Реферат: Модели угроз безопасности систем и способы их реализации, определение критериев уязвимости и устойчивости систем к деструктивным воздействиям, разработка методов и средств мониторинга для выявления фактов применения несанкционированных информационных
министерство образования
российскойфедерации
Воронежский государственный технический университет
Кафедра «Системы информационной безопасности»
р е ф е р а т
по дисциплине: «Введение в специальность»
на тему: «Модели угроз безопасности систем и способы ихреализации, определение критериев уязвимости и устойчивости систем кдеструктивным воздействиям, разработка методов и средств мониторинга для выявленияфактов применения несанкционированных информационных воздействий, разработкаметодологии и методического аппарата оценки ущерба от воздействия угроз информационнойбезопасности»
Выполнил: студент группы КБ-021
Ларин Александр Владимирович
Принял: д. т. н., проф.
Остапенко Александр Григорьевич
Воронеж 2002
МОДЕЛИ УГРОЗБЕЗОПАСНОСТИ СИСТЕМ И СПОСОБЫ ИХ РЕАЛИЗАЦИИ, ОПРЕДЕЛЕНИЕ КРИТЕРИЕВ УЯЗВИМОСТИ ИУСТОЙЧИВОСТИ СИСТЕМЫ К ДЕСТРУКТИВНЫМ ВОЗДЕЙСТВИЯМ, РАЗРАБОТКА МЕТОДОЛОГИИ ИСРЕДСТВ МОНИТОРИНГА ДЛЯ ВЫЯВЛЕНИЯ ФАКТОВ ПРИМЕНЕНИЯ НЕСАНКЦИОНИРАВАННЫХИНФОРМАЦИОННЫХ ВОЗДЕЙСТВИЙ, РАЗРАБОТКА МЕТОДОЛОГИИ И МЕТОДИЧЕСКОГО АППАРАТАОЦЕНКИ УЩЕРБА ОТ ВОЗДЕЙСТВИЙ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ.студ. А.В. Ларин, д-р техн. наук, проф. А. Г. Остапенко
В настоящем реферате осуществлен анализ моделей угрозбезопасности систем и способов их реализации, определены критерии уязвимости иустойчивости систем к деструктивным воздействиям, рассмотрены системымониторинга фактов применения несанкционированных информационных воздействий, атакже проведен анализ методологии и методического аппарата оценки ущерба отвоздействия угроз информационной безопасности.
СОДЕРЖАНИЕ
Стр.
1. ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ………………………………………………….4
1. 1. Актуальность темы…………………………...………………………………………….4
1. 2. Цель работы……………………………………...………………………………………..6
1. 3. Задачи работы……………………………………...…………………………………..…7
2. ОСНОВНОЕ СОДЕРЖАНИЕ…………………………………………………………..……8
2. 1. Модели угроз безопасности систем и способы ихреализации………………...……8
2. 2. Определение критериев уязвимости и устойчивостисистем к деструктивным
воздействиям..…………………………………………………………………………...……17
2. 3. Разработка методов и средств мониторинга длявыявления фактов применения
несанкционированных информационных воздействий………………………………...19
2. 4. Разработка методов и методологии аппарата оценкиущерба от воздействий
угроз информационной безопасности……………………………………………………...22
3. ОСНОВНЫЕ РЕЗУЛЬТАТЫ РАБОТЫ………………………………………………......26
4. СПИСОК ИСПОЛЬЗОВАННЫХ ИНФОРМАЦИОННЫХ ИСТОЧНИКОВ……….27
1. ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ
1. 1. Актуальность работы
Всебольше в прошлое уходит бесполезное нагромождение различных средств защиты,которое стало «модным» в результате реакции на первую волну страха передкомпьютерными преступлениями. К тому, что защита информации должна носитькомплексный характер, все начинают постепенно привыкать. При этомкомпании-заказчики больше не хотят выбрасывать деньги на ветер, они хотятприобретать только то, что им действительно необходимо для построения надежнойсистемы защиты информации. Но организация обеспечения безопасности информациидолжна не просто носить комплексный характер, а еще и основываться на глубокоманализе возможных негативных последствий. При этом важно не упустить какие-либосущественные аспекты.
Принятый в настоящее время курс на вступление России в ВТО идругие влиятельные международные организации заметно способствует формированиюположительного образа нашей страны на международной арене. Однако этот процесстребует и гармонизации стандартов в различных областях деятельности, в томчисле и в области информационной безопасности. Таки образом, признание натерритории России наиболее распространенных в мире стандартов в областиинформационных технологий, в области защиты информации – это естественный иобязательный шаг на пути продвижения в избранном направлении.
Процесс признания в России международных стандартов позащите информации не является обособленным исключительным решением, астановится естественной составной частью реформирования всей системыстандартизации. В настоящее время в России наряду с отечественной нормативнойбазой широко используются около 140 международных стандартов в областиинформационных технологий, из них около 30 затрагивают вопросы защитыинформации.
Одним из наиболее значимых является стандарт ИСО/МЭК15408–99 «Критерии оценки безопасности информационных технологий», болееизвестный как «Общие критерии». Этот стандарт дает новую методологиюформирования требований по безопасности информационных технологий, отвечающихсовременному уровню их развития, и методологию оценки безопасности продуктов исистем информационных технологий.
Но вся идеология этого стандарта построена на необходимостиглубокого изучения и анализа существующей обстановки и, особенно, выявленииактуальных угроз информационной безопасности. При этом должны быть оценены всеугрозы, с которыми можно столкнуться, и выбраны только те, которые могут повлиятьна безопасность информации. Стандарт предполагает, что при описании угроздолжны быть идентифицированы источники этих угроз, методы воздействия,уязвимости, присущие объекту и многое другое.
Именно поэтому выбор правильной методологии оценки возможныхугроз информационной безопасности является одним из основных направлений припереходе к международным требованиям.
