веб-проект на базе Bitrix Framework обязательно имеет начальный уровень защиты. Повысить этот уровень можно с помощью модуля «Проактивная защита», настроив один из следующих уровней безопасности:

- стандартный;

- высокий;

- повышенный.

Стандартный уровень защиты сайта означает, что проактивный фильтр должен быть включен и не должно быть задано ни одного исключения.

Причем для уровней справедливо понятие «вложенности». Т.е., чтобы настроить защиту сайта на высоком уровне, необходимо сначала настроить стандартный уровень защиты, а затем настроить все параметры высокого уровня. Соответственно, чтобы настроить защиту на повышенном уровне, необходимо настроить высокий уровень защиты, а затем настроить параметры повышенного уровня.

Информация о текущем уровне безопасности сайта представлена на вкладке «Панель безопасности», которую можно получить с помощью команд Настройки, Проактивная защита, Панель безопасности (см. рисунок 2.1). Для каждого уровня приведена соответствующая таблица параметров их значений, а также указаны, в случае необходимости, рекомендации по изменению значений параметров.

Если для какого-то параметра установлено несоответствующее значение, то в поле «Рекомендации» будет отображено необходимое для выполнения действие.

Ранее было отмечено, что проактивный фильтр - это набор специализированных средств, которые выполняют фильтрацию трафика. Фильтр обеспечивает защиту от большинства известных атак на веб- приложения. В потоке внешних запросов пользователей проактивный фильтр распознает большинство опасных угроз и блокирует вторжения на сайт.

Включение или отключение проактивного фильтра выполняется на вкладке «Проактивный фильтр» (вкладку можно получить командами Настройки, Проактивная защита, Проактивный фильтр) с помощью кнопки

«Включить проактивную защиту» (или «Выключить проактивную защиту») (Рис.3.1).

Рис. 3.1 Проактивный фильтр

При необходимости могут быть заданы исключения из проактивного фильтра (вкладка «Исключения»), т.е. проактивный фильтр не будет применяться на страницах, указанных на данной закладке.

На вкладке «Активная реакция» (Рис.3.2) настраиваются действия системы при попытке вторжения на сайт. На вкладке можно установить:

1) необходимый способ реакции на вторжение:

Рис. 3.2 Параметры активной реакции на вторжение

- «Сделать данные безопасными» - опасные данные будут модифицированы (например, select будет заменен на sel ect);

- «Очистить опасные данные» - введенные опасные данные будут удалены;

- «Оставить опасные данные как есть» - с опасными данными никаких действий выполняться не будет.

2) блокировку пользователя на некоторое количество минут (опция

«Добавить IP-адрес атакующего в стоп-лист»). При этом период времени блокировки задается в поле «На сколько минут добавлять в стоп-лист». При настройке параметров добавления IP-адреса атакующего в стоп-лист становится возможной атака, когда действия злоумышленника могут привести к блокировке посетителей сайта;

3) фиксацию попыток атаки (опция «Занести попытку вторжения в журнал»).

При установке параметров необходимо иметь ввиду, что некоторые действия пользователей, не представляющие угрозы, тоже могут выглядеть подозрительно и вызывать ложное срабатывание фильтра. Кроме того, проактивный фильтр не работает для тех групп пользователей, для которых в правах доступа к модулю «Проактивная защита» разрешена операция «Обход проактивного фильтра» (см. уровни доступа к модулю «Проактивная защита») (Рис.3.3).

Рис. 3.3. Включаемые операции уровня доступа к модулю «Проактивная защита»

Журнал вторжений предназначен для ведения логов событий, связанных с потенциальными угрозами для безопасности сайта. Журнал можно вызвать с помощью команд Настройки, Проактивная защита, Журнал вторжений (Рис. 3.4). Период времени, в течение которого хранятся записи, определяется настройками Главного модуля на закладке Журнал событий.

