Поставщики услуг |
Внешний |
Материальная выгода |
связи |
|
|
|
|
|
Внешние нарушители не имеют непосредственного доступа к оборудованию системы, когда внутренние подразделяются на классы по уровнюдоступа к оборудованию и информации предприятия.
Условно внутреннего нарушителя можно разделить на 3 группы:
|
Таблица 4 – уровни прав доступа внутренних нарушителей |
|
|
|
|
Вид внутреннего нарушителя |
|
Права доступа |
|
|
|
Системный администратор |
|
Доступ к СУБД, серверному |
|
|
оборудованию и ПО, высшие права в |
|
|
локальной сети, доступ к рабочим |
|
|
местам сотрудников. |
|
|
|
Сотрудники |
|
Доступ к своим рабочим местам, |
|
|
локальной сети. |
|
|
|
Дополнительный персонал |
|
Доступ во все помещения без доступа к |
|
|
оборудованию (нет собственных |
|
|
учетных записей) |
|
|
|
Виды нарушителей и их уровень возможностей представлены в таблице ниже:
Таблица 5 – результат определения актуальных нарушителей
Виды риска/ущерба и возможные негативные |
Виды и |
Уровень |
последствия |
категория |
возможностей |
|
нарушителя |
|
Нарушение конфиденциальности. |
Хакеры, |
H1 |
|
внешний |
|
|
|
|
Финансовый ущерб физическому лицу. |
Сисадмин, |
H2 |
|
внутренний |
|
|
|
|
Нарушение иных прав и свобод гражданина, |
Сотрудники, |
H1 |
закрепленных в Конституции Российской Федерации |
внутренний |
|
|
|
|
и федеральных законах. |
|
|
|
|
|
11 |
|
|
Нарушение законодательства Российской Федерации. |
Дополнительный |
H1 |
|
|
персонал, |
|
|
|
внутренний |
|
|
|
|
|
|
Недополучение ожидаемой |
Конкуренты, |
H2 |
|
(прогнозируемой) прибыли. |
внешний |
|
|
|
|
|
|
|
|
|
|
Необходимость дополнительных |
Поставщики |
H2 |
|
(незапланированных) затрат на выплаты штрафов |
услуг |
связи, |
|
внешний |
|
|
|
|
|
|
|
(неустоек) или компенсаций. |
|
|
|
|
|
|
|
• Способы реализации угроз безопасности информации
|
Таблица 6 – описание уровней нарушителей |
|
|
Уровень нарушителя |
Возможности |
|
|
H1 |
Технические средства и программное обеспечение |
|
|
|
Знания о известных уязвимостях |
|
|
|
Базовые компьютерные знания и навыки |
|
|
Н2 |
Возможности нарушителя Н1 |
|
|
|
Утилиты, доступные в Интернете/разработанные другими |
|
|
|
лицами. |
|
|
|
Практические знания о эксплуатации систем |
|
|
Таблица 7 – актуальные способы реализации угроз безопасности информации и соответствующие им виды нарушителей
Вид нарушителя, |
Объекты |
Доступные интерфейсы |
Способы реализации |
категория |
воздействия |
|
|
|
|
|
|
Хакеры (H2), |
CУБД, |
Веб-сайт компании, |
Использование |
внешний |
сотрудники |
электронная почта, территория |
уязвимостей, |
|
|
предприятия. |
инъекций,социальной |
|
|
|
инженерии. |
Конкуренты |
|
|
|
(H2), внешний |
|
|
|
|
|
|
|
Поставщики |
Рабочие |
ПАК предприятия |
Целенаправленный |
услуг связи (H2), |
места |
|
перехват |
сотрудников, |
|
информации, отказ |
|
внешний |
|
||
вебсервер |
|
от обслуживания. |
|
|
|
||
|
|
|
|
|
|
12 |
|
Сисадмин (H2), |
ПАК |
ПАК предприятия |
Ошибки в настройке, |
внутренний |
предприятия |
|
продажа данных, |
|
|
|
намеренное или |
|
|
|
случайноеих удаление. |
|
|
|
|
Сотрудник (H1), |
Рабочие |
Рабочие места сотрудников |
Пользовательские |
внутренний |
места |
|
ошибки |
|
сотрудников |
|
|
|
|
|
|
Дополнительный |
- |
- |
Непреднамеренное |
персонал (H1), |
|
|
причинение вреда ПАК, |
внутренний |
|
|
саботаж |
|
|
|
|
• Актуальные угрозы безопасности информации
При описании потенциальных угроз безопасности информации были приняты в рассмотрение следующие факторы: актуальные нарушители,
уровни их возможностей, объекты воздействия предприятия, основные способы реализации угроз и негативные последствия.
Актуальные угрозы безопасности информации:
Угроза остановки работы веб-сервера
Угроза удаления данных
Угроза хищения данных
1) Возможный сценарий реализации угрозы удаления информационных ресурсов состоит из четырех последовательных тактик: Т1, Т2, Т3, Т10 и соответствующих им техник.
