новая папка 2 / 60679

3.2. Компьютерные технологии работы с базами данных

База данных – специальным образом организованное хранение информационных ресурсов в виде интегрированной совокупности файлов, обеспечивающей удобное взаимодействие между ними и быстрый доступ к данным. Для работы с базами данных используются

системы управления базами данных (СУБД).

Система управления базами данных – это специальная програм-

ма, необходимая для организации базы данных (хранилища информации) и работы с ней пользователей информационной системы.

Основными функциями СУБД являются: добавление, удаление и обновление записей в базе данных, поиск нужных записей по заданным условиям. Для выполнения этих функций применяется механизм запросов. Результатами выполнения запросов являются либо отобранное по определенным критериям множество записей, либо изменения в таблицах.

Запросы к базе формируются на специально созданном для этого языке – SQL (Structured Query Language – язык структурированных запросов), о котором можно найти много информации в сети Интернет.

СУБД классифицируются по следующим признакам:

По архитектуре организации хранения данных:

локальные (все части базы данных размещаются на одном компьютере);

распределенные (размещаются на нескольких компьютерах).

По способу доступа к базе данных:

файл-серверные (Microsoft Ассеss);

клиент-серверные (MySQL);

встраиваемые (Sybase SQL Anywhere).

По типу управляемой базы данных:

иерархические (с древовидной структурой элементов, например, структура файлов и папок на компьютере);

сетевые (каждый элемент базы данных может быть связан с любым другим элементом);

реляционные (на базе двумерных массивов);

объектно-ориентированные (элементами являются модели объектов, включающих прикладные программы, которые управляются внешними событиями).

31

3.3.Новые информационные технологии в образовании

Кновым информационным технологиям в учебном процессе от-

носят применение средств мультимедиа (например, презентации, видео), доступность учебных материалов через сеть Интернет для любого участника учебного процесса (например, конспекты лекций в свободном доступе, видеокурсы (лекции, семинары)), возможность консультирования студентов преподавателями в любое время и в любой точке пространства, внедрение системы дистанционного образования (например, трансляция лекций в системе online).

Кновым информационным технологиям, применяемым в земле-

устроительном процессе, относят цифровые печати и подписи кадастровых инженеров, интерактивные консультации специалистов, передачу межевых дел в кадастровые палаты в электронном виде посредством XML-файлов.

3.4. Технология поиска информации

Поисковая система – это специальное программное обеспечение, основная цель которого – обеспечить быстрый, точный и качественный поиск информации в сети Интернет. Необходимо набрать поисковый запрос (ключевую фразу) в поисковой системе и просмотреть выданные результаты. Результаты выдачи ранжируются по релевантности, то есть степени соответствия поискового запроса содержимому найденного документа.

В России используют следующие поисковые системы:

1.Yandex.ru – около 50% поиска.

2.Google.com – около 35%.

3.Search.mail.ru – около 10% (до 1 янв. 2010 г. использовался поиск от yandex.ru).

4.Rambler.ru – около 2,5%.

5.Прочие поисковые системы – около 2,5%.

32

3.5. Основы безопасности компьютерной информационной системы

Развитие новых информационных технологий и всеобщая компьютеризация привели к тому, что информационная безопасность не только становится обязательной, она еще и одна из характеристик успешной деятельности предприятий и организаций в целом (в частности, аграрного сектора). В последние годы отмечается все больший интерес руководства крупных интегрированных агропродовольственных структур, функционирующих в АПК России, к внедрению корпоративных вычислительных сетей. В связи с этим весьма актуальной является проблема защиты циркулирующей в рамках таких сетей землеустроительной, кадастровой и экономической информации. Умышленное или непреднамеренное вмешательство в систему, нарушение режима конфиденциальности способно нанести серьезный ущерб производственно-финансовой деятельности организаций, привести к потере имиджа, лидерских позиций, в том числе к конкурентоспособности производимой продукции. Поэтому способность противодействовать различным разрушающим воздействиям имеет первостепенное значение в информационной системе организации.

В настоящее время для обеспечения защиты землеустроительной, кадастровой и экономической информации в корпоративных информационных сетях организаций и предприятий требуется не просто разработка частных механизмов защиты, а реализация системного подхода, включающего комплекс взаимосвязанных мер (использование специальных технических и программных средств, организационных мероприятий, морально-этических мер противодействия, нор- мативно-правовых актов).

Многочисленные публикации последних лет показывают, что усиливается злоупотребление информацией, циркулирующей в информационных системах и передаваемой по каналам связи, причем не менее интенсивно, чем меры защиты. Под угрозой безопасности информационной системы понимают события или действия, которые приводят к искажению, несанкционированному использованию или даже к разрушению информационных ресурсов системы управления, а также программных и аппаратных средств (рис. 1).

33

УГРОЗЫ

Внутренние

Внешние

Шпионы

Сотрудники

Вирусы

Черви

Троянский

Захватчики

конь

паролей

Рис. 1. Классификация угроз безопасности информационных систем организаций и предприятий

Следует помнить, что угрозы могут быть случайные, непреднамеренные, но особенно опасны угрозы умышленные, которые преследуют цель нанесения ущерба системе управления или пользователям. Это делается нередко ради получения личной выгоды. Защита от умышленных угроз – это своего рода соревнование обороны и нападения: кто больше знает, предусматривает действенные меры, тот и выигрывает.

«Внешнему врагу» порой весьма непросто проникнуть в корпоративную информационную систему организации. Ситуация коренным образом меняется, если у злоумышленника есть союзник внутри самой организации. Защищаясь от «внутренних врагов», следует различать тех, кто наносит своей организации вред целенаправленно, и тех, кто делает это по неосторожности. Соответственно методы защиты от их действий существенно разнятся.

Шпионы – внедренные в компанию недоброжелатели, как правило, хорошо знакомы с используемыми защитными механизмами и стремятся легальным путем получить все необходимые коды доступа. В таких условиях предотвратить утечку информации почти невозможно. Тем не менее, ее необходимо точно зафиксировать, чтобы в дальнейшем бороться с ней. Для защиты от этого вида угроз традиционно используется служба физической безопасности. Как правило, «шпионы» могут нанести значительно больший ущерб, чем «сотрудники», но, к счастью, встречаются намного реже. Для обеспечения надежного мониторинга нужно выстроить правильную политику обеспечения доступа пользователей, предоставляя им ровно столько

34

полномочий, сколько нужно. Изменение прав доступа должно меняться автоматически с помощью средств управления идентификационной информацией. Такие решения есть у Oracle, Check Point и ряда других компаний. Желательно не ограничивать процедуру аутентификации простой проверкой пароля, но использовать более сложную систему опознавания пользователей.

Сотрудники. Защищаться от «шпионов» достаточно сложно, однако это явление довольно редкое. Большинство же инцидентов происходит по вине тех пользователей, которые, имея доступ к конфиденциальной информации, не заботятся о ее защите. В этом случае шифрование и контроль сменных накопителей могут уменьшить вероятность случайной утечки. Впрочем, такие инструменты имеют еще и воспитательный аспект, поскольку с их помощью компания может продемонстрировать, что заботится о сохранении своих секретов и может даже за это наказать.

Не менее опасны внешние угрозы.

«Троянский конь». Аналогия с древнегреческим троянским конем оправдана – и в том и в другом случае в не вызывающей подозрения оболочке таится угроза. «Троянский конь» представляет собой дополнительный блок команд, тем или иным образом вставленный в исходную безвредную программу, которая затем дарится, продается, подменяется пользователям информационных систем. Этот блок команд может срабатывать при наступлении некоторого условия (даты, времени, по команде извне), причем личность командующего установить порой невозможно. Для защиты от этой угрозы желательно, чтобы программист или системный администратор с помощью специальных средств могли отслеживать такие нежелательные программы. А программы пользователей должны храниться и защищаться индивидуально.

Вирус – программа, которая может заражать другие программы путем включения в них модифицированной копии, обладающей способностью к дальнейшему размножению. Считается, что вирус характеризуется двумя основными особенностями: способностью к саморазмножению и способностью к вмешательству в вычислительный процесс.

«Червь» – программа, распространяющаяся через сеть и не оставляющая своей копии на магнитном носителе. «Червь» использует механизмы поддержки сети для определения узла, который может быть

35

заражен. Затем с помощью тех же механизмов передает свое тело или его часть на этот узел и либо активизируется, либо ждет для этого подходящих условий. Подходящей средой распространения «червя» является сеть, все пользователи которой считаются дружественными и доверяют друг другу, а защитные механизмы отсутствуют.

