Семинарское занятие тема 7 доклад основы информац.без.. Угрозы информационной безопасности
 Скачать 296.75 Kb.
|
|
1 Угрозы информационной безопасности Под угрозой информационной безопасности понимается случайная или преднамеренная деятельность людей или физическое явление, которые могут привести к нарушению безопасности информации. Далее рассмотрены основные виды и аспекты угроз информационной безопасности. Классификация угроз информационной безопасности Все множество потенциальных угроз информационной безопасности по природе их возникновения можно разделить на два класса (рисунок 1): естественные (объективные) и искусственные (субъективные). Рисунок 1 - Угрозы безопасности Естественные угрозы – это угрозы, вызванные воздействиями на автоматизированную систему и ее элементы объективных физических процессов или стихийных природных явлений, независящих от человека. Искусственные угрозы – это угрозы информационной безопасности, вызванные деятельностью человека. Среди них, исходя из мотивации действий, можно выделить: 1. Непреднамеренные (неумышленные, случайные) угрозы, вызванные ошибками в проектировании автоматизированной системы и ее элементов, ошибками в программном обеспечении, ошибками в действиях персонала и т.п. 2. Преднамеренные (умышленные) угрозы, связанные с корыстными устремлениями людей (злоумышленников). Источники угроз по отношению к автоматизированной системе могут быть внешними или внутренними. Внутренние угрозы реализуются 2 компонентами самой информационной системы – аппаратно-программным обеспечением или персоналом. К основным непреднамеренным искусственным угрозам информационной безопасности относятся действия, совершаемые людьми случайно, по незнанию, невнимательности или халатности, из любопытства, но без злого умысла: 1. Неумышленные действия, приводящие к частичному или полному отказу системы, или разрушению аппаратных, программных, информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение файлов с важной информацией или программ, в том числе системных и т.п.). 2. Неправомерное отключение оборудования или изменение режимов работы устройств и программ. 3. Неумышленная порча носителей информации. 4. Запуск технологических программ, способных при некомпетентном использовании вызывать потерю работоспособности системы (зависания или зацикливания) или осуществляющих необратимые изменения в системе (форматирование или реструктуризацию носителей информации, удаление данных и т.п.). 5. Нелегальное внедрение и использование неучтенных программ (игровых, обучающих, технологических и др., не являющихся необходимыми для выполнения нарушителем своих служебных обязанностей) с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях). 6. Заражение компьютера вирусами. 7. Неосторожные действия, приводящие к разглашению конфиденциальной информации, или делающие ее общедоступной. 8. Разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карточек, пропусков). 9. Проектирование архитектуры системы, технологии обработки данных, разработка прикладных программ, с возможностями, представляющими опасность для работоспособности системы и безопасности информации. 10. Игнорирование организационных ограничений (установленных правил) при работе в системе. 3 11. Вход в систему в обход средств защиты (загрузка посторонней операционной системы со сменных магнитных носителей и т.п.). 12. Некомпетентное использование, настройка или неправомерное отключение средств защиты персоналом службы безопасности. 13. Пересылка данных по ошибочному адресу абонента (устройства). 14. Ввод ошибочных данных. 15. Неумышленное повреждение каналов связи. К основным преднамеренным искусственным угрозам относятся: 1. Физическое разрушение системы (путем взрыва, поджога и т.п.) или вывод из строя всех или отдельных наиболее важных компонентов компьютерной системы (устройств, носителей важной системной информации, лиц из числа персонала и т.п.). 2. Отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и др.). 3. Действия по дезорганизации функционирования системы (изменение режимов работы устройств или программ, забастовка, саботаж персонала, постановка мощных активных радиопомех на частотах работы устройств системы и т.п.). 4. Внедрение агентов в число персонала системы (в том числе, возможно, и в административную группу, отвечающую за безопасность). 5. Вербовка (путем подкупа, шантажа и т.п.) персонала или отдельных пользователей, имеющих определенные полномочия. 6. Применение подслушивающих устройств, дистанционная фото и видеосъемка и т.