Информационная безопасность: анализ угроз информационной безопасности

Анализ  угроз информационной безопасности

Под угрозой (в общем смысле) обычно понимают потенциально возможное событие (воздействие, процесс или явление), которое может привести к нанесению ущерба чьим-либо интересам. Под угрозой безопасности АС обработки информации понимается возможность воздействия на АС, которое прямо или косвенно может нанести ущерб ее безопасности.

В настоящее  время известен обширный перечень угроз  информационной безопасности АС, содержащий сотни позиций. Рассмотрение возможных  угроз информационной безопасности проводится с целью определения  полного набора требований к разрабатываемой  системе зашиты.

Перечень  угроз, оценки вероятностей их реализации, а также модель нарушителя служат основой для анализа риска  реализации угроз и формулирования требований к системе защиты АС. Кроме выявления возможных угроз, целесообразно проведение анализа  этих угроз на основе их классификации  по ряду признаков. Каждый из признаков  классификации отражает одно из обобщенных требований к системе защиты. Угрозы, соответствующие каждому признаку классификации, позволяют детализировать отражаемое этим признаком требование.

Необходимость классификации угроз информационной безопасности АС обусловлена тем, что  хранимая и обрабатываемая информация в современных АС подвержена воздействию  чрезвычайно большого числа факторов, в силу чего становится невозможным  формализовать задачу описания полного  множества угроз. Поэтому для  защищаемой системы обычно определяют не полный перечень угроз, а перечень классов угроз.

Классификация возможных угроз информационной безопасности АС может быть проведена  по следующим базовым признакам:

1) По  природе возникновения:

- естественные  угрозы, вызванные воздействиями  на АС объективных физических  процессов или стихийных природных  явлений;

- искусственные  угрозы безопасности АС, вызванные  деятельностью человека.

2) По  степени преднамеренности проявления:

- угрозы, вызванные ошибками или халатностью  персонала, например некомпетентное  использование средств защиты, ввод  ошибочных данных и т. п.;

- угрозы  преднамеренного действия, например  действия злоумышленников.

3) По  непосредственному источнику угроз:

- природная  среда, например стихийные бедствия, магнитные бури и пр.;

- человек,  например вербовка путем подкупа  персонала, разглашение конфиденциальных  данных и т. п.;

- санкционированные  программно-аппаратные средства, например  удаление данных, отказ в работе  ОС;

- несанкционированные  программно-аппаратные средства, например  заражение компьютера вирусами  с деструктивными функциями.

4) По  положению источника угроз:

- вне  контролируемой зоны АС, например  перехват данных, передаваемых по  каналам связи, перехват побочных  электромагнитных, акустических и  других излучений устройств;

- в пределах  контролируемой зоны АС, например  применение подслушивающих устройств,  хищение распечаток, записей, носителей  информации и т. п.;

- непосредственно  в АС, например некорректное использование  ресурсов АС.

5) По  степени зависимости от активности  АС:

- независимо  от активности АС, например вскрытие  шифров криптозащиты информации;

- только  в процессе обработки данных, например угрозы выполнения и  распространения программных вирусов.

6) По  степени воздействия на АС:

- пассивные  угрозы, которые при реализации  ничего не меняют в структуре  и содержании АС, например угроза  копирования секретных данных;

- активные  угрозы, которые при воздействии  вносят изменения в структуру  и содержание АС, например внедрение  троянских коней и вирусов.

7) По  этапам доступа пользователей  или программ к ресурсам

- угрозы, проявляющиеся на этапе доступа  к ресурсам АС, например угрозы  несанкционированного доступа в  АС;

- угрозы, проявляющиеся после разрешения  доступа к ресурсам АС, например  угрозы несанкционированного или  некорректного использования ресурсов  АС.

8) По  способу доступа к ресурсам  АС:

- угрозы, осуществляемые с использованием  стандартного пути доступа к  ресурсам АС, например незаконное  получение паролей и других  реквизитов разграничения доступа  с последующей маскировкой под  зарегистрированного пользователя;

- угрозы, осуществляемые с использованием  скрытого нестандартного пути  доступа к ресурсам АС, например  несанкционированный доступ к  ресурсам АС путем использования  недокументированных возможностей  ОС.

