Навигация
2. Исчезновение (пропажа)
а) информации в средствах обработки;
б) информации при передаче по телекоммуникационным каналам;
в) носителей информации;
г) персонала.
Даже первичный анализ приведенного перечня угроз безопасности информации, показывает, что для обеспечения комплексной безопасности необходимо принятие как организационных, так и технических решений парирования. Такой подход позволяет дифференцировано подойти к распределению материальных ресурсов, выделенных на обеспечение информационной безопасности.
Необходимо отметить, что оценить весовые коэффициенты каждой угрозы достаточно затруднительно из-за высокой латентности их проявлений и отсутствия вразумительной статистики по этому вопросу. Поэтому в современной литературе можно найти различные шкалы оценок. Вместе с тем, на основе анализа, проводимого различными специалистами в области компьютерных преступлений и собственными наблюдениями, по частоте проявления угрозы безопасности можно расставить так:
1. кража (копирование) программного обеспечения
2. подмена (несанкционированный ввод) информации
3. уничтожение (разрушение) данных на носителях информации
4. нарушение нормальной работы (прерывание) в результате вирусных атак
5. модификация (изменение) данных на носителях информации
6. перехват (несанкционированный съем) информации
7. кража (несанкционированное копирование) ресурсов
8. нарушение нормальной работы (перегрузка) каналов связи
9. непредсказуемые потери.
Несмотря на предложенную градацию (примем ее только к сведению) для простоты будем считать, что каждая угроза может себя рано или поздно проявить и, поэтому, все они равны, то есть при построении модели принято, что весовые коэффициенты каждой угрозы равны 1.
Описав состав угроз безопасности информации, мы еще не решили проблемы моделирования их воздействия. Все эти угрозы по-разному проявляются в каждой точке корпоративной сети. Поэтому попробуем оценить, исходя из обычной логики, в какой точке какая угроза представляет наибольшую опасность (рис. 7).
Наложение угроз безопасности информации на модель корпоративной сети позволяет в первом приближении оценить их опасность и методом исключения определить наиболее актуальные для конкретного объекта защиты. Кроме того, можно в первом приближении оценить объемы необходимых работ и выбрать магистральное направление по обеспечению защиты информации.
Следствием реализации выявленных угроз безопасности информации, в конечном счете, может стать ущемление прав собственника (пользователя) информации или нанесение ему материального ущерба, наступившее в результате:
1. уничтожения информации из-за нарушения программных, аппаратных или программно-аппаратных средств ее обработки или систем защиты, форс-мажорных обстоятельств, применения специальных технических (например, размагничивающих генераторов), программных (например, логических бомб) средств воздействия, осуществляемого конкурентами, персоналом учреждения или его филиалов, преступными элементами или поставщиками средств обработки информации в интересах третьих лиц;
2. модификации или искажения информации вследствие нарушения программных, аппаратных или программно-аппаратных средств ее обработки или систем защиты, форс-мажорных обстоятельств, применения специальных программных (например, лазеек) средств воздействия, осуществляемого конкурентами, персоналом учреждения, поставщиками средств обработки информации в интересах третьих лиц;
3. хищения информации путем подключения к линиям связи или техническим средствам, за счет снятия и расшифровки сигналов побочных электромагнитных излучений, фотографирования, кражи носителей информации, подкупа или шантажа персонала учреждения или его филиалов, прослушивания конфиденциальных переговоров, осуществляемого конкурентами, персоналом учреждения или преступными элементами, несанкционированного копирования информации, считывания данных других пользователей, мистификации (маскировки под запросы системы), маскировки под зарегистрированного пользователя, проводимых обслуживающим персоналом автоматизированной системы, хищение информации с помощью программных ловушек;
4. махинаций с информацией путем применения программных, программно-аппаратных или аппаратных средств, осуществляемых в интересах третьих лиц поставщиками средств обработки информации или проводимых персоналом учреждения, а также путем подделки электронной подписи или отказа от нее.
Анализ уязвимости - необходимый этап в создании эффективной системы охраны. По его результатам разрабатываются проектные варианты технических комплексов безопасности. Рассмотрим методику создания инженерных моделей и оценки показателей уязвимости и эффективности системы защиты. Все эти сведения помогут руководителям решать проблемы обеспечения безопасности объектов.
Системный подход - как инструмент оптимизации и снижения риска ошибочных решений - требует, чтобы созданию новой или модернизации уже имеющейся системы предшествовало обоснование проектных и организационных решений. Для систем охраны основу такого обоснования составляет анализ уязвимости объекта. Под уязвимостью объекта понимается степень его незащищенности к воздействию нарушителей. Она противоположна эффективности охраны (защиты) объекта, степени его защищенности от нанесения ущерба нарушителями.