п. 7. Перехват побочных электромагнитных, акустических и других излучений устройств и линий связи, а также наводок активных излучений на вспомогательные технические средства, непосредственно не участвующие в обработке информации (телефонные линии, сети питания, отопления и т.п.). 8. Перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему. 4 9. Хищение носителей информации (магнитных дисков, лент, микросхем памяти, запоминающих устройств и целых ПЭВМ). 10. Несанкционированное копирование носителей информации. 11. Хищение производственных отходов (распечаток, записей, списанных носителей информации и т.п.). 12. Чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств. 13. Чтение информации из областей оперативной памяти, используемых операционной системой (в том числе подсистемой защиты) или другими пользователями, в асинхронном режиме используя недостатки мульти задачных операционных систем и систем программирования. 14. Незаконное получение паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, путем имитации интерфейса системы и т.д.) с последующей маскировкой под зарегистрированного пользователя («маскарад»). 15. Несанкционированное использование терминалов пользователей, имеющих уникальные физические характеристики, такие как номер рабочей станции в сети, физический адрес, адрес в системе связи, аппаратный блок кодирования и т.п. 16. Вскрытие шифров криптозащиты информации. 17. Внедрение аппаратных спец вложений, программных закладок и вирусов, т.е. таких участков программ, которые не нужны для осуществления заявленных функций, но позволяющих преодолевать систему защиты, скрытно и незаконно осуществлять доступ к системным ресурсам с целью регистрации и передачи критической информации или дезорганизации функционирования системы. 18. Незаконное подключение к линиям связи с целью работы «между строк», с использованием пауз в действиях законного пользователя от его имени с последующим вводом ложных сообщений или модификацией передаваемых сообщений. 19. Незаконное подключение к линиям связи с целью прямой подмены законного пользователя путем его физического отключения после входа в систему и успешной аутентификации с последующим вводом дезинформации и навязыванием ложных сообщений. 5 Чаще всего для достижения поставленной цели злоумышленник использует не один, а некоторую совокупность из перечисленных выше путей. Неформальная модель нарушителя Нарушитель - это лицо, которое предприняло попытку выполнения запрещенных операций (действий) по ошибке, незнанию или осознанно со злым умыслом (из корыстных интересов) или без такового (ради игры или удовольствия, с целью самоутверждения и т.п.) и использующее для этого различные возможности, методы и средства. При разделении нарушителей безопасности по классам можно исходить из их принадлежности определенным категориям лиц, мотивов действий и преследуемых целей, характера методов достижения поставленных целей, квалификации, технической оснащенности и знаний об атакуемой информационной системе. В первую очередь нарушителей можно разделить на внутренних и внешних. Потенциально к внутренним нарушителям относятся сотрудники местной администрации или сотрудники организаций из сферы ИТ, предоставляющие администрации аутсорсинговые телекоммуникационные и иные информационные услуги. Среди внутренних нарушителей в первую очередь можно выделить следующие категории: 1. Непосредственные пользователи и операторы информационной системы, в том числе руководители различных уровней. 2. Администраторы ЛВС и информационной безопасности. 3. Программисты. 4. Технический персонал по обслуживанию зданий и вычислительной техники, от уборщицы до ремонтной бригады. 5. Вспомогательный персонал и временные работники. 6. Специально внедренные агенты. Среди причин, побуждающих сотрудников к неправомерным действиям, можно указать следующие факторы: 1. Безответственность персонала. 2. Ошибки пользователей и администраторов. 6 3. Корыстные интересы пользователей системы. 4. Недостатки используемых информационных технологий. Для предотвращения нарушений необходимо проводить специальную подготовку персонала, поддерживать здоровый рабочий климат в коллективе, проводить тщательный отбор нанимаемых сотрудников, своевременно обнаруживать злоумышленников. Группу внешних нарушителей могут составлять: 1. Приглашенные посетители. 2. Представители конкурирующих организаций. 3. Сотрудники органов ведомственного надзора и управления. 4. Нарушители пропускного режима. 5. Наблюдатели за пределами охраняемой территории. 6. Криминальные структуры. 