Телефон: 8-800-350-22-65
WhatsApp: 8-800-350-22-65
Telegram: sibac
Прием заявок круглосуточно
График работы офиса: с 9.00 до 18.00 Нск (5.00 - 14.00 Мск)

Статья опубликована в рамках: Научного журнала «Студенческий» № 38(208)

Рубрика журнала: Информационные технологии

Скачать книгу(-и): скачать журнал часть 1, скачать журнал часть 2, скачать журнал часть 3, скачать журнал часть 4, скачать журнал часть 5, скачать журнал часть 6, скачать журнал часть 7, скачать журнал часть 8

Библиографическое описание:
Веселова А.А. РАЗРАБОТКА СИСТЕМЫ ДЛЯ ОБЕСПЕЧЕНИЯ ТЕХНИЧЕСКОЙ ПОДДЕРЖКИ ПОЛЬЗОВАТЕЛЕЙ // Студенческий: электрон. научн. журн. 2022. № 38(208). URL: https://sibac.info/journal/student/208/269683 (дата обращения: 29.03.2024).

РАЗРАБОТКА СИСТЕМЫ ДЛЯ ОБЕСПЕЧЕНИЯ ТЕХНИЧЕСКОЙ ПОДДЕРЖКИ ПОЛЬЗОВАТЕЛЕЙ

Веселова Анастасия Александровна

студент, кафедра КБ-2 «Прикладные информационные технологии», МИРЭА - Российский технологический университет,

РФ, Москва

АННОТАЦИЯ

Статья посвящена рассмотрению уровня защищенности свободно распространяемой системы обеспечения технической поддержки, а также рассмотрению возможных методов защиты такой системы.

 

Ключевые слова: HelpDesk-система, служба поддержки, правила управления доступом, аутентификация, уязвимость.

 

Достаточно часто программное обеспечение с открытым исходным кодом бывает недостаточно защищено, что делает его использование небезопасным. Это особенно критично для небольших организаций, которые не всегда пользуются дорогостоящими проверенными продуктами. Использование небезопасного программного обеспечения может стать источником риска информационной безопасности организации [1, с. 6], поэтому цель данной работы – выявить уязвимости бесплатной системы и предложить методы их устранения.

Согласно рейтингу уязвимостей от OWASP [4], самыми распространенными из них являются:

  1. Нарушение контроля доступа;
  2. Сбои в криптографии;
  3. Внедрение кода;
  4. Небезопасный дизайн;
  5. Некорректная конфигурация;
  6. Уязвимые и устаревшие компоненты;
  7. Ошибки идентификации и аутентификации;
  8. Нарушения целостности данных;
  9. Журнал безопасности и сбои в мониторинге;
  10. Подделка запросов со стороны сервера.

Для анализа защищенности была выбрана свободно распространяемая система HESK [3], так как она является достаточно популярной и полностью бесплатной. Другие известные системы являются относительно бесплатными, так как они предоставляют самый минимальный функционал, а за другие необходимые для работы функции взимается дополнительная плата, например, как в системе FreeScout [2].

В системе HESK реализованы следующие средства защиты:

  1. Однофакторная аутентификация инженеров поддержки с использованием многоразового пароля;
  2. Конфиденциальные данные шифруются алгоритм криптографического хеширования;
  3. Отсутствие избыточного функционала и автоматического обновления;

Итак, в ходе анализа функционала и исходного кода системы HESK были выявлены три из десяти категории уязвимостей: ошибки идентификации и аутентификации, внедрение кода и журнал безопасности и сбои в мониторинге. Такой вывод был сделан исходя из того, что в системе не реализованы следующие меры защиты: проверка многоразовых паролей на сложность, усиленная аутентификация, регистрация событий в журнале мониторинга. Также для защиты от инъекций применен устаревший и уже неэффективный метод экранирования.

Таким образом для защиты системы от выявленных уязвимостей необходимо реализовать:

  1. Усиленную аутентификацию, как минимум с использованием одноразового кода подтверждения;
  2. Журнал регистрации событий и систему мониторинга подозрительных событий;
  3. Параметризацию запросов и ограничение вводимых пользователями данных.

Из всего вышеописанного можно заключить, что реализация вышеописанных методов защиты в системе технической поддержки пользователей сможет значительно снизить риски нарушения информационной безопасности организации, которая использует это программное обеспечение.

 

Список литературы:

  1. ГОСТ Р 53114-2008. Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения. — М.: Стандартинформ, 2018. – IV, 129 c.; 29 см.
  2. FreeScout [Электронный ресурс]. – Режим доступа: https://freescout.net. – Дата доступа: 15.11.2022.
  3. HESK [Электронный ресурс]. – Режим доступа: https://www.hesk.com. – Дата доступа: 15.11.2022.
  4. OWASP Foundation [Электронный ресурс]. – Режим доступа: https://owasp.org. – Дата доступа: 16.11.2022.

Оставить комментарий

Форма обратной связи о взаимодействии с сайтом
CAPTCHA
Этот вопрос задается для того, чтобы выяснить, являетесь ли Вы человеком или представляете из себя автоматическую спам-рассылку.