2. Определение угроз

Активы являются объектом для многих видов угроз. Угрозы могут быть природного или человеческого происхождения, они могут быть случайными или умышленными. Угрозы могут проистекать как из самой организации, так и из источника вне ее пределов. Должны быть идентифицированы и случайные и умышленные источники угроз и оценена вероятность их возникновения.

Формально угрозу можно описать, используя понятия профиля и жизненного цикла угрозы.

Профиль угрозы определяется следующими статичными атрибутами:

• название угрозы (в соответствии с принятой классификацией);

• общее описание угрозы;

• источник угрозы, описываемый моделью нарушителя;

• вид угрозы – указывает на принадлежность к тому или иному известному виду угроз согласно их классификации;

• способ реализации – указывает на принадлежность к тому или иному известному способу реализации данного вида угрозы согласно их классификации;

• объект защиты (виды активов, на которые направлена угроза);

• последствия (результат) осуществления угрозы;

• уязвимости (предпосылки возникновения угрозы, такие как наличие определенных изъянов защиты, нарушения технологического процесса проектирования и разработки ПО и т. п.).

Этапы реализации большинства угроз безопасности (жизненный цикл угроз), включают в себя следующие процессы:

• зарождение;

• развитие;

• проникновение в АС;

• проникновение в критичную информацию;

• инициализация;

• результат действия;

• регенерация.

В качестве примера рассмотрим профиль угроз безопасности, связанных с получением внутренними злоумышленниками несанкционированного доступа (НСД) к информационным активам организации. Профиль угрозы:

• название угрозы – НСД к информации;

• общее описание угрозы – пользователь может получить доступ к ресурсам АС или выполнить операции, на которые ему не было предоставлено соответствующих прав;

• источник угрозы – можно выделить следующие категории потенциальных нарушителей:

• операторы, обладающие самым низким уровнем возможностей, предоставляемых им штатными средствами АС, – запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации;

• прикладные программисты, которым предоставляется возможность создания и запуска собственных программ с новыми функциями по обработке информации;

• администраторы АС и системные программисты, которым предоставляется возможность управления функционированием АС, то есть воздействия на базовое программное обеспечение системы, а также состав и конфигурацию ее оборудования;

• разработчики АС и лица, обладающие всем объемом возможностей по проектированию, реализации и ремонту технических средств АС, вплоть до включения в ее состав собственных технических средств по обработке информации;

• вид угрозы – использование штатных средств для осуществления НСД к информации АС;

• способ реализации – подбор или воровство пароля, использование слабостей защиты;

• объект защиты – база данных;

• последствия – утечка конфиденциальной информации из базы данных;

• уязвимости – ошибка в настройке правил разграничения доступа к базе данных, нарушение сотрудниками правил парольной политики, уязвимо­сти программного обеспечения базы данных или операционной системы.

Жизненный цикл угрозы:

• зарождение – возникновение предпосылок для НСД;

• развитие – выявление возможностей и способов НСД к информаци­онным ресурсам АС;

• проникновение в АС – НСД к ресурсам АС при помощи штатных средств;

• проникновение в критичную информацию – путем обхода средств раз­граничения доступа;

• инициализация – копирование конфиденциальной информации;

• результат действия – в соответствии с целями НСД;

• регенерация – при повторном НСД.

Существуют различные способы классификации угроз безопасности: по объ­екту воздействия, по источнику угрозы, способам ее осуществления, возмож­ным последствиям и видам ущерба. Одновременно могут использоваться не­сколько критериев классификации, например, угрозы, классифицированные по объекту воздействия, дополнительно, внутри каждого класса, могут клас­сифицироваться по видам ущерба и источникам угрозы.

По виду активов, на которые они направлены (объектам воздействия), угрозы делятся на:

• угрозы, направленные против информационных активов;

• угрозы, направленные против программного обеспечения;

• угрозы, направленные против технических средств;

• угрозы кадровым ресурсам;

• угрозы помещениям организации.

