+7 (499) 322-30-47  Москва

+7 (812) 385-59-71  Санкт-Петербург

8 (800) 222-34-18  Остальные регионы

Бесплатная консультация с юристом!

Модель угроз и модель нарушителя

Термины «модель угроз» и «модель нарушителя» являются стандартными для профессиональной и около профессиональной литературы по безопасности. Прежде всего, необходимо понять, что угрозы существуют постоянно. Среди окружающих людей всегда найдутся такие, кто рассматривает ваше имущество как свою законную добычу, а некоторые из них даже готовы подавить ваше сопротивление, если вы не захотите его отдать. Уровень опасности, исходящей от потенциальных и действующих право нарушителей, никак не зависит от ваших усилий по обеспечению безопасности.

Воспринимать угрозу следует как объективную реальность — на вас нападут. Есть ряд постоянно существующих опасностей. Они связаны с ограниченной надежностью технических средств, которыми оборудован объект.

Модель угроз информационной безопасности АС

При обследовании объекта специалистами модель угроз строится с помощью специального вопросника, который содержит названия предполагаемых угроз, сгруппированные по категориям, и некоторые количественные параметры для оценки их силы (опасности) и вероятности проявления. Для объектов, по которым не требуется проводить аттестацию на соответствие требованиям какого-либо нормативно-технического документа, модель угроз может быть составлена в форме текстового описания.

В общем случае актуальны угрозы связанные с НСД к информации,, осуществляемые при непосредственном физическом доступе к средствам АС:

— кража (утеря) носителей информации;

— несанкционированный доступ к информации, хранящейся на съемных носителях;

— восстановление защищаемой информации и информации об АС путем анализа выведенных из употребления носителей информации;

— несанкционированный доступ к информации;

— модификация, уничтожение, блокирование информации;

— нарушение работоспособности АРМ из состава АС;

— нарушение работоспособности коммутационного оборудования, каналов связи;

— несанкционированное (в том числе непреднамеренное) отключение средств защиты информации;

— внедрение вредоносного ПО;

— установка ПО, не предназначенного для исполнения служебных обязанностей;

— установка аппаратных закладок в приобретаемые ПЭВМ;

— внедрение аппаратных закладок посторонними лицами после начала эксплуатации;

— вывод информации на неучтенные носители (в том числе вывод на печать);

— утечка защищаемой информации;

— модификация технических средств АС, внесение неисправностей в технические средства.

Модель потенциального нарушителя информационной безопасности АС

Модель нарушителя тесно связана с моделью угроз и обычно является ее частью. Смысловые отношения между ними следующие. В модели угроз содержится максимально полное описание опасностей для объекта. В модели нарушителя конкретизируется: кто, какими средствами и с использованием каких знаний может реализовать угрозы и нанести ущерб объекту.

Целями несанкционированных действий нарушителя, способных привести к совершению НСД к защищаемым ресурсам АС и нарушению принятых для АС характеристик информационной безопасности, являются:

— нарушение целостности защищаемых ресурсов;

— нарушение конфиденциальности защищаемых ресурсов;

— нарушение доступности защищаемых ресурсов;

— создание условий для последующего проведения атак.

Возможными направлениями несанкционированных действий нарушителя в том числе являются:

— доступ к защищаемой информации с целью нарушения ее конфиденциальности (хищение, ознакомление, перехват);

— доступ к защищаемой информации с целью нарушения ее целостности (модификация данных);

— доступ к техническим и программным средствам АС с целью постоянного или временного нарушения доступности защищаемой информации для легального пользователя;

— доступ к техническим и программным средствам АС с целью внесения в них несанкционированных изменений, создающих условия для проведения атак;

— доступ к средствам защиты информации с целью изменения их конфигурации.

При разработке модели предполагалось, что доступ к защищаемой информации нарушитель может получить путем:

— преодоления (обхода) средств и системы защиты информации, систем контроля доступа;

— использования специализированных средств съема (добывания) информации по техническим каналам;

— использование средств специальных воздействий;

— внедрения аппаратных закладных устройств.

