ИССЛЕДОВАНИЕ ЭКСПЕРИМЕНТАЛЬНОГО ПРОТОТИПА СИСТЕМЫ ИНТЕГРИРОВАННОЙ СРЕДЫ ИНФОРМАЦИОННОГО ВЗАИМОДЕЙСТВИЯ

Полный текст

Введение. Сегодня одной из выраженных тенденций развития IT-технологий в космической отрасли Казахстана является использование Open Source инструментов в проектах интеграции космической промышленности и других сферах народного хозяйства [1]. К примеру, Национальное управление по воздухоплаванию и исследованию космического пространства США (NASA), начиная с 2012 года, рассматривает новую политику по использованию Open Source технологий в своих разработках [2]. Известно, что NASA поддерживает сайт code.nasa.gov, который является центральным репозиторием для Open Source разработок и публикует в открытом доступе на сервисе Github для Open Source пользователей научно-практические разработки [3]. Применение Open Source технологий является наиболее существенным нововведением в подходах создания системы информационной поддержки при управлении проектами в аэрокосмической отрасли, так как дает большие возможности, позволяя экономить финансы и ускорять рабочие процессы, в отличие от платных программных обеспечений (ПО), которые имеют закрытый доступ к исходному коду. Закрытый исходный код лишает возможности дорабатывать и подстраивать ПО под свои нужды. В свою очередь, открытый исходный код Open Source программ доступен для просмотра, изучения и изменения, что позволяет пользователю принять участие в доработке самой открытой программы, использовать код для создания новых программ и исправления в них ошибок [4; 5]. В настоящее время остро стоит вопрос об информационной поддержке при управлении проектами различной сложности и направления, в потребности получения качественной и своевременной информации от потребителя и производителя 24 часа в сутки независимо от географического положения субъекта. Поэтому создание интегрированной среды информационного взаимодействия (ИСИВ) поможет решить проблемы информационного характера, например, в космической отрасли. ИСИВ позволит наиболее эффективно контролировать текущее состояние проекта с помощью веб-портала, совершенствуя систему корпоративного управления. Основная цель применения веб-портала - это обеспечение доступа к единой платформе для получения и обмена информацией от различных источников, централизованное хранение данных, возможность поддержки использования архива проектов и накопления знаний независимо от географического положения и времени суток. Разработка ИСИВ на основе веб-портала будет проходить в два этапа [6]: - 1-й этап: разработка прототипа веб-портала ИСИВ с помощью специализированной системы управления контентом с открытым исходным кодом, а также предварительное испытание ИСИВ со стороны внутренних пользователей на виртуальной машине; - 2-й этап: комплексное тестирование, публикация веб-портала ИСИВ в общий доступ и подготовка документов для пользования. Разработка прототипа веб-портала ИСИВ - экспериментальная модель новой системы, которая даст возможность оценить на ранних стадиях разработку веб-ресурса и уменьшить риск несоответствия заданным требованиям. Прототип ИСИВ позволит прояснить и завершить процесс формулировки требований для создания конечного продукта. На данный момент уже создан прототип ИСИВ на основе веб-портала с использованием Оpen Source технологий для космической отрасли Казахстана [6]. Определение. Для начала необходимо дать определение основным выражениям, которые будут встречаться в процессе описания метода исследования экспериментальной модели ИСИВ для проверки устойчивости к негативным входным данным. Тестирование - это процесс исполнения программы с целью обнаружения ошибок [7]. По сути, тестирование представляет собой вид экспериментального исследования действующей системы. Исследование экспериментальной модели или альфа-тестирование - предварительная стадия испытания программы или программного обеспечения, предназначенная для общей оценки будущего программного продукта и определения необходимости включения в него тех или иных свойств [8]. Комплексное тестирование или бета-тестирование - пробная эксплуатация программного продукта перед его выпуском на рынок. Уже прошедшая испытания в фирме-изготовителе предварительная версия программы [8]. Ручное тестирование - тестирование, в котором тест-кейсы выполняются человеком вручную без использования средств автоматизации [9]. Автоматизированное тестирование - набор техник, подходов и инструментальных средств, позволяющий исключить человека из выполнения некоторых задач в процессе тестирования [9]. Тест-кейс или тестовый сценарий - набор входных данных, условий выполнения и ожидаемых результатов, разработанный с целью проверки того или иного свойства или поведения программного средства [9]. Прототип - 1) предмет, на который переносится информация, полученная в результате изучения модели [10]; 2) программный продукт, который берется в качестве образца при разработке нового программного продукта [8]. CMS (от англ. Content Мanagement system) - специализированная система управления контентом, которая отвечает за управление содержимым веб-ресурса и предоставляет удобный интерфейс для создания новых страниц, меню и для изменения дизайна сайта [11]. Сетевая модель OSI (от англ. Open systems interconnection basic reference model) - модель взаимодействия открытых систем, модель стека сетевых протоколов OSI/ISO [12; 13]. Внешний пользователь - это субъект, заказывающий или использующий товары или услуги предприятия и имеющий возможность обмениваться информацией через веб-портал или напрямую с предприятием [14]. Внутренний пользователь - это субъект, выполняющий работы или оказывающий услуги, необходимые внешнему субъекту, при помощи находящейся в его распоряжении производственной системы. Также задает параметры функционирования СУ ИСИВ и обменивается информацией с клиентами, в том числе потенциальными [14]. Исходные данные для исследования экспериментального прототипа ИСИВ. Для удобства тестирования исходные данные прототипа веб-портала будут определены в двух частях: структура системы управления ИСИВ и математическая модель пользователя. Структура СУ ИСИВ. Прототип системы ИСИВ развернут на локальном сервере с системой управления базой данных MySQL, который позволяет осуществлять разработку веб-портала, не выходя в Интернет. Система состоит из клиентской и административной частей [15]. Клиентская часть - это собственно веб-портал, который видит посетитель или зарегистрированный пользователь. Основные свойства клиентской части: - главная страница имеет общий доступ, где будут отражены модуль входа в систему ИСИВ, информация о компании, последние новости компании и другие новости общего характера; - другие страницы ИСИВ будут доступны в зависимости от прав доступа, а также способа участия в тех или иных проектах компании; к примеру, у менеджера проекта будет больше привилегий, чем у наблюдателя или члена рабочей команды проекта. Отображение информации, доступ к персональным данным в клиентской части происходит за счет шаблона и модулей, которые выводятся в специальных заранее отведенных позициях шаблона. Шаблон - это совокупность файлов, используемых CMS для отображения информации и формирования внешнего вида веб-портала [6]. Отображение информации в заранее подготовленных позициях происходит за счет шаблона. На рис. 1 показан общий шаблон прототипа веб-портала ИСИВ. Математическую модель шаблона ИСИВ можно описать тремя наборами правил, определяющих форму отображения информации следующим образом: Template={Code, Content, Function}, где Code состоит из HTML, CSS, Javaсcript; Content состоит из статей, информационных и служебных файлов СУ ИСИВ, комментариев и т. д.; Function - это множество модулей, которые отображают Content различным способом. Административная часть - это панель управления веб-порталом, которая выполняет следующие действия: добавление, редактирование и удаление контента, анализ действий посетителей, модерация сообщений, обеспечение безопасности веб-портала и т. д. Рис. 1. Общий шаблон прототипа веб-портала