Модель угроз безопасности государственной информационной системы. Модели угроз информационной безопасности

Сергей Сторчак

В данный момент занимаюсь пересмотром частной политики по рискам нарушения информационной безопасности и обновлением модели угроз ИБ.

В ходе работы я столкнулся с некоторыми сложностями. О том, как я их решил и разработал частную модель угроз, и пойдет речь далее.

Ранее многие банки использовали Отраслевую модель угроз безопасности ПДн, взятую из Рекомендации в области стандартизации ЦБР РС БР ИББС-2.4-2010 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Отраслевая частная модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных организаций банковской системы Российской Федерации" (РС БР ИББС-2.4-2010). Но в связи с изданием информации Банка России от 30.05.2014 документ утратил силу. Сейчас её нужно разрабатывать самому.

Не многие знают, что с выходом Рекомендации в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Предотвращение утечек информации" РС БР ИББС-2.9-2016 (РС БР ИББС-2.9-2016) произошла подмена понятий. Теперь при определении перечня категорий информации и перечня типов информационных активов рекомендуется ориентироваться на содержание п.6.3 и 7.2 РС БР ИББС-2.9-2016. Раньше это был п.4.4 Рекомендаций в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки рисков нарушения информационной безопасности" РС БР ИББС-2.2-2009 (РС БР ИББС-2.2-2009). Я даже обращался в ЦБ за разъяснениями:

Основные источники угроз перечислены в п.6.6 Стандарте Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» СТО БР ИББС-1.0-2014 (СТО БР ИББС-1.0-2014). Потенциал нарушителя можно взять отсюда .

В общем случае, при определении актуальных угроз ИБ нужно принимать во внимание инциденты ИБ, которые происходили в организации, сведения из аналитических отчетов регуляторов и компаний, оказывающих услуги по обеспечению информационной безопасности, и экспертное мнение специалистов компании.

Также угрозы ИБ определяются в соответствии с Указанием Банка России от 10.12.2015 N 3889-У "Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных (3889-У), приложением 1 РС БР ИББС-2.2-2009, таблицей 1 РС БР ИББС-2.9-2016 (её я сделал отдельным приложением), Банком данных угроз безопасности информации ФСТЭК России (БДУ).

Кстати, заметил, что некоторые угрозы из 3889-У дублируют угрозы из БДУ:

угроза воздействия вредоносного кода, внешнего по отношению к информационной системе персональных данных - УБИ.167, УБИ.172, УБИ.186, УБИ.188, УБИ.191;
угроза использования методов социального инжиниринга к лицам, обладающим полномочия-ми в информационной системе персональных данных - УБИ.175;
угроза несанкционированного доступа к персональным данным лицами, не обладающими полномочиями в информационной системе персональных данных, с использованием уязвимостей в программном обеспечении информационной системы персональных данных - УБИ.192;

В связи с этим я исключил дублирующие угрозы из 3889-У в пользу УБИ, т.к. в их описании содержится дополнительная информация, которая облегчает заполнение таблиц с моделью угроз и оценкой рисков ИБ.

Актуальные угрозы источника угроз "Неблагоприятные события природного, техногенного и социального характера" статистику МЧС РФ о чрезвычайных ситуациях и пожарах .

Актуальные угрозы источника угроз "Террористы и криминальные элементы" можно определить, ориентируясь на статистику МВД РФ о состоянии преступности и рассылку новостей "Преступления в банковской сфере" .

На данном этапе мы определись с источниками угроз ИБ и актуальными угрозами ИБ. Теперь перейдем к созданию таблицы с моделью угроз ИБ.

За основу я взял таблицу "Отраслевая модель угроз безопасности ПДн" из РС БР ИББС-2.4-2010. Колонки "Источник угрозы" и "Уровень реализации угрозы" заполняются в соответствии с требованиями п.6.7 и п.6.9 СТО БР ИББС-1.0-2014. У нас остаются пустыми колонки "Типы объектов среды" и "Угроза безопасности". Последнюю я переименовал в "Последствия реализации угрозы", как в БДУ (на мой взгляд, так вернее). Для их заполнения нам потребуется описание наших угроз из БДУ.

