Cuprins:

Capitolul 1...........................................................................................................................2
1.1 Prezentarea firmei......................................................................................................2
Capitolul2............................................................................................................................4
2.1 Descrierea obiectului de activitate al companiei.......................................................4
Capitolul 3...........................................................................................................................5
3.1 Descrierea sistemului informatic...............................................................................5
3.2 Spaiile deinute de unitate.........................................................................................9
Capitolul 4.........................................................................................................................10
4.1 Principalele pericole si vulnerabilitati.....................................................................10
4.2 Averile informationale.............................................................................................11
4.3 Interfata CGI............................................................................................................13
4.4 Plasarea scripturilor CGI.........................................................................................14
4.5 Confidentialitatea surselor CGI...............................................................................15
4.6 Structura de foldere a serverului Web......................................................................15
4.7 Controlul accesului la fisierele de pe server............................................................15
4.8 Criptarea comunicaiilor dintre server i clieni......................................................16
4.9 Contul de administrator...........................................................................................17
4.10 Gestionarea conturilor de utilizatori......................................................................17
4.11 Serverul de Intranet................................................................................................18
4.12 Serverul de mail.....................................................................................................18
4.13 Descrierea unui incident........................................................................................19

Capitolul 1

1.1 Prezentarea firmei

Societatea s-a nfiinat n 1927 avnd capital mixt de stat i privat. Din 1948
compania trece n patrimoniul statului i reprezint o prezen pemanent pe piaa
telecomunicaiilor din Romnia.
Avnd ca principale domenii de activitate broadcasting-ul si telecomunicaiile,
datorit investiiilor fcute, societatea s-a dezvoltat continuu. n prezent n Romnia ea
deine cea mai complex infrastructur din domeniu, este un important furnizor de reele
i servicii de comunicaii electronice i este liderul de pia n domeniul broadcastingului. Prin serviciile oferite compania vizeaz, n principal, segmentul business: internet,
VPN, linii inchiriate, telefonie naionala i internaional, servicii integrate de
comunicaie: date & internet & telefonie, videoconferin, servicii de comunicaie prin
satelit.
n urma acordurilor ncheiate compania, ncepnd cu anul 2004, ofer i servicii
de telefonie internaional i naional, inclusiv prin intermediul cabinelor telefonice
proprii.
n momentul de fa compania trece printr-un amplu proces de modernizare
privind creterea competitivitii i diversificarea serviciilor de telecomunicaii.
Ca principale obiective firma urmarete furnizarea de servicii de calitate tuturor
clienilor si printr-un management competent pus n aplicare att n interiorul ct i n
exteriorul companiei. El vizeaz : cunoaterea nevoilor clienilor, receptivitate n ceea ce
privete dorinele lor, servicii de calitate la un pre ct mai sczut, un comportament etic
fa de parteneri.
Firma i desfoar activitatea in toate cele 42 de judee ale rii avnd sucursale
la Bucureti, Cluj, Timioara, Iai. n prezent firma are peste 1800 de angajai, specialiti
cu nalt calificare, firma ncercnd s se adaptaze condiiilor de pe pia prin
perfecionarea continu a personalului su.
Sucursala Iai a societii i desfoar activitatea pe o raz de 8 judee avnd ca
obictive staiile de radio, televiziune i radiorelee, precum i translatorii de televiziune.
Aceste judee sunt : Iai, Botoani, Suceava, Neam, Bacu, Vaslui, Galai i Vrancea
Principalele resurse ale firmei provin din ncasrile de la studiourile de radio i
televiziune, pentru plata orelor de emisie din nchirierea liniilor de radiorelee, precum i
din furnizarea de internet diverilor abonai la firma. De asemenea o surs important de
venituri provine din telefonia intern i internaional.
Societatea dispune de personal de specialitate, cu nalte cunotine tehnice, n
deservirea echipamentelor specifice activitii pe care o desfaoara, fiind perfecionai n
statele de provenien a echipamentelor respective ct i la centrul de perfecionare al
unitii.
Pe lng personalul de specialitate sucursala mai dispune de pesonal administrativ
care asigur condiii optime pentru desfurarea activitii. Personalul administrativ este
compus din economiti, tehnicieni, ingineri, conductori auto, muncitori care se ocup cu
2

ntreinerea i reparaiile cldirii. Condiiile optime sunt asigurate prin aprovizionarea

staiilor din teritoriu cu materiale de ntreinere, combustibil pentru nclzire pe timp de
iarn, motorin pentru grupurile electrogene care vor fi puse n funciune n cazul
ntreruperii energiei electrice din sistemul naional precum i alimentaie de protecie
pentru obiectivele situate la altitudine.