Нарушители информационной безопасности могут быть следующих типов:

— внешние нарушители, осуществляющие атаки из-за пределов контролируемой зоны АС;

— внутренние нарушители, осуществляющие атаки, находясь в пределах контролируемой зоны АС.

11. Общая модель угроз и модель нарушителя

В качестве нарушителя рассматривается субъект, имеющий доступ к работе со штатными средствами ИС и СВТ как части ИС.

Нарушители классифицируются по уровню возможностей, предоставляемых им штатными средствами ИС и СВТ.

Выделяется четыре уровня этих возможностей.

Возможность реализации угрозы

Показатель опасности угрозы

Классификация является иерархической, т.е. каждый следующий уровень включает в себя функциональные возможности предыдущего.

Первый уровень определяет самый низкий уровень возможностей ведения диалога в ИС — запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации.

Второй уровень определяется возможностью создания и запуска собственных программ с новыми функциями по обработке информации.

Третий уровень определяется возможностью управления функционированием ИС, т.е. воздействием на базовое программное обеспечение системы и на состав и конфигурацию ее оборудования.

Четвертый уровень определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств ИС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации.

В своем уровне нарушитель является специалистом высшей квалификации, знает все об ИС и, в частности, о системе и средствах ее защиты.

Это интересно:  Как узнать возбуждено ли уголовное дело

Строя модель нарушителя, необходимо сначала построить модель угроз, ведь если угрозы нет, то нарушитель не сможет ее реализовать.

12. Основные методы реализации угроз информационной безопасности

К основным направлениям реализации злоумышленником информа­ционных угроз относятся:

— непосредственное обращение к объектам доступа;

— создание программных и технических средств, выполняющих обращение к объектам доступа в обход средств защиты;

— модификация средств защиты, позволяющая реализовать угрозы ин­ формационной безопасности;

— внедрение в технические средства ИС программных или технических механизмов, нарушающих предполагаемую структуру и функции ИС.

К числу основных методов реализации угроз информационной безопасности ИС относятся:

— определение злоумышленником типа и параметров носителей информации;

— получение злоумышленником информации о программно-аппаратной среде, типе и параметрах средств вычислительной техники, типе и определение злоумышленником содержания данных, обрабатываемых в ИС, на качественном уровне (применяется для мониторинга ИС и для дешифрования сообщений);

— хищение (копирование) машинных носителей информации, содержа­щих конфиденциальные данные;

— использование специальных технических средств для перехвата побочных электромагнитных излучений и наводок (ПЭМИН) — конфиден­циальные данные перехватываются злоумышленником путем выделе­ния информативных сигналов из электромагнитного излучения и наво­док по цепям питания средств вычислительной техники, входящей в ИС;

— уничтожение средств вычислительной техники и носителей информации;

— хищение (копирование) носителей информации;

— несанкционированный доступ пользователя к ресурсам ИС в обход или путем преодоления систем защиты с использованием специальных средств, приемов, методов;

— несанкционированное превышение пользователем своих полномочий;

— несанкционированное копирование программного обеспечения;

— перехват данных, передаваемых по каналам связи;

— визуальное наблюдение — конфиденциальные данные считываются с экранов терминалов, распечаток в процессе их печати и т.п.;

— раскрытие представления информации (дешифрование данных);

— раскрытие содержания информации на семантическом уровне — доступ к смысловой составляющей информации, хранящейся в ИС;

— уничтожение машинных носителей информации;

— внесение пользователем несанкционированных изменений в программно-аппаратные компоненты ИС и обрабатываемые данные;

— установка и использование нештатного аппаратного и/или программно-­ го обеспечения;

— заражение программными вирусами;

— внесение искажений в представление данных, уничтожение данных на уровне представления, искажение информации при передаче по лини­ ям связи;

— выведение из строя машинных носителей информации без уничтожения информации — выведение из строя электронных блоков накопите­лей на жестких дисках и т. п.;

— проявление ошибок проектирования и разработки аппаратных и программных компонентов ИС;

— обход (отключение) механизмов защиты — загрузка злоумышленником нештатной операционной системы с дискеты, использование отладочных режимов программно-аппаратных компонент ИС и т.п.;

— искажение соответствия синтаксических и семантических конструкций языка — установление новых значений слов, выражений и т.п.;

— запрет на использование информации — имеющаяся информация по каким-либо причинам не может быть использована.

