Нарушители и угрозы безопасности
Виды и угрозы безопасности
Среди основных видов угрозы выделяют два основных класса:
1. непреднамеренные угрозы, которые не связаны с преднамеренными действиями человека, к ним также относят социальные угрозы, политические угрозы, разнообразные ошибочные действия персонала, который работает либо обслуживает АС, также к ним можно отнести и все техногенные катастрофы.
2. атаки
Непреднамеренные атаки не подразумевают под собой злонамеренные действия людей по отношению к АС, при том, что они могут привести к потере, искажению либо компрометации информации.
Непреднамеренные угрозы не будут рассмотрены в данной работе, так как по предположениям от них информационные активы защищены при помощи разработанных регламентов.
Атаки в соответствии с российским и зарубежным опытом являются наиболее опасными угрозами для информационной безопасности, т.к. они проводятся после тщательной подготовки, их проводят скрытно, и они приводят к наиболее большим потерям. Обычно атаки имеют определенные цели и в процессе их осуществления злоумышленники их и достигают. Данные атаки также подготавливают в соответствии с возможностями нарушителей.
Именно на анализ данных возможностей, которыми могут обладать потенциальные злоумышленники (нарушители), и направлено изучение и разработка модели потенциального нарушителя.
Модель потенциального нарушителя, которая будет рассмотрена в данной работе призвана сформировать основные требования к обеспечению информационной безопасности.
Модель включает:
1. Описание (характеристику) возможных нарушителей;
2. Предположение о том, что нарушитель обладает информацией об объектах потенциальных атак;
3. Предположение о том, что нарушитель обладает средствами для проведения потенциальной атаки;
4. Описание (характеристику) целей и объектов потенциальных атак;
5. Описание (характеристику) каналов атак.
Принципы разработки модели угроз:
1. Средства защиты (СЗ) и используемые в АС информационные технологии обеспечивают безопасность информации. Используемые технические и программные средства должны удовлетворять требованиям законодательства РФ в области защиты информации (в т.ч. по персональным данным);
2. Средства защиты АС не предназначаются для проведения защиты информации от действий, которые выполняются в рамках действий и полномочий, предоставляемых субъекту;
3. Нарушитель может проводить свои действия на разных этапах жизненного цикла (разработка, производство, хранение, транспортировка, ввод и эксплуатация, эксплуатация программных и технических средств) программных и технических средств, включая средства защиты.
Обработку защищаемой информации конфиденциального характера не проводят на следующих этапах жизненного цикла: разработки, производства, хранения, транспортировки, ввода в эксплуатацию технических и программных средств СЗ АС.
Из-за представленных выше обстоятельств, объектами атак могут быть только сами средства защиты, а также их документация на данных этапах ЖЦ.
На представленных выше этапах ЖЦ есть возможность для проведения следующих видов атак:
1. Внесение недекларированных (негативных) функциональных возможностей, также с применением вредоносного ПО;
2. Внесение в документацию на компоненты АС и СЗ АС изменений, которые не были санкционированы.
Учитывая все вышесказанное, необходимо отметить, что этап эксплуатации СЗ АС является более сложным для проведения анализа возможностей потенциального нарушителя.
3.2 Описание возможных нарушителей
Всех нарушителей в соответствии с признаком их принадлежности к СЗ АС подразделяют на следующие группы:
1. Внешние нарушители, к которым относят физических лиц, которые не имеют права на пребывание на территории контролируемой зоны, в пределах размещения оборудования СЗ АС;
2. Внутренние нарушители, к которым относят физических лиц, которые имеют право на пребывание на территории контролируемой зоны, в пределах размещения СЗ АС.
Таким образом, внешний нарушитель информационный безопасности – это нарушитель, не имеющий непосредственного доступа к ресурсам и техническим средствам системы, которые находятся в пределах контролируемой зоны.
Условия функционирования АС:
1. На контролируемых и охраняемых объектах (зданиях и помещениях) функционируют автоматизированные рабочие места АС;
2. В серверных расположена серверная составляющая АС. В серверных помещениях соблюдается специальный режим.
3. Доступ к информации происходит в установленном на объекте порядке, который предполагает предварительное согласование.
4. У информационных ресурсов АС отсутствует подключение к сетям общего пользования.
Внутренний нарушитель и его возможности зависят от режимности объекта, от ограничительных мер, принятых на объекте. Т.е. сама возможность по нарушению режима секретности зависит от того, насколько эффективно были разработаны и используются организационные и режимные меры по защищенности объекта, от того какой персонал и на каких должностях трудится на режимном предприятии, как реализован механизм по допуску различных групп персонала к возможным местам получения либо утечки режимной информации.
