описание мотивации угроз фстэк. Федеральная служба по техническому и экспортному контролю (фстэк россии)
 Скачать 0.57 Mb.
|
|
а) типы нарушителей Типы нарушителей определяются по результатам анализа прав доступа субъектов к информации и (или) к компонентам информационной системы, а также анализа возможностей нарушителей по доступу к компонентам информа- ционной системы исходя из структурно-функциональных характеристик и осо- бенностей функционирования информационной системы. В зависимости от имеющихся прав доступа нарушители могут иметь леги- тимный физический (непосредственный) и (или) логический доступ к компонен- там информационной системы и (или) содержащейся в них информации или не иметь такого доступа. Анализ прав доступа проводится, как минимум, в отношении следующих компонент информационной системы: устройств ввода/вывода (отображения) информации; беспроводных устройств; программных, программно-технических и технических средств обработки информации; съемных машинных носителей информации; машинных носителей информации, выведенных из эксплуатации; активного (коммутационного) и пассивного оборудования каналов связи; каналов связи, выходящих за пределы контролируемой зоны. С учетом наличия прав доступа и возможностей по доступу к информации и (или) к компонентам информационной системы нарушители подразделяются на два типа: 11 внешние нарушители (тип I) – лица, не имеющие права доступа к инфор- мационной системе, ее отдельным компонентам и реализующие угрозы безопас- ности информации из-за границ информационной системы; внутренние нарушители (тип II) – лица, имеющие право постоянного или разового доступа к информационной системе, ее отдельным компонентам. Наибольшими возможностями по реализации угроз безопасности обладают внутренние нарушители. При оценке возможностей внутренних нарушителей необходимо учитывать принимаемые оператором организационные меры по до- пуску субъектов к работе в информационной системе. Возможности внутреннего нарушителя существенным образом зависят от установленного порядка допуска физических лиц к информационной системе и ее компонентам, а также мер по контролю за доступом и работой этих лиц. Внешнего нарушителя необходимо рассматривать в качестве актуального во всех случаях, когда имеются подключения информационной системы к внеш- ним информационно-телекоммуникационным сетям и (или) имеются линии свя- зи, выходящие за пределы контролируемой зоны, используемые для иных под- ключений. б) виды и потенциал нарушителей Угрозы безопасности информации в информационной системе могут быть реализованы следующими видами нарушителей: специальные службы иностранных государств (блоков государств); террористические, экстремистские группировки; преступные группы (криминальные структуры); внешние субъекты (физические лица); конкурирующие организации; разработчики, производители, поставщики программных, технических и программно-технических средств; лица, привлекаемые для установки, наладки, монтажа, пусконаладочных и иных видов работ; лица, обеспечивающие функционирование информационных систем или обслуживающие инфраструктуру оператора (администрация, охрана, уборщики и т.д.); пользователи информационной системы; администраторы информационной системы и администраторы безопасно- сти; бывшие работники (пользователи). Виды нарушителей, характерных для информационной системы с задан- ными структурно-функциональными характеристиками и особенностями функ- ционирования, определяются на основе предположений (прогноза) о возможных целях (мотивации) при реализации угроз безопасности информации этими нару- шителями. В качестве возможных целей (мотивации) реализации нарушителями угроз безопасности информации в информационной системе могут быть: 12 нанесение ущерба государству, отдельным его сферам деятельности или секторам экономики; реализация угроз безопасности информации по идеологическим или поли- тическим мотивам; организация террористического акта; причинение имущественного ущерба путем мошенничества или иным пре- ступным путем; дискредитация или дестабилизация деятельности органов государственной власти, организаций; получение конкурентных преимуществ; внедрение дополнительных функциональных возможностей в программное обеспечение или программно-технические средства на этапе разработки; любопытство или желание самореализации; выявление уязвимостей с целью их дальнейшей продажи и получения фи- нансовой выгоды; реализация угроз безопасности информации из мести; реализация угроз безопасности