3. Уязвимости систем обработки информации

Угрозы безопасности информации, как возможные опасности совершения какого-либо действия, направленного против объекта защиты, проявляются не сами по себе, а через уязвимости, приводящие к нарушению безопасности информации на конкретном объекте информатизации.

Каждой угрозе могут быть сопоставлены различные уязвимости. Для удобства анализа, уязвимости разделяют на классы, группы, подгруппы, а для идентификации используют различные обозначения (цифрами, буквами, буквенно-цифровые).

Выделяют три класса уязвимостей: объективные, субъективные, случайные. Зависимость каждого класса от условий и возможности по устранению, уязвимостей каждого класса приводятся в таблице 10.5.

Объективные уязвимости. Объективные уязвимости зависят от особенностей построения и технических характеристик оборудования объекта информатизации. Их происхождение обусловлено подверженностью технических средств и программного обеспечения сбоям, отказам, модификации и излучениями технических средств обработки и обеспечения объекта информатизации, создающими информативные физические поля.

Таблица 10.5 - Классы уязвимостей систем обработки информации и их характеристика

Класс уязвимостей	Зависимость	Возможности по устранению
Объективные	Зависят от особенностей построения и технических характеристик оборудования ОИ	Полное устранение этих уязвимостей невозможно, но они могут существенно ослабляться техническими и инженерно-техническими методами защиты информации
Субъективные	Зависят от действий сотрудников	В основном устраняются организационными и программно-аппаратными методами
Случайные	Зависят от особенностей окружающей защищаемый ОИ среды, и непредвиденных обстоятельств	Как правило, мало предсказуемы и их устранение возможно только при проведении комплекса организационных и инженерно-технических мероприятий по противодействию угрозам

Факторами, обуславливающими появление информативных физических полей и объективных уязвимостей являются:

• передача сигналов по проводным линиям связи;

• передача сигналов по оптико-волоконным линиям связи;

• передача сигналов в диапазоне радиоволн и в оптическом диапазоне длин волн;

• излучения сигналов, функционально присущие техническим средствам (устройствам) объекта информатизации;

• побочные электромагнитные излучения;

• паразитное электромагнитное излучение;

• наводки;

• наличие акустоэлектрических преобразований в элементах технических средств объекта информатизации.

Передача сигналов по проводным линиям связи. Как процесс характеризуется тем, что информация, преобразованная в сигналы может быть получена злоумышленниками в случаях подключения к линиям связи, преобразована, прочитана или озвучена в зависимости от вида (текстовая или звуковая), или на пути следования к источнику получения уничтожена. Кроме того, возможна её подмена. Через линии связи возможно воздействие на программное обеспечение объекта информатизации. Наличие этого фактора требует защиты каналов связи реализуемых по проводным линиям связи для обмена информацией ограниченного доступа. Основным видом защиты информации при передаче информации по открытым каналам является криптографическая защита.

Излучения сигналов, функционально присущих ОИ. Выделяется две подгруппы таких сигналов:

• сопутствующие работе технических средств (устройств) обработки и передачи информации и произносимой или воспроизводимой техническими средствами речи;

• электромагнитные излучения (ЭМИ) и поля (излучения в радиодиапазоне и оптическом диапазоне).

К таким сигналам относятся в первую очередь радиосигналы для организации радиоканала обмена информацией (сотовая связь, радиосвязь в различных диапазонах и др.). «Видовая» информации выдаваемая на экраны мониторов, электронных досок, экранов используемых с проектором и т.п.

Побочные электромагнитные излучения (ПЭМИ). ПЭМИ - это излучение, присущее работе технических средств и не предназначенное для их функционирования. ПЭМИ - излучения технических средств обработки информации (СВТ, процессоры, мониторы, сканеры, принтеры, плоттеры и др.) возникающие как побочное явление и вызванные электрическими сигналами, действующими в их электрических и магнитных цепях. Несут информативный сигнал.

ПЭМИ, присущи буквально всем техническим средствам обработки информации. Диапазон ПЭМИ достаточно велик.

Выделяется две подгруппы ПЭМИ:

1. ПЭМИ сигналов (видеоимпульсов) от информационных цепей. Например - монитор ПК.

2. ПЭМИ сигналов (радиоимпульсов) от всех электрических цепей технических средств ОИ. Выделяют два вида ПЭМИ сигналов (радиоимпульсов) от электрических цепей технических средств ОИ в зависимости от того какими видами сигналов они модулированы:

• модуляция ПЭМИ электромагнитными сигналами от информационных цепей;

• модуляция ПЭМИ акустическими сигналами.

Паразитное электромагнитное излучение. Паразитное электромагнитное излучение - электромагнитное излучение, являющееся результатом паразитной генерации в электрических цепях технических средств обработки информации.

Выделяют два вида паразитного электромагнитного излучения (аналогично ПЭМИ):

1) модуляция паразитного ЭМИ информационными сигналами;

2) модуляция паразитного ЭМИ акустическими сигналами.

Наводки (наведенный в токопроводящих линейных элементах технических средств сигнал) - токи и напряжения в токопроводящих элементах, вызванные электромагнитным излучением, емкостными и индуктивными связями. Выделяют две подгруппы наводок:

1) наводки в электрических цепях технических средств, имеющих выход за пределы ОИ;

2) наводки на технические средства, провода, кабели и иные то-копроводящие коммуникации и конструкции, гальванически не связанные с техническими средствами ОИ, вызванные побочными и (или) паразитными электромагнитными излучениями, несущими информацию.