Capitolul2

2.1 Descrierea obiectului de activitate al

companiei
Unitatea pentru a-i desfura activitatea folosete ca echipamente principale radioreleele
precum i staiile radio si staiile TV.
Obiectul de activitate al ntreprinderii este asigurat de ntreinerea, dezvoltarea i
modernizarea mijloacelor de telecomunicaie pentru transportul programelor radio-TV
att n interiorul rii ct i n exteriorul acesteia.
Activitatea unitii se desfoara pe o raz de 8 judee asigurnd emisia programelor de
teteleviziune, radio, telefonie i internet. Emisia programelor de televiziune se realizeaz
cu ajutorul unor obiective numite staii de televiziune, undele de televiziune difuzndu-se
n linie dreapt. Pentru ptrunderea lor n cele mai ndepartate locuri se utilizeaz
translatori TV (staii TV de mai mica capacitate) care preiau semnalul din staiile
principale i l difuzeaz mai departe acolo unde undele TV emise de staia principal nu
pot ptrunde.
Din aceast cauz staiile TV n numr de 11 sunt amplasate la altitudine pe cele mai
nalte dealuri i pe cei mai nali muni. Staiile de radio n numr de 5 sunt localizate n
diverse orae neavnd nevoie de amplasament la altitudine, undele radio ocolind
obstacolele. Lanul de radiorelee n numr de 6 sunt amplasate n diverse localiti
asigurnd telefonia i transmiterea semnalului radio i TV preluat din ar i strintate.

Capitolul 3

3.1 Descrierea sistemului informatic

Compania utilizeaz un sistem informatic complex care include ca resurse hardware:
-calculatoare, desktop i laptop. Calculatoarele utilizate de unitate sunt minicalculatoare a
cror putere de calcul variaz n funcie de sectoarele de activitate n care sunt folosite.
Mincalculatoare cu o putere mare de prelucrare a datelor i capabile s stocheze mari
cantiti de informaii sunt utilizate de serviciul informatic al ntrepriderii. Acestea sunt
conectate n reea sau sunt de sine stttoare. Printr-o reea de calculatoare nelegndu-se
sisteme de echipamente de calcul i transmisie a datelor aflate la societate i n teritoriu.
Crearea reelei este posibil prin intermediul unui server. Acesta este calculatorul
principal al reelei.
-switch-uri de LAN si WAN, hub-uri. LAN si WAN sunt prescurtri ale Local Area
Network i Wide Area Network. LAN-urile sunt reelele locale unde nodurile
componente sunt situate foarte aprope unele de altele de obicei n aceeai organizaie sau
n aceeai cldire. WAN urile sunt reele de larg acoperire care pun bazele comunicarii
ntre calculatoare aflate la distane foarte mari unele de altele.
-routere doar cele din WAN ndeplinind funcii de routing/bridging pentru comunicaiile
interne de date ;
-print servere ;
-imprimante locale i de reea ;
Imprimantele sunt echipamente periferice de ieire i reprezint principalul intrument de
tiprire a informaiilor pe support de hrtie. Ca tipuri de imprimante societatea folosete
imprimante laser i imprimante cu jet de cerneal.
-scannere si alte dispozitive de captur imagine ;
Scanner-ul este un echipament periferic de intrare prin care se poate introduce n
memoria calculatorului orice tip de imagine tiparit pe hrtie.
-minilink-uri radio pentru conectarea locaiilor de distane la LAN-urile unitii ;
-modem-uri ;
Modemul are rolul de a transforma semnalele digitale n semnale analogice i invers prin
intermediul liniilor telefonice.
-surse nentreruptibile de alimentare ;
Se include si infrastructura de cablare rackuri, prize, patch-uri.
Ca resurse software societatea utilizeaz:
1Aplicaii standard
-sisteme de operare de reea ;
-sisteme de operare staii ;
-aplicaii Office ;
-utilitare (exemple Acrobat Reader, utilitare de arhivare) ;
-antivirus ;
-clientul de conectare la server Novell ;

-programme de editare grafic (Corel Draw) ;

-programme de proiectare (exemplu ACAD).
2 Aplicaii specifice, elaborate intern sau achiziionate de la firma furnizoare de
software :
-programme financiar contabile, de gestiune, instalate i ntreinute de firma
productoare ;
-programul legislativ LEX ;
-progame pentru devize de lucrri ntreinute de firma productoare ;
-programme specifice pentru configurri i monitorizri echipamente ;
-programme elaborate intern avizate de serviciile informatice.
3 Servicii :
-e-mail ;
-acces internet ;
Compania foloseste ca sisteme de operare Windiws Millennium, Windows 2000,
Windows XP, sistemul de operare Linux. n categoria aplicaiilor specifice intr Qcont,
Salarii, Evidena parcursului auto etc., iar ca aplicaii standard sunt utilizate Microsoft
Office, AutoCAD etc.
Pentru o mai bun reprezentare a resurselor harware si software vom prezenta n
continuare un scurt inventar al acestor componente :
Nr.crt
1.

2.

