Одной из особенностей обеспечения информационной безопасности в ИС является то, что абстрактным понятиям, таким как "субъект доступа ", "информация " и т.п., ставятся в соответствие физические представления в среде вычислительной техники:
Для представления понятия "субъект доступа "- активные программы и процессы ,
Для представления понятия “информация” - машинные носители информации в виде внешних устройств компьютерных систем (терминалов, печатающих устройств, различных накопителей, линий и каналов связи), томов, разделов и подразделов томов, файлов, записей, полей записей, оперативной памяти и т.д.
Информационная безопасность ИС -состояние рассматриваемой информацинной системы, при котором она:
- с одной стороны, способна противостоять дестабилизирующему воздействию внешних и внутренних информационных угроз,
- с другой - её наличие и функционирование не создает информационных угроз для элементов самой системы и внешней среды.
Безопасность ИС - это защищенность от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, а также попыток хищения, изменения или разрушения компонентов.
Угроза безопасности ИС - это возможные воздействия на ИС, которые прямо или косвенно могут нанести ущерб ее безопасности.
Ущерб безопасности - это нарушение состояния защищенности информации, содержащейся и обрабатывающейся в ИС. Ущерб безопасности подразумевает нарушение состояния защищенности содержащейся в ИС информации путем осуществления несанкционированного доступа (НСД) к объектам ИС.
Уязвимость ИС – это характеристика или свойство ИС, использование которой нарушителем может привести к реализации угрозы.
Атака на компьютерную систему - это действие, предпринимаемое злоумышленником, которое заключается в поиске и использовании той или иной уязвимости системы.
Несанкционированный доступ к информации – наиболее распространенный вид компьютерных нарушений. Он заключается в получении пользователем доступа к объекту, на которого нет разрешения в соответствии с принятой в организации политикой безопасности.
Противодействие угрозам безопасности является целью зашиты систем обработки информации.
Таким образом, атака - это реализация угрозы безопасности.
3. Анализ угроз информационной безопасности
Угрозу отождествляют обычно либо с характером (видом, способом) дестабилизирующего воздействия на информацию, либо с последствиями (результатами) такого воздействия. Однако такого рода термины могут иметь много трактовок. Возможен и иной подход к определению угрозы безопасности информации, базирующийся на понятии «угроза».
В соответствии со «Словарем русского языка» Ожегова , «угроза » - это намерение нанести физический, материальный или иной вред общественным или личным интересам, возможная опасность.
Под угрозой (вообще) обычно понимают потенциально возможное событие, действие (воздействие), процесс или явление, которое может привести к нанесению ущерба чьим-либо интересам.
Иначе говоря, понятие угроза жестко связано с юридической категорией «ущерб», которую Гражданский Кодекс определяет как «фактические расходы, понесенные субъектом в результате нарушения его прав (например, разглашения или использования нарушителем конфиденциальной информации), утраты или повреждения имущества , а также расходы , которые он должен будет произвести для восстановления нарушенного права и стоимости поврежденного или утраченного имущества » .
Под угрозой информационной безопасности ИС называют:
1) возможность реализации воздействия на информацию , обрабатываемую в ИС, приводящего: - к искажению, уничтожению, копированию, блокированию доступа к информации;
2) а также возможность воздействия на компоненты ИС , приводящего к: утрате, уничтожению или сбою функционирования носителя информации, средства взаимодействия с носителем или средства его управления.
В настоящее время рассматривается достаточно обширный перечень угроз информационной безопасности ИС, насчитывающий сотни пунктов. Наиболее характерные и часто реализуемые угрозы информационной безопасности ИС:
Несанкционированное копирование носителей информации;
Неосторожные действия, приводящие к разглашению конфиденциальной информации, или делающие ее общедоступной;
Игнорирование организационных ограничений (установленных правил) при определении ранга системы.
Основой для анализа риска реализации угроз и формулирования требований к разрабатываемой системе защиты ИС анализ негативных последствий реализации угроз и предполагает их обязательную идентификацию, а именно:
Перечень возможных угроз информационной безопасности,
Оценки вероятностей их реализации,
Модель нарушителя.
Кроме выявления возможных угроз должен быть проведен анализ этих угроз на основе их классификации по ряду признаков .
Каждый из признаков классификации отражает одно из обобщенных требований к системе защиты. При этом угрозы, соответствующие каждому признаку классификации, позволяют детализировать отражаемое этим признаком требование.
Необходимость классификации угроз информационной безопасности ИС обусловлена тем, что:
Архитектура современных средств автоматизированной обработки информации,
Организационное, структурное и функциональное построение информационно-вычислительных систем и сетей,
Технологии и условия автоматизированной обработки информации такие, - что накапливаемая, хранимая и обрабатываемая информация подвержена случайным влияниям чрезвычайно большого числа факторов . В силу этого становится невозможным формализовать задачу описания полного множества угроз .
Как следствие, для защищаемой системы определяют не полный перечень угроз, а перечень классов угроз.
Под угрозой информационной безопасности понимается случайная или преднамеренная деятельность людей или физическое явление, которые могут привести к нарушению безопасности информации. Далее рассмотрены основные виды и аспекты угроз информационной безопасности.
2.2.1 Классификация угроз информационной безопасности
Все множество потенциальных угроз информационной безопасности по природе их возникновения можно разделить на два класса (рисунок 7): естественные (объективные) и искусственные (субъективные).
Рисунок 7 - Угрозы безопасности
Естественные угрозы – это угрозы, вызванные воздействиями на автоматизированную систему и ее элементы объективных физических процессов или стихийных природных явлений, независящих от человека.
Искусственные угрозы – это угрозы информационной безопасности, вызванные деятельностью человека. Среди них, исходя из мотивации действий, можно выделить:
1. Непреднамеренные (неумышленные, случайные) угрозы, вызванные ошибками в проектировании автоматизированной системы и ее элементов, ошибками в программном обеспечении, ошибками в действиях персонала и т.п..
2. Преднамеренные (умышленные) угрозы, связанные с корыстными устремлениями людей (злоумышленников).
Источники угроз по отношению к автоматизированной системе могут быть внешними или внутренними. Внутренние угрозы реализуются компонентами самой информационной системы – аппаратно-программным обеспечением или персоналом.