Оценивать опасность можнопо-разному. Можно, например, ждать каких-либо проявлений угроз, оценивать этипроявления, определять пути ликвидации и ждать следующего проявления. Однако,этот вариант дорог и, по всей вероятности, вряд ли вызовет энтузиазм усобственников защищаемой информации. Можно попробовать учиться на чужихошибках, но, из-за большой латентности нарушений компьютерной безопасности,этот вариант не всегда сможет дать объективную картину.
Самымразумным остается сначала представить все возможные варианты угроз, а затемотобрать наиболее применимые к конкретному случаю. Здесь опять-такиальтернатива: либо использовать накопленный банк данных уже случившихсявариантов проявлений угроз (и не быть до конца уверенным, что все варианты ужебыли), либо попытаться создать методологический инструмент формирования полявозможных проявлений угроз, основанный на изучении всех влияющих факторов ипозволяющий рассмотреть все возможные, даже самые маловероятные варианты.
Такая методология анализа и оценки возможностей реализацииугроз информационной безопасности должна быть основана на построении моделиугроз, классификации, анализе и оценки источников угроз, уязвимостей (факторов)и методов реализации.
1. 2. Цель работы
Цельюданного реферата является рассмотрение моделей угроз безопасности систем испособов их реализации, анализировать критерии уязвимости и устойчивости системк деструктивным воздействиям, описать средства мониторинга для выявления фактовприменения несанкционированных информационных воздействий, рассмотреть характерразработки методологии и методического аппарата оценки ущерба от воздействияугроз информационной безопасности.
1.3. Задачи работы
Для достижения поставленной цели необходимо решить следующиезадачи:
1. Описать основные модели угроз безопасности систем испособов их реализации.
2. Системно анализировать критерии уязвимости систем кдеструктивным воздействиям.
3. Описать некоторые средства мониторинга для выявленияфактов применения несанкционированных информационных воздействий.
4. Довести до читателя сведения о методологии оценки ущербаот воздействий угроз информационной безопасности.
2.ОСНОВНОЕ СОДЕРЖАНИЕ
2.1. Модели угроз безопасности систем и способы ихреализации
Моделированиепроцессов нарушения информационной безопасности целесообразно осуществлять на основерассмотрения логической цепочки: «угроза – источник угрозы – метод реализации –уязвимость – последствия» (рис. 1.).
/>
В ходе анализа необходимо убедиться, что все возможныеисточники угроз идентифицированы, все возможные уязвимости идентифицированы исопоставлены с идентифицированными источниками угроз, всем идентифицированнымисточникам угроз и уязвимостям (факторам) сопоставлены методы реализации.
Приэтом важно иметь возможность, при необходимости, не меняя самого методическогоинструментария, вводить новые виды источников угроз, методов реализации,уязвимостей, которые станут известны в результате развития знаний в этойобласти /2/.
Каквидно, анализ негативных последствий реализации угроз предполагает обязательнуюидентификацию (например, присвоение уникального кода) возможных источниковугроз, уязвимостей, способствующих их проявлению и методов реализации, то естьклассификацию (рис. 2.).
Угрозы классифицируются по возможности нанесенияущерба субъекту отношений при нарушении целей безопасности. Ущерб может бытьпричинен каким-либо субъектом (преступление, вина или небрежность), а такжеявиться следствием независящим от субъекта проявлений.Угроз не так уж имного.
/>
Всеисточники угроз можно разделить на классы, обусловленные типом носителя, классыделятся на группы по местоположению (рис. 3.).
/>
Уязвимоститакже можно разделить на классы по принадлежности к источнику уязвимостей,классы на группы и подгруппы по проявлениям (рис. 4.).
/>
Методыреализации можно разделить на группы по способам реализации (рис. 5.). При этомнеобходимо учитывать, что само понятие «метод», применимо только прирассмотрении реализации угроз антропогенными источниками. Для техногенных истихийных источников, это понятие трансформируется в понятие «предпосылка».
/>
Классификациявозможностей реализации угроз, то есть атак, представляет собой совокупностьвозможных вариантов действий источника угроз определенными методами реализациис использованием уязвимостей, которые приводят к реализации целей атаки.
Цельатаки может не совпадать с целью реализации угроз и может быть направлена наполучения промежуточного результата, необходимого для достижения в дальнейшемреализации угрозы. В случае не совпадения целей атаки с целью реализации угрозы,сама атака рассматривается как этап подготовки к совершению действий,направленных на реализацию угрозы, то есть как «подготовка к совершению»противоправного действия.
Результатоматаки являются последствия, которые являются реализацией угрозы и/или способствуюттакой реализации.
Самподход к анализу и оценке состояния безопасности информации основывается навычислении весовых коэффициентов опасности для источников угроз и уязвимостей,сравнения этих коэффициентов с заранее заданным критерием и последовательномсокращении (исключении) полного перечня возможных источников угроз иуязвимостей до минимально актуального для конкретного объекта.
Исходными данными для проведения оценки и анализа служатрезультаты анкетирования субъектов отношений, направленные на уяснениенаправленности их деятельности, предполагаемых приоритетов целейбезопасности, задач, решаемых АС и условий расположения и эксплуатации объекта/5/.
Благодаря такому подходу возможно:
1. установить приоритеты целейбезопасности для субъекта отношений;
2. определить Перечень актуальных источников угроз;
3. определитьПеречень актуальных уязвимостей;
4. оценитьвзаимосвязь угроз, источников угроз и уязвимостей;
5. определитьПеречень возможных атак на объект;
6. описатьвозможные последствия реализации угроз.
/>
Результатыпроведения оценки и анализа могут быть использованы при выборе адекватныхоптимальных методов парирования угрозам, а также при аудите реального состоянияинформационной безопасности объекта для целей его страхования.