ИСИВ Рис. 2. Детальная структура СУ ИСИВ Рис. 2 описывает административную панель, куда входят автономный блок управления (АБУ) и блок предварительной подготовки параметров (БППП) веб-портала [15]. БППП отвечает за функционирование веб-портала и состоит из различных расширений для формирования автономного блока управления веб-порталом. В свою очередь, АБУ веб-порталом предназначен для поиска информации, регистрации, авторизации, экспорта и импорта информации с учетом прав доступа пользователей без участия БППП веб-портала. Взаимодействие внутренних и внешних пользователей с СУ ИСИВ описывается парами векторов {M,N}, {Y, Y*}, {X, X*}. Более детально структура СУ ИСИВ представлена на рис. 2, где Н - вектор значений связи от АБУ к веб-порталу; H’’ - вектор обратной связи от веб-портала к АБУ; Р - вектор связи от БППП к АБУ; Р* - вектор обратной связи от АБУ к БППП; OE (outside environment) - вектор значений воздействия внешнего окружения; Х - вектор значений связи от внешнего пользователя к СУ ИСИВ; Х* - вектор значений связи от СУ ИСИВ к внешнему пользователю; Y - вектор значений связи от внутреннего пользователя к СУ ИСИВ; Y* - вектор значений связи от СУ ИСИВ к внутреннему пользователю; Q - вектор значений факторов, влияющих на функционирование СУ ИСИВ (например, атаки злоумышленников, сбои в канале связи и т. д.); M и N - векторы значений прямого взаимодействия между внешними и внутренними пользователями. Математическая модель пользователя. Из рис. 2 видно, что пользователи СУ ИСИВ делятся на множество пользователей административной панели IU = = {iu1, iu2, …, iun} и множество пользователей OU = = {ou1, ou2, …, oum} клиентской панели. Тогда взаимодействие пользователей в ИСИВ описывается следующей системой уравнений: (1) где ID = {IDn, IDm} - множество идентификаторов доступа в систему, где IDn = {idn1, idn2, …, idnn} - множество идентификаторов доступа в административную панель ИСИВ, IDm = {idm1, idm2, …, idmm} - множество идентификаторов доступа в клиентскую часть ИСИВ; PD - персональные данные пользователей; INS = {INSn, INSm} - множество инструкций, определяющих ограничение доступа и роль пользователя ИСИВ, где INSn = {insn1, insn2, …, insnn} описывает инструкции для административной части СУ ИСИВ, INSm = {insm1, insm2, …, insmm} описывает инструкции для клиентской части ИСИВ; P - параметр, определяющий текущее состояние пользователя (например, блокирован пользователь или нет). Так, согласно системе уравнений (1) пользователь, не прошедший аутентификацию, также может просматривать информационный материал и обращаться через обратную связь к сотрудникам системы ИСИВ. Однако следует учесть, что есть вероятность того, что один и тот же пользователь может относиться как к множеству OU = {ou1, ou2, …, oum}, так и к множеству IU = {iu1, iu2, …, iun} одновременно. Система уравнений (1) поможет более детально распределить по уровню доступа пользователей на категории с точки зрения безопасности функционирования СУ ИСИВ. Описание метода исследования экспериментальной модели ИСИВ. Альфа-тестирование прототипа ИСИВ будет проводиться ручным методом и заключается в поиске дефектов в работе прототипа ИСИВ. Ручное тестирование позволяет проверить функционирование всех компонентов системы глазами пользователя. Необходимо отметить, что при ручном тестировании имеется полный доступ к исходному коду и ко всем функциям системы ИСИВ [16; 17]. Основная цель альфа-тестирования прототипа ИСИВ - это определить тесты, которые предназначены для проверки выполнения основных функций, правильных входных данных, интерфейса системы, тесты для проверки устойчивости к негативным входным данным и проверки устойчивости ИСИВ к ошибкам пользователя. Для достижения цели альфа-тестирования нужно решить следующие задачи: 1. Описать роль пользователя и правила доступа, описывающие возможность выполнения определенных действий в системе ИСИВ. 2. Составить графическое представление процесса взаимодействия внутренних и внешних пользователей с административной и клиентской