В журнале представлена следующая информация о событии:

Рис. 3.4. Журнал вторжений

- дата и время события;

- название произошедшего события;

- объект события;

- IP-адрес, с которого производилась атака. По гиперссылке «[стоп- лист]» можно добавить адрес в стоп-лист модуля Веб-аналитика;

- URL страницы, на которой выполнялось вторжение;

- имя пользователя, если событие было выполнено зарегистрированным пользователем или идентификатор гостя (при наличии модуля Веб- аналитика);

- описание события;

- срочность (SECURITY или WARNING);

- источник события;

- используемый User Agent;

- сайт, на котором произошло событие.

В журнале фиксируются события следующих типов:

- со стороны модуля Веб-аналитика: превышение лимита активности;

- со стороны модуля «Проактивная защита»: попытки внедрения SQL и PHP, попытки атак через XSS, попытки заражения вирусами и фишинга через редирект;

- со стороны модуля Форум: операции над темами и сообщениями форумов;

- со стороны Главного модуля: успешный вход и выход из системы, запрос на смену и смена пароля пользователя, ошибки входа и входа при сохраненной авторизации, регистрация нового пользователя, ошибка регистрации и удаление пользователя.

Контроль активности пользователей ведется на основе средств модуля Веб-аналитика и, следовательно, доступен только в тех редакция продукта, в которые входит этот модуль. Контроль активности позволяет установить защиту от чрезмерно активных пользователей, программных роботов, некоторых категорий DDoS-атак, а также отсекать попытки подбора паролей перебором.

Включение или отключение контроля активности выполняется на вкладке «Контроль активности», которая вызывается последовательным вызовом команд Настройки, Проактивная защита, Контроль активности. Активация/деактивация выполняется с помощью кнопки «Включить контроль активности» (или «Выключить контроль активности») (Рис.3.5).

Рис. 3.5. Контроль активности

На закладке Параметры задаются параметры максимальной активности пользователей вашего сайта (Рис.3.6).

Рис. 3.6. Настройка параметров контроля активности

Таким образом, если пользователь превысит количество запросов за указанное количество секунд, то он будет заблокирован на заданное время. При этом ему будет отображена специальная страница, шаблон которой можно отредактировать по ссылке редактировать шаблон. Для фиксации превышения лимита активности в журнале вторжений необходимо отметить опцию «Сделать запись в журнале событий». Стандартный уровень защиты сайта предусматривает включение контроля активности.

Чтобы защита веб-проекта осуществлялась на стандартном уровне, необходимо задать повышенный уровень безопасности для группы администраторов. По умолчанию данный параметр уже настроен. Если по каким-либо причинам уровень безопасности группы администраторов отличается от повышенного, то необходимо выполнить следующее:

- на вкладке «Панель безопасности», которая вызывается командами Настройки, Проактивная защита, Панель безопасности, необходимо нажать ссылку «Включить повышенный». Откроется форма редактирования группы на вкладке Безопасность (Рис.3.7);

- в поле «Предопределенные настройки уровня безопасности» указать

«Повышенный уровень»;

- затем сохранить внесенные изменения.

Рис. 3.7. Настройка уровня безопасности группы

Кроме того, во второй главе отмечалось, что необходимым условием для защиты сайта на стандартном уровне является использование CAPTCHA при регистрации новых пользователей. Данная опция включается в настройках главного модуля на вкладке Авторизация (Рис. 3.8).

Рис. 3.8. Настройка использования CAPTCHA при регистрации

Настройка внешнего вида CAPTCHA выполняется на странице CAPTCHA, которая вызывается командами Настройки, Настройки продукта, CAPTCHA.

Наряду с параметром «Использовать CAPTCHA при регистрации», необходимо настроить еще один параметр главного модуля - «Режим вывода ошибок (error_reporting)», чтобы защита сайта осуществлялась на стандартном уровне безопасности. Для этого:

- перейти на вкладку настроек Главного модуля (последовательный выбор команд Настройки, Настройки продукта, Настройки модулей, Главный модуль);

- затем в поле «Режим вывода ошибок (error_reporting)» необходимо указать «Только ошибки» или «Не выводить» (Рис. 3.9).

Рис. 3.9. Настройка режима вывода ошибок

Режим «Ошибки и предупреждения» устанавливает начальный уровень безопасности.

