Распределение времени по разделам практики

В первый день необходимо пройти инструктаж по технике безопасности, ознакомиться с правилами внутреннего распорядка, оформиться на работу и уточнить задание на практику.

Все экскурсии и лекции должны проводиться по графику, утвержденному ОТО и согласованному с руководителем практики.

В последний день практики необходимо сдать зачет и уволиться с работы.

Остальное время должно быть использовано для производственной работы и выполнения программы практики.

Содержание практики

Содержание производственной практики

Основной задачей производственной практики является изучение вопросов проектирования, исследования и эксплуатации систем комплексной защиты информации на объектах информатизации, включающих в себя следующие виды деятельности:

- экспериментально-исследовательскую;

- проектную;

- организационно-управленческую;

- эксплуатационную.

Экспериментально-исследовательская деятельность предполагает решение следующих задач:

- исследование причин возникновения, форм проявления, возможности параметризации и оценки опасности физических явлений, увеличивающих вероятность нежелательного воздействия на информационные процессы в защищаемом объекте;

- изучение возможных источников и каналов утечки информации;

- проведение сопоставительного анализа данных исследований и испытаний;

- изучение систем аудита информационной безопасности предприятий;

- определение уязвимости объектов защиты или систем ЗИ (СЗИ);

- разработка моделей комплексной системы ЗИ.

Проектная деятельность предполагает решение следующих задач:

- исследование с целью нахождения и выбора наиболее целесообразных практических решений обеспечения инженерно-технической защиты информации;

- подбор, изучение и обобщение научно-технической литературы, нормативных и методических материалов по инженерно-технической защите объектов информатизации;

- проектирование и внедрение комплексных систем и отдельных специальных технических и программно-математических средств защиты информации;

- постановка целей и задач защиты информации, определение объектов и элементов защиты, выбор методов и средств защиты информации;

- общее содержание и этапы проведения работ по организации комплексной системы ЗИ;

- архитектурное построение комплексной системы ЗИ;

- разработка структуры и содержания технологии управления комплексной системой защиты информации.

Организационно-управленческая деятельность предполагает решение следующих задач:

- обеспечение организационных и инженерно-технических мер защиты информационных систем;

- разработка предложений по совершенствованию и повышению эффективности применяемых технических мер;

- организация работы коллектива исполнителей;

- организация деятельности служб защиты информации: порядок создания, реорганизации и ликвидации указанных служб;

- определение состава нормативных документов, обеспечивающих деятельность служб, расчет численности и определение должностного состава служб, планирование и отчетность их деятельности;

- планирование технических мероприятий по обеспечению безопасности.

Эксплуатационная деятельность предполагает решение следующих задач:

- техническое обслуживание средств защиты информации;

- участие в проведении аттестации объектов, помещений, технических средств, программ, алгоритмов на предмет соответствия требованиям защиты информации по соответствующим классам безопасности;

- организация трудового процесса, оснащение рабочих мест сотрудников, занятых в обеспечении функционирования комплексных систем защиты объектов информатизации.

Кроме изучения комплексной системы защиты информации, могут быть выделены следующие направления производственной практики:

а) защита информационных процессов в компьютерных сетях Windows. В рамках данного направления студенты должны:

- ознакомиться с принципами сетевой защиты в сетях Windows, необходимыми условиями для организации доступа к разделяемым ресурсам сетив качестве клиента и сервера;

- получить навыки работы с профилями пользователей в Windows, получить представление об их назначении, хранимой информации, разрешении и синхронизации профилей при работе пользователя на разных на разных компьютерах сети, об установке профилей пользователя в Windows при работе в сети Windows NT, Netware, организации обязательных профилей пользователей;

- ознакомиться с системной политикой в Windows, ее достоинствами, основными файлами, организацией работы, редактором системной политики, режимами его работы, автоматической и ручной загрузкой системной политики, шаблонами;

- изучить систему шифрования файлов паролей Windows;

б) защита информационных процессов в компьютерных сетях Windows NT. В рамках данного направления студенты должны:

- познакомиться с основными компонентами системы безопасности Windows NT, их назначением и взаимодействием;

- получить представление об идентификаторах безопасности в Windows NT, дескрипторах безопасности объекта, их структуре записей контроля доступа, правах доступа;

- ознакомиться с организацией хранения паролей пользователей, уязвимыми местами, облегчающими получение паролей в Windows NT, назначением программы SYSKEY, сравнить организацию хеширования паролей Windows NT и Unix;

- получить представление о, разрешениях NTFS и их наследовании; изучить возможности программ CACLS, DumpACL, FileAdmin, Security Explorer, Security Manager, Virtuosity по управлению доступом в Windows NT;