Распределение перечисленных методов реализации угроз информа­ционной безопасности представлено в таблице.

Основные методы реализации угроз информационной безопасности

Угроза рИСкрытия параметров системы

Угроза нарушения конфиденциальности

Угроза нарушения целостности

Определение типа и па­раметров носителей ин­формации

Хищение (копирование) носителей информации. Перехват ПЭМИН

Уничтожение машинных носителей информации

Выведение из строя машинных носителей информации

Средств взаимодейст­вия с носителем

Получение информации о программно-аппарат­ной среде. Получение детальной ин­формации о функциях, выполняемых ИС. Получение данных о применяемых системах защиты

Несанкционированный доступ к ресурсам ИС. Совершение пользова­телем несанкциониро­ванных действий. Несанкционированное копирование програм­много обеспечения. Перехват данных, пере­даваемых по каналам связи

Внесение пользователем несанкционированных изменений в программы и данные. Установка и использова­ние нештатного програм­много обеспечения. Заражение программны­ми вирусами

Проявление ошибок проектирования и раз­работки программно-аппаратных компо­нент ИС. Обход механизмов защиты ИС

Определение способа представления инфор­мации

Визуальное наблюдение. РИСкрытие представле­ния информации (деши­фрование)

Внесение искажения в представление данных; уничтожение данных

Искажение соответст­вия синтаксических и семантических конст­рукций языка

Определение содержа­ния данных на качест­венном уровне

Модель угроз и модель нарушителя

Утечка охраняемой информации обычно становится возможной вследствие совершения нарушений режима работы с конфиденциальной информацией. Каналы утечки информации в информационных системах обработки конфиденциальных данных разобьем на группы.

К первой группе относят каналы, образующиеся за счет дистанционного скрытого видеонаблюдения или фотографирования, применения подслушивающих устройств, перехвата электромагаитных излучений и наводок и так далее.

Во вторую группу включают наблюдение за информацией в процессе обработки с целью ее запоминания, хищение ее носителей, сбор производственных отходов, содержащих обрабатываемую информацию, преднамеренное считывание данных из файлов других пользователей, чтение остаточной информации, то есть данных, остающихся на магнитных носителях после выполнения заданий, и так далее.

К третьей группе относят незаконное подключение специальной регистрирующей аппаратуры к устройствам системы или линиям связи, злоумышленное изменение программ таким образом, чтобы эти программы наряду с основными функциями обработки информации осуществляли также несанкционированный сбор и регистрацию защищаемой информации, злоумышленный вывод из строя механизмов защиты.

К четвертой группе относят несанкционированное получение информации путем подкупа или шантажа должностных лиц соответствующих служб, сотрудников, знакомых, обслуживающего персона или родственников, знающих о роде деятельности.

Также необходимо отметить, что низкий уровень конфиденциальности в первую очередь связан с нарушениями в организации пропускного режима. Эти нарушения могут быть результатом реализации угрозы «Подкуп персонала», которая реализуется через уязвимость «Мотивированность персонала на совершение деструктивных действий». Уровень данной уязвимости может быть снижен путем соответствующей работы с персоналом и путем усиления контроля за работой сотрудников.

Это интересно:  Перерыв в уголовном процессе УПК

На уровень целостности и доступности наибольшее влияние оказывают также повреждения каналов передачи данных. К этим повреждениям может привести сбой, который, в свою очередь, может произойти из-за низкой надежности каналов. Повысить надежность можно путем усиления работы службы технической поддержки и путем заземления основного и вспомогательного оборудования, используемого при обработке информации.