Для осуществления защиты веб-проекта на стандартном уровне показ ошибочных данных должен быть выключен, т.е. переменная $DBDebug должна принимать значение false. Таким образом, в случае ошибки при создании соединения с базой или выполнения запроса полный текст ошибки

будет отображаться только администраторам сайта. Если же переменная принимает значение true, то полный текст ошибки будет отображаться всем пользователям сайта.

Изменение значения переменной $DBDebug выполняется в файле

/bitrix/php_interface/dbconn.php.

3.2 Настройка высокого уровня безопасности проактивной защиты

После настройки стандартного уровня безопасности веб-проекта можно установить и высокий уровень безопасности, сначала необходимо, а затем выполнить настройку параметров для высокого уровня, параметры которого представлены на рисунке 3.10.

Рис. 3.10. Параметры высокого уровня безопасности

Если некоторые параметры высокого уровня безопасности принимают несоответствующие значения, то защита сайта будет осуществляться на стандартном или начальном (если настроены не все параметры стандартного уровня) уровне, но с учетом настроенных параметров на стандартном, высоком и повышенном уровнях.

Первоначально необходимо задать журналирование событий главного модуля. Данный параметр подразумевает целый ряд настроек Главного модуля. Вызов окна для настроек осуществляется командами: Настройки, Настройки продукта, Настройки модулей, Главный модуль (Рис.3.11).

Чтобы защита сайта велась на высоком уровне, должны быть отмечены следующие события:

- записывать выход из системы;

- записывать успешный вход;

- записывать ошибки входа;

- записывать регистрацию нового пользователя;

- записывать ошибки регистрации;

- записывать запросы на смену пароля;

- записывать смену пароля;

- записывать удаление пользователя;

- записывать изменение групп пользователя;

- записывать изменение политики безопасности группы;

- записывать изменение доступа к модулю;

- записывать изменение доступа к файлу;

- - записывать изменение уровня доступа.

Рис. 3.11. Настройка журналирования событий

Даже если не будет отмечена только одна из вышеперечисленных обязательных опций, то считается, что параметр «Журналирование событий главного модуля» принимает несоответствующее значение, и защита сайта будет осуществляться на стандартном (или начальном) уровне безопасности.

Защита административной части сайта осуществляется с помощью ограничения доступа со всех, кроме указанных в настройках IP-адресов. Включение или отключение защиты выполняется на вкладке «Защита административного раздела», которая вызывается последовательным исполнением команд Настройки, Проактивная защита, Защита административного раздела (Рис.3.12).

Рис. 3.12 Защита административного раздела

Перед включением защиты административной части необходимо внести в список IP-адреса и диапазоны, с которых разрешен доступ к административной части свой IP-адрес и дополнительные адреса (или диапазоны), с которых разрешен доступ. Кроме того, чтобы защита веб- проекта осуществлялась на высоком уровне, защита административного раздела должна быть включена.

Снять ограничение по IP-адресам можно посредством создания специального файла, путь к которому задается в настройках модуля Проактивная защита (Рис.3.13). По умолчанию файл имеет имя следующего формата: ipcheck_disable_<случайный_набор_из_32_символов>.

Кроме защиты административной части сайта важным является хранение сессий и смена идентификатора. Сессия пользователя - это ключе- вой объект атаки на веб-сайт с целью похищения сессии авторизованного пользователя и в особенности администратора. В базовой поставке продукта защита сессий настраивается в политике безопасности каждой группы пользователей с помощью параметров:

- время жизни сессии (минут);

- маска сети для привязки сессии.



Рис. 3.13 Настройки модуля Проактивная защита

Но такие строгие настройки не всегда получается ввести, например в силу того, что пользователи могут работать с разных IP-адресов. Модуль

«Проактивная защита» позволяет выполнить защиту сессий с помощью следующих инструментов:

- хранение сессий в базе данных модуля безопасности;

- смена идентификатора сессий через указанное время.

Включение (или отключение) механизма хранения данных сессий пользователей в базе данных выполняется на странице Защита сессий (команды Настройки, Проактивная защита, Защита сессий) с помощью

кнопки «Включить хранение данных сессий в БД модуля» (или «Отключить хранение данных сессий в БД модуля») (рис. 3.14).

