Вопрос 2 Потенциальные угрозы информационной безопасности.

Под угрозой безопасности информации, понимается действие или событие, которое может привести к разрушению, искажению или несанкционированному использованию информационных ресурсов, включая хранимую, передаваемую и обрабатываемую информацию, а также программные и аппаратные средства.

Попытка реализации угрозы называется атакой, а тот, кто предпринимает такую попытку, - злоумышленником. Потенциальные злоумышленники называются источниками угрозы. Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).Промежуток времени от момента, когда появляется возможность использовать слабое место, и до момента, когда пробел ликвидируется, называется окном опасности, ассоциированным с данным уязвимым местом. Пока существует окно опасности, возможны успешные атаки на ИС. Если речь идет об ошибках в ПО, то окно опасности "открывается" с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.Отметим, что некоторые угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения ИС от качественного электропитания.

Угрозы можно классифицировать по нескольким критериям:

• по способу осуществления (случайные/преднамеренные действия природного/техногенного характера);

• по критерию информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;

• по компонентам КС, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);

• по расположению источника угроз (внутри/вне рассматриваемой КС).

По способу осуществления угрозы КС принято делить следующим образом:

1. естественные

2. искусственные

   1. непреднамеренные (случайные)

   2. преднамеренные

      1. пассивные

      2. активные

Естественные возникают как последствия объективных физических процессов или стихийных природных явлений, не зависящих от человека (13% потерь информации из-за естественных угроз). Магнитная буря, приводящая к отказу электронных устройств; стихийные бедствия – пожар, наводнение, землетрясение, ураганы, удары молнии, обвалы и т.п. По статистике, на долю огня, воды и т.п. (последствия - перебой электропитания или разрушение элементов КС) приходится 13% потерь, нанесенных информационным системам

Искусственные - вызваны деятельностью человека

Причинами случайных воздействий в процессе эксплуатации КС могут быть:

• Отказы и сбои аппаратуры

• Помехи на линиях связи от воздействий внешней среды

• Системотехнические ошибки разработчиков

• Структурные, алгоритмические и программные ошибки

• Ошибки обслуживающего и управляющего персонала (человека как звена КС)

• Аварийные ситуации

Ошибки человека делятся на логические (неправильно принятые решения), сенсорные (неправильное восприятие информации), и оперативные или моторные (неправильная реализация решения). Интенсивность ошибок человека колеблется в широких пределах: от 1-2% до 15-40% и выше общего числа операций, выполняемых при решении задачи.

Самыми частыми и самыми опасными (с точки зрения размера ущерба) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы. Особое значение имеют ошибки человека, принимающего решения. Они наиболее критичны в системах административного управления.

Иногда такие ошибки и являются собственно угрозами (неправильно введенные данные или ошибка в программе, вызвавшая крах системы), иногда они создают уязвимые места, которыми могут воспользоваться злоумышленники (таковы обычно ошибки администрирования). По некоторым данным, до 65% потерь - следствие непреднамеренных ошибок.Проблема защиты информации от случайных воздействий в целом решается за счет повышения надежности работы аппаратных и программных средств, обязательного применения тестирующих и контролирующих подсистем, ведения журналов событий с последующим анализом (регистрация и аудит), а также за счет административного и организационного регламента.

Преднамеренные угрозы связаны с злоумышленными действиями человека. Преднамеренная угроза считается реализуемой, если злоумышленник способен получить несанкционированный доступ к информации или повредить ее физическим, аппаратным, программным способом, а также путем создания аварийной ситуации.

Активные имеют целью нарушение нормального процесса функционирования КС посредством целенаправленного воздействия на аппаратные, программные и информационные составляющие, например, разрушение или радиоэлектронное подавление линий связи, вывод из строя ЭВМ или ОС, искажение системной информации, данных БД. Источниками могут быть программные вирусы, непосредственные воздействия нарушителей (атаки)

Пассивные несанкционированное использование информационных ресурсов без влияния на КС, например, прослушивание каналов передачи информации

Наиболее распространенными путями НСД к информации являются:

1. перехват электронных излучений;

2. применение подслушивающих устройств и закладок;

3. дистанционная съемка;

4. перехват акустических излучений;

5. хищение носителей информации и документных отходов;

6. чтение остаточной информации в памяти системы после выполнения санкционированных запросов;

7. копирование носителей информации с преодолением мер защиты;

8. восстановление текста принтера;

9. маскировка под зарегистрированного пользователя;

10. мистификация или маскировка под запросы системы;

11. использование программных ловушек(key-logger);

12. использование уязвимостей ОС и сервисов;

13. незаконное подключение к аппаратуре и линиям связи;

14. внедрение и использование компьютерных вирусов;

15. злоумышленный вывод из строя механизмов защиты.