- ознакомиться с организацией аудита в Windows NT, месторасположением, назначением журналов, их содержанием, правами доступа к ним, отслеживаемыми категориями событий, организацией аудита к файлам, принтерам, системному реестру, с аудитом резервного копирования; изучить программы работы с журналами EventViever, Logevent, Dumpel, Cristal Event Log Viever, справочные файлы по категориям реестра (Auditcat.hpl, Ntevntlg.mdb);

- изучить структуру реестра Windows NT, с основными ветвями и кустами реестра, хранимой в них информацией, разрешениями доступа к реестру, аудитом и защитой реестра, изучить встроенные и внешние программы работы с реестром (Regedit, Regedit 32, Compreg, Regback, Regdmp, regfind, Regrest, Regini, DumpReg, ERDisk, MultiReg);

- получить представление о безопасности сервера SMB, серверах, клиентах, диалектах SMB, функционировании протокола SMB, организации проверки пароля в SMB, возможных атаках на протокол SMB;

в) защита информационных процессов в сетях Novell NetWare. В рамках данного направления студенты должны:

- рассмотреть организацию защиты по входу, процедуру регистрации, бюджеты пользователей, параметры их настройки, способы и возможности конфигурации;

- изучить организацию защиты файлов, каталогов, попечительские права, маски наследуемых прав, эффективные права, защиту файлов атрибутами, управление защитой файлов и каталогов, команды, поддерживающие безопасность NetWare;

- получить представление о вопросах безопасности консоли сервера;

г) защита информационных процессов Unix. В рамках данного направления студенты должны:

- получить представление о версиях Unix, данных, хранимых в учетной карточке, месторасположении базы данных учетных записей, теневых паролях, шифровании паролей в Unix;

- получить навыки работы с утилитами работы с паролями, разобраться с принципами работы программ подбора паролей, в частности с программой John the Ripper;

- познакомиться с типами пользователей и групп в Unix системах, способами выполнения основных операций с их учетными записями;

- рассмотреть способы защиты файлов в Unix, права доступа к ним, классификацию пользователей по отношению к файлу, ее достоинства и недостатки, флаги;

- познакомиться с особенностями защиты информационных процессов в ОС Solaris, в частности, со средствами безопасности уровня приложений, системного уровня, средствами проверки корректности конфигурации системы ASET, инструментом системного аудита BSM SunSHIELD, средствами безопасности сетевого уровня, защитой информации в NIS, защитой RPC и NFS, организацией безопасности X –приложений, обеспечением доступности данных с помощью Online Disksuite/Networker.

В рамках данного направления студенты могут сосредоточиться на изучении особенностей защиты информационных процессов в разных ветвях Unix (BSD, FreeBSD, Solaris, UnixWare, Linux);

д) сервер аутентификации Керберос. В рамках данного направления студенты должны:

- познакомиться с Керберос-флагами, используемыми в билетах, начальными, предварительными, обновляемыми, негодными билетами, доверенностями с правом передачи, типами пересылаемых сообщений;

- Разобраться с организацией взаимной проверки клиента и сервера, назначением сервера начальной аутентификации и сервера выдачи билетов, осуществлением аутентификационного обмена клиент/сервер, пересылкой удостоверений, схемой взаимодействия между субъектами из разных областей;

е) безопасность в WWW. В рамках данного направления студенты должны:

- познакомиться с механизмами контроля доступа Basic, Challenge-Response, их использованием в Internet Information Server Windows NT, с набором протоколов SSL, изучить суть механизма SSL и подтверждения подлинности ключа в SSL, познакомиться с сертификатами и Центрами сертификации;

- изучить степень защищенности соединения при использовании основных браузеров Интернет, организацию управления безопасностью в браузерах Netscape Communicator, Internet Explorer, возможные способы повышения степени защищенности, возможности программы Fortify;

- рассмотреть возможные атаки и мероприятия по усилению защиты;

- изучить отечественные программные продукты защиты Интернет-приложений, построенных на технологии «клиент-сервер» на базе протокола НТТЗ, в частности, пакеты Inter-PRO, Net-PRO;

ж) брандмауэры. В рамках данного направления студенты должны:

- познакомиться с понятием брандмауэров, причинами их использования, соответствием категорий брандмауэров уровням модели OSI;

- рассмотреть различные виды архитектур брандмауэров;

- познакомиться с классификацией межсетевых экранов согласно руководящему документу Гостехкомиссии, показателями защищенности, требованиями к различным классам;

- получить навыки практической работы и настройки брандмауэров Пандора, Black Hole, BorderGuard, FireWall-1, Gaunlet, Застава-Джет;

и) мониторинг Интернет. В рамках данного направления студенты должны:

- разобраться с необходимостью контроля использования Интернет;

- рассмотреть и получить навыки работы с системами Little Brother, Elron Internet Manager, Optimal Internet Monitor, Seguel Net Access Manager, Cyber Patrol, On Guard Internet Manager, отечественным модулем контроля доступа в Интернет Internet Log;