Влитературе, посвященной вопросам защиты информации можно найти различныеварианты моделей угроз безопасности информации. Это объясняется стремлениемболее точно описать многообразные ситуации воздействия на информацию иопределить наиболее адекватные меры парирования. В принципе, можно пользоватьсялюбой понравившейся моделью, необходимо только убедиться, что она описываетмаксимально большое число факторов, влияющих на безопасность информации. Нопрежде всего надо помнить, что пользователю, то есть потребителю информации иинформационных услуг, оказываемых корпоративной сетью, глубоко без разницы неполучит он информацию вовремя, получит ее в искаженном виде или вообще потеряетпо вине неправильной работы технических средств, пожара в серверном зале или засчет действий злоумышленника. Итог для него во всех случаях одинаков — понесенные убытки (моральные или материальные).
Чтоже такое угроза безопасности информации? Это — действие, направленное противобъекта защиты, проявляющееся в опасности искажений и потерь информации.
Необходимотакже учитывать, что источники угроз безопасности могут находиться как внутрифирмы — внутренние источники, так и вне ее — внешние источники. Такое делениеоправдано потому, что для одной и той же угрозы (например, кража) методыпарирования для внешних и внутренних источников будут разными.
Присоставлении модели угроз использовались различные широко используемые внастоящее время варианты моделей, разработанные специалистами в области защитыинформации государственных и негосударственных научных учреждений. Исходя изпроведенного анализа, все источники угроз безопасности информации,циркулирующей в корпоративной сети можно разделить на три основные группы /7/:
I. Угрозы, обусловленные действиями субъекта (антропогенные угрозы)
II. Угрозы, обусловленныетехническими средствами (техногенные угрозы)
III. Угрозы, обусловленные стихийными источниками
Первая группа наиболее обширна ипредставляет наибольший интерес с точки зрения организации парирования этимугрозам, так как действия субъекта всегда можно оценить, спрогнозировать ипринять адекватные меры. Методы противодействия этим угрозам управляемы инапрямую зависят от воли организаторов защиты информации.
Субъекты,действия которых могут привести к нарушению безопасности информации могут бытькак внешние:
1. криминальные структуры;
2. рецидивисты и потенциальные преступники;
3. недобросовестные партнеры;
4. конкуренты;
5. политические противники;
таки внутренние:
1. персонал учреждения;
2. персонал филиалов;
3. лица с нарушенной психикой;
4. специально внедренные агенты.
Основываясь на результатах международного ироссийского опыта, действия субъектов могут привести к ряду нежелательныхпоследствий, среди которых применительно к корпоративной сети, можно выделитьследующие:
1.Кража
а)технических средств (винчестеров, ноутбуков, системных блоков);
б)носителей информации (бумажных, магнитных, оптических и пр.);
в)информации (чтение и несанкционированное копирование);
г)средств доступа (ключи, пароли, ключевая документация и пр.).
2.Подмена (модификация)
а)операционных систем;
б)систем управления базами данных;
в)прикладных программ;
г)информации (данных), отрицание факта отправки сообщений;
д)паролей и правил доступа.
3.Уничтожение (разрушение)
а)технических средств (винчестеров, ноутбуков, системных блоков);
б)носителей информации (бумажных, магнитных, оптических и пр.);
в)программного обеспечения (ОС, СУБД, прикладного ПО)
г)информации (файлов, данных)
д)паролей и ключевой информации.
4.Нарушение нормальной работы (прерывание)
а)скорости обработки информации;
б)пропускной способности каналов связи;
в)объемов свободной оперативной памяти;
г)объемов свободного дискового пространства;
д)электропитания технических средств;
5.Ошибки
а)при инсталляции ПО, ОС, СУБД;
б)при написании прикладного ПО;
в)при эксплуатации ПО;
г)при эксплуатации технических средств.
6.Перехват информации (несанкционированный)
а)за счет ПЭМИ от технических средств;
б)за счет наводок по линиям электропитания;
в)за счет наводок по посторонним проводникам;
г)по акустическому каналу от средств вывода;
д)по акустическому каналу при обсуждении вопросов;
е)при подключении к каналам передачи информации;
ж)за счет нарушения установленных правил доступа (взлом).
Втораягруппа содержит угрозы менее прогнозируемые, напрямую зависящие от свойствтехники и поэтому требующие особого внимания. Технические средства, содержащимипотенциальные угрозы безопасности информации так же могут быть внутренними:
1. некачественные технические средства обработки информации;
2. некачественные программные средства обработки информации;
3. вспомогательные средства (охраны, сигнализации, телефонии);
4. другие технические средства, применяемые в учреждении;
ивнешними:
1. средства связи;
2. близко расположенные опасные производства;
3. сети инженерных коммуникации (энерго-, водоснабжения, канализации);
4. транспорт.
Последствиямиприменения таких технических средств, напрямую влияющими на безопасность информациимогут быть:
1.Нарушение нормальной работы
а)нарушение работоспособности системы обработки информации;
б)нарушение работоспособности связи и телекоммуникаций;
в)старение носителей информации и средств ее обработки;
г)нарушение установленных правил доступа;
д)электромагнитное воздействие на технические средства.
2.Уничтожение (разрушение)
а)программного обеспечения, ОС, СУБД;
б)средств обработки информации (броски напряжений, протечки);
в)помещений
г)информации (размагничивание, радиация, протечки и пр.);
д)персонала.
3.Модификация (изменение)
а)программного обеспечения. ОС, СУБД;
б)информации при передаче по каналам связи и телекоммуникациям.
Третьюгруппу составляют угрозы, которые совершенно не поддаются прогнозированию ипоэтому меры их парирования должны применяться всегда. Стихийные источники, составляющиепотенциальные угрозы информационной безопасности, как правило, являютсявнешними по отношению к рассматриваемому объекту и под ними понимаются, преждевсего, природные катаклизмы:
1. пожары;
2. землетрясения;
3. наводнения;
4. ураганы;
5. другие форс-мажорные обстоятельства;
6. различные непредвиденные обстоятельства;
7. необъяснимые явления.