9) По  текущему месту расположения  информации, хранимой и обрабатываемой  в АС:

- угрозы  доступа к информации, находящейся  на внешних запоминающих устройствах,  например несанкционированное копирование  секретной информации с жесткого  диска;

- угрозы  доступа к информации, находящейся  в оперативной памяти, например  чтение остаточной информации  из оперативной памяти, доступ  к системной области оперативной  памяти со стороны прикладных  программ;

- угрозы  доступа к информации, циркулирующей  в линиях связи, например незаконное  подключение к линиям связи  с последующим вводом ложных  сообщений или модификацией передаваемых  сообщений, незаконное подключение  к линиям связи с целью прямой  подмены законного пользователя  с последующим вводом дезинформации  и навязыванием ложных сообщений;

- угрозы  доступа к информации, отображаемой  на терминале или печатаемой  на принтере, например запись  отображаемой информации на скрытую  видеокамеру.

Причинами случайных воздействий при эксплуатации АС могут быть:

ѕ аварийные  ситуации из-за стихийных бедствий и отключений электропитания;

ѕ отказы и сбои аппаратуры;

ѕ ошибки в программном обеспечении;

ѕ ошибки в работе обслуживающего персонала  и пользователей;

ѕ помехи в линиях связи из-за воздействий  внешней среды.

Ошибки  в ПО являются распространенным видом  компьютерных нарушений. ПО серверов, рабочих станций, маршрутизаторов  и т. д. написано людьми, поэтому оно  практически всегда содержит ошибки. Чем выше сложность подобного  ПО, тем больше вероятность обнаружения  в нем ошибок и уязвимостей. Большинство  из них не представляют никакой опасности, некоторые же могут привести к  серьезным последствиям, таким как  получение злоумышленником контроля над сервером, неработоспособность  сервера, несанкционированное использование  ресурсов (использование компьютера в качестве плацдарма для атаки  и т. п.). Обычно подобные ошибки устраняются  с помощью пакетов обновлений, регулярно выпускаемых производителем ПО. Своевременная установка таких  пакетов является необходимым условием безопасности информации.

Преднамеренные  угрозы связаны с целенаправленными действиями нарушителя. В качестве нарушителя может быть служащий, посетитель, конкурент, наемник и т. д. Действия нарушителя могут быть обусловлены разными мотивами: недовольством служащего своей карьерой, сугубо материальным интересом (взятка), любопытством, конкурентной борьбой, стремлением самоутвердиться любой ценой и т. п.

Несанкционированный доступ (НСД) -- наиболее распространенный и многообразный вид компьютерных нарушений. Суть НСД состоит в получении пользователем (нарушителем) доступа к объекту в нарушение правил разграничения доступа, установленных в соответствии с принятой в организации политикой безопасности. НСД использует любую ошибку в системе защиты и возможен при нерациональном выборе средств защиты, их некорректной установке и настройке. НСД может быть осуществлен как штатными средствами АС, так и специально созданными аппаратными и программными средствами.

Основные  каналы НСД, через которые нарушитель может получить доступ к компонентам  АС и осуществить хищение, модификацию  и/или разрушение информации:

· штатные  каналы доступа к информации (терминалы  пользователей, оператора, администратора системы; средства отображения и  документирования информации; каналы связи) при их использовании нарушителями, а также законными пользователями вне пределов их полномочий;

· технологические  пульты управления;

· линии  связи между аппаратными средствами АС;

· побочные электромагнитные излучения от аппаратуры, линий связи, сетей электропитания и заземления и др.

Перехват  паролей осуществляется специально разработанными программами. При попытке  законного пользователя войти в  систему программа-перехватчик имитирует  на экране дисплея ввод имени и  пароля пользователя, которые сразу  пересылаются владельцу программы-перехватчика, после чего на экран выводится  сообщение об ошибке и управление возвращается ОС.

Незаконное  использование привилегий. Большинство  систем защиты устанавливают определенные наборы привилегий для выполнения заданных функций. Каждый пользователь получает свой набор привилегий: обычные пользователи -- минимальный, администраторы -- максимальный. Несанкционированный захват привилегий, например посредством «маскарада», приводит к возможности выполнения нарушителем определенных действий в обход системы защиты. Следует  отметить, что незаконный захват привилегий возможен либо при наличии ошибок в системе защиты, либо из-за халатности администратора при управлении системой и назначении привилегий.