Эти данные послужат основанием для разработки рекомендаций по усилению мер, направленных на обеспечение конфиденциальности, целостности и доступности информации. Необходимо усилить контроль над работой сотрудников, провести тренинги для сотрудников, посвященные ИБ; заземлить основное и вспомогательное оборудование, используемое при обработке информации; усилить специалистами службы технической поддержки и внести изменения в должностные инструкции работников данной службы.

Реализация указанных превентивных мер защиты, а также ликвидация существующих повреждений позволят повысить уровень конфиденциальности, целостности и доступности до состояния ВС.

Модель нарушителя информационной безопасности неразрывно связана с моделью угроз информационной безопасности, т.к. нарушитель информационной безопасности часто является как источником угроз, так и следствием.

1. Внутренний нарушитель

  • — лица, имеющие санкционированный доступ к максимальному объему информации (уполномоченные сотрудники, такие как начальство, управляющий состав). Под данную категорию попадает практически весь персонал объекта защиты;
  • — лица, имеющие санкционированный доступ к определенному объему информации (сотрудники структурных подразделений);
  • — лица, имеющие санкционированные доступ к максимальному объему (администраторы автоматизированных систем) или определенному объему (сотрудники отделов информационных технологий, программисты) информации в процессе обеспечения работоспособности и функционирования информационных систем.

Необходимо понимать, что администратор информационной безопасности имеет различные права и возможности по сравнению с администратором информационной системы. Стоит учитывать тот факт, что, несмотря на тип нарушителя «Внутренний», все сотрудники, определенные в нем, могут иметь удаленный доступ к ресурсам объекта информатизации.

По способам воздействия внутренний нарушитель может быть разделен на две категории:

Данный нарушитель зачастую даже не предполагает о причинённом ущербе в случае своих действий. Под категорию случайного нарушителя может попадать одновременно весь персонал объекта защиты, независимо, имеет ли он прямой доступ к информации либо осуществляет косвенную деятельность, связанную с поддержанием функционирования информационных систем объекта защиты. Можно выделить несколько примеров, таких как:

  • -обслуживающий персонал помещений;
  • -сотрудники одного из структурных подразделений;
  • -персонал, обслуживающий информационные ресурсы объекта информатизации и т.д.
  • — Инсайдер (заинтересованное лицо).

Опасность, которую несет в себе данная категория нарушителя, в том, что ущерб от его действий может достигать достаточно внушительных размеров. В отличие от случайного нарушителя, он сложно идентифицируем и может осуществлять свою деятельность долгое время.

На сегодняшний момент существуют различные концепции по описанию инсайдеров на предприятии, по разбиению состава сотрудников на группы риска, но большинство инсайдеров делятся на сотрудников Ажмухамедов И.М. Системный анализ и оценка уровня угроз информационной безопасности //Вопросы защиты информации. 2013. № 2 (101). С. 81-87.:

  • — заинтересованных в оплате предоставляемой информации об объекте защиты;
  • — имеющих личные мотивы по отношению к компании — объекту защиты.

Наряду с данной классификацией имеется еще одна особенность, применимая как к внутреннему, так и к внешнему нарушителю, — наличие возможностей.

Возможности внутреннего нарушителя существенным образом зависят от действующих в пределах контролируемой зоны объекта защиты режимных и организационно-технических мер защиты, в том числе по допуску физических лиц с информационными ресурсами и контролю порядка проведения работ на объекте защиты.

2. Внешний нарушитель

Это наиболее распространенный вид нарушителя. На регламентирование построения комплексной системы защиты информации и применение средств защиты информации направлено большинство существующих нормативных документов Российской Федерации.