Этиприродные и необъяснимые явления так же влияют на информационную безопасность,опасны для всех элементов корпоративной сети и могут привести к следующимпоследствиям:
1.Уничтожение (разрушение)
а)технических средств обработки информации;
б)носителей информации;
в)программного обеспечения (ОС, СУБД, прикладного ПО);
г)информации (файлов, данных);
д)помещений;
е)персонала.
2.Исчезновение (пропажа)
а)информации в средствах обработки;
б)информации при передаче по телекоммуникационным каналам;
в)носителей информации;
г)персонала.
Дажепервичный анализ приведенного перечня угроз безопасности информации,показывает, что для обеспечения комплексной безопасности необходимо принятиекак организационных, так и технических решений парирования. Такой подходпозволяет дифференцировано подойти к распределению материальных ресурсов,выделенных на обеспечение информационной безопасности.
Необходимоотметить, что оценить весовые коэффициенты каждой угрозы достаточнозатруднительно из-за высокой латентности их проявлений и отсутствиявразумительной статистики по этому вопросу. Поэтому в современной литературеможно найти различные шкалы оценок. Вместе с тем, на основе анализа, проводимогоразличными специалистами в области компьютерных преступлений и собственныминаблюдениями, по частоте проявления угрозы безопасности можно расставить так:
1. кража (копирование) программного обеспечения
2. подмена (несанкционированный ввод) информации
3. уничтожение (разрушение) данных на носителях информации
4. нарушение нормальной работы (прерывание) в результате вирусныхатак
5. модификация (изменение) данных на носителях информации
6. перехват (несанкционированный съем) информации
7. кража (несанкционированное копирование) ресурсов
8. нарушение нормальной работы (перегрузка) каналов связи
9. непредсказуемые потери.
Несмотряна предложенную градацию (примем ее только к сведению) для простоты будем считать,что каждая угроза может себя рано или поздно проявить и, поэтому, все ониравны, то есть при построении модели принято, что весовые коэффициенты каждойугрозы равны 1.
Описавсостав угроз безопасности информации, мы еще не решили проблемы моделированияих воздействия. Все эти угрозы по-разному проявляются в каждой точкекорпоративной сети. Поэтому попробуем оценить, исходя из обычной логики, вкакой точке какая угроза представляет наибольшую опасность (рис. 7).
Наложение угроз безопасности информации на моделькорпоративной сети позволяет в первом приближении оценить их опасность иметодом исключения определить наиболее актуальные для конкретного объектазащиты. Кроме того, можно в первом приближении оценить объемы необходимых работи выбрать магистральное направление по обеспечению защиты информации.
Следствиемреализации выявленных угроз безопасности информации, в конечном счете, можетстать ущемление прав собственника (пользователя) информации или нанесение емуматериального ущерба, наступившее в результате:
1. уничтожения информации из-за нарушения программных, аппаратныхили программно-аппаратных средств ее обработки или систем защиты, форс-мажорныхобстоятельств, применения специальных технических (например, размагничивающихгенераторов), программных (например, логических бомб) средств воздействия,осуществляемого конкурентами, персоналом учреждения или его филиалов,преступными элементами или поставщиками средств обработки информации винтересах третьих лиц;
2. модификации или искажения информации вследствие нарушенияпрограммных, аппаратных или программно-аппаратных средств ее обработки илисистем защиты, форс-мажорных обстоятельств, применения специальных программных(например, лазеек) средств воздействия, осуществляемого конкурентами, персоналомучреждения, поставщиками средств обработки информации в интересах третьих лиц;
3. хищения информации путем подключения к линиям связи илитехническим средствам, за счет снятия и расшифровки сигналов побочныхэлектромагнитных излучений, фотографирования, кражи носителей информации,подкупа или шантажа персонала учреждения или его филиалов, прослушивания конфиденциальныхпереговоров, осуществляемого конкурентами, персоналом учреждения илипреступными элементами, несанкционированного копирования информации, считыванияданных других пользователей, мистификации (маскировки под запросы системы),маскировки под зарегистрированного пользователя, проводимых обслуживающимперсоналом автоматизированной системы, хищение информации с помощью программныхловушек;
4. махинаций с информацией путем применения программных,программно-аппаратных или аппаратных средств, осуществляемых в интересахтретьих лиц поставщиками средств обработки информации или проводимых персоналомучреждения, а также путем подделки электронной подписи или отказа от нее.
/>
2. 2. Определение критериев уязвимости и устойчивостисистем к деструктивным воздействиямАнализуязвимости — необходимый этап в создании эффективной системы охраны. По его результатамразрабатываются проектные варианты технических комплексов безопасности. Рассмотримметодику создания инженерных моделей и оценки показателей уязвимости и эффективностисистемы защиты. Все эти сведения помогут руководителям решать проблемы обеспечениябезопасности объектов.
Системныйподход — как инструмент оптимизации и снижения риска ошибочных решений — требует, чтобы созданию новой или модернизации уже имеющейся системыпредшествовало обоснование проектных и организационных решений. Для системохраны основу такого обоснования составляет анализ уязвимости объекта. Подуязвимостью объекта понимается степень его незащищенности к воздействию нарушителей.Она противоположна эффективности охраны (защиты) объекта, степени егозащищенности от нанесения ущерба нарушителями.
Анализуязвимости объекта проводится с целью определения возможных последствий воздействиянарушителей на элементы объекта, оценки показателей уязвимости объекта (эффективностиохраны), выявления слабых мест и недостатков существующей системы охраны или рассматриваемыхпроектных вариантов системы, а в итоге — выбора наилучшего варианта системыохраны для конкретного объекта /3/.
Анализуязвимости объекта включает:
1. разработку моделинарушителей;
2. выделение икатегорирование особо важных зон объекта;
3. оценку показателейуязвимости;
4. определение слабыхмест и недостатков в системе охраны.