В соответствии с принятой политикой информационной безопасности и учитывая особенности функционирования АС, физические лица, которые допускаются к ней, обладают разными полномочиями по доступу к информационным, программным, аппаратным и другим ресурсам АС.
Таблица
Категории внутренних нарушителей
| Категория |
Характеристика |
| I |
администраторы АС |
| II |
технический персонал АС, т.е. сотрудники эксплуатационных подразделений, которые осуществляют техническое сопровождение программного обеспечения, оборудования, а также средств защиты |
| III |
пользователи АС |
| IV |
пользователи АС, которые относятся к внешним пользователям по отношению к АС |
| V |
сотрудники, которые имеют санкционированный доступ в помещения, в которых размещают активы АС, в служебных целях, но при этом не имеют доступа к данным активам |
| VI |
обслуживающий персонала, включающий такие категории работников, как охрана, работники инженерно-технических служб и т.д. |
| VII |
уполномоченный персонал разработчиков АС, имеющий право на техническое обслуживание и модификацию компонентов АС на договорной основе |
Задачи по техническому сопровождению программно-аппаратных средств АС, а также по администрированию возложены на лиц, входящих в I и II категории. В соответствии с установленными административными полномочиями, используя возможности по непосредственному доступу к защищаемой информации, которая обрабатывается и хранится в АС, а также имея доступ к программным и техническим средствам АС, включая средства защиты, которые используются в АС, администраторы и технический персонал АС могут проводить потенциальные атаки на АС.
Обозначенные выше лица обладают информацией и хорошо знают основные алгоритмы, протоколы, которые реализуются и используются в АС, также они обладают информацией о применяемых принципах и концепциях безопасности.
Существует предположение, что данные лица могут использовать стандартное оборудование, которое может быть представлено как частью штатных средств, так и может относиться к легко получаемому (примером может служить программное обеспечение, полученное из общедоступных внешних источников), либо в рамках идентификации существующих уязвимостей, либо для непосредственного проведения атак.
Также существует предположение, что лица относящиеся к рассматриваемой категории, могут обладать и специализированным оборудованием.
Из-за исключительной роли в АС лиц категорий I и II при их подборе, приеме на работу, назначению на должности и контроле выполнения их функциональных обязанностей должен применяться комплекс особых организационно-режимных мер.
Существует предположение, что лишь доверенные лица будут включаться в категории I и II, из-за этого представленные лица обычно исключаются из числа вероятных нарушителей.
В соответствии с предположением, к наиболее вероятным нарушителям обычно относят лиц III и IV категорий.
Предполагается, что в соответствии с применяемыми организационными и режимными мерами исключается возможность сговора внутренних нарушителей.
3.3 Предположения об имеющейся у нарушителя информации об объектах атаки
Можно выделить следующие уровни знаний потенциальных нарушителей об АС:
1. Общая информация, которая включает информацию об общих характеристиках и назначении АС;
2. Эксплуатационная информация, включающая информацию, которую можно получить из эксплуатационной документации;
3. Чувствительная информация – это информация, которая дополняет эксплуатационную информацию об АС (примером могут служить сведения, полученные из проектной документации по АС).
Так, например, нарушитель может обладать следующими сведениями:
1. Сведения об организации работы, структуре, а также о технических, программных и программно-технических средствах, которые используются в АС;
2. Данные об информационных ресурсах АС, представленные порядком и правилами создания, хранения и передачи информации, а также структурой и свойствами информационных потоков;
3. Сведениями об уязвимостях программных, технических и программно-технических средствах АС, включая сведения о недекларированных (недокументированных) возможностях;
4. Сведения об алгоритмах и принципах, реализованных в средствах защиты;
5. Данные об исходных тестах программного обеспечения АС;
6. Данные о возможных каналах для проведения атак;
7. Информация о возможных способах проведения атак.
Существует следующее предположение: в рамках обеспечения организационными мерами, большинство лиц, относящихся к категории III, а также все лица, которые относятся к IV категории обладают лишь эксплуатационной информацией.
Лица, относящиеся к IV категории, не имеют санкционированного доступа, а, следовательно, не владеют аутентифицирующей, парольной и ключевой информацией, которая используется в АС. При этом, существует предположение, что незначительный круг лиц III категории может ознакомится с чувствительной информацией об АС.
Существует предположение, что в рамках обеспечения организационных мер, лица, относящиеся к V категории, обладают в той или иной степени общей и эксплуатационной информацией об АС, но данные лица не обладают аутентифицирующей, парольной и ключевой информацией, которая используется в АС.
Существует предположение, что лица, относящиеся к VI категории, не превосходят лиц VI категории по уровню их знаний.
