угрозы. Модели угроз безопасности информации и модели нарушителяв Министерстве чрезвычайных ситуаций Республики Крым и его
 Скачать 197.82 Kb.
|
|
Министерство чрезвычайных ситуаций Республики Крым УТВЕРЖДАЮ Министр чрезвычайных ситуаций Республики Крым ___________________С. ШАХОВ «__» ____________ 2017 г. Модели угроз безопасности информации и модели нарушителя в Министерстве чрезвычайных ситуаций Республики Крым и его подведомственных учреждениях Симферополь 2017 1 Термины и определения В настоящем документе применены следующие термины с соответствующими определениями. Активы: информация, технические средства, программное обеспечение и документация АИТС, подлежащие защите. Атака: целенаправленные действия нарушителя с использованием технических и (или) программных средств с целью нарушения заданных характеристик безопасности защищаемой информации или с целью создания условий для этого. Безопасность информации: состояние защищенности информации от нарушения заданных для нее характеристик безопасности информации. Защита информации: деятельность, направленная на обеспечение безопасности защищаемой информации. Защищаемая информация: информация, для которой собственником информации определены характеристики ее безопасности. Собственником информации может быть государство, юридическое лицо, группа физических лиц, отдельное физическое лицо. Информация конфиденциального характера (ИКХ): информация ограниченного доступа, не содержащая сведений, составляющих государственную тайну (в том числе ПДн и коммерческая тайна). Информационная система персональных данных: информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств. Канал атаки: среда переноса от субъекта к объекту атаки (а, возможно, и от объекта к субъекту атаки) осуществляемых при проведении атаки действий. Контролируемая зона: пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание посторонних лиц, а также транспортных, технических и иных материальных средств. Границей контролируемой зоны может быть: периметр охраняемой территории предприятия (учреждения), ограждающие конструкции охраняемого здания, охраняемой части здания, выделенного помещения. Модель нарушителя: совокупность предположений о возможностях нарушителя, которые он может использовать для разработки и проведения атак, а также об ограничениях на эти возможности. Нарушитель (субъект атаки): лицо, проводящее атаку. Система защиты персональных данных (СЗПДн): организационно- технические меры и средства защиты информации, в том числе шифровальные (криптографические) средства. 2 Среда функционирования СЗИ (СФ СЗИ): совокупность технических и программных средств, совместно с которыми предполагается штатное функционирование СЗИ и которые способны повлиять на выполнение предъявляемых к СЗИ требований. Средство вычислительной техники (СВТ): совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем. Угрозы безопасности персональных данных: совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к ПДн, результатом которого можетстать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в ИСПДн. Характеристика безопасности объекта (в частности, информации): описание состояния защищенности объекта (в частности, информации) информации от конкретного вида угроз. Основными характеристиками безопасности информации являются: конфиденциальность – защищенность от несанкционированного раскрытия информации об объекте (в частности, о защищаемой информации); целостность – защищенность от несанкционированной модификации объекта (в частности, защищаемой информации); доступность – обеспечение своевременного санкционированного получения доступа к объекту (в частности, к защищаемой информации); достоверность – обеспечение идентичности объекта (в частности, защищаемойинформации) тому, что заявлено. Штатное средство: техническое или программное средство из состава средств АИТС. 3 Сокращения АИТС – автоматизированная информационно- телекоммуникационная система АРМ автоматизированное рабочее место ИКХ – информация конфиденциального характера ИСПДн – информационная система персональных данных ЛВС – локальная вычислительная сеть НСД – несанкционированный доступ к информации ПДн – персональные данные СВТ – средства вычислительной техники СЗИ – средство защиты информации СЗПДн – система защиты персональных данных СФ А(И)С – – среда функционирования автоматизированная (информационная) система Министерства чрезвычайных ситуаций Республики Крым. 4 1. Введение Настоящий документ подготовлен в рамках выполнения работ по построению системы защиты конфиденциальной информации, не содержащих сведений, составляющих государственную тайну, АС. Настоящий документ содержит модель угроз безопасности ПДн и вероятного нарушителя для АС (далее – модель угроз). Разработка модели угроз является необходимым условием формирования обоснованных требований к обеспечению безопасности КИ АИС «» и проектирования СЗ АС. Модель угроз – документ, определяющий основные исходные условия для проверки соответствия СЗ АС заданным к ней требованиям. При разработке модели угроз для АС использовалась нормативная база и методология ФСБ России и ФСТЭК России (Гостехкомиссии). 