В основном к данному виду можно отнести следующих представителей:

  • -правоохранительные органы и органы исполнительной власти Российской Федерации;
  • -конкуренты;
  • -криминальные структуры;
  • -физические лица, непосредственно занимающиеся анализом информационной безопасности объекта защиты.

Основными критериями деления внешних нарушителей на категории являются:

  • — возможность доступа к каналам связи, выходящим за границы контролируемой зоны объекта защиты (всевозможные излучения, оптический канал, линии передачи информации);
  • — возможность доступа в пределы контролируемой зоны объекта защиты (санкционированный доступ, несанкционированный доступ путем маскировки и т.д.);
  • — наличие информации об объекте защиты;
  • — имеющиеся средства реализации атак на объект защиты (сканеры уязвимости, подавители сигнала и т.д.).

Методика разработки модели нарушителя: как скрестить ежа и ужа

Те кто уже успел изучить новые методики регуляторов по моделированию угроз, наверное заметили, что большое внимание уделяется описанию потенциального нарушителя. Например, в проекте методики моделирования угроз от ФСТЭК подробно описаны виды нарушителей и их мотивация. В банке угроз ФСТЭК, для каждой угрозы задан тип и потенциал нарушителя, который может ее реализовать. В общем, модель нарушителя перестает быть простой формальностью и начинает оказывать большое влияние на перечень актуальных угроз.

Проблема в том, что подходы двух регуляторов (ФСБ и ФСТЭК) к формированию модели нарушителя, несколько отличаются. ФСБ отвечает за регулирование в области криптографии и ее методика в основном служит для выбора класса криптосредств. Соответственно, ФСБ при описании нарушителя делает упор на возможностях нарушителя по атакам на криптосредства и среду их функционирования (СФ). Методика ФСТЭК более широкая и описывает возможности нарушителя по атакам на систему в целом.

Это интересно:  15 суток за неоплаченный штраф

В результате перед разработчиком модели угроз стоит выбор: либо сделать две модели нарушителя по разным методикам, либо пытаться объединить подходы обоих регуляторов в едином документе.

Поэтому обычно разрабатывается два документа: модель угроз ФСТЭК (включающая свое описание нарушителей) и, отдельно, модель нарушителя ФСБ. По крайней мере так поступали безопасники в большинстве проектов, которые я видел. Две модели нарушителя в одном проекте — это то не очень логично.

В связи с выходом новых документов ФСТЭК и ФСБ, интересно насколько сблизились подходы регуляторов к к описанию потенциальных нарушителей. Стала модель нарушителя более логичной?

Модель нарушителя по ФСТЭК

В проекте методики ФСТЭК перечислены виды нарушителей и их потенциал. Потенциал нарушителя может быть высоким, средним или низким. Для каждого из вариантов задан свой набор возможностей:

Так, нарушители с низким потенциаломмогут для реализации атак использовать информацию только из общедоступных источников. К нарушителям с низким потенциалом ФСТЭК относит любых внешних» лиц, а также внутренний персонал и пользователей системы.

Нарушители со средним потенциаломимеют возможность проводить анализ кода прикладного программного обеспечения, самостоятельно находить в нем уязвимости и использовать их. К таким нарушителям ФСТЭК относит террористические и криминальные группы, конкурирующие организации, администраторов системы и разработчиков ПО.

Нарушители с высоким потенциаломимеют возможность вносить закладки в программно-техническое обеспечение системы, проводить специальные исследования и применять спец. средства проникновения и добывания информации. К таким нарушителям ФСТЭК относит только иностранные спецслужбы.

Возможности нарушителей по ФСБ

Как уже говорилось выше, у ФСБ своя методика угроз, с криптосредствами и СФ 🙂 В недавно вышедших методических рекомендациях приводится 6 обобщенных возможностей нарушителей:
1) Возможность проводить атаки только за пределами КЗ;
2) Возможность проводить атаки в пределах КЗ, но без физического доступа к СВТ.
3) Возможность проводить атаки в пределах КЗ, с физическим доступом к СВТ.
4) Возможность привлекать специалистов, имеющих опыт в области анализа сигналов линейной передачи и ПЭМИН;
5) Возможность привлекать специалистов, имеющих опыт в области использования НДВ прикладного ПО;
6) Возможность привлекать специалистов, имеющих опыт в области использования НДВ аппаратного и программного компонентовсреды функционирования СКЗИ.