панелями СУ ИСИВ. 3. Составить тестовые сценарии, которые описывают последовательность направленных действий на проверку функционала СУ ИСИВ. 4. Анализ результатов альфа-тестирования СУ ИСИВ. Исследование функционирования прототипа ИСИВ поможет определить варианты решения проблемы реализации СУ ИСИВ, разработанной с использованием Open Source технологий. По итогам тестирования прототипа СУ ИСИВ будут сделаны выводы о существенных уязвимостях веб-ресурса, которые помогут в будущем сформировать рекомендации для дальнейшего направления развития экспериментальной модели ИСИВ и внедрения ее в космическую отрасль. Исследование экспериментальной модели ИСИВ и его результаты. Прототип системы ИСИВ развернут на локальном диске с использованием веб-сервера Apache, интерпретатора PHP и базы данных MySQL под управлением операционной системы Windows, которая позволяет имитировать работу веб-портала без выхода в Интернет. Для администрирования СУБД MySQL используется панель phpMyAdmin. На рис. 3 показана рабочая область клиентской и административной панелей ИСИВ. а б в г Рис. 3. Рабочая область клиентской и административной панелей ИСИВ: а - начальная страница в клиентскую панель; б - рабочая область в клиентской панели; в - начальная страница в административную панель; г - рабочая область в административной панели Как отмечалось выше, для исследования функционирования системы ИСИВ нужно решить следующие задачи: 1) описать роль пользователя и правила доступа, описывающие возможность выполнения определенных действий в системе ИСИВ; 2) составить графическое представление процесса взаимодействия внутренних и внешних пользователей с административной и клиентской панелями СУ ИСИВ; 3) составить тестовые сценарии, которые описывают последовательность направленных действий на проверку функционала СУ ИСИВ; 4) анализ результатов альфа-тестирования СУ ИСИВ. 1. На портале виртуально имитируются работы по трем проектам с искусственно созданными участниками проектов. Согласно системе уравнений (1) пользователи ИСИВ имеют разграниченные права доступа в клиентскую и административную панели. Необходимо отметить, что некоторые пользователи имеют возможность входить в несколько проектов с разными уровнями доступа. В процессе жизненного цикла количество пользователей и доступы в СУ ИСИВ динамически меняются, но множества ID = {IDn, IDm} и PD для каждого пользователя фиксированы и не могут совпадать друг с другом, т. е.: User1[ID, PD] ≠ User2[ID, PD]. Правило доступа - это инструкции, описывающие возможность выполнения определенных действий в системе. Useri [INS] > 1, iN, т. е. если у пользователя расширены доступ и роль, то это описывается несколькими инструкциями. Так, внешних и внутренних пользователей можно описать следующими системами уравнений: (2) (3) Тогда с помощью таблицы можно вкратце показать правила доступа внешних и внутренних пользователей для выполнения определенных действий в системе ИСИВ. Системы уравнений (2) и (3), которые описывают роль пользователя и правила доступа в СУ ИСИВ, помогут составить графическое представление процесса взаимодействия внутренних и внешних пользователей с административной и клиентской панелями в СУ ИСИВ. 2. Графический способ представления процесса взаимодействия внутренних и внешних пользователей с административной и клиентской панелями СУ ИСИВ позволит определить основные виды тестирования для поиска дефектов функционирования и оценки работоспособности прототипа уже на этапе разработки системы ИСИВ. Так, на рис. 4 видно, что СУ ИСИВ можно разбить на три крупных блока: блок аутентификации пользователей, блок клиентской панели и блок административной панели. Перед началом работы в системе ИСИВ пользователю необходимо пройти аутентификацию независимо от прав доступа, иначе можно только просматривать общедоступный информационный ресурс без доступа в рабочую область веб-ресурса ИСИВ. Если пользователь прошел аутентификацию и система ИСИВ его идентифицировала, то ему открывается доступ в рабочую область административной