информации непреднамеренно из-за не- осторожности или неквалифицированных действий. Предположения о целях (мотивации) нарушителей делаются с учетом це- лей и задач информационной системы, вида обрабатываемой информации, а также с учетом результатов оценки степени возможных последствий (ущерба) от нарушения конфиденциальности, целостности или доступности информации. Виды нарушителя и их возможные цели (мотивация) реализации угроз безопас- ности информации приведены в таблице 1. Таблица 1 № вида Виды нарушителя Типы нарушителя Возможные цели (мотивация) реализации угроз безопасности информации 1 Специальные службы иностранных государств (блоков государств) Внешний, внутренний Нанесение ущерба государству, отдельным его сферам деятель- ности или секторам экономики. Дискредитация или дестабили- зация деятельности органов государственной власти, орга- низаций 2 Террористические, экс- тремистские группиров- ки Внешний Нанесение ущерба государству, отдельным его сферам деятель- ности или секторам экономики. Совершение террористических актов. Идеологические или политиче- ские мотивы. Дестабилизация деятельности органов государственной вла- 13 сти, организаций 3 Преступные группы (криминальные структу- ры) Внешний Причинение имущественного ущерба путем мошенничества или иным преступным путем. Выявление уязвимостей с це- лью их дальнейшей продажи и получения финансовой выгоды 4 Внешние субъекты (фи- зические лица) Внешний Идеологические или политиче- ские мотивы. Причинение имущественного ущерба путем мошенничества или иным преступным путем. Любопытство или желание са- мореализации (подтверждение статуса). Выявление уязвимостей с це- лью их дальнейшей продажи и получения финансовой выгоды 5 Конкурирующие орга- низации Внешний Получение конкурентных пре- имуществ. Причинение имущественного ущерба путем обмана или зло- употребления доверием 6 Разработчики, произво- дители, поставщики про- граммных, технических и программно-технических средств Внешний Внедрение дополнительных функциональных возможностей в программное обеспечение или программно-технические сред- ства на этапе разработки. Причинение имущественного ущерба путем обмана или зло- употребления доверием. Непреднамеренные, неосто- рожные или неквалифициро- ванные действия 7 Лица, привлекаемые для установки, наладки, мон- тажа, пусконаладочных и иных видов работ Внутренний Причинение имущественного ущерба путем обмана или зло- употребления доверием. Непреднамеренные, неосто- рожные или неквалифициро- ванные действия 8 Лица, обеспечивающие функционирование ин- формационных систем или обслуживающие ин- фраструктуру оператора Внутренний Причинение имущественного ущерба путем обмана или зло- употребления доверием. Непреднамеренные, неосто- рожные или неквалифициро- 14 (администрация, охрана, уборщики и т.д.) ванные действия 9 Пользователи информа- ционной системы Внутренний Причинение имущественного ущерба путем мошенничества или иным преступным путем. Любопытство или желание са- мореализации (подтверждение статуса). Месть за ранее совершенные действия. Непреднамеренные, неосто- рожные или неквалифициро- ванные действия 10 Администраторы ин- формационной системы и администраторы без- опасности Внутренний Причинение имущественного ущерба путем мошенничества или иным преступным путем. Любопытство или желание са- мореализации (подтверждение статуса). Месть за ранее совершенные действия. Выявление уязвимостей с це- лью их дальнейшей продажи и получения финансовой выгоды. Непреднамеренные, неосто- рожные или неквалифициро- ванные действия 11 Бывшие работники (пользователи) Внешний Причинение имущественного ущерба путем мошенничества или иным преступным путем. Месть за ранее совершенные действия При оценке возможностей нарушителей необходимо исходить из условий, что для повышения своих возможностей нарушители 1 вида могут вступать в сговор с нарушителями 3, 4, 6, 7, 8, 9 и 10 видов. Нарушители 2 вида могут всту- пать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. Нарушители 3 вида могут вступать в сговор с нарушителями 4, 7, 8, 9 и 10 видов. В случае принятия таких предположений цели (мотивация) и возможности нарушителей подлежат объ- единению. Возможности каждого вида нарушителя по реализации угроз безопасности информации характеризуются его потенциалом. Потенциал нарушителя опреде- ляется компетентностью, ресурсами и мотивацией, требуемыми для реализации угроз безопасности информации в информационной системе с заданными струк- 15 турно-функциональными