26-lekciya Tema: Operacion sistema hám tarmaqlardıń qáwipsizligi

Trustworthy Computing (TWC) Initiative

Bul attaǵı "Qáwipsiz hám qáwipsiz esaplaw ǵayratı" ǵayratı 2002 jılda Microsoft tiykarlawshısı Bill Geytstiń kompaniyanıń barlıq xızmetkerlerine elektron pochta xabarında daǵaza etilgen. TWC ǵayratınıń tiykarǵı baǵdarı sonnan ibarat, programmalıq támiynat sistemasın islep shıǵıwda qáwipsizlikti támiyinlewge dáslepki basqıshlardan-aq bólek itibar beriw kerek. Biraq, TWC ǵayratı bunıń menen sheklenip qalmaydı - onıń mazmunı hám maqsetleri keńlew bolıp, ekonomikalıq, huqıqıy tárepler hám "insan faktorı" n óz ishine aladı.

TWC ǵayratınıń tiykarǵı principlerı:

Qáwipsizlik (Security) - hár qanday programmalıq támiynat sistemasında sırtqı hújimlerden nátiyjeli qorǵaw ilajların ámelge asırıw hám olardan paydalanıw; bul maqsetke erisiwge qaratılǵan programmalardı islep shıǵıwdıń arnawlı usıllarınan paydalanıw.

Informaciyanıń jasırınlıǵın saqlaw (Privacy) - programmalıq támiynat tárepinen jeke hám korporativ maǵlıwmatlardan tek paydalanıwshınıń anıq razılıǵı menen hám tek ózi ushın túsinikli bolǵan huqıqıy maqsetlerde paydalanıw; hújim nátiyjesinde jasırın maǵlıwmatlardı xakerlikten qorǵaw.

Isenimlilik (Reliability) - programmalıq támiynat sistemaları minez-qulqınıń shamalılıǵı, bul belgili bir dáwirde programmanıń kútilgen tuwrı háreketin támiyinlewi kerek.

Biznestiń natiyjeliligi, nızamlılıǵı hám tuwrılıǵı (Business Integrity) - programmalıq támiynat ónimlerin qollap-quwatlaw toparı jumısınıń natiyjeliligi hám paydalanıwshılardıń qáwipsizlik máseleleri boyınsha waqıtında máslahátları; programmalıq támiynat óndiriwshisi - kompaniya biznesiniń tuwrılıǵı.

Microsoft ózi 2002 jıldan beri qáwipsizlikti rawajlandırıwdıń jańa ciklı (SDLC) nan paydalanǵan halda programmalıq támiynattı islep shıǵıwda jumıs processlerin tolıq qayta quradı. TWC principlerı Microsoft ónimleriniń barlıq jańa versiyalarında: Internet Explorer 7 hám 8, Windows vista hám basqalarda óz sáwleleniwin tapqan.

Microsoft, TWC ǵayratı menen, basqa barlıq kompaniyalar hám individual óndiriwshilerdi usınıs etilgen principlerge ámel qılıwǵa shaqırdı, eger dáslep dúnyada TWC ǵayratına salıstırǵanda múnásebet júdá ıqtıyatlı hám hátte shubha menen qaraǵan bolsa.

Microsoft TWC támiynatın hám TWC universitetlerin oqıtıwdı finanslastırdı.

Sonı atap ótiw kerek, dúnyadaǵı universitetlerde TWC oqıtıw endi baslandı. Bul máselelerge eń úlken itibar birinshi náwbette áskeriy komandirlik hám belgilew universitetleri tárepinen beriledi.

IT studentlerine TWC principlerin úyretetuǵın birinshi universitetlerden biri bul Sankt-Peterburg mámleket universitetiniń matematika hám mexanika fakulteti - prof. V.O.Safonov "Arxitektura hám programmalar modelleri hám bilimleri" (4-kurs ) hám basqa barlıq kurslarda TWC elementlerin prof. V.O.Safonova: "Operacion sistemalar hám tarmaqlar", "Java texnologiyası", "Dúziwshiler".

Qáwipsiz programmalıq ónimlerdi islep shıǵıw principlerı

Microsoft tárepinen islep shıǵılǵan hám qollanılatuǵın qáwipsiz programmalardı islep shıǵıw ushın jańa turmıs aylanıw sxeması "Security Development Life Cycle" (SDLC) dep ataladı. SDLC diń tiykarǵı ideyası, dáslepki basqıshlardan baslap, programmalıq támiynattı islep shıǵıw processinde qáwipsizlik talapların esapqa aladı. Sdlc sxeması 24.2-súwrette kórsetilgen.

24.2-súwret. Security Development Life Cycle (SDLC) sxeması.

Sxemada turmıs ciklınıń dástúriy basqıshları kórsetilgen hám oqlar oǵan SDLC tárepinen qosılǵan qosımshalardı ańlatadı. Programmalıq támiynattı islep shıǵıwdıń pútkil ciklı dawamında, dáslepki basqıshlardan baslap (talaplar, specifikaciyalar, dizayn) programmalıq támiynattıń isenimliligi hám qáwipsizlik ilajların mudamı támiyinlew kerek, sonda keyinirek olar "ayrıqsha jaǵdayda" sistemaǵa ornatılıwı shárt emes, bul qárejetlerdi sezilerli dárejede asıradı.

Programmalıq támiynatqa hújim hám hújimlerdi aldınnan analizlew hám modellestiriw hám olarǵa qarsı sharalardı islep shıǵıw zárúr.

Isenimliligi hám qáwipsizligi kózqarasınan qáwiptiń muǵdarın bahalaw qurallarına mútajlik bar.

Security testing, fuzzy testing (fuzzing) - qáwipsizlik tómen sistemasın testten ótkeriw hám IP - mánzillerdi tańlaw hám buzıw hám kompyuter sistemasınıń basqa strukturalıq bólimlerin eliklewi shegara yamasa shegara mánisine jaqın parametrlerdi sınap kóriw ushın arnawlı sınaq túrleri talap etiledi.

Cikl dawamında rawajlanıw menen shuǵıllanatuǵın qáwipsizlik boyınsha qánigeler (security buddies) kerek.

Microsoft hújim hám hújimlerdi bahalaw hám biz kórip shıǵatuǵın hújimlerdiń aqıbetlerin bahalaw ushın qáwipsiz programmalıq támiynattı bahalaw hám islep shıǵarıw ushın bir qatar ápiwayı sxemalardı usınıs etdi.

SD3 C sxeması (formulası) qáwipsiz programmalıq támiynattı islep shıǵıwdıń tiykarǵı principlerin belgileydi:

•