По источнику угрозы можно разделить, например, на следующие классы:

• угрозы со стороны различных классов внешних нарушителей;

• угрозы со стороны различных классов внутренних нарушителей;

• угрозы со стороны партнеров и подрядчиков;

• антропогенные катастрофы (терроризм, взрывы, массовые беспорядки);

• техногенные аварии (сбои технических средств);

• природные катаклизмы (землетрясение, наводнение, ураганы и т.п.);

• несчастные случаи (пожар, обрушение здания и т.п.).

По типу нарушения угрозы можно разделить на следующие классы:

• угрозы нарушения конфиденциальности информации;

• угрозы нарушения целостности информации;

• угрозы нарушения доступности информации;

• угрозы отказа от совершенных действий с информацией (угрозы неотказуемости);

• угрозы, связанные с невозможностью установления авторства элект­ронных документов (угрозы аутентичности);

• угрозы нарушения требований законодательства.

Далее более подробно рассмотрим некоторые основные классы угроз опасности.

Угрозы, реализуемые при помощи программных средств

Угрозы информационной безопасности, реализуемые с использованием программных средств – наиболее много-численный класс угроз в отношении конфиденциальности, целостности и доступности информационных активов, связанный с получением внутренними или внешними нарушителями несанкционированного логического доступа к информации, а также блокированием или разрушением этой информации с использованием. Возможностей, предос­тавляемых общесистемным и прикладным программным обеспечением. К этому классу угроз относится, например, следующее:

• использование ошибок проектирования, кодирования, либо конфигу­рации для получения НСД;

• использование закладок в ПО, оставленных для отладки, либо умыш­ленно внедренных;

• сбои в работе средств защиты информации;

• маскарад, перехват паролей или взлом паролей пользователей;

• нецелевое использование ПО;

• анализ сетевого трафика с целью перехвата информации;

• замена, вставка, удаление или изменение данных пользователей в ин­формационном потоке;

• ошибки пользователей и технического персонала;

• внедрение вредоносного ПО;

• утечка конфиденциальной информации но электронным каналам связи (электронная почта, системы мгновенных сообщений и т.п.) либо на внешние устройства и носители информации;

• и т.п.

Большинство рассматриваемых в этом классе угроз реализуется путем осуществления локальных или удаленных атак на информационные активы системы внутренними и внешними нарушителями. Результатом успешного осуществления этих угроз становится получение НСД к информации элект­ронного архива, управляющей информации, хранящимся на рабочих местах администраторов, конфигурационной информации активного сетевого обору­дования, а также к данным, передаваемым по каналам связи.

Угрозы утечки информации по техническим каналам

Утечка информации по техническим каналам связи — это специфи­ческий класс угроз, требующий для своей реализации специальных навыков и оборудования для проведения технической разведки. Такие методы пускаются в ход, когда перехватываемая информации имеет очень большую ценность, что характерно для деятельности разведслужб.

К данному классу угроз относится следующее:

• побочные электромагнитные излучения;

• наводки сигнала на провода и линии связи, заземления, электропита­ния;

• радиоизлучения, модулированные информативным сигналом, паразит­ные излучения;

• радиоизлучения, обусловленные воздействием на технические сред­ства высокочастотных сигналов, создаваемых при помощи разведыва­тельной аппаратуры;

• аппаратные закладки;

• акустическое излучение речевого сигнала;

• виброакустические излучения речевого сигнала;

• просмотр информации с экранов дисплеев при помощи оптических средств;

• телевизионная и фотографическая разведка.

Угрозы в отношении программных средств

Программное обеспечение выступает в трех ипостасях. Во-первых, оно является средством обработки информации, которое может использоваться для нарушения безопасности информационных активов. Во-вторых, исходные тексты и исполняемые файлы программ сами по себе являются информацион­ными активами, подверженными тем же угрозам безопасности, что и любые другие активы. В-третьих, программное обеспечение выступает в качестве объекта интеллектуальной собственности, нуждающегося в юридической за­щите.

В отношении программных средств могут реализовываться следующие виды угроз:

• порча ПО и резервных копий;

• внесение несанкционированных изменений в исходные тесты ПО;

• использование нелицензионного ПО;

• нарушение лицензионных соглашений;

• нарушение конфиденциальности программных кодов.

