Модель нарушителя информационной безопасности
На основе руководящего документа Гостехкомиссии России «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации», а также СТО БР ИББС 1.0.2010, предлагается следующая модель нарушителя для проекта «Сеть розничных магазинов в Курске».
Классификация нарушителя относительно внутренней ЛВС магазина
1) Внутренние нарушители.
Это сотрудники магазина, имеющие непосредственный доступ к внутренней ЛВС магазина:
администраторы сети, баз данных и администраторы безопасности;
разработчики ПО для предоставления обслуживания в магазине;
штатные сотрудники, имеющие физический доступ к системе, но не работающие в ней;
случайные и временные посетители с физическим доступом к системе;
сотрудники, имеющие физический доступ в помещения организации, но не работающие с системой (уборщицы, водители, грузчики и т.д.);
сотрудники, не имеющие права администратора, но работающие с системой (например, операторы).
2) Внешние нарушители:
клиенты магазина, имеющие злой умысел;
злоумышленники, получившие доступ к аутентификационным данным клиента;
злоумышленники, не имеющие доступ к аутентификационным данным клиента;
«обиженные» бывшие сотрудники, цель которых – нанести максимальный ущерб системе;
нарушитель на стороне банка-эквайера.
Защита от нарушителей, имеющих аутентификационную информацию, также как защита от системных администраторов, невозможна. Единственное средство – это ведение журналов действий пользователей с целью выявления подобных воздействий.
Уровень знаний и наличие инструментов у нарушителя
При рассмотрении уровня знаний и наличия средств и инструментов у нарушителя, будем считать, что нарушитель обладает всеми необходимыми знаниями и умениями для проведения атаки, а также обладает всеми необходимыми инструментами для её проведения.
Исключение составляет лишь возможность обратной разработки аутентификационного устройства (из-за экономической нецелесообразности данного действия). Средства СКЗИ, применяемые во внутренней сети магазина, также не могут быть скомпрометированы злоумышленником методом подбора. Также злоумышленник не знает аутентификационной информации.
Мотивы и побуждения злоумышленника
1) Халатность;
2) Получение материальной выгоды;
3) Месть;
4) Шантаж;
5) Упрощение взаимодействия с системой;
6) Случайное обнаружение уязвимости в процессе эксплуатации.
Цели и объекты атаки злоумышленника
Каналы связи;
Доступность услуги;
Конфиденциальность информации;
Целостность информации;
Ключевые узлы ЛВС магазина;
Программное обеспечение на серверах и рабочих станциях в ЛВС магазина;
Аутентификационная информация клиентов магазина.
На рисунке 4 показаны варианты расположения нарушителя информационной безопасности.
Рисунок 4 – Варианты расположения нарушителя информационной безопасности
Угрозы и уязвимости для функционирования технологического и бизнес-процесса
В результате анализа технологического процесса были выделены следующие возможные угрозы, которые приведены в таблице 4.
Таблица 4 – Угрозы для функционирования технологического и бизнес-процесса
Этап бизнес-процесса |
Компоненты технологического процесса, реализующие этап |
Угрозы |
Поступление заказа |
Рабочие станции клиентов; Сервер с установленным веб-приложением; Сервер СУБД |
Перехват трафика; Перехват аутентификационных данных пользователя; Намеренное искажение информации оператором или удаленным пользователем; Нарушение целостности базы данных; Внедрение вредоносного ПО на сервер Вывод из строя серверов, обеспечивающих бизнес-процесс |
Проверка наличия товара на складе |
Рабочие станции операторов; Сервер СУБД; |
Перехват трафика; Намеренное искажение информации оператором или удаленным пользователем; Нарушение целостности базы данных Вывод из строя серверов, обеспечивающих бизнес-процесс |
Изменение статуса в БД |
Рабочие станции операторов; Сервер с установленным веб-приложением; Сервер СУБД |
Перехват трафика; Перехват аутентификационных данных пользователя; Намеренное искажение информации оператором или удаленным пользователем; Нарушение целостности базы данных; Внедрение вредоносного ПО на сервер Вывод из строя серверов, обеспечивающих бизнес-процесс |
Оплата заказа |
Рабочие станции клиентов; Сервер с установленным веб-приложением; Сервет СУБД; Сетевое оборудование, обеспечивающее подключение к сети филиалов; POS-терминалы |
Перехват трафика; Перехват аутентификационных данных пользователя; Намеренное искажение информации оператором или удаленным пользователем; Нарушение целостности базы данных; Внедрение вредоносного ПО на сервер; Раскрытие передаваемой информации, нарушение ее статуса; Искажение файла журнала; Вывод из строя серверов, обеспечивающих бизнес-процесс |
Описание угроз приведено в таблице 5.
Таблица 5 – Описание угроз
Наименование угрозы |
Описание |
Перехват трафика |
Нарушитель может перехватить данные, находясь в том же сегменте сети, что и пользователь/оператор. |
Перехват аутентификационных данных законного пользователя и операторов |
Нарушитель может перехватить данные аутентификации: украсть носитель ключа, подсмотрев пароль, установив кейлоггер. |
Намеренное искажение информации оператором или удаленным пользователем |
Нарушитель, имея некоторые права в системе, может внести некорректные/ложные данные при передаче сообщения. |
Вывод из строя рабочих станций операторов и пользователей |
Нарушитель может вызвать DoS/DDoS рабочей станции, с помощью эксплуатации уязвимостей в ОС/ПО |
Вывод из строя серверов, обеспечивающих Технологический процесс |
Нарушитель выводит из строя сервера с помощью сетевой атаки или эксплуатации уязвимостей в ОС/ПО (DoS/DDoS) |
Внедрение вредоносного ПО на сервера и рабочие станции |
Нарушитель внедряет вредоносное ПО (внедрение вредоносного кода в код веб-приложения) |
Раскрытие передаваемой информации, нарушение её статуса |
Нарушитель намеренно нарушает статус информации: не использует средства шифрования, перехватывает и искажает данные |
Нарушение целостности базы данных |
Нарушитель искажает данные, хранящиеся в БД |
Искажение файла журнала |
Нарушитель искажает содержимое журнала для сокрытия следов несанкционированных действий. |
Нарушение режима функционирование системы фильтрации и защиты сетевого трафика |
Нарушитель может изменять режим функционирования разработанной системы фильтрации и защиты сетевого трафика, изменяя правила фильтрации трафика при помощи собственного прикладного ПО. |