Denumire
echipament
Servere reea

Caracteristici
tehnice
Pentium IV 2,8
Ghz, 512 Mb
RAM, HDD
SCSI 80Gb,
UPS, NIC,
CDRom40X/AKU,
CD-ReWriter

Staii de lucru

AMD Athlon
XP2400+Mhz,
5121 Mb
RAM, HDD 40
Gb, CD-RW
Asus 52
X32X52X,
IOMEGA ZIP,
Standard

Loc folosin
3 Serviciu Reele
Acces

1 Serviciul Analize
economice, 1
Serviciul
Contabilitate, 1
Serv. Marketing,
3 Serv. Sisteme
informatice, 2 Serv
Proiectare, 1
Director general, 1

Software de baza si
de aplicaii instalat
SO Linux, SO
Windows 2000, SO
Windows XP,
Microsoft Office
2000, XP, 2003,
Microsoft Exchange
Server, SQL,
Microsoft 2003
Server-Web Edition,
Aplicatii pentru
retea:
HP Open View,
Minilink; Internet
Explorer
SO Windows XP
Profesional,
Microsoft Office XP,
Fow Pro 26 sub Dos,
Fox Pro 26 sub
Windows,
Programe utilitare:
Norton Commander,
Windows

floppy disk,
USB Root Hub,
Printer port
3.

Staii de lucru

4.

Imprimante

5.

Imprimante

6.

Imprimante

7.
8.
9.

Fax
Copiator
Scanner

Pentium III
1400Mhz, 128
Mb RAM,
HDD 20 Gb,
Standard
Floppy Disk,
Printer Port
AMD Athlon
XP 2100+, 256
RAM, HDD 80
Gb, CD
ReWriter Asus,
Floppy

Director economic,
1 Director tehnic

4Serv.
Contabilitate;
4Serv. Financiar,
1Serv. Marketing;
1Serv. Sisteme
Radiante; 1Serv
Administrativ;
1Serv. Transport;
2Serv. TV; 2Serv
RDF; 1Serv.
Aprovizionare;
1Depozit Central;
8pct Statiile TV,
RDF, RR teritoriu;
2Serv. Proiectare;
1Sala Consiliu
Canon BJC 100
1Serv.
Lexmark Z705 Contabilitate, 1Serv
Financiar, 1Serv.
Aprovizionare,
1Depozit Central,
18Statii TV, RDF,
RR, 1Serv.
Administrativ,
1Serv. Transport,
1Serv RDF, TV,
RR, 1 Director
general, 1 Director
tehnic, 3 Serv.
Marketing
Epson FX-5000
1 Serv.
Epson FX-1170
Contabilitate
Canon BJ 250
HP Laser Jet
1 Serv. Sisteme
5000 Series
Informatii
PS ;
HP Laser Jet III
P.
Fax
1 Secretariat
Xerox
1 Serv. Proiectare
Umax Optic
1 Serv Sisteme

Commander,
Norton Antivirus,
Programe pentru
contabilitate
generala
SO Windows 98 SE,
Microsoft Office
2000, Fox Pro 26
sub Dos, Fox Pro 26
sub Windows,
Programe utilitare:
Norton Commander,
Aplicatii pentru
evidena elementelor
patrimoniale,
Autocad (la
Proiectare)

10.

Camera Video
Conferinta

Pro
Sony

Informatii
1 Sala Consiliu

n ceea ce privete personalul compartimentului informatic. Acesta este format din :

1 tehnician intreinere sisteme ;
2 analiti de sisteme ;
2 programatori ;
2 operatori de calculatoare ;
1 proiectant.
Aplicaiile informatice n cadrul sucursalei din Iai sunt urmtoarele :
Aplicatii
GESTOC

Module
Evidena material- evidena pieselor de
schimb si a carburanilor, evidena
obiectelor de inventar
MFIX
Repartizarea pe emitoare a amortizarii
i a valorii de inventar a mijloacelor fixe
Salarii
Eviden deplasri ; Calculul salariilor ;
Calculul CAS ; Fi fiscal F.F.1
Personal
Personal ; MLM (mobilitate la locul de
munc) ;
Evidena crtilor de munc ;
Urmrirea cheltuielilor cu salariile,
ajutoare materiale i prime trimestriale ;
Facturare Servicii Prestate
Facturi Radio, Facturi TV, Facturi
telefonice ;
Aplicaia Y(1-10)
Situaia facturilor emise n cadrul unei
luni;
Eviden clieni
Facturile emise ctre clieni (pe categorii
de clieni);
Eviden furnizori
Decontrile cu furnizorii (pe categorii de
furnizori)
Evidena ncasrilor si plilor prin cas i Cas, Banc, Trezorerie ;
prin banc
Decontri cu abonamentele Radio-TV i
abonamentele telefonice pentru salariai ;
Conta-Generala
Eviden note contabile, balana sintetic
de verificare, balana analitic de
verificare Q-Cont (balan final)
Repartizarea veniturilor activitaii de baz Bugetul de venituri i cheltuieli
pe feluri de activiti i contabilizare
(BVC)
Staii teritoriale
Grupare intreruperi pe staii (Rapoarte
zilnice) ;
Grupare venituri realizate pe staii ;
8

LEGIS

Toate legile din domeniul financiarcontabil

3.2 Spaiile deinute de unitate

Sediul administrativ cuprinde :
-birourile funcionale ( cotabil financiar, aprovizionare, administraie, IT, auto, resurse
umane, tehnic)
-birourile de profil ale unitii (TV, radiodifuziune, radioreleu, translatori TV, antene TV
si RR, Departament Comunicatii Electronice).
Unitatea mai administraz:
-11 staii TV;
-6 staii radio;
-6 radiorelee;
150 translatori TV.

