Комплексная защита информационных систем. Лабораторная работа. XSS-уязвимости.

Цель работы: Изучить основные понятия в области защиты веб-сайтов от XSS-уязвимостей
Содержание:Методический материал.Порядок проведения работы.Методический материал

Существующая статистика говорит о том что до 90%  существующих сайтов подвержены воздействию уязвимости межсайтового скриптинга или как его еще называют XSS.
В шкале рисков ХSS занимает следующую позицию:

XSS – представляет из себя модификацию веб-страницы в браузере клиента, путем сложения реальной страницы веб-сервера и так называемого XSS-вектора( т.е. кода включенного в веб-страницу со стороны).

Данная уязвимость представляет опасность и может нанести следующий ущерб:
– Ущерб имиджу компании-держателя сайта при модификации информации предоставляемой пользователю сайта;
– Возможность хищения конфиденциальных данных;
– Возможность организации атак по типу «Отказ в обслуживании» (DDOS);

Комплексная защита информационных систем. Лабораторная работа. Современная система обмена электронной почты.

Цель работы: Изучить современные почтовые системы, получить опыт работы с протоколами POP3  и SMTP . Получить понятия, опыт программирования и работы с сетевыми сниферами.
Содержание: Методический материал. Порядок проведения работы. Текст программы снифера

Методический материал

Все элементы данной схемы были нами подробно рассмотрены на лекциях. В данной лабораторной работе в качестве MTA будет использован пакет Postfix, А в качестве MDA пакет Popa3d.  Следует учесть, что конфигурация рассматриваемая нами на лабораторной работе является простейшей, и  пригодной лишь для проведения лабораторных испытаний, использоваться на практике данная конфигурация без дополнительной доработки не может в следствии ее множественных уязвимостей.
Одной из цели данной работы является получение практических навыков работы с протоколами SMTP и POP3

Рассмотрим их по подробнее:

Протокол SMTP – Sample Mail Transfer Protocol (Простой протокол пересылки почты).

Работа этого протокола имеет следующие этапы:
1. Этап приветствия: команда HELO server (server – это либо localhost либо доменное имя стороннего MTA пересылающего почту).
2. Этап представления: команда MAIL FROM: email (email – адрес электронной почты отправителя).

ИНФОРМАЦИОННАЯ ЭКОНОМИКА

Аннотация.

В  курсе  излагаются  основы  теории  информационной  экономики  как  самостоятельной учебной  дисциплины.  Ключевой  задачей  курса  является  определение  тенденций  развития информационной  экономики  на  глобальном,  национальном  и  микроуровне.  Метод исследования  и  логика  изложения  курса  опираются  как  на  уже  известный  студентам стандартный  теоретический  инструментарий,  так  и  на  использование  принципов  теории систем  в  познании  экономики.  При  этом  акцент  делается  на  включении  экономического знания  в  современную  научную  картину  мира,  т.  к.  без  обновления  методологического арсенала  экономической  науки  невозможно  осмыслить  широкомасштабные  сдвиги, происходящие в экономике и обществе ХХ1 века.
 Структура  курса  и  его  разделов  представляет  собой  движение  учебного  материала  от наиболее универсальных параметров эволюции общества к предельно конкретным ресурсам и  факторам  информационной  экономики.  В   курсе  излагаются  основные  теоретические подходы  к  познанию  общественной  эволюции  и  принципов  постиндустриализма, информационного общества, комьюниколоджизма и сетевой экономики;
-  выявляются  современные  факторы  национальной  конкурентноспособности  и  рентная определенность  продукта  в  информационной  экономике,  выраженная  в интеллектуальной, технологической, инновационной, финансовой и статусной рентах;
-  дается  понятийное  определение  информации  как  фундаментального  ресурса экономики, анализируются информационные основы экономической динамики;
-  рассматриваются  характеристики  интеллектуальной  фирмы,  а  также  структура неосязаемых активов фирмы и методы их оценки;
-  анализируются  информационные  аспекты  денег,  финансовых  рынков,  инфляции  и делового цикла.
В результате чтения курса студенты должны овладеть категориальным аппаратом теории информационной  экономики;  уметь  применять  полученные  знания  в  анализе  и
прогнозировании экономических ситуаций в условиях тотальной информатизации общества и экономики.