Для АС рассматривают три основных вида угроз.

Угрозы  нарушения конфиденциальности, направленные на разглашение конфиденциальной или  секретной информации. При реализации этих угроз информация становится известной  лицам, которые не должны иметь к  ней доступ. В терминах компьютерной безопасности угроза нарушения конфиденциальности имеет место всякий раз, когда  получен НСД к некоторой закрытой информации, хранящейся в компьютерной системе или передаваемой от одной  системы к другой.

Угрозы  нарушения целостности информации, хранящейся в компьютерной системе  или передаваемой по каналу связи, которые  направлены на ее изменение или искажение, приводящее к нарушению ее качества или полному уничтожению. Целостность  информации может быть нарушена умышленно, а также в результате объективных  воздействий со стороны среды, окружающей систему. Эта угроза особенно актуальна  для систем передачи информации -- компьютерных сетей и систем телекоммуникаций. Умышленные нарушения целостности  информации не следует путать с ее санкционированным изменением, которое  выполняется полномочными лицами с  обоснованной целью (таким изменением, например, является периодическая коррекция  некоторой БД).

Угрозы  нарушения работоспособности (отказ  в обслуживании), направленные на создание таких ситуаций, когда определенные преднамеренные действия либо снижают  работоспособность АС, либо блокируют  доступ к некоторым ее ресурсам. Например, если один пользователь системы  запрашивает доступ к некоторой  службе, а другой предпринимает действия по блокированию этого доступа, то первый пользователь получает отказ в обслуживании. Блокирование доступа к ресурсу  может быть постоянным или временным.

Эти виды угроз можно считать первичными или непосредственными, поскольку  реализация этих угроз ведет к  непосредственному воздействию  на защищаемую информацию.

Преодоление защиты также представляет собой  угрозу, поэтому для защищенных систем можно рассматривать четвертый  вид угрозы -- угрозу раскрытия параметров АС, включающей в себя подсистему защиты. На практике любое проводимое мероприятие  предваряется этапом разведки, в ходе которого определяются основные параметры  системы, ее характеристики и т. п. Результатом  этого этапа является уточнение  поставленной задачи, а также выбор  наиболее оптимального технического средства.

Угрозу  раскрытия параметров АС можно считать  опосредованной угрозой. Последствия  ее реализации не причиняют какой-либо ущерб обрабатываемой информации, но дают возможность реализовать первичные  или непосредственные угрозы, перечисленные  выше.

При рассмотрении вопросов защиты АС целесообразно использовать четырехуровневую градацию доступа  к хранимой, обрабатываемой и защищаемой АС информации. Такая градация доступа  поможет систематизировать как  возможные угрозы, так и меры по их нейтрализации и парированию, т. е. поможет систематизировать  весь спектр методов обеспечения  защиты, относящихся к информационной безопасности. Это следующие уровни доступа:

ѕ уровень  носителей информации;

ѕ уровень  средств взаимодействия с носителем;

ѕ уровень  представления информации;

ѕ уровень  содержания информации.

Политика  информационной безопасности организации

Под политикой  безопасности организации понимают совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов. Политика безопасности является тем  средством, с помощью которого реализуется  деятельность в компьютерной информационной системе организации. Политика безопасности определяется используемой компьютерной средой и отражает специфические  потребности организации.

Политика  безопасности определяет позицию организации  по рациональному использованию  компьютеров и сети, а также  процедуры по предотвращению и реагированию на инциденты безопасности. В большой  корпоративной системе может  применяться широкий диапазон разных политик -- от бизнес-политик до специфичных  правил доступа к наборам данных. Эти политики полностью определяются конкретными потребностями организации.

Политика  безопасности определяет стратегию  управления в области информационной безопасности, а также меру внимания и количество ресурсов, которые считает  целесообразным выделить руководство.

Политика  безопасности строится на основе анализа  рисков, которые признаются реальными  для ИС организации. Когда проведен анализ рисков и определена стратегия  защиты, составляется программа, реализация которой должна обеспечить информационную безопасность. Под эту программу  выделяются ресурсы, назначаются ответственные, определяется порядок контроля выполнения программы и т. п.