характеристиками и особенностями функционирова- ния. В зависимости от потенциала, требуемого для реализации угроз безопас- ности информации, нарушители подразделяются на: нарушителей, обладающих базовым (низким) потенциалом нападения при реализации угроз безопасности информации в информационной системе; нарушителей, обладающих базовым повышенным (средним) потенциалом нападения при реализации угроз безопасности информации в информационной системе; нарушителей, обладающих высоким потенциалом нападения при реализа- ции угроз безопасности информации в информационной системе. Потенциал нарушителей и их возможности приведены в таблице 2. Таблица 2 № Потенциал нарушителей Виды нарушителей Возможности по реализации угроз без- опасности информации 1 Нарушители с базовым (низ- ким) потенци- алом Внешние субъ- екты (физические лица), лица, обеспечи- вающие функци- онирование ин- формационных систем или об- служивающих инфраструктуру оператора, пользователи информационной системы, бывшие работ- ники, лица, привлека- емые для уста- новки, наладки, монтажа, пуско- наладочных и иных работ Имеют возможность получить инфор- мацию об уязвимостях отдельных ком- понент информационной системы, опубликованную в общедоступных ис- точниках. Имеют возможность получить инфор- мацию о методах и средствах реализа- ции угроз безопасности информации (компьютерных атак), опубликованных в общедоступных источниках, и (или) самостоятельно осуществляет создание методов и средств реализации атак и реализацию атак на информационную систему 2 Нарушители с базовым по- вышенным (средним) по- тенциалом Террористиче- ские, экстремист- ские группиров- ки, преступные группы (крими- нальные структу- Обладают всеми возможностями нарушителей с базовым потенциалом. Имеют осведомленность о мерах за- щиты информации, применяемых в ин- формационной системе данного типа. Имеют возможность получить инфор- мацию об уязвимостях отдельных ком- 16 ры), конкурирующие организации, разработчики, производители, поставщики про- граммных, техни- ческих и про- граммно- технических средств, администраторы информационной системы и адми- нистраторы без- опасности понент информационной системы пу- тем проведения, с использованием имеющихся в свободном доступе про- граммных средств, анализа кода при- кладного программного обеспечения и отдельных программных компонент общесистемного программного обеспе- чения. Имеют доступ к сведениям о струк- турно-функциональных характеристи- ках и особенностях функционирования информационной системы 3 Нарушители с высоким по- тенциалом Специальные службы ино- странных госу- дарств (блоков государств) Обладают всеми возможностями нарушителей с базовым и базовым по- вышенным потенциалами. Имеют возможность осуществлять не- санкционированный доступ из выде- ленных (ведомственных, корпоратив- ных) сетей связи, к которым возможен физический доступ (незащищенных ор- ганизационными мерами). Имеют возможность получить доступ к программному обеспечению чипсетов (микропрограммам), системному и при- кладному программному обеспечению, телекоммуникационному оборудова- нию и другим программно-техническим средствам информационной системы для преднамеренного внесения в них уязвимостей или программных закла- док. Имеют хорошую осведомленность о мерах защиты информации, применяе- мых в информационной системе, об ал- горитмах, аппаратных и программных средствах, используемых в информаци- онной системе. Имеют возможность получить инфор- мацию об уязвимостях путем проведе- ния специальных исследований (в том числе с привлечением специализиро- 17 ванных научных организаций) и приме- нения специально разработанных средств для анализа программного обеспечения. Имеют возможность создания методов и средств реализации угроз безопасно- сти информации с привлечением специ- ализированных научных организаций и реализации угроз с применением специ- ально разработанных средств, в том числе обеспечивающих скрытное про- никновение в информационную систе- му и воздействие на нее. Имеют возможность создания и при- менения специальных технических средств для добывания информации (воздействия на информацию или тех- нические средства), распространяю- щейся в виде физических полей или яв- лений в) возможные способы реализации угроз безопасности информации Целью определения возможных способов реализации угроз безопасности информации является формирование предположений о возможных сценариях реализации угроз безопасности информации, описывающих последовательность (алгоритмы) действий отдельных видов нарушителей или групп нарушителей и применяемые ими методы и средства для реализации угроз безопасности инфор- мации. Возможные способы реализации угроз безопасности информации зависят от структурно-функциональных характеристик и особенностей функционирова- ния информационной системы. Угрозы безопасности информации могут быть реализованы нарушителями за счет: несанкционированного доступа и (или) воздействия на объекты на аппа- ратном уровне (программы (микропрограммы), «прошитые» в аппаратных ком- понентах (чипсетах)); несанкционированного доступа и (или) воздействия на объекты на обще- системном уровне (базовые системы ввода-вывода, гипервизоры, операционные системы); несанкционированного доступа и (или) воздействия на объекты на при- кладном уровне (системы управления базами данных, браузеры, web- приложения, иные прикладные программы общего и специального назначения); несанкционированного доступа и (или) воздействия на объекты на сетевом уровне (сетевое оборудование, сетевые приложения, сервисы); 18 несанкционированного физического доступа и (или) воздействия на линии, (каналы) связи, технические средства, машинные носители информации; воздействия на пользователей, администраторов безопасности, админи- страторов информационной системы или обслуживающий персонал (социальная инженерия). Действия нарушителя в зависимости от его потенциала при реализации угроз безопасности информации предусматривают идентификацию и использо- вание уязвимостей в микропрограммном, общесистемном и прикладном про- граммном обеспечении, сетевом оборудовании, применяемых в информацион- ной системе, а также в организации работ по защите информации и конфигура- ции информационной системы. При определении способа реализации угроз безопасности информации необходимо учитывать то, что угрозы безопасности информации могут быть ре- ализованы непосредственно за счет доступа к компонентам информационной си- стемы и (или) информации или опосредовано (косвенно) за счет создания усло- вий и (или) средств, обеспечивающих такой доступ, а также за счет доступа или воздействия на обслуживающую инфраструктуру, за которую оператор не отве- чает. При этом локальной целью нарушителя, не имеющего доступа (прав досту- па) к компонентам информационной системы и (или) информации, как правило, является получение доступа к информационной системе (в том числе через внешние сети связи общего пользования) и получение максимально возможных прав и привилегий при таком доступе. Нарушители могут совершать действия, следствием которых является нарушение безопасности информации, преднамеренно (преднамеренные грозы безопасности информации) или случайно (непреднамеренные грозы безопасно- сти информации). Преднамеренные действия нарушителей могут заключаться в реализации целенаправленных или нецеленаправленных угроз безопасности информации. Целенаправленная угроза безопасности информации направлена на инте- ресующую нарушителя информационную систему с заранее известными ему структурно-функциональными характеристиками и особенностями функциони- рования. Целенаправленная угроза безопасности информации адаптирована к структурно-функциональным характеристикам информационной системы. При подготовке и реализации целенаправленных угроз безопасности информации нарушитель может использовать методы социальной инженерии, которые позво- ляют ему изучить поведение пользователей и их реакцию на поступающие к ним внешние данные. Нецеленаправленная («веерная») угроза безопасности информации не ори- ентирована на конкретную информационную систему. Целями такой угрозы мо- гут являться несанкционированный доступ, перехват управления или воздей- ствие на как можно большее количество информационных систем. В данном случае нарушителю заранее не известны структурно-функциональные характе- ристики и условия функционирования информационной системы. Реализация преднамеренных угроз безопасности информации, как прави- ло, включает: 19 сбор информации об информационной системе, ее структурно- функциональных характеристиках, условиях функционирования; выбор (разработка, приобретение) методов и средств, используемых для реализации угроз безопасности информации в информационной системе с задан- ными структурно-функциональными характеристиками и условиями функцио- нирования; непосредственная реализация угроз безопасности информации в информа- ционной системе (проникновение в информационную систему, закрепление в информационной системе, реализация неправомерных