Основы ИБ

симого таким нарушением. В совокупности эти параметры будут представлять собой не что иное, как оценку риска нарушения безопасности информации.

При этом к основным параметрам, влияющим на вероятность нарушения защищенно-

сти информации, могут быть отнесены: количество и типы структурных компонентов систе-

мы (объекта), количество и типы случайных угроз, которые потенциально могут проявиться в рассматриваемый период времени, количество и типы преднамеренных угроз, которые мо-

гут иметь место в тот же период, число и категории лиц, которые потенциально могут быть нарушителями установленных правил обработки информации, и, наконец, виды защищаемой информации.

Принципиальное значение имеет оценка уязвимости информации, связанной с дейст-

виями злоумышленников. Дело в том, что в этой задаче наиболее выпукло проявляется мно-

горубежный характер реализации политики безопасности и комплексный характер пробле-

мы. Известно, что несанкционированное получение информации возможно не только путем непосредственного доступа к базам данных, но и многими другими путями, не требующими такого доступа. При этом основную опасность представляют преднамеренные действия зло-

умышленников. Воздействие случайных факторов само по себе не ведет к несанкциониро-

ванному получению информации, оно лишь способствует появлению КНПИ, которыми мо-

жет воспользоваться нарушитель.

Территориально потенциально возможные несанкционированные действия могут иметь место в различных зонах:

внешней неконтролируемой зоне – территории вокруг объекта, на которой не применяются никакие средства и не осуществляются никакие мероприятия для защиты информации;

зоне контролируемой территории – территории вокруг помещений, где распо-

ложены средства обработки информации, которая непрерывно контролируется персоналом или соответствующими техническими средствами;

зоне помещений – внутреннего пространства тех помещений, в которых распо-

ложены средства обработки информации;

зоне ресурсов – части помещений, откуда возможен непосредственный доступ

кресурсам системы;

зоне баз данных – части ресурсов системы, из которых возможен непосредст-

венный доступ к защищаемым данным.

При этом для несанкционированного получения информации необходимо одновре-

менное наступление следующих событий:

1) нарушитель должен получить доступ в соответствующую зону;

2) во время нахождения нарушителя в зоне в ней должен проявиться (иметь место)

соответствующий КНПИ; 3) проявившийся КНПИ должен быть доступен нарушителю соответствующей кате-

гории;

4) в КНПИ в момент доступа к нему нарушителя должна находиться защищаемая ин-

формация.

Попытаемся теперь с учетом изложенного материала вывести формулу для оценки уязвимости информации. Для этого введем следующие обозначения:

P(д)ikl – вероятность доступа нарушителя k-й категории в l-ю зону i-го компонента сис-

темы;

ijl – вероятность наличия (проявления) j-го КНПИ в l-й зоне i-го компонента систе-

мы;

ijkl – вероятность доступа нарушителя k-й категории к j-му КНПИ в l-й зоне i-го компонента при условии доступа нарушителя в зону;

ijl – вероятность наличия защищаемой информации в j-м КНПИ в l-й зоне i-го компонента в момент доступа туда нарушителя.

Тогда вероятность несанкционированного получения информации нарушителем k-й

категории по j-му КНПИ в l-й зоне i-го структурного компонента системы определится сле-

дующей зависимостью:

Вероятность несанкционированного получения информации в одном компоненте сис-

темы одним злоумышленником одной категории по одному КНПИ, назовем базовым показа-

телем уязвимости информации (с точки зрения несанкционированного получения). С учетом

(2.1) выражение для базового показателя будет иметь следующий вид:

Рассчитанные таким образом базовые показатели уязвимости сами по себе имеют ог-

раниченное практическое значение. Для решения задач, связанных с разработкой и эксплуа-

тацией систем защиты информации, необходимы значения показателей уязвимости, обоб-

щенные по какому-либо одному индексу (i,j,k) или по их комбинации. Рассмотрим возмож-

ные подходы к определению таких частично обобщенных показателей.

Пусть {K*} есть интересующее нас подмножество из полного множества потенциаль-

но возможных нарушителей. Тогда вероятность нарушения защищенности информации ука-

занным подмножеством нарушителей по j-му фактору в i-м компоненте системы (Pij{K*}) оп-

ределится выражением:

где k* означает перемножение выражений в скобках для всех k, входящих в подмно-

жество {K*}.

Аналогично, если {J*} есть подмножество представляющих интерес КНПИ, то уязви-

мость информации в i-м компоненте по данному подмножеству факторов относительно k-го нарушителя определится выражением:

Наконец, если {I*} есть подмножество интересующих нас структурных компонентов

системы, то уязвимость информации в них по j-му КНПИ относительно k-го нарушителя

Каждое из приведенных выше выражений позволяет производить обобщение по од-

ному какому-либо параметру. Нетрудно получить и общее выражение, если нас интересуют подмножества {I*}, {J*} и {K*} одновременно. В этом случае

На практике наибольший интерес представляют экстремальные показатели уязвимо-

сти, характеризующие наиболее неблагополучные условия защищенности информации: са-

мый уязвимый структурный компонент системы (i ), самый опасный КНПИ (j ), самая опас-

ная категория нарушителей (k ).