к) средства анализа защищенности сетей. В рамках данного направления студенты должны:

- познакомиться с назначением средств анализа защищенности сетей, принципами работы подобных систем;

- рассмотреть возможности и получить навыки практической работы с системами Security Administrator Tool for Analyzing Network (SATAN), Internet Scanner SAFESuite (Farewall Scanner, Internet Scanner, Web Security Scanner), NetSonar, NetProbe, Pingware;

- л) инженерно-техническая защита информации. В рамках данного направления студенты должны изучить:

- защищенность технических средств от утечки информации через побочные электромагнитные излучения;

- защищенность информации от утечки по целям электропитания, заземления, слаботочным линиям;

- защищенность акустической информации от утечки по виброакустическому каналу, по каналам с использованием акустоэлектрических преобразователей;

- проверка средств на наличие специальных электронных устройств перехвата информации;

- защита информации в выделенном помещении организации (учреждении), предназначенном для проведения переговоров, совещаний, конференций;

- защита информации в служебном кабинете руководителя;

- защита информации на абонентском участке телефонной линии (от телефонного аппарата до городской АТС);

- наличие системы физической защиты: система телевизионного наблюдения, система пожарной сигнализации, система контроля доступа;

м) технические средства пожарно-охранной сигнализации (ТСПОС). В рамках данного направления студенты должны:

- изучить роль и место технических средств в организации режима охраны объектов защиты, основные составляющие технических средств охраны (ТСО);

- исследовать основные составляющие систем ТСО на предприятии; датчики, приборы визуального наблюдения, системы сбора, обработки информации, средства связи, тревожно-вызывной сигнализации, питания ТСО;

- ознакомится с требованиями к системам охранно-пожарной сигнализации, их составом;

- практически ознакомиться с различными типами датчиков, используемых в системах охранно-пожарной сигнализации, изучить их сравнитель­ные характеристики. Следует изучить системы безадресных и адресных датчиков, способы подключения, состав необходимого для их использования оборудования, использование пультов централизованного контроля;

- изучить состав, функции, методы идентификации, оборудование систем контроля доступа. Приобрести практический навык работы с современными системами идентификации (с использованием электронных ключей, магнитных карт, биометрическими системами и др.);

- получить представление о современных устройствах, используемых в системах контроля доступа, защиты периметров (электронные замки, шлагбаумы, раздвижные ворота, турникеты);

- ознакомится с организацией системы тревожной сигнализации, составом и характеристиками извещателей тревожной сигнализации;

- изучить способ организации и управления системами автоматического пожаротушения;

- изучить способы обнаружения нарушителей и дополнительные средства защиты, определить необходимость их использования, ознакомиться с оборудованием пунктов контроля на наличие диверсионно-террористических средств.

При детальном исследовании систем телевизионного наблюдения, должны решаться следующие задачи:

- изучение основных элементов практически используемых систем телевизионного наблюдения и требований к ним;

- ознакомление с типами современных камер видеонаблюдения, их аксессуарами (объективы, трансфокаторы, корпуса). Изучение оборудования, реализующего различные способы передачи видеоизображения (аналоговые и цифровые);

- получение навыков работы с малокадровыми системами телевизионного наблюдения для квартир и офисов (домофоны), изучение особенности их устройства и эксплуатации;

- исследование номенклатуры и способов использования дополнительного оборудования (мультиплексоры, регистраторы, видеомагнитофоны, платы видеозахвата, квадраторы);

- ознакомление с системами контроля видеоинформации, рассмотрение эргономического аспекта работы сотрудника, осуществляющего наблюдение. Исследование современных интеллектуальных систем анализа видеоизображений (программные и аппаратные системы, датчики движения);

- организацию охраны различных помещений предприятия.

Содержание преддипломной практики

Преддипломная практика является завершающим этапом сквозной производственной практики и предшествует выполнению и защите дипломного проекта (работы).

Целью практики является приобретение практических навыков инженерной деятельности, детальное ознакомление с вопросами защиты информации на предприятиях, закрепление теоретических знаний, полученных студентами на протяжении всего периода обучения в университете, расширение технического кругозора, детальное ознакомление с производством.

Содержание данного этапа практики определяется заданием на дипломное проектирование, которое выдается студентам до начала практики. В отдельных случаях в течение первой недели практики допускается корректировка задания, уточняющая технические условия проектирования. Тема проекта должна быть реальной, соответствовать специальности 090104. Более подробно требования к тематике дипломных проектов, порядку составления задания, утверждению и работе над проектом изложены в методических указаниях по дипломному проектированию /1/.

Основной задачей студента в период преддипломной практики является изучение комплексной системы организации и управления защитой информации на предприятии и сбор материалов для дипломного проекта.

