Дипломная работа: Автоматизация управления проектами студии ТОО "Black and white"
Внимание! Если размещение файла нарушает Ваши авторские права, то обязательно сообщите нам
26
4. Менять п а рол ь в случае, если есть указания на некую
компрометацию систем или паролей;
5. Подбирать пароли , имеющие не менее 6 символов;
6. Менять пароль периодически (не более чем через 180 суток), не
повторяться и не использовать «циклическое» применение старых паролей;
7. Заменять пароли для отдельных важных системных ресурсов, к
примеру, коды д оступа к определенным системным утилитам;
8. Менять временные пароли при начальной авторизации в системе;
9. Не сохранять пароли в открытых сценариях автоматического входа
в си стемы, к примеру, в макросах или отдельных функцион ал ьных клавишах.
Выбирая пароль, нельзя применят ь;
1. День, месяц и год рождения;
2. ФИО, ID, регистра ционный номер авто;
3. ID на название рабочего отдела;
4. Телефон или группу с имволов, которая включает только цифры;
5. ID пользователей, их имена, а также ID групп и другие системные
ID;
6. Много одинаковых с имволов, которые стоят друг за другом;
7. Символы, включающие только б уквы.
Главным средством, которое значительно усложняет кражу учетных
данных, является антивирусная защита.
Пользоват ел ям необходимо следовать указанным процедура м
поддержания антивирусной защиты при вводе данных в систему с
подключенных флэш-носителей, применении электронной почты и копировании
данных их глобальной сети.
Также не следует отключать работающие на ПК средства антивирусной
защиты и применять внешние флэш-носители без их начальной антивирусной
проверки.
Важно четко следовать следующим рекомендациям:
• Устанавливать только легальное ПО и запретить применение
«пиратских» программ;
27
• Проводить периодические проверки программ и данных в системах,
имеющих критически важные производственные процессы. Нахождение
неопознанных или случайных файлов и нужно расследов а ть при помощи
формальных процедур;
• Флэшки и другие внешние носители неизвестного происхождени я
нужно прове рять на наличие вирусов до момента их активного исп ользования;
• Важно разработать необходимые управленческие процедуры и
обязанности по оперативному реагированию в момент поражения систем
компьютерными вирусами и принятию мер по минимизации последствий от их
реализации. Нужно подготовить надлежащие планы обеспечения постоянной
работы компании даже в случае вирусного заражения, а также планы резервного
копирования и восстанов л е ния всех нужных данных и программ.
Антивирусное ПО нужно применять следующим образом:
• ПО для нахождения отдельных вирусов нужно использовать для
проверки компьютеров и нос ителей данных на наличие отдельных явных
вирусов либо в виде меры предосторожности, либ о в качестве повседневной
процедуры;
• ПО для нахождения изменений, внесенных в данные, нужно
установ ить по мере необходимости на ПК для выявления изменений в
работающих программах.
Вопросы безопасности разработанного сайта делят на 2 большие
категории: в нутренние, которые угрожают функционированию проекта и
исходят от самих пользователей, и внешние, которые являются угрозой в перв ую
очередь для пользователей проекта.
Внутренние элементы защиты затрагивают не только потенциальные
уязвимости в коде, которые могут привести к различным видам атак, на пример,
SQL-инъекциям, XSS и т.п.
Внешние элементы защиты веб-приложения включают такую
особенность, что разработчик не имеет почти никакого доступа к компьютеру
пользователя – чаще всего его область влияния ограничив а ется браузером.
Поэтому главной задачей является реализация защиты пользовател я в случае
28
воровс тва данных его активной сессии или получение злоумышленником
доступ а к его данных для входа: логина, пароля, кража e-mail и т.п.
Далее будут рассмотрены и предложены решения для различных областей
внутре нних и внешних элементов защиты.
SQL-инъекция яв ляется самым популярным средством взлома сайтов и
программ, работ ающих с БД, основанная на внедрении в запрос некого SQL-
запроса.
Внедрение SQL, в рамках применяемой СУБД и условий внедрения, дает
шанс атакующему выполнит ь отдельный запрос к БД (к примеру, прочитать
содержимое всех таблиц, удалить, добавить или скорректировать данные), иметь
доступ для чтения и/или записи отдельных файлов и реализации произвольных
команд на исходном сервере.
Межсайтовый скрипти нг, также известный, как XSS, является
уязвимость ю интерактивных ИС в сети. XSS возникает, когда в состав л яемые
сервером страницы каким-то образом попадают пользовательские скрипты.
Специфика таких атак состоит в том, что вместо самой атаки сервера они
применяют уя звимый сервер для реализации атаки на клиента (подробнее на рис.
8).