Политика  безопасности организации должна иметь  структуру краткого, легко понимаемого  документа высокоуровневой политики, поддерживаемого конкретными документами  специализированных политик и процедур безопасности.

Высокоуровневая политика безопасности должна периодически пересматриваться, гарантируя тем самым  учет текущих потребностей организации. Документ политики составляют таким  образом, чтобы политика была относительно независимой от конкретных технологий, в этом случае документ не потребуется  изменять слишком часто.

Для того чтобы познакомиться с основными  понятиями политики безопасности рассмотрим в качестве конкретного примера  гипотетическую локальную сеть, принадлежащую  некоторой организации, и ассоциированную  с ней политику безопасности.

Политика  безопасности обычно оформляется в  виде документа, включающего такие  разделы, как описание проблемы, область  применения, позиция организации, распределение  ролей и обязанностей, санкции  и др.

Описание  проблемы. Информация, циркулирующая в рамках локальной сети, является критически важной. Локальная сеть позволяет пользователям совместно использовать программы и данные, что увеличивает угрозу безопасности. Поэтому каждый из компьютеров, входящих в сеть, нуждается в более сильной защите. Эти повышенные меры безопасности и являются темой данного документа, который призван продемонстрировать сотрудникам организации важность защиты сетевой среды, описать их роль в обеспечении безопасности, а также распределить конкретные обязанности по защите информации, циркулирующей в сети.

Область применения. В сферу действия данной политики попадают все аппаратные, программные и информационные ресурсы, входящие в локальную сеть предприятия. Политика ориентирована также на людей, работающих с сетью, в том числе на пользователей, субподрядчиков и поставщиков.

Позиция организации. Основные цели -- обеспечение целостности, доступности и конфиденциальности данных, а также их полноты и актуальности. К частным целям относятся:

· обеспечение  уровня безопасности, соответствующего нормативным документам;

· следование экономической целесообразности в  выборе защитных мер (расходы на защиту не должны превосходить предполагаемый ущерб от нарушения информационной безопасности);

· обеспечение  безопасности в каждой функциональной области локальной сети;

· обеспечение  подотчетности всех действий пользователей  с информацией и ресурсами;

· обеспечение  анализа регистрационной информации;

· предоставление пользователям достаточной информации для сознательного поддержания  режима безопасности;

· выработка  планов восстановления после аварий и иных критических ситуаций для  всех функциональных областей с целью  обеспечения непрерывности работы сети;

· обеспечение  соответствия с имеющимися законами и общеорганизационной политикой  безопасности.

Распределение ролей и обязанностей. За реализацию сформулированных выше целей отвечают соответствующие должностные лица и пользователи сети.

Руководители  подразделений отвечают за доведение  положений политики безопасности до пользователей и за контакты с  ними.

Администраторы  локальной сети обеспечивают непрерывное  функционирование сети и отвечают за реализацию технических мер, необходимых  для проведения в жизнь политики безопасности. Они обязаны:

· обеспечивать защиту оборудования локальной сети, в том числе интерфейсов с  другими сетями;

· оперативно и эффективно реагировать на события, таящие угрозу, информировать администраторов  сервисов о попытках нарушения защиты;

· использовать проверенные средства аудита и обнаружения  подозрительных ситуаций, ежедневно  анализировать регистрационную  информацию, относящуюся к сети в  целом и к файловым серверам в  особенности;

· не злоупотреблять своими полномочиями, так как пользователи имеют право на тайну;

· разрабатывать  процедуры и подготавливать инструкции для защиты локальной сети от вредоносного программного обеспечения, оказывать  помощь в обнаружении и ликвидации вредоносного кода;

· регулярно  выполнять резервное копирование  информации, хранящейся на файловых серверах;

· выполнять  все изменения сетевой аппаратно-программной  конфигурации;

· гарантировать  обязательность процедуры идентификации  и аутентификации для доступа  к сетевым ресурсам, выделять пользователям  входные имена и начальные  пароли только после заполнения регистрационных  форм;

· периодически производить проверку надежности защиты локальной сети, не допускать получения  привилегий неавторизованными пользователями.