7. Недобросовестные партнеры. По рекомендации экспертов в области информационной безопасности, особое внимание следует обращать на вновь принимаемых сотрудников в следующих профессиях: администраторы, программисты, специалисты в области компьютерной техники и защиты информации. Чрезвычайную опасность представляют специалисты подобного уровня при вхождении в сговор с руководством подразделений и службы безопасности, а также с организованными преступными группами. В данном случае возможный ущерб и тяжесть последствий многократно увеличиваются. Руководство местной администрации должно четко определять, от каких видов нарушений необходимо защититься в первую очередь. Кроме того, можно провести классификацию нарушителей по используемым методам и средствам: 1. Сбор информации и данных. 2. Пассивные средства перехвата. 3. Использование средств, входящих в информационную систему или систему ее защиты, и их недостатки. 7 4. Активное отслеживание модификаций существующих средств обработки информации, подключение новых средств, использование специализированных утилит, внедрение программных закладок и «черных ходов» в систему, подключение к каналам передачи данных. По уровню знаний нарушителя об организации информационной структуры можно выделить следующие категории: 1. Типовые знания о методах построения вычислительных систем, сетевых протоколов, использование стандартного набора программ. 2. Высокий уровень знаний сетевых технологий, опыт работы со специализированными программными продуктами и утилитами. 3. Высокие знания в области программирования, системного проектирования и эксплуатации вычислительных систем. 4. Обладание сведениями о средствах и механизмах защиты атакуемой системы. 5. Нарушитель являлся разработчиком или принимал участие в реализации системы обеспечения информационной безопасности. По времени информационного воздействия нарушитель может действовать: 1. В момент обработки информации. 2. В момент передачи данных. 3. В процессе хранения данных (учитывая рабочее и нерабочее состояния системы). По месту осуществления воздействия: 1. Удаленно с использованием перехвата информации, передающейся по каналам передачи данных, или без ее использования. 2. Доступ на охраняемую территорию. 3. Непосредственный физический контакт с вычислительной техникой, при этом можно выделить: 3.1 Доступ к терминальным операторским станциям. 3.2 Доступ к важным сервисам предприятия (сервера). 8 3.3 Доступ к системам администрирования, контроля и управления информационной системой. 3.4 Доступ к программам управления системы обеспечения информационной безопасности. Схема классификации нарушителей приведена в приложении 4. В таблице 2 представлена обобщенная модель нарушителя. Таблица 3 содержит описание возможностей нарушителей. Таблица 2 - Обобщенная модель нарушителя Положение в системе Квалификация Уровень возможностей Описание Внутренний Низкая – высокая I Пользователи, операторы, из числа сотрудников и временных работников. Высокая II Прикладные программисты. Высокая III Администраторы БД и пользователи, обладающие неограниченными полномочиями относительно доступа к данным Высокая IV Администраторы вычислительной сети Низкая Не имеют легального доступа к ИСПДн Технический, обслуживающий персонал (уборщицы, водители и т.п.) Внешний Низкая – высокая Не имеют легального доступа к ИСПДн Нарушители пропускного режима, временные работники (не специалисты по тех. и прог. средствам АС), посетители, представители органов надзора и управления. Низкая - высокая Не имеют доступа легального Нарушители за пределами охраняемой территории: хакеры и др. удаленные нарушители 9 доступа к ИСПДн Внешний Высокая Получают временный доступ по уровням I-IV Специалисты сторонних организаций, осуществляющих поставку, монтаж и ремонт оборудования вычислительной системы. Уровень Возможности нарушителя I Запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации II Создание и запуск собственных программ с новыми функциями по обработке информации III Управление функционированием ИСПДн, т.е. воздействие на базовое программное обеспечение системы и на состав и конфигурацию ее оборудования IV Весь объем возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств ИСПДн, вплоть до включения в состав системы собственных технических средств с новыми функциями по обработке информации Описание модели угроз Анализ модели нарушителя позволяет детализировать угрозы и сформировать их модель. При составлении модели угроз использовались различные широко используемые в настоящее время варианты моделей, разработанные специалистами в области защиты информации государственных и негосударственных научных учреждений. Исходя из 10 проведенного анализа, все источники угроз безопасности информации, можно разделить на три основные группы: 1.