Хранение данных сессий в таблице модуля Проактивная защита позволяет избежать чтения этих данных через скрипты других виртуальных серверов, исключив ошибки конфигурирования виртуального хостинга, ошибки настройки прав доступа во временных каталогах и ряд других проблем настройки операционной среды. Кроме того, это разгружает файловую систему, перенося нагрузку на сервер базы данных.

Рис. 3.14 Хранение сессий в базе данных модуля

При переключении режима хранения сессий все пользователи потеряют авторизацию (данные сессий будут уничтожены).

Настройка механизма смены идентификатора сессий выполняется на закладке Смена идентификатора формы настройки защиты сессий (Рис. 3.15).

Рис. 3.15 Смена идентификатора сессий

Чтобы выполнялась смена идентификатора, необходимо:

- указать «Время жизни идентификатора, в секундах», т.е. через какой промежуток времени будет измениться идентификатор сессий;

- Нажать кнопку «Включить смену идентификатора».

Смена идентификатора создает дополнительную нагрузку на сервер, но позволяет сделать похищение авторизованной сессии неэффективным.

Включение или отключение защиты редиректов от фишинга выполняется на вкладке «Защита редиректов», которое вызывается командами Настройки, Проактивная защита, Защита редиректов. На вкладке необходимо нажать кнопку «Включить защиту редиректов от фишинга» (или

«Выключить защиту редиректов от фишинга») (Рис. 3.16).

Рис. 3.16. Защита редиректов от фишинга

Параметры защиты от фишинга настраиваются на закладке Параметры (рис. 3.17):

Защита редиректов от фишинга может осуществляться:

- проверкой наличия HTTP заголовка, описывающего страницу;

- проверкой наличия в HTTP заголовке записи о текущем сайте, который описывает ссылающуюся страницу;

- добавлением цифровой подписи к ссылкам, генерируемым на сайте.

При включенной защите все системные ссылки обязательно подписываются дополнительным параметром индивидуальным для сайта и для этого перехода. Кроме того, можно защитить пользовательские ссылки перенаправлений, добавив их в поле «Подписываемые URLs» в секции

Пользовательские (добавление полей ввода осуществляется с помощью кнопки «Добавить»).

Рис. 3.17. Настройка параметров защиты редиректов

Защита редиректов может выражаться одним из следующих действий:

а) перенаправлением на другой сайт с показом соответствующего сообщения и выполнением задержки на несколько секунд. Текст сообщения задается с помощью поля Сообщение, а период задержки пользователя - в

поле Задержка;

б) перенаправлением на заведомо безопасный адрес, например, на главную страницу сайта. В этом случае необходимо задать адрес страницы сайта с помощью поля URL.

Для фиксирования попыток фишинга через редирект необходимо отметить опцию Занести попытку фишинга в журнал. Для осуществления защиты сайта на стандартном уровне, защита редиректов от фишинга должна быть включена.

3.3 Настройка повышенного уровня проактивной защиты

Для того чтобы защита веб-проекта осуществлялась на повышенном уровне безопасности, сначала необходимо настроить защиту на стандартном и высоком уровне (см. разделы 3.1 и 3.2), а затем выполнить настройку параметров повышенного уровня. Настройка параметров осуществляется согласно схемы, приведенной на рис. 3.18.

Если хотя бы один параметр повышенного уровня безопасности принимает несоответствующее значение, то защита сайта будет осуществляться на том уровне, который настроен полностью, но при этом будут учтены настройки параметров всех уровней.

Рис. 3.18. Повышенный уровень безопасности

Настройка повышенного уровня безопасности начинается с одноразовых паролей. Система одноразовых паролей дополняет стандартную систему авторизации и позволяет значительно усилить систему безопасности интернет-проекта. Для включения системы необходимо использовать аппаратное устройство (например, Aladdin eToken PASS) или использовать соответствующее программное обеспечение, реализующее OTP (One-Time Password). Рекомендуется использование системы одноразовых паролей администраторам сайта для повышения уровня безопасности.

