2.Идентификация угроз и оценка их вероятности

2.1. Формирование перечня угроз и оценка их опасностей – также на основе видового дерева

Форс-мажор

Стандарты

Забастовки

Болезни

Стихийные бедствия

По персоналу

Преднамеренные действия

Человеческие недостатки

Организационные дефекты и недостатки

2.2.Определение опасности или вероятностей угроз

В большинстве методик на основе экспертных оценок и анализа имеющейся статистики

3. Формирование перечня и системы сзи

3.1. На основе стандартов и РД по защищенности КС

Системное ПО

Подсистема обеспечения целостности

Криптографическая система

Сканеры уязвимостей

Системы активного аудита

Регистрация и учёт новостей

Регистрация и учёт событий

Подсистема аудита

Управление потоками

Идентификация, аутентификация

Подсистема управления доступом

Аппаратно-программные

Технической защиты

Физической защиты

Организационно-режимные

Стандарты комплексной оценки защищенности кс

В развитие методологии данного подхода в 80-х годах за рубежом были разработаны подходы к комплексной оценки защищенности КС, закрепленные в соответствующих национальных стандартах:

· британском стандарте BS 7799 (ISO 17799) – Великобритания;

· ведомственном стандарте NASA США "Безопасность информационных технологий" (http://esdis.dsfo.nasa.gov);

· германском стандарте "BSI" (http://www.bsi.bund.de/.

Case-средства комплексной оценки защищенности

COBRA, разработчик C&A Systems Security Ltd (http://www.securityauditor.net);

·   RiskPAC, разработчик CSCI (http://www.csciweb.com);

·   CRAMM, разработчик Logica (Великобритания);

·   MARION, разработчик CLUSIF (Франция);

·   RiskWatch (http://www.riskwatch.com);

·   АванГард (Россия)

·   Гриф (Россия)

Практическое занятие 4.

Методы анализа и оптимизации индивидуально-групповых систем разграничения доступа

1. Теоретико-графовая модель систем индивидуально-группового доступа к иерархически организованным информационным ресурсам

Двудольный граф требуемых назначений доступа Г(U,O,E)

Субъекты доступа Назначения доступа Объекты доступа

E треб

O

U

e_i={r₁, r₂,…, r_K}

r_i= i-й метод доступа;

r_i=1 – доступ разрешен;

r_i=0 – доступ не разрешен;

r_i= -1 – доступ запрещен.

• Множество вершин U одной доли графа — субъекты доступа

• Множество вершин O другой доли графа — объекты доступа

• Множество ребер (дуг) E_треб — требуемые назначения доступа субъектов к объектам

Граф назначений доступа г(u,o,e) при иерархической организации системы объектов доступа

Объекты доступа

Субъекты доступа

Назначения доступа

E_итог= E_пр  E_насл

O

U

1. _Eитог = E_треб ; E_превыш ; E_недост

2. Вариативность наделения субъектов доступа E_треб за счет различного сочетания E_пр и E_насл