К основным непреднамеренным искусственным угрозам информационной безопасности относятся действия, совершаемые людьми случайно, по незнанию, невнимательности или халатности, из любопытства, но без злого умысла:
1. Неумышленные действия, приводящие к частичному или полному отказу системы или разрушению аппаратных, программных, информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение файлов с важной информацией или программ, в том числе системных и т.п.).
2. Неправомерное отключение оборудования или изменение режимов работы устройств и программ.
3. Неумышленная порча носителей информации.
4. Запуск технологических программ, способных при некомпетентном использовании вызывать потерю работоспособности системы (зависания или зацикливания) или осуществляющих необратимые изменения в системе (форматирование или реструктуризацию носителей информации, удаление данных и т.п.).
5. Нелегальное внедрение и использование неучтенных программ (игровых, обучающих, технологических и др., не являющихся необходимыми для выполнения нарушителем своих служебных обязанностей) с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях).
6. Заражение компьютера вирусами.
7. Неосторожные действия, приводящие к разглашению конфиденциальной информации, или делающие ее общедоступной.
8. Разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карточек, пропусков).
9. Проектирование архитектуры системы, технологии обработки данных, разработка прикладных программ, с возможностями, представляющими опасность для работоспособности системы и безопасности информации.
10. Игнорирование организационных ограничений (установленных правил) при работе в системе.
11. Вход в систему в обход средств защиты (загрузка посторонней операционной системы со сменных магнитных носителей и т.п.).
12. Некомпетентное использование, настройка или неправомерное отключение средств защиты персоналом службы безопасности.
13. Пересылка данных по ошибочному адресу абонента (устройства).
14. Ввод ошибочных данных.
15. Неумышленное повреждение каналов связи.
К основным преднамеренным искусственным угрозам относятся:
1. Физическое разрушение системы (путем взрыва, поджога и т.п.) или вывод из строя всех или отдельных наиболее важных компонентов компьютерной системы (устройств, носителей важной системной информации, лиц из числа персонала и т.п.).
2. Отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и др.).
3. Действия по дезорганизации функционирования системы (изменение режимов работы устройств или программ, забастовка, саботаж персонала, постановка мощных активных радиопомех на частотах работы устройств системы и т.п.).
4. Внедрение агентов в число персонала системы (в том числе, возможно, и в административную группу, отвечающую за безопасность).
5. Вербовка (путем подкупа, шантажа и т.п.) персонала или отдельных пользователей, имеющих определенные полномочия.
6. Применение подслушивающих устройств, дистанционная фото и видеосъемка и т.п..
7. Перехват побочных электромагнитных, акустических и других излучений устройств и линий связи, а также наводок активных излучений на вспомогательные технические средства, непосредственно не участвующие в обработке информации (телефонные линии, сети питания, отопления и т.п.).
8. Перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему.
9. Хищение носителей информации (магнитных дисков, лент, микросхем памяти, запоминающих устройств и целых ПЭВМ).
10. Несанкционированное копирование носителей информации.
11. Хищение производственных отходов (распечаток, записей, списанных носителей информации и т.п.).
12. Чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств.
13. Чтение информации из областей оперативной памяти, используемых операционной системой (в том числе подсистемой защиты) или другими пользователями, в асинхронном режиме используя недостатки мультизадачных операционных систем и систем программирования.
14. Незаконное получение паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, путем имитации интерфейса системы и т.д.) с последующей маскировкой под зарегистрированного пользователя («маскарад»).
15. Несанкционированное использование терминалов пользователей, имеющих уникальные физические характеристики, такие как номер рабочей станции в сети, физический адрес, адрес в системе связи, аппаратный блок кодирования и т.п..
16. Вскрытие шифров криптозащиты информации.
17. Внедрение аппаратных спец вложений, программных закладок и вирусов, т.е. таких участков программ, которые не нужны для осуществления заявленных функций, но позволяющих преодолевать систему защиты, скрытно и незаконно осуществлять доступ к системным ресурсам с целью регистрации и передачи критической информации или дезорганизации функционирования системы.
18. Незаконное подключение к линиям связи с целью работы «между строк», с использованием пауз в действиях законного пользователя от его имени с последующим вводом ложных сообщений или модификацией передаваемых сообщений.
19. Незаконное подключение к линиям связи с целью прямой подмены законного пользователя путем его физического отключения после входа в систему и успешной аутентификации с последующим вводом дезинформации и навязыванием ложных сообщений.
Чаще всего для достижения поставленной цели злоумышленник использует не один, а некоторую совокупность из перечисленных выше путей.
Нарушения ИБ. Интернет и безопасность корпоративного информационного пространства
Результаты опроса
М.С.Савельев
Заместитель директора по маркетингу
Компании "Информзащита"
Эффективная стратегия защиты корпоративной информационной среды (ИС) требует не только стремления к обеспечению всесторонней безопасности сети компании, но и анализа настоящего положения дел в этой области и оценки предпринимаемых действий для анализа существующих рисков и предупреждения нарушений. Результаты исследования, проведенного журналом "Information Security/Информационная безопасность", могут оказаться полезными для изучения проблем информационной безопасности (ИБ) компании.
Результаты данного опроса красноречиво свидетельствуют о том, что основная угроза безопасности корпоративного информационного пространства исходит именно изнутри компании.
"Гигиена" информационной системы компании
Практически никто из опрошенных не сталкивался со значительными нарушениями ИБ компании со стороны внешних злоумышленников (рис. 1). Половина респондентов утверждает, что на их памяти не случалось попыток проникновения в корпоративную ИС извне. Правда, для абсолютно точного заключения было бы интересно учитывать и еще один факт: имеют ли компании, участвующие в опросе, средства для обнаружения и предотвращения внешних атак, но такой вопрос не был задан.
В повседневной практике довольно часто приходится сталкиваться с тем, что, невзирая на наличие в своем арсенале средств защиты, отделы ИБ компаний и организаций не в состоянии успешно их эксплуатировать. Косвенным подтверждением тому служит картина ответов на вопрос "Насколько развито управление системой обеспечения ИБ?" (рис. 2): неэффективно используется даже такое "гигиеническое" средство защиты, как антивирус. В компаниях почти пятой части респондентов не осуществляется настройка опций автоматического обновления антивирусных баз – этот вопрос отдается на откуп пользователям. Отсюда совершенно очевидно следующее: руководство и IT-специалисты компаний-респондентов могут просто не подозревать о том, какие события происходят в их системах. К слову, современные угрозы, такие, как, например, бот-вирусы, можно обнаружить лишь по едва уловимым признакам, а точнее – только путем анализа тщательно настроенных средств защиты.
