Информационная безопасность (Руслан Пермяков)

Руслан Пермяков («Системы информационной безопасности») рассказывает о том, какие аспекты безопасности нужно иметь в виду при разработке программных систем.

http://techtalks.nsu.ru

Transcript

1. Проблема ИБ.
   Что стоит знать об информационной
   безопасности при проектировании
   информационных систем
   Пермяков Руслан Анатольевич
   технический директор ООО «СИБ»
   pra@sib-nsk.net
   

   View Slide

2. Информационные системы
   Сегодня smart-устройств становится все
   больше...
   

   View Slide

3. Безопасность
   • Поддержание информационной системы в
   заранее определенном множестве
   состояний признаных безопасными.
   

   View Slide

4. Проблемы безопасности
   • Ошибки конфигурирования и инсталяции;
   • Ошибки пользователя;
   • Ошибки создания:
   • I тип - ошибки написания (переполнение
   буфера и т.п.)
   • II тип ошибок - алгоритмические
   ошибки (неуточненное поведение,
   слабые алгоритмы авторизации и т.п.)
   

   View Slide

5. Проблема
   • При разработке ПО не делается анализ
   безопасности решения;
   • Не оцениваются (хотя бы умозрительно)
   возможности нарушителя.
   

   View Slide

6. TCP
   Уровень нулевого знания
   

   View Slide

7. TCP
   • В ftp есть уязвимость, позволяющаяя «увести»
   соединение
   

   View Slide

8. ADS-И – Система авиакоммуникаций
   следующего покаления
   Идентификация:
   •Aircraft Address - глобальный уникальный идентификатор воздушного судна;
   •Parity Information - информация для контроля битной чтности
   (с) А. Костин. Спуфинг в воздухе. Хакер № 1 (168) 2013
   

   View Slide

9. Априорное доверие
   •Неявно выраженное убеждение, что
   устройства подключенные к системе
   авторизованным пользователем
   заслуживает доверие.
   •Так ли это?
   •USB накопители?
   •ЗУ?
   •Устройства подключенные к ODB-II?
   

   View Slide

10. Взлом автомобиля
    •Доверие к устройствам бортовой сети;
    •Доверия к устройствам, подключенным к
    ODB-II
    

    View Slide

11. Взлом через ЗУ
    •Доверие ко всему,
    что подключено к
    порту;
    •Доверие к ПО,
    полученному через
    локальный порт.
    

    View Slide

12. Итоги
    • В современных условиях не существует
    «доверия по умолчанию»;
    • Обратите внимание на buffer и stack;
    • Пользователя надо контролировать на
    каждом этапе.
    

    View Slide

13. Принципы безопасной
    архитектуры
    • простота механизмов (economy of mechanism);
    • безопасность по умолчанию (fail-safe defaults);
    • полное проникновение защиты (complete mediation);
    • открытый дизайн (open design);
    • разделение полномочий (separation of privilege);
    • минимум привилегий (least privilege);
    • минимизация разделения ресурсов (least common
    mechanism);
    • психологическая приемлемость (psychological acceptability).
    

    View Slide

14. Испрользуйте шаблоны
    • Существуют design patterns для задач
    безопасности.
    • При этом они есть на всех уровнях:
    • архитектуры;
    • написания кода;
    • пользовательского интерфейса;
    • поведения программы.
    

    View Slide

15. Шаблоны
    • Концорциум Open Group (http://
    opengroup.org);
    • CERT (http://cert.org);
    • cgisecurity (http://www.cgisecurity.com)
    

    View Slide

16. ТППС
    • Теория проектирования программных
    систем:
    • Придерживайтесь стандартов
    проектирования;
    • Изоляция модулей;
    • Понятный код;
    • Повторное использование.
    

    View Slide