Защита проекта на повышенном уровне предполагает включение системы использования одноразовых паролей. Включение или отключение системы использования одноразовых паролей выполняется на вкладке

«Одноразовые пароли» (команды Настройки, Проактивная защита, Одноразовые пароли) с помощью кнопки «Разрешить использование одноразовых паролей» (или «Выключить использование одноразовых паролей») (Рис. 3.19).

Если использование одноразовых паролей включено, то в форме редактирования параметров пользователя появляется дополнительная закладка «Одноразовые пароли» (Рис. 3.20), т.е. механизм использования одноразового пароля настраивается отдельно для каждого пользователя.

Рис. 3.19. Одноразовые пароли

Рис. 3.20. Настройка аутентификации пользователя

Чтобы аутентификация пользователя выполнялась с использованием одноразовых паролей, необходимо выполнить следующие действия:

- отметить опцию «Включить составной пароль»;

- в поле «Секретный ключ» необходимо ввести секретный ключ, который поставляется вместе с устройством OTP;

- для инициализации устройства необходимо ввести два последовательно сгенерированных одноразовых паролей, полученных с устройства (например, 111111 и 222222, см. Рис. 3.20);

- сохранить внесенные изменения.

Теперь пользователь сможет авторизоваться только с использованием логина и составного пароля, состоящего из своего пароля и одноразового пароля устройства. Одноразовый пароль (см. 2 на рисунке 3.21) вводится в поле Пароль стандартной формы авторизации на сайте сразу после обычного пароля (см. 1 на рисунке 3.21) без пробелов.

Рис. 3.21. Форма авторизации

Система авторизации с использованием одноразовых паролей разработана в рамках инициативы OATH. Реализация основана на алгоритме HMAC и хэш-функции SHA-1. Для расчета значения OTP принимаются два входных параметра - секретный ключ (начальное значение для генератора) и текущее значение счетчика (количество необходимых циклов генерации). Начальное значение хранится как в самом устройстве, так и на сайте после инициализации устройства. Счетчик в устройстве увеличивается при каждой генерации OTP, на сервере - при каждой удачной аутентификации по OTP.

Таким образом, если на устройстве была нажата кнопка несколько раз (например, случайно), но не было выполнено ни одной удачной аутентификации по OTP, то при превышении числа нажатий значения,

заданного в параметре Размер окна проверки паролей (Рис. 3.22), произойдет нарушение синхронизации счетчика генерации, и пользователь не сможет выполнить вход на сайт.

В этом случае необходимо выполнить повторную синхронизацию пользователя с устройством - привести значение на сервере в соответствие значению, хранящемуся в устройстве. Для этого администратор системы или сам пользователь (при наличии соответствующих разрешений) должен сгенерировать два последовательных значения одноразовых паролей и ввести их в форму редактирования параметров пользователя (Рис. 3.20).

Рис. 3.22. Настройка параметра проверки одноразовых паролей

Чтобы избежать нарушений синхронизации, можно увеличить значение параметра «Размер окна проверки паролей», например, указать 100 или 1000.

Для осуществления контроля целостности используется форма, расположенная на вкладке «Контроль целостности» (команды Настройки, Проактивная защита, Контроль целостности). Данная проверка служит для выполнения проверки целостность ядра, системных областей, публичной части продукта.

Для защиты веб-проекта на повышенном уровне безопасности необходимо регулярно (примерно раз в неделю) выполнять проверку целостности системы. Кроме того, проверку целостности следует выполнять перед установкой обновлений системы, а после установки обновлений необходимо собрать новую информацию по файлам.

Разработчики обращают внимание на то, что некоторые обновления модуля могут потребовать переподписания скрипта контроля.

Порядок выполнения первого запуска проверки целостности (Рис.

3.23):

- ввести и запомнить пароль, состоящий из латинских букв и цифр, длиной не менее 10 символов;

- подтвердить его в поле Пароль еще раз;

- задать «Ключевое слово», отличное от пароля, и запомните его;

- нажать кнопку Далее.

