ООО “Компания АЮСС” использует систему анализа трафика XSpider - проприетарная программа-сканер уязвимостей. Выпускается российской фирмой Positive Technologies.
Основные возможности XSpider:
· Полная идентификация сервисов на случайных портах
Дает возможность проверки на уязвимость серверов со сложной нестандартной конфигурацией, когда сервисы имеют произвольно выбранные порты
· Эвристический метод определения типов и имен серверов (HTTP, FTP, SMTP, POP3, DNS, SSH) вне зависимости от их ответа на стандартные запросы
Служит для определения настоящего имени сервера и корректной работы проверок в тех случаях, если конфигурация WWW-сервера скрывает его настоящее имя или заменяет его на другое
· Обработка RPC-сервисов (Windows и *nix) с их полной идентификацией
Обеспечивает возможности определения RPC-сервисов и поиска уязвимостей в них, а также определения детальной конфигурации компьютера в целом
· Проверка слабости парольной защиты
Производится оптимизированный подбор паролей практически во всех сервисах, требующих аутентификации, помогая выявить слабые пароли
· Глубокий анализ контента WEB-сайтов
Анализ всех скриптов HTTP-серверов (в первую очередь, пользовательских) и поиск в них разнообразных уязвимостей: SQL инъекций, инъекций кода, запуска произвольных программ, получения файлов, межсайтовый скриптинг (XSS), HTTP Response Splitting.
· Анализатор структуры HTTP-серверов
Позволяет осуществлять поиск и анализ директорий доступных для просмотра и записи, давая возможность находить слабые места в конфигурации
· Проведение проверок на нестандартные DoS-атаки
Существует возможность включения проверок "на отказ в обслуживании", основанных на опыте предыдущих атак и хакерских методах
· Специальные механизмы, уменьшающие вероятность ложных срабатываний
В различных видах проверок используются специально под них разработанные методы, уменьшающие вероятность ошибочного определения уязвимостей
· Ежедневное добавление новых уязвимостей и проверок
Оригинальная технология обновления программы не только позволяет пользователям каждый день иметь актуальную базу уязвимостей при минимальном трафике и временных затратах не прекращая при этом работы программы, но и обеспечивает регулярный update программных модулей по мере их совершенствования.
1. документация (3060 страниц).
Доменная структура
ООО “Компания АЮСС” обслуживает сеть с доменной структурой, в которую входят все подведомственные учреждения администрации города.
Доменное имя — символьное имя, служащее для идентификации областей — единиц административной автономии в сети Интернет — в составе вышестоящей по иерархии такой области. Каждая из таких областей называется доменом. Общее пространство имён Интернета функционирует благодаря DNS — системе доменных имён. Доменные имена дают возможность адресации интернет-узлов и расположенных на них сетевых ресурсов (веб-сайтов, серверов электронной почты, других служб) в удобной для человека форме.
Полное доменное имя состоит из непосредственного имени домена и далее имён всех доменов, в которые он входит, разделённых точками. Например, полное имя «ru.wikipedia.org» обозначает домен третьего уровня «ru», который входит вдомен второго уровня «wikipedia», который входит в домен верхнего уровня «org», который входит в безымянный корневой домен «.» (точка). В обыденной речи под доменным именем нередко понимают именно полное доменное имя.
FQDN (сокр. от англ. Fully Qualified Domain Name — «полностью определённое имя домена», иногда сокращается до «полное доменное имя» или «полное имя домена») — имя домена, не имеющее неоднозначностей в определении. Включает в себя имена всех родительских доменов иерархии DNS.
В DNS и, что особенно существенно, в файлах зоны (англ.), FQDN завершаются точкой (например, "example.com."), то есть включают корневое доменное имя ".", которое является безымянным.
Различие между FQDN и доменным именем появляется при именовании доменов второго, третьего (и т. д.) уровня. Для получения FQDN требуется обязательно указать в имени домены более высокого уровня (например, "sample" является доменным именем, однако его полное доменное имя (FQDN) выглядит как доменное имя пятого уровня — "sample.gtw-02.office4.example.com."), где:
"sample " 5-й уровень;
" gtw-02 " 4-й уровень;
" office4 " 3-й уровень;
" example " 2-й уровень;
" com " 1-й (верхний) уровень;
"." 0-й (корневой) уровень
В DNS-записях доменов (для перенаправления, почтовых серверов и т. д.) всегда используются FQDN. Обычно в практике сложилось написание полного доменного имени за исключением постановки последней точки перед корневым доменом, например, "sample.gtw-02.office4.example.com".
Для преобразования доменного имени в IP-адрес и наоборот служит система DNS.
Эта система состоит из иерархической структуры DNS-серверов, каждый из которых является держателем одной или нескольких доменных зон и отвечает на запросы, касающиеся этих зон, а также DNS-резолверов, которые отвечают на запросы, касающиеся любых зон. Функции держателя зоны и резолвера часто совмещаются в одной программе; например, таковой является популярный DNS-сервер BIND (Berkeley Internet Name Domain).
Для обеспечения уникальности и защиты прав владельцев доменные имена 1-го и 2-го (в отдельных случаях и 3-го) уровней можно использовать только после их регистрации, которая производится уполномоченными на то регистраторами. Сведения о владельце (администраторе) того или иного регистрируемого домена общедоступны. Их можно узнать, воспользовавшись службой whois. Однако, некоторые регистраторы предоставляют возможность скрыть эту информацию.
Заключение
В ходе практики был сделан следующий вывод: вопросы обеспечения информационной безопасности “Компания АЮСС” являются одними из главных, поскольку для подобной компании крайне важна бесперебойная работа всех её элементов.
По итогам прохождения производственной практики был достигнута основная цель: получены практические навыки работы по работе с базами данных.