Телевидение в Челябинске

Телевидение – одно из наиболее массовых средств распространения информации: политической, культурной, познавательной, рекламной, спортивной. Для всего, практически, мира оно давно стало формообразующим институтом. Именно телевидение уже даже не фиксирует, но само создает или даже пересоздает реальность.

Однако когда речь заходит о проблемных факторах ТВ, чаще всего говорят о московских каналах. А между тем, аналитики фактически выносят за скобки фактор местных станций. Кроме очевидного укрепления позиций государства в электронных СМИ и явной борьбы за передел информационного пространства как следствия происходящих социально-политических процессов, одной из существенных характеристик современного состояния информационного вещания становится регионализация. Следовательно, интерес региональной аудитории к новостям местного масштаба и является определяющим.

Актуальность рассмотрения темы данной работы связана с увеличением роли телевидения в жизни общества. Электронные СМИ совершили грандиозный переворот с точки зрения скоростей передачи информации, объемов памяти и возможностей накопления знаний. Телевидение позволяет создавать и транслировать информацию в огромных масштабах.  

Челябинское телевидение на сегодняшний день представляет собой не просто работу какого-то отдельного коллектива, а значительное и многослойное явление, совокупность различных способов видения, множества ракурсов, эстетик и различных по творческой составляющей коллективов. Для дальнейшего рассмотрения темы необходимо перечислить некоторые челябинские телестудии, проявившие себя собственными оригинальными программами.

ЧГТРК – федеральное государственное унитарное предприятие, осуществляющее радио- и телевещание на Челябинск и область. Учредитель Всероссийская телевизионная и радиовещательная компания (ВГТРК).

Телерадиокомпания «Восточный экспресс», которая не только оснащена не хуже ЧГТРК, имеет значительный творческий потенциал, но и просто больше времени вещает;

«СТС – Челябинск» – несколько раз в сутки выходит в эфир в сетке канала «СТС – Москва»;

Приложения к лабораторным работам.

Приложение 1. API-функции работы с реестром

Общие сведения о реестре

Реестр — системная база данных Windows, предназначенная для хранения настроек. Ранние версии Windowsдля хранения настроек приложений и самой операционной системы использовали исключительно *.ini – файлы, размещённые в папках приложений или самой операционной системы. В дальнейшем разработчики ОС Windowsпредпочли вариант центраизованного хранения настроек в специальной иерархической базе данных — реестре. В современных ОС семейства Windowsбольшинство настроек хранится именно в реестре.

Разработчик прикладного программного обеспечения может использовать реестр для хранения настроек разрабатываемых приложений, а так же обращаться к реестру с целью выяснения системных настроек и настроек других программ.

Реестр имеет иерархическую структуру. Реестр состоит из нескольких разделов, каждый из которых содержит множество ключей. Каждый ключ может содержать как конкретные значения, так и другие ключи.

Назначение разделов реестра следующее:

–        HKEY_CLASSES_ROOT —содерит соответствие типов файлов запускаемым приложениям и значкам дляотображения файлов, а также информацию о компонентах Windows (специальных программах, которые могут использоваться в качестве объектов внутри других программ);

–        HKEY_CURRENT_USER — содержит инфрмацию о настройках пользователя, в данный момент работающего за компьютером (является ссылкой на подраздел HKEY_USERS, имеющий такое название, соответствующий имени пользователя);