Эти возможности соответствуют классам криптосредств (СКЗИ). В зависимости от того, какую возможность мы признаем актуальной, необходимо использовать СКЗИ соответствующего класса. Подробнее это детализировано в другом документе — в приказе ФСБ №378.

Конкретных примеров нарушителей (террористы, конкуренты и т.д.) в своих новых документах ФСБ не дает. Но вспомним, что ранее были методические рекомендации ФСБ 2008 г.. В них то как раз рассказывалось о 6 типах нарушителей, которые обозначались как Н1- Н6. Возможности описанные в новых документах ФСБ соответствуют тем самым нарушителям Н1 — Н6 из старых методических рекомендаций.

Объединяем нарушителей ФСТЭК и ФСБ

Если прочесть описание возможностей нарушителя, то можно заметить, что оба регулятора уделяют внимание возможностям нарушителя по использованию НДВ. Сравнив описания нарушителей у ФСТЭК и ФСБ, получим примерно следующее:

  • Нарушители с низким потенциалом по ФСТЭК – это нарушители Н1-Н3 по классификации ФСБ;
  • Нарушитель со средним потенциалом по ФСТЭК – это нарушители Н4-Н5 по классификации ФСБ.;
  • Нарушитель с высоким потенциалом по ФСТЭК – это нарушитель Н6 по ФСБ (т.е. сотрудник иностранной технической разведки).

Таким образом, для каждого нарушителя из методики ФСТЭК можно взять вполне определенный набор свойств из методики ФСБ.

Выбираем подходящих нарушителей и избавляемся от остальных

Остается только определиться, каких нарушителей рассматривать для конкретной информационной системы. А это регулятор сам подсказывает нам, уже на этапе классификации системы.

В случае государственной информационной системы, приглядимся к п.25 приказа ФСТЭК №17. В нем сказано:

  • для информационных систем 1 класса защищенности, система защиты должна обеспечивать нейтрализацию угроз от нарушителя с высоким потенциалом;
  • для информационных систем 2 класса защищенности — нейтрализацию угроз от нарушителя со средним потенциалом;
  • для информационных систем 3 и 4 классов защищенности- нейтрализацию угроз от нарушителя с низким потенциалом.

То есть, хотя бы предварительно классифицировав систему, мы можем сделать вывод о том, какие виды нарушителей регулятор считает для нее актуальными.

Остается лишь описать данных нарушителей в модели нарушителя, а нарушителей с более высоким потенциалом исключить. Аргументы для исключения «лишних» нарушителей можно взять из приложения к методике моделирования угроз ФСБ.

  • Угрозы 1-го типа — связаны с наличием НДВ в системном ПО.
  • Угрозы 2-го типа связаны с наличием НДВ в прикладном ПО.
  • Угрозы 3-го типа не связаны с наличием НДВ в ПО.
  1. Многое зависит и от класса (уровня защищенности) информационной системы. Нужно проявлять осторожность и не завышать класс без веских на то оснований. Иначе можно «попасть» на нарушителей со средним и высоким потенциалом (и получить повышенные требования к средствам защиты).
  2. Для каждого класса можно подобрать подходящих нарушителей из методики ФСТЭК (при этом обоснованно исключив остальных нарушителей).
  3. Каждый нарушитель из методики ФСТЭК соотносится с определенным типом нарушителей из методики ФСБ (а также с соответствующим классом криптосредств)

Получившаяся «картина мира» представлена в таблице.

»

Помогла статья? Оцените её
1 Star2 Stars3 Stars4 Stars5 Stars
Загрузка...
Добавить комментарий

Adblock detector