Аварийные ситуации (АС)

аварийные ситуации можно отнести как к угрозам случайного, так и преднамеренного характера, они могут возникнуть и естественным путем. К АС относятся

• отказ функционирования КС в целом

• отказ системы жизнеобеспечения на объекте эксплуатации КС

• стихийные бедствия – пожар (наиболее часто), наводнение, землетрясение, ураганы, удары молнии, обвалы и тп

Задача защиты информации от АС состоит в том, чтобы исключить НСД на комплексе средств автоматизации в условиях отказов его функционирования, отказов системы защиты информации, систем жизнеобеспечения людей на объекте размещения и при возникновении стихийных бедствий.

Классификация угроз по критерию информационной безопасности - доступность, целостность, конфиденциальность

Доступность Самые частые и самые опасные (с точки зрения размера ущерба) угрозы доступности - непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы.

Очевидно, что самый радикальный способ борьбы с непреднамеренными ошибками - максимальная автоматизация и строгий контроль.Другие угрозы доступности классифицируются по компонентам КС, на которые они нацелены:

• отказ пользователей;

• внутренний отказ информационной системы;

• отказ поддерживающей инфраструктуры.

Программные атаки на доступность.

В качестве средства вывода системы из штатного режима эксплуатации может использоваться агрессивное потребление ресурсов (обычно - полосы пропускания сетей, вычислительных возможностей процессоров или оперативной памяти). По расположению источника угрозы такое потребление подразделяется на локальное и удаленное. При просчетах в конфигурации системы локальная программа способна практически монополизировать процессор и/или физическую память, сведя скорость выполнения других программ к нулю. (DDOS).

Одним из опаснейших способов проведения атак является внедрение в атакуемые системы вредоносного программного обеспечения.

В ГОСТ Р 51272-99 «Защита информации. Объект информатизации. Факторы воздействующие на информацию. Общие положение» вводится следующее понятие вируса:

• Программный вирус – это исполняемый или интерпретируемый программный код, обладающий свойством несанкционированного распространения и самовоспроизведения в автоматизированных системах или телекоммуникационных сетях с целью изменить, уничтожить или похитить программное обеспечение и/или данные, хранящиеся в автоматизированных системах.

выделим следующие характиристики вредоносного ПО:

• вредоносная функция;

• способ распространения;

• внешнее представление.

Часть, осуществляющую разрушительную функцию, называют "бомбой". В общем случае, спектр вредоносных функций неограничен, поскольку "бомба", как и любая другая программа, может обладать сколь угодно сложной логикой, но обычно "бомбы" предназначаются для:

• внедрения другого вредоносного ПО;

• получения контроля над атакуемой системой;

• агрессивного потребления ресурсов;

• изменения или разрушения программ и/или данных.

По механизму распространения различают:

• вирусы - код, обладающий способностью к распространению (возможно, с изменениями) путем внедрения в другие программы;

• "черви" - код, способный самостоятельно, то есть без внедрения в другие программы, вызывать распространение своих копий по ИС и их выполнение (для активизации вируса требуется запуск зараженной программы).

Таким образом, действие вредоносного ПО может быть направлено не только против доступности, но и против других основных аспектов информационной безопасности.

Основные угрозы целостности

С целью нарушения статической целостности злоумышленник (как правило, штатный сотрудник) может:

• ввести неверные данные;

• изменить данные.

угрозой целостности является не только фальсификация или изменение данных, но и отказ от совершенных действий.

Потенциально уязвимы с точки зрения нарушения целостности не только данные, но и программы. Внедрение рассмотренного выше вредоносного ПО - пример подобного нарушения.

Угрозами динамической целостности являются нарушение атомарности транзакций, переупорядочение, дублирование данных или внесение дополнительных сообщений (сетевых пакетов и т.п.). Соответствующие действия в сетевой среде называются активным прослушиванием.

Основные угрозы конфиденциальности

- это размещение конфиденциальных данных в среде, где им не обеспечена (зачастую - и не может быть обеспечена) необходимая защита. Помимо паролей, хранящихся в записных книжках пользователей, в этот класс попадает передача конфиденциальных данных в открытом виде (в разговоре, в письме, по сети), которая делает возможным перехват данных. Для атаки могут использоваться разные технические средства (подслушивание или прослушивание разговоров, пассивное прослушивание сети и т.п.), но идея одна - осуществить доступ к данным в тот момент, когда они наименее защищены.

