Статья на тему "МОИ. Разработка программного обеспечения для повышения эффективности защиты веб-приложения от XSS-атак"

Работа на тему: Разработка программного обеспечения для повышения эффективности защиты веб-приложения от XSS-атак.
Год сдачи: 2018. Оценка: Хорошо. Оригинальность работы на момент публикации 50+% на антиплагиат.ру.
Ниже прилагаю все данные для покупки. Так же можете посетить мой профиль готовых работ: https://studentu24.ru/list/suppliers/vladimir---1307

Описание работы

Негосударственное образовательное учреждение высшего образования
Московский технологический институт

Кафедра: Информатики и автоматизации Факультет: Техники и современных технологий Уровень: Бакалавриат
Направление: Информатика и вычислительная техника Профиль: Технологии разработки программного обеспечения

РАБОТА
на тему:
«Разработка программного обеспечения для повышения эффективности защиты веб-приложения от XSS-атак»

Студента
Ф.И.О. (полностью) (подпись)
Руководитель
ученая степень, звание Ф.И.О. (полностью) (подпись)
Допущена к защите
Зав. кафедрой
ученая степень, звание Ф.И.О. (полностью) (подпись)
« » 2018 г.

Москва 2018

Оглавление
ВВЕДЕНИЕ 3
ГЛАВА 1. ТЕОРЕТИЧЕСКИЕ ОСНОВЫ РАЗРАБОТКИ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ 6
1.1 Основные понятия, классификация и структура информационных систем 6
1.2 Жизненный цикл и модели жизненного цикла информационных систем 14
1.3 Оценка качества разработки программного обеспечения 19
ГЛАВА 2 ОСОБЕННОСТИ ЗАЩИТЫ ОТ XSS-АТАК 23
2.1 Понятие и виды XSS –атак 23
2.2 Анализ существующих методов обеспечения защиты информации WEB-серверов от XSS атак 28
2.3 Формирование требований к прототипу и выбор средств разработки34 ГЛАВА 3 ОПИСАНИЕ РАЗРАБОТАННОГО ПРОТОТИПА 40
3.1 Описание функционала программного обеспечения 40
3.2 Структура базы данных и основные алгоритмы работы 44
3.3 Руководство по использованию прототипа 53
ЗАКЛЮЧЕНИЕ 59
СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ 61
Приложение. Фрагмент листинга программного кода 66

ВВЕДЕНИЕ
Актуальность работы связана с тем, что современные средства защиты информации предлагают широкий спектр алгоритмов и программного обеспечения способного предотвращать различные угрозы информационной безопасности. В большинстве случаев, требуется средство выполняющее строго определенную функцию (в нашем случае анализ XSS-уязвимостей сайта) и не использующего лишний функционал, который может замедлить работу вычислительной системы и увеличить потребление ресурсов. К тому же использование комплексных средств по защите информации может быть не всегда доступно и целесообразно с финансовой точки зрения.
Большинство веб-приложений предусматривает функцию авторизации на веб-ресурсе для увеличения привилегий пользователя, т.е. авторизованным пользователям будет доступен весь предоставляемый функционал веб-ресурса. Но в существующих решениях по детектированию XSS-уязвимостей поиск осуществляется путем создания частичной карты веб-сайта. Это является огромным недостатком так как XSS-уязвимость может находиться в недоступной для поиска части веб-ресурса.
Обеспечение информационной безопасности вычислительных систем является одной из приоритетных задач, решаемой любой организацией, в хозяйственной деятельности которой применяются алгоритмы сбора, обработки, хранения, передачи информации. Среди множества видов угроз информационной безопасности существует категория опасностей, негативные воздействия которых могут провоцировать сами пользователи информационных ресурсов компании, подвергая, таким образом, опасности внутреннюю вычислительную сеть и устройства в нее входящие. Все эти угрозы стали возможны благодаря широкому распространению сети Интернет. Ведь Интернет стал неотъемлемой частью нашей повседневной жизни. Например, мы обычно переходим в Google для поиска информации,
Amazon или E-Bay для того чтобы купить книги и многие другие товары, и мы также, часто посещаем социальные сети для общения с друзьями. Но при этом никто не задумывается о безопасности своих данных в цифровой среде.
Десять лет назад большинство веб-приложений были статическими и не интерактивные с пользователями, в них почти не было уязвимостей, которые могли быть использованы злоумышленниками, поэтому веб- разработчики проигнорировали основы безопасности веб-приложений. Однако на сегодняшний день существуют миллионы динамических веб- сайтов с множеством новых технологий, которые выполняются и используются в веб-браузерах. Данные технологии позволяют подключать к веб-приложениям различные модули, которые увеличивают взаимодействие посетителей с веб-ресурсом, например, доски объявлений, формы обратной связи и т.д.
Однако эти новшества имеют и отрицательную сторону. Динамические веб-сайты обеспечивают хорошую платформу для злоумышленников, для внедрения вредоносного кода. С помощью вредоносного кода злоумышленник может получить доступ к данным авторизации пользователей и, выдавая себя за них, совершать противоправные действия как на локальных компьютерах пользователей, так и на серверах и сетевом оборудовании компании, меняя конфигурацию сети и программного обеспечения, выводя из строя дорогостоящее оборудование. Высокая вероятность данных угроз, при отсутствии должных мер по соблюдению правил и норм информационной безопасности, подвергают компании большим финансовым и репутационным рискам.
Одним из таких видов опасностей является межсайтовый скриптинг, в англоязычной литературе, называемый – XSS (cross site scripting, x – используется в данной аббревиатуре для краткости, с – не используется, чтобы избежать путаницы с CSS). [1] Межсайтовый скриптинг является

