Файл: Система защиты информации от взлома в банковских системах.pdf

Все это заставляет разработчиков защищенных систем постоянно помнить и о самых простых и очевидных способах проникновения в систему и предупреждать их в комплексе.

Получение пароля на основе ошибок администратора и пользователей

Перебор паролей по словарю являлся некоторое время одной из самых распространенных техник подбора паролей. В настоящее время, как хоть самый малый результат пропаганды информационной безопасности, он стал сдавать свои позиции. Хотя развитие быстродействия вычислительной техники и все более сложные алгоритмы составления слов-паролей не дают "погибнуть" этому методу. Технология перебора паролей родилась в то время, когда самым сложным паролем было скажем слово "brilliant", а в русифицированных ЭВМ оно же, но для "хитрости" набранное в латинском режиме, но глядя на русские буквы (эта тактика к сожалению до сих пор чрезвычайно распространена, хотя и увеличивает информационную насыщенность пароля всего на 1 бит). В то время простенькая программа со словарем в 5000 существительных давала положительный результат в 60% случаев. Огромное число инцидентов со взломами систем заставило пользователей добавлять к словам 1-2 цифры с конца, записывать первую и/или последнюю букву в верхнем регистре, но это увеличило время на перебор вариантов с учетом роста быстродействия ЭВМ всего в несколько раз. Так в 1998 году было официально заявлено, что даже составление двух совершенно не связанных осмысленных слов подряд, не дает сколь либо реальной надежности паролю. К этому же времени получили широкое распространение языки составления паролей, записывающие в абстрактной форме основные принципы составления паролей среднестатистическими пользователями ЭВМ.

Следующей модификацией подбора паролей является проверка паролей, устанавливаемых в системах по умолчанию. В некоторых случаях администратор программного обеспечения, проинсталлировав или получив новый продукт от разработчика, не удосуживается проверить, из чего состоит система безопасности. Как следствие, пароль, установленный в фирме разработчике по умолчанию, остается основным паролем в системе. В сети Интернет можно найти огромные списки паролей по умолчанию практически ко всем версиям программного обеспечения, если они устанавливаются на нем производителем.

Основные требования к информационной безопасности, основанные на анализе данного метода, следующие:

1. Вход всех пользователей в систему должен подтверждаться вводом уникального для клиента пароля.

2. Пароль должен тщательно подбираться так, чтобы его информационная емкость соответствовала времени полного перебора пароля. (Данная задача будет рассмотрена на практическом занятии). Для этого необходимо детально инструктировать клиентов о понятии "простой к подбору пароль", либо передать операцию выбора пароля в ведение инженера по безопасности.

3. Пароли по умолчанию должны быть сменены до официального запуска системы и даже до сколь либо публичных испытаний программного комплекса. Особенно это относится к сетевому программному обеспечению.

4. Все ошибочные попытки войти в систему должны учитываться, записываться в файл журнала событий и анализироваться через "разумный" промежуток времени. Если в системе предусмотрена возможность блокирования клиента либо всей системы после определенного количества неудачных попыток входа, этой возможностью необходимо воспользоваться. Если же Вы являетесь разработчиком системы безопасности, данную возможность несомненно необходимо предусмотреть, так как она является основным барьером к подбору паролей полным перебором. Разумно блокировать клиента после 3-ей подряд неправильной попытки набора пароля, и, соответственно, блокировать систему после K=max (int (N*0.1*3) +1,3) неудачных попыток входа за некоторый период (час, смену, сутки). В данной формуле N - среднее количество подключающихся за этот период к системе клиентов, 0.1 - 10% -ный предел "забывчивости пароля", 3 - те же самые три попытки на вспоминание пароля. Естественно, информация о блокировании клиента или системы должна автоматически поступать на пульт контроля за системой.

5. В момент отправки пакета подтверждения или отвержения пароля в системе должна быть установлена разумная задержка (2-5 секунд). Это не позволит злоумышленнику, попав на линию с хорошей связью до объекта атаки перебирать по сотне тысяч паролей за секунду.