Самый опасный нарушитель – пользователь
Вопреки весьма расхожим в 2006 г. утверждениям об огромной опасности, исходящей от инсайдерских угроз, опрос журнала показал, что большая часть инцидентов в реальном опыте специалистов по ИБ – это неумышленные, непреднамеренные действия пользователей (рис. 3). Фактически пользователи нарушают установленные в организации правила использования корпоративной ИС, незлонамеренно совершив то или иное действие (рис. 4). Причем характерно, что правила поведения в области ИБ для сотрудников компаний предусмотрительно описаны (рис. 2) и в политике по информационной безопасности, и в обязанностях сотрудников, и в прочих документах. Несмотря на засвидетельствованное участниками анкетирования наличие в их компаниях специальных инструкций и документов по ИБ, имеет место множество нарушений безопасности из-за неосведомленности пользователей.
Не происходит ли это потому, что требования документов по ИБ до сотрудников не доводятся? Вответе на вопрос " Как сотрудники Вашей компаний узнают о своих обязанностях в области соблюдения ИБ?" (рис. 5), 15% респондентов заявили, что подобные требования существуют лишь на бумаге, и сотрудников организаций о них никак не информируют. Регулярные тренинги в области защиты информации проводятся лишь в пятой части опрошенных компаний. В подавляющем же большинстве случаев специалисты по ИБ несколько самонадеянно полагают, что сотрудники каким-то образом самостоятельно должны овладеть содержимым нормативных документов по безопасности. Смею утверждать, что даже ознакомление "под роспись" не дает никакого эффекта: мы все привыкли формально подписываться под инструкциями по технике безопасности, не вникая в их суть. Нередко и вовсе обходится без такового.
В погоне за тремя зайцами
Чем же для нас чреваты 10% выявленных нарушений? Судя по равномерному распределению ответов на вопрос "Охарактеризуйте важность корпоративной информации" (рис. 6), немногие из специалистов по ИБ действительно разбираются в сущности защищаемого бизнеса. Конечно, и сам вопрос задан несколько прямолинейно, но в практике довольно часто приходится сталкиваться с тем, что в погоне за тремя зайцами (целостностью, конфиденциальностью и доступностью) многие готовы ловить не то, что критично, а то, "кого легче поймать". Порой такие попытки начинают терять связь со здравым смыслом: в какой-то момент все силы службы безопасности затрачиваются на ограничение возможности использовать USB-носители, и при этом никак не контролируются электронная почта, факсы, принтеры и другие средства, позволяющие отправить информацию за пределы организации. Проблемы восстановления информации и работоспособности системы в случае сбоя вообще остаются без внимания. А между прочим это одна из главных угроз, если доверять результатам ответов на вопрос: "Укажите типы пользования информационными ресурсами компании сотрудниками с нарушением установленных режимов в прошлом году?" (рис. 4).
Не таким ли непониманием объясняется выявленное опросом противоречие: несмотря на огромное значение, которое руководство компаний придает вопросам безопасности (рис. 7), увеличить финансирование на обеспечение ИБ и совершенствовать системы защиты TOP-менеджеры не спешат (рис. 8).
Специалисты по безопасности "в собственном соку"
Из исследования совершенно очевидно, что многие специалисты по безопасности "варятся в собственном соку": отвечая на вопрос "К каким мерам по управлению и экспертизе ИБ обращалась Ваша компания за прошедший год?" (рис. 9), только 12,5% опрошенных заявили о том, что пользуются услугами и консультациями профессиональных консультантов по безопасности. Еще чуть более 6% обращаются к мировым стандартам и практикам. Остальные предпочитают сверять действительность лишь с собственным опытом и опытом своих коллег. Следует особо отметить тот факт, что значительная часть опрошенных уверена: количество инцидентов, связанных с ИБ, в будущем будет только расти, и выявлять их станет сложнее (рис. 10). Однако большинство респондентов надеются на некоторую панацею, на палочку-выручалочку в виде какого-то высокотехнологичного решения, которое спасет их от надвигающейся опасности. Отрадно констатировать, что основные надежды связываются именно с правильным выстраиванием и управлением процессами защиты. И это подтверждает наблюдаемый сегодня рост интереса к принимаемым международным стандартам по безопасности. Современные специалисты осознанно стремятся использовать рекомендации стандартов в повседневной деятельности.
В данной статье делается попытка рассмотреть реальные угрозы информационной безопасности, которые могут возникнуть в современных условиях. Следует отметить, что статья не претендует на статус «учебника по информационной безопасности», и все изложенное в ней – исключительно мнение автора.
Традиционной ошибкой многих руководителей российских компаний является недооценка либо переоценка угроз информационной безопасности предприятия. Зачастую ИТ безопасность воспринимается ими в лучшем случае как одно из вспомогательных мероприятий по обеспечению безопасности в целом, иногда же ей вообще не отводится хоть сколько-нибудь значимой роли – мол, это все забота системных администраторов. Подобный вариант характерен прежде всего для небольших и частично – для средних компаний. Вторая крайность – переоценка значения ИТ безопасности – встречается в основном среди крупных компаний и характеризуется возведением комплекса мероприятий по обеспечению ИТ безопасности в ранг «гиперстратегии», относительно которой строится основная стратегия деятельности.
Ни для кого не секрет, что в современном мире бизнес в той или иной степени зависим от информационных технологий. Преимущества от применения ИТ для бизнеса очевидны: скорость и простота порождения, распространения, манипуляций и поиска разнородной информации, упорядочивание ее по различным критериям, простота хранения, возможность доступа практически из любой точки мира… Все эти преимущества требуют хорошо отлаженной поддержки и сопровождения, которая, в свою очередь, предъявляет определенные требования к базовой ИТ инфраструктуре. С другой стороны, в информационных системах, часто находится информация, разглашение которой является крайне нежелательным (например, конфиденциальная информация, либо информация, составляющая коммерческую тайну). Нарушение режима нормального функционирования инфраструктуры либо получение доступа к информации, которая расположена в ИС, являются угрозами информационной безопасности.
