Анализ проблем обеспечения информационной безопасности электронной коммерции

Электронная коммерция включает в себя все формы деловых сделок, при которых взаимодействие сторон осуществляется электронным способом, в результате которого право собственности передается от одного лица к другому. Существует несколько видов электронной коммерции: бизнес-бизнес (торговля между предприятиями), бизнес-потребитель (торговля между потребителем и предприятием) и потребитель-потребитель (торговля между потребителями). Электронная коммерция реализуется при помощи электронных торговых площадок, которые имеют ряд проблем, связанных с обеспечением информационной безопасности. Рассмотрим угрозы безопасности электронной коммерции:

1.         Замена страницы Web-сервера электронного магазина. Первостепенный способ реализации — переадресация запросов пользователя на другой сервер. Проводится путем замены записей в таблицах DNS-серверов или в таблицах маршрутизаторов. Особенно это опасно, когда заказчик вводит номер своей кредитной карты.

2.         Создание ложных заказов и мошенничество со стороны сотрудников электронного магазина. Проникновение в базу данных и изменение процедур обработки заказов позволяет незаконно манипулировать с базой данных. По статистике больше половины всех компьютерных инцидентов связано с собственными сотрудниками.

3.         Перехват данных, передаваемых в системе электронной коммерции. Особую опасность представляет собой перехват информации о кредитной карте заказчика. Проникновение во внутреннюю сеть компании и компрометация компонентов электронного магазина. Реализация атак типа «отказ в обслуживании» и нарушение функционирования или выведение из строя узла электронной коммерции.

Все это говорит о необходимости комплексной защиты. Реально защита часто ограничивается использованием криптографии (40-битной версии протокола SSL) для защиты информации между браузером клиента и сервером электронного магазина. Комплексная система защиты должна строиться с учетом четырех уровней любой информационной системы. Уровень прикладного программного обеспечения (ПО), отвечающий за взаимодействие с пользователем. Примером элементов этого уровня является браузер Opera, Steam сервис цифрового распространения компьютерных программ и игр, приложение интернет магазина AliExpress на смартфонах и др.

Уровень системы управления базами данных (СУБД), отвечающий за хранение и обработку данных информационной системы. Примером элементов этого уровня — СУБД Oracle, MS SQL Server, Sybase и MS Access. Уровень операционной системы (ОС), отвечающий за обслуживание СУБД и прикладного программного обеспечения. Примеры — ОС MS Windows NT, Sun Solaris, Novell Netware, Linux. Уровень сети, отвечающий за взаимодействие узлов информационной системы, примерами которого являются протоколы TCP/IP, IPS/SPX и SMB/NetBIOS [2].

Система защиты должна эффективно работать на всех уровнях. Иначе злоумышленник сможет реализовать атаку на ресурсы электронного магазина. Опасны и внешние и внутренние атаки. По статистике основная опасность исходит от внутренних пользователей электронного магазина (операторов системы). Для получения несанкционированного доступа к информации о заказах в базе данных есть следующие возможности: прочитать записи БД из MS Query, который позволяет получать доступ к записям многих СУБД при помощи механизма ODBC или SQL-запросов, прочитать нужные данные средствами самой СУБД (уровень СУБД), прочитать файлы базы данных непосредственно на уровне операционной системы. Затем отправить по сети пакеты со сформированными запросами на получение необходимых данных от СУБД или перехватить эти данные в процессе их передаче по каналам связи (уровень сети).

Обычно основное внимание уделяется нижним двум уровням — уровню сети и операционной системы. На уровне сети применяются маршрутизаторы и межсетевые экраны. На уровне ОС — встроенные средства разграничения доступа. Этого недостаточно. Предположим, что злоумышленник получил идентификатор и пароль пользователя базы данных магазина, либо перехватил их в процессе передачи по сети или подобрал при помощи специальных программ. И межсетевой экран, и операционная система пропускает злоумышленника ко всем ресурсам из-за предъявленных идентификатора и пароля авторизованного пользователя. Это является особенностью функционирования экрана и системы. Поэтому особое внимание следует уделить решения проблем, связанных с обеспечением защиты баз данных информационной системы торговой площадки.