действий); устранение признаков и следов неправомерных действий в информацион- ной системе. В зависимости от целей и потенциала нарушителя на каждом из этапов мо- гут эксплуатироваться одна или несколько уязвимостей информационной систе- мы. При определении возможных способов реализации угроз безопасности информации необходимо исходить из следующих условий: нарушитель может действовать один или в составе группы нарушителей; в отношении информационной системы внешний нарушитель может дей- ствовать совместно с внутренним нарушителем; угрозы могут быть реализованы в любое время и в любой точке информа- ционной системы (на любом узле или хосте); для достижения своей цели нарушитель выбирает наиболее слабое звено информационной системы. Возможные способы реализации угроз безопасности информации, опреде- ленные на основе настоящего раздела, включаются в модель угроз безопасности информации. 20 4. ОПРЕДЕЛЕНИЕ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ Угроза безопасности информации является актуальной (УБИ j А ), если для информационной системы с заданными структурно-функциональными характе- ристиками и особенностями функционирования существует вероятность реали- зации рассматриваемой угрозы нарушителем с соответствующим потенциалом и ее реализация приведет к неприемлемым негативным последствиям (ущербу) от нарушения конфиденциальности, целостности или доступности информации. В качестве показателя актуальности угрозы безопасности информации (УБИ j А ) принимается двухкомпонентный вектор, первый компонент которого характеризует вероятность реализации угрозы (Р j ), а второй – степень возможно- го ущерба в случае ее реализации (Х j ) УБИ j А = [вероятность реализации угрозы (Р j ); степень ущерба (Х j )], где Р j определятся на основе анализа статистических данных о частоте ре- ализации угроз безопасности информации (возникновении инцидентов безопас- ности) в информационной системе и (или) однотипных информационных систе- мах, а Х j определяется на основе оценок степени последствий от нарушения конфиденциальности, целостности или доступности информации. При отсутствии статистических данных о реализации угроз безопасности информации (возникновении инцидентов безопасности) в информационной си- стеме и (или) однотипных информационных системах, актуальность угрозы без- опасности информации определяется на основе оценки возможности реализации угрозы безопасности информации (Y j ) УБИ j А = [возможность реализации угрозы (Y j ); степень ущерба (Х j )], где Y j определятся на основе оценки уровня защищенности информацион- ной системы и потенциала нарушителя, требуемого для реализации угрозы без- опасности. Х j также определяется на основе оценок степени последствий от нарушения конфиденциальности, целостности или доступности информации. Актуальность угроз безопасности информации определяется в отношении угроз, для которых экспертным методом определено, что: возможности (потенциал) нарушителя достаточны для реализации угрозы безопасности информации; в информационной системе могут иметься потенциальные уязвимости, ко- торые могут быть использованы при реализации j-ой угрозы безопасности ин- формации; структурно-функциональные характеристики и особенности функциони- рования информационной системы не исключают возможности применения спо- собов, необходимых для реализации j-ой угрозы безопасности информации (су- ществует сценарий реализации угрозы безопасности); 21 реализация угрозы безопасности информации приведет к нарушению кон- фиденциальности, целостности или доступности информации, в результате ко- торого возможно возникновение неприемлемых негативных последствий (ущер- ба). В качестве исходных данных об угрозах безопасности информации и их характеристиках используется банк данных угроз безопасности информации, сформированный и поддерживаемый ФСТЭК России, а также базовые и типовые модели угроз безопасности информации, разрабатываемые ФСТЭК России для различных классов и типов информационных систем. Для определения угроз безопасности информации могут использоваться иные источники, в том числе опубликованные в общедоступных источниках данные об уязвимостях, компьютерных атаках, вредоносном программном обеспечении, а также результаты специально проведенных исследований по вы- явлению угроз безопасности информации. В этом случае потенциал нарушителя, возможные уязвимости, способы реализации угрозы безопасности информации и последствия от ее реализации определяются для каждой угрозы безопасности информации. |