Таким образом, угрозы информационной безопасности предприятия можно условно разделить на несколько классов:
- Угрозы нарушения доступности
- Угрозы нарушения целостности
- Угрозы нарушения конфиденциальности
Угрозы нарушения доступности – это угрозы, связанные с увеличением времени получения той или иной информации или информационной услуги. Нарушение доступности представляет собой создание таких условий, при которых доступ к услуге или информации будет либо заблокирован, либо возможен за время, которое не обеспечит выполнение тех или иных бизнес-целей. Рассмотрим пример: в случае выхода из строя сервера, на котором расположена требуемая для принятия стратегического решения информация, нарушается свойство доступности информации. Аналогичный пример: в случае изоляции по какой-либо причине (выход из строя сервера, отказ каналов связи и т.д.) почтового сервера можно говорить о нарушении доступности ИТ услуги «электронная почта». Особо следует отметить тот факт, что причина нарушения доступности информации или информационной услуги не обязательно должна находиться в зоне ответственности владельца услуги или информации. Например, в рассмотренном выше примере с нарушением доступности почтового сервера причина (отказ каналов связи) может лежать вне зоны ответственности администраторов сервера (например, отказ магистральных каналов связи). Также следует отметить, что понятие «доступность» субъективно в каждый момент времени для каждого из субъектов, потребляющих услугу или информацию в данный момент времени. В частности, нарушение доступности почтового сервера для одного сотрудника может означать срыв индивидуальных планов и потерю контракта, а для другого сотрудника той же организации – невозможность получить выпуск свежих новостей.
Угрозы нарушения целостности – это угрозы, связанные с вероятностью модификации той или иной информации, хранящейся в ИС. Нарушение целостности может быть вызвано различными факторами – от умышленных действий персонала до выхода из строя оборудования. Нарушение целостности может быть как умышленным, так и неумышленным (причиной неумышленного нарушения целостности может выступать, например, неисправно работающее оборудование).
Угрозы нарушения конфиденциальности – это угрозы, связанные с доступом к информации вне привилегий доступа, имеющегося для данного конкретного субъекта. Подобные угрозы могут возникать вследствие «человеческого фактора» (например, случайное делегировании тому или иному пользователю привилегий другого пользователя), сбоев работе программных и аппаратных средств.
Реализация каждой из указанных угроз в отдельности или их совокупности приводит к нарушению информационной безопасности предприятия.
Собственно говоря, все мероприятия по обеспечению информационной безопасности должны строиться по принципу миниманизации указанных угроз.
Все мероприятия по обеспечению ИБ условно можно рассматривать на двух основных уровнях: на уровне физического доступа к данным и на уровне логического доступа к данным, которые являются следствием административных решений (политик).
На уровне физического доступа к данным рассматриваются механизмы защиты данных от несанкционированного доступа и механизмы защиты от повреждения физических носителей данных. Защита от несанкционированного доступа предполагает размещения серверного оборудования с данными в отдельном помещении, доступ к которому имеет лишь персонал с соответствующими полномочиями. На этом же уровне в качестве средств защиты возможно создание географически распределенной системы серверов. Уровень защиты от физического повреждения предполагает организацию различного рода специализированных систем, предотвращающих подобные процессы. К их числу относят: серверные кластера и back-up (резервного копирования) сервера. При работе в кластере (например, двух серверов) в случае физического отказа одного из них второй будет продолжать работу, таким образом работоспособность вычислительной системы и данных не будет нарушена. При дополнительной организации резервного копирования (back-up сервера) возможно быстрое восстановление вычислительной системы и данных даже в случае выхода из строя второго сервера в кластере.
Уровень защиты от логического доступа к данным предполагает защиту от несанкционированного доступа в систему (здесь и далее по тексту под системой понимается ИТ система, предназначенная для порождения, хранения и обработки данных любого класса – от простых учетных систем до решений класса ERP) как на уровне баз данных, так и на уровне ядра системы и пользовательских форм. Защита на этом уровне предполагает принятие мер по предотвращению доступа к базе данных как из Интернет, так и из локальной сети организации (на последний аспект обеспечения безопасности традиционно обращается мало внимания, хотя этот аспект напрямую связан с таким явлением, как промышленный шпионаж). Защита ядра системы предполагает, наряду с обозначенными выше мерами, вычисление контрольных сумм критических частей исполнимого кода и периодический аудит этих контрольных сумм. Подобный подход позволяет повысить общую степень защищенности системы. (Следует отметить, что указанное мероприятие не является единственным; оно приводится как удачный пример). Обеспечение безопасности на уровне пользовательских форм декларирует обязательное шифрование трафика, передающегося по локальной сети (или через Интернет) между клиентом (пользовательской формой) и приложением (ядром системы). Также безопасность на этом уровне может обеспечиваться вычислением контрольных сумм этих форм, с последующей их проверкой, принятием идеологии «разделения данных и кода». Например, система, построенная по технологии «тонкого клиента» с позиций обеспечения безопасности на данном уровне имеет преимущество перед системой, построенной по технологии «толстого клиента», поскольку на уровне пользовательских форм не предоставляет доступа к коду бизнес-логики (например, путем дизассемблирования исполняемого файла). К этому же уровню защиты относится механизм сертификации, когда в обмене между пользовательской формой и сервером, а также подлинность самой пользовательской формы подтверждается третьим участником обмена – центром сертификации.
Аналогично, на уровне защиты от логического доступа на уровне баз данных доступа целесообразно вычислять контрольные суммы критически важных таблиц, и вести журнал учета доступа объектов к базе данных. В идеальном случае («тонкий клиент») доступ к базе данных имеет лишь серверное приложение (сервер бизнес-логики), а все остальные (сторонние) запросы к БД блокируются. Подобный подход позволит исключить несколько типов атак и сконцентрировать политику защиты БД на обеспечении безопасности «по критическим точкам».
К защите на уровне административных решений относят административные меры, направленные на создание четкой и понятной политики в отношении ИТ, ИС, информационной безопасности и т.д. Можно сказать, что данный уровень является по отношению к пользователю первичным – поскольку именно защита на уровне административных решений способна предотвратить большинство критических ситуаций, связанных с информационной безопасностью.