5 2. Назначение, структура и основные характеристики АС«» 2.1 Назначение АИС Автоматизированная информационная система Министерства чрезвычайных ситуаций Республики Крым (АС) – это информационный ресурс РФ, содержащий общедоступные персональные данные. Автоматизированная система предназначена для обработки персональных данных. 2.2 Структура АИС Автоматизированная система функционирует на трех уровнях: 1. Информационная система специалистов – офисная автоматизация, обработка знаний (включая экспертные системы); 2. Информационные системы тактического уровня (среднее звено) – мониторинг, администрирование, контроль, принятие решений; 3. Стратегические информационные системы – формулирование целей, стратегическое планирование. Программно-технический комплекс АС состоит из следующих функциональных составляющих: – автоматизированные рабочие места администраторов АС; – автоматизированные рабочие места пользователей АС. Сеть передачи данных (каналы связи) образуют среду функционирования АС. 2.3 Основные характеристики АС Хранимая и обрабатываемая в АС информация в соответствии с Федеральным законом РФ «», относится к информации составляющей …. АС является многопользовательской АС с различными правами доступа пользователей к информационным ресурсам. Информация консолидировано хранится и обрабатывается на вычислительных средствах, расположенных в физически выделенных центрах обработки данных (серверные помещения), расположенных в контролируемых зонах. По отношению к указанным центрам обработки данных реализован достаточный набор организационных и режимных мер защиты информации. Пользователи осуществляют доступ к информационным ресурсам АС в объеме предоставленных полномочий с АРМ, расположенных в подразделениях ….. Указанные АРМ расположены в контролируемых зонах. Подключения к системе АС и доступ к информационным ресурсам осуществляется установленным порядком с обязательной процедурой согласования. 6 3. Определение модели вероятного нарушителя Все угрозы безопасности информации АС подразделяются на два класса: непреднамеренные угрозы (угрозы, не связанные с деятельностью человека; угрозы социально-политического характера; ошибочные действия персонала и пользователей АИТС; угрозы техногенного характера); атаки. Непреднамеренные угрозы по своей природе не связаны со злонамеренными действиями человека по отношению к АИТС. Но эти угрозы могут не только привести к потере, искажению или компрометации информационных активов АС, но и создать условия, которые может использовать в своих целях нарушитель. Предполагается, что защита от непреднамеренных угроз в основном регламентируется инструкциями, разработанными и утвержденными подразделениями, эксплуатирующими различные компоненты АС с учетом особенностей эксплуатации этих компонентов и действующей нормативной базы. Поэтому непреднамеренные угрозы далее детально не рассматриваются. Как показывает мировой и отечественный опыт, атаки являются наиболее опасными угрозами безопасности информации, что обусловлено их тщательной подготовкой, скрытностью проведения, целенаправленным выбором объектов и целей атак. Атаки готовятся и проводятся нарушителем. При этом возможности проведения атак определяются соответствующими возможностями нарушителя. Анализ возможностей, которыми может обладать нарушитель, проводится в рамках разработки модели угроз и нарушителя. Разработанная и приведенная в настоящем документе модель угроз для АС предназначена для использования при формировании требований информационной безопасности и проектных решений по СЗ АС. Модель вероятного нарушителя включает: описание возможных нарушителей; предположения об имеющейся у нарушителя информации об объектах атак; предположения об имеющихся у нарушителя средствах атак; описание объектов и целей атак; описание каналов атак. Разработка модели угроз базируется на следующих принципах: безопасность информации АИТС обеспечивается СЗ АС, а также используемыми в АИТС информационными технологиями. Технические и программные средства должны удовлетворять устанавливаемым в 7 соответствии с законодательством РФ требованиям, обеспечивающим защиту информации (в т.