Анализ уязвимости объекта проводится с целью определения возможных последствий воздействия нарушителей на элементы объекта, оценки показателей уязвимости объекта (эффективности охраны), выявления слабых мест и недостатков существующей системы охраны или рассматриваемых проектных вариантов системы, а в итоге - выбора наилучшего варианта системы охраны для конкретного объекта /3/.
Анализ уязвимости объекта включает:
1. разработку модели нарушителей;
2. выделение и категорирование особо важных зон объекта;
3. оценку показателей уязвимости;
4. определение слабых мест и недостатков в системе охраны.
Модель нарушителей
Модель нарушителей определяет:
1. категории (типы) нарушителей, которые могут воздействовать на объект;
2. цели, которые могут преследовать нарушители каждой категории, возможный количественный состав, используемые инструменты, принадлежности, оснащение, оружие и проч.;
3. типовые сценарии возможных действий нарушителей, описывающие последовательность (алгоритм) действий групп и отдельных нарушителей, способы их действий на каждом этапе.
Следует учитывать как внешних нарушителей, проникающих на территорию, в зоны, здания и помещения объекта извне, так и внутренних, т.е. из числа штатного персонала объекта или из числа посетителей, имеющих возможность легальным путем получить пропуск либо допуск на объект. Естественно, необходимо учитывать в модели возможность сговора и совместных действий внешних и внутренних нарушителей.
В модель нарушителей следует включать максимально исчерпывающие сведения о действиях нарушителей. Целесообразно также оценивать степени возможности или субъективные вероятности использования нарушителями каждой выделенной категории сценариев и способов действий. Для получения указанных оценок применяются специальные модели и методики, использующие методы экспертных оценок.
Конечно, для определенных объектов вполне допустимо исключить из рассмотрения некоторые категории и маловероятные способы действий нарушителей. Но лучше все же в модели максимально полно описать и охарактеризовать всех потенциально возможных нарушителей, включая и гипотетических, четко указать, какие категории и способы действий исключаются из рассмотрения для данного объекта сегодня и на каких основаниях.
При этом остается возможность впоследствии уточнить прежние взгляды и усилить охрану с учетом более опасных нарушителей.
Модель нарушителей может иметь разную степень детализации.
Содержательная модель нарушителей отражает систему принятых руководством объекта, ведомства взглядов на контингент потенциальных нарушителей, причины и мотивацию их действий, преследуемые цели и общий характер действий в процессе подготовки и совершения акций воздействия.
Сценарии воздействия нарушителей определяют классифицированные типы совершаемых нарушителями акций с конкретизацией алгоритмов и этапов, а также способов действия на каждом этапе.
Математическая модель воздействия нарушителей представляет собой формализованное описание сценариев в виде логико-алгоритмической последовательности действий нарушителей, количественных значений, параметрически характеризующих результаты действий, и функциональных (аналитических, численных или алгоритмических) зависимостей, описывающих протекающие процессы взаимодействия нарушителей с элементами объекта и системы охраны. Именно этот вид модели используется для количественных оценок уязвимости объекта и эффективности охраны.
Для объекта необходимо определить все зоны и помещения, при проникновении в которые нарушители могут нанести объекту ущерб определенной категории. Эти зоны, здания и помещения являются целевыми зонами нарушителей. К ним относятся зоны доступа к особо ценным материалам, оборудованию, носителям информации, а также применения огневых или диверсионных средств и проч.
Указанные зоны следует разделить по категориям ущерба. Примерами категорий ущерба являются: неприемлемый ущерб, когда нарушители могут вызвать крупную аварию, похитить особо важные документы, информацию, оборудование; существенный ущерб, когда последствия хищения или диверсии парализуют работу объекта на определенное время; материальный ущерб (большой, средний, малый), когда последствиями будут материальные потери соответствующих масштабов. Категории ущерба упорядочиваются по своей опасности. В целом же категорию зданий и объекта определяет самая опасная категория ущерба особо важных зон в здании и на объекте.
Показателями уязвимости объекта и его особо важных зон являются степень уязвимости в порядковой шкале оценок (пример степеней: очень высокая, высокая, средняя, ниже средней, низкая) или вероятность успешного воздействия нарушителей Рв в вероятностной шкале. Обратным показателем по отношению к показателю уязвимости является показатель устойчивости системы - степень защищенности объекта (зоны) или вероятность обезвреживания нарушителей Ро до нанесения объекту ущерба. Эти показатели связаны соотношением Рв= 1-Pо, поэтому при анализе можно использовать любой из них.
Для оценки показателей уязвимости (устойчивости) используются методы математического моделирования, для чего разрабатываются специальные модели и методики. Модель оценки представляет собой формализованный алгоритм расчета указанных показателей. Методика определяет порядок подготовки и ввода исходных данных, получения и представления результатов оценок. Современные модели оценки реализуются в виде компьютерных программ-приложений.