Рис. 3.23. Подписание скрипта контроля

Если пароль дважды введен в окне правильно, то отобразится сообщение об успешном подписании скрипта (Рис. 3.24).

Рис. 3.24. Сообщение об успешном подписании скрипта

Следующим этапом в защите веб-проекта на повышенном уровне

безопасности является сбор информации по файлам в целях последующего выполнения проверки целостности системы. Для выполнения сбора информации по файлам необходимо выполнить:

- на вкладке «Выбор действия» отметить опцию «Собрать информацию по файлам» (Рис. 3.25);

Рис. 3.25. Выбор действия

- нажать кнопку Далее. Откроется форма сбора данных (Рис. 3.26).

Рис. 3.26. Сбор данных

- задать параметры для сбора информации:

а) область сбора данных - отметьте необходимые для обработки папки системы.

б) расширения файлов - укажите расширения файлов, по которым должна быть собрана информация. Расширения файлов указываются через запятую без пробелов.

в) пароль для шифрования - введите и запомните пароль, который будет использоваться для шифрования и последующего дешифрования собранного верификационного файла.

г) время выполнения шага - укажите количество секунд для выполнения одного шага сбора данных.

- нажать кнопку Далее. Начнется процесс сбора данных, по окончании которого в целях безопасности рекомендуется скачать файл с данными на локальный компьютер (Рис. 3.27).

Файл с верификационными данными собран, теперь можно выполнить проверку целостности системы.

Рис. 3.27. Окончание обработки файлов

При любом (кроме первого) запуске проверки целостности системы сначала проверяется сам скрипт контроля на наличие в нем изменений.

- ввести пароль (Рис. 3.28), которым был подписан скрипт контроля (Рис. 3.23) и нажать кнопку Далее.

Рис. 3.28. Проверка скрипта контроля

В сообщении о результатах проверки скрипт должен указать кодовое слово, которое вы ввели в момент подписания (Рис. 3.29).

Рис. 3.29. Сообщение о результате проверки

Если в сообщении о результатах проверки не указано необходимое кодовое слово, то скрипт контроля целостности файлов скомпрометирован (т.е. он был изменен и его результатам доверять нельзя). В этом случае необходимо заменить скрипт контроля целостности системы (например, можно сделать откат версии модуля до 8.0.0).

- на закладке «Выбор действия» отметить опцию «Проверить файлы» (Рис. 3.30).



Рис. 3.30. Выбор действия

- нажать кнопку Далее. Откроется форма выбора файла с верификационными данными (Рис. 3.31).

Рис. 3.31. Выбор файла

- выбрать один из лог-файлов, хранящихся в системе, либо загрузить лог-файл с вашего компьютера с помощью кнопки Обзор. Откроется форма проверки данных (Рис. 3.32).

Рис. 3.32. Проверка данных

- в поле «Пароль для дешифрования» указать пароль, который был задан при создании файла с верификационными данными.

- указать время выполнения одного шага проверки (чем меньше время выполнения одного шага, тем больше нагрузка на сервер).

- нажать кнопку Далее. Начнется процесс проверки целостности системы, по окончании которого будет выведен отчет (Рис. 3.33).



Рис. 3.33. Отчет по проверке файлов системы

Следующий этап обеспечения безопасности - настройка Веб- антивируса и исключений из него. Веб-антивирус - система противодействия заражениям сайтов. Веб-антивирус выявляет в html-коде потенциально опасные участки и «вырезает» подозрительные объекты из кода сайта, тем самым препятствуя проникновению вирусов на компьютер пользователя. При этом веб-антивирус не является заменой обычного антивируса.

Включение или отключение веб-антивируса выполняется на вкладке Веб-антивирус (команды вызова Настройки, Проактивная защита, Веб-

антивирус) с помощью кнопки «Включить веб-антивирус» (или «Выключить веб-антивирус») (Рис. 3.34).

Рис. 3.34. Веб-антивирус

Действия системы, выполняемые при обнаружении вируса, задаются на закладке Параметры (Рис. 3.35).