Модельнарушителей
Модельнарушителей определяет:
1. категории (типы)нарушителей, которые могут воздействовать на объект;
2. цели, которые могутпреследовать нарушители каждой категории, возможный количественный состав,используемые инструменты, принадлежности, оснащение, оружие и проч.;
3. типовые сценариивозможных действий нарушителей, описывающие последовательность (алгоритм)действий групп и отдельных нарушителей, способы их действий на каждом этапе.
Следуетучитывать как внешних нарушителей, проникающих на территорию, в зоны, здания ипомещения объекта извне, так и внутренних, т.е. из числа штатного персоналаобъекта или из числа посетителей, имеющих возможность легальным путем получитьпропуск либо допуск на объект. Естественно, необходимо учитывать в моделивозможность сговора и совместных действий внешних и внутренних нарушителей.
В модельнарушителей следует включать максимально исчерпывающие сведения о действияхнарушителей. Целесообразно также оценивать степени возможности или субъективныевероятности использования нарушителями каждой выделенной категории сценариев испособов действий. Для получения указанных оценок применяются специальныемодели и методики, использующие методы экспертных оценок.
Конечно, дляопределенных объектов вполне допустимо исключить из рассмотрения некоторыекатегории и маловероятные способы действий нарушителей. Но лучше все же вмодели максимально полно описать и охарактеризовать всех потенциально возможныхнарушителей, включая и гипотетических, четко указать, какие категории и способыдействий исключаются из рассмотрения для данного объекта сегодня и на какихоснованиях.
При этомостается возможность впоследствии уточнить прежние взгляды и усилить охрану сучетом более опасных нарушителей.
Модельнарушителей может иметь разную степень детализации.
Содержательнаямодель нарушителей отражает систему принятых руководством объекта, ведомствавзглядов на контингент потенциальных нарушителей, причины и мотивацию их действий,преследуемые цели и общий характер действий в процессе подготовки и совершенияакций воздействия.
Сценариивоздействия нарушителей определяют классифицированные типы совершаемыхнарушителями акций с конкретизацией алгоритмов и этапов, а также способовдействия на каждом этапе.
Математическаямодель воздействия нарушителей представляет собой формализованное описаниесценариев в виде логико-алгоритмической последовательности действийнарушителей, количественных значений, параметрически характеризующих результатыдействий, и функциональных (аналитических, численных или алгоритмических)зависимостей, описывающих протекающие процессы взаимодействия нарушителей сэлементами объекта и системы охраны. Именно этот вид модели используется дляколичественных оценок уязвимости объекта и эффективности охраны.
Для объектанеобходимо определить все зоны и помещения, при проникновении в которыенарушители могут нанести объекту ущерб определенной категории. Эти зоны, зданияи помещения являются целевыми зонами нарушителей. К ним относятся зоны доступак особо ценным материалам, оборудованию, носителям информации, а такжеприменения огневых или диверсионных средств и проч.
Указанные зоныследует разделить по категориям ущерба. Примерами категорий ущерба являются:неприемлемый ущерб, когда нарушители могут вызвать крупную аварию, похитить особоважные документы, информацию, оборудование; существенный ущерб, когдапоследствия хищения или диверсии парализуют работу объекта на определенное время; материальный ущерб (большой,средний, малый), когда последствиями будут материальные потери соответствующихмасштабов. Категории ущерба упорядочиваются по своей опасности. В целом же категориюзданий и объекта определяет самая опасная категория ущерба особо важных зон вздании и на объекте.
Показателямиуязвимости объекта и его особо важных зон являются степень уязвимости в порядковойшкале оценок (пример степеней: очень высокая, высокая, средняя, ниже средней,низкая) или вероятность успешного воздействия нарушителей Рв ввероятностной шкале. Обратным показателем по отношению к показателю уязвимостиявляется показатель устойчивости системы — степень защищенности объекта (зоны)или вероятность обезвреживания нарушителей Ро до нанесения объектуущерба. Эти показатели связаны соотношением Рв= 1-Pо, поэтому прианализе можно использовать любой из них.
Для оценкипоказателей уязвимости (устойчивости) используются методы математическогомоделирования, для чего разрабатываются специальные модели и методики. Модельоценки представляет собой формализованный алгоритм расчета указанныхпоказателей. Методика определяет порядок подготовки и ввода исходных данных,получения и представления результатов оценок. Современные модели оценкиреализуются в виде компьютерных программ-приложений.
На сегодняшнийдень известны модели и методики оценки показателей уязвимости (устойчивости),разработанные в США, других странах. Есть такие модели и в ряде ведомствРоссии, но последние носят внутриведомственный характер и не нашли еще широкогоприменения и признания.
Практикаприменения подобных моделей показала, что они весьма удобны и полезны приобосновании проектных решений. Уже сам процесс создания и применения моделейоценки, анализа получаемых результатов дает исключительно богатую информациюдля специалистов. Едва ли не главное в использовании моделей — формализацияпроцедур оценок и анализа, снижения субъективности в оценках, ясноепредставление эффекта реализации конкретной системы охраны. Лучше всего иметьнабор моделей оценки, использующих различные методы расчета и моделирования,уровни детализации и представления структуры объекта и исходных данных.
2. 3. Разработка методов и средств мониторинга длявыявления фактов применения несанкционированных информационных воздействийДоктринаинформационной безопасности Российской Федерации к специфическим направлениямобеспечения информационной безопасности относит разработку эффективной системымониторинга объектов повышенной опасности, нарушение функционирования которыхможет привести к возникновению чрезвычайных ситуаций, и прогнозированиячрезвычайных ситуаций. Рассмотрим одну из таких систем.
Сростом популярности Интернета, электронная почта остается важнейшим средствомкоммуникаций. На ее долю приходится более половины всего сетевого трафика.Электронная почта имеет все необходимые качества для того, чтобы быть самымпопулярным средством связи: низкая стоимость, простота использования, большоеколичество пользователей. Удобство обмена информацией с помощью электроннойпочты сделали это средство коммуникации самым распространенным видом связи длябольшинства организаций.