На сегодняшний день известны модели и методики оценки показателей уязвимости (устойчивости), разработанные в США, других странах. Есть такие модели и в ряде ведомств России, но последние носят внутриведомственный характер и не нашли еще широкого применения и признания.
Практика применения подобных моделей показала, что они весьма удобны и полезны при обосновании проектных решений. Уже сам процесс создания и применения моделей оценки, анализа получаемых результатов дает исключительно богатую информацию для специалистов. Едва ли не главное в использовании моделей - формализация процедур оценок и анализа, снижения субъективности в оценках, ясное представление эффекта реализации конкретной системы охраны. Лучше всего иметь набор моделей оценки, использующих различные методы расчета и моделирования, уровни детализации и представления структуры объекта и исходных данных.
2. 3. Разработка методов и средств мониторинга для выявления фактов применения несанкционированных информационных воздействийДоктрина информационной безопасности Российской Федерации к специфическим направлениям обеспечения информационной безопасности относит разработку эффективной системы мониторинга объектов повышенной опасности, нарушение функционирования которых может привести к возникновению чрезвычайных ситуаций, и прогнозирования чрезвычайных ситуаций. Рассмотрим одну из таких систем.
С ростом популярности Интернета, электронная почта остается важнейшим средством коммуникаций. На ее долю приходится более половины всего сетевого трафика. Электронная почта имеет все необходимые качества для того, чтобы быть самым популярным средством связи: низкая стоимость, простота использования, большое количество пользователей. Удобство обмена информацией с помощью электронной почты сделали это средство коммуникации самым распространенным видом связи для большинства организаций.
Однако, наряду с многочисленными преимуществами, существует ряд рисков, связанных с использованием электронной почты, которые могут привести к значительному снижению эффективности работы организации, потере значимой информации.
Система мониторинга и архивирования почтовых сообщений (СМАП) "Дозор-Джет" представляет собой специализированное программное средство, позволяющее реализовать корпоративную политику использования электронной почты в части обеспечения информационной безопасности.
"Дозор-Джет" позволяет решить ряд проблем, связанных с неконтролируемым использованием электронной почты, таких как:
1. Утечка конфиденциальной информации;
2. Передача сообщений неприемлемого содержания;
3. Передача потенциально опасных вложений, вирусов и вредоносных кодов;
4. Передача неприемлемых вложений — большого размера, нежелательного формата и т.д.;
5. Несанкционированные почтовые рассылки ("спам");
6. Ошибочное направление писем;
7. Потери рабочего времени, ресурсов или блокирование почтового сервиса.
Система "Дозор-Джет" осуществляет мониторинг и контроль всех входящих, исходящих и внутренних почтовых сообщений. Мониторинг включает в себя анализ заголовков и структуры сообщений и проверку на наличие в тексте сообщения или прикрепленных файлах разрешенных или запрещенных к использованию в почтовых сообщениях слов или последовательностей слов. Результатом мониторинга может стать, например, задержание подозрительных писем. "Дозор-Джет" позволяет задавать корпоративные правила обработки входящей и исходящей почты, в зависимости от тех или иных предопределенных событий, например:
1. Запрет пересылки файлов формата EXE всем, кроме разработчиков программного обеспечения;
2. Запрет пересылки картинок формата GIF и JPEG всем, кроме сотрудников рекламного отдела;
3. Ограничение на объем и количество присоединенных файлов, направляемых отдельным адресатам;
4. Автоматическое уведомление руководителя подразделения о письмах с определенными пометками или отвечающих поставленным условиям.
Использование гибкой системы фильтрации сообщений позволяет реализовать практически любую схему прохождения электронной почты. Например, возможна так называемая отложенная доставка почтового сообщения, когда решение о доставке конечному пользователю предпринимается только после дополнительного анализа Администратором безопасности и другими системами безопасности (проверка на наличие вирусов, контроль массовой рассылки сообщений рекламного характера, наличие неопознанных (закодированных) вложений и пр.).
Все попадающие в "Дозор-Джет" почтовые сообщения проходят процедуру разбора на составляющие компоненты. При этом происходит разбор как заголовков сообщения (отправитель, получатель, скрытая копия, тело сообщения и пр.), так и всей его структуры, вне зависимости от количества уровней вложенности. Это позволяет анализировать сообщения, содержащие прикрепленные файлы, а также сообщения, которые были несколько раз перенаправлены корреспондентами.
Анализ разобранных сообщений включает:
1. Определение характеристик сообщения — отправитель, получатель, дата, размер, структура;
2. Определение характеристик вложений — имя, размер, тип, количество;
3. Распознавание форматов вложений — сжатия/архивирования, документов, исполнимых файлов, графических, аудио- и видео файлов;
4. Анализ текста в заголовках сообщения, теме, теле письма и вложенных файлах.