Преддипломная практика проводится на базовых предприятиях, по местам распределения будущей работы студента и на выпускающей кафедре.

В период практики студент может работать на инженерно-технической должности в одном из подразделений предприятия или в лаборатории выпускающей кафедры, в том числе:

- в службах безопасности предприятия и ее структурных подразделениях (группа режима, служба охраны, детективная, информационно-аналитическая, криптографическая группы, группы ПТРД, защиты от НСД и т.д.);

- в группах и отделах защиты информации на предприятиях, в организациях, занимающихся вопросами разработки, внедрения программного обеспечения, сетевых, компьютерных технологий, систем связи и т.п.;

- в учебных, научных лабораториях вузов, НИИ, предприятий и т.п.

В течение всего периода практики студент, как правило, занимает одно рабочее место и выполняет все задания, возложенные на него руководителем практики. Место и содержание его работы должны соответствовать специальности.

Ознакомление с другими производственными подразделениями осуществляется во время экскурсии.

В период практики руководителями практики от университета и предприятия студенту выдается индивидуальное задание, связанное как с выполняемой работой в отделе (службе), так и с темой дипломного проекта, и направленное на углубленную разработку отдельных его частей.

Перед началом дипломного проектирования необходимо выполнить предварительное обследование и анализ защищенности объекта информатизации на предприятии или в учреждении. Этот этап может быть назван предпроектным обследованием объекта информатизации. Он включает в себя:

- полное и точное наименование объекта информатизации и его назначение;

- организационную структуру объекта информатизации;

- общую функциональную схему объекта информатизации и режимы обработки информации;

- характер информации и уровень секретности (или конфиденциальности);

- перечень помещений, состав комплекса технических средств, на которых обрабатывается указанная информация;

- топологическую модель объекта защиты с указанием границ контролируемой зоны;

- общесистемное и прикладное ПО, используемое на объекте информатизации, предназначенное для обработки защищаемой информации, и используемые протоколы обмена;

- состав и структуру системы защиты информации на объекте;

- перечень технических и программных средств в защищенном исполнении;

- наличие на объекте информатизации службы безопасности информации, службы администратора сети;

- наличие и основные характеристики системы физической защиты;

- топологию сети и ее структурную схему;

- данные о структуре информационных ресурсов и их размещении;

- схему организационной структуры пользователей;

- данные по используемым системам сетевого управления и мониторинга;

- схему размещения линий передачи данных;

- схему и характеристики систем электропитания и заземления объекта.

За время практики студент осуществляет:

- составление технических требований (условий), предъявляемых к разрабатываемым в будущем дипломном проекте устройствам и программным продуктам, определение их места на рынке товаров и услуг, экономического преимущества новых разработок;

- выполнение патентных исследований, анализ технической литературы;

- выполнение расчетных, проектных и конструкторских работ и связанных с ними экспериментов с последующей оценкой экономической эффективности принятых решений;

- анализ существующих технологических процессов обработки, сбора и защиты информации с оценкой их эффективности;

- изучение производственных задач предприятия, принципов управления и организации производства, вопросов экономики предприятия (себестоимость, план, прибыль и т. д.), применение последних достижений науки и техники на данном предприятии;

- сбор материалов для выпускной квалификационной работы (ВКР) и составление отчета о практике.

Для успешного выполнения и защиты ВКР студент в период преддипломной практики должен собрать материал по проекту, провести патентное исследование по теме проектирования, оформить справку о патентном исследовании и утвердить её в патентном отделе университета.

По результатам исследования может быть подано рационализаторское предложение, а при выявлении новизны разрабатываемых устройств и моделей, необходимо оформить заявку на предполагаемое изобретение или полезную модель.

При прохождении практики студенты должны собрать и проанализировать материалы о защите окружающей среде применительно к теме ВКР, а также сведения о предохранительных и защитных приспособлениях в машинах, оборудовании, аппаратных комплексах.

Студенты изучают организационную структуру предприятия, вопросы экономики предприятия, основы организации производственного процесса применительно к теме ВКР. Кроме того, студенты ведут сбор исходных данных для расчета экономической эффективности принятых решений, применяемых в ВКР, знакомятся с отраслевыми методиками расчета экономической эффективности разработки и внедрения новой техники и технологии, с методикой расчета затрат на освоение новой техники или программных продуктов.

Во время прохождения практики студентам организуются лекции, беседы, а при необходимости и экскурсии. Тематика лекции должна отражать современный уровень и тенденции развития отечественной и зарубежной вычислительной техники, новых информационных технологий.

В результате прохождения преддипломной практики студент должен приобрести навыки работы на инженерно-технических должностях и получить четкое представление о структуре будущей ВКР, знать содержание ее основных частей, иметь черновые расчеты и эскизы по теме работы.