Аналогичным образом может быть проведена оценка уязвимости информации и в других случаях, в частности в случае нарушения целостности.

Рассмотрим далее возможные методы учета интервала времени, на котором оценива-

ется уязвимость. Это важно, так как чем больше данный интервал, тем больше и возможно-

стей у нарушителей для злоумышленных действий, а также больше вероятность изменения состояния системы и условий обработки информации.

Можно определить такие временные интервалы (не сводимые к точке), на которых процессы, связанные с нарушением защищенности информации, являлись бы однородными.

Назовем эти интервалы малыми. Такой малый интервал, в свою очередь, может быть разде-

лен на очень малые интервалы, уязвимость информации на каждом из которых определяется независимо от других. При этом в силу однородности происходящих процессов уязвимость информации на каждом из выделенных очень малых интервалов будет определяться по од-

ной и той же зависимости.

Тогда, если через Ptm обозначить интересующий нас показатель уязвимости в точке

(на очень малом интервале), а через P – тот же показатель на малом интервале, то

где t – переменный индекс очень малых интервалов, на которые поделен малый ин-

тервал;

n – общее число очень малых интервалов.

Очевидно, что рассмотренный подход можно распространить и на другие интервалы,

а именно: большой интервал представить некоторой последовательностью малых, очень большой – последовательностью больших, бесконечно большой – последовательностью очень больших.

Однако приведенные выражения будут справедливыми лишь в том случае, если на всем рассматриваемом интервале времени условия для нарушения защищенности информа-

ции остаются неизменными. В действительности эти условия могут изменяться, причем наи-

более важным фактором здесь является активное действие самой системы защиты информа-

ции. Более того, во всех рассмотренных нами выражениях, структурирующих оценку уязви-

мости информации, присутствуют показатели, представляющие собой вероятности реализа-

ции тех или иных событий. Значения этих показателей при отсутствии достаточного стати-

стического материала могут быть получены только экспертным путем. При этом исключи-

тельное значение приобретает оценка достоверности данных, опираясь на которые эксперт-

аналитик принимает то или иное решение.

2.3 Модели оценки ущерба от реализации угроз безопасности информации

Риск нарушения безопасности информации не определяется только вероятностями проявления тех или иных угроз. Совершенно очевидно, что с другой стороны он характери-

зуется возможным ущербом, который будет иметь место в случае их реализации.

Если рассматривать проявление данной угрозы в течение определенного периода вре-

мени, то числу этих проявлений r будет соответствовать распределение вероятностей f(r/ ),

которое может быть выражено функцией распределения Пуассона:

где a и b параметры распределения, определяемые по рекурентным зависимостям:

где r1,r2,...,r3 – число проявлений рассматриваемой угрозы в периоды наблюдения t1,t2,...,t3.

Далее отметим, что безусловное распределение вероятностей проявления угроз за пе-

риод времени t может быть представлено в виде:

Количество проявлений угроз при этом характеризуется математическим ожиданием

E(r / t) at

b (2.14)

и дисперсией

V (r / t) at .

b(t b) (2.15)

Таким образом, мы описали вероятности проявления угроз. Для того, чтобы оценить ущерб от проявления угроз, рассмотрим для начала средние оценки ущерба, для которых может быть принята нормальная функция распределения с параметрами m и V:

n' и ' – параметры нормального и гамма распределений.

Если в заданный период времени имеет место r проявлений рассматриваемой угрозы,

которые приводят к ущербу x1,x2,...,xr соответственно, то параметры распределения вероят-

ностей ожидаемых потерь корректируются следующим образом:

где n n r; r x xi / r; S 2 (xi x)2 / (r 1).

Выделим далее неопределенные параметры m и V из функции распределения вероят-

ностей для стоимости проявления угрозы данного типа. Тем самым будет получено прогно-

зируемое распределение для ущерба от возможного проявления рассматриваемой угрозы

Поскольку полные затраты в условиях проявления угроз являются случайными вели-

чинами (из-за случайного характера наносимого ущерба), то для их оценки необходимо зна-

ние соответствующей функции распределения вероятностей.

Таким образом, если бы существовали систематизированные статистические данные о проявлениях угроз и их последствиях, то рассмотренную модель можно было бы использо-

вать для решения достаточно широкого круга задач защиты информации. Более того, эта мо-

дель позволяет не только находить нужные решения, но и оценивать их точность, что, как подчеркивалось выше, имеет принципиальное значение. К сожалению, в силу ряда объек-

тивных и субъективных причин такая статистика в настоящее время практически отсутству-

ет, что делает особо актуальной организацию непрерывного и регулярного сбора и обработки данных о проявлениях угроз, охватывающих возможно большее число реальных ситуаций.

Рассмотренная выше модель может быть сформулирована и в терминах теории игр.

Предположим, что злоумышленник затрачивает x средств с целью преодоления защиты, на создание которой израсходовано у средств. В результате он может получить защищаемую информацию, количество которой оценивается функцей I(x,y). Положим далее, что f(n) – есть ценность для злоумышленника n единиц информации, а g(n) – суммарные затраты на созда-

ние этого же числа единиц информации. Тогда чистая прибыль злоумышленника

Для практического использования этой модели необходимо определить стоимость

информации, а также задать функции I, f и g, что в условиях отсутствия необходимого объе-

ма статистических данных может быть выполнено только на основе экспертных оценок.

