Раздел 3. Модель поведения нарушителя

Содержание:

3.1. Классификация нарушителя.

3.2. Каналы и пути несанкционированного доступа к защищаемой информации.

3.3. Методы реализация угроз безопасности информации нарушителем.

3.1. Классификация нарушителя

Как показывает данные, приводимые в технической литературе, наиболее опасным из возможных источников угроз безопасности информации, по количеству нарушений, происшествий и величине ущерба является человек. Из многочисленных источников угроз 70-80% происшествий и нарушений происходят по вине человека (группы людей).

Человек, который своим действием или бездействием нарушил состояние информационной безопасности мы будем называть нарушителем.

Нарушитель – это лицо, предпринявшее попытку выполнения запрещённых операций (действий) по ошибке, незнанию или осознанно, со злым умыслом (из корыстных интересов) или без такого (ради игры или удовольствия, с целью самоутверждения и т.п.) и использующее для этого различные возможности, методы и средства.

В зависимости от действий (поступков) нарушителя выделим три категории нарушителя.

Злоумышленник – нарушитель, намеренно идущий на нарушение из корыстных побуждений и/или выполняющего чьи-либо преступные указания, который еще не совершил действий приведших к нарушению характеристик информационной безопасности, но имеет намерения и подготавливается к свершению преступления или готовит к свершению иных лиц. На этом этапе нарушитель не нарушил требований закона Российской Федерации и требований ведомственных нормативных документов общества, организаций. Например, злоумышленник добывает сведения об обществе, организации, характере производственной деятельности его возможности по производству и реализации продукции, расположение зданий, планировку территории поэтажного плана и т.п.

Правонарушитель – нарушитель, выполняющий конкретные действия по реализации угрозы, но еще не нарушил характеристики безопасности информации, либо должностное лицо своими действиями или бездействиями создал условия по реализации угрозы (ошибочно, случайно, по незнанию или иным причинам). Эти действия происходят на этапе реализации угрозы, когда нарушитель начал действовать и нарушил требования нормативных документов общества, организации, в отношении которого готовил преступления.

Преступник – совершивший преступление, т.е. реализовал угрозу, в результате которого нарушил состояние информационной безопасности и своими действиями нанес ущерб обществу, организации и получил наказание по приговору суда.

В целях организации и планирования работ по обеспечению безопасности информации, необходимо рассмотреть и понять, кто может потенциально нарушителем, его возможное поведение, как из-за чего и каким образом он может нарушить безопасность информации, методы и способы реализации угрозы, и каковы последствия наступят при реализации угроз безопасности информации. С этой целю необходимо классифицировать нарушителя по следующим показателям:

1. Внешний или внутренний нарушитель

2. Мотивы нарушений, происшествий, преднамеренно или случайно.

3. Возможность доступа к защищаемой информации.

4. Уровень подготовки и его квалификация по взлому обхода средств защиты.

5. Наличие практического опыта свершения преступления.

6. Наличие средств взлома средств защиты.

Нарушитель своими неправомерными действиями или бездействиями может нарушить безопасности информации или (и) создать условия к нарушению информационной безопасности путем:

• непреднамеренного воздействия на информацию носитель информации (далее - НДВ): случайно, ошибочно, из-за незнания требований нормативных документов, небрежного и халатного отношения к своим служебным обязанностям или вынужденные действия из-за психологического, морального, физического давления и т.п.;

• преднамеренного воздействия на информацию, носитель информации (далее - ПДВ): осознанные, целенаправленные действия, направленные на создание условий для изменения характеристик информационной безопасности или (и) непосредственное разрушение характеристик информационной безопасности.

В соответствии со статистикой, приведенных в специальной литературе, преднамеренные действия по сравнению с непреднамеренными действиями нарушителя составляет в % отношении: 20-30% и 70-80% соответственно, т.е. в основном происшествия и нарушения по вине человека происходят из-за случайного, ошибочного действия или бездействия по обеспечению безопасности информации..

Для всех нарушителей можно выделить три основных мотива нарушений:

безответственность, халатность;

самоутверждение, неоправданный риск;

материальная выгода, корыстный интерес.