Захватчик паролей – это программа, специально предназначенная для воровства паролей. При попытке обращения пользователя к терминалу системы на экран выводится информация, необходимая для окончания сеанса работы. Пытаясь организовать вход, пользователь вводит имя и пароль, которые пересылаются владельцу программызахватчика, после чего выводится сообщение об ошибке, а ввод и управление возвращаются к операционной системе. Пользователь, думающий, что допустил ошибку при наборе пароля, повторяет вход и получает доступ к системе, однако, его имя и пароль уже известны владельцу программы-захватчика. Для предотвращения этой угрозы перед входом в систему необходимо убедится, что введено имя и пароль именно системной программе ввода, а не какой-нибудь другой.

3.6. Методы защиты информации в компьютерных системах обработки данных

Защита землеустроительной, кадастровой и экономической информации предусматривает комплекс мероприятий, направленных на обеспечение информационной безопасности производственнохозяйственной деятельности организации. На практике это означает поддержание целостности, доступности и конфиденциальности информации при ее вводе, хранении, обработке и передаче.

Методы защиты информации должны быть направлены:

на непрерывный процесс обеспечения ее безопасности, заключающийся в систематическом контроле доступа, выявлении уязвимых мест защиты, совершенствовании путей и направлений развития системы защиты в целом;

обеспечение безопасности информации за счет комплексного использования всего имеющегося в распоряжении организации арсенала средств защиты;

профессиональную подготовку пользователей, неукоснительное соблюдение ими правил защиты информации.

36

Всегда имеется вероятность того, что найдется специалист, который, при желании, отыщет доступ к конфиденциальным данным, поэтому никакую систему защиты нельзя считать абсолютно надежной.

Рассмотрим организационные и технические меры защиты информации в компьютерных системах обработки данных.

Организационные меры защиты – это меры общего характера,

затрудняющие доступ к информации посторонним лицам, вне зависимости от способов ее обработки и каналов утечки. При этом различают организационно-технические и технические меры защиты информации.

Организационные меры предполагают:

ограничение доступа в помещения, где обрабатывается конфиденциальная информация;

целевое выделение одного или нескольких персональных компьютеров для обработки секретной информации. При этом расположение периферийного оборудования (дисплея, клавиатуры и др.) должно исключать несанкционированный доступ лиц к обрабатываемой информации;

хранение магнитных носителей в специальных помещениях или

втщательно закрываемых сейфах;

уничтожение оттискохранящих материалов, содержащих секретную информацию.

Организационно-технические меры защиты информации общего характера, как правило, связаны со спецификой каналов утечки и методов обработки.

Суть организационно-технических мер сводится к следующему:

организация электропитания персональных компьютеров и периферийного оборудования от отдельного источника или от общей электросети через стабилизатор напряжения, сетевой фильтр, моторгенератор или вторичный источник питания;

ограничение доступа внутрь корпуса технических средств путем установки опечатываемых механических запирающихся приспособлений;

полное копирование с последующим уничтожением информации, расположенной на винчестере при его ремонте;

применение для визуализации информации жидкокристаллических или плазменных экранов, не излучающих электромагнитных волн, а для получения бумажных документов – струйных или лазер-

37

ных принтеров, не порождающих акустических колебаний окружающей среды;

временное отключение компьютеров от локальной сети или сети удаленного доступа при обработке конфиденциальной информации.

Технические меры защиты информации прямо связаны с характе-

ристиками каналов ее утечки. Реализация этих мер требует применения особых приемов, специального оборудования, программных средств, которые могут быть использованы в приемлемых сочетаниях.

3.7. Средства защиты конфиденциальной информации

Эффективная защита информации в компьютерных системах достигается путем применения соответствующих средств, которые условно можно разделить на несколько групп:

1)разграничения доступа к информации;

2)защиты информации при передаче ее по каналам связи;

3)защиты от утечки информации по различным физическим полям, возникающим при работе технических средств компьютерных систем;

4)защиты от воздействия программ-вирусов;

5)безопасности хранения и транспортировки информации на носителях и ее защиты от копирования.

Основное назначение таких средств – разграничение доступа к локальным и сетевым информационным ресурсам компьютерных систем, которые обеспечивают: идентификацию и аутентификацию пользователей, разграничение доступа зарегистрированных пользователей к информационным ресурсам, регистрацию действий пользователей, защиту загрузки операционной системы с гибких носителей, контроль целостности средств защиты информации и информационных ресурсов. Несмотря на функциональную общность средств защиты информации, они отличаются друг от друга условиями функционирования, сложностью настройки и управления параметрами, используемыми идентификаторами, перечнем регистрируемых событий

истоимостью. Средства защиты информации делятся на формальные, которые выполняют эту функцию по заранее предусмотренной процедуре без участия человека, и неформальные (ограничивающие деятельность персонала или регламентирующие ее).

38

Косновным средствам защиты относятся технические и про-

граммные. Технические средства принято делить на физические и ап-

паратные.

Физические средства реализуются за счет автономных устройств

иохранных систем (охранная сигнализация, экранирующие оболочки для аппаратуры, внутренняя экранирующая защита отдельных помещений, средства внешнего и внутреннего наблюдения, замки на дверях и т.п.).

Аппаратные средства – это приборы, непосредственно встраиваемые в устройства, которые сопрягаются с аппаратурой, используемой для обработки данных по стандартному интерфейсу (схемы контроля информации по четности, схемы защиты полей памяти по ключу и специальные регистры).

Кпрограммным средствам относятся специальные программы,

и(или) модули, выполняющие функции защиты информации. Применение лишь одного из названных способов защиты инфор-

мации не решает проблемы – необходим комплексный подход. Обычно используют два основных метода: преграда и управление доступом.

Преграда – создание физических препятствий (для доступа на территорию организации, напрямую к физическим носителям информации).

Управление доступом – регламентация и регулирование санкционированного обращения к техническим, программным, информационным ресурсам системы.

В свою очередь, санкционированное управление доступом обеспечивается за счет определенных функций защиты:

идентификации пользователей – начального присвоения каждому пользователю персонального имени, кода, пароля, аналоги которых хранятся в системе защиты;

аутентификации (проверка полномочий) – процесса сравнения предъявляемых идентификаторов с хранящимися в системе;

создания условий для работы в пределах установленного регламента, то есть разработки и реализации комплексных мероприятий, при которых несанкционированный доступ сводится к минимуму;

регистрации обращений к защищаемым ресурсам;

адекватного реагирования на совершение несанкционированных действий.

39

Антивирусные программы – самое распространенное средство защиты от отдельных компьютеров пользователей до огромных кор-

поративных сетей (Kaspersky Antivirus 7.0, Dr. Web 4.44 + antispam, AVPersonal, Panda, NOD32).

Электронная цифровая подпись (ЭЦП) – последовательность символов, полученная в результате криптографического преобразования электронных данных. ЭЦП добавляется к блоку данных и позволяет получателю блока проверить источник и целостность данных и защититься от подделки. ЭЦП используется в качестве аналога собственноручной подписи.

Средства прозрачного шифрования обеспечивают защиту дан-

ных от непреднамеренного разглашения и не позволяют шпионам проникать в данные других пользователей. При этом ключи шифрования хранятся в учетных записях, поэтому для легальных владельцев информации ее дешифрация происходит незаметно. Таких решений на рынке несколько; в частности, их предлагает компания Microsoft. Решение Microsoft используется в операционной системе в виде криптографической файловой системы EFS. Однако если сотрудник, который имеет права доступа к зашифрованным данным, случайно отправит их по электронной почте или перенесет на незашифрованный носитель, то защита будет нарушена. Чтобы исключить риск таких случайных утечек, компания может контролировать передачу данных по протоколам электронной почты и Web (для защиты пересылки по Web-почте). Но от скрытой пересылки данных, которую могут придумать шпионы, подобные системы, скорее всего, не смогут обеспечить безопасность. В частности, ни одна защита не может вскрыть правильно зашифрованный файл, а значит, не может проверить его содержание. Впрочем, для отечественных компаний наиболее интересными являются услуги по разработке комплексной системы защиты, которая подразумевает в том числе создание механизмов для предотвращения внутренних угроз.

Контроль содержимого. Последний всплеск интереса к системам контроля содержимого был вызван проблемами распространения спама. Однако основное предназначение средств контроля содержимого – это все-таки предотвращение утечки конфиденциальной информации и пресечение нецелевого использования Интернета. Одна из приоритетных задач производителей подобных средств – сделать

40