Capitolul 4

4.1 Principalele pericole si vulnerabilitati

Pricipalele pericole care amenin sistemul de securitate al societii sunt cele care
se datoreaz unor incidente aprute in sistem , factorilor naturali bazai pe hazard,
ameninarea sistemelor prin aciunea voit a omului.
Cel mai mare pericol cu privire la securitatea sistemului informaional l constituie
internetul. Acesta constiuie i principala vulnerabilitate n ceea ce privete securitea
informaiilor. Internetul poate constui o surs de atac pentru cei interesai s destabilizeze
sistemul informatic sau s afle diverse date cu privire la informaiile cu caracter secret din
companie. n aceast categorie se nscriu in general hackerii, phackerii, i alte categorii
de utilizatori ce dein cunostine avansate n ceea ce privete domeniul informatic. Alte
surse de pericol la care este expus compania const n atacurile venite din partea
publicului larg, a adolescenilor, in principal, care prin aceste spargerea sistemelor de
securitate ncearc s-i verifice aptitudinile i cunostinele informatice. Presa, care este
n continu cutare de tiri senzaionale, reprizent un alt element care poate pune n
pericol sistemul informaional al societii. Vulnerabilitatea sistemului se poate datora i
lipsei de pregtire a unor angajai n ceea ce privete utilizarea calculatorului i
confidenialitatea parolelor. Astfel n ciuda regulamentului de securitate exist angajai
care i scriu parolele de acces in sistemul intranet sau de mail pe hrtii ce sunt expuse
vederii celorlali sau n agende n loc s le memoreze. Destabilizarea sistemului
informatic se poate realiza prin virusarea prin e-mail a unui numr mare de calculatoare,
cu un virus nou, datorit faptului c programele antivirus folosite nu erau updatate cu
toate definiiile de noi virui. Acest lucru se datoreaz n principal imposibilitii firmelor
creatoare de programe antivirus de a-i actualiza produsele n acelai timp cu apariia
noilor semnturi de virui. Descrcarea neautorizat de pe internet, de ctre personalul
necalificat in domeniul informatic, a unor programe pe calculatoarele societii poate fi o
alt surs de infectare cu virui i automat de destabilizare a sistemului. Personalul
serviciului informatic care poate trata cu superficialitate anumite aplicaii, poate sa
constituie o alta surs de pericol n ceea ce privete securitatea informaiilor. Tot acesta
poate constituii un pericol cu privire la pstrarea anumitor informaii avnd caracter
secret sau poate constitui o eventual surs de atacuri. Vulnerabilitatea sistemului poate fi
provocat i de problemele de intreinere a echipamentelor care se pot defecta sau de
ntreruperea n timpul efecturii diferitelor aplicaii informatice a alimentrii cu energie
elctric. Pentru problemele legate de ntreinerea echipamentelor compania ns duce o
politic corespunzatoare bazat pe stocarea informaiilor pe diferite suporturi magnetice
externe. n ceea ce priveste pericolele naturale bazate pe hazard cum sunt inundaiile,
cutremurele, incendiile, alunecrile de teren etc. aceste pericole, dei existente, prezint
totui un grad de risc destul de sczut. Acest lucru se datoreaz n principal infrastructurii
cldirilor, n cazul cutremurelor, i sistemului de canalizare, n cazul inundaiilor. n cazul
incendiilor, dei acest pericol este prezent, iar riscurile producerii unei asemenea incident
nu pot fi estimate, totui datorit unui personal atent si bine pregtit exist o posibitate
destul de redus a producerii unui incendiu.
10

Cu privire la internet exist o oarecare reinere de folosire a serviciilor Web.

Iniial, internet-ul a fost proiectat pentru cercetare i nu pentru desfurarea unor
tranzacii comerciale importante. Cum orice msuri de securitate sunt relative, soluiile
practice in acest domeniu reprezint un compromis ntre vulnerabiliti i riscuri. Este
evident c exist unele vulnerabiliti, c unele sunt mai cunoscute i preferate de
atacatori i ca urmare soluiile de securitate si cheltuielile aferente trebuie focalizate ctre
acestea. Securitatea tranzaciilor web nu implic doar criptarea transmisiilor ntre client si
server. Foarte important este securitatea serverelor Web, domeniu n care se lucreaz n
continuare la dezvoltarea i implementarea unor serii de standarde. Securitatea propriuzis a www cuprinde cel puin 4 domenii :
Protecia criptografic a canalelor de comunicaie ;
Proiectarea unor extensii de securitate la standardele existente ;
Administrarea sigur i eficient a serverelor ;
Includerea n mediile Java a unor faciliti de securitate,
criptografice, puternice.