При нарушениях, вызванных безответственностью, нарушитель ошибочно или случайно действием или бездействием производит какие-либо разрушающие действия, не связанные со злым умыслом. В большинстве случаев это следствие некомпетентности или небрежности в отношении выполнения своих служебных обязанностей.

Некоторые пользователи считают получение доступа к системным наборам данных, в нарушении ведомственных нормативных документов, крупным успехом своих знаний, затевая своего рода игру “пользователь – против системы” ради самоутверждения в собственных глазах, либо в глазах коллег.

Нарушение безопасности информационных систем может быть вызвано и корыстными интересами должностных лиц. Такие работники, по возможности тайно, но целенаправленно, пытаются преодолеть систему защиты для доступа к хранимой, передаваемой и обрабатываемой информации.

Действия нарушителя, т.е. методы и способы реализации угроз безопасности информации, зависят от его возможности:

• доступа к носителям информации;

• квалификации и подготовки по преодолению системы защиты информации;

• использования специальных технических средств съёма информации;

• использования специальных программных средств;

По возможностям доступа (получения) к защищаемой информации мы разделим нарушителей на внешних и внутренних.

Внешний нарушитель это лица имеющие намерения (желающие), пытающие реализовать угрозу безопасности информации, которые не имеет законного право доступа на охраняемый объект (далее - посторонние лица) или лица, имеющие право доступа на охраняемый объект для выполнения работ (далее - посетители), не связанных, с охраняемыми сведениями.

Внешние нарушители могут быть:

• клиенты (представители организаций, граждане);

• посетители (приглашенные по какому-либо поводу);

• представители организаций, взаимодействующих по вопросам обеспечения жизнедеятельности организации (энерго-, водо-, теплоснабжения и т.п.);

• представители заинтересованных организаций (иностранных спецслужб) или лица, действующие по их заданию, профессиональные охотники за секретной (служебной) информацией;

• лица, случайно или умышленно нарушившие пропускной режим;

• любые лица за пределами контролируемой территории.

Для внешнего нарушителя характерны следующие действия:

• получение информации через возможности внутреннего нарушителя;

• установка технических средств разведки на границе контролируемой зоны;

• применение специализированных приёмников перехвата;

• осуществление перехвата информационного сигнала по любому из каналов утечки информации.

К внутренним нарушителям это работники предприятия или работники сторонних организаций, имеющие право доступа к защищаемой информации при выполнении совместных работ (по договорам, соглашениям и т.п.), которые своими действиями реализуют или своими бездействиями создают условия к реализации угроз безопасности информации.

Для внутреннего нарушителя необходимо учитывать следующие возможные действия (или бездействия):

• нарушение режима доступа и правил поведения лиц на защищаемом объекте;

• нарушения правил допуска и порядка доступа к охраняемой информации;

• нарушение правил работы с носителями информации: учет, регистрация, хранение, передача, порядка транспортировки носителей информации и т.п.;

• несоблюдение регламента архивирования обрабатываемой информации;

• нарушение режима обработки информации на СВТ;

• несоблюдение порядка приёма в эксплуатацию программного обеспечения или использование нерегламентированных программных продуктов;

• нарушение порядка организации ремонтно-профилактических работ.

Внутренний нарушитель имеет потенциальную возможность работы практически со всеми носителями информации, информационными ресурсами, информационными системами и, соответственно, располагает более широкими возможностями в достижении своих целей, чем внешний нарушитель. Внутренний нарушитель наиболее опасен с точки зрения обеспечения безопасности информации.

Наибольшее количество происшествий и нарушений в организациях, предприятиях, учреждениях приходит по вине работников предприятия или лиц, которым предоставляется защищаемая информации при выполнении совместных работ 70-80% и около 20-30% происходят нарушения от действия лиц, которые не являются работниками предприятия и не имеют доступа на охраняемую территорию.

