инф без. История развития средств и методов защиты информации
 Скачать 1.69 Mb.
|
|
Понятие, классификация и оценка угроз безопасности информации Одним из основных аспектов проблемы обеспечения безопасности АС является определение, анализ и классификация возможных угроз конкретной АС. Перечень наиболее значимых угроз, оценка их вероятности и модель злоумышленника являются базовой информацией для построения оптимальной системы защиты. Угроза безопасности информации – совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации. Источник угрозы безопасности информации - субъект, являющийся непосредственной причиной возникновения угрозы безопасности информации. Основными источниками нарушения безопасности в АС являются: аварии и стихийные бедствия (пожар, землетрясение, ураган, наводнение и т.п.); сбои и отказы технических средств; ошибки проектирования и разработки компонентов АС (программных средств, технологий обработки данных, аппаратных средств и др.); ошибки эксплуатации; преднамеренные действия нарушителей. Существует много критериев классификации угроз. Наиболее распространенные из них: По природе возникновения: естественные и искусственные; Естественные угрозы - это угрозы, вызванные воздействиями на АС и ее элементы объективных физических процессов или стихийных природных явлений, независящих от человека. Искусственные угрозы - это угрозы АС, вызванные деятельностью человека. По степени мотивации: непреднамеренные (случайные) и преднамеренные. Первые связаны с разного рода ошибками – в проектировании АС, в программном обеспечении, ошибки персонала при работе с АС и т.п. Вторая группа связана с корыстными, идейными и другими целями людей, в данном случае, злоумышленников. Поводом может быть получение материальной выгоды, месть, моральные убеждения и пр. К основным случайным угрозам можно отнести следующее: неумышленные действия, приводящие к нарушению нормального функционирования системы, либо ее полной остановке. В эту категорию также относится повреждение аппаратных, программных, информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение файлов с важной информацией или программ, в том числе системных и т.п.); неумышленное отключение оборудования; неумышленная порча носителей информации; использование программного обеспечения, способного при неверном использовании привести к нарушению работоспособности системы (зависанию) или к необратимым изменениям в системе (удаление файлов, форматирование и т.п.); использование программ, которые не нужны для выполнения должностных обязанностей. К ним могут быть отнесены игровые, обучающие и др. программы, использование которых может привести к неумеренному расходу ресурсов системы, в частности, оперативной памяти и процессора; непреднамеренное заражение компьютера вирусами; неосторожные действия, влекущие за собой разглашение конфиденциальной информации; ввод ошибочных данных; утрата, передача кому-то или разглашение идентификаторов, к которым относятся пароли, ключи шифрования, пропуски, идентификационные карточки; построение системы, технологии обработки данных, создание программ с уязвимостями; несоблюдение политики безопасности или других установленных правил работы с системой; отключение или некорректное использование средств защиты персоналом; пересылка данных по ошибочному адресу абонента (устройства). К основным преднамеренным угрозам можно отнести следующее: физическое воздействие на систему или отдельные ее компоненты (устройства, носители, люди), приводящее к выходу из строя, разрушению, нарушению нормального функционирования; отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и т.п.); действия по нарушению нормальной работы системы (изменение режимов работы устройств или программ, создание активных радиопомех на частотах работы устройств системы и т.п.); подкуп, шантаж и другие пути воздействия на персонал или отдельных пользователей, имеющих определенные полномочия; применение подслушивающих устройств, дистанционная фото- и видео-съемка и т.п.; перехват ПЭМИН; перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему; хищение носителей информации (магнитных дисков, лент, микросхем памяти, запоминающих устройств и целых ПЭВМ); несанкционированное копирование носителей информации; хищение производственных отходов (распечаток, записей, списанных носителей информации и т.п.); чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств; чтение информации из областей оперативной памяти, используемых операционной системой (в том числе подсистемой защиты) или другими пользователями, в асинхронном режиме используя недостатки мультизадачных операционных систем и систем программирования; незаконное получение паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, путем имитации интерфейса системы и т.д.) с последующей маскировкой под зарегистрированного пользователя ("маскарад"); несанкционированное использование терминалов пользователей, имеющих уникальные физические характеристики, такие как номер рабочей станции в сети, физический адрес, адрес в системе связи, аппаратный блок кодирования и т.