Рис. 3.35. Настройка параметров оповещения о заражении

- «Вырезать из кода сайта» - опасные данные будут вырезаны из кода сайта;

- «Только занести в журнал и оповестить администратора» - запись об обнаружении вируса будет занесена в Журнал событий. Администратору будут посылаться оповещения по e-mail через интервал времени, заданный в поле Интервал времени.

Закладка Исключения (Рис. 3.36) позволяет настроить исключения для веб-антивируса, т.е. веб-антивирус не будет применяться к блокам html-кода, указанным на данной закладке.

Рис. 3.36. Исключения веб-антивируса

Кроме того, чтобы защита сайта осуществлялась на повышенном уровне веб-антивирус должен быть включен.

Модуль «Проактивная защита» имеет собственный Стоп-лист (команды вызова Настройки, Проактивная защита, Стоп-лист) (Рис. 3.37), отличный от стоп-листа модуля Веб-аналитика.

Рис. 3.37. Стоп-лист модуля Проактивная защита

На странице Стоп-лист представлена информация о правилах блокировки доступа к вашему сайту или некоторым его разделам с определенных IP-адресов, причем если активность обозначена зеленым

цветом, то правило действует на данный момент, а если красным, то срок действия правила истек.

Записи о блокировке доступа создаются либо вручную, либо автоматически. Правило создается автоматически в следующих случаях:

- при включении механизма защиты административной раздела;

- при срабатывании проактивного фильтра на вторжении (если отмечена опция Добавить IP-адрес атакующего в стоп-лист).

Чтобы создать правило блокировки вручную, например, на основе анализа журнала вторжений, необходимо выполнить:

- нажать на кнопку Добавить, расположенную на контекстной панели страницы стоп-листа проактивной защиты. Откроется форма создания (редактирования) правила блокировки доступа к сайту (Рис. 3.38).

Рис. 3.38 Создание правила блокировки доступа

- заполнить поля формы необходимым образом.

Можно заблокировать доступ как к административной, так и к публичной части сайта, указав при этом IP-адреса или диапазоны адресов, которые будут заблокированы. Кроме того, можно заблокировать доступ не ко всему сайту, а только к некоторым его разделам и страницам, для этого необходимо задать маски путей, доступ к которым необходимо заблокировать. Исключения в правиле задаются как по IP-адресам, так и по маскам путей.

- сохранить внесенные данные.

В результате, если пользователь, для IP-адреса которого имеется правило блокировки доступа, попытается зайти на сайт, то ему будет выдана ошибка HTTP 403 - доступ запрещен.

Программное решение «1С-Битрикс: Управление сайтом» изначально обеспечивает начальный уровень защиты любого веб-проекта. Необходимый комплекс модулей позволяет еще больше повысить этот уровень. Разработчик может оперативно просмотреть информацию о текущем уровне безопасности сайта.

Представленная в главе последовательность действий позволяет настроить необходимый уровень защиты, показано отличие в настройке одного уровня от другого. Подробное описание процесса настройки аутентификации пользователя и настройки Веб-антивируса позволяет задать любой (из доступных) уровней обеспечения информационной безопасности эксплуатации публичного интернет-ресурса.

Заключение

В данной дипломной работе показана практическая реализация использования архитектуры безопасного Web-приложения, которую использует компания Битрикс в наиболее защищенном на отечественном рынке продукте «1С-Битрикс: Управление сайтом». Применение указанного продукта позволяет обеспечить информационную безопасность веб-систем на основе:

- единой системе авторизации;

- едином бюджете пользователя для всех модулей;

- многоуровневом разграничении прав доступа;

- независимости системы контроля доступа от бизнес-логики страниц;

- возможности шифрации информации при передаче;

- системе обновлений;

- журналировании;

- политике работы с переменными и внешними данными;

- методике двойного контроля критически опасных участков кода.

В основе управления сайтом с помощью продукта компании «1С- Битрикс» лежит принцип разделения уровней прав доступа пользователей к ресурсам сайта. Т.е. каждый посетитель сайта относится к одной или нескольким группам пользователей сайта, каждая из которых обладает определенным набором прав.