В качестве примера рассмотрим " УБИ.192: Угроза использования уязвимых версий программного обеспечения ":
Описание угрозы : угроза заключается в возможности осуществления нарушителем деструктивного воздействия на систему путем эксплуатации уязвимостей программного обеспечения. Данная угроза обусловлена слабостями механизмов анализа программного обеспечения на наличие уязвимостей. Реализация данной угрозы возможна при отсутствии проверки перед применением программного обеспечения на наличие в нем уязвимостей.
Источники угрозы : внутренний нарушитель с низким потенциалом; внешний нарушитель с низким потенциалом.
Объект воздействия : прикладное программное обеспечение, сетевое программное обеспечение, системное программное обеспечение.
Последствия реализации угрозы : нарушение конфиденциальности, нарушение целостности, нарушение доступности.

Для удобства я распределил типы объектов среды (объекты воздействия) по уровням реализации угрозы (уровням информационной инфраструктуры банка ).

Приветствую, читатели!

для понимания тех угроз и уязвимостей, которые расплодились в информационной системе, а так же нарушителей которые актуальны для данной информационной системы, чтобы запустить процесс технического проектирования для их нейтрализации;
для галочки, чтобы были выполнены все условия некого проекта, например в сфере персональных данных (не говорю что модель угроз при выполнении проектов в сфере персональных данных всегда делается для галочки, но в основном это так).

Здесь так же большую роль играет Руководство. В зависимости от того, что хочет Руководство, грамотно спроектировать и построить защиту (наш вариант), или же защититься от неких контролирующих органов. Но на эту тему можно написать отдельную статью, в ней будет что сказать.

Модель угроз и модель нарушителя неразрывно связаны. Много споров возникало на тему делать эти модели разными документами, или же правильнее делать это одним документом. По моему мнению, для удобства именно построения модели угроз и модели нарушителя, правильнее делать это одним документом. При передаче модели угроз инженерам (если же моделированием угроз, нарушителя и проектированием занимаются разные отделы в компании) им необходимо видеть ситуацию в полном объеме, а не читать 2 документа и тратить время на соединение их воедино. Таким образом, в данной статье я буду описывать модель угроз и модель нарушителя (далее по тексту - модель угроз) как единый неразрывный документ.

Типовые проблемы

По своему опыту я видел большое количество моделей угроз которые были на столько по разному написаны, что привести их к одному шаблону было просто нереально. У человека не было четкого представления, что писать в таком документе, для кого этот документ и какова его задача. Многие интересуются, сколько листов должна быть модель угроз, что в ней писать, как лучше это сделать.

Типичные ошибки при составлении модели угроз я выявил следующие:

отсутствие понимания для кого этот документ:
отсутствие понимания структуры документа;
отсутствие понимания необходимого содержания документа;
отсутствие необходимых для проектирования выводов.

План модели угроз

Так как мы, после составления модели угроз, передадим ее для анализа инженерам (не обязательное условие), информация будет группироваться с точки зрения удобства для разработчика модели угроз и инженера, который потом будет проводить ее анализ.
При составлении модели угроз я придерживаюсь следующего плана(подразделы не включены):

Введение
1. Перечень сокращений
2. Перечень нормативных документов
3. Описание ИС
4. Угрозы безопасности
Заключение.
Приложение А.
Приложение Б.
Приложение В.

Забегая на будущее, модель угроз строится из принципа - "Нет необходимости читать весь документ чтобы понять его смысл и сделать правильные выводы ". Давайте разберем каждый из пунктов.

Введение

Типичное введение, описывающее предназначение данного документа и что должно быть определено на этапе его написания.

1. Перечень сокращений

Зачем оно тут? - спросите вы. А я вам отвечу:

документ может читать не только специалист по информационной безопасности;
документ может читать высшее руководство, имеющее некое техническое образование;
при описании Информационной системы некоторые термины могут быть неизвестны ни специалистам, ни руководству.

2. Перечень нормативных документов

Данный раздел обычно необходим в проектах, где используется некая документация, в которой приписаны некие требования или рекомендации. Например, при работе с персональными данными в данный раздел записываются нормативные документы ФСТЭК, ФСБ и т.д.

3. Описание ИС

Данный раздел является одной из главных частей модели угроз. Описание Информационной системы должно раскладывать ее по полочкам на столько подробно, на сколько это возможно. Данные должны включать:

используемые технические средства, их назначение. Как пример:

Идентификатор служит для быстрого обращения к активу из текста документа, описание служит для понимания что за техническое средство используется, примечание служит для уточнения данных о технических средствах и их назначениях.