Однако, наряду с многочисленными преимуществами, существуетряд рисков, связанных с использованием электронной почты, которые могутпривести к значительному снижению эффективности работы организации, потерезначимой информации.
Система мониторинга и архивирования почтовых сообщений(СМАП) «Дозор-Джет» представляет собой специализированное программноесредство, позволяющее реализовать корпоративную политику использованияэлектронной почты в части обеспечения информационной безопасности.
«Дозор-Джет» позволяет решить ряд проблем,связанных с неконтролируемым использованием электронной почты, таких как:
1. Утечка конфиденциальной информации;
2. Передача сообщений неприемлемого содержания;
3. Передача потенциально опасных вложений, вирусов и вредоносных кодов;
4. Передача неприемлемых вложений — большого размера, нежелательногоформата и т.д.;
5. Несанкционированные почтовые рассылки («спам»);
6. Ошибочное направление писем;
7. Потери рабочего времени, ресурсов или блокирование почтового сервиса.
Система«Дозор-Джет» осуществляет мониторинг и контроль всех входящих,исходящих и внутренних почтовых сообщений. Мониторинг включает в себя анализзаголовков и структуры сообщений и проверку на наличие в тексте сообщения илиприкрепленных файлах разрешенных или запрещенных к использованию в почтовыхсообщениях слов или последовательностей слов. Результатом мониторинга можетстать, например, задержание подозрительных писем. «Дозор-Джет»позволяет задавать корпоративные правила обработки входящей и исходящей почты,в зависимости от тех или иных предопределенных событий, например:
1. Запрет пересылки файлов формата EXE всем, кроме разработчиковпрограммного обеспечения;
2. Запрет пересылки картинок формата GIF и JPEG всем, кроме сотрудниковрекламного отдела;
3. Ограничение на объем и количество присоединенных файлов, направляемыхотдельным адресатам;
4. Автоматическое уведомление руководителя подразделения о письмах сопределенными пометками или отвечающих поставленным условиям.
Использование гибкой системы фильтрации сообщений позволяетреализовать практически любую схему прохождения электронной почты. Например,возможна так называемая отложенная доставка почтового сообщения, когда решениео доставке конечному пользователю предпринимается только после дополнительногоанализа Администратором безопасности и другими системами безопасности (проверкана наличие вирусов, контроль массовой рассылки сообщений рекламного характера,наличие неопознанных (закодированных) вложений и пр.).
/>
Всепопадающие в «Дозор-Джет» почтовые сообщения проходят процедуруразбора на составляющие компоненты. При этом происходит разбор как заголовковсообщения (отправитель, получатель, скрытая копия, тело сообщения и пр.), так ивсей его структуры, вне зависимости от количества уровней вложенности. Этопозволяет анализировать сообщения, содержащие прикрепленные файлы, а такжесообщения, которые были несколько раз перенаправлены корреспондентами.
Анализразобранных сообщений включает:
1. Определение характеристик сообщения — отправитель, получатель, дата,размер, структура;
2. Определение характеристиквложений — имя, размер, тип, количество;
3. Распознавание форматов вложений — сжатия/архивирования, документов,исполнимых файлов, графических, аудио- и видео файлов;
4. Анализ текста в заголовках сообщения, теме, теле письма и вложенныхфайлах.
При обнаружении соответствия почтовых сообщений заданным вправилах фильтрации критериям, система осуществляет одно или несколько иззаранее предписанных действий:
1. Отправка сообщения получателю;
2. Отказ в передаче (блокировка сообщения);
3. Задержка сообщения для последующего анализа;
4. Помещение в карантинную зону;
5. Регистрация сообщения;
6. Архивирование сообщения;
7. Проставление пометок;
8. Отправка уведомления (оповещение администратора системы и др.).
При этом обязательно осуществляется протоколирование всехпроизводимых действий.
Рассмотрим еще несколько программных средств мониторинга.
Intruder Alert
Это программный продукт, предназначенный для выявлениянесанкционированных действий и противодействия им. Продукт в постоянном режимеведет наблюдение за всей сетью и выявляет подозрительные действия в условияхмногоплатформенных сетей. Intruder Alert позволяет обеспечить безопасность предприятия,запуская специальные процедуры на тех системах, где установлены агенты. Вслучае обнаружения атаки Intruder Alert может запустить до 14 различныхспособов противодействия. В состав Intruder Alert входят следующиеархитектурные компоненты: ITA Admin, ITA View, менеджер и агенты.
SunShieldBSM (Basic security module)
Этобазовый модуль сервисов безопасности, встроенный в серверные системы на ОСSolaris. Модуль, встроенный в ядро операционной системы, собирает информацию подесяткам тысяч событий, происходящих в системе. Для удобства обработки событияструктурированы по 20 различным классам. Собранная информация можетанализироваться локально, может передаваться на выделенный сервер безопасностилибо обрабатываться средствами автоматического реагирования на попытки НСД(Intruder Alert, CyberCop Server).
NFR — Network Flight Recorder
Network Flight Recorder (NFR) представляет собой программноесредство автоматического выявления несанкционированных действий и реагированияна них.
Позволяетсоздавать собственные фильтры для распознавания атак, строить свои сценарииреакций на попытки НСД и писать программы для различной статистическойобработки событий.
NFR анализирует состояние сетевого трафика и статистическуюинформацию, позволяя администратору сети оценить степень загруженности сети,оперативно просматривать данные об использовании системных ресурсов ивозникновении неисправностей в работе сети, нештатной (подозрительной)активности и о попытках несанкционированного доступа в систему. NFRхарактеризуется обширной базой данных известных сетевых атак; настраиваемымисценариями реакций на события; возможностью выбора способов уведомленияадминистратора о событиях; мощными средствами создания отчетов.
NFRработает под управлением различных UNIX-ориентированных ОС. Поставляется сисходными текстами.
