Класифікація загроз (11)

• За специфікою реалізації:

• фрагментовані – реалізуються поступово

• позашаблонні – спрямовані на обхід шаблонних систем захисту

• приховані – спрямовані на приховування своєї реалізації

• неочікувані (піггібекінгові) – спрямовані на тимчасово неконтрольований ресурс

• маскувальні – спрямовані на представлення джерела загрози як легальний ресурс

• непрямі – реалізуються через посередника

• соціотехнічні – реалізуються на підставі інформації отриманої під час інформаційного обміну між людьми

• криптоаналітичні – спрямовані на використання криптоаналітичних методів

• неспецифічні – не належать до попередніх видів

Класифікація загроз (12)

• За ступенем складності:

• прості – реалізують нескладні у реалізації алгоритми, що спрямовані на виконання окремих процедур (сканування портів, аналіз трафіку, пошук активних терміналів, віддалене управління)

• складні – реалізують комбінацію простих загроз

• системні – передбачають системний підхід під час реалізації багатокрокової комбінації простих загроз

Види загроз (1)

• Апаратні збої і відмови:

• збій – тимчасова зміна функціональних властивостей елемента системи, наслідком чого може бути невірне виконання ним своїх функцій

• відмова – незворотна втрата працездатності елемента системи, яка робить неможливою виконання ним відповідних функцій

• Диверсії – навмисні дії, спрямовані на пошкодження певного ресурсу:

• фізичні (підпал, пошкодження живлення, розукомплектація)

• логічні (зміна назв файлів, дисків, підміна програм, даних)

• Віруси – навмисно створена програма, яка після проникнення у систему може приєднуватися до інших програм чи даних (інфікувати їх), самостійно поширюватись шляхом створення власних копій, а у випадку виконання певних умов здійснює негативну дію

Види загроз (2)

• Випромінювання і наведення:

• випромінювання електромагнітних хвиль з каналів передавання інформації загрожує незаконним доступом до інформації

• електромагнітне наведення – вплив електромагнітного поля на обладнання і канали зв'язку

• Крадіжка – викрадення інформації, обладнання послуг

• Крекери – вузькоспрямовані програми, які дають змогу безперешкодно входити в систему чи використовувати захищені програми

• Логічні бомби – потенційні дії, які активізуються у випадку виникнення певної події

• Необережність – дії суб'єктивного характеру, пов'язані з помилками людини, випадковостями, некомпетентністю

• Хибна маршрутизація – навмисний чи випадковий неправильний вибір шляху передавання інформації

• Помилки програмування – дії програміста під час програмування, які можуть спричинити збій у системі захисту

• Перехоплення – несанкціоноване зняття інформації

Види загроз (3)

• Піггібекінг – несанкціонований доступ до тимчасово неконтрольованого ресурсу

• Навмисні підробка та пошкодження даних – дії, що спрямовані на знищення цілісності даних

• Стихійні лиха – об'єктивні природні явища спрямовані на знищення чи пошкодження ресурсів

• Суперзаппінг – несанкціоноване використання утиліт для модифікування, знищення, копіювання, розкриття, використання чи заборони на використання даних

• Таємний вхід – спеціально створений розробником чи випадково відкритий люк у системі захисту

• Троянський кінь – спеціальна програма, яка дає змогу діяти програмному забезпеченню у спосіб непередбачений його специфікацією

• Самозванство – використання чужого ідентифікатора для проникнення у систему

Управління ризиком

• Загрози для інформації існують завжди. Щоб знизити імовірність реалізації потенційних загроз чи наслідки вживають відповідні заходи безпеки

• Цілеспрямоване вживання заходів, які спрямовані на забезпечення безпеки інформації, називають управління ризиком

• У програму управління ризиком входять такі головні елементи:

• аналіз небезпек

• вибір заходів безпеки

• сертифікація і акредитація заходів безпеки

• планування випадковостей

Аналіз небезпек

• Аналіз небезпек спрямований на визначення потенційних небезпек та наслідків реалізації небезпек

• Результатом проведеного аналізу повинно стати підготовлені рекомендації щодо вибору найоптимальніших заходів безпеки

• Критерієм оптимальності є вартість заходів безпеки, які дають змогу понизити ризик загроз до прийнятного рівня

Вибір заходів безпеки

• Під час вибору заходів безпеки необхідно звернути особливу увагу на найбільш потенційні втрати від реалізації загроз

• Затрати на впровадження і підтримки заходів безпеки не повинні перевищувати вартість потенційних втрат

• Заходи безпеки можуть бути спрямовані на:

• зменшення імовірності виникнення загроз

• зменшення руйнівної дії реалізації загроз

• полегшення відновлення попереднього стану системи

Сертифікація і акредитація

• Заходи інформаційної безпеки у важливих для державних органів системах повинні бути сертифіковані та акредитовані

• Сертифікація – це технічне підтвердження того, що заходи безпеки і контролю відповідають встановленим вимогам і вживаються нормально

• Акредитація – це офіційний дозвіл державних органів на вживання, зміну чи відмову від відповідних заходів безпеки

Планування випадковостей

• Загрозою для інформації можуть стати події, передбачити які доволі важко або й зовсім неможливо (природні катаклізми, техногенні катастрофи)

• Заходи, які спрямовані на забезпечення нормальної роботи найбільш важливих частин систем, у випадку виникнення непередбачуваних подій, називають плануванням випадковостей

• Етапи процесу планування випадковостей:

• попереднє планування

• підготовчі заходи

• розробка плану дій

• перевірка

Попереднє планування передбачає:

• визначення об'єктів захисту і плану супутніх заходів

• Вироблення передбачень відносно імовірних небезпек і наявних ресурсів

• Визначення максимально допустимих втрат

• Вибір стратегії резервування і поведінки у нештатних ситуаціях

• Визначення пріоритетності у резервуванні і відновленні

• Визначення відповідальних за виконання плану

Підготовчі заходи передбачають:

• Підготовку детальної інформації про найбільші цінності

• Підготовку угод з постачальниками, суміжними і допоміжними організаціями щодо дій у випадку виникнення непередбачуваних ситуацій

Розробка плану дій передбачає створення:

• Плану першочергових заходів – містить інструкції щодо того як необхідно діяти у момент виникнення непередбаченої події

• Резервного плану – містить інструкції щодо відновлення найважливіших функцій системи

• Плану усунення наслідків – визначає заходи, спрямовані на відновлення нормальної роботи системи