На основании исследования предложены рекомендации по использованию системы управления проектами при разработке и внедрении защищенного интернет- ресурса ООО «Альпака-М». Рассматривается обеспечение разных уровней защищенности информации и возможность разделения ресурсов пользователей.

В ходе выполнения дипломного исследования показана важность использования CMS, которые позволяют управлять текстовым и графическим наполнением сайта, предоставляя пользователю удобный инструмент хранения и публикации информации. Темпы изменения информации, предоставляемой пользователям на сайте ООО «Альпака-М», и объективная необходимость повышения уровня информированности приводят к пониманию необходимости минимизации издержек, связанных с обеспечением безопасной эксплуатации подобных сайтов. Минимизация таких издержек поддерживается системой организационных мероприятий. Современные программные средства, как технологическая основа для целого ряда разработок позволяют создавать веб-ресурсы, обладающие такими важными характеристиками, как:

- надежность - бесперебойная работа системы, сохранность и безопасность данных;

- эффективность - интернет-проекты, разработанные на основе «1С- Битрикс: Управление сайтом», обладают высокой производительностью и позволяют избежать серьезных затрат на поддержку и развитие;

- технологичность - «1С-Битрикс: Управление сайтом» позволяет использовать при разработке передовые технологии, новейшие методы, современные средства разработки;

- модульность - функциональность системы, созданной на базе «1С- Битрикс: Управление сайтом», можно легко расширить за счет подключения дополнительных модулей.

В дипломном исследовании показана высокая степень безопасности используемого продукта «1С-Битрикс: Управление сайтом», с изначально реализованной в нем возможности гибкого распределения прав доступа ко всем возможностям и модулям сайта. Администратор может настраивать их как по отдельным пользователям, так и по целым их группам. Специальный модуль «Проактивная защита» включает в себя целый комплекс инструментов, предназначенных для защиты сайта от взлома. Показан порядок использования проактивного фильтра, защищающего от известных атак на веб-приложения и журнала вторжений. Уделено внимание поддержке

одноразовых паролей, контролю целостности файлов и скриптов, защите сессий и административного раздела.

Теоретическим результатом дипломного изыскания является рассмотрение вопросов, связанных с обеспечением безопасной разработки и эксплуатации сайта. Среди рассмотренных наиболее распространенных атак на веб-сайты, выделены те, которым чаще всего подвергаются сайты коммерческих компаний. Один из основных путей повышения безопасного использования информации в сети - применение систем управления содержимым сайта, представляющих собой некий шаблон, упрощающий управление и разработку сайта. На основании сравнения распространённых в нашей стране подобных программных продуктов, сделан вывод о наиболее защищенной системе - продукте «1С-Битрикс: Управление сайтом». На основании фактического материала - различным исследованиям специалистов - рассмотрена классификация угроз безопасности веб- приложений, в дальнейшем использованная для рассмотрения вопросов, связанных с их предотвращением при использовании рассматриваемого программного продукта.

Другим практическим результатом дипломного изыскания являются рекомендации по основным направлениям формирования и развития системы защиты информации в ООО «Альпака-М». На основании рассмотренных проблем безопасной эксплуатации сайтов ООО «Альпака-М». Рассмотрены вопросы надежного хостинга, серверного программного обеспечения и своевременного проведения мероприятий, направленных на снижение вероятности возникновения проблемных ситуаций в веб-проектах.

Проведенное дипломное исследование позволяет сделать вывод о возможности применения систем управления содержимым сайта при построении веб-ресурса. Очевидно, что описанная методология настройки безопасности сайта, будучи реализованной, требует дальнейшего развития, а может быть и связи с другими районными информационными системами (например, предприятиями-контрагентами, фирмами , клиентами,). Как вариант, существующая система управления перевозками может интегрироваться с модулями закупок информационной системы и других систем. При необходимости данный программный продукт может быть использован и для разработки других типов веб-сайтов, используемых для поддержки качественного обеспечения информацией. Подобный комплексный подход целесообразен для успешного обеспечения безопасности сайтов, легким их управлением и движения в сторону создания полноценной системы электронного документооборота в коммерческой сфере.

...