§ Описание классификации
§ Схема
Предпосылки создания:
При разработке алгоритма оценки информационных рисков, основанного на анализе угроз и уязвимостей информационной системы, специалистами Digital Security были рассмотрены и проанализированы различные существующие классификации угроз информационной безопасности. Попытки использования данных классификаций для описания по возможности большего количества угроз показали, что во многих случаях реальные угрозы либо не подходили ни под один из классификационных признаков, либо, наоборот, удовлетворяли нескольким.
Таким образом, основная цель создания специалистами Digital Security классификации угроз - наиболее полная, детальная классификация, которая описывает все существующие угрозы информационной безопасности, по которой каждая из угроз попадает только под один классификационный признак, и которая, таким образом, наиболее применима для анализа рисков реальных информационных систем.
Описание классификации:
По характеру угрозы информационной безопасности можно разделить на технологические и организационные.
Соответственно, получим верхний уровень классификации:
1. Угрозы технологического характера
2. Угрозы организационного характера
Рассмотрим технологические угрозы информационной безопасности, которые по виду воздействия делятся на:
1.1. Физические
1.2. Программные (логические)
Следующая ступень классификации - причина угрозы.
Причинами реализации физических угроз могут быть:
1.1.1. Действия нарушителя (человека)
1.1.2. Форс-мажорные обстоятельства
1.1.3. Отказ оборудования и внутренних систем жизнеобеспечения
Независимо от причины физические угрозы воздействуют:
1.1.1.1. На ресурс
1.1.1.2. На канал связи
Далее перейдем к рассмотрению программных угроз.
Программные угрозы по причине воздействия можно разделить на:
1.2.1. Угрозы, исходящие от локального нарушителя;
1.2.2. Угрозы, исходящие от удаленного нарушителя.
Объектом локального нарушителя может быть только ресурс.
При этом, на ресурсе локальный нарушитель может реализовать угрозы, направленные:
1.2.1.1. На операционную систему;
1.2.1.2. На прикладное программное обеспечение;
1.2.1.3. На информацию.
Угрозы, исходящие от удаленного нарушителя, могут воздействовать:
1.2.2.1. На ресурс;
1.2.2.2. На канал связи.
При доступе к ресурсу удаленный нарушитель может воздействовать:
1.2.2.1.1. На операционную систему;
1.2.2.1.2. На сетевые службы;
1.2.2.1.3. На информацию.
При воздействии на канал связи удаленный нарушитель может реализовать угрозы, направленные:
1.2.2.2.1. На сетевое оборудование;
1.2.2.2.2. На протоколы связи.
Рассмотрим организационные угрозы.
Организационные угрозы по характеру воздействия разделим на:
2.1. Воздействие на персонал;
2.2. Действия персонала.
Воздействие на персонал может быть:
2.1.1. Физическим;
2.1.2. Психологическим.
Как физическое, так и психологическое воздействие на персонал направлено на сотрудников компании с целью:
2.1.1.1. Получения информации;
2.1.1.2. Нарушения непрерывности ведения бизнеса.
Причинами действий персонала, способных вызвать угрозы информационной безопасности, могут быть:
2.2.1. Умышленные действия;
2.2.2. Неумышленные действия.
Угрозы, вызванные умышленными действиями персонала, могут быть направлены:
2.2.1.1. На информацию;
2.2.1.2. На непрерывность ведения бизнеса.
Угрозы, вызванные неумышленными действиями персонала, могут быть направлены:
2.2.2.1. На информацию;
2.2.2.2. На непрерывность ведения бизнеса.
Таким образом, классификация угроз информационной безопасности разделяется по характеру угрозы, виды воздействия, причине и объекту угрозы.
Как определить источники угроз Сергей Вихорев, Роман Кобцев
Однако все имеющиеся на сегодняшний день методики (к сожалению, преимущественно иностранные) позволяют получить только лишь качественную оценку. Это, например, такие методики, как Guide to BS 7799 risk assessment and risk management — DISC, PD 3002 и Guide to BS 7799 auditing.о — DISC, PD 3004 (на основе стандартов BS 7799 и ISO/IEC 17799-00). В данных методиках оценка безопасности информации проводится по десяти ключевым контрольным точкам, которые либо представляют собой обязательные требования (требования действующего законодательства), либо считаются основными структурными элементами информационной безопасности (допустим, обучение правилам безопасности). Эти контрольные точки применимы ко всем организациям.
К ним относятся:
· документ о политике информационной безопасности;
· распределение обязанностей по обеспечению информационной безопасности;
· обучение и подготовка персонала к поддержанию режима информационной безопасности;
· уведомление о случаях нарушения защиты;
· средства защиты от вирусов;
· планирование бесперебойной работы организации;
· контроль копирования программного обеспечения, защищенного законом об авторском праве;
· защита документации организации;
· защита данных;
· контроль соответствия политике безопасности
Процедура аудита безопасности информационной безопасности включает в себя проверку наличия перечисленных ключевых точек, оценку полноты и правильности их реализации, а также анализ их адекватности существующим рискам. Такой подход может дать ответ только на уровне «это хорошо, а это плохо». Вопросы же «насколько плохо или хорошо», «до какой степени критично или некритично» остаются без ответа. Поэтому актуальным является создание такой методики, которая выдавала бы руководителю количественный итог, полную картину ситуации, цифрами подтверждая рекомендации специалистов, отвечающих за обеспечение безопасности информации в компании. Рассмотрим, что легло в основу такой методики.