GSM/GPS - система мониторинга мобильных объектов

1. ОБЩИЕ СВЕДЕНИЯ О СИСТЕМЕ
1.1. НАЗНАЧЕНИЕ СИСТЕМЫ
GSM/GPS -  система  мониторинга  предназначена  для  определения  местоположения  и состояния  мобильных  объектов (МО),  например,  автомобильный  транспорт, железнодорожные вагоны, контейнеры с ценным грузом, человек и др.; а также, для охраны удаленных объектов, удалённого управления и оповещения с использованием радиоканалов GSM (Global System for Mobile).
Система  разработана  с  учетом  требований  специалистов  по  безопасности  и представляет  собой  гибкое  и  надежное  решение  ежедневно  возникающих  проблем  в организациях,  для  которых  вопросы  обеспечения  контроля  состояния  мобильных  объектов  имеют весьма важное значение.
Система  мониторинга  МО (СММО)  представляет  собой  автоматизированный компьютерный  комплекс  для  слежения  за  передвижением  объекта  и  состоянием  его элементов.  СММО  разработана  с  целью  снижения  потерь  при  возможных  угрозах  в отношении экипажа, пассажиров и перевозимого МО ценного груза; повышения дисциплины сотрудников при осуществлении маршрутных перевозок.
Местоположение  каждого  МО  и  состояние  его  отдельных  элементов  может  быть отражено  на  карте  дисплея  диспетчерского  компьютера  или  транслировано крупноформатным  видео-проектором  в  диспетчерском  зале.  Это  позволяет  диспетчеру отслеживать  все  передвижения  МО  и  контролировать  состояние  его  отдельных  частей, например, дверей автомобиля или контейнера, двигателя, груза, наличия топлива, количества пассажиров  в  салоне  и  т.д.  Кроме  того,  развитая  система  команд  позволяет  дистанционно управлять  важными  элементами  МО,  например,  санкционировать  открытие  сейфа, автоматически выключить двигатель МО, подать тревожный сигнал и блокировать двери при возникновении угрозы.
Использование  в  системе  развитой  сети  радиосвязи  позволяет  обмениваться  речевой, текстовой и телеметрической информацией между МО и диспетчерским пунктом. 1.2.

Вычислительный центр

1. Описание ситуации

Компьютерный класс университета состоит из 23 машин, 1 сервера и имеет общий доступ в Internet.

Используется для проведения учебных занятий и для выполнения практических работ, а так же для проведения зачетов и экзаменов.

Пользователи-студенты

Персонал - преподаватели, администраторы.

1.2 Используется для:

-         редактирования документов

-         работы в Интернете

-         программирования на разных языках (C++, VisualBasic, Delfi и т. д. ).

-         хранения массива документов (связанных с учебным процессом) как для преподавателей, так и для студентов.

-         обучения работы в различных программных средах (MSWord, Exel, MS      SQLServer)

1.3 Защищаемая информация

-  документы преподавателей, используемые студентами (доступность, целостность)

-  документы студентов, используемые для учебного процесса (конфиденциальность, доступность, целостность)

Базовые типы данных. Производные или сложные типы данных. Понятие структура, массив, адрес, указатель.

Все данные, которые используются в С++ должны быть описаны до их использования. При описании данных им присваивается имя и тип. Существуют простые (базовые) и производные (сложные) типы данных.

БАЗОВЫЕ ТИПЫ ДАННЫХ

Данные целого типа:

int – целый знаковый (2 байта)

short – короткое целое (1 байт)

long – длинное целое (4 байта)

register – регистровая переменная, по возможности значения таких переменных помещаются в регистры ЦП (если они свободны), что значительно улучшает их обработку (используются обычно в счетчиках, циклах)

Целочисленные константы – последовательность символов в цифрах, определяющая значение (в 10-ой, 8-ой, 16-ой форме). При записи констант могут использоваться ^, которые и определяют основание константы.

Unsigned– беззнаковое. Может использоваться в качестве префикса при всех описаниях данных целого типа (напр.: unsignedshort). Unsigned означает, что старший бит внутреннего представления входит в код представляемого числового значения, которое считается в этом случае беззнаковым. Unsigned изменяет границы значений определяемого типа без изменения его мощности (количества элементов). По умолчанию, при отсутствии в качестве префикса слова unsigned любой целый тип считается знаковым (signed).

Основные принципы теории структурного программирования. Иерархичность, модульность, вложенность. Элементарные программы (структура).

Структурное программирование предполагает несколько этапов создания программы.

Декомпозиция (анализ задачи) – разбиение задачи на несколько подзадач, установление взаимосвязей между подзадачами, создание иерархического соподчинения. Разбиение задачи на подзадачи производится до уровня элементарных программ (структур). Любая элементарная программа имеет 1 вход и 1 выход.

Все элементарные программы делятся на группы:

1. Последовательность – каждое действие выполняется в строго определенном порядке. Как правило, получение структуры типа последовательность является 1м шагом декомпозиции.

2. Разветвляющиеся алгоритмы – предполагает анализ алгоритма и разбиение его до уровня элементарных программ. При этом используется принцип вложенности: каждая элементарная программа может быть блоком действия в любой другой элементарной программе. Уровень вложенности ничем не ограничивается.

Помимо принципа вложенности в теории структурного программирования определяются такие понятия как иерархичность и модульность.