Администраторы  сервисов отвечают за конкретные сервисы, и в частности за построение защиты в соответствии с общей политикой  безопасности. Они обязаны:

· управлять  правами доступа пользователей  к обслуживаемым объектам;

· оперативно и эффективно реагировать на события, таящие угрозу, оказывать помощь в  отражении угрозы, выявлении нарушителей  и предоставлении информации для  их наказания;

· регулярно  выполнять резервное копирование  информации, обрабатываемой сервисом;

· выделять пользователям входные имена  и начальные пароли только после  заполнения регистрационных форм;

· ежедневно  анализировать регистрационную  информацию, относящуюся к сервису, регулярно контролировать сервис на предмет вредоносного программного обеспечения;

· периодически производить проверку надежности защиты сервиса, не допускать получения  привилегий неавторизованными пользователями.

Пользователи  работают с локальной сетью в  соответствии с политикой безопасности, подчиняются распоряжениям лиц, отвечающих за отдельные аспекты  безопасности, ставят в известность  руководство обо всех подозрительных ситуациях. Они обязаны:

· знать  и соблюдать законы, правила, принятые в данной организации, политику безопасности, процедуры безопасности, использовать доступные защитные механизмы для  обеспечения конфиденциальности и  целостности своей информации;

· использовать механизм защиты файлов и должным  образом задавать права доступа;

· выбирать качественные пароли, регулярно менять их, не записывать пароли на бумаге, не сообщать их другим лицам;

· информировать  администраторов или руководство  о нарушениях безопасности и иных подозрительных ситуациях;

· не использовать слабости в защите сервисов и локальной  сети в целом, не совершать неавторизованной работы с данными, не создавать помех  другим пользователям;

· всегда сообщать корректную идентификационную  и аутентификационную информацию, не пытаться работать от имени других пользователей;

· обеспечивать резервное копирование информации с жесткого диска своего компьютера;

· знать  принципы работы вредоносного программного обеспечения, пути его проникновения  и распространения, знать и соблюдать  процедуры для предупреждения проникновения  вредоносного кода, его обнаружения  и уничтожения;

· знать  и соблюдать правила поведения  в экстренных ситуациях, последовательность действий при ликвидации последствий  аварий.

Санкции. Нарушение политики безопасности может подвергнуть локальную сеть и циркулирующую в ней информацию недопустимому риску. Случаи нарушения безопасности со стороны персонала должны оперативно рассматриваться руководством для принятия дисциплинарных мер вплоть до увольнения.

Дополнительная  информация. Конкретным группам исполнителей могут потребоваться для ознакомления дополнительные документы, в частности, документы специализированных политик и процедур безопасности, а также другие руководящие указания. Необходимость в дополнительных документах политик безопасности в значительной степени зависит от размеров и сложности организации. Для достаточно большой организации могут потребоваться в дополнение к базовой политике специализированные политики безопасности. Организации меньшего размера нуждаются только в некотором подмножестве специализированных политик. Многие из этих документов поддержки могут быть краткими -- объемом в одну-две страницы.

Главной целью мер, предпринимаемых на управленческом уровне, является формирование программы  работ в области информационной безопасности и обеспечение ее выполнения путем выделения необходимых  ресурсов и осуществления регулярного  контроля состояния дел. Основой  этой программы является многоуровневая политика безопасности, отражающая комплексный  подход организации к защите своих  ресурсов и информационных активов.

Политика  безопасности верхнего уровня формулирует  цели организации в области информационной безопасности в терминах целостности, доступности и конфиденциальности. Если организация отвечает за поддержание  критически важных баз данных, на первом плане должна стоять целостность  данных. Для организации, занимающейся продажами, важна актуальность информации о предоставляемых услугах и  ценах, а также ее доступность  максимальному числу потенциальных  покупателей. Режимная организация  в первую очередь будет заботиться о конфиденциальности информации, т. е. о ее защите от НСД.

На верхний  уровень выносится управление ресурсами  безопасности и координация использования  этих ресурсов, выделение специального персонала для защиты критически важных систем, поддержание контактов  с другими организациями, обеспечивающими  или контролирующими режим безопасности.