Были выполненные предложенные практические задачи, решение которых было успешно внедрено на предприятии.
По использованию защитных средств для осуществлении своей деятельности, компания находится на высоком уровне, внедряя многие доступные элементы разносторонней защиты, направленной на предотвращение неполадок работы, происходящих начиная от ошибок операторов и заканчивая целенаправленными хакерскими атаками.
Приложение А
ДОЛЖНОСТНАЯ ИНСТРУКЦИЯ
Старшего инженера отдела администрирования корпоративной сети
(администратор сети) в ООО “Компания АЮСС”
Общая часть
1.1. Старший инженер отдела администрирования корпоративной сети (далее – Отдела) назначается на должность и освобождается от должности на основании приказа директора муниципального бюджетного учреждения «Межотраслевой информационно-аналитический центр» (далее – ООО “Компания АЮСС”) в соответствии с действующим законодательством.
1.2. Старший инженер непосредственно подчиняется начальнику Отдела.
1.3. Старший инженер в своей деятельности руководствуется Конституцией Российской Федерации, Федеральными законами, Указами Президента Российской Федерации, нормативными правовыми актами Правительства Российской Федерации, нормативными правовыми актами органов представительной и исполнительной власти Хабаровского края и города Хабаровска, уставом ООО “Компания АЮСС”, приказами и распоряжениями директора учреждения, распоряжениями начальника отдела, положением об Отделе, настоящей должностной инструкцией.
1.4. В период временного отсутствия системного администратора его обязанности исполняет лицо, назначенное в установленном порядке. Данное лицо приобретает соответствующие права и несет ответственность за надлежащее исполнение возложенных на него обязанностей.
Должностные обязанности
Старший инженер обязан:
2.1. Администрировать локальные сети, сопровождение которых возложено на Отдел.
2.2. Администрировать и сопровождать систему информационной безопасности в рамках задач относящихся к компетенции отдела.
2.3. Разрабатывать и вести документацию по сопровождаемым им системам в области информационной безопасности.
2.4. Производит установку и настройку средств криптографической защиты, межсетевого экранирования, средств защиты от несанкционированного доступа.
2.5. Конфигурировать операционную систему на серверах, а также поддерживать рабочее состояние программного обеспечения серверов.
2.6. Знакомить с действующим регламентом сети каждого нового абонента. Вести журнал пользовательских паролей.
2.7. Контролировать установку программного обеспечения на серверы и рабочие станции.
2.8. Обеспечивать обмен информацией локальной сети с внешними организациями по телекоммуникационным каналам.
2.9. Контролирует и распределяет права доступа пользователей.
2.10. Регистрирует пользователей, назначает идентификаторы и пароли. Согласовывает список пользователей и их права доступа с непосредственным руководителем.
2.11. Устанавливает ограничения для пользователей по: а) использованию рабочей станции или сервера; б) времени; в) степени использования ресурсов.
2.12. Выявляет ошибки пользователей и сетевого программного обеспечения и восстанавливает работоспособность сети.
2.13. Консультирует пользователей по вопросам работы в информационной сети.
2.14. Производит своевременное копирование и резервирование данных.
2.15. Выполняет регулярную проверку на наличие компьютерных вирусов в сопровождаемых ЛВС.
2.16. Участвует в решении задач технического обслуживания при выявлении неисправностей сетевого оборудования, а также в восстановлении работоспособности системы при сбоях и выходе из строя сетевого оборудования.
2.17. Конфигурирует и периодически проводит техническое обслуживание и регламентные работы на сопровождаемом серверном, а также сетевом оборудовании.
2.18. Осуществляет контроль монтажа сетевого оборудования специалистами сторонних организаций.
2.19. Готовит предложения по модернизации и приобретению серверов, сетевого оборудования, программного обеспечения.
2.20. Осуществляет мероприятия по защите информации, функционирующей в сопровождаемой им сети и информации размещенной на серверах, от несанкционированного доступа в соответствии с имеющимися техническими и программными средствами.
2.21. Проводить мероприятия направленные на выполнение нормативных правовых актов, затрагивающих вопросы информатизации, защиты информации и информационной безопасности, в части соблюдения требований и ограничений по использованию и защите электронных информационных ресурсов.
2.22. Своевременно информировать начальника Отдела обо всех нарушениях регламента работы сети пользователями для принятия соответствующих административных мер.
2.23. Исполнять приказы, распоряжения и указания, вышестоящих в порядке подчиненности руководителей, изданные в пределах их должностных полномочий, за исключением неправомерных.
2.24. Вносить предложения и участвовать в подготовке решений по кругу закрепленных за ним вопросов.
2.25. Поддерживать сотрудничество с предприятиями и организациями города Хабаровска, осуществляющими разработку программного обеспечения и обслуживание компьютерной и иной оргтехники.
2.26. Хранить служебную тайну.
2.27. Соблюдать трудовую дисциплину, правила охраны труда и техники безопасности.
Права
Старший инженер имеет право:
3.1. Участвовать в работе совещаний, комиссий, рабочих групп по закрепленным за ним вопросам.
3.2. Посещать для исполнения должностных обязанностей предприятия, организации, учреждения различных форм собственности, а также выставки, конференции и семинары, посвященные компьютерным и информационным технологиям.
3.3. Требовать от руководства “Компания АЮСС” оказания содействия в исполнении своих должностных обязанностей и прав.
3.4. Другие права в соответствии с действующим законодательством.
Ответственность
Старший инженер несет дисциплинарную ответственность за неисполнение или ненадлежащее исполнение должностных обязанностей, несоблюдение правил внутреннего трудового распорядка в соответствии с Трудовым Кодексом Российской Федерации и законодательством Российской Федерации.