п.; вскрытие шифров криптозащиты информации; внедрение аппаратных "спецвложений", программных "закладок" и "вирусов" ("троянских коней" и "жучков"), то есть таких участков программ, которые не нужны для осуществления заявленных функций, но позволяющих преодолевать систему зашиты, скрытно и незаконно осуществлять доступ к системным ресурсам с целью регистрации и передачи критической информации или дезорганизации функционирования системы; незаконное подключение к линиям связи с целью работы "между строк", с использованием пауз в действиях законного пользователя от его имени с последующим вводом ложных сообщений или модификацией передаваемых сообщений; незаконное подключение к линиям связи с целью прямой подмены законного пользователя путем его физического отключения после входа в систему и успешной аутентификации с последующим вводом дезинформации и навязыванием ложных сообщений. По положению относительно контролируемой зоны: внутренние и внешние угрозы. В качестве примера внешних угроз может быть перехват данных , передаваемых по сети или утечка через ПЭМИН. К внутренним угрозам можно отнести хищение носителей с конфиденциальной информацией, порчу оборудования, применение различного рода закладок. По степени воздействия на АС: пассивные и активные. Пассивные угрозы – угрозы, не нарушающие состав и нормальную работу АС. Пример – копирование конфиденциальной информации, утечка через технические каналы утечки, подслушивание и т.п. Активная угроза, соответственно, нарушает нормальное функционирование АС, ее структуру или состав. По виду нарушаемого свойства информации - конфиденциальности, доступности, целостности. К угрозам доступности можно отнести как искусственные, например, повреждение оборудования из-за грозы или короткого замыкания, так и естественные угрозы. В настоящее время широко распространены сетевые атаки на доступность информации – DDOS-атаки, которые мы рассмотрим в ходе данного курса более подробно. В последнее время в специальной литературе всё чаще говорится о динамической и статической целостностях. К угрозам статической целостности относится незаконное изменение информации, подделка информации, а также отказ от авторства. Угрозами динамической целостности является нарушение атомарности транзакций, внедрение нелегальных пакетов в информационный поток и т.д. Также важно отметить, что не только данные являются потенциально уязвимыми к нарушению целостности, но и программная среда. Заражение системы вирусом может стать примером реализации угрозы целостности. К угрозам конфиденциальности можно отнести любые угрозы, связанные с незаконным доступом к информации, например, перехват передаваемых по сети данных с помощью специальной программы или неправомерный доступ с использованием подобранного пароля. Сюда можно отнести и "нетехнический" вид угрозы, так называемый, "маскарад" - выполнение действий под видом лица, обладающего полномочиями для доступа к данным. По типу системы, на которую направлена угроза: системы на базе автономного рабочего места и система, имеющая подключение к сети общего пользования. По способу реализации: несанкционированный доступ (в том числе случайный) к защищаемой информации, специальное воздействие на информацию, утечка информации через технические каналы утечки. Опасность угрозы определяется риском в случае ее успешной реализации. Риск – потенциально возможный ущерб. Анализ рисков – процесс определения угроз, уязвимостей, возможного ущерба, а также контромер. Допустимость риска означает, что ущерб в случае реализации угрозы не приведет к серьезным негативным последствиям для владельца информации. Ущерб подразделяется на опосредованный и непосредственный. Непосредственный связан с причинением материального, морального, финансового, физического вреда владельцу информации. Опосредованный (косвенный) ущерб связан с причинением вреда государству или обществу, но не владельцу информации. Существуют различные методы оценки риска, образующие два взаимодополняющих друг друга вида – количественный и качественный. Целью количественной оценки риска является получение числовых значений потенциального ущерба для каждой конкретной угрозы и для совокупности угроз на защищаемом объекте, а также выгоды от применения средств защиты. Основным недостатком данного подхода является невозможность получения конкретных значений в некоторых случаях. Например, если в результате реализации угрозы наносится ущерб имиджу организации, непонятно, как количественно оценить подобный ущерб. Качественная оценка рисков оперирует не численными значениями, а качественными характеристиками угроз. Как правило, анализ рисков выполняется путем заполнения опросных листов и проведения совместных обсуждений с участием представителей различных групп организации, таких как эксперты по информационной безопасности, менеджеры и сотрудники ИТ-подразделений, владельцы и пользователи бизнес-активов. При количественной оценке рисков необходимо определить слудеющие характеристики и факторы: Стоимость активов. Для каждого актива организации, подлежащего защите, вычисляется его денежная стоимость. Активами считается все, что представляет ценность для организации, включая как материальные активы (например, физическую инфраструктуру), так и нематериальные (например, репутацию организации и цифровую информацию). Часто именно стоимость актива используется для того, чтобы определить меры безопасности для конкретного актива. Для назначения стоимости конкретному активу необходимо определить следующее: общая стоимость актива для организации. Например, веб-сервер, обрабатывающий заказы покупателей в Интернет-магазине. Пусть он при работе круглый год и круглосуточно приносит в среднем 2000 рублей в час, тогда в год - 17 520 000 рублей. ущерб в случае потери актива (в частности, выхода из строя). Допустим, рассматриваемый выше веб-сервер