Анализ угроз информационной безопасности

Рассмотрение возможных угроз информационной безопасности проводится с целью определения полного набора требований к разрабатываемой системе защиты. Обычно под угрозой (в общем смысле) понимают потенциально возможное событие (воздействие, процесс или явление), которое может привести к нанесению ущерба чьим-либо интересам. Далее под угрозой безопасности информационной системы будем понимать возможность воздействия на ИС, которое прямо или косвенно может нанести ущерб ее безопасности.

В настоящее время известен достаточно обширный перечень угроз безопасности ИС, содержащий сотни позиций. Перечень угроз, оценки вероятностей их реализации, а также модель нарушителя служат основой для анализа риска реализации угроз и формулирования требований к системе защиты ИС. Кроме выявления возможных угроз, целесообразно проведение анализа этих угроз на основе их классификации по ряду признаков. Каждый из признаков классификации отражает одно из обобщенных требований к системе защиты. Угрозы, соответствующие каждому признаку классификации, позволяют детализировать отражаемое этим признаком требование.

Необходимость классификации угроз безопасности ИС обусловлена тем, что хранимая и обрабатываемая информация в современных ИС подвержена воздействию чрезвычайно большого числа факторов, в силу чего становится невозможным формализовать задачу описания полного множества угроз. Поэтому для защищаемой системы обычно определяют не полный перечень угроз, а перечень классов угроз.

Принято считать, что, вне зависимости от конкретных видов угроз или их проблемно-ориентированной классификации, ИС удовлетворяет потребности эксплуатирующих ее лиц, если обеспечиваются следующие важные свойства информации и систем ее обработки: доступность, целостность и конфиденциальность информации. Иными словами, информационная безопасность ИС обеспечена в случае, если для информационных ресурсов в системе поддерживаются определенные уровни:

  • - доступности (возможности за разумное время получить требуемую информацию);
  • - целостности (невозможности несанкционированной или случайной модификации информации);
  • - конфиденциальности (невозможности несанкционированного получения информации).

Соответственно, для автоматизированных информационных систем угрозы следует классифицировать, прежде всего, по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого они направлены в первую очередь:

  • -угрозы нарушения доступности (отказ в обслуживании), направленные на создание таких ситуаций, когда определенные действия либо блокируют доступ к некоторым ресурсам ИС, либо снижают ее работоспособность. На пример, если один пользователь системы запрашивает доступ к некоторой службе, а другой предпринимает действия по блокированию этого доступа, то первый пользователь получает отказ в обслуживании. Блокирование доступа к ресурсу может быть постоянным или временным;
  • - угрозы нарушения целостности информации, хранящейся в компьютерной системе или передаваемой по каналу связи, которые направлены на ее изменение либо искажение, приводящее к нарушению ее качества или полному уничтожению. Целостность информации может быть нарушена преднамеренно злоумышленником, а также в результате объективных воздействий со стороны среды, окружающей систему. Эта угроза особенно актуальна для систем передачи информации - компьютерных сетей и систем телекоммуникаций. Умышленные нарушения целостности информации не следует путать с ее санкционированным изменением, которое выполняется полномочными лицами с обоснованной целью (например, таким изменением является периодическая коррекция какой-либо базы данных);
  • - угрозы нарушения конфиденциальности, направленные на разглашение конфиденциальной или секретной информации. При реализации этих угроз информация становится известной лицам, которые не должны иметь к ней доступ. В терминах компьютерной безопасности угроза нарушения конфиденциальности имеет место всякий раз, когда получен несанкционированный доступ к некоторой закрытой информации, хранящейся в компьютерной системе или передаваемой от одной системы к другой.

Данные виды угроз можно считать первичными, или непосредственными, поскольку их реализация ведет к непосредственному воздействию на защищаемую информацию.

Классификация возможных угроз безопасности ИС может быть проведена также по ряду других признаков.