Электрическими цепями технических средств, имеющих выход за пределы ОИ являются:

• линии связи;

• цепи электропитания;

• цепи заземления.

Наводки в линиях связи. Наводки в линиях связи могут быть вызваны:

• ПЭМИ, несущими информацию;

• внутренними емкостными и (или) индуктивными связями.

Наводки в цепях электропитания. Наводки в цепях электропитания могут быть вызваны:

• ПЭМИ, несущими информацию;

• внутренними емкостными и (или) индуктивными связями;

• через блоки питания технических средств ОИ.

Наводки в цепях заземления. Наводки в цепях заземления могут быть вызваны (обусловлены):

• ПЭМИ, несущими информацию;

• внутренними емкостными и (или) индуктивными связями;

• гальванической связью схемной (рабочей) «земли» узлов и блоков технических средств ОИ.

Рассмотренные факторы не оказывают непосредственного дестабилизирующего воздействия на информацию и системы её обработки, однако они создают уязвимости и угрозу утечки информации в виде различных излучений, которые могут быть приняты специальными устройствами (техническими средствами разведки и съёма информации) способными записать информативные сигналы, восстановить информацию (как акустическую, так и текстовую) и использовать по своему усмотрению. Для получения «противником» информации за счёт излучения используются различные способы и средства. Объективные уязвимости обуславливают существование технических каналов утечки информации.

Классификация объективных уязвимостей. Классификация объективных уязвимостей приведена в таблице 10.6.

Таблица 10.6 - Классификация объективных уязвимостей

Группа уязвимостей	Подгруппа	Слабость, недостаток, элемент обуславливающий уязвимость
Сопутствующие техническим средствам излучения	Электромагнитные	-ПЭМИ технических средств -ПЭМИ кабельных линий ТС -излучения на частотах работы генераторов -излучения на частотах самовозбуждения усилителей
	Электрические	-наводки ЭМИ на линии и проводники -просачивание сигналов в цепи электропитания и заземления -неравномерность потребления тока электропитания
	Звуковые	-акустические -виброакустические
Активизируемые	Аппаратные закладки устанавливаемые	-в телефонные линии -в сети электропитания -в помещениях -в технических средствах
	Программные закладки	-вредоносные программы -технологические выходы из программ -нелегальные копии ПО
Определяемые особенностями элементов	Элементы обладающие электро-акустическими преобразованиями	-телефонные аппараты -громкоговорители и микрофоны -катушки индуктивности -дроссели -трансформаторы и пр.
	Элементы подверженные воздействию электромагнитного поля	-магнитные носители -микросхемы -нелинейные элементы подверженные ВЧ навязыванию
	Организацией каналов обмена информацией	-использование радиоканалов -глобальных информационных сетей -арендуемых каналов
Определяемые особенностями защищаемого объекта	Местоположением объекта	-отсутствие контролируемой зоны -наличие прямой видимости объектов -наличие удалённых и мобильных элементов объекта -вибрирующих отражающих поверхностей
	Организацией каналов обмена информацией	-использование радиоканалов -глобальных информационных сетей -арендуемых каналов

Основными средствами устранения рассмотренных уязвимостей являются технические средства защиты информации.

Субъективные уязвимости. Классификация субъективных уязвимостей приведена в таблице 10.7

Таблица 10.7 - Классификация субъективных уязвимостей

Группа уязвимостей	Подгруппа	Слабость, недостаток, элемент обуславливающий уязвимость
Ошибки	При подготовке и использовании программного обеспечения	-при разработке алгоритмов и ПО -инсталляции и загрузке ПО -эксплуатации ПО -вводе данных
	При управлении сложными системами	-при использовании возможностей самообучения систем -настройке сервисов универсальных систем -организации управления потоками обмена информацией
	При эксплуатации ТС	-при включении/выключении ТС -при использовании техн-х средств охраны -при использовании средств обмена информацией
Нарушения	Режима охраны и защиты	-доступа на объект -доступа к техническим средствам (ИС)
	Режима эксплуатации ТС	-энергообеспечения -жизнеобеспечения
	Режима использования информации	-обработки и обмена информацией -хранения и уничтожения носителей информации -уничтожение производственных отходов и брака

Случайные уязвимости. Классификация случайных уязвимостей приведена в таблице 10.8.

Таблица 10.8 - Классификация случайных уязвимостей

Группа уязвимостей	Подгруппа	Слабость, недостаток, элемент, обуславливающий уязвимость
Сбои и отказы	Отказы и неисправности технических средств	-обеспечивающих информация - обеспечивающих работоспособность средств обработки информации - обеспечивающих охрану и контроль доступа
	Старение и размагничивание носителей информации	-дискет и съёмных носителей - жестких дисков -элементов микросхем -кабелей и соединительных линий
	Сбои программного обеспечения	-ОС и СУБД -прикладных программ -сервисных программ, -антивирусных программ
	Сбои электроснабжения	-оборудования, обрабатывающего информацию -обеспечивающего и вспомогательного оборудования
Повреждения	Жизнеобеспечивающих коммуникаций	-электро -, водо-, газо-,теплоснабжения, канализации -кондиционирования и вентиляции
	Ограждающих конструкций	-внешних ограждений территорий -стен и перекрытий зданий -корпусов технологического оборудования