Криминальные структуры, фирмы конкуренты активно работают по вербовке или склонению к сотрудничеству работников предприятия. Согласно опубликованным статистическим данным более 70% ущерба информации приходится на долю персонала, имеющего к ней непосредственный доступ. Все это свидетельствует о том, что в современных условиях одним из главных направлений по обеспечению безопасности информации должно быть работа с человеком, который работает с защищаемой информацией.

3.2. Каналы и пути несанкционированного доступа к защищаемой информации.

Канал есть путь, где информация от источника информации через физическую среду попадает к получателю информации.

В понятийном аспекте канал это путь. Применительно к информации путь следует рассматривать как направление утечки информации или как использование чего-то/кого-то, через что/кого. С учетом этого:

Канал утечки - путь неправомерного выхода информации за пределы защищаемой зоны ее функционирования или установленного круга лиц.

Канал НСД - путь, по которому нарушитель случайно или преднамеренно может получить несанкционированный доступ к информации.

В процессе обработки, передачи и хранении информации, охраняемой законом, возникает опасность безопасности информации в результате незаконных, противоправных действий нарушителей или иных стихийных бедствий, техногенных катастроф. В результате незаконных (несанкционированных) действий или(и) иных обстоятельств возникают каналы утечки (несанкционированного доступа) к информации, которые дают возможность изменить характеристики информационной безопасности – доступность, целостность, конфиденциальность. Каналы могут возникать за счет случайного или непреднамеренного, целенаправленного или преднамеренного (несанкционированных) действия человека – назовем такие действия искусственные каналы. Могут возникать естественные каналы например, во время обработки информации на технических средствах, при ведении переговоров возникают побочные электромагнитные излучения и наводки на отводящие провода или из-за стихийных бедствий, техногенных катастроф.

По способу получения информации каналы проникновения (доступа) к информации можно разделить на:

физический, (материальный);

технический: акустический, виброакустический, электромагнитный, электрический по отводящим проводам;

информационный (программно-аппаратный).

Физический (материальный) – исходная информация или её копия, расположенная на материальном носители передается (принимается) (случайно или преднамеренно, законно или незаконно) потребителю информации. Например: информация представленная на бумажных, технических и иных материальных носителях информации передаются человеку для дальнейшего использования (принятия решения).

Технический канал – исходная информация обрабатывается с использованием технических средств, в результате которого возникает побочное электромагнитное излучение и наводка на отводящие провода, которые могут быть перехвачены с использованием специальных технических средств разведки.

Информационный (программно-аппаратный) каналы проникновения (доступа) нарушителей к информации – это получение информации с использованием программных, аппаратно-программных средств съёма информации или изменение (случайно ли преднамеренно) режима обработки информации.

По способу получения информации каналы могут быть прямого и косвенного доступа к исходной информации.

Прямой канал (контактный) – это получение информации (носителя информации) непосредственно в месте её хранения, обработки. Прямые каналы могут использоваться без внесения изменений в компоненты системы или с изменениями компонентов (установление “закладных устройств”, или программ типа “троянских коней”).

При контактном НСД (физическом, программно-аппаратном) возможные угрозы информации реализуются путём доступа к элементам носителей информации, к самой вводимой и выводимой информации (и результатам), к программному обеспечению (в том числе к операционным системам), а также путём подключения к линиям связи.

Под косвенными (бесконтактный) каналом – понимают такие каналы, использование которых не требует проникновения нарушителя к месту обработки/хранения информации (в здание, помещение, шкаф и т.п.), где расположены источники информации. Для получения информации нарушитель может использовать технические средства, которые позволяют принимать/перехватывать информацию во время её обработки с использованием технических средствах, ведения переговоров или воспользоваться незаконными услугами посредника, имеющего непосредственный доступ к информации (носителям информации) и может передать информацию устно или на носителях информации.

При бесконтактном доступе (например, по электромагнитному каналу) возможные угрозы информации реализуются перехватом излучений аппаратуры, в том числе наводимых в токопроводящих коммуникациях и цепях питания, перехватом информации в линиях связи, вводом в линии связи ложной информации, визуальным наблюдением (фотографированием) устройств отображения информации, прослушиванием переговоров персонала и пользователей.