ч. ПДн); СЗ АС не предназначена для защиты информации от действий, выполняемых в рамках предоставленных субъекту действий полномочий; нарушитель может действовать на различных этапах жизненного цикла программных и технических средств АИТС, включая СЗ (разработка, производство, хранение, транспортировка, ввод в эксплуатацию, эксплуатация программных и технических средств АИТС). На этапах разработки, производства, хранения, транспортировки, ввода в эксплуатацию программных и технических средств СЗ АС не производится обработка защищаемой ИКХ. Поэтому объектами атак могут быть только сами эти средства и документация на них. В связи с выше изложенным, на указанных этапах жизненного цикла возможны следующие атаки: внесение негативных (как правило, недекларированных) функциональных возможностей, в том числе с использованием вредоносного программного обеспечения; внесение несанкционированных изменений в документацию на компоненты АИТС и СЗ АС. Более сложным для анализа возможностей нарушителя является этап эксплуатации СЗ АС. Именно этот этап жизненного цикла АИТС рассмотрен далее более подробно. Модель угроз в СЗ АС разработана на основе данных, полученных в ходе информационного обследования СЗ АС, проведенного в рамках работ по обеспечению информационной безопасности СЗ АС, в том числе обеспечению безопасности КИ при их обработке в СЗ АС. 3.1 Описание возможных нарушителей По признаку принадлежности к СЗ АС все нарушители делятся на две группы: внешние нарушители – физические лица, не имеющие права пребывания на территории контролируемой зоны, в пределах которой размещается оборудование СЗ АС; внутренние нарушители – физические лица, имеющие право пребывания на территории контролируемой зоны, в пределах которой размещается оборудование СЗ АС. Внешний нарушитель В качестве внешнего нарушителя информационной безопасности, рассматривается нарушитель, который не имеет непосредственного доступа к техническим средствам и ресурсам системы, находящимся в пределах контролируемой зоны. Установлены следующие условия функционирования АС: автоматизированные рабочие места АС функционируют на контролируемых и охраняемых объектах (зданиях, помещениях); 8 серверная составляющая АС, консолидирующая информационные ресурсы (в том числе ПДн), расположена в серверных помещениях, где реализуется весь необходимый и достаточный комплекс программно- технических средств и поддерживающих их организационных мер, в том числе режимных мероприятий; подключения к системе АС и доступ к информационным ресурсам осуществляется установленным в МЧС Республики Крым порядком с обязательной процедурой согласования; информационные ресурсы АС не имеют подключений к сетям общего пользования. Учитывая указанные условия функционирования АС, предполагается, что возможные действия внешнего нарушителя приемлемо нейтрализуются и в дальнейшем анализ их действий исключается из рассмотрения в настоящей модели. Внутренний нарушитель Возможности внутреннего нарушителя существенным образом зависят от действующих в пределах контролируемой зоны ограничительных факторов, из которых основным является реализация комплекса режимных и организационно-технических мер, в том числе по подбору, расстановке и обеспечению высокой профессиональной подготовки кадров, допуску физических лиц внутрь контролируемой зоны и контролю за порядком проведения работ, направленных на предотвращение и пресечение несанкционированных действий. Исходя из особенностей функционирования АС, допущенные к ней физические лица, имеют разные полномочия на доступ к информационным, программным, аппаратным и другим ресурсам АИТС в соответствии с принятой политикой информационной безопасности (правилами). К внутренним нарушителям могут относиться: администраторы АС (категория I); технический персонал АС (сотрудники эксплуатационных подразделений, осуществляющие техническое сопровождение оборудования, программного обеспечения и средств защиты информации) (категория II); пользователи АС (категория III); пользователи других АИТС, являющихся внешними по отношению к АС (категория IV); сотрудники, имеющие санкционированный доступ в служебных целях в помещения, в которых размещаются активы АС, но не имеющие права доступа к активам (категория V); обслуживающий персонал (охрана, работники инженерно– технических служб и т.д.) (категория VI); уполномоченный персонал разработчиков АС, который на договорной основе имеет право на техническое обслуживание и модификацию компонентов АС (категория VII). 