📄Работа №75221
Тема: Разработка схемы защиты от межсайтового скриптинга
Тип работы
Бакалаврская работа
Предмет
информатика
Объем:
85 листов
Год:
2018
Просмотров:
354
4900
руб.
🛒 Купить работу
Не подходит эта работа?
Закажите новую по вашим требованиям
Узнать цену на написание
Закажите новую по вашим требованиям
Представленный материал является образцом учебного исследования, примером структуры и содержания учебного исследования по заявленной теме. Размещён исключительно в информационных и ознакомительных целях.
Workspay.ru оказывает информационные услуги по сбору, обработке и структурированию материалов в соответствии с требованиями заказчика.
Размещение материала не означает публикацию произведения впервые и не предполагает передачу исключительных авторских прав третьим лицам.
Материал не предназначен для дословной сдачи в образовательные организации и требует самостоятельной переработки с соблюдением законодательства Российской Федерации об авторском праве и принципов академической добросовестности.
Авторские права на исходные материалы принадлежат их законным правообладателям. В случае возникновения вопросов, связанных с размещённым материалом, просим направить обращение через форму обратной связи.
Настоящий учебно-методический информационный материал размещён в ознакомительных и исследовательских целях и представляет собой пример учебного исследования. Не является готовым научным трудом и требует самостоятельной переработки.
📋 Содержание
ВВЕДЕНИЕ 9
Глава 1 Особенности защиты от XSS-атак на веб-приложения 12
1.1 Концепция и виды межсайтового скриптинга (XSS) 12
1.2 Описание и схемы реализаций атак, использующих XSS-уязвимости 15
1.3 Способы защиты от межсайтового скриптинга 19
1.4 Анализ существующих решений на рынке 20
1.5 Анализ и выбор средств реализации проекта 23
1.6 Вывод по 1 главе 29
Глава 2 Обнаружение XSS-уязвимостей на основе анализа полной карты веб-приложения 31
2.1 Разработка алгоритмов обнаружения XSS-уязвимостей 31
2.2 Описание разработки программных компонентов 36
2.3 Описание функционала разрабатываемого программного обеспечения 39
2.4 Руководство пользователя 42
2.5 Выводы по 2 главе 44
Глава 3 Результаты практического применения 45
3.1 Тестирование разработанного ПО и аналогичных решений 45
3.2 Расчет экономической эффективности 47
3.3 Эргономика проектного решения 50
3.4 Пути дальнейшего совершенствования 56
3.5 Вывод по 3 главе 56
ЗАКЛЮЧЕНИЕ
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ 59
ПРИЛОЖЕНИЕ
Глава 1 Особенности защиты от XSS-атак на веб-приложения 12
1.1 Концепция и виды межсайтового скриптинга (XSS) 12
1.2 Описание и схемы реализаций атак, использующих XSS-уязвимости 15
1.3 Способы защиты от межсайтового скриптинга 19
1.4 Анализ существующих решений на рынке 20
1.5 Анализ и выбор средств реализации проекта 23
1.6 Вывод по 1 главе 29
Глава 2 Обнаружение XSS-уязвимостей на основе анализа полной карты веб-приложения 31
2.1 Разработка алгоритмов обнаружения XSS-уязвимостей 31
2.2 Описание разработки программных компонентов 36
2.3 Описание функционала разрабатываемого программного обеспечения 39
2.4 Руководство пользователя 42
2.5 Выводы по 2 главе 44
Глава 3 Результаты практического применения 45
3.1 Тестирование разработанного ПО и аналогичных решений 45
3.2 Расчет экономической эффективности 47
3.3 Эргономика проектного решения 50
3.4 Пути дальнейшего совершенствования 56
3.5 Вывод по 3 главе 56
ЗАКЛЮЧЕНИЕ
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ 59
ПРИЛОЖЕНИЕ
📖 Введение
Обеспечение информационной безопасности (ИБ) вычислительных систем является одной из приоритетных задач, решаемой любой организацией, в хозяйственной деятельности которой применяются алгоритмы сбора, обработки, хранения, передачи информации. Среди множества угроз ИБ существует категория негативных воздействий, которые могут провоцировать сами пользователи информационных ресурсов компании, подвергая опасности внутреннюю вычислительную сеть и в нее входящие устройства. Эти угрозы стали возможны благодаря широкому распространению сети Интернет.
При этом десять лет назад большинство веб-приложений были статическими и не имели интерактивных интерфейсов взаимодействия с пользователями. В них почти не было уязвимостей, которые могли быть использованы нарушителями. Поэтому многие веб-разработчики игнорировали вопросы безопасности веб-приложений. Однако на сегодняшний день существуют миллионы динамических веб-сайтов с множеством новых технологий, которые выполняются и используются в веб-браузерах. Данные технологии позволяют подключать к веб-приложениям различные модули, которые усиливают взаимодействие посетителей с веб-ресурсом (например, доски объявлений, формы обратной связи и т.д.).
Однако эти новшества имеют и отрицательную сторону. Динамические веб-сайты обеспечивают хорошую платформу нарушителям для внедрения вредоносного кода. С помощью внедренного кода нарушитель может получить доступ к данным авторизации пользователей и, выдавая себя за них, совершать противоправные действия как на локальных компьютерах пользователей, так и в сетевом оборудовании компании, меняя конфигурацию сети и программного обеспечения. Отсутствие должных мер по соблюдению правил и норм информационной безопасности приводит к появлению угроз, которые эксплуатируют уязвимости, связанные с внедрением кода. Тем самым подвергают компании большим финансовым и репутационным рискам.