4.2 Averile informationale

Resurse informaionale publice

Informaii de pe pagina Web:

Documentaia de atribuire pentru procedura
de achiziie prin cerere de oferte de produse
pentru asigurare soluie complex integrat
de protecie atacuri informatice, software
maliios la nivel naional pentru reeaua
informatic a Societaii X.
Numrul de angajai:
Societatea dispune n prezent de peste 1800
de angajai.
Informaii de pres:
tiri despre Societatea X apar n reviste de
specialitate economice cum ar fi
Sptmna Financiar, Ziarul Financiar,
Revista Online Wall Street, site-ul
HotNews.ro i n publicaii care se
adreseaz publicului larg ex: Curierul
Naional.
Desfurarea activitii:
n sucursalele principale programul de
lucru se desfoar ntre orele 7:30-15:30.
La staiile Radio din teritoriu activitatea
este permanent.
Cifra de afaceri:
Societatea X are o cifr de afaceri la
sfritul anului 2008 de 297.240.768 RON,
iar profitul la sfritul anului 2008 a fost de
12.833.287 RON.

11

Resurse informaionale interne

Administrator-server
Atribuii : Schimb parola de administrare
cel puin o data la 60 de zile, nu va folosi
contul sau parola de administrare pentru
logarea prestaiei din motive de securitate.
Administratorul are obligaia s scaneze i
sa fac toate configurrile necesare pentru a
asigura necesitatea serverului. Periodic va
examina logurile sistemului pentru a decela
orice activiti ce pot indica intruziuni sau
activiti considerate ilegale. De asemenea
vor fi instalate toate update-urile de
securitate dup o prestare prealabil ntr-un
mediu controlat. Administratorul va face
actualizrile necesare pentru aplicaiile care
ruleaz pe server. Periodic va face copii de
rezerv ale fiierilor importante pe al doilea
server i sau pe DVD-uri, conform
procedurilor de backup. Administratorul are
sarcina adugrii sau dezactivrii unui cont
utilizator. El va fi n legtur direct cu
serviciul Resurse Umane, care va preciza
datele de angajare i eliberare din funcie
pentru salariaii din unitatea respectiv,
precum i perioada de absen.
Utilizatorul
Atribuii : Are dreptul s creeze foldere n
cont, s scrie fiiere sau grupuri de fiiere,
s citeasc fiiere sau grupuri de fiiere, s
stearg fiiere sau grupuri de fiiere sau
foldere din propriul cont. Utilizatorilor le
este interzis s modifice fiiere sau grupuri
de fiiere care nu le sunt adresate, s creeze
n contul utilizator foldere care s rmn
goale, s foloseasc serviciul FTP pentru
transferul fiierilor altele dect cele n
interes de serviciu, s foloseasc spaiul de
pe serverul FTP ca spaiu de arhivare a
fiierelor sau grupurilor de fiiere.
Regulamentul de ordine interioar
Acesta se adreseaz personalului care are
acces la echipamentele de calcul din
proprietatea societii X, utilizeaz aplicaii
standard i specifice aprobate, au acces la
servicii email si internet pe reeaua internet

12

Resurse informaionale confideniale

Resurse informaionale strict secrete

de date, dar i celorlali angajai ai unitii.

Salariile angajailor
n societatea X salariul mediu este de1424
RON.
Clieni-firm
Printre clinii societii X se numr :
beneficiarii de internet, studiourile
naionale de Radio i Televiziune,
Romtelecom.
Informaii referitoare la furnizori :
Furnizorii societii X sunt extrem de
numeroi cteva exemple ar fi : SC Comat
SA care se ocup cu materiale electrice,
feroase i neferoase, cu materiale de
construcii, S.C Interprima SRL care se
ocup cu unelte i scule din import, SC
Generals Systems SA care se ocup cu
piese de schimb electronice, aparatur
electronic.
Produsele firmei
Firma X presteaz urmtoarele servicii :
internet, unde electro-magnetice Radio i
TV.
Tehnologiile folosite :
Firma X foloseste echipamente : Marconii,
Harris, IT.
Momentul lansrii unor noi servicii pe piaa
telecomunicaiilor, cercetrile efectuate n
scopul punerii la punct a tehnologieie
necesare.

Cele mai importante probleme de securitate legate de administrarea unui server Web
sunt :

4.3 Interfata CGI

Este o interfa independent de limbaj ce permite realizatorilor de programe
www s genereze documente dinamice n aproape orice limbaj (C, C++, ASP, VB, Perl,
PHP etc.).
Problema este c acestea au posibilitatea de acces la variabilele de mediu.
Scopul CGI este furnizarea unui mecanism flexibil i convenabil pentru
extinderea funciilor unui server http peste limitele unor simple preluri i afiri de

