ПОДСИСТЕМА АВТОМАТИЗАЦИИ ЭКСПЕРТНОЙ ОЦЕНКИ ДЛЯ СИСТЕМЫ АВТОМАТИЗАЦИИ ПОИСКА ПОТЕНЦИАЛЬНЫХ УЯЗВИМОСТЕЙ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ ПРИ ПРОВЕДЕНИИ СЕРТИФИКАЦИОННЫХ ИСПЫТАНИЙ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ В СИСТЕМЕ СЕРТИФИКАЦИИ ФСТЭК РОССИИ
Введение 4
1 Обзор существующих методов экспертной оценки потенциальных уязвимостей ПО при проведении сертификационных испытаний СЗИ в системе ФСТЭК и их возможность применения и автоматизации для САПУ 5
1.1 Анализ нормативно-методической базы ФСТЭК России в части сертификационных испытаний СЗИ 5
1.2 Изучение формата и практики использования общедоступных баз данных уязвимостей при проведении сертификационных испытаний СЗИ 8
2 Общий обзор классификаций угроз безопасности: CWE, CAPEC 12
2.1 Анализ каталога дефектов ПО MITRE CWE 12
2.2 Анализ схемы данных каталога дефектов ПО MITRE CWE 13
2.3 Анализ каталога типов атак MITRE CAPEC 18
2.4 Анализ схемы данных каталога дефектов MITRE CAPEC 19
3 Реализация алгоритма сохранения соответствующей информации для
каталога дефектов (CWE) и шаблонов атак (CAPEC) в БД САПУ 24
3.1 Проектирование и создание базы данных каталога дефектов и
шаблонов атак 24
3.2 Реализация алгоритма 30
4 Реализация алгоритмов поиска информации о типовых уязвимостях, ошибках, недостатках языков программирования, используемых при разработке СЗИ 36
5 Реализация формирования отчета по результатам поиска опубликованных
уязвимостей, сформированных ПК САПУ 40
6 Реализация серверной и клиентской частей ПЭОУ 42
6.1 Описание реализации серверной части 42
6.2 Описание реализации клиентской части 42
7 Обеспечение регистрации событий, связанных с использованием и настройкой ПЭОУ 48
8 Вредные психофизиологические факторы, влияющие на опорно-двигательный аппарат специалиста по защите информации. Методы и средства
физической культуры, снижающие их воздействие 51
Заключение 57
Список используемых источников 58
Приложение А Функция актуализации информации о дефектах (CWE) и шаблонах атак (CAPEC) 60
Приложение Б Функция формирования отчета по найденным уязвимостям 70
Приложение В Протокол проверки на оригинальность в системе «Антиплагиат.ВУЗ» 74
С внедрением информационных технологий во все сферы жизнедеятельности человека проблемы безопасности обработки данных с каждым годом становятся всё более сложными и многогранными. Область применения информационных систем постоянно расширяется, затрагивая практически любую деятельности в различных сферах жизни общества. При этом на такие информационные системы возлагается существенная ответственность за сохранность и безопасность данных.
Проведение анализа уязвимостей используемого ПО, а также формирование возможных моделей угроз СЗИ является неотъемлемой задачей экспертов на всех жизненных циклах разрабатываемых и эксплуатируемых СЗИ.
Анализ позволяет выявить и предотвратить возможные последствия, связанные с нарушениями свойств информации, которая может повлиять на жизнедеятельность целого государства.
В данной работе был проведен обзор существующих методов экспертной оценки потенциальных уязвимостей ПО при проведении сертификационных испытаний СЗИ в системе ФСТЭК и их возможность применения и автоматизации для САПУ
Также был проведен анализ каталога дефектов ПО MITRE CWE, а также анализ каталога типов атак MITRE CAPEC, с целью общего обзора классификаций угроз безопасности, находящихся в открытом доступе.
На основании полученной информации было принято решение о реализации алгоритмов сохранения соответствующей информации для каталога дефектов (CWE) и шаблонов атак (CAPEC) в БД САПУ и алгоритмов поиска информации о типовых уязвимостях, ошибках, недостатках языков программирования, используемых при разработке СЗИ, а также формирования отчета по результатам поиска опубликованных уязвимостей, сформированных ПК САПУ.
По окончании описания функций разрабатываемой подсистемы была реализована серверная и клиентская части приложения.
В ходе выполнения преддипломной практики были получены практические навыки проектирования клиент-серверного приложения, разработки клиентской части приложения на языке JavaScript и серверной части на языке Python3, а также настройки регистрации событий, связанных с использованием и настройкой приложения.
В результате выполнения преддипломной практики была разработана серверная и клиентская части подсистемы экспертной оценки (ПЭО) на основе ПК САПУ.
В процессе выполнения выпускной квалификационной работы была подготовлена и опубликована статья в сборнике статей VIII Всероссийской межвузовской научно-практической конференции «Информационные технологии в науке и образовании. Проблемы и перспективы 2021».