Одним из таких видов компьютерных атак является межсайтовый скриптинг, в англоязычной литературе называемый - XSS (cross site scripting, x - используется в данной аббревиатуре для краткости, с - не используется, чтобы избежать путаницы с CSS) [1]. Межсайтовый скриптинг является одним из самых распространенных компьютерных атак, по версии OWASP (открытого проекта обеспечения безопасности веб-приложений) [2]. Об этом же свидетельствуют и результаты исследования компании Positive Technologies.
При этом десять лет назад большинство веб-приложений были статическими и не имели интерактивных интерфейсов взаимодействия с пользователями. В них почти не было уязвимостей, которые могли быть использованы нарушителями. Поэтому многие веб-разработчики игнорировали вопросы безопасности веб-приложений. Однако на сегодняшний день существуют миллионы динамических веб-сайтов с множеством новых технологий, которые выполняются и используются в веб-браузерах. Данные технологии позволяют подключать к веб-приложениям различные модули, которые усиливают взаимодействие посетителей с веб-ресурсом (например, доски объявлений, формы обратной связи и т.д.).
Однако эти новшества имеют и отрицательную сторону. Динамические веб-сайты обеспечивают хорошую платформу нарушителям для внедрения вредоносного кода. С помощью внедренного кода нарушитель может получить доступ к данным авторизации пользователей и, выдавая себя за них, совершать противоправные действия как на локальных компьютерах пользователей, так и в сетевом оборудовании компании, меняя конфигурацию сети и программного обеспечения. Отсутствие должных мер по соблюдению правил и норм информационной безопасности приводит к появлению угроз, которые эксплуатируют уязвимости, связанные с внедрением кода. Тем самым подвергают компании большим финансовым и репутационным рискам.
Одним из таких видов компьютерных атак является межсайтовый скриптинг, в англоязычной литературе называемый - XSS (cross site scripting, x - используется в данной аббревиатуре для краткости, с - не используется, чтобы избежать путаницы с CSS) [1]. Межсайтовый скриптинг является одним из самых распространенных компьютерных атак, по версии OWASP (открытого проекта обеспечения безопасности веб-приложений) [2]. Об этом же свидетельствуют и результаты исследования компании Positive Technologies.
✅ Заключение
При написании бакалаврской работы были проанализированы особенности проведения компьютерных атак вида «межсайтовый скриптинг». Также проведен анализ существующих программ предназначенных для обнаружения XSS-уязвимостей, результаты которого показали, что данные программы не в должной мере справляются с поставленными задачами, тем самым приводят к снижению уровня информационной безопасности веб-приложения.
На основе методики, основанной на последовательном применении наиболее эффективных алгоритмов обнаружения различных типов XSS, разработаны соответствующие алгоритмы поиска уязвимостей. Данные алгоритмы реализованы в виде соответствующего ПО, которое позволяет повысить эффективность защиты веб-приложения от XSS-атак. Программное обеспечение значительно упрощает процесс тестирования веб-ресурса разработчиком, благодаря функционалу формирования отчета с рекомендациями по устранению найденных XSS.
Также разработанное программное обеспечение успешно апробировано в ООО Н1П1 «ДосЛаб», о чем свидетельствует соответствующий акт внедрения.
Экспериментально доказана конкурентоспособность разработанной программы. Проведенный анализ экономического эффекта показал, что внедрение разработанного программного обеспечения эффективно. Также были рассмотрены вопросы, связанные с техникой безопасности и охраной труда.
Результаты бакалаврской работы опубликованы в 3 печатных изданиях, один из которых входит в перечень ВАК. Работа была представлена и удостоена наград в следующих конкурсах:
- удостоена статуса финалиста в восемнадцатой всероссийской конкурс- конференции среди студентов и аспирантов по информационной безопасности «SIBINFO- 2018»;
- удостоена статуса победителя в конкурсе проектных работ имени академика А.А. Бочвара.
На основе методики, основанной на последовательном применении наиболее эффективных алгоритмов обнаружения различных типов XSS, разработаны соответствующие алгоритмы поиска уязвимостей. Данные алгоритмы реализованы в виде соответствующего ПО, которое позволяет повысить эффективность защиты веб-приложения от XSS-атак. Программное обеспечение значительно упрощает процесс тестирования веб-ресурса разработчиком, благодаря функционалу формирования отчета с рекомендациями по устранению найденных XSS.
Также разработанное программное обеспечение успешно апробировано в ООО Н1П1 «ДосЛаб», о чем свидетельствует соответствующий акт внедрения.
Экспериментально доказана конкурентоспособность разработанной программы. Проведенный анализ экономического эффекта показал, что внедрение разработанного программного обеспечения эффективно. Также были рассмотрены вопросы, связанные с техникой безопасности и охраной труда.
Результаты бакалаврской работы опубликованы в 3 печатных изданиях, один из которых входит в перечень ВАК. Работа была представлена и удостоена наград в следующих конкурсах:
- удостоена статуса финалиста в восемнадцатой всероссийской конкурс- конференции среди студентов и аспирантов по информационной безопасности «SIBINFO- 2018»;
- удостоена статуса победителя в конкурсе проектных работ имени академика А.А. Бочвара.
ИЛИ
Поиск аналога
📕 Список литературы
🛒 Оформить заказ
⚡ Работу высылаем в течении 5 минут после оплаты.