13

fiiere. Pentru a putea fi folosite efectiv mecanismele CGI formularele HTML trebuie
inelese. Ele reprezint modul obinuit prin care se transmit datele spre CGI.
Dei are avantajul de a fi o interfa flexibil i puternic, CGI prezint
dezavantajul unor implicaii asupra securitii sistemului. Datorit uurinei de a realiza
scripturi CGI, programatorii le trateaza cu aceeai uurin ca pe nite programe
obinuite, neglijnd faptul c CGI este un server internet, fiind astfel expus la pericolele
inerente acestui tip de servere.
Programele CGI sunt scrise pentru a accepta date ntr-un anumit format, dar, spre
program, pot fi transmise date arbitrare, de lungime nelimitat. Aceasta nseamna c
aceste programe trebuie scrise robust, astfel nct s fie capabile sa refuze datele de
intrare atunci cnd acestea sunt ru intenionate sau bizare.
Posibilitatea de a fi adugate funcii la un server Web prin folosirea scripturilor
CGI complic foarte mult politica de securitate ce trebuie adoptat. Att timp ct un
script CGI poate aduga elemente la un server Web, pot fi introduse i noi probleme de
securitate. De exemplu un server Web poate fi configurat astfel inct s poat fi acceptate
numai fiierele stocate ntr-un anumit director, dar un utilizator poate instala neintenionat
un script CGI care permite intruilor s citeasca alte fiiere de pe calculator. Mai mult,
deoarece muli utilizatori nu au experiena de a scrie programe de securitate, este posibil
i probabil ca scripturile CGI locale, ce pot conine bug-uri, s permit unui intrus sa
execute comenzi arbitrare pe sistemul n cauz.

4.4 Plasarea scripturilor CGI

Majoritatea serverelor Web pot fi configurate astfel inct toate scripturile CGI s
fie restricionate la un singur folder. n aceast configuraie se face mai uor cutarea i
examinarea tuturor scripturilor CGI de pe sistem.
Pentru a asigura o mai bun securitate firma a impus respectarea urmtoarelor reguli :
Configurarea serverului Web s fie fcut astfel nct toate sripturile CGI s fie
plasate ntr-un singur director ;
Accesul la coninutul acestui director va fi limitat ;
Utilizatorii locali nu vor avea permisiunea de a instala, de a terge sau de a edita
scripturile existente ;
Pentru a impiedica spionarea , posibilitatea citirii scripturilor va fi eliminat;
Pentru monitorizarea schimbrilor neautorizate din aceste scripturi va fi folosit un
program special;
Nu se vor ine pe server fiierele de backup care sunt generate automat de editorul
folosit la editarea scripturilor deoarece pot fi executate de un intrus, cu rezultate
nedorite.

14

4.5 Confidentialitatea surselor CGI

Informaiile circul pe reea nti de la navigator la server, iar apoi serverul
transmite informaia unui progam CGI. Aceste informaii pot fi interceptate n timp ce
sunt transferate de la maina client la server. Citirea coninutului scriptului CGI de ctre
utilizatorii de reea este mpiedicat. Aceasta pentru a preveni analiza scripturilor n
vederea descoperirii deficienelor de securitate. Deoarece este foarte uor s se fac o
greeal scriind un program CGI, trebuie ca site-ul s pstreze confideniale sursele
programelor i a scripturilor CGI. Aceasta totui nu garanteaz securitatea pentru
scripturile cu bug-uri (greeli), un intrus ru intenionat, care sondeaz cu perseveren,
gasete deficienele sistemului. Cteodat munca implicat pentru asemenea spargere este
deosebit. Dar un intrus oarecare, dup ncercri repetate, renun orientndu-se ctre alte
sisteme, cel perseverent o va lua de la capt. ns n cazul n care atacatorul dispune de
surse, gsirea punctelor vulnerabile devine mult mai facila.
Pentru a proteja informaiile de interceptare, acestea sunt criptate la transmiterea
ntre client i server. Informaiile din formulare sunt criptate, nainte de a fi transmise
serverului, iar serverul rspunde tot cu informaii criptate.

4.6 Structura de foldere a serverului Web

Serverele Web sunt produse software complicate. Ele folosesc multe fiiere
distribuite n multe directoare. Coninutul unor foldere poate fi disponibil n reea, al
altora nu. Administratorul serverului este cel care stabilete coninutul cror foldere va
putea fi disponibil n reea, n funcie de natura i importana datelor.

4.7 Controlul accesului la fisierele de pe

server
Organizaiile sunt interesate n limitarea domeniului de informaii distribuite de
serverele lor. Aceasta deoarece un server Web este utilizat ntr-o organizaie pentru a
distribui att date interne, ct i date externe. Multe servere suport doua tehnici primare
pentru controlul accesului la fiiere i foldere :
Restricioneaza accesul la anumite adrese IP, subreele sau domenii DNS ;
Restricioneaza accesul la anumiii utilizatori, autentificai printr-o parola stocat
pe server ;
Restrictioneaza accesul doar la acei utilizatori care au chei publice semnate de o
autoritate de certificare pe serverele care sunt echipate cu softul necesar pentru
criptografia cu chei publice.
Necesitatea impunerii unor restricii este stabilit de Seful Serviciului Informatic
mpreun cu administratorul serverului Web.

