Как реализовать защиту корпоративного портала для дипломной работы?

Question

[alfstanna]

Я студентка специальности "информационная безопасность" и сейчас пишу дипломную работу по теме "обеспечение информационной безопасности веб-ресурсов коммерческих организаций". В практической части мне нужно реализовать функции защиты на конкретном корпоративном сайте выдуманной организации. Есть несколько вопросов.

Я думаю, что правильнее всего рассматривать безопасность на примере корпоративных порталов, так как у них, в отличие от простых сайтов (типа сайта-визитки компании), есть что защищать. Но портал должен быть без привязки к базам данных, документообороту и тд, так как это уже немного другая тема и ее сложнее реализовать. А внутренний портал в таком случае обычный сайт, только хранящийся на веб-сервере организации (внутренний сайт компании), к которому нет доступа извне, я правильно понимаю?

Соответственно, для практики нужен сайт, включающий в себя возможность регистрации, форум, персональную страничку сотрудника и тд. Где его взять? Написать с нуля не вариант. Просматривала готовые решения корпоративных порталов, вроде JomPortal, писала им недели 2 назад, но до сих пор не ответили. Но в готовых решениях скорее всего уже реализованы хоть какие-то функции защиты, а мне в работе нужно самой их ставить. То же самое насчет конструкторов сайтов вроде wix.

Теория практически готова, практика совсем на нуле, дипломный руководитель на сообщения не отвечает, вся надежда на коллективный разум. Подскажите пожалуйста, на чем именно можно попрактиковать защиту веб-ресурсов?

Answer 1

[xmoonlight]

Теория практически готова, практика совсем на нуле

нужно от этого отталкиваться. Покажете что там у Вас в теории?

Comments

[alfstanna]

Глава 1:
1. Классификация веб-ресурсов (в общем виде: порталы, хостинги, форумы, магазины и тд. Открытые/полуоткрытые/закрытые, общедоступные/локальные)
2. История развития веб-ресурсов
3. Структура веб-ресурсов («изнутри» про http, html, css, скрипты, «снаружи» про интерфейс). Еще не дописана
Глава 2:
Классификация угроз и уязвимостей:
1) угрозы аутентификации (брутфорс, небезопасное восстановление паролей)
2) угрозы авторизации (перехват сессии)
3) выполнение кода (спуфинг, межсайтовый скриптинг, sql injection и тд)
4) логические атаки (DoS, недостаточная проверка процесса)
Варианты защиты веб-ресурсов: (в процессе)
(ssl, многофакторная аутентификация, одноразовые пароли, защита от SQL-инъекций)

С руководителем обсуждали, что защиту от всех перечисленных атак я вряд ли смогу организовать, но от меня, главное, требуется – показать «как было» и «как будет», то есть на незащищенный сайт повесить всю возможную защиту: организовать регистрацию по инвайтам, написать политику безопасности по работе с сайтом, прикрутить ssl-сертификат, упомянуть про защиту браузеров. Над остальным пока думаю.

[xmoonlight]

alfstanna: обалдеть! Сколько у Вас всего интересного! Дадите потом почитать работу?
1. Нужно знать как работает уязвимость и как выглядит уязвимый код, чтобы вначале это показать в Вашем документе, а потом - закрыть такую уязвимость.
2. Как правило, самая простая защита сервера: фильтр с использованием regex-выражений всех входящих запросов, принимаемых на коммуникационный порт (обычно 80-й).
3. В списке: Не увидел mitm и eitm-атаку ( Социальный фишинг (идентификация пользователей). Как работает? ), когда возможно перехватить сессию и передаваемые данные. Для защиты от MiTM - используется двух-факторная авторизация (токен на E-mail или pin на SMS). Для EiTM - используется.... (вот именно за этим я хотел почитать Вашу работу!)

[alfstanna]

xmoonlight: Без проблем, только бы для начала ее дописать и защитить надо.
1. В теоретической части я собираюсь показать примеры уязвимого кода и написать, как именно с ними можно справиться. В практике сомневаюсь, что смогу это показать
2. Спасибо, обязательно упомяну.
3. Про эти атаки тоже обязательно напишу. Думаю, против конкретно кликджекинга полезнее всего будет использование x-frame-options в http-заголовках. Со стороны пользователя думаю прописать в ПБ бдительнее относиться к посещаемым сайтам, использовать плагины для браузеров.
Но еще остается в силе вопрос, где взять сайт, на котором можно будет отработать практику.

[xmoonlight]

alfstanna:
1. Где взять сайт: см. мой п.1: писать код самой.
2. Про x-frame-options: думаю, верно, однако еще стоит "покопать" в плане, если это реализуется не через фрейм, а например, через скрипт, который загружается на страницу посредством ajax встроенным в страницу кодом, создавая новую ветку объектов DOM, стили которых может поменять локальная таблица стилей.

[alfstanna]

xmoonlight:
1. Если честно, я сомневаюсь в своих способностях написать код, html знаю, но далеко до идеала, языки веб-разработки не знаю. Поэтому по возможности хотелось бы воспользоваться готовым решением
2. Спасибо за наводку, постараюсь решить этот вопрос

[xmoonlight]

alfstanna: отсутствие п.1 означает, что Вы не можете защищать то, что не можете обнаружить...