Существует предположение, что лица, которые относятся к VII категории, владеют чувствительной информацией об АС, которая включает информацию об уязвимостях программных и технических средств АС. При этом в период обработки защищаемой информации предполагается в рамках организационных мер исключение доступа лиц VII категории к программным и техническим средствам АС.
Таким образом, необходимо отметить, что лица, относящиеся к III и VII категориям, обладают наиболее полной информацией.
Объективно провести оценку объемов знаний потенциального нарушителя, в общем случае, практически невозможно, так как степень информированности потенциального нарушителя зависит от большого количества факторов, в том числе от реализованных конкретных организационных мер на объектах АС, а также от компетенции самого потенциального нарушителя.
Таким образом, учитывая все вышесказанное, необходимо отметить, что для того, чтобы создать определенный запас прочности, предполагают, что потенциальные нарушители владеют всей информацией, которая необходима им для подготовки и проведения атаки, исключая лишь информацию, доступ нарушителя к которой исключается системой защиты информации. Примером такой информации может служить парольная (аутентифицирующая) информация.
3.4 Предположения об имеющихся у нарушителя средствах атак
Существует следующее предположение о том, что внутренний нарушитель имеет в своем распоряжении:
- среду функционирования средств защиты информации (штатные средства), а также программные и аппаратные компоненты средств защиты информации (СЗИ);
- программное обеспечение и технические средства, которые можно достать в свободной продаже;
- специально разработанное программное обеспечение и технические средства. В общем случае практически невозможно оценить объективно состав средств атаки, которые имеются у потенциального нарушителя, так как от большого количества факторов, включая конкретные организационные меры, которые реализованы на объектах АС, финансовые возможности и компетенцию самих потенциальных нарушителей, зависит состав имеющихся у потенциального нарушителя средств, которые он может применить для проведения атак, а также возможности по их применению.
Таким образом, учитывая все вышесказанное, необходимо отметить, что для того, чтобы создать определенный запас прочности, предполагают, что потенциальные нарушители обладают всеми необходимыми для проведения атаки средствами, при том, что возможности данных средств не превосходят возможности аналогичных средств атак на информацию, которая содержит сведения, составляющие государственную тайну, а также программные и технические средства, которые занимаются обработкой данной информации.
Существует предположение, что лица, относящиеся к III и VII категориям, обладают наиболее совершенными средствами для проведения атак.
3.5 Описание объектов и целей атак
Существует следующее предположение о том, что внутренний нарушитель имеет в своем распоряжении:
- среду функционирования средств защиты информации (штатные средства), а также программные и аппаратные компоненты средств защиты информации (СЗИ);
- программное обеспечение и технические средства, которые можно достать в свободной продаже;
- специально разработанное программное обеспечение и технические средства. В общем случае практически невозможно оценить объективно состав средств атаки, которые имеются у потенциального нарушителя, так как от большого количества факторов, включая конкретные организационные меры, которые реализованы на объектах АС, финансовые возможности и компетенцию самих потенциальных нарушителей, зависит состав имеющихся у потенциального нарушителя средств, которые он может применить для проведения атак, а также возможности по их применению.
Таким образом, учитывая все вышесказанное, необходимо отметить, что для того, чтобы создать определенный запас прочности, предполагают, что потенциальные нарушители обладают всеми необходимыми для проведения атаки средствами, при том, что возможности данных средств не превосходят возможности аналогичных средств атак на информацию, которая содержит сведения, составляющие государственную тайну, а также программные и технические средства, которые занимаются обработкой данной информации.
Существует предположение, что лица, относящиеся к III и VII категориям, обладают наиболее совершенными средствами для проведения атак.
3.6 Описание каналов атак
К возможным каналам для проведения атак можно отнести следующие:
1) каналы непосредственного доступа к потенциальному объекту атаки, например, акустический, визуальный, либо физический;
2) штатные средства;
3) съемные носители информации;
4) носители информации, которые находятся за пределами зоны контроля, из-за того, что они ремонтируются, либо находятся на обслуживании или передаются для использования;
5) Выведенные из употребления носители информации;
6) каналы связи, находящиеся внутри зоны контроля, не защищенные организационно-техническими мерами от несанкционированного доступа к информации;
7) канал утечки, полученный в рамках использования средств и электронных устройств негласного получения информации.
3.7 Основные способы атак
Для того, чтобы определить основные способы проведения атак были учтены принцип защиты на всех этапах ЖЦ АС и всех ее компонентов, условия функционирования АС, а также представленные выше предположения о потенциальных нарушителях.