15

4.8 Criptarea comunicaiilor dintre server

i clieni
Pentru ca informaiile transmise pe internet s fie sigure trebuie s fie criptate
pentru a fi protejate la interceptare. Modalitile prin care societatea poate cripta
informaiile sunt :
-criptarea legturii pentru a se asigura confidenialitatea pe liniile de comunicaie, se
cripteaz pachetele IP. Criptarea legaturii ofer confidenialitate ntregului trafic.
-criptarea documentelor documentele plasate pe serverul Web pot fi criptate cu un
sistem (ex. PGP-ul). Cu toate c aceast metod ofer o protecie bun, ea este greoaie,
fiindc cere ca documentele sa fie criptate anterior plasrii lor pe server i decriptate cnd
sunt recepionate.
-SSL (Secure Socket Layer). SSL este un sistem proiectat de Netscape Communications
care ofer cale TCP/IP criptat ntre dou hosturi de pe internet. SSL poate fi folosit
pentru criptarea oricrui protocol TCP/IP, cum ar fi HTTP, TELNET sau FTP. SSL poate
folosi o varietate de sisteme bazate pe chei publice pentru a schimba cheia de sesiune.
Odat o cheie de sesiune obinut, se poate folosi o varietate de algoritmi cu cheie
secret. De asemena, SSL a fost implementat i in alte browsere, ca de exemplu
Microsoft Internet Explorer i Opera. O iconi de browser indic faptul c se lucreaz n
mod cifrat. Cifrarea se bazeaz pe algoritmul cu chei publice RSA plus cifrul simetric
RC4.
Necesitatea folosirii criptrii i metoda de criptare este stabilit de eful Serviciului
Informatic, mpreun cu administratorul serverului Web.
Alte msuri luate cu privire la securitatea reelelor si a internetului sunt :
Limitare funcionalitii echipamentului astfel nct acesta s fie doar un sever
Web si eventual FTP dedicat. Aceasta va face foarte grea spargere serverului de
ctre un intrus. Dac totui acest lucru se petrece, se vor limita stricciunile pe
care intrusul le poate produce restului reelei.
Izolarea calculatorului de reea (ex. firewall, NAT, proxi server) pentru a reduce
posibilitatea unui atac.
tergerea conturilor care nu sunt necesare ;
tergerea compilatoarelor;
tergerea tuturor programelor utilitare care nu sunt utilizate n timpul ncrcrii
sistemului sau de ctre serverul Web.
Furnizarea a ct mai puine servicii de reea numai strictul necesar;
nchiderea tuturor porturilor i serviciilor nefolosite;
Oprirea serverului FTP atunci cnd nu este folosit.
Urmrirea pe internet a articolelor dedicate securitaii serverelor Web pentru a afla
despre descoperirea ultimelor bree de securitate.
Urmrirea pe internet cu privire la apariia ultimelor programe pentru remedierea
breelor de securitate, aplicndu-se ulterior serverului de Web ;

16

Scanarea periodic a serverului cu un scanner de reea i remedierea problemelor

semnalate de acesta ;
Toate patch-urile disponibile (support pack, service pack etc.) sunt instalate numai
dup testare.
Un alt pericol n ceea ce priveste protecia datelor l constituie posibilitatea pierderii
datelor coninute de fiiere sau posibilitate modificrii acestora.
n ceea ce privete protejarea fiierelor n fiecare unitate exist un sistem centralizat
pentru fiiere i back-up. Acestea trebuie s ofere o configuraie funcional pentru c n
societate sunt distribuite computere n mai multe locaii. Rezult necsitatea conceperii
unui mecanism clar pentru back-up automat pentru date critice.
Pentru a nu fi periclitat buna funcionare a activitilor critice din societate este
obligatorie desfurarea unei analize a scenariilor de cderi ale sistemului. Aceste cderi
se pot constitui n pierderi de date incomensurabil valoric. n urma acestei analize se
stabilete o strategie de salvare i restaurare a datelor critice.
Strategia va detalia responsabilitile pentru situaii concrete , va specifica fiierele
care trebuie salvate, perioada la care se face salvarea i perioada de timp pentru care
trebuie pstrate toate fiierele copiilor salvate precum i modul de restaurare a datelor.
Pentru a asigura o protecie ct mai eficient a datelor fiierelor. Acestea pot fi
arhivate, pot fi create copii de siguran i se pot realiza transferuri de date. Dispozitivele
de stocare a datelor pot fii : hard-disck-ul, floppy-disck-ul, unitile de band magnetic,
unitile CD-ROM, CD-RW, unitile magneto-optice.
Cu privire la serviciul intranet i de e-mail sunt luate mai mute msuri de securitate.

4.9 Contul de administrator

Administratorul are rolul de a gestiona userii sau aplicaiile de reea care ruleaz
pe server, precum i de a modifica drepturile de acces pe fiiere sau foldere.
Pentru o mai buna securitate administratorul serverului are obligaia de a schimba parola
de administrare cel puin o data la 60 de zile. Tot din motive de securitate administratorul
are obligaia de a nu folosi acest cont/ parol pentru logarea pe staii. Administratorul are
obligaia s scaneze toate configurrile necesare pentru a asigura securitatea serverului.
.Periodic acesta trebuie s examineze log-urile sistemului pentru a decela orice activiti
ce pot indica intruziuni, sau activiti ce sunt considerate ilegale. De asemenea se
intaleaz toate update-urile de securitate, dup o testare prealabila, ntr-un mediu
controlat.
Periodic administratorul are obligaia s fac copii de rezerv ale fiierelor
importante pe al doilea server sau pe CD-uri, conform procedurilor de back-up.