Деятельность по обеспечению информационной безопасности направлена на то, чтобы не допустить убытков от потери конфиденциальной информации. Соответственно, уже предполагается наличие ценной информации, из-за потери которой предприятие может понести убытки. Благодаря нехитрым логическим измышлениям получаем следующую цепочку: источник угрозы — фактор (уязвимость) — угроза (действие) — последствия (атака)
Угрозу отождествляют обычно либо с характером (видом, способом) дестабилизирующего воздействия на информацию, либо с последствиями (результатами) такого воздействия. Однако такого рода термины могут иметь много трактовок. Возможен и иной подход к определению угрозы безопасности информации, базирующийся на понятии «угроза». В соответствии с ожеговским «Словарем русского языка», «угроза» — это намерение нанести физический, материальный или иной вред общественным или личным интересам, возможная опасность. Иначе говоря, понятие угроза жестко связано с юридической категорией «ущерб», которую Гражданский Кодекс определяет как «фактические расходы, понесенные субъектом в результате нарушения его прав (например, разглашения или использования нарушителем конфиденциальной информации), утраты или повреждения имущества, а также расходы, которые он должен будет произвести для восстановления нарушенного права и стоимости поврежденного или утраченного имущества» (ГК РФ, часть I, ст. 15). Анализ негативных последствий реализации угроз предполагает обязательную идентификацию возможных источников угроз, уязвимостей, способствующих их проявлению и методов реализации. И тогда цепочка вырастает в схему, представленную на рис. 1.
Рис. 1.
В ходе анализа необходимо убедиться, что все возможные источники угроз и уязвимости идентифицированы и сопоставлены друг с другом, а всем идентифицированным источникам угроз и уязвимостям сопоставлены методы реализации. При этом важно иметь возможность, при необходимости, не меняя самого методического инструментария, вводить новые виды источников угроз, методов реализации, уязвимостей, которые станут известны в результате развития знаний в этой области.
Угрозы классифицируются по возможности нанесения ущерба субъекту отношений при нарушении целей безопасности. Ущерб может быть причинен каким-либо субъектом (преступление, вина или небрежность), а также стать следствием, не зависящим от субъекта проявлений. Угроз не так уж и много. При обеспечении конфиденциальности информации это может быть хищение (копирование) информации и средств ее обработки, а также ее утрата (неумышленная потеря, утечка). При обеспечении целостности информации список угроз таков: модификация (искажение) информации; отрицание подлинности информации; навязывание ложной информации. При обеспечении доступности информации возможно ее блокирование, либо уничтожение самой информации и средств ее обработки.
Рис. 2. Структура классификаций: а) «Источники угроз»; б) «Уязвимости»; в) «Методы реализации»
Все источники угроз можно разделить на классы, обусловленные типом носителя, а классы на группы по местоположению (рис. 2а). Уязвимости также можно разделить на классы по принадлежности к источнику уязвимостей, а классы на группы и подгруппы по проявлениям (рис. 2б). Методы реализации можно разделить на группы по способам реализации (рис. 2в). При этом необходимо учитывать, что само понятие «метод», применимо только при рассмотрении реализации угроз антропогенными источниками. Для техногенных и стихийных источников это понятие трансформируется в понятие «предпосылка».
Классификация возможностей реализации угроз (атак), представляет собой совокупность возможных вариантов действий источника угроз определенными методами реализации с использованием уязвимостей, которые приводят к реализации целей атаки. Цель атаки может не совпадать с целью реализации угроз и может быть направлена на получение промежуточного результата, необходимого для достижения в дальнейшем реализации угрозы. В случае такого несовпадения атака рассматривается как этап подготовки к совершению действий, направленных на реализацию угрозы, т.е. как «подготовка к совершению» противоправного действия. Результатом атаки являются последствия, которые являются реализацией угрозы и/или способствуют такой реализации.
Сам подход к анализу и оценке состояния безопасности информации основывается на вычислении весовых коэффициентов опасности для источников угроз и уязвимостей, сравнения этих коэффициентов с заранее заданным критерием и последовательном сокращении (исключении) полного перечня возможных источников угроз и уязвимостей до минимально актуального для конкретного объекта.
Исходными данными для проведения оценки и анализа (рис. 3) служат результаты анкетирования субъектов отношений, направленные на уяснение направленности их деятельности, предполагаемых приоритетов целей безопасности, задач, решаемых автоматизированной системой и условий расположения и эксплуатации объекта.
Благодаря такому подходу возможно:
· установить приоритеты целей безопасности для субъекта отношений;
· определить перечень актуальных источников угроз;
· определить перечень актуальных уязвимостей;
· оценить взаимосвязь угроз, источников угроз и уязвимостей;
· определить перечень возможных атак на объект;
· описать возможные последствия реализации угроз.
Результаты проведения оценки и анализа могут быть использованы при выборе адекватных оптимальных методов парирования угрозам, а также при аудите реального состояния информационной безопасности объекта для целей его страхования.
При определении актуальных угроз, экспертно-аналитическим методом определяются объекты защиты, подверженные воздействию той или иной угрозы, характерные источники этих угроз и уязвимости, способствующие реализации угроз.
На основании анализа составляется матрица взаимосвязи источников угроз и уязвимостей из которой определяются возможные последствия реализации угроз (атаки) и вычисляется коэффициент опасности этих атак как произведение коэффициентов опасности соответствующих угроз и источников угроз, определенных ранее.
Предложенная классификация может служить основой для выработки методики оценки актуальности той или иной угрозы, а уже по выявлению наиболее актуальных угроз могут приниматься меры по выбору методов и средств противостояния им.