Тактика |
Техники |
|
|
Т1. Сбор информации о |
Т1.11. Сбор информации о пользователях, устройствах, |
системе |
приложениях, внутренней информации о компонентах |
|
систем и сетей путем применения социальнойинженерии |
|
|
13
Т2. Получение |
Т2.7. Использование в системе внешних носителей |
первоначального доступа к |
информации, которые могли подключаться к другим |
компонентам систем и сетей |
системам и быть заражены вредоносным программным |
|
обеспечением |
|
В том числе дарение, подмена или подлог носителей |
|
информации и внешних устройств, содержащих |
|
вредоносное программное обеспечение или |
|
предназначенных для реализации вредоносных функций |
|
|
Т3. Внедрение и исполнение |
Т3.1. Автоматический запуск скриптов и исполняемых |
вредоносного |
файлов в системе с использованием пользовательских |
программногообеспечения |
или системных учетных данных, в том числе с |
в системах и сетях |
использованием методов социальной инженерии |
|
|
Т10. Несанкционированный |
Т10.8. Уничтожение информации, включая информацию, |
доступ и (или) воздействие |
хранимую в виде файлов, информацию в базах данных и |
на информационные ресурсы |
репозиториях, информацию на неразмеченных областях |
или компоненты систем и |
дисков и сменных носителей |
сетей, приводящие к |
|
негативным последствиям |
|
|
|
Схема реализации приведенного сценарии представлена на рисунке 3.
14
Рисунок 3 – Схема сценария несанкционированного доступа к информации в БД
2) Возможный сценарий реализации угрозы утечки информации состоит из четырех последовательных тактик: Т1, Т2, Т7, Т10 и
соответствующих им техник.
Тактика |
Техники |
|
|
Т1. Сбор информации о |
Т1.11. Сбор информации о пользователях, устройствах, |
системе |
приложениях, внутренней информации о компонентах |
|
систем и сетей путем применения социальной |
|
инженерии |
|
|
Т2. Получение |
Т2.9. Несанкционированное подключение внешних |
первоначального доступа к |
устройств. |
компонентам систем и сетей |
|
|
|
15
Т7. Сокрытие действий и |
Т7.1. Использование нарушителем или вредоносной |
||||
применяемых при этом |
платформой |
штатных |
инструментов |
||
средств от обнаружения |
администрирования, утилит и сервисов операционной |
||||
|
системы, сторонних утилит, в том числе двойного |
||||
|
назначения: использование снифферов (сетевых |
|
|||
|
анализаторов) |
|
|
|
|
|
|
|
|
|
|
Т10. Несанкционированный |
Т10.3. |
Несанкционированное |
воздействие |
на |
|
доступ и (или) воздействие |
программные модули прикладного |
|
|
||
на информационные ресурсы |
программного обеспечения |
|
|
||
или компоненты систем и |
|
|
|
|
|
сетей, приводящие к |
|
|
|
|
|
негативным последствиям |
|
|
|
|
|
|
|
|
|
|
|
Схема реализации приведенного сценария показана на рисунке 4.
Рисунок 4 – схема сценария №2
16
3) |
Возможный сценарий реализации угрозы удаления |
информационных ресурсов состоит из четырех последовательных тактик:
Т1, Т2, Т3, Т10 и соответствующих им техник.
Тактика |
Техники |
|
|
Т1. Сбор информации о |
Т1.11. Сбор информации о пользователях, устройствах, |
системе |
приложениях, внутренней информации о компонентах |
|
систем и сетей путем применения социальной |
|
инженерии |
|
|
Т2. Получение |
Т2.7. Использование в системе внешних носителей |
первоначального доступа к |
информации, которые могли подключаться к другим |
компонентам систем и сетей |
системам и быть заражены вредоносным программным |
|
обеспечением |
|
В том числе дарение, подмена или подлог носителей |
|
информации и внешних устройств, содержащих |
|
вредоносное программное обеспечение или |
|
предназначенных для реализации вредоносных функций |
|
|
Т3. Внедрение и исполнение |
Т3.1. Автоматический запуск скриптов и исполняемых |
вредоносного программного |
файлов в системе с использованием пользовательских |
обеспечения в системах и |
или системных учетных данных, в том числе с |
сетях |
использованием методов социальной инженерии |
|
|
Т10. Несанкционированный |
Т10.8. Уничтожение информации, включая информацию, |
доступ и (или) воздействие |
хранимую в виде файлов, информацию в базах данных и |
на информационные ресурсы |
репозиториях, информацию на неразмеченных областях |
или компоненты систем и |
дисков и сменных носителей |
сетей, приводящие к |
|
негативным последствиям |
|
|
|
Схема реализации приведенного сценария показана на рисунке 5.
17
Рисунок 5 – схема сценария №3
18
ВЫВОД
В ходе выполнения работы была построена структура ИСПДн-И (УЗ 3), на основе чего были выявлены актуальные угрозы безопасности информации для корпоративной локальной сети офиса предприятия ООО «Lux» (угроза НСД,
угроз удаления информационных ресурсов, угроза утечки). Для перечисленных угроз построены возможные сценарии реализации.
19