  • 1. По природе возникновения различают:
    • - естественные угрозы, вызванные воздействиями на ИС объективных физических процессов или стихийных природных явлений;
    • - искусственные угрозы безопасности ИС, вызванные деятельностью человека.
  • 2. По степени преднамеренности проявления различают:
    • - угрозы, вызванные ошибками или халатностью персонала, например некомпетентное использование средств защиты; ввод ошибочных данных и т.п.;
    • - угрозы преднамеренного действия, например действия злоумышленников.
  • 3. По непосредственному источнику угроз. Источниками угроз могут быть:
    • - природная среда, например стихийные бедствия, магнитные бури и пр.;
    • - человек, например вербовка путем подкупа персонала, разглашение конфиденциальных данных и т. п.;
    • - санкционированные Аппаратные и программные средства, например удаление данных, отказ в работе операционной системы;
    • - несанкционированные Аппаратные и программные средства, например заражение компьютера вирусами с деструктивными функциями.
  • 4. По положению источника угроз. Источник угроз может быть расположен:
    • - вне контролируемой зоны ИС, например перехват данных, передаваемых по каналам связи, перехват электромагнитных, акустических и других излучений устройств;
    • - в пределах контролируемой зоны ИС, например применение подслушивающих устройств, хищение распечаток, записей, носителей информации и т.п.;
    • - непосредственно в ИС, например некорректное использование ресурсов ИС.
  • 5. По степени зависимости от активности ИС. Угрозы проявляются:
    • - независимо от активности ИС, например вскрытие шифров криптозащиты информации;
    • - только в процессе обработки данных, например угрозы выполнения и распространения программных вирусов.
  • 6. По степени воздействия на ИС различают:
    • - пассивные угрозы, которые при реализации ничего не меняют в структуре и содержании ИС, например угроза копирования секретных данных;
    • - активные угрозы, которые при воздействии вносят изменения в структуру и содержание ИС, например внедрение троянских коней и вирусов.
  • 7. По этапам доступа пользователей или программ к ресурсам ИС различают:
    • - угрозы, проявляющиеся на этапе доступа к ресурсам ИС, например угрозы несанкционированного доступа в ИС;
    • - угрозы, проявляющиеся после разрешения доступа к ресурсам ИС, например угрозы несанкционированного пли некорректного использования ресурсов ИС.
  • 8. По способу доступа к ресурсам ИС различают:
    • - угрозы с использованием стандартного пути доступа к ресурсам ИС, например незаконное получение паролей и других реквизитов разграничения доступа с последующей маскировкой под зарегистрированного пользователя;
    • - угрозы с использованием скрытого нестандартного пути доступа к ресурсам ИС, например несанкционированный доступ к ресурсам ИС путем использования недокументированных возможностей ОС.
  • 9. По текущему месту расположения информации, хранимой и обрабатываемой в ИС, различают:
    • - угрозы доступа к информации на внешних запоминающих устройствах, например несанкционированное копирование секретной информации с жесткого диска;
    • - угрозы доступа к информации в оперативной памяти, например чтение остаточной информации из оперативной памяти; доступ к системной области оперативной памяти со стороны прикладных программ;
    • - угрозы доступа к информации, циркулирующей в линиях связи, например незаконное подключение к линиям связи с последующим вводом ложных сообщений или модификацией передаваемых сообщений: незаконное подключение к линиям связи с целью прямой подмены законного пользователя с последующим вводом дезинформации и навязыванием ложных сообщений;
    • - угрозы доступа к информации, отображаемой на терминале или печатаемой на принтере, например запись отображаемой информации на скрытую видеокамеру.

Как уже отмечалось, опасные воздействия на ИС подразделяют на случайные и преднамеренные. Анализ опыта проектирования, изготовления и эксплуатации ИС показывает, что информация подвергается различным случайным воздействиям на всех этапах цикла жизни и функционирования ИС.

Причинами случайных воздействий при эксплуатации ИС могут быть:

  • - аварийные ситуации из-за стихийных бедствий и отключений электропитания;
  • - отказы и сбои аппаратуры;
  • - ошибки в программном обеспечении;
  • - ошибки в работе обслуживающего персонала и пользователей;
  • - помехи в линиях связи из-за воздействий внешней среды.

Ошибки в программном обеспечении (ПО) являются распространенным видом компьютерных нарушений. Программное обеспечение серверов, рабочих станций, маршрутизаторов и т.д. написано людьми, поэтому оно практически всегда содержит ошибки. Чем выше сложность подобного программного обеспечения, тем больше вероятность обнаружения в нем ошибок и уязвимостей. Большинство из них не представляют никакой опасности, некоторые же могут привести к серьезным последствиям, таким как, получение злоумышленником контроля над сервером, неработоспособность сервера, несанкционированное использование ресурсов (использование компьютера в качестве плацдарма для атаки и т. п.). Обычно подобные ошибки устраняются с помощью пакетов обновлений, регулярно выпускаемых производителем ПО. Своевременная установка таких пакетов является необходимым условием безопасности информации.

Преднамеренные угрозы связаны с целенаправленными действиями нарушителя. В качестве нарушителя может выступать служащий, посетитель, конкурент, наемник и т.д. Действия нарушителя могут быть обусловлены разными мотивами: недовольством служащего своей карьерой, сугубо материальным интересом (взятка), любопытством, конкурентной борьбой, стремлением самоутвердиться любой ценой и т. п.

Исходя из возможности возникновения наиболее опасной ситуации, обусловленной действиями нарушителя, можно составить гипотетическую модель потенциального нарушителя.

Наиболее распространенным и многообразным видом компьютерных нарушений является несанкционированный доступ (НСД). Суть НСД состоит в получении пользователем (нарушителем) доступа к объекту в нарушение правил разграничения доступа, установленных в соответствии с принятой в организации политикой безопасности. НСД использует любую ошибку в системе защиты и возможен при нерациональном выборе средств защиты, их некорректной установке и настройке. НСД может быть осуществлен как штатными средствами ИС, так и специально созданными аппаратными и программными средствами.