6. Все действительные в системе пароли желательно проверять современными программами подбора паролей, либо оценивать лично администратору системы.

7. Через определенные промежутки времени необходима принудительная смена пароля у клиентов. Наиболее часто используемыми интервалами смены пароля являются год, месяц и неделя (в зависимости от уровня конфиденциальности информации и частоты входа в систему).

8. Все неиспользуемые в течение долгого времени имена регистрации должны переводиться в закрытое (недоступное для регистрации) состояние. Это относится к сотрудникам, находящимся в отпуске, на больничном, в командировке, а также к именам регистрации, созданным для тестов, испытаний системы и т.п.

9. От сотрудников и всех операторов терминала необходимо требовать строгое неразглашение паролей, отсутствие каких-либо взаимосвязей пароля с широкоизвестными фактами и данными, и отсутствие бумажных записей пароля "из-за плохой памяти".

1.3 Получение пароля на основе ошибок в реализации

Актуальность темы определяется значимостью современного механизма хозяйствования предприятий. Суперволатильность экономической системы в целом, обостряющаяся конкуренция, возникновение социальных проблем побуждают искать более обоснованные и эффективные формы и методы управления. Самым «чувствительным» и действенным рычагом управления является заработная плата. Ее изменения, по мнению авторов, должны корректироваться в зависимости от изменения внутренних и внешних условий при обязательном и более эффективном исполнении главных функций заработной платы.

Заработная плата как экономическая категория и экономический рычаг в управлении хозяйственной деятельностью предприятия приобретает новое содержание и возросшее многообразие форм в условиях рыночной системы экономики. Волатильность этой категории продиктована рыночными по характеру изменениями функций зарплаты. Именно они, эти функции заработной платы в новых условиях претерпевают коренное, глубинное изменение. Отсюда традиционный подход к сущности заработной платы, ее организации, расчету эффективных размеров в индивидуальном и совокупном общественном измерении представляются устаревшими. Положим в основу нашего исследования функциональный анализ современной категории заработной платы.

Во-первых, заработная плата выполняет воспроизводственную функцию, то есть должна возмещать и расширенно воспроизводить стоимость рабочей силы. В современных условиях расходы на воспроизводство рабочей силы значительно возросли. Рост произошел за счет расширения потребностей современного человека в силу действия объективного закона возвышения потребностей. Кратно увеличились затраты на образование. Научно­технический прогресс, в свою очередь, потребовал подготовки работников более высокой квалификации по сравнению даже с 15 - 20 летним ранним периодом. Процесс урбанизации населения, превышение численности городского населения по соотношению с сельским - также воздействует на рост стоимости рабочей силы. Жизнь в городских условиях намного затратнее, чем в сельской местности по многим общеизвестным причинам. В условиях плановой экономики была возможность регулировать рост цен на большинство потребительских товаров. Компенсировались в значительной части расходы на среднее образование и профессиональное обучение за счет государственного бюджета. В рыночной экономике эти и другие траты на рабочую силу перенесены и возмещаются из семейного бюджета, где преобладающим источником доходов является заработная плата.

© Потеев Д.А., Потеева М.А., 2016 г.

Воспроизводственные расходы на рабочую силу можно подразделить на три части по трем периодам жизни человека: 1) до трудоспособного возраста; 2) трудоспособный период и 3) период после трудоспособного возраста. В первом периоде затраты на воспитание, общее образование, лечение, занятие спортом и другие частично возмещаются из семейного бюджета и в значительной мере из государственного бюджета. В трудоспособном возрасте затраты на жизненно необходимые потребности, профессиональное обучение, удовлетворение социально-культурных потребностей должны компенсироваться через заработную плату работодателем. Профессиональная подготовка работников вообще должна осуществляться «под заказ» работодателя и за его счет. Для этого в рыночной экономике необходимо пересмотреть всю систему среднего и высшего профессионального образования. Соответственно, придется пересмотреть всю систему финансового обеспечения профессионального образования. Специалист, подготовленный профессионально «под заказ» фирмы-работодателя, будет в большей степени соответствовать потребностям «заказчика». Общество в целом и рыночная экономика в частности в таком случае сэкономят значительные средства и полезное время обучающихся. Образование получит более целенаправленный характер.