или клиентской панелей в зависимости от прав доступа к веб-ресурсу. Взаимодействие клиентской и административной панелей происходит за счет модулей АБУ и БППП, которые предварительно настраиваются внутренними пользователями. Связь внутренних пользователей с внешними пользователями происходит путем обмена информацией через вектор Q. Также вектор Q позволяет проводить анализ сетевого трафика и поисковой оптимизации, изучать параметры количества посещаемости, определения наиболее востребованных продукций/ услуг и т. п. Сотрудник компании (внутренний пользователь) в БППП задает параметры функционирования веб-портала, которые преобразуются в вектор РР* для передачи полученных данных в АБУ. Далее АБУ формирует векторы Н и Н* для управления и контроля за веб-порталом и административной панелью ИСИВ. Инструкции доступа внешних и внутренних пользователей в СУ ИСИВ Подмножества oum/iun Инструкции доступа пользователей Дополнительные возможности ou1 1. Отсутствие персональных данных и идентификатора доступа 2. Минимальные права доступа 1. Открытие главной страницы портала и возможность просмотра общедоступного информационного ресурса, если предусмотрено для незарегистрированных пользователей 2. Доступ в административную панель закрыт ou2 1. Привилегии пользователей группы ou1 2. Вход на портал с помощью логин-формы, наличие персональных данных, есть доступ к дополнительной информации, если разрешено группой администраторов 3. Отсутствие прав редактировать, публиковать или добавлять любой контент 1. Только просмотр контентов, доступных для пользователей, прошедших аутентификацию 2. Доступ в административную панель закрыт ou3 1. Привилегии пользователей группы ou2 2. Создание собственных статей 3. Редактирование собственных статей 4. Просмотр специального контента 1. Отсутствие прав публиковать статьи на портале 2. Отсутствие прав редактировать чужой контент 3. Отсутствие прав просмотра неопубликованных статей 4. Доступ в административную панель закрыт ou4 1. Привилегии пользователей группы ou3 2. Наличие прав просмотра неопубликованных статей 3. Редактирование/удаление всех статей, в том числе опубликованных 1. Отсутствие прав публиковать статьи на портале 2. Доступ в административную панель закрыт ou5 1. Привилегии пользователей группы ou4 2. Наличие прав публиковать статьи на портале Доступ в административную панель закрыт iu1 1. Привилегии пользователей группы ou5 2. Наличие доступа в административную панель для управления контентом на портале 3. Наличие прав к настройкам, компонентам, указанным главным администратором 1. Отсутствие прав для редактирования других пользователей 2. Отсутствие прав установки расширений iu2 1. Привилегии пользователей группы iu1 2. Наличие прав создавать новых пользователей 3. Наличие прав установки расширений 1. Отсутствие прав добавлять и редактировать пользователей группы «суперадминистратор» 2. Отсутствие прав входить в раздел глобальных настроек 3. Отсутствие прав осуществлять массовую рассылку 4. Отсутствие прав изменять/добавлять шаблоны и языковые файлы iu3 1. Привилегии пользователей группы iu2 2. Наличие прав добавлять и редактировать пользователей группы главного администратора 3. Наличие прав входить в раздел глобальных настроек 4. Наличие прав осуществлять массовую рассылку 5. Наличие прав изменять/добавлять шаблоны и языковые файлы Наличие прав проводить техническое обслуживание всей системы ИСИВ 3. Как отмечалось выше, СУ ИСИВ состоит из трех блоков. Поэтому тестироваться будут блок аутентификации пользователей, блок клиентской панели и блок административной панели. Согласно рис. 4 для проверки работоспособности всех компонентов прототипа ИСИВ составлены тестовые сценарии для следующих видов тестирования: - тестирование контроля доступа и аутентификации; - тестирование структуры клиентской и административной панелей; - функциональное тестирование; - тестирование интерфейса пользователя; - тестирование безопасности. Так, тестирование контроля доступа и аутентификации определяет проблемы, связанные