детальное описание технических средств. Как пример: ТС – терминальный сервер. Подключение удаленных клиентов по протоколу RDP для работы с системой. Подключение происходит с аппаратных тонких клиентов и персональных компьютеров. На терминальном сервере установлено приложение, используемое для работы с базой данных.
Схему подключения технических средств. Данная схема должна отражать детальную архитектуру информационной системы.
Реализованные защитные меры. Данная информация позволит разработчику модели угроз учесть уже внедренные средства защиты и провести оценку их эффективности, что позвонит с некоторой долей вероятности снизить затраты на закупку средств защиты.
Формирование перечня активов. Необходимо определить перечень активов, их значимость для компании и идентификатор для быстрой ссылки из документа. Как пример:

В зависимости от выбранной методики оценки рисков, 3 раздел модели угроз может содержать дополнительную информацию. Например, в случае моделирования угроз для персональных данных, данный раздел дополняется «показателями исходной защищенности ИСПДн», «основными характеристиками ИСПДн».

4. Угрозы безопасности

В данном разделе описываются результаты моделирования угроз. В описание входит:

актуальность внешних или внутренних угроз;
перечень актуальных нарушителей;
перечень актуальных угроз информационной безопасности.

Перечень актуальных угроз удобно оформлять в виде такой таблички:

Здесь опять же все просто, идентификатор, описание угрозы и активы, на которые действует угроза. Информации более чем достаточно.

Заключение

В заключении необходимо описать какие мероприятия необходимо провести для защиты Информационной системы. Пример:

1. Защита от несанкционированного подключения незарегистрированных технических средств:

серверов СУБД;
серверов приложений.

2. Криптографическая защита каналов связи для доступа к Информационной системе (построение VPN сети).

Информация, расположенная в вышеописанных разделах содержит все необходимые данные для проектирования системы защиты Информационной системы. Вся информация, которая содержит определение актуальных нарушителей, расчет актуальных угроз информационной безопасности находятся в приложениях. Это позволяет получить всю необходимую информацию на первых страницах документа. По опыту скажу, что модель угроз для хорошего проекта и серьезной информационной системы занимает от 100 страниц. Информация представленная выше занимает обычно не более 30.

Приложение А

В приложении А я обычно описываю модель нарушителя. Как правило оно состоит из:

описания видов нарушителей и их возможностей (внутренние, внешние);
описание каналов доступа в ИС (физические, общедоступные, технические)
описание данных видов нарушителей с привязкой к штатной структуре организации;
описание возможностей данных нарушителей;
определение актуальности каждого из видов нарушителей.

Табличка на выходе:

Тип нарушителя	Категории нарушителей	Идентификатор
Внешний нарушитель	Криминальные структуры, внешние субъекты (физические лица)	N1
Внутренний нарушитель	Лица, имеющие санкционированный доступ в КЗ, но не имеющие доступа к ИСПДн (технический и обслуживающий персонал)	N2
	Зарегистрированные пользователи ИСПДн, имеющие доступ к ПДн	N3
	Зарегистрированные пользователи ИСПДн с полномочиями администратора безопасности сегмента ИСПДн	N4
	Зарегистрированные пользователи с полномочиями системного администратора ИСПДн	N5
	Зарегистрированные пользователи с полномочиями администратора безопасности ИСПДн	N6
	Программисты-разработчики (поставщики) прикладного программного обеспечения и лица, обеспечивающие его сопровождение на защищаемом объекте	N7
	Разработчики и лица, обеспечивающие поставку, обслуживание и ремонт технических средств для ИСПДн	N8

Приложение Б

Данное приложение служит для описания и расчета актуальности угроз. В зависимости от выбора методики определения актуальности угроз информационной безопасности, оценки рисков, можно по разному оформлять это приложение(раздел). Я оформляю каждую угрозу следующей табличкой:

Сформатировать табличку в хабраредакторе не очень получилось, в документе она выглядит гораздо лучше. История формирования именно такого вида таблички берет свое начало из стандартов серии СТО БР. Далее она немного модифицировалась под проекты под Персональные данные, и сейчас она представляет собой средство описания угроз для любого из проектов. Данная табличка в полной мере позволяет рассчитать актуальность угрозы информационной безопасности для активов компании. Если используется какая-либо методика оценки рисков, данная табличка так же подойдет. Данный пример приведен для расчета актуальности угроз в рамках работ по проекту защиты Персональных данных. Читается табличка следующим образом: Угроза -> Нарушитель -> Активы -> Нарушаемые свойства -> Данные для расчета актуальности -> Выводы.

Каждая угроза оформляется данной табличкой, которая в полной мере описывает ее и на основе данной таблички можно легко сделать вывод об актуальности/неактуальности угрозы.