Угрозы, обусловленные действиями субъекта (антропогенные угрозы). 2.Угрозы, обусловленные техническими средствами (техногенные угрозы). 3.Угрозы, обусловленные стихийными источниками. Первая группа наиболее обширна и представляет наибольший интерес с точки зрения организации отражения этим угрозам, так как действия субъекта можно оценить, спрогнозировать и принять адекватные меры. Методы противодействия этим угрозам управляемы и напрямую зависят от воли организаторов защиты информации. Основываясь на результатах международного и российского опыта, действия субъектов могут привести к ряду нежелательных последствий, среди которых можно выделить следующие: 1. Кража: а) технических средств (винчестеров, ноутбуков, системных блоков); б) носителей информации (бумажных, магнитных, оптических и пр.); в) информации (чтение и несанкционированное копирование); г) средств доступа (ключи, пароли, ключевая документация и пр.). 2. Подмена (модификация): а) операционных систем; б) систем управления базами данных; в) прикладных программ; г) информации (данных), отрицание факта отправки сообщений; д) паролей и правил доступа. 3. Уничтожение (разрушение): а) технических средств (винчестеров, ноутбуков, системных блоков); б) носителей информации (бумажных, магнитных, оптических и пр.); 11 в) программного обеспечения (ОС, СУБД, прикладного ПО); г) информации (файлов, данных); д) паролей и ключевой информации. 4. Нарушение нормальной работы (прерывание): а) скорости обработки информации; б) пропускной способности каналов связи; в) объемов свободной оперативной памяти; г) объемов свободного дискового пространства; д) электропитания технических средств; 5. Ошибки: а) при инсталляции ПО, ОС, СУБД; б) при написании прикладного ПО; в) при эксплуатации ПО; г) при эксплуатации технических средств. 6. Перехват информации (несанкционированный): а) за счет ПЭМИ от технических средств; б) за счет наводок по линиям электропитания; в) за счет наводок по посторонним проводникам; г) по акустическому каналу от средств вывода; д) по акустическому каналу при обсуждении вопросов; е) при подключении к каналам передачи информации; ж) за счет нарушения установленных правил доступа (взлом). Вторая группа содержит угрозы менее прогнозируемые, напрямую зависящие от свойств техники и поэтому требующие особого внимания. 12 Технические средства, содержащие потенциальные угрозы безопасности информации могут быть внутренними: 1. Некачественные технические средства обработки информации. 2. Некачественные программные средства обработки информации. 3. Вспомогательные средства (охраны, сигнализации, телефонии). 4. Другие технические средства, применяемые в учреждении. и внешними: 1. Средства связи. 2. Близко расположенные опасные производства. 3. Сети инженерных коммуникаций (энерго-, водоснабжения, канализации). 4. Транспорт. Последствиями применения таких технических средств, напрямую влияющими на безопасность информации, могут быть: 1. Нарушение нормальной работы а) нарушение работоспособности системы обработки информации; б) нарушение работоспособности связи и телекоммуникаций; в) старение носителей информации и средств ее обработки; г) нарушение установленных правил доступа; д) электромагнитное воздействие на технические средства. 2. Уничтожение (разрушение) а) программного обеспечения, ОС, СУБД; б) средств обработки информации (броски напряжений, протечки); в) помещений; г) информации (размагничивание, радиация, протечки и пр.). 13 3. Модификация (изменение) а) программного обеспечения. ОС, СУБД; б) информации при передаче по каналам связи и телекоммуникациям. Третью группу составляют угрозы, которые совершенно не поддаются прогнозированию и поэтому меры их отражения должны применяться всегда. Стихийные источники, составляющие потенциальные угрозы информационной безопасности, как правило, являются внешними по отношению к рассматриваемому объекту и под ними понимаются, прежде всего, природные катаклизмы: пожары, землетрясения, наводнения, ураганы, другие форс-мажорные обстоятельства, различные непредвиденные обстоятельства, необъяснимые явления. Эти природные и необъяснимые явления влияют на информационную безопасность, опасны для всех элементов автоматизированной системы и могут привести к следующим последствиям: 1. Уничтожение (разрушение) технических средств обработки информации, носителей информации, программного обеспечения (ОС, СУБД, прикладного ПО, информации (файлов, данных), помещений, персонала. 