К последствиям реализации угроз безопасности информации относятся:

• раскрытие конфиденциальной информации;

• компрометация информации;

• несанкционированное использование информационных ресурсов;

• ошибочное использование информационных ресурсов;

• несанкционированный обмен информацией;

• отказ от информации;

• отказ в обслуживании.

Средствами реализации угрозы раскрытия конфиденциальной информации могут быть несанкционированный доступ к базам данных, прослушивание каналов и т.п. В любом случае получение информации, являющейся достоянием некоторого лица (группы лиц) другими лицами, наносит ее владельцам существенный ущерб.

Компрометация информации, как правило, реализуется посредством внесения несанкционированных изменений в базы данных, результате чего ее потребитель вынужден либо отказаться от нее, либо предпринимать дополнительные усилия для выявления изменений и восстановления истинных сведений.

Ошибочное использование информационных ресурсовДанная угроза чаще всего является следствием ошибок, имеющихся в программном обеспечении КС.

Несанкционированный обмен информацией между абонентами может привести к получению одним из них сведений, доступ к которым ему запрещен, что по своим последствиям равносильно раскрытию содержания банковской информации.

Отказ от информации состоит в непризнании получателем или отправителем этой информации фактов ее получения или отправки

Отказ в обслуживании представляет собой весьма существенную и распространенную современную угрозу. Подобный отказ особенно опасен в ситуациях, когда задержка с предоставлением ресурсов абоненту может привести к тяжелым для него последствиям. Так, отсутствие у пользователя данных, необходимых для принятия решения, в течение периода времени, когда это решение еще возможно эффективно реализовать, может стать причиной его нерациональных.

К наиболее распространенным угрозам относятся:

1. Ошибки пользователей. Самыми частыми и опасными являются непреднамеренные ошибки пользователей, операторов, системных администраторов и другого персонала, обслуживающего ИС. Считается, что 65% потерь – следствие таких ошибок. Способ борьбы с ними – это максимальная автоматизация работы персонала и строгий контроль за правильностью совершаемых действий

2. Кражи и подлоги. (~ 1 млрд $ ежегодно). В большинстве расследованных случаев виновниками оказывались штатные сотрудники организаций, ознакомленные с защитными мерами. Мотивы – разные. Администрации необходимо следить за тем, чтобы при увольнении сотрудника его права доступа к информационным ресурсам аннулировались.

Т. о. любая внутренняя угроза является гораздо опасней внешней.

3. Угрозы, исходящие от окружающей среды. Аварии, сбои, стихийные бедствия, гражданские беспорядки. На долю этих угроз приходится 13% потерь, наносимых ИС.

4. Хакеры

5. Программные вирусы – там, где работают, а не играют, число зараженных компьютеров составляет менее 1%

ОЦЕНКА при­вле­ка­тель­но­сти ре­а­ли­за­ции кон­крет­ной уг­ро­зы (или клас­са уг­роз) для потенциально­го нару­ши­те­ля

Используем следующие обозначения:

C₀ - выигрыш нарушителя от реализации угрозы;

B₀ - затраты нарушителя для подготовки и реализации угрозы.

Рис. Кривые привлекательности угроз.

Следовательно, можно утверждать, что чем больше значение отношения (рис), тем больше экономических оснований для реализации угрозы.

Выражение - определяет среднюю меру успеха реализации угрозы, где - вероятность обнаружения уг­ро­зы си­с­те­мой ин­фор­ма­ци­он­ной безопасности и противостояние.

Тогда, - показатель привлекательности уг­ро­зы для на­ру­ши­те­ля,

Оценка надежности системы защиты информации (СЗИ)

Стоимость системы защиты информации нужно оценивать по отношению к риску.

УРАВНЕНИЕ ТИППЕТА ДЛЯ РИСКОВ

Главный специалист по технологиям компании TruSecure (бывшей ICSA), Питер Типпет, предложил простую и эффективную формулу для оценки рисков СЗИ в денежном выражении:

Риск = (Угроза х Уязвимость х Стоимость) / 100%

Угроза определяется как частота проявления проблемы в процентном выражении. Так, например, вирусы, рассылаемые по электронной почте, имеют высокий показатель угрозы, поскольку они широко распространены. Уязвимость — это определенный уровень подверженности компании той или иной угрозе, определить который можно при помощи специальной проверки. Уязвимость изменяется в пределах от нуля до единицы.

Стоимость — это потенциальные потери, к которым может привести «событие нарушения системы безопасности».