При обнаружении соответствия почтовых сообщений заданным в правилах фильтрации критериям, система осуществляет одно или несколько из заранее предписанных действий:
1. Отправка сообщения получателю;
2. Отказ в передаче (блокировка сообщения);
3. Задержка сообщения для последующего анализа;
4. Помещение в карантинную зону;
5. Регистрация сообщения;
6. Архивирование сообщения;
7. Проставление пометок;
8. Отправка уведомления (оповещение администратора системы и др.).
При этом обязательно осуществляется протоколирование всех производимых действий.
Рассмотрим еще несколько программных средств мониторинга.
Intruder Alert
Это программный продукт, предназначенный для выявления несанкционированных действий и противодействия им. Продукт в постоянном режиме ведет наблюдение за всей сетью и выявляет подозрительные действия в условиях многоплатформенных сетей. Intruder Alert позволяет обеспечить безопасность предприятия, запуская специальные процедуры на тех системах, где установлены агенты. В случае обнаружения атаки Intruder Alert может запустить до 14 различных способов противодействия. В состав Intruder Alert входят следующие архитектурные компоненты: ITA Admin, ITA View, менеджер и агенты.
SunShield BSM (Basic security module)
Это базовый модуль сервисов безопасности, встроенный в серверные системы на ОС Solaris. Модуль, встроенный в ядро операционной системы, собирает информацию по десяткам тысяч событий, происходящих в системе. Для удобства обработки события структурированы по 20 различным классам. Собранная информация может анализироваться локально, может передаваться на выделенный сервер безопасности либо обрабатываться средствами автоматического реагирования на попытки НСД (Intruder Alert, CyberCop Server).
NFR - Network Flight Recorder
Network Flight Recorder (NFR) представляет собой программное средство автоматического выявления несанкционированных действий и реагирования на них.
Позволяет создавать собственные фильтры для распознавания атак, строить свои сценарии реакций на попытки НСД и писать программы для различной статистической обработки событий.
NFR анализирует состояние сетевого трафика и статистическую информацию, позволяя администратору сети оценить степень загруженности сети, оперативно просматривать данные об использовании системных ресурсов и возникновении неисправностей в работе сети, нештатной (подозрительной) активности и о попытках несанкционированного доступа в систему. NFR характеризуется обширной базой данных известных сетевых атак; настраиваемыми сценариями реакций на события; возможностью выбора способов уведомления администратора о событиях; мощными средствами создания отчетов.
NFR работает под управлением различных UNIX-ориентированных ОС. Поставляется с исходными текстами.
2. 4. Разработка методологии и методического аппарата оценки ущерба от воздействия угроз информационной безопасности
Виды возможного ущерба от нарушения безопасности информации определяются следующими факторами /5/:
1. основными функциями и задачами объектов информатики (ОИ);
2. организацией информационного обмена на ОИ;
3. видом и содержанием информации, подвергшейся воздействию угроз;
4. видом источника угроз безопасности информации (БИ) и видом нарушения БИ.
На основе анализа указанных выше факторов проведена классификация возможных видов ущерба от нарушения безопасности информации на типовых ОИ. По виду нарушения безопасности информации можно выделить следующие виды ущерба на типовых ОИ:
1. ущерб от нарушения конфиденциальности информации;
2. ущерб от нарушения ценности информации;
3. ущерб от нарушения доступности информации.
По характеру проявления ущерб можно разделить на прямой и косвенный. Прямой ущерб связан с воздействием угроз БИ непосредственно на информацию и ее носители и проявляется как необходимость затрат людских и материальных ресурсов на восстановление информации и/или ее носителей.
Косвенный ущерб связан с последствиями нарушения безопасности информации на типовых ОИ для субъектов информационных отношений (потребителей информации), в качестве которых могут выступать:
1. государство;
2. организации, предприятия (в т.ч. негосударственные);
3. граждане страны.
В этом случае ущерб проявляется как людские, моральные или материальные потери в различных сферах деятельности субъектов информационных отношений (в политической, экономической, военной, научно-технической, социальной сферах). По величине потерь (масштаба ущерба) ущерб может быть классифицирован как очень значительный, значительный, средний, незначительный и очень незначительный.
Для более детального определения вида и величины ущерба необходимо разработать (или использовать существующие) модели ситуаций, приводящие к возникновению ущерба в результате нарушения безопасности информации в различных подсистемах и звеньях типовых ОИ.
Для определения показателей ущерба от нарушения безопасности информации необходимо проанализировать механизм возникновения ущерба от различных угроз БИ на типовых ОИ. Ущерб от нарушения БИ на типовом ОИ является следствием следующих событий:
0 комментариев