Немаловажной проблемой является реализация злоумышленником атак типа «отказ в обслуживании», в связи с этим разработке средств обнаружения атак в настоящий момент уделяется много внимания во всем мире. По прогнозам известных компаний объемы продаж этих средств до 900 миллионов долларов в 2003 году. Эти средства с одинаковой эффективностью функционируют внутри сети и снаружи, защищая от внешних несанкционированных воздействий [1].

Эти средства позволяют своевременно обнаруживать и блокировать сетевые атаки типа «отказ в обслуживании», направленные на нарушение работоспособности электронного магазина. Одним из примеров средств обнаружения атак — система Real Secure, разработанная компанией Internet Security Systems (Inc).

Любому программному обеспечению присущи определенные уязвимости, которые приводят к реализации атак. Необходимо своевременно обнаружить и устранить уязвимости информационной системы на всех уровнях. Помогут средства анализа защищенности и сканеры безопасности. Эти средства могут обнаружить и устранить много уязвимостей на сотнях узлов, в т. ч. и удаленных на значительные расстояния. В этой области также лидирует компания Internet Security Systems со своим семейством SAFEsuite. Система включает функции поиска уязвимостей, работающих на всех четырех уровнях — Internet Scanner, System Scanner и Database Scanner. Совместное применение разных средств защиты на всех уровнях позволит построить надежную систему обеспечения информационной безопасности электронной коммерции. Такая система полезна и пользователям, и сотрудникам компании-провайдера услуг.Она позволит снизить возможный ущерб от атак на компоненты и ресурсы электронного магазина.

Рекомендуется использовать дополнительные средства защиты. Такие средства могут быть как свободно распространяемыми, так и коммерческими продуктами. Какие из этих средств лучше, решать в каждом конкретном случае по-своему. В случае нехватки денег на приобретение средств защиты о приходится обращать внимание на бесплатные средства. Однако использование таких средств связано с некачественной защитой и отсутствием технической поддержки. Из коммерческих российских средств, реализующих большое число защитных функций можно назвать системы семейства Secret Net, разработанные предприятием «Информзащита». Вообще, исключительно техническими средствами решить задачу построения комплексной системы защиты нельзя. Необходим комплекс организационных, законодательных, физических и технических мер [3].

Часто организации используют частичные подходы для решения проблем с защитой. Эти подходы основаны на их восприятии рисков безопасности. Администраторы безопасности имеют тенденцию реагировать только на те риски, которые им понятны. На самом деле таких рисков может быть больше. Администраторы понимают возможное неправильное использование ресурсов системы и внешних атаки, но зачастую плохо знают об истинных уязвимостях в сетях. Постоянное развитие информационных технологий вызывает целый ряд новых проблем. Эффективная система обеспечения безопасности предполагает наличие хорошо тренированного персонала, который выполняет функции. Придерживается стандартизованного подхода к обеспечению безопасности, внедряет процедуры и технические средства защиты, проводит постоянный контроль подсистем аудита, обеспечивающих анализ потенциальных атак.

Непрерывное развитие сетевых технологий при отсутствии постоянного анализа безопасности приводит к тому, что с течением времени защищенность сети падает. Появляются новые неучтенные угрозы и уязвимости системы. Есть понятие — адаптивная безопасность сети. Она позволяет обеспечивать защиту в реальном режиме времени, адаптируясь к постоянным изменениям в информационной инфраструктуре. Состоит из трех основных элементов — технологии анализа защищенности, технологии обнаружения атак, технологии управления рисками. Технологии анализа защищенности являются действенным методом, позволяющим проанализировать и реализовать политику сетевой безопасности. Системы анализа защищенности проводят поиск уязвимостей, но наращивая число проверок и исследуя все ее уровни. Обнаружение атак — оценка подозрительных действий, которые происходят в корпоративной сети. Обнаружение атак реализуется посредством анализа журналов регистрации операционной системы и прикладного ПО и сетевого трафика в реальном времени. Компоненты обнаружения атак, размещенные на узлах или сегментах сети, оценивают различные действия.

Как частный и наиболее распространенный случай применения систем обнаружения можно привести ситуацию с неконтролируемым применением модемов. Системы анализа защищенности позволяют обнаружить такие модемы, а системы обнаружения атак — идентифицировать и предотвратить несанкционированные действия, осуществляемые через них. Аналогично средствам анализа защищенности средства обнаружения атак также функционируют на всех уровнях корпоративной сети. В качестве примера также можно привести разработки компании ISS, как лидера в области обнаружения атак и анализа защищенности [4].