Следует рассмотреть еще два важных вопроса, связанных с безопасностью – методы и средства аутентификации пользователей и протоколирование событий, происходящих в ИС.
Аутентификация пользователей относится к логическому уровню обеспечения информационной безопасности. Цель этой процедуры состоит в том, чтобы во-первых, сообщить ИС, какой именно пользователь работает с ним, для предоставления ему соответствующих прав и интерфейсов; во-вторых, подтвердить права данного конкретного пользователя по отношению к ИС. Традиционно процедура аутентификации сводится к вводу пользователем имени пользователя (логина) и пароля.
Довольно часто, в критически важных приложениях, форма ввода имени пользователя/пароля представляет собой работающее в защищенном программном (реже – аппаратном) тоннеле приложение, безусловно шифрующее всю передающуюся по сети информацию. К сожалению, наиболее частой является ситуация, когда имя пользователя и пароль передаются по сети в открытом виде (например, по этому принципу работают большинство известных бесплатных почтовых систем в сети Интернет). Кроме программных (ввод комбинации имя пользователя/пароль) существуют и программно-аппаратные и аппаратные решения для аутентификации пользователей. К ним относятся дискеты и USB-носители с ключевым файлом (довольно часто – в комбинации с вводом обычного имени/пароля, для подтверждения полномочий на критичные действия), защищенным от копирования; однократно записываемые USB-носители с ключевым файлом; сканеры радужной оболочки глаза; сканеры отпечатков пальцев; системы антропологии. Одним из вариантов повышения степени защиты ИС является ограничение времени действия пароля и ограничение времени бездействия пользователя в ИС. Ограничение времени действия пароля представляет собой выдачу пароля, который действует лишь определенное число дней – 30, 60 и т.д. Соответственно, с периодической сменой паролей повышается степень защищенности ИС в целом. Ограничение времени бездействия пользователя предполагает автоматическое закрытия сеанса пользователя в случае, если в этом сеансе не была зафиксирована пользовательская активность в течении определенного периода времени.
Протоколирование всех событий, происходящих в ИС, необходимо для получения четкой картины о попытках несанкционированного доступа, либо по неквалифицированным действиям персонала по отношению к ИС. Частой ситуацией является введение в ИС специализированных модулей, анализирующих системные события, и предотвращающих деструктивные действия по отношению к ИС. Подобные модули могут работать, исходя из двух предпосылок: обнаружения вторжений и предотвращение превышения доступности. В первом случае модули статистически анализируют типичное поведение пользователя, и выдают «тревогу» в случае заметных отклонений (например, работа оператора в 22-30 первый раз за два года является безусловно подозрительной); во втором случае на основе анализа текущего сеанса работы пользователя пытаются предотвратить потенциально деструктивные действия (например, попытку удаления какой-либо информации).
Примечание:
ИБ – информационная безопасность
ИТ – информационные технологии
ИС – информационные системы или информационная система (по контексту)
Классификация источников угроз
Классификация угроз информационной безопасности
Тема 2 - Угрозы информационной безопасности
Понятия угрозы безопасности объекта и уязвимости объекта были введены ранее. Для полного представления взаимодействия угрозы и объекта защиты введем понятия источника угрозы и атаки.
Угроза безопасности объекта - возможное воздействие на объект, которое прямо или косвенно может нанести ущерб его безопасности.
Источник угрозы - это потенциальные антропогенные , техногенные или стихийные носители угрозы безопасности.
Уязвимость объекта - это присущие объекту причины, приводящие к нарушению безопасности информации на объекте.
Атака - это возможные последствия реализации угрозы при взаимодействии источника угрозы через имеющиеся уязвимости. Атака - это всегда пара «источник - уязвимость», реализующая угрозу и приводящая к ущербу.
Рисунок 2.1
Предположим , студент ходит на учебу каждый день и при этом пересекает проезжую часть в неположенном месте. И однажды он попадает под машину, что причиняет ему ущерб, при котором он теряет трудоспособность и не может посещать занятия. Проанализируем данную ситуацию. Последствия в данном случае - это убытки, которые студент понес в результате несчастного случая. Угрозой у нас выступает автомобиль, который сбил студента. Уязвимостью явилось то, что студент пересекал проезжую часть в неустановленном месте. А источником угрозы в данной ситуации явилась та некая сила, которая не дала возможности водителю избежать наезда на студента.
С информацией не намного сложнее . Угроз безопасности информации не так уж и много. Угроза, как следует из определения, - это опасность причинения ущерба, то есть в этом определении проявляется жесткая связь технических проблем с юридической категорией, каковой является «ущерб».
Проявления возможного ущерба могут быть различны:
Моральный и материальный ущерб деловой репутации организации;
Моральный, физический или материальный ущерб, связанный с разглашением персональных данных отдельных лиц;
Материальный (финансовый) ущерб от разглашения защищаемой (конфиденциальной) информации;
Материальный (финансовый) ущерб от необходимости восстановления нарушенных защищаемых информационных ресурсов;
Материальный ущерб (потери) от невозможности выполнения взятых на себя обязательств перед третьей стороной;
Моральный и материальный ущерб от дезорганизации деятельности организации;
Материальный и моральный ущерб от нарушения международных отношений.
Угрозами безопасности информации являются нарушения при обеспечении:
2. Доступности;
3. Целостности.
Конфиденциальность информации - это свойство информации быть известной только аутентифицированным законным ее владельцам или пользователям.
Нарушения при обеспечении конфиденциальности:
Хищение (копирование) информации и средств ее обработки;
Утрата (неумышленная потеря, утечка) информации и средств ее обработки.
Доступность информации - это свойство информации быть доступной для аутентифицированных законных ее владельцев или пользователей.
Нарушения при обеспечении доступности:
Блокирование информации;
Уничтожение информации и средств ее обработки.
Целостность информации - это свойство информации быть неизменной в семантическом смысле при воздействии на нее случайных или преднамеренных искажений или разрушающих воздействий.
Нарушения при обеспечении целостности:
Модификация (искажение) информации;
Отрицание подлинности информации;
Навязывание ложной информации.
Носителями угроз безопасности информации являются источники угроз. В качестве источников угроз могут выступать как субъекты (личность), так и объективные проявления. Причем, источники угроз могут находиться как внутри защищаемой организации - внутренние источники, так и вне ее - внешние ис-точники.