одним из самых распространенных по версии OWASP – открытого проекта обеспечения безопасности веб-приложений. [2] С помощью XSS-уязвимостей злоумышленник внедряет вредоносный программный код в веб-страницу, отправляемую сервером клиенту. Данный код может позволить получить доступ к данным авторизации пользователя и использовать ее с целью совершения противоправных действий в отношении защищаемой информации.
Объектом исследования является информационная безопасность, предметом – защита от XSS –атак.
Цель работы - разработка прототипа программного обеспечения для обнаружения XSS-уязвимостей.
Задачи работы:
1. анализ теоретических основ разработки программного обеспечения;
2. анализ предметной области обнаружения XSS-уязвимостей;
3. формирование требований к разрабатываемому прототипу;
4. выбор средств разработки прототипа;
5. разработка прототипа и описание его структуры.
При написании работы использовались научные труды следующих авторов: Бузов Г.Г.[10], Воронцова С.В [11], Гашков С. Б., Применко Э. А., Черепнев М. А. [13], Емельянова Н.А. [16], Ишейнов В.А.[19], Осмоловский С.В.[26].
работа состоит из Введения, трех глав, Заключения, Списка использованной литературы, приложений.

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ
1. Обеспечение информационной безопасности организаций банковской системы РФ. Стандарт банка России СТО БР ИББС-1.0-2010. ) [Электронный ресурс]
2. Практические правила управления информационной безопасностью. ГОСТ Р ИСО/МЭК 17799-2005.
3. ГОСТ Р ИСО/МЭК 15408-1-2002 [Электронный ресурс]
4. ГОСТ Р ИСО/МЭК 15408-1-2002. Информационная технология. Методы и средства обеспечения. Критерии оценки безопасности информационных технологий. Ч.1. Введение и общая модель. – М.: Госстандарт России, 2002.
5. Стандарт Банка России: "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0 - 2010" (СТО БР ИББС-1.2-2010) [Электронный ресурс]
6. Федеральный закон "О банках и банковской деятельности" от 02.12.1990 N 395
7. Федеральный закон от 27.07.2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» (с последующими изменениями и дополнениями от 28.07.2012)
8. Адаменко М.А., Основы классической криптологии. Секреты шифров и кодов, Издательство: ДМК Пресс, 2012 г., 256 с.
9. Адаменко М.А., Основы классической криптологии. Секреты шифров и кодов. - М.: ДМК Пресс, 2012. – 256 с.
10. Бузов Г.Г. Защита информации ограниченного доступа от утечки по техническим каналам. - М.: Горячая Линия – Телеком, 2014. – 594 с.
11. Воронцова С.В., Обеспечение информационной безопасности в банковской сфере. Монография. - М.: Кнорус, 2015. – 160 с.
12. Вус М.А. Информатика: введение в информационную безопасность / М.А. Вус, В.С. Гусев, Д.В. Долгирев и др. - СПб., 2012. - 156 с.
13. Гашков С. Б., Применко Э. А., Черепнев М. А., Криптографические методы защиты информации, Академия, 2010 г., 304 с.
14. Гашков С. Б., Применко Э. А., Черепнев М. А., Криптографические методы защиты информации. - М.: Академия, 2010. – 304 с.
15. Гришина Н. В., Комплексная система защиты информации на предприятии, – М.: Форум, 2010 г., 240 с.
16. Денисова А.А. Основы криптографии. – М.: Юрайт, 2014. – 289
с..
17. Джуди Новак, Стивен Норткатт, Дональд Маклахен, Как
обнаружить вторжение в сеть. Настольная книга специалиста по системному анализу, Лори, 2012 г., 384 с.
18. Емельянова Н.А., Партыка Т.В., Попов И.А. Защита информации в персональном компьютере. Учебное пособие. - М.: Форум, Инфра-М, 2015.
– 368 с.
19. Ефимов А.А. Защита информации. - М.: КноРус, 2014. – 594 с.
20. Исамидинов А.Е. Защита коммерческой тайны в сфере трудовых отношений. - СПб.: Ленанд, 2014. – 120 с.