с несанкционированным доступом пользователей к информационному ресурсу и функциям ИСИВ, а также тестирует конфигурацию ролевых моделей пользователей. Тестирование структуры системы ИСИВ нужно для того, чтобы проверить работу и взаимодействие пользователей между собой и между панелями и общее поведение пользователей в системе. Функциональное тестирование заключается в проверке всех обязательных функций веб-портала, проверке поисковой формы, гиперссылок, поиске нерабочих ссылок. Единый стиль оформления интерфейса веб-ресурса ИСИВ проверяет тестирование интерфейса пользователя. Тестирование безопасности необходимо для поиска уязвимостей в клиентской и административной панелях, выявления возможности обхода системы аутентификации веб-портала, проверки на SQL-инъекции. Рис. 4. Взаимодействие пользователей СУ ИСИВ 4. В итоге, составлены более 20-ти тестовых сценариев, которые описывают последовательность направленных действий на проверку функционала СУ ИСИВ. Результаты исследования выявили следующие виды грубых уязвимостей в прототипе ИСИВ, которыми могут воспользоваться злоумышленники. Во-первых, при тестировании контроля доступа и аутентификации выявлено прямое обращение к функционалу системы ИСИВ. Другими словами, некоторые разделы рабочей области, доступ к которым разрешен только для зарегистрированных пользователей, можно открыть по прямой ссылке без авторизации, зная прямую ссылку на данный раздел. Во-вторых, при тестировании безопасности веб-ресурса было определено, что можно легко идентифицировать программное обеспечение, его версию и обновление. Такой дефект системы не опасен, но ее можно использовать для поиска уязвимостей в системе ИСИВ. И наконец, тестовые сценария определили уязвимости, связанные с ошибками администрирования. Среди них описывается полный путь к папкам и директориям модулей и компонентов, незащищенный доступ в БД MySQL, id главного администратора легко определяется. Также отсутствует фильтрация запросов для защиты протокола верхнего уровня сетевой модели OSI, который обеспечивает взаимодействие сети и пользователя прототипа ИСИВ, что обеспечит подмену или модификацию запроса для использования различных видов атак и взломов. Заключение. В ходе выполнения работы был изучен процесс ручного тестирования прототипа ИСИВ, разработанного на Open Source технологиях. Были описаны роль пользователя и правила доступа пользователей, составлены графический способ представления процесса взаимодействия внутренних и внешних пользователей прототипа ИСИВ. Изучены способы создания и применения тестовых сценариев для исследования экспериментального прототипа системы ИСИВ, которые помогли рассмотреть большинство видов дефектов в прототипе ИСИВ, причины возникновения и способы их отслеживания. Проведенный анализ исследования экспериментальной модели ИСИВ позволяет сделать следующие работы: - прояснить и завершить процесс формулировки требований к системе, оптимизировать удобства работы пользователей в СУ ИСИВ; - использовать разработанные тестовые сценарии для автоматизированного тестирования, что обеспечит ускорение регрессионного тестирования и ускорение время прохождения тестов на выявление дефектов в СУ ИСИВ; - использовать результаты выполненных работ в практике при разработке и комплексном исследовании конечного продукта ИСИВ с использованием Open Source технологий; - предложить методы и рекомендации по повышению уровня безопасности функционирования веб-ресурса ИСИВ.

Об авторах

М. Н. Петров

Сибирский государственный аэрокосмический университет имени академика М. Ф. Решетнева

Российская Федерация, 660037, г. Красноярск, просп. им. газ. «Красноярский рабочий», 31

Ж. С. Абенова

АО «Национальная компания «Қазақстан Ғарыш Сапары»

Email: Zhuza44@mail.ru
Казахстан, 010000, г. Астана, просп. Туран, 89, Национальный космический центр

Н. К. Набиев

АО «Национальная компания «Қазақстан Ғарыш Сапары»

Казахстан, 010000, г. Астана, просп. Туран, 89, Национальный космический центр

Список литературы

Дополнительные файлы