Приложение В

Приложение В - справочное. В ней расписаны методики расчета актуальности или же методики оценки рисков.

В результате, при использовании данной методики оформления, модель угроз будет являться читабельным и полезным документом, который можно использовать в организации.

Спасибо за внимание.

Аннотация: В лекции ведется изучение понятий и классификаций уязвимостей и угроз, рассмотрение наиболее распространенных атак. Состав и содержание организационно-распорядительной документации по защите ПД.

4.1. Угрозы информационной безопасности

При построении системы защиты персональных данных (далее СЗПД) ключевым этапом является построение частной модели угроз для конкретной организации. На основании этой модели в дальнейшем подбираются адекватные и достаточные средства защиты, в соответствии с принципами, рассмотренными в "Автоматизированная и неавтоматизированная обработка персональных данных" .

Под угрозами безопасности ПД при их обработке в ИСПД понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование , распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.

Появление угроз безопасности может быть связано как с преднамеренными действиями злоумышленников, так и с непреднамеренными действиями персонала или пользователей ИСПД.

Угрозы безопасности могут быть реализованы двумя путями:

через технические каналы утечки;
путем несанкционированного доступа.

Обобщенная схема реализации канала угроз ПД показана на рисунке 4.1

Рис. 4.1.

Технический канал утечки информации – совокупность носителя информации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация . Среда распространения бывает однородной, например, только воздух при распространении электромагнитного излучения, или неоднородной, когда сигнал переходит из одной среды в другую. Носителями ПД могут быть люди, работающие с ИСПД, технические средства, вспомогательные средства и т.д. Главное, что информация при этом отображается в виде полей, сигналов, образов, количественных характеристиках физических величин.

Как правило, выделяют следующие угрозы за счет реализации технических каналов утечки:

угрозы утечки речевой информации. Фактически злоумышленник перехватывает информацию с помощью специальной аппаратуры в виде акустических, виброакустических волн, а также электромагнитного излучения, модулированного акустическим сигналом. В качестве средств могут использоваться различного рода электронные устройства, подключаемые либо к каналам связи, либо к техническим средствам обработки ПД.
угрозы утечки видовой информации. В этом случае речь идет о непосредственном просмотре ПД при наличии прямой видимости между средством наблюдения и носителем ПД. В качестве средств наблюдения используются оптические средства и видеозакладки;
угрозы утечки информации по каналам побочных электромагнитных излучений и наводок (ПЭМИН). Речь идет о перехвате побочных (не связанных с прямым функциональным значением элементов ИСПД) информативных электромагнитных полей и электрических сигналов, возникающих при обработке ПД техническими средствами ИСПД. Для регистрации ПЭМИН используется аппаратура в составе радиоприемных устройств и оконечных устройств восстановления информации. Кроме этого, перехват ПЭМИН возможен с использованием электронных устройств перехвата информации, подключенных к каналам связи или техническим средствам обработки ПД. Наводки электромагнитных излучений возникают при излучении элементами технических средств ИСПД информативных сигналов при наличии емкостной, индуктивной или гальванической связей соединительных линий технических средств ИСПД и различных вспомогательных устройств.

Источниками угроз , реализуемых за счет несанкционированного доступа к базам данных с использованием штатного или специально разработанного программного обеспечения, являются субъекты, действия которых нарушают регламентируемые в ИСПД правила разграничения доступа к информации. Этими субъектами могут быть:

нарушитель;
носитель вредоносной программы;
аппаратная закладка.

Под нарушителем здесь и далее понимается физическое лицо (лица), случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности ПД при их обработке техническими средствами в информационных системах. С точки зрения наличия права легального доступа в помещения, в которых размещены аппаратные средства , обеспечивающие доступ к ресурсам ИСПД, нарушители подразделяются на два типа:

нарушители, не имеющие доступа к ИСПД, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена, – внешние нарушители;
нарушители, имеющие доступ к ИСПД, включая пользователей ИСПД, реализующие угрозы непосредственно в ИСПД, – внутренние нарушители.

Для ИСПД, предоставляющих информационные услуги удаленным пользователям, внешними нарушителями могут являться лица, имеющие возможность осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий, алгоритмических или программных закладок через автоматизированные рабочие места, терминальные устройства ИСПД, подключенные к сетям общего пользования.

Обобщим полученные знания с помощью рисунка 4.2 .

Рис. 4.2.

Угрозы можно классифицировать по различным признакам, например, по виду нарушаемого свойства информации ( конфиденциальность , целостность , доступность), по типу ИСПД, на которые направлена атака , по типу используемой для атаки уязвимости.

4.2. Общая характеристика уязвимостей информационной системы персональных данных

Появление потенциальных угроз безопасности связано с наличием слабых мест в ИСПД - уязвимостей. Уязвимость информационной системы персональных данных – недостаток или слабое место в системном или прикладном программном (программно-аппаратном) обеспечении ИСПД, которые могут быть использованы для реализации угрозы безопасности персональных данных.

Причинами возникновения уязвимостей в общем случае являются:

ошибки при разработке программного обеспечения;
преднамеренные изменения программного обеспечения с целью внесения уязвимостей;
неправильные настройки программного обеспечения;
несанкционированное внедрение вредоносных программ;
неумышленные действия пользователей;
сбои в работе программного и аппаратного обеспечения.

Уязвимости, как и угрозы, можно классифицировать по различным признакам:

по типу ПО – системное или прикладное.
по этапу жизненного цикла ПО, на котором возникла уязвимость – проектирование, эксплуатация и пр.
по причине возникновения уязвимости, например, недостатки механизмов аутентификации сетевых протоколов.
по характеру последствий от реализации атак – изменение прав доступа, подбор пароля, вывод из строя системы в целом и пр.

Наиболее часто используемые уязвимости относятся к протоколам сетевого взаимодействия и к операционным системам, в том числе к прикладному программному обеспечению.

Уязвимости операционной системы и прикладного ПО в частном случае могут представлять:

функции, процедуры, изменение параметров которых определенным образом позволяет использовать их для несанкционированного доступа без обнаружения таких изменений операционной системой;
фрагменты кода программ ("дыры", "люки"), введенные разработчиком, позволяющие обходить процедуры идентификации, аутентификации, проверки целостности и др.;
отсутствие необходимых средств защиты (аутентификации, проверки целостности, проверки форматов сообщений, блокирования несанкционированно модифицированных функций и т.п.);
ошибки в программах (в объявлении переменных, функций и процедур, в кодах программ), которые при определенных условиях (например, при выполнении логических переходов) приводят к сбоям, в том числе к сбоям функционирования средств и систем защиты информации.

Уязвимости протоколов сетевого взаимодействия связаны с особенностями их программной реализации и обусловлены ограничениями на размеры применяемого буфера, недостатками процедуры аутентификации, отсутствием проверок правильности служебной информации и др. Так, например, протокол прикладного уровня FTP , широко используемый в Интернете, производит аутентификацию на базе открытого текста, тем самым позволяя перехватывать данные учетной записи.

Прежде чем приступать к построению системы защиты информации необходимо провести анализ уязвимостей ИСПД и попытаться сократить их количество, то есть использовать метод превентивности. Можно закрыть лишние порты, поставить "заплатки" на программное обеспечение (например, service pack для Windows ), ввести более сильные методы аутентификации и т.п. Эти меры могут существенно сократить материальные, временные и трудовые затраты на построение системы защиты персональных данных в дальнейшем.

4.3. Наиболее часто реализуемые угрозы

В связи с повсеместным развитием Интернета наиболее часто атаки производятся с использованием уязвимостей протоколов сетевого взаимодействия. Рассмотрим 7 наиболее распространенных атак.

Анализ сетевого трафика
Данный вид атаки направлен в первую очередь на получение пароля и идентификатора пользователя путем "прослушивания сети". Реализуется это с помощью sniffer – специальная программа-анализатор, которая перехватывает все пакеты, идущие по сети. И если протокол, например, FTP или TELNET, передает аутентификационную информацию в открытом виде, то злоумышленник легко получает доступ к учетной записи пользователя.

Рис. 4.3.
Сканирование сети
Суть данной атаки состоит в сборе информации о топологии сети, об открытых портах, используемых протоколах и т.п. Как правило, реализация данной угрозы предшествует дальнейшим действиям злоумышленника с использованием полученных в результате сканирования данных.
Угроза выявления пароля
Целью атаки является преодоление парольной защиты и получении НСД к чужой информации. Методов для кражи пароля очень много: простой перебор всех возможных значений пароля, перебор с помощью специальных программ ( атака словаря ), перехват пароля с помощью программы-анализатора сетевого трафика.
Подмена доверенного объекта сети и передача по каналам связи сообщений от его имени с присвоением его