21. Ишейнов В.А. Организационное и техническое обеспечение информационной безопасности. Защита конфиденциальной информации. Учебное пособие. - М.: ДРОФА; 2014. – 256 с.
22. Куняев Н.Н., Демушкин А.А., Кондрашова Т.В. Конфиденциальное делопроизводство и защищенный электронный документооборот. Учебник. - М.: Логос, 2014. – 500 с.
23. Лебедев А. В., Защита компьютера от вирусов, хакеров и сбоев. Понятный самоучитель, Питер, 2013 г., 160 с.
24. Малюк А. А., Пазизин С. В., Погожин Н. С., Введение в защиту информации в автоматизированных системах, Горячая Линия – Телеком, 2011 г., 146 с.
25. Малюк А.В. Анализ и прогнозирование потребности в специалистах по защите информации. - М.: Горячая Линия – Телеком, 2014. – 214 с.
26. Мельников В. П., Клейменов С. А., Петраков А. М., Информационная безопасность и защита информации, Академия, 2012 г., 336 с.
27. Мельников В.В., Куприянов А.А., Схиртладзе А.В. Защита информации. Учебник. - М.: Образовательно-издательский центр "Академия", 2014. – 304 с.
28. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. ГОСТ Р ИСO/МЭК 27001- 2006.
29. Мецапутян М.А. Защита конфиденциальной информации. Учебное пособие. - М.: ДРОФА; 2014. – 256 с.
30. Минзов А.С. Методология применения терминов и определений в сфере информационной, экономической и комплексной безопасности бизнеса. Уч-мет. пособие.-М.:ВНИИ геосистем, 2011.-84 с.
31. Минзов А.С. Методология применения терминов и определений в сфере информационной, экономической и комплексной безопасности бизнеса. Уч-мет. пособие.-М.:ВНИИ геосистем, 2011.-84 с.
32. Новак Дж., Норткатт С., Маклахен Д., Как обнаружить вторжение в сеть. Настольная книга специалиста по системному анализу. - М.: Лори, 2012. – 384 с.
33. Осмоловский С.В. Универсальная защита информации. Прецизионная теория информации. - М.: Издательский дом фонда "Сталинград", 2014. – 266 с.
34. Платонов В.Ю. Программно-аппаратные средства защиты информации. Учебник. - М.: Academia, 2014. – 336 с.
35. Поляков А.В. Безопасность Oracle глазами аудитора. Нападение и защита. - М.: ДМК Пресс, 2014 г., 336 с.
36. Применко Э.Ю. Алгебраические основы криптографии. - М.: Либроком, 2014. – 294 с.
37. Рябко Б. Я., Фионов А. Н., Криптографические методы защиты информации, Горячая Линия – Телеком, 2012 г., 230 с.
38. Рябко Б. Я., Фионов А. Н., Криптографические методы защиты информации. - М.: Горячая Линия – Телеком, 2012. – 230 с.
39. Сборник статей. А.Ю.Щеглов, К.А.Щеглов. Под общим названием «Компьютерная Безопасность. Новые технологии, методы и средства добавочной защиты информации от несанкционированного доступа (НСД)», СПб, 2015? 234 с.
40. Сергеева Ю. С., Защита информации. Конспект лекций, А-Приор, 2011 г., 128 с.
41. Сергеева Ю. С., Защита информации. Конспект лекций. - М.: А- Приор, 2011. – 128 с.
42. Сердюк В. А., Организация и технологии защиты информации. Обнаружение и предотвращение информационных атак в автоматизированных системах предприятий. - М.: Высшая Школа Экономики (Государственный Университет), 2011. – 576 с.
43. Скиба В. Ю., Курбатов В. А. Руководство по защите от внутренних угроз информационной безопасности, СпБ, Питер, 2011 г.- 320 с.
44. Сонг Ян, Криптоанализ RSA, НИЦ "Регулярная и хаотическая динамика", Институт компьютерных исследований, 2011 г., 312 с.
45. Ховард М., Д. Лебланк, Дж. Вьега 24 смертных греха компьютерной безопасности, Питер, 2010 г., 400 с.
46. Ховард М., Д. Лебланк, Дж. Вьега 24 смертных греха компьютерной безопасности. - М.: Питер, 2010. – 400 с.
47. Хорев П.А. Программно-аппаратная защита информации. Учебное пособие. - М.: Форум, Инфра-М, 2015. – 352 с.
48. Шаньгин В. Ф., Комплексная защита информации в корпоративных системах, Форум, Инфра-М, 2010 г., 592 с.
49. Шепитько Г. Е., Экономика защиты информации, МФЮУ, 2011 г., 64 с.