9 На лиц категории I и IIвозложены задачи по администрированию и техническому сопровождению программно-аппаратных средств АС. Администраторы и технический персонал АС потенциально могут проводить атаки, используя возможности по непосредственному доступу к защищаемой информации, обрабатываемой и хранимой в АС, а также к техническим и программным средствам АС, включая средства защиты, используемые в АС, в соответствии с установленными для них административными полномочиями. Эти лица хорошо знакомы с основными алгоритмами, протоколами, реализуемыми и используемыми в АС, а также с применяемыми принципами и концепциями безопасности. Предполагается, что они могли бы использовать стандартное оборудование либо для идентификации уязвимостей, либо для проведения атак. Данное оборудование может быть как частью штатных средств, так и может относиться к легко получаемому (например, программное обеспечение, полученное из общедоступных внешних источников). Кроме того, предполагается, что эти лица могли бы располагать специализированным оборудованием. К лицам категории I и II ввиду их исключительной роли в АС должен применяться комплекс особых организационно-режимных мер по их подбору, принятию на работу, назначению на должность и контролю выполнения функциональных обязанностей. Предполагается, что в число лиц категории I и II будут включаться только доверенные лица и поэтому указанные лица исключаются из числа вероятных нарушителей. Предполагается, что лица категорий III-VII относятся к вероятным нарушителям. Предполагается, что возможность сговора внутренних нарушителей исключается организационными и режимными мерами. 3.2 Предположения об имеющейся у нарушителя информации об объектах атак В качестве основных уровней знаний нарушителей об АС можно выделить следующие: общая информация – информация о назначения и общих характеристиках АИТС; эксплуатационная информация – информация, полученная из эксплуатационной документации; чувствительная информация – информация, дополняющая эксплуатационную информацию об АИТС (например, сведения из проектной документации АИТС). В частности, нарушитель может иметь: данные об организации работы, структуре и используемых технических, программных и программно-технических средствах АС; 10 сведения об информационных ресурсах АС: порядок и правила создания, хранения и передачи информации, структура и свойства информационных потоков; данные об уязвимостях, включая данные о недокументированных (недекларированных) возможностях технических, программных и программно-технических средств АС; данные о реализованных в СЗ принципах и алгоритмах; исходные тексты программного обеспечения АС; сведения о возможных каналах атак; информацию о способах атак. Предполагается, что преимущественное большинство лиц категории III и все лица категории IV владеют только эксплуатационной информацией, что обеспечивается организационными мерами. При этом лица категории IV не владеют парольной, аутентифицирующей и ключевой информацией, используемой в АС, к которой они не имеют санкционированного доступа. Однако предполагается, что имеется возможность ознакомления незначительного круга лиц категории III с чувствительной информацией о АС. Предполагается, что лица категории V владеют в той или иной части эксплуатационной и общей информацией об АС, что обеспечивается организационными мерами. При этом лица категории V не владеют парольной, аутентифицирующей и ключевой информацией, используемой в АС, использующих систему передачи информации. Предполагается, что лица категории VI по уровню знаний не превосходят лица категории V. Предполагается, что лица категории VII обладают чувствительной информацией об АС, включая информацию об уязвимостях технических и программных средств АС. Организационными мерами предполагается исключить доступ лиц категории VII к техническим и программным средствам АС в период обработки защищаемой информации. Таким образом, наиболее информированными об АС являются лица категории III и лица категории VII. Степень информированности нарушителя зависит от многих факторов, включая реализованные на объектах АС конкретные организационные меры и компетенцию нарушителей. Поэтому объективно оценить объем знаний вероятного нарушителя в общем случае практически невозможно. В связи с изложенным, с целью создания определенного запаса прочности предполагается, что вероятные нарушители обладают всей информацией, необходимой для подготовки и проведения атак, за исключением информации, доступ к которой со стороны нарушителя исключается системой защиты информации. К такой информации, например, относится парольная (аутентифицирующая) информация. 11 |