Рассмотренные нами подходы и модели позволяют в общем случае определять теку-

щие и прогнозировать будущие значения показателей уязвимости информации. Необходимо только сделать некоторые существенные замечания относительно их адекватности. Во-

первых, практически все приведенные нами модели построены в предположении независи-

мости случайных событий, совокупности которых образуют сложные процессы защиты ин-

формации, а во-вторых – для обеспечения работы моделей необходимы исходные данные,

формирование которых при отсутствии достоверной статистики сопряжено с большими трудностями.

Таким образом, при использовании этих моделей фактически делаются следующие допущения:

возможности проявления каждой из потенциальных угроз не зависят от проявления других;

каждый из злоумышленников действует независимо от других, т.е. не учитываются возможности формирования коалиции злоумышленников;

негативное воздействие на информацию каждой из проявившихся угроз не зависит от такого же воздействия других проявившихся угроз;

негативное воздействие проявившихся угроз на информацию в одном каком-

либо элементе системы может привести лишь к поступлению на входы связан-

ных с ним элементов искаженной информации с нарушенной защищенностью и не оказывает влияния на такое же воздействие на информацию в самих этих элементах;

каждое из используемых средств защиты оказывает нейтрализующее воздейст-

вие на проявившиеся угрозы и восстанавливающее воздействие на информа-

цию независимо от такого же воздействия других средств защиты;

благоприятное воздействие средств защиты в одном элементе системы лишь снижает вероятность поступления на входы связанных с ним элементов иска-

женной информации и не влияет на уровень защищенности информации в са-

мих этих элементах.

Вдействительности же события, перечисленные выше, являются зависимыми, хотя степень зависимости различна – от незначительной, которой вполне можно пренебречь, до существенной, которую необходимо учитывать.

Что касается обеспечения моделей необходимыми исходными данными, то, как неод-

нократно отмечалось, практическое использование любых предлагаемых моделей оценки уязвимости упирается в ограничения, связанные с неполнотой и недостоверностью исходных данных. Вообще, правильно поставленная работа с исходными данными в условиях высокой степени их неопределенности является ключевым моментом в решении любых задач, свя-

занных с обеспечением информационной безопасности. Поэтому проблема заключается не просто в формировании необходимых данных, а в перманентном их оценивании и уточне-

нии. Поскольку экспертные оценки становятся одним из основных методов решения задач защиты информации, а адекватность такого рода методов существенно зависит от объема выборки, то необходима организация и перманентное осуществление массовой экспертизы в создаваемой инфраструктуре обеспечения информационной безопасности.

3 ЗАЩИТА ИНФОРМАЦИИ ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА

3.1 Общесистемные аспекты

3.1.1 Введение в проблему Одной из самых очевидных и опасных угроз информации, распространение которой в

Российской Федерации ограничивается или запрещается – информация ограниченного дос-

тупа [3.12], является нарушение санкционированного доступа к ней. Противодействие этой угрозе можно осуществить путем контроля и разрешения доступа к информации ограничен-

ного доступа только легальным пользователям, имеющим документально оформленные пра-

ва и полномочия (санкции). Данное направление деятельности в области информационной безопасности сформулировано как защита от несанкционированного доступа информации

(защита от НСД) в руководящих документах Гостехкомиссии России, которая являлась уполномоченным органом исполнительной власти, возглавлявшим государственную систему технической защиты информации. В настоящее время правопреемником Гостехкомиссии России стала Федеральная служба по техническому и экспортному контролю (ФСТЭК).

В соответствии с документами Гостехкомиссии России несанкционированный доступ

(НСД) – доступ к информации, нарушающий правила разграничения доступа с использова-

нием штатных средств, представляемых средствами вычислительной техники (СВТ) и авто-

матизированными системами (АС) [10].

Таким образом, защита от НСД предполагает наличие:

во-первых, правил разграничения доступа (ПРД) или совокупности правил, регламен-

тирующих права доступа субъектов доступа (прежде всего, пользователей АС) к объектам доступа (прежде всего, к информационным объектам);

во-вторых, штатных средств, под которыми понимается совокупность программного,

микропрограммного и технического обеспечения СВТ или АС.

В защищаемой АС все ресурсы должны быть сущностями. Причѐм в данном случае под сущностью понимается любая выделенная по своему назначению, содержанию или сути своей, индивидуально именованная компьютерная или телекоммуникационная составляющая АС. И, прежде всего, к этой категории относятся объекты информационных ресурсов систе-

мы. То есть сущность – это любой элемент системы, к которому можно обратиться по своему имени [3.1].

Объект доступа (объект) является единицей ресурса АС, доступ к которой регламен-

тируется ПРД. Объект – пассивная сущность. К ним могут быть отнесены любые ресурсные компоненты СВТ и АС, находящиеся в неактивном состоянии, но обеспечивающие процессы реализации информационных технологий, а также такие атрибуты системы как: