Рис. 2.9 - Система автоматизации документооборота

Рис. 2.10 - Система автоматизации «Склад»

3. Доработка и настройка системы автоматизации предприятия

3.1 Платформа MySQL на Windows Server 2012 Essentials

Windows Server 2012 Essentials - одна из серверных операционных систем от компании Microsoft. Это гибкое, доступное и удобное серверное решение, предназначенное для малого бизнеса, где число пользователей не превышает 25, а число устройств не превышает 50. Данная ОС распространяется с использованием Retail, Volume Licensing, OEM лицензий. Максимальный объем ОЗУ 64 ГБ. Ограничения политики сети и доступа к службам 250 RRAS подключений, 50 IAS подключений, and 2 IAS Server Groups. Также в Windows Server 2012 Essentials имеется службы защиты доступа к сети (NAP), службы удаленных рабочих столов (RDS),технологии VPN и DirectAccess, DHCP-сервер, файловые службы, DNS-сервер, сервер приложений, службы управления правами Active Directory.

На рис. 3.1 представлена статистика MySQL Server установленного на Windows Server 2012 Essentials. Здесь можно увидеть статус сервера MySQL, количество подключенных пользователей, сетевой трафик, статус InnoDB и др.

Рис.3.1 - Статистика MySQL Server на Windows Server 2012 Essential

3.2 Статистика уязвимостей MySQL

Positive Technologies приводит следующую статистику за 2015 год: в 76% исследованных систем была выявлена возможность получения злоумышленником полного контроля над отдельными критически важными ресурсами. При этом в 35% систем такой уровень привилегий может быть получен от лица любого внешнего нарушителя[12]. В каждой второй системе (55%), в отношении которой проводились работы по внешнему тестированию на проникновение, внешний нарушитель, действующий со стороны сети Интернет, способен получить доступ к узлам внутренней сети.

Во втором полугодии 2015 года в MySQL было обнаружено 28 уязвимостей [16].

1. CVE-2015-1793 - Уязвимость существует из-за ошибки в компоненте Encryption. Успешная атака с использованием этой уязвимости может привести к несанкционированному доступу, изменению или удаления данных MySQL Server. CVSS Base Score 6. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:N/C:P/I:P/A:N).

2. CVE-2015-4730 - Уязвимость существует из-за ошибки в компоненте Types. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

3. CVE-2015-4766 - Уязвимость существует из-за ошибки в компоненте Firewall. Для успешной эксплуатации уязвимости необходимо иметь локальный доступ к системе. Пользователь может вызвать отказ в обслуживании. CVSS Base Score 1.9. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:L/AC:M/Au:N/C:N/I:N/A:P)

4. CVE-2015-4791 - Уязвимость существует из-за ошибки в компоненте Privileges. Удаленный пользователь может вызвать отказ в обслуживании. Данная уязвимость распространяется только на Windows. CVSS Base Score 3.5. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:M/Au:S/C:N/I:N/A:P)

5. CVE-2015-4792 - Уязвимость существует из-за ошибки в компоненте Partition. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 1.7. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:H/Au:M/C:N/I:N/A:P)

6. CVE-2015-4800 - Уязвимость существует из-за ошибки в компоненте Optimizer. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

7. CVE-2015-4802 - Уязвимость существует из-за ошибки в компоненте Partition. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

8. CVE-2015-4807 - Уязвимость существует из-за ошибки в компоненте Query Cache. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 3.5. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:M/Au:S/C:N/I:N/A:P)

9. CVE-2015-4815 - Уязвимость существует из-за ошибки в компоненте DDL . Удаленный пользователь может вызвать отказ в обслуживании.CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

10. 1.CVE-2015-4816 - Уязвимость существует из-за ошибки в компоненте InnoDB. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

11. CVE-2015-4819 - Уязвимость существует из-за ошибки в компоненте Client programs. Локальный пользователь может завладеть правами администратора или привилегиями суперпользователя и выполнить произвольный код.

CVSS Base Score 7.2. Влияет на конфиденциальность, целостность, доступность атакуемого компонента. CVSS V2 Vector: (AV:L/AC:L/Au:N/C:C/I:C/A:C).

12. CVE-2015-4826 - Уязвимость существует из-за ошибки в компоненте Types. Удаленный пользователь может получить несанкционированный доступ к данным MySQL Server для чтения. CVSS Base Score 4.0. Влияет на конфиденциальность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:P/I:N/A:N)

13. CVE-2015-4830 - Уязвимость существует из-за ошибки в компоненте Privileges. Успешная атака с использованием этой уязвимости может привести к несанкционированному доступу, изменению или удаления данных MySQL Server. CVSS Base Score 4.0. Влияет на целостность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:P/A:N)

14. CVE-2015-4833 - Уязвимость существует из-за ошибки в компоненте Partition. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

15. CVE-2015-4836 - Уязвимость существует из-за ошибки в компоненте SP. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 2.8. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:M/Au:M/C:N/I:N/A:P)

16. CVE-2015-4858 - Уязвимость существует из-за ошибки в компоненте DML. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

17. CVE-2015-4861- Уязвимость существует из-за ошибки в компоненте InnoDB. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 3.5. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:M/Au:S/C:N/I:N/A:P)

18. CVE-2015-4862 - Уязвимость существует из-за ошибки в компоненте DML. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

19. CVE-2015-4864 - Уязвимость существует из-за ошибки в компоненте Privileges. Успешная атака с использованием этой уязвимости может привести к несанкционированному доступу, изменению или удаления данных MySQL Server. CVSS Base Score 3.5. Влияет на целостность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:M/Au:S/C:N/I:P/A:N).

20. CVE-2015-4866 - Уязвимость существует из-за ошибки в компоненте InnoDB. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

21. CVE-2015-4870 - Уязвимость существует из-за ошибки в компоненте Parser. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

22. CVE-2015-4879 - Уязвимость существует из-за ошибки в компоненте DML. Удаленный пользователь может завладеть сервером MySQL и выполнить произвольный код.

CVSS Base Score 4.6. Влияет на конфиденциальность, целостность, доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:H/Au:S/C:P/I:P/A:P).

23. CVE-2015-4890 - Уязвимость существует из-за ошибки в компоненте Replication. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 3.5. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:M/Au:S/C:N/I:N/A:P)

24. CVE-2015-4895 - Уязвимость существует из-за ошибки в компоненте InnoDB. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 3.5. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:M/Au:S/C:N/I:N/A:P)

25. CVE-2015-4904 - Уязвимость существует из-за ошибки в компоненте libmysqld. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

26. CVE-2015-4905 - Уязвимость существует из-за ошибки в компоненте DML. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 4.0. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:L/Au:S/C:N/I:N/A:P)

27. CVE-2015-4910 - Уязвимость существует из-за ошибки в компоненте Memcached. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 2.1. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:H/Au:S/C:N/I:N/A:P).

28. CVE-2015-4913 - Уязвимость существует из-за ошибки в компоненте DML. Удаленный пользователь может вызвать отказ в обслуживании. CVSS Base Score 3.5. Влияет на доступность атакуемого компонента. CVSS V2 Vector: (AV:N/AC:M/Au:S/C:N/I:N/A:P).

Ниже приведена сводная таблица с уязвимостями MySQL, которая показывает вектор эксплуатации.

Таблица 3.1 Уязвимости сервера MySQL

Данные из табл. 3.1 представим в графическом виде (рис.3.2).

Исходя из данных представленных в таблице можно сделать вывод, что наибольшую опасность представляет внешний злоумышленник. При использовании некоторых уязвимостей злоумышленник может получить полный контроль над всей инфраструктурой организации.

Рис. 3.2 - Ориентация вектора уязвимости сервера MySQL

3.3 Реализация механизма аутентификации с использованием SSL - сертификатов

MySQL поддерживает безопасное соединение между клиентом и сервером с помощью протокола SSL (Secure Sockets Layer). Безопасный обмен данными обеспечивается за счет шифрования и аутентификации цифрового сертификата. Сертификат основан на ассиметричных алгоритмах шифрования. Пользователь сертификата предоставляет его серверу в качестве документа, удостоверяющего личность. Сертификат содержит открытый ключ пользователя. Любые данные, зашифрованные с помощью этого открытого ключа могут быть расшифрованы только с помощью соответствующего секретного ключа, имеющегося у владельца сертификата [1, с. 98].

MySQL может устанавливать безопасное соединение с использованием OpenSSL. Необходимо установить OpenSSL. После установки необходимо прописать путь в системную переменную PATH.

Далее генерируем сертификат центра сертификации (CA) и закрытый ключ. Центр сертификации позволяет создавать сертификаты клиентов и серверов. При установлении соединения, серверу необходимо сверить сертификат пользователя с центром сертификации, если проверка прошла успешно, то клиент считается надежным, соответственно будет установлено защищенное соединение. Вводим следующие команды:

openssl genrsa 2048 > ca-key.pem

openssl req -new -x509 -nodes -days 365 -key ca-key.pem -out ca-cert.pem

Создадим сертификат сервера и ключ:

openssl req -newkey rsa:2048 -days 365 -nodes -keyout server-key.pem -out server-req.pem

openssl rsa -in server-key.pem -out server-key.pem

openssl x509 -req -in server-req.pem -days 365 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

Создадим сертификат пользователя и ключ:

openssl req -newkey rsa:2048 -days 365 -nodes -keyout client-key.pem -out client-req.pem

openssl rsa -in client-key.pem -out client-key.pem

openssl x509 -req -in client-req.pem -days 365 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

В результате получили следующие файлы:

ca.pem - сертификат центра сертификации;

server-cert.pem, server-key.pem - сертификат сервера, закрытый ключ сервера;

client-cert.pem, client-key.pem - сертификат клиента, закрытый ключ клиента.

Так же необходимо в файле my.ini добавить следующие строки:

[mysqld]

ssl-ca=ca.pem

ssl-cert=server-cert.pem

ssl-key=server-key.pem

Для Connector/ODBC теперь тоже произведем настройку. Открываем источники данных и во вкладке SSL указываем пути к центру сертификации, закрытым ключам клиента и сервера, а так же используемый алгоритм шифрования (рис.3.3).

Рис. 3.3 - Настройка Connector/ODBC с использованием SSL

Теперь необходимо внести соответствующие изменения в программу, написанную для аутентификации пользователей на сервере MySQL.

Строка подключения буде выглядеть следующим обазом:

string MyConString = "DRIVER={MySQL ODBC 5.3 ANSI Driver};" +

"SERVER=localhost;" +

"DATABASE=" + bd + ";" +

"UID=" + us + ";" +

"PASSWORD=" + passw + ";" +

"sslca=D:\\m\\mysql\\data\\ca.pem;" +

"sslcert=" + path + ";" +

"sslkey=" + path1 + ";" +

"sslverify=1;"

"OPTION=3";

Произведем подключение пользователя с использованием SSL-сертификата (рис.3.4).

Рис. 3.4 - Подключение пользователя с использованием SSL

3.4 Тестирование системы с помощью сканера уязвимостей OpenVAS

Очень важно на предприятии проводить регулярный аудит и сканирование системы на уязвимости. В рамках дипломной работы тестирование было произведено с помощью сканера уязвимостей OpenVAS.

OpenVAS - это платформа для поиска уязвимостей, распространяемая по лицензии GPL. Основу работы OpenVAS составляет коллекция NVT тестов безопасности, позволяющие выявить уязвимость, а также подключение к базе CVE, описывающей известные уязвимости.

В результате сканирования системы был получен отчет, содержание которого приведено ниже.

Таблица 3.2 Уязвимости в системе, найденные сканером OpenVAS

Отчет сканирования системы приведен в приложении В.

Большинство из найденных уязвимостей решается обновлением ПО, поскольку все найденные уязвимости устранены в более новых версиях ПО. Для некоторых уязвимостей необходимо фильтровать входящий трафик на соответствующем порту.

3.5 Принятие решения для системы и выработка рекомендаций

По результатам проведенного тестирования системы можно выработать рекомендации по обеспечению информационной безопасности.

Защита предприятий от атак со стороны внутреннего нарушителя должна основываться на следующих рекомендациях. Следует соблюдать базовые принципы обеспечения информационной безопасности, а именно: ввести парольную политику, запрещающую использование простых паролей, предусматривающую требования к регулярной смене паролей -- и строго контролировать ее соблюдение; также необходимо обратить особое внимание на устаревшие версии ПО, на открытые протоколы передачи данных, на хранение важной информации в открытом виде на серверах и рабочих станциях сотрудников.

Поскольку в организации планируют открытие филиалов в других городах, то для организации безопасного обмена данными с филиалами следует организовать VPN - туннель через сеть Internet.

Заключение

В рамках обеспечения информационной безопасности на предприятиях особенно остро стоит вопрос с использованием надежных механизмов аутентификации. Применение слабых методов аутентификации может привести к возможности получения злоумышленником контроля над отдельными критически важными ресурсами или полному контролю над всей инфраструктурой организации.

В ходе выполнения выпускной квалификационной работы был рассмотрен вопрос реализации механизма аутентификации для систем автоматизации предприятия.

Рассмотрена клиент-серверная архитектура и её виды, БД MySQL и её основные достоинства, технология ODBC. Был проведен анализ уязвимостей MySQL, произведено назначение привилегий пользователям к БД MySQL. Реализован программный модуль аутентификации для систем автоматизации предприятия на языке C# с использованием SSL - сертификатов. Программный модуль был реализован с использованием свободного программного обеспечении. Проведено сканирование системы на уязвимости, с использованием сканера уязвимостей OpenVAS и выработаны рекомендации по обеспечению информационной безопасности.

Список использованных источников

1. Аутентификация. Теория и практика обеспечения безопасного доступа к информационным ресурсам. Учебное пособие для вузов / А. А. Афанасьев и др.; ред. А.А. Шелупанова. - 2-е изд., стереотип. - М.: Горячая линия - Телеком, 2012. - 550 с.: ил.

2. Галатенко, В.А. Основы информационной безопасности. Курс лекций / М.: Интернет-Университет Информационных Технологий, 2006. -- 208 с.

3. Евсеева, О.Н. Работа с базами данных на языке C#. Технология ADO.NET: учебное пособие. - Ульяновск: УлГТУ, 2009. - 170 с.

4. Кузнецов, М.В. Самоучитель MySQL 5. - Спб.: БХВ-Петербург, 2006. - 560 с.: ил.

Размещено на Allbest.ur