Важнейшей частью в электронной коммерции, является система безналичных расчетов с помощью пластиковых карт, которая называется электронной платежной системой, и именно эта часть чаще всего, подвергается атакам и всякого рода посягательствам со стороны злоумышленников. Современную практику банковских операций, торговых сделок и взаимных платежей невозможно представить без расчетов с применением пластиковых карт. Поэтому для обеспечения нормальной работы электронная платежная система должна быть надежно защищена.

C точки зрения информационной безопасности в системах электронных платежей существуют следующие уязвимые места:

-          пересылка платежных и других сообщений между банками, между банком и банкоматом, между банком и клиентом;

-          обработка информации внутри организации отправителя и получателя сообщений;

-          доступ клиентов к средствам, аккумулированным на счетах.

Пересылка платежных и других сообщений связана с такими особенностями:

-          внутренние системы организаций отправителя и получателя должны обеспечивать необходимую защиту при обработке электронных документов (защита оконечных систем);

-          взаимодействие отправителя и получателя электронного документа осуществляется опосредовано — через канал связи.

Эти особенности порождают следующие проблемы:

-          взаимное опознание абонентов (проблема установления взаимной подлинности при установлении соединения);

-          защита электронных документов, передаваемых по каналам связи (проблема обеспечения конфиденциальности и целостности документов);

-          защита процесса обмена электронными документами (проблема доказательства отправления и доставки документа);

-          обеспечение исполнения документа (проблема взаимного недоверия между отправителем и получателем из-за их принадлежности к разным организациям и взаимной независимости).

Для обеспечения функций защиты информации на отдельных узлах системы электронных платежей должны быть реализованы следующие механизмы защиты:

-          управление доступом на оконечных системах;

-          контроль целостности сообщения;

-          обеспечение конфиденциальности сообщения;

-          взаимная аутентификация абонентов;

-          невозможность отказа от авторства сообщения;

-          гарантии доставки сообщения;

-          невозможность отказа от принятия мер по сообщения;

-          регистрация последовательности сообщений;

-          контроль целостности последовательности сообщений.

В целом очевидно, что электронная торговля как новая форма мирового рыночного хозяйства повышает эффективность экономики, а также формирует условия для ускорения промышленного роста. В процессе развития электронная торговля будет сталкиваться с новыми проблемами, в том числе проблемами информационной безопасности. Поэтому системы защиты электронной коммерции должны строиться с учетом четырех уровней любой информационной системы. Система защиты должна эффективно работать на всех уровнях, а поэтому проблеме обеспечения информационной безопасности следует уделить особое внимание, заключающееся в выборе необходимых средств защиты ещё на этапе проектирования информационных систем электронных торговых площадок.

Литература:

1.         Энциклопедия интересных статей: сайт. — URL: http://rusadvice.org/

2.         Интернет-издание, специализирующееся на бухгалтерской, юридической и налоговой тематике: сайт. — URL: http://www.klerk.ru/

3.         Информационно-развлекательная сеть: сайт. — URL: http://www.lghost.ru/

4.         Сайт, посвященный вопросам информационной безопасности: сайт. — URL: http://protect.htmlweb.ru/

5.         Балабанов, И. Т. Интерактивный бизнес: Учебное пособие / И. Т. Балабанов. — СПб.и др.: Питер: Питер бук, 2007. — 123 с.

6.         Брагин, Л. А. Электронная коммерция: учебное пособие / [Л. А. Брагин [и др.]; под общ. ред. Л. А. Брагина. — М. Экономистъ, 2006. — 286 с.

7.         Гаврилов, Л. П. Мобильные телекоммуникации в электронной коммерции и бизнесе: учебное пособие для студентов вузов, обучающихся по специальности «Коммерция (торговое дело)» / Л. П. Гаврилов, С. В. Соколов. — М.: Финансы и статистика, 2006. — 334 с.

8.         Леонов, А. Тенденции российской электронной торговли / А. Леонов // Современная торговля. — 2009. — № 3. — С. 36–39.

9.         Савинов, Ю. А. Проблемы использования сети Интернет для международной электронной торговли / Ю. А. Савинов // Внешнеэкономический бюллетень. — 2005. — N 3. — С. 3–12.

10.     Филин, С. А. Информационная безопасность: учебное пособие / С. А. Филин. — М.: Альфа-Пресс, 2006. — 410 с.