Все источники угроз безопасности информации можно разделить на три основные группы:
1 Обусловленные действиями субъекта (антропогенные источники угроз).
2 Обусловленные техническими средствами (техногенные источники угрозы).
3 Обусловленные стихийными источниками.
Антропогенными источниками угроз безопасности информации выступают субъекты, действия которых могут быть квалифицированы как умышленные или случайные преступления. Только в этом случае можно говорит о причинении ущерба. Эта группа наиболее обширна и представляет наибольший интерес с точки зрения организации защиты, так как действия субъекта всегда можно оценить, спрогнозировать и принять адекватные меры. Методы противодействия в этом случае управляемы и напрямую зависят от воли организаторов защиты информации.
В качестве антропогенного источника угроз можно рассматривать субъекта, имеющего доступ (санкционированный или несанкционированный) к работе со штатными средствами защищаемого объекта. Субъекты (источники), действия которых могут привести к нарушению безопасности информации, могут быть как внешние, так и внутренние. Внешние источники могут быть случайными или пред-намеренными и иметь разный уровень квалификации.
Внутренние субъекты (источники), как правило, представляют собой высококвалифицированных специалистов в области разработки и эксплуатации программного обеспечения и технических средств, знакомы со спецификой решаемых задач, структурой и основными функциями и принципами работы программно-аппаратных средств защиты информации, имеют возможность использования штатного оборудования и технических средств сети.
Необходимо учитывать также, что особую группу внутренних антропогенных источников составляют лица с нарушенной психикой и специально внедренные и завербованные агенты, которые могут быть из числа основного, вспомогательного и технического персонала, а также представителей службы защиты информации. Данная группа рассматривается в составе перечисленных выше источников угроз, но методы парирования угрозам для этой группы могут иметь свои отличия.
Вторая группа содержит источники угроз, определяемые технократической деятельностью человека и развитием цивилизации. Однако последствия, вызванные такой деятельностью, вышли из-под контроля человека и существуют сами но себе. Данный класс источников угроз безопасности информации особенно актуален в современных условиях, так как в сложившихся условиях эксперты ожидают резкого роста числа техногенных катастроф, вызванных физическим и моральным устареванием используемого оборудования, а также отсутствием материальных средств на его обновление. Технические средства, являющиеся источниками потенциальных угроз безопасности информации, также могут быть внешними и внутренними.
Третья группа источников угроз объединяет обстоятельства, составляющие непреодолимую силу, то есть такие обстоятельства, которые носят объективный и абсолютный характер, распространяющийся на всех. К непреодолимой силе в законодательстве и договорной практике относят стихийные бедствия или иные обстоятельства, которые невозможно предусмотреть или предотвратить или возможно предусмотреть, но невозможно предотвратить при современном уровне че-ловеческого знания и возможностей. Такие источники угроз совершенно не поддаются прогнозированию, и поэтому меры защиты от них должны применяться всегда.
Стихийные источники потенциальных угроз информационной безопасности, как правило, являются внешними по отношению к защищаемому объекту и под ними понимаются, прежде всего, природные катаклизмы.
Классификация и перечень источников угроз приведены в таблице 2.1.
Таблица 2.1 - Классификация и перечень источников угроз информационной безопасности
| Антропогенные источники | Внешние | Криминальные структуры |
| Потенциальные преступники и хакеры | ||
| Недобросовестные партнеры | ||
| Технический персонал поставщиков телекоммуникационных услуг | ||
| Представители надзорных организаций и аварийных служб | ||
| Представители силовых структур | ||
| Внутренние | Основной персонал (пользователи, программисты, разработчики) | |
| Представители службы защиты информации (администраторы) | ||
| Вспомогательный персонал (уборщики, охрана) | ||
| Технический персонал (жизнеобеспечение, эксплуатация) | ||
| Техногенные источники | Внешние | Средства связи |
| Сети инженерных коммуникации (водоснабжения, канализации) | ||
| Транспорт | ||
| Внутренние | Некачественные технические средства обработки информации | |
| Некачественные программные средства обработки информации | ||
| Вспомогательные средства (охраны, сигнализации, телефонии) | ||
| Другие технические средства, применяемые в учреждении | ||
| Стихийные источники | Внешние | Пожары |
| Землетрясения | ||
| Наводнения | ||
| Ураганы | ||
| Магнитные бури | ||
| Радиоактивное излучение | ||
| Различные непредвиденные обстоятельства | ||
| Необъяснимые явления | ||
| Другие форс-мажорные обстоятельства |
Все источники угроз имеют разную степень опасности К опуг, которую можно количественно оценить, проведя их ранжирование. При этом оценка степени опасности проводится по косвенным показателям.
В качестве критериев сравнения (показателей) можно выбрать:
Возможность возникновения источника K 1 - определяет степень доступности к возможности использовать уязвимость для антропогенных источников, удаленность от уязвимости для техногенных источников или особенности обстановки для случайных источников;
Готовность источника К 2 - определяет степень квалификации и привлекательность совершения деяний со стороны источника угрозы для антропогенных источников или наличие необходимых условий для техногенных и стихийных источников;
Фатальность К 3 - определяет степень неустранимости последствий реализации угрозы.
Каждый показатель оценивается экспертно-аналитическим методом по пятибалльной системе. Причем, 1 соответствует самой минимальной степени влияния оцениваемого показателя на опасность использования источника, а 5 - максимальной.
К опуг для отдельного источника можно определить как отношение произведения вышеприведенных показателей к максимальному значению (125):
Угрозы , как возможные опасности совершения какого-либо действия, направленного против объекта защиты, проявляются не сами по себе, а через уязвимости, приводящие к нарушению безопасности информации на конкретном объекте информатизации.
Уязвимости присущи объекту информатизации, неотделимы от него и обусловливаются недостатками процесса функционирования, свойствами архитектуры автоматизированных систем, протоколами обмена и интерфейсами, применяемыми программным обеспечением и аппаратной платформой, условиями эксплуатации и расположения.
Источники угроз могут использовать уязвимости для нарушения безопасности информации, получения незаконной выгоды (нанесения ущерба собственнику, владельцу, пользователю информации). Кроме того, возможны не злонамеренные действия источников угроз по активизации тех или иных уязвимостей, наносящих вред.