Таким образом, существует возможность для осуществления следующих видов атак:
1. Атаки, основанные на использовании средств защиты информации, обладающими уязвимостями и недокументированными (недекларированными) возможностями, которые были внесены на этапах разработки, производства, хранения, транспортировки, ввода в эксплуатацию технических средств АС;
2. Перехваты разглашаемых сведений о защищаемой информации, об АС и входящих в нее компонентов, включая средства защиты информации и среду функционирования средств защиты информации;
3. Атаки, которые основаны на документированных и недокументированных (недекларированных) возможностях оборудования, включая меры по модификации IP-траффика в рамках несанкционированного подключения к каналу связи в контролируемой зоне;
4. Хищения производственных отходов, которые включают распечатки, записи, списанные носители и т.д.
5. Восстановление защищаемой информации и информации об АС, включая и фрагментарное, получаемое посредствам анализа съемных носителей информации, которые были выведены из употребления и ставших после этого доступными потенциальным нарушителям;
6. Считывание либо восстановление информации, включая фрагментарное, по остаточным следам с носителей защищаемой информации, которые были сданы в ремонт, либо находились на обслуживании, либо были переданы для использования другими пользователями, либо для использования их за пределами АС;
7. Негласное (скрытое) временное хищение либо изъятие съемных носителей, содержащих защищаемую информацию, либо аутентифицирующую или ключевую информацию;
8. Негласная (скрытая) модификация защищаемой информации, которая хранится на носителях информации, включая и съемные носители информации;
9. Визуальный просмотр защищаемой информации, которая отображается на средствах отображения, представленных, например, мониторами;
10. Ознакомление с распечатанными документами, которые содержат защищаемую информацию;
11. Перехват защищаемой информации из каналов связи в рамках подконтрольной зоны, незащищенных организационно-техническими мерами от несанкционированного доступа к информации;
12. Целенаправленное искажение защищаемой информации в каналах связи в подконтрольной зоне, незащищенных организационно-техническими мерами от несанкционированного доступа к информации;
13. Навязывание ложной информации, которая была сформирована нарушителем, через каналы связи в подконтрольной зоне, незащищенных организационно-техническими мерами от несанкционированного доступа к информации;
14. Перенаправление потоков данных в рамках воздействия через каналы связи в подконтрольной зоне;
15. Целенаправленное искажение команд управления, которые передаются по каналам связи в подконтрольной зоне;
16. Нарушение связи при помощи преднамеренной загрузки траффика ложными сообщениями, которое приводит к исчерпанию пропускной способности каналов связи;
17. Получение доступа к функционирующим штатным средствам, которые были оставлены без присмотра;
18. Несанкционированное изменение конфигурации технических средств;
19. Проведение подбора аутентифицирующей информации пользователей;
20. Модификация регистрационных протоколов (журналов регистрации), которые ведутся в электронном виде;
21. Проведение модификации технических средств;
22. Осуществление модификации программных средств, используя штатные средства, включая нелегальное внедрение и использование неучтенных программ;
23. Модификация программных средств АС при помощи использования вредоносных программ, которые размещаются на съемных информационных носителях;
24. Модификация программных средств при помощи использования компьютерных вирусов, внедренных в АС;
25. Обеспечение вызывания сбоев технических средств АС;
26. Обеспечение внесения неисправностей в технические средства АС;
27. Утечка, модификация, блокировка либо уничтожение защищаемой информации при помощи использования штатных средств;
28. Утечка, модификация, блокировка либо уничтожение защищаемой информации при помощи использования вредоносных программ, которые размещаются на съемных информационных носителях;
29. Блокировка либо уничтожение технических, программных и программно-технических компонентов АС;
30. Несанкционированный доступ к защищаемой информации при проведении ремонтных либо регламентных работ;
31. Применение методов социальной инженерии в целях получения сведений об АС, которые будут способствовать созданию благоприятных условий для дальнейшего применения других методов;
32. Несанкционированный доступ к защищаемой информации при помощи внедрения специальных закладочных устройств в технические средства, для дальнейшего бесконтрольного съема защищаемой информации;
Актуальными в данном случае являются внутренний и внешний типы нарушителей. У нарушителя может быть общая и эксплуатационная информация о предприятии.
Основными объектами атак являются рабочие места администраторов АС с непосредственным доступом к защищаемой информации, а также сервера с защищаемыми данными.
Потенциальные каналы атак:
1. съемные информационные носители;
2. информационные носители, которые были выведены из употребления;
3. нарушение связи при помощи преднамеренной загрузки траффика ложными сообщениями, которое приводит к исчерпанию пропускной способности каналов связи;
4. пожарная сигнализация и электрические цепи.