Угрозы техническим средствам

К данному классу относятся угрозы доступности, целостности и, в некото­рых случаях, конфиденциальности информации, хранимой, обрабатываемой и передаваемой по каналам связи, связанные с повреждениями и отказами тех­нических средств системы и повреждением линий связи.

В этом классе целесообразно рассмотреть следующие основные виды угроз:

• умышленное или неумышленное физическое повреждение технических средств внутренними нарушителями;

• физическое повреждение сетевого и каналообразующего оборудова­ния внутренними нарушителями;

• физическое повреждение линий связи внешними или внутренними на­рушителями;

• перебои в системе электропитания;

• отказы технических средств;

• установка непроверенных технических средств или замена вышедших из строя аппаратных компонентов на неидентичные компоненты;

• хищение носителей конфиденциальной информации внутренними на­рушителями вследствие отсутствия контроля за их использованием и хранением.

Источниками угроз в отношении технических средств могут служить:

• внутренние нарушители, имеющие доступ к системному оборудованию

• внешние нарушители, имеющие доступ к линиям связи.

Подробный перечень примерных типичных угроз безопасности, рассматриваемых при оценке информационных рисков, приведен в приложении С ГОСТ Р ИСО/МЭК 27005-2010 [18].

После идентификации источника угрозы (кто и что вызывает угрозу) и объекта угрозы (т.е. какие элементы системы могут быть затронуты угрозой) необходимо оценить вероятность угроз. При этом следует принимать в расчет:

• частоту угрозы (насколько часто она может происходить в соответствии с опытом, применимой статистикой и т.д.);

• для умышленных источников угрозы: мотивацию возможных нарушителей, их возможности, доступные им ресурсы, восприятие привлекательности и уязвимости активов информационной системы;

• для случайных источников угрозы: географические факторы, такие как близость к химическим или нефтяным заводам, возможность экстремальных погодных условий и факторы, которые могут влиять на человеческие ошибки и неправильное функционирование оборудования.

Для каждого информационного актива или группы активов определяется список угроз в отношении конфиденциальности, целостности и доступности.

По завершении оценки угроз составляется список идентифицированных угроз, затрагиваемых ими активов или групп активов и меры вероятности того, что угроза произойдет, например, по шкале, такой как высокая, средняя или низкая (табл. 1.10).

Н – низкая вероятность. Маловероятно, что эта угроза осуще­ствится, не существует инцидентов, статистики, мотивов и т.п., кото­рые указывали бы на то, что это может произойти. Ожидаемая частота реализации угрозы не превышает 1 раз в 5-10 лет.

С – средняя вероятность. Возможно, эта угроза осуществится (в про­шлом происходили инциденты), или существует статистика или другая информация, указывающая на то, что такие или подобные угрозы иногда осуществлялись прежде, или существуют признаки того, что у атакую­щего могут быть определенные причины для реализации таких действий. Ожидаемая частота реализации угрозы – примерно один раз в год.

В – высокая вероятность. Эта угроза, скорее всего, осуществится. Существуют инциденты, статистика или другая информация, указыва­ющая на то, что угроза, скорее всего, осуществится, или могут сущест­вовать серьезные причины или мотивы для атакующего, чтобы осуще­ствить такие действия. Ожидаемая частота реализации угрозы – еженедельно или чаще.

Таблица 1.10

Оценка вероятности угроз

№	Группа угроз	Уровень	Примечание
	Угрозы утечки конфиденциальной информации
1.	Утечка конфиденциальной информации из сети по кана­лам связи (e-mail, web, chat/IM и т.п.) Нецелевое использование компьютерного оборудования и сети Интернет сотрудниками организации	С	Квалификация сотрудников достаточно низкая и большин­ство каналов пере-крыто, что сни-жает вероятность данной угрозы
2.	Утечка конфиденциальной информации на мобильных устройствах, носителях инфор-мации, ноутбуках и т. п. Нецелевое использование компьютерного оборудования и сети Интернет сотрудниками организации	С	Угроза достаточно легко осуществима. однако ноутбуки и КПК не используются
3.	Прослушивание внешних каналов связи злоумышленниками	Н	Угроза не соответствует ценности информации