Каждой угрозе могут быть сопоставлены различные уязвимости. Устранение или существенное ослабление уязвимостей влияет на возможность реализации угроз безопасности информации.
Уязвимости безопасности информации могут быть:
Объективными;
Субъективными;
Случайными.
Объективные уязвимости зависят от особенностей построения и технических характеристик оборудования, применяемого на защищаемом объекте. Полное устранение этих уязвимостей невозможно, но они могут существенно ослабляться техническими и инженерно-техническими методами парирования угроз безопасности информации.
Субъективные уязвимости зависят от действий сотрудников и, в основном устраняются организационными и программно-аппаратными методами.
Случайные уязвимости зависят от особенностей окружающей защищаемый объект среды и непредвиденных обстоятельств. Эти факторы, как правило, мало предсказуемы и их устранение возможно только при проведении комплекса организационных и инженерно-технических мероприятий по противодействию, угрозам информационной безопасности.
Классификация и перечень уязвимостей информационной безопасности приведены в таблице 2.2.
Таблица 2.2 - Классификация и перечень уязвимостей информационной безопасности
| Объективные уязвимости | Сопутствующие техническим средствам излучения | Электромагнитные | Побочные излучения элементов технических средств |
| Кабельных линий технических средств | |||
| Излучения на частотах работы генераторов | |||
| На частотах самовозбуждения усилителей | |||
| Электрические | Наводки электромагнитных излучений на линии и проводники | ||
| Просачивание сигналов в цепи электропитания, в цепи заземления | |||
| Неравномерность потребления тока электропитания | |||
| Звуковые | Акустические | ||
| Виброакустические | |||
| Активизируемые | Аппаратные закладки устанавливаемые | В телефонные линии | |
| В сети электропитания | |||
| В помещениях | |||
| В технических средствах | |||
| Программные закладки | Вредоносные программы | ||
| Технологические выходы из программ | |||
| Нелегальные копии ПО | |||
| Определяемые особенностями элементов | Элементы, обладающие электроакустическими преобразованиями | Телефонные аппараты | |
| Громкоговорители и микрофоны | |||
| Катушки индуктивности | |||
| Дроссели | |||
| Трансформаторы и пр. | |||
| Элементы, подверженные воздействию электромагнитного поля | Магнитные носители | ||
| Микросхемы | |||
| Нелинейные элементы, подверженные ВЧ навязыванию | |||
| Определяемые особенностями защищаемого объекта | Местоположением объекта | Отсутствие контролируемой зоны | |
| Наличие прямой видимости объектов | |||
| Удаленных и мобильных элементов объекта | |||
| Вибрирующих отражающих поверхностей | |||
| Организацией каналов обмена информацией | Использование радиоканалов | ||
| Глобальных информационных сетей | |||
| Арендуемых каналов | |||
| Субъективные уязвимости | Ошибки (халатность) | При подготовке и использовании программного обеспечения | При разработке алгоритмов и программного обеспечения |
| При инсталляции и загрузке программного обеспечения | |||
| При эксплуатации программного обеспечения | |||
| При вводе данных (информации) | |||
| При настройке сервисов универсальных систем | |||
| Самообучающейся (самонастраивающейся) сложной системы систем | |||
| При эксплуатации технических средств | При включении/выключении технических средств | ||
| При использовании технических средств охраны | |||
| Некомпетентные действия | При конфигурировании и управлении сложной системы | ||
| При настройке программного обеспечения | |||
| При организации управления потоками обмена информации | |||
| При настройке технических средств | |||
| При настройке штатных средств защиты программного обеспечения | |||
| Неумышленные действия | Повреждение (удаление) программного обеспечения | ||
| Повреждение (удаление) данных | |||
| Повреждение (уничтожение) носителей информации | |||
| Повреждение каналов связи | |||
| Нарушения | Режима охраны и защиты | Доступа на объект | |
| Доступа к техническим средствам | |||
| Соблюдения конфиденциальности | |||
| Режима эксплуатации технических средств и ПО | Энергообеспечения | ||
| Жизнеобеспечения | |||
| Установки нештатного оборудования | |||
| Инсталляции нештатного ПО (игрового, обучающего, технологического) | |||
| Использования информации | Обработки и обмена информацией | ||
| Хранения и уничтожения носителей информации | |||
| Уничтожения производственных отходов и брака | |||
| Психогенные | Психологические | Антагонистические отношения (зависть, озлобленность, обида) | |
| Неудовлетворенность своим положением | |||
| Неудовлетворенность действиями руководства (взыскание, увольнение) | |||
| Психологическая несовместимость | |||
| Психические | Психические отклонения | ||
| Стрессовые ситуации | |||
| Физиологические | Физическое состояние (усталость, болезненное состояние) | ||
| Психосоматическое состояние | |||
| Случайные уязвимости | Сбои и отказы | Отказы и неисправности технических средств | Обрабатывающих информацию |
| Обеспечивающих работоспособность средств обработки информации | |||
| Обеспечивающих охрану и контроль доступа | |||
| Старение и размагничивание носителей информации | Дискет и съемных носителей | ||
| Жестких дисков | |||
| Элементов микросхем | |||
| Кабелей и соединительных линий | |||
| Сбои программного обеспечения | Операционных систем и СУБД | ||
| Прикладных программ | |||
| Сервисных программ | |||
| Антивирусных программ | |||
| Сбои электроснабжения | Оборудования, обрабатывающего информацию | ||
| Обеспечивающего и вспомогательного оборудования |
Все уязвимости имеют разную степень опасности K опуяз, которую можно количественно оценить, проведя их ранжирование.
При этом в качестве критериев сравнения можно выбрать:
Фатальность K 4 - определяет степень влияния уязвимости на неустранимость последствий реализации угрозы;
Доступность K 5 - определяет возможность использования уязвимости источником угроз;
Количество K 6 - определяет количество элементов объекта, которым характерен та или иная уязвимость.
K опуяз для отдельной уязвимости можно определить как отношение произведения вышеприведенных показателей к максимальному значению (125):
Модель нарушителя информационной безопасности - это набор предположений об одном или нескольких возможных нарушителях информационной безопасности, их квалификации, их технических и материальных средствах и т. д.
Правильно разработанная модель нарушителя является гарантией построения адекватной системы обеспечения информационной безопасности. Опираясь на построенную модель, уже можно строить адекватную систему информационной защиты.
Чаще всего строится неформальная модель нарушителя, отражающая причины и мотивы действий, его возможности, априорные знания, преследуемые цели, их приоритетность для нарушителя, основные пути достижения поставленных целей: способы реализации исходящих от него угроз, место и характер действия, возможная тактика и т. п. Для достижения поставленных целей нарушитель должен приложить определенные усилия и затратить некоторые ресурсы.
Определив основные причины нарушений, представляется возможным оказать на них влияние или необходимым образом скорректировать требования к системе защиты от данного типа угроз. При анализе нарушений защиты необходимо уделять внимание субъекту (личности) нарушителя. Устранение причин или мотивов, побудивших к нарушению, в дальнейшем может помочь избежать повторения подобного случая.
Модель может быть не одна, целесообразно построить несколько отличающихся моделей разных типов нарушителей информационной безопасности объекта защиты.
Для построения модели нарушителя используется информация, полученная от служб безопасности и аналитических групп, данные о существующих средствах доступа к информации и ее обработки, о возможных способах перехвата данных на стадиях их передачи, обработки и хранении, об обстановке в коллективе и на объекте защиты, сведения о конкурентах и ситуации на рынке, об имевших место свершившихся случаях нарушения информационной безопасности и т. п.
Кроме этого оцениваются реальные оперативные технические возможности злоумышленника для воздействия на систему защиты или на защищаемый объект. Под техническими возможностями подразумевается перечень различных технических средств, которыми может располагать нарушитель в процессе совершения действий, направленных против системы информационной защиты.
Нарушители бывают внутренними и внешними.
Среди внутренних нарушителей в первую очередь можно выделить:
Непосредственных пользователей и операторов информационной системы, в том числе руководителей различных уровней;
Администраторов вычислительных сетей и информационной безопасности;
Прикладных и системных программистов;
Сотрудников службы безопасности;
Технический персонал по обслуживанию зданий и вычислительной техники, от уборщицы до сервисного инженера;
Вспомогательный персонал и временных работников.
Среди причин, побуждающих сотрудников к неправомерным действиям, можно указать следующие:
Безответственность;
Ошибки пользователей и администраторов;
Демонстрацию своего превосходства (самоутверждение);
- «борьбу с системой»;
Корыстные интересы пользователей системы;
Недостатки используемых информационных технологий.
Группу внешних нарушителей могут составлять:
Клиенты;
Приглашенные посетители;
Представители конкурирующих организаций;
Сотрудники органов ведомственного надзора и управления;
Нарушители пропускного режима;
Наблюдатели за пределами охраняемой территории.
Помимо этого классификацию можно проводить по следующим параметрам.
Используемые методы и средства:
Сбор информации и данных;
Пассивные средства перехвата;
Использование средств, входящих в информационную систему или систему ее защиты, и их недостатков;
Активное отслеживание модификаций существующих средств обработки информации, подключение новых средств, использование специализированных утилит, внедрение программных закладок и «черных ходов» в систему, подключение к каналам передачи данных.
Уровень знаний нарушителя относительно организации информационной структуры:
Типовые знания о методах построения вычислительных систем, сетевых протоколов, использование стандартного набора программ;
Высокий уровень знаний сетевых технологий, опыт работы со специализированными программными продуктами и утилитами;
Высокие знания в области программирования, системного проектирования и эксплуатации вычислительных систем;
Обладание сведениями о средствах и механизмах защиты атакуемой системы;
Нарушитель являлся разработчиком или принимал участие в реализации системы обеспечения информационной безопасности.
Время информационного воздействия:
В момент обработки информации;
В момент передачи данных;
В процессе хранения данных (учитывая рабочее и нерабочее состояния системы).
По месту осуществления воздействия:
Удаленно с использованием перехвата информации, передающейся по каналам передачи данных, или без ее использования;
Доступ на охраняемую территорию;
Непосредственный физический контакт с вычислительной техникой, при этом можно выделить: доступ к рабочим станциям, доступ к серверам предприятия, доступ к системам администрирования, контроля и управления информационной системой, доступ к программам управления системы обеспечения информационной безопасности.
В таблице 2.3 приведены примеры моделей нарушителей информационной безопасности и их сравнительная характеристика.
Таблица 2.3 - Сравнительная характеристика нескольких моделей нарушителя
| Характеристика | Хакер-одиночка | Группа хакеров | Конкуренты | Госструктуры, спецподразделения |
| Вычислительная мощность технических средств | Персональный компьютер | ЛВС, использование чужих вычислительных сетей | Мощные вычислительные сети | Неограниченная вычислительная мощность |
| Доступ к интернету, тип каналов доступа | Модем или выделенная линия | Использование чужих каналов с высокой пропускной способностью | Собственные каналы с высокой пропускной способностью | Самостоятельный контроль над маршрутизацией трафика в Интернете |
| Финансовые возможности | Сильно ограничены | Ограничены | Большие возможности | Практически неограниченные |
| Уровень знаний в области IT | Невысокий | Высокий | Высокий | Высокий, разработчики стандартов |
| Используемые технологии | Готовые программы, известные уязвимости | Поиск новых уязвимостей, изготовление вредоносных программ | Современные методы проникновения в информационные системы и воздействия на потоки данных в ней | Доскональные знания информационных технологий: возможные уязвимости и недостатки |
| Знания о построении системы защиты объекта | Недостаточные знания о построении информационной системы | Могут предпринимать усилия для получения представления о принципах функционирования системы защиты | Могут предпринимать усилия для получения представления о принципах функционирования системы защиты, внедрять своего представителя в службу безопасности | В процессе сертификации системы представители госорганов могут получать достаточно полную информацию о ее построении |
| Преследуемые цели | Эксперимент | Внесение искажений в работу системы | Блокировка функционирования системы, подрыв имиджа, разорение | Непредсказуемые |
| Характер действий | Скрытый | Скрытый | Скрытый или открытый демонстративный | Может не утруждать себя сокрытием своих действий |
| Глубина проникновения | Чаще всего останавливается после первого успешного воздействия | До момента достижения поставленной цели или появления серьезного препятствия | До победного конца | Ничего не способно их остановить |