МИНОБРНАУКИ РОССИИ САНКТ-ПЕТЕРБУРГСКИЙ ГОСУДАРСТВЕННЫЙ ЭЛЕКТРОТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ «ЛЭТИ» ИМ. В.И. УЛЬЯНОВА (ЛЕНИНА) Кафедра информационной безопасности
ПРАКТИЧЕСКАЯ РАБОТА №5
по дисциплине «Основы информационной безопасности» Тема: Изучение создания Модели угроз информационной безопасности
оцениваемой системы с помощью ПО РискМенеджер - Анализ v3.5.
Студентка гр.
Преподаватель
Санкт-Петербург
2023
ЦЕЛЬ РАБОТЫ
Изучение создания Модели угроз информационной безопасности оцениваемой системы с помощью ПО РискМенеджер – Анализ v3.5.
Автоматически сгенерировать отчёт с помощью контекстного меню.
2
Модель угроз информационной безопасности оцениваемой системы
Название модели: ПАО "Мегафон"
Регион: г. Москва
ЛС: Корпоративный центр
ПС: Подразделение управления
Объект: Персонал
Угрозы:
Отсутствие требуемых навыков у персонала для выполнения требуемой работы
Объект: Финансовые данные
Угрозы:
Уничтожение или утрата данных Уничтожение резервных копий вместе с основными данными Хищение резервных копий с информацией НСД к данным с целью их модификации Угроза НСД к конфиденциальным данным
Объект: ПО Naumen CX
Угрозы:
Угроза вирусного заражения через магнитные носители с ЭПД, поступающими от сторонних организаций Вирусное заражение
Заражение через электронную почту
ЛС: Отдел телекоммуникаций
ПС: Подразделение технологий
Объект: Сервер
Угрозы:
Уязвимости DHCP-серверов
Объект: Маршрутизатор
Угрозы:
Взлом через маршрутизатор
Объект: Windows OS
Угрозы:
Неустановка патчей для Win2000
Объект: Персональный компьютер
Угрозы:
|
Пользователь осуществляет действия не предусмотренные инструкциями и тем |
|
самым наносит ущерб функционированию системы |
|
Ошибки в инструкциях и документации |
NST_AE.1 |
Неправ.вв.дан.пользов.вызывает непр.функц.системы |
NST_AMR |
Администратор ошибочно делает важные ресурсы недоступными легальным |
|
пользователям |
NST_AP.1 |
Администратор устанавливает параметры таким образом, что в ИС может |
|
возникнуть перегрузка |
ИСА_ПП.1 |
Обслуживающий персонал не обучен быстрому скоординированному решению |
|
возникшей проблемы |
ИСА_ПАР.1 |
Слабые пароли |
ИСА_ПРС.2 |
Персонал записывает и хранит пароли на бумаге и т.п., что делает возм. хищ. |
|
этих записей и последующее НСД нарушителей |
ИСА_ПРС.3 |
Персонал забывает пароли |
ПС: Подразделение защиты
Объект: Шифрование
Угрозы:
Пользователь случайно по ошибке удаляет важные данные Изготовленного количества криптографических ключей не хватает Несоблюдение правил по своевременному выведениию из использования скомпрометированных ключей Недостаточная стойкость СКЗИ
3
ИСА_СКЗ.1 Перегрузка программно-аппаратного комплекса подсистемы СКЗИ ГТК_3.3 Недостаточная надежность СКЗИ
Пользователь осуществляет действия не предусмотренные инструкциями и тем самым наносит ущерб функционированию системы Ошибки в инструкциях и документации
NST_AE.1 Неправ.вв.дан.пользов.вызывает непр.функц.системы
NST_AMR Администратор ошибочно делает важные ресурсы недоступными легальным пользователям
NST_AP.1 Администратор устанавливает параметры таким образом, что в ИС может возникнуть перегрузка
ИСА_ПП.1 Обслуживающий персонал не обучен быстрому скоординированному решению возникшей проблемы
Объект: Система защиты
Угрозы:
ИСА_НСД |
Недостаточная эффективность средств защиты от НСД к ресурсам ИС |
ИСА_ПАР.1 |
Слабые пароли |
ИСА_ПРС.2 |
Персонал записывает и хранит пароли на бумаге и т.п., что делает возм. хищ. |
|
этих записей и последующее НСД нарушителей |
ИСА_ПРС.3 |
Персонал забывает пароли |
ЛС: Отдел ретейла
ПС: Подразделение торговли
Объект: Обработка платежей
Угрозы:
|
Недостаточная надежность системы резервного электроснабжения |
|
оборудования АИС |
|
Отсутствие системы мониторинга и управления ИБП |
|
Отсутствие системы защиты серверов от скачков напряжения |
|
Скачки напряжения в электросети |
ГТК_1.1.1 |
Несанкционированный вход в систему с осуществлением НСД к устройствам |
|
системы, программам и ИР на МН |
ГТК_2.1.1 |
Анонимный вход/выход из системы или анонимный запуск и прекращение ее |
|
работы. |
ГТК_2.2 |
Хищение носителей информации |
ГТК_4.1 |
Встраивание в ПО средств позволяющих обойти или модифицировать систему |
|
защиты информации |
ГТК_4.2 |
НСД к ОО посторонних лиц |
ГТК_4.4. |
Неявная модификация СЗИ НСД, таким образом, что СЗИ НСД перестают |
|
выполнять свои функции в полном объеме. |
ГТК_4.5 |
Выход из строя ПО СЗИ НСД |
Объект: Система оплаты
Угрозы:
Получение информации о кредитных карточках с помощью подставных Webсерверов
4
ВЫВОДЫ
В ходе выполнения работы была создана модель угроз для выбранного предприятия и сгенерирован отчет в программном обеспечении РискМенеджер
– Анализ v3.5.
5