4.10 Gestionarea conturilor de utilizatori

17

Administratorul are sarcina adugrii sau dezactivrii unui cont utilizator. El va fi

n legatura direct cu serviciul Resurse umane, care va preciza datele de angajare i
eliberare din funcie pentru salariaii din unitatea respectiv, precum i perioadele de
absen. Din motive de securitate pentru utilizatorii obisnuii se prefer restricionarea
dreptului de logare n reea a utilizatorului pe staia care i-a fost asigurat.

4.11 Serverul de Intranet

La nivelul ntrgii firme este instalat un server de intranet, care conine paginile
site-ului intranet, i furnizeaz servicii ftp pentru ntreaga reea a firmei. Este principala
surs de informaii interne de uz general pentru toi salariaii societii i este accesibil
din orice punct al reelei WAN.
Din motive de securitate se fac periodic backup-uri ale coninutului site-ului astfel
nct operaia de refacere a acestuia n caz de defeciune se poate efectua in maxim 2 ore.

4.12 Serverul de mail

Societatea dispune de un server de mail. Serverul de mail este configurat astfel
nct mailurile interne s circule doar n WAN. Este admis transferul mesajelor interne de
mail pe conexiuni n internet doar n cazul n care conexiunile WAN sunt czute.
Pentru fiabilitatea sistemului de mail, unitatea folosete :
-alimentarea acestuia dintr-un UPS ;
-un calculator de rezerv preinstalat pentru situaia defectrii celui n funciune ;
-crearea de imagini (backup-uri) ori de cte ori se fac modificri importante n
cofigurarea lui sau n numrul utilizatorilor ;
-sunt verificate periodic log-urile pentru a semnala eventualele anomalii sau ncercri de
intruziuni.
n ceea privete msurile minime de securitate necesare a fi implementate pe
serverul de mail Linux. Acestea sunt :
-parol de root puternic, cu protejarea ei prin folosirea sistemelor de securizare shadow
si MD5 ;
-instalarea unui minim de daemon-uri, doar cele strict necesare ;
-pentru logarea curent unitatea folosete un utilizator obinuit, fiind evitat pe ct posibil
logarea ca root, pentru a limita posibilitatea erorilor sau rspndirea unui eventual virus.
-unitatea va folosi ultimele versiuni de kernel stabile, cu patch-uri la zi si va utiliza
drivere i patch-uri sigure, pentru a elimina posibilitatea infectrii cu virui.
Unitatea va utiliza n caz de necesitate programe de control de la distan ssh,
secure shell.
Cu privire la sistemul de parolare sunt luate urmtoarele msuri de securitate :
-parolele trebuie s aib o lungime de minim 6 caractere ;
-trebuie s fie o combinaie de litere mari i mici, cifre i caractere speciale ;

18

-s nu fie bazate pe cuvinte de dicionar ;

-s aib o durat maxim de via de 90 de zile.
Pentru autoidentificare utilizatorul va folosi un username i o parol.
n ceea ce privete utilizatorii acetia au obligaia s memoreze parolele, neavnd
voie s le scrie pe hrtii lipite la vedere sau n agende.
Dac exist dubiul ca o parol a fost compromis, aceasta va fi schimbat
instantaneu.

4.13 Descrierea unui incident

Acest incident a avut loc n decembrie 2004 atunci cand in urma deschiderii unui e-mail
ce coninea un mesaj de felicitare cu ocazia Crciunului reeua de calculatoare a fost
infectat cu un virus de tip cal troian. Iniial acest virus nu a fost identificat de sistemele
antivirus deoarece acest cal troian era ultima versiune iar antivirusul folosit nu era
actualizat i nu coninea definiia acestui nou virus. Antivirusul utilizat n acel moment
era Norton Antivirus 2004. Virusul nu a reuit s provoace foarte multe pagube datorit
sistemului de stocare a datelor pe suporturi magnetice i a crerii de copii de siguran
pentru informaiile considerate foarte importante. A reuit ns s provoace o anumit
stare de panic dup ce s-a constat tergerea automat a unor fiiere pe calculatoarele
infectate. Ca msuri de securitate au fost luate deconectarea calculatoarelor de la reeaua
societii urmat de analiza cauzelor care au putut provoca tergerea acelor fiiere. A
urmat, apoi, o reactulizare a antivirusului utilizat i n cele din urma descoperirea
virusului de tip cal troian i a e-mailului care a provocat infectarea calculatoarelor. Acest
virus putea provaca pierderi de date importante prin tergerea lor automat. Acest
incident a constituit un semnal de alarma in ceea ce privete insecuritatea sistemului n
faa unor atacuri ru intenionate menite s provoace pierderi de informaii prin blocarea
sistemului sau tergerea automat a datelor, precum i importana actualizrii continue a
antiviruilor dar i vulnerabilitatea acestor programme de protecie care nu pot anticipa n
nici o msur apariia noilor virui.

19