В посттрудовой период расходы на жизненное обеспечение бывших работников должны возмещаться за счет накоплений самого работника и нормативных затрат государства в виде обязательного пенсионного обеспечения. Обе эти части расходов посттрудового периода должны быть заложены в расчетах размеров заработной платы, получаемой в период активной трудовой деятельности и соразмерно связаны с ней.

Не менее важной для определения размеров оптимальной заработной платы является следующая функция заработной платы - стимулирующая (мотивационная). Данную функцию заработная плата выполняет на двух уровнях - микро- и макроэкономическом. На микроуровне заработная плата определяет стимул работника к более производительному, качественному труду. И то и другое важно для работодателя и общества в целом. Между заработной платой и производительностью труда существует прямая и обратная взаимосвязь, хотя и в определенных пределах «чувствительности» категории заработная плата. Рост производительности «живого» труда должен опережать рост заработной платы. Это опережение должно быть гораздо значительнее, чем опережение роста производительности совокупного (живого и прошлого) труда. Производительность живого труда зависит, прежде всего, от профессионализма, умения, желания, системы стимулирования, условий труда конкретного работника. Производительность совокупного труда, кроме вышеуказанного, зависит также от совершенства орудий труда, используемых техники и технологии.

Стимулирование живого труда через заработную плату непосредственно сказывается на возрастании его производительности. Более производительный живой труд должен соответственно выше оплачиваться. Что же касается производительности совокупного труда, то она отражает результативность сочетания двух факторов: а) совершенство применяемой техники и технологии и б) квалификации, профессионализма, умения и старания работника, используемого данную технику. В экономической теории это сочетание определяется техническим и органическим строением капитала (c:v). Чем выше техническое строение капитала, тем меньше доля живого труда в применяемом и потребленном капитале. Отсюда следует, что соотношение темпов роста производительности труда и увеличения заработной платы необходимо устанавливать с учетом технического строения капитала. Возьмем для условного примера два вида производственной деятельности, где в первом техническое строение капитала составляет 4 : 1, а во втором 9 : 1. Достигнут рост производительности труда за определенный период на 20%. Для определения уровня повышения заработной платы установим условно долю: а) влияния на рост производительности совокупного труда и б) воздействия живого труда. Она составит в первом виде деятельности 20% : 5 = 4%, а во втором 20% : 10 = 2%. Следовательно, повышение оплаты живого труда должно в первом случае составить до 4% за указанный период, а во втором до 2%. Экономический принцип опережающего роста производительности труда по сравнению с ростом оплаты труда соблюден. Казалось бы практическое дело лишь за организацией оплаты труда соответственно росту его производительности.

Однако техническое строение капитала не учитывает качество живого труда. Чем выше уровень технического оснащения производства, тем существеннее требования к качеству живого труда. Более сложной и дорогой техникой должен управлять более высококвалифицированный работник. Важность данной закономерности давно отмечена экономической наукой. Известный американский экономист, Лауреат Нобелевской премии П. Самуэльсон отмечал: «Качество труда - это еще один фактор, определяющий общий уровень зарплаты. По всем параметрам - уровню грамотности, образования и профессионального обучения - работники США 1997 года значительно отличаются от работников 1897 года... Такое накопление человеческого капитала и оказало влияние на существенный рост производительности труда» [1; С.473]. Далее автор приводит следующие рассуждения: общий уровень зарплаты, определенный в условиях конкуренции, при затратах 10 единиц труда составляет 20 долл. на единицу и равен предельной производительности 10­ой единицы. Кривая спроса на труд двигается вверх-вниз за счет накопления капитала, развития технологий и улучшения качества труда.