2. 4. Разработка методологии и методического аппаратаоценки ущерба от воздействия угроз информационной безопасности
Видывозможного ущерба от нарушения безопасности информации определяются следующимифакторами /5/:
1. основными функциями и задачами объектов информатики (ОИ);
2. организацией информационного обмена на ОИ;
3. видом и содержанием информации, подвергшейся воздействиюугроз;
4. видом источника угрозбезопасности информации (БИ) и видом нарушения БИ.
На основе анализа указанных выше факторов проведенаклассификация возможных видов ущерба от нарушения безопасности информации натиповых ОИ. По виду нарушения безопасности информации можно выделить следующиевиды ущерба на типовых ОИ:
1. ущерб от нарушения конфиденциальности информации;
2. ущерб от нарушения ценности информации;
3. ущерб от нарушения доступности информации.
Похарактеру проявления ущерб можно разделить на прямой и косвенный. Прямой ущербсвязан с воздействием угроз БИ непосредственно на информацию и ее носители ипроявляется как необходимость затрат людских и материальных ресурсов навосстановление информации и/или ее носителей.
Косвенный ущерб связан с последствиями нарушениябезопасности информации на типовых ОИ для субъектов информационных отношений(потребителей информации), в качестве которых могут выступать:
1. государство;
2. организации, предприятия (в т.ч. негосударственные);
3. граждане страны.
Вэтом случае ущерб проявляется как людские, моральные или материальные потери вразличных сферах деятельности субъектов информационных отношений (вполитической, экономической, военной, научно-технической, социальной сферах).По величине потерь (масштаба ущерба) ущерб может быть классифицирован как оченьзначительный, значительный, средний, незначительный и очень незначительный.
Для более детального определения вида и величины ущербанеобходимо разработать (или использовать существующие) модели ситуаций,приводящие к возникновению ущерба в результате нарушения безопасностиинформации в различных подсистемах и звеньях типовых ОИ.
Для определения показателей ущерба от нарушения безопасностиинформации необходимо проанализировать механизм возникновения ущерба отразличных угроз БИ на типовых ОИ. Ущерб от нарушения БИ на типовом ОИ являетсяследствием следующих событий:
1. воздействия угроз БИ на технические средства обработкиинформации;
2.воздействия угроз БИ посредством физических полей, создаваемых основными ивспомогательными техническими средствами обработки информации и людьми — носителями информации; воздействия угроз БИ на людей — носителей информации илиимеющих доступ к информации в процессе ее обработки.
Дляустановления причинно-следственных связей описывающих процесс возникновенияущерба субъектам информационных отношений (ИО) в результате нарушениябезопасности информации рассмотрим более подробно последствия воздействия угрозБИ на элементы объекта информатики.
Воздействие угроз на аппаратные средства ОИ приводит кухудшению качества их функционирования, которое может проявляться как ухудшениеих тактико-технических характеристик (временных, точностных, энергетических,частотных, и др. в зависимости от типа средства).
Учитывая,что аппаратные средства являются материальной основой процесса обработкиинформации на ОИ, ухудшение их ТТХ автоматически ведет к снижению эффективностипроцесса обработки информации, и далее, через снижение эффективности решаемыхобъектом информатики частных функциональных задач, к снижению эффективностифункционирования объекта информатики в целом. В свою очередь, это приводит кпотерям, издержкам, которые несут субъекты ИО, вид и масштаб которыхопределяется следующими факторами:
1.содержанием информации, обрабатываемой на ОИ;
2. областью применения (использования) результатов обработкиинформации (выходной информации);
3. степенью и видом нарушения БИ;
4. видом источника угроз БИ и целью его деятельности.
Аналогичные последствия возникают при воздействии угроз БИна программные средства, используемые в процессе обработки информации на ОИ, атакже при воздействии угроз БИ на физические поля — носители информации и налюдей — носителей информации и/или участвующих в процессе обработки информации(персонал ОИ, пользователи ОИ, источники информации).
Такой подход позволяет сформировать иерархию видов ущербаот угроз БИ и соответствующих им показателей ущерба. В качестве интегральногопоказателя для оценки ущерба выбран показатель «стоимость потерь врезультате нарушения БИ», который в свою очередь распадается на несколькопоказателей более низкого уровня, зависящих от вида нарушения БИ (нарушениецелостности, доступности и/или конфиденциальности информации), а также от видапотерь, среди которых можно выделить:
1. затраты на восстановление аппаратных, программных средств и качества информации;
2. потери в результате снижения эффективностифункционирования объекта информатики.
Более конкретноесодержание показателей ущерба на этом уровне зависит от конкретных условий,т.е. от того, какие показатели выбраны для оценки эффективностифункционирования ОИ. Например, для автоматизированных систем управления, взависимости от их назначения, в качестве показателя эффективности может бытьиспользован один из следующих:
1. среднее время цикла управления;
2. среднее время обработки информации;
3. среднее время выполнения совокупности расчетов;
4. среднее время доведения информации до потребителя и др.
Соответственно, в качестве показателей ущерба в этом случаемогут быть использованы:
1. относительное или абсолютное увеличение среднего времениобработки информации или соответствующая этому событию стоимость потерь длясубъектов ИО и т.д.
В свою очередь, каждый из этих показателей есть функция отпоказателей более низкого иерархического уровня:
1. от показателей эффективности решаемых объектом частныхфункциональных задач;
2. от показателей эффективности процесса обработкиинформации;
3. от показателей качества исходной и обрабатываемой наобъекте информации;
4. от показателей качества функционирования аппаратных ипрограммных средств.
Каждый из перечисленных показателей также может бытьпредставлен системой показателей еще более низкого уровня. Например, дляаппаратных средств в качестве таких показателей могут служитьтактико-технические характеристики, вид и допустимые пределы изменения которыхуказываются в формуляре на эти средства.
В настоящее время разработаны ряд методических подходов красчету показателей ущерба от нарушения БИ. Общие выводы, которые могут бытьсделаны по результатам анализа этих подходов, состоят в следующем.