2. Исчезновение (пропажа): информации в средствах обработки, информации при передаче по телекоммуникационным каналам, носителей информации, персонала. Даже первичный анализ приведенного перечня угроз безопасности информации, показывает, что для обеспечения комплексной безопасности необходимо принятие организационных, физических и технических решений. Такой подход позволяет дифференцировано подойти к распределению материальных ресурсов, выделенных на обеспечение информационной безопасности. Оценить весовые коэффициенты каждой угрозы достаточно затруднительно из-за высокой латентности их проявлений и отсутствия официальной статистики по этому вопросу. Вместе с тем, на основе анализа, проводимого различными специалистами в области компьютерных преступлений и собственными наблюдениями, по частоте проявления угрозы безопасности можно расставить так: 1. Кража (копирование) данных или программного обеспечения. 2. Подмена (несанкционированный ввод) информации. 3. Уничтожение (разрушение) данных на носителях информации. 14 4. Нарушение нормальной работы (прерывание) в результате вирусных атак. 5. Модификация (изменение) данных на носителях информации. 6. Перехват (несанкционированный съем) информации. 7. Кража (несанкционированное копирование) ресурсов. 8. Нарушение нормальной работы (перегрузка) каналов связи. 9. Непредсказуемые потери. Несмотря на предложенную градацию, для простоты будем считать, что каждая угроза может себя рано или поздно проявить, поэтому все они равны, т.е. при построении модели принято, что весовые коэффициенты каждой угрозы равны 1. Следствием реализации выявленных угроз безопасности информации, в конечном счете, может стать ущемление прав собственника (пользователя) информации или нанесение ему материального ущерба. Оценка рисков Для того чтобы оценить риски информационной безопасности, необходимо проанализировать все описанные выше виды угроз, действующие на информационную систему, и уязвимости, через которые возможна реализация угроз. Уровень угрозы рассчитывается на основе величины потерь и вероятности реализации угрозы через данную уязвимость. Величина потерь определяет последствия нарушения безопасности того или иного элемента информации. Устранение последствий нарушения безопасности может потребовать значительных финансовых вложений, даже если пострадали некритические сервисы. Необходимо также учитывать политические или организационные последствия. Вероятность реализации угрозы или реальность возникновения угрозы связана с частотой реализации той или иной угрозы и определяется на основании опыта атак на автоматизированную систему, а также анализа слабых мест технической и организационной защиты. Расчет риска происходит по следующей схеме: Риск = Величина потерь * Вероятность реализации угрозы 15 Величина потерь – неотрицательное число в соответствии с таблицей 4. Шкала для определения вероятности угрозы представлена в таблице 5. Таблица 4 - Шкала для определения возможного ущерба Величина потерь Описание ущерба 0 Раскрытие информации принесет ничтожный моральный и финансовый ущерб органу муниципального управления 1 Раскрытие и/или модификация информации приносит средние потери и моральный ущерб, для ее восстановления требуется время 2 Значительные потери. Орган муниципального управления теряет большую часть необходимой для работы информации. Деятельность прерывается на длительный срок, для восстановления требуются значительные финансовые вложения и время. Таблица 5 - Шкала для определения вероятности угрозы Вероятность реализации угрозы Средняя частота появления 0 Данный вид угрозы отсутствует вообще 1 Реже, чем 1 раз в год 2 Около 1 раза в год 3 Около 1 раза в месяц 4 Около 1 раза в неделю 5 Ежедневно Сводная таблица рисков представлена ниже. Таблица 6 - Сводная таблица рисков Угроза Вероятность Потери Риск 16 Кража (копирование) программного обеспечения 3 0 0 Подмена (несанкционированный ввод) информации 4 1 4 Уничтожение (разрушение) данных на носителях информации 4 1 4 Нарушение нормальной работы (прерывание) в результате вирусных атак 2 1 2 Модификация (изменение) данных на носителях информации 4 1 4 Перехват (несанкционированный съем) информации 4 0 0 Кража (несанкционированное копирование) ресурсов 1 1 1 Нарушение нормальной работы (перегрузка) каналов связи 1 1 1 Непредсказуемые потери 1 0 0 Суммарный риск 16 Суммарный риск подсчитывается как сумма максимальных величин риска для каждой угрозы. |