Разработка системы защиты WEB-приложений от автоматизированного копирования информации

• Автор: Александров, Иван Сергеевич
• Шифр специальности: 05.13.13
• Научная степень: Кандидатская
• Год защиты: 2004
• Место защиты: Москва
• Количество страниц: 127 с.

СОДЕРЖАНИЕ
ВВЕДЕНИЕ

Глава 1. АНАЛИЗ СОСТОЯНИЯ ПРОБЛЕМЫ И ПОСТАНОВКА

ЗАДАЧИ ИССЛЕДОВАНИЯ.

1.1 Уязвимости уеЬсайтов

1.2 Технологии разработки систем зашиты сетей и сетевых приложений

1.3 Обзор систем защиты сетей и сетевых приложений.

1.4 Задачи диссертационного исследования.

1.5 Выводы.
Глава 2. РАЗРАБОТКА МОДЕЛИ И АЛГОРИТМОВ ОБНАРУЖЕНИЯ АВТОМАТИЗИРОВАННЫХ СРЕДСТВ КОПИРОВАНИЯ.

2.1 Анализ свойств объекта защиты

2.2 Анализ внешних факторов
2.3 Разработка алгоритмов вычисления показателей.
2.4 Алгоритмы принятия решений.
2.5 Выводы.
Глава 3. ПОСТАНОВКА И ПРОВЕДЕНИЕ МОДЕЛЬНОГО ЭКСПЕРИМЕНТА.
3.1 Проектирование и разработка системы моделирования
3.2 Проведение модельного эксперимента.
3.3 Выводы
Глава 4. РАЗРАБОТКА СПЕЦИФИКАЦИЙ СИСТЕМЫ ЗАЩИТЫ КОНТЕНТА
4.1 Подсистема мониторинга характеристик пользователя.
4.2 Подсистема регистрации пользовательских характеристик и расчета
показателей.
4.3 Подсистема классификации пользователей
4.4 Подсистема предотвращения автоматизированного копирования
4.5 Пример практической реализации
4.6 Выводы
ЗАКЛЮЧЕНИЕ
СПИСОК ЛИТЕРАТУРЫ


В случае с телекоммуникационными компаниями, помимо приведенных выше убытков, возникло еще одно осложнение. Посредники, использующие уязвимость сервисных сайтов, стали не только перенаправлять сообщения, но и сохранять у себя номера телефонов, которые в последствия стали использоваться для массовой рассылки рекламы. Тем не менее, через какое-то время были выработаны несколько принципов борьбы с недопустимой автоматизацией использования wcb-сайтов. В первую очередь были введены ограничения на количество сообщений с одного IP-адреса. Это ограничение пользователями обходилось путем использования ргоху-серверов. Следующим шагом было введение тестирования пользователя. Каждому пользователю перед отправкой сообщения (или при регистрации нового почтового ящика на почтовом сервере) задается вопрос, на который может ответить только человек. На пример автоматически создавалось графическое изображение с произвольным числом. Пользователю предлагается набрать это число в текстовом поле соответствующей формы. Сайт знает, какое число он создал в виде изображения и, следовательно, знает какое число ему нужно получить в качестве параметра от пользователя. Автоматически распознать число и вернуть его в качестве параметра - это достаточно сложная задача. В качестве примера на Рис. NET Passport Web Site и в службе Microsoft® . NET Passport (Служба . NET Passport позволяет использовать заданный адрес электронной почты и пароль для входа на любой web-сайт, где есть кнопка входа по цифровому паспорту . NET). Проверка регистрации Втедит* симтолы. Симюлы модлтс» беэ учета регистра. Рис. Для чего нужно вводить символы с картинки при регистрации? Ввод символов с картинки позволяет гарантировать, что регистрационную форму заполняет человек, а не программа. Это важно, потому что недобросовестные пользователи с помощью специальных программ пытаются зарегистрировать много учетных записей в таких web-службах, как Passport. Эти учетные записи могут быть использованы для массовой рассылки непрошеных сообщений, или для снижения скорости работы службы, одновременно входя в нее по многим учетным записям, что создает проблемы у других пользователей. В большинстве случаев автоматическая программа регистрации не может распознать символы на картинке. Еще более изощренные средства против программ, имитирующих человека приходится применять владельцам ресурсов, которые проводят опросы пользователей. Эго могут быть рейтинги на web-сайтах музыкальных радиостанций, проведение различных конкурсов, где свои оценки выставляют пользователи. При проведении таких опросов зачастую находятся люди, так или иначе заинтересованные в определенных результатах. Администраторам таких ресурсов приходится разрабатывать, либо покупать программы, которые позволяют своевременно обнаруживать и пресекать такие попытки. Предположим, что объект исследования достаточно хорошо защищен и способен отразить типичные сетевые и серверные атаки. Также предположим, что к ресурсу могут получить доступ исключительно зарегистрированные пользователи. В этом идеальном случае открытыми остаются только данные. Не всегда можно быть уверенным, что пользователь законопослушен и не будет использовать информацию не по назначению, даже если она защищена авторскими правами. Тем более что, пользователь может быть гражданином или представителем компании другого государства, несвязанного международным договором о защите авторских прав. Не редки ситуации, когда владелец ресурса заинтересован в личном участии пользователей в процессе работы с информацией (реклама, участие в форумах, опросах и т. Пользователь может скопировать для своих нужд лишь какую-то незначительную часть базы данных. Порой эту информацию ресурсы предоставляют за определенную плату. Причем, как правило, плата взимается лишь за право использования ресурса, а не за определенное количество информации. Использование автоматизированных средств копирования, способных заместить человека на этапе копирования информации, в приведенных выше случаях может быть крайне нежелательным.