Перечислим основные каналы несанкционированного доступа, через которые нарушитель может получить доступ к компонентам ИС и осуществить хищение, модификацию и/или разрушение информации:

  • - штатные каналы доступа к информации (терминалы пользователей, оператора, администратора системы; средства отображения и документирования информации; каналы связи) при их использовании нарушителями, а также законными пользователями вне пределов их полномочий;
  • - технологические пульты управления;
  • - линии связи между аппаратными средствами ИС;
  • - побочные электромагнитные излучения от аппаратуры, линий связи, сетей электропитания и заземления и др.

Из всего разнообразия способов и приемов несанкционированного доступа остановимся на следующих распространенных и связанных между собой нарушениях:

  • - перехват паролей;
  • - незаконное использование привилегий;
  • - вредоносные программы.

Перехват паролей осуществляется специально разработанными программами. При попытке законного пользователя войти в систему программа - перехватчик имитирует на экране дисплея ввод имени и пароля пользователя, которые сразу пересылаются владельцу программы-перехватчика, после чего на экран выводится сообщение об ошибке и управление возвращается операционной системе. Пользователь предполагает, что допустил ошибку при вводе пароля. Он повторяет ввод и получает доступ в систему. Владелец программы-перехватчика, получивший имя и пароль законного пользователя, может теперь использовать их в своих целях. Существуют и другие способы перехвата паролей.

Незаконное использование привилегий. Большинство систем зашиты, устанавливают определенные наборы привилегий для выполнения заданных функций. Каждый пользователь получает свой набор привилегий: обычные пользователи - минимальный, администраторы - максимальный. Следует отметить, что незаконный захват привилегий возможен либо при наличии ошибок в системе защиты, либо из-за халатности администратора при управлении системой и назначении привилегий.

Вредоносные программы. К таким программам относятся компьютерные вирусы, сетевые черви, программа «троянский конь». Особенно уязвимы к этим программам рабочие станции конечных пользователей. Дадим краткую характеристику этих распространенных угроз безопасности ИС.

Компьютерный вирус представляет собой своеобразное явление, возникшее в процессе развития компьютерной и информационной техники. Суть этого явления состоит в том, что программы-вирусы обладают рядом свойств, присущих живым организмам, - они рождаются, размножаются и умирают. Термин «вирус» в применении к компьютерам предложил Фред Коэн из университета Южной Калифорнии. Исторически первое определение вируса было дано Ф. Коэном: «Компьютерный вирус - это программа, которая может заражать другие программы, модифицируя их посредством включения в них своей, возможно, измененной копии, причем последняя сохраняет способность к дальнейшему размножению». Компьютерные вирусы наносят ущерб системе за счет быстрого размножения и разрушения среды обитания.

Сетевой червь является разновидностью программы-вируса, которая распространяется по глобальной сети.

«Троянский конь» представляет собой программу, которая наряду с действиями, описанными в ее документации, выполняет некоторые другие действия, ведущие к нарушению безопасности системы и деструктивным результатам. Аналогия такой программы с древнегреческим троянским конем вполне оправданна, так как в обоих случаях не вызывающая подозрений оболочка таит серьезную угрозу. Радикальный способ защиты от этой угрозы заключается в создании замкнутой среды исполнения программ, которые должны защищаться от несанкционированного доступа.

Следует отметить, что троянские кони, компьютерные вирусы и сетевые черви относятся к весьма опасным угрозам ИС. Особенностью современных вредоносных программ является их ориентация на конкретное прикладное ПО, ставшее стандартом де-факто для большинства пользователей. Массовое создание вирусов под продукты Майкрософт объясняется не только низким уровнем безопасности и надежности программ, важную роль играет глобальное распространение этих продуктов. Авторы вредоносного программного обеспечения все активнее начинают исследовать «дыры» в популярных СУБД, связующих ПО и корпоративных бизнес-приложениях, построенных на базе этих систем.

Вредоносные программы постоянно эволюционируют, основной тенденцией их развития является полиморфизм. Сегодня уже довольно сложно провести границу между вирусом, червем и троянской программой - они используют практически одни и те же механизмы, небольшая разница заключается лишь в степени этого использования. Устройство вредоносного программного обеспечения стало сегодня настолько унифицированными, что, например, отличить почтовый вирус от червя с деструктивными функциями, практически невозможно. Даже в троянских программах появилась функция репликации (как одно из средств противодействия антивирусным средствам), так что при желании их вполне можно назвать вирусами (с механизмом распространения в виде маскировки под прикладные программы).

 
Посмотреть оригинал
< Пред   СОДЕРЖАНИЕ   ОРИГИНАЛ     След >