вышел из строя на 7 часов. При расчете делается допущение, что каждый час он приносит одинаковую прибыль, тогда за 7 часов простоя (например, в случае успешной DoS-атаки) убыток составит 7000 рублей. косвенный ущерб в случае потери актива. В описанном выше случае компания, которая владеет Интернет-магазином, может потерпеть убытки в результате негативного отношения покупателей к выходу из строя веб-сервера. Естественно, расчет косвенных убытков является наиболее трудной задачей и почти никогда не бывает точным. Допустим, чтобы восстановить репутацию, компания должна потратить 100 000 на рекламу Интернет-магазина и ожидает, что годовой объем продаж упадет на 0.5 процентов, то есть на 87 600 рублей. Сложив две полученные величины, получим косвенный ущерб в виде 187 600 рублей. Ожидаемый разовый ущерб – ущерб, полученный в результате разовой реализации одной угрозы. Другими словами, это денежная величина, сопоставленная одиночному событию и характеризующая потенциальный ущерб, который понесет компания, если конкретная угроза сможет использовать уязвимость. Вычисляется умножением стоимости актива на величину фактора подверженности воздействию. Последний выражает в процентах величину ущерба от реализации угрозы конкретному активу. Кажется сложным, но на примере всё более понятно. Допустим, стоимость актива 35 000 рублей и в результате пожара ущерб составит 25% от его стоимости, соответственно, ожидаемый разовый ущерб будет равен 8750рублей. Ежегодная частота возникновения (по-простому вероятность) – ожидаемое число проявления угрозы в течение года. Понятно, что величина может меняться от 0 до 100 процентов и не может быть определена точно. В идеальном случае определяется на основе статистики. Общий годовой ущерб – величина, характеризующая общие потенциальные потери организации в течение одного года. Это произведение ежегодной величины возникновения на ожидаемый разовый ущерб от реализации угрозы. Например, вероятность пожара статистически равна 0,1, тогда ущерб будет 0.1*8750 рублей=875 рублей. После расчета этого показателя организация может принять меры по уменьшению риска, то есть если речь идет о безопасности, использовать средства защиты информации. В частности от пожара можно применить резервное копирование информации и тогда потери в случае сгорания компьютера будут исчисляться только стоимостью оборудования. Результатом проведения количественного анализа является: перечень активов (ресурсов) организации, подлежащих защите; перечень существующих угроз; вероятность успешной реализации угроз; потенциальный ущерб для организации от реализации угроз в годовой период. Понятно, что рассмотренные выше показатели рассчитываются преимущественно на основе субъективных мнений экспертов в области безопасности, руководства организации или других лиц, выполняющих оценку, следовательно, несмотря на кажущуюся точность данного подхода он не менее "расплывчат", чем качественный анализ рисков. Качественная оценка рисков оперирует не численными значениями, а качественными характеристиками угроз. Как правило, анализ рисков выполняется путем заполнения опросных листов и проведения совместных обсуждений с участием представителей различных групп организации, таких как эксперты по информационной безопасности, менеджеры и сотрудники ИТ-подразделений, владельцы и пользователи бизнес-активов. В общем случае риск от реализации угрозы определяется на основании следующих качественных оценок: вероятности реализации угрозы; величины ущерба в случае реализации угрозы. Каждой угрозе присваивается ранг, отображающий вероятность ее возникновения. Можно использовать трехбалльную шкалу (низкая=1, средняя=2, высокая=3 вероятность). Основными факторами при оценке вероятности являются: расположение источника угрозы; мотивация источника угрозы (если угроза не случайная); предположения о квалификации и (или) ресурсах источника угрозы; статистические данные о частоте реализации угрозы ее источником в прошлом; информация о способах реализации угроз ИБ; информация о сложности обнаружения реализации угрозы рассматриваемым источником; наличие контрмер. Если для оценки угрозы привлекаются несколько экспертов и их оценки различаются, рекомендуется в качестве итоговой брать наибольшую оценку вероятности реализации угрозы. Для маленьких организаций целесообразней использовать качественный подход, для больших – количественный. Оценка риска производится для какого-то заданного промежутка времени, что обусловлено динамичностью современных информационных систем. Рассматриваемый период должен быть достаточно велик для учета наиболее распространенных угроз и в то же время не превышать величину, по истечению которой система так меняется, что оценка теряет какой-либо смысл. Обычно интервал составляет 1-5 лет. Источники и способы реализации угроз безопасности информации. Уязвимости систем обработки информации Угроза безопасности информации – совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации. Источником угрозы безопасности информации называют субъект (физическое лицо, материальный объект или физическое явление), являющийся непосредственной причиной возникновения угрозы безопасности информации. Источники угроз безопасности информации делятся на два класса: объектные и субъективные источники угроз. Объективные источники угроз описаны в Таблице 3. Таблица 3. Объективные источники угроз безопасности
Субъективные источники угроз также делятся на внешние и внутренние. (Таблица 4) |