Внастоящее время не разработаны методики, в полной мере учитывающие влияниеугроз БИ на качество функционирования аппаратных и программных средствобработки информации и на качество самой обрабатываемой на ОИ информации.
Кроме того, не существует методик, позволяющих оцениватьконечный результат воздействия угроз БИ, т.е. получить оценку ущерба субъектамИО в результате нарушения БИ. Это связано с недостаточной изученностью самогомеханизма возникновения ущерба, отсутствием моделей ОИ, процессов обработки информациив них, позволяющих оценить влияние угроз не только на эффективность процессаобработки информации, но и далее на эффективность решения объектом частныхфункциональных задач, а также на качество и эффективность функционированияобъекта в целом.
Один из предлагаемых вариантов построения методики оценкиущерба от нарушения БИ представлен ниже. На первом этапе оценивается влияниеугроз БИ на ТТХ аппаратных средств обработки информации. Результатом этогоэтапа является оценка относительного или абсолютного ухудшения временных, энергетических,частотных, надежностных и др. показателей эффективности функционированияаппаратных средств под воздействием угроз БИ с учетом вероятности осуществленияэтих угроз.
Исходными данными для этого этапа являются:
перечень угроз БИ с указанием вероятностей ихосуществления;
перечень ТТХ средств и предельные значения их изменения.
Кроме того, необходимо иметь аналитические соотношения,позволяющие оценивать влияние угроз на ТТХ средств или методику натурныхиспытаний для получения экспериментальных данных, позволяющих получить этизависимости.
На этом же этапе оценивается влияние угроз БИ на качествопрограммных средств и качество исходной информации соответственно. Исходныеданные, используемые для оценки, включают перечень возможных угроз и показателикачества программных средств и информации. Учет влияния угроз может осуществлятьсяпомимо перечисленных выше методов также экспертным путем, что особенноактуально при оценке влияния угроз на качество информации, т.к. получитьаналитические зависимости на основе математического и натурного моделирования вэтом случае достаточно сложно.
На втором этапе производится оценка относительного сниженияэффективности процесса обработки информации, вызванного ухудшением ТТХаппаратных средств, качества программных средств, исходной и обрабатываемойинформации. Исходными данными для этого этапа являются выходные данные этапа 1и допустимые значения показателя, выбранного для оценки эффективности процессаобработки информации. Для проведения оценки на этом этапе необходимо иметьмодель процесса обработки и аналитические соотношения, связывающие показательэффективности процесса обработки с показателями качества аппаратных,программных средств, исходной и обрабатываемой информации.
Третий этап заключается в оценке относительного сниженияэффективности решаемых на ОИ частных функциональных задач, вследствие ухудшенияэффективности обработки информации. Для проведения оценки необходимо иметьперечень задач решаемых на ОИ, показатели их эффективности и аналитическиесоотношения, позволяющие учесть влияние эффективности процесса обработки наэффективность решаемых задач.
На четвертом этапе проводится оценка относительногоснижения эффективности функционирования ОИ в целом в зависимости от сниженияэффективности решения частных задач на ОИ. Для получения аналитических соотношений,устанавливающих зависимость эффективности функционирования ОИ от эффективностирешения частных функциональных задач, может быть использован метод анализаиерархий, позволяющий на основе по парных сравнений с использованиемспециальной шкалы относительной важности (шкалы Саати) оценить вклад каждой изчастных задач в общую эффективность функционирования ОИ. Для получения болеенаглядных оценок на каждом из этапов производится расчет потерь, связанных с воздействиемугроз на эффективность функционирования элементов ОИ, процесса обработки,решаемых задач.
Для расчета потерь из-за снижения эффективностифункционирования ОИ в целом необходимо учитывать внешнее окружение ОИ(«надсистему», в которую входит ОИ, как элемент), т.е. егоназначение, область использования. При этом должны использоваться, как правило,известные зависимости «потерь» от снижения эффективности и качествазадач, решаемых ОИ в интересах задач «надсистемы».
3. ОСНОВНЫЕ РЕЗУЛЬТАТЫ РАБОТЫ
В завершении можно сказать, чтомногое ещё не изучено и не сформулировано по этой теме. Но на основеизложенного реферата можно сказать, что все задачи сопоставлены с определённымматериалом реферата и тема достаточно полно раскрыта.Хочется толькодобавить, что тема информационной безопасности ещё достаточно молода и поэтомуреферат может показаться несколько нестандартным в связи с различной трактовкойнекоторых вопросов информационной безопасности.
Литература.
1. Доктринаинформационной безопасности РФ. Утверждена Президентом РФ 9.09.2000.
2. Абалмазов Э.И. Методы иинженерно-технические средства противодействия информационным угрозам .- М.: Компания«Гротек», 1997.
3. Герасименко В.А. Защита информациив автоматизированных системах обработки данных: В 2-х кн. — М.: Энергоатомиздат, 1994. — 176 с.
4. Гундарь К.Ю. Защита информации в компьютерных системах — К.:»Корнейчук», 2000. К. Ю. Гундарь,А. Ю. Гундарь, Д. А. Янышевский.
5. Девянин П.Н. Теоретические основы компьютерной безопасности:Учебное пособие для вузов — М.: Радио и связь, 2000. П. Н. Девянин, О. О. Михальский, Д. И. Правиков, А. Ю. Щербаков.
6. Мещеряков В.А. Методическоеобеспечение обоснованиятребований к системам защиты информации от программно- математического воздействия вавтоматизированных информационных системахкритического применения // Безопасность информационных технологий Выпуск 2, 1996, МИФИ. В. А. Мещеряков, С. А. Вялых, В. Г. Герасименко.
7. Мещеряков В.А К вопросу идентификациикомпьютерных преступлений. Прикладные вопросы цифровой обработки и защиты информации. Межвузовскийсборник научных трудов ВВШМи ВГТУ. Воронеж 1997.В. А. Мещеряков, М. Г. Завгородний, С. В. Скрыль, В. И. Сумин.
/>
/>