Описанные выше XSS атаки являются не единственным способом кражи
данных пользователя. ПК сотрудника может быть заражен вирусом или его
данные могут перехватываться из его сети, с помощью анализатора трафика.
Поэтому нужно как можно сил ьнее затруднить возможность применения
злоумышленником данных сессии другого пользователя. Извест н ым методом
для защиты от кражи сессионных данных стала проверка на смену IP-адреса в
рамках единой пользовательской сессии. Но, как стало известно, DHCP у
постав щиков услуг Интернет-соединен ия (провайдеров) зачастую настроен так,
что IP-а дрес в течение конкретного сеанса связи с Интернетом может меняться
до нескольких раз за час. Да и стат и ческий IP-адрес не гарантия того, что
пользователь будет тот же: злоумышленник может быть в той же локальной
сети, что и атакованный.
Как уже упоминалось, инструменты web-разработчика ограничены
станд артными данными, доступными средствами html, так что следующим
29
шагом в развитии данн ой системы ст ал а проверка данных, содержащих
информацию о браузере пользователя (UserAgent), а также параметрах его
экрана: разрешении, цветовой схеме и т.п., которые доступны инструментами
JavaScript. Данное изменение позволило более стабильно отслеживать кражи
сессионных данных, ведь изменение браузера или параметров экрана в рамках
одной сессии одним пользователем очень маловероятно.
Совокупность подобных проверок уже сейчас внедрен в базовый алгоритм
инициализации сессии пользов ателя. Проверка, в случае наличия MAC-адреса,
почти полностью гарантирует безопасность сессионных данных, однако, даже в
случае п рименения обычного браузера, что происходит зачастую, проверки
станд артных данных чаще всего бывает достаточно.
Далее в данн ой системе может быть проверка IP-адреса пользователя, в
случае его смены, на неизменность параметров, доступных через WHOIS, таких
как: ID Интернет провайдера, город и т.д.
Станда ртным средством определения счит аются регистрационные данные
пользователя: имя пользователя и пароль. Если эти данные у п ол ьзователя
крадут, то есть риск безвозвратной п отери контроля над аккаунтом.
1.3 Анализ существующих разработок и вы б ор стратегии
автоматизации «КАК ДОЛЖНО БЫТЬ»
1.3.1 Анализ существующих разработок для автоматизации задачи
Система управления проектами (СУП) яв ляется сов окупностью
организационных и технических методик и инструментов, поддерживающих
управление проект ами в компании и позволяющих повышать эффективность их
внедрения. Зачастую понятие СУП определяется более узко, как АИС или ИС
управления проектами, т.е. как некая программа. Методическую и
организационную составля ющие обычно включают в термин корпорат ивной
СУП.
qTrack – некая СУП с интересными возможностями взаимодей ствия -
сервис полностью объединён с e-mail: описывать задачи т е перь также легко, как
30
по e-mail, а контроли ровать их выполнен ие максимально уд обно, как в трекере.
Основные возможности имеются бесплатно.
Мегаплан — это российс кая СУП, позволяющая устанавливать задачи и
поручения, отслеживать их реализацию, хранить БД сотрудников фирмы,
учитывать ин сторию клиентов и т.д . [1]. Создатели ПО - одноименная компания
Мегаплан.
ПО становится полноценным Groupware продукт ом. Программа может
работать как на личном сервере компании, так и на серверах поставщика
продукта «Мегаплан» (SaaS). Сейчас это почти еди нственный российский
программный кмплекс, успешно прод ающийся как SaaS сервис. [2]
Основная особ енность «Мегаплана» в его SaaS-редакции состоит в
визуализации программы, которая создана с учетом повышенных требован ий по
простоте п рименения и эргономике рабочего стола. Для этого архитекторы
применяли новые веб-технологии AJAX – все рабочие блоки на страницах
можно обновить без ее перезагрузки, что значительно снижает нагрузку на
сервер и процент передающегося трафика. Интерфейс сервиса работает на
любом текущем веб-браузере, что говорит о том, что компания не станет
работать н какой-то специфичной и устаревшей программной версии.
Дизайн меню и базовый набор модулей созданы в студии Студии Артемия
Лебедева.
Worksection – отечест венная онлайн-система для контроля проектов.
Включает dashboard, задачи с описаниями, календарь, файл овую систему,
инструмент для учет а времени, тэги. Есть поддержка SSL, пользовательского
FTP и т.п. Программа простая и д оступная.
Сравнение разработок по основным параметрам представлено в таблице
1.3.
Таблица 1.3
Сравнение систем управления проектами
Параметры
qTrack
Мегаплан
Worksection
Claris
teamtools
ПланФикс
Объединение
сотрудн иков в
группы
+
-
+
-
+
-
Подключение
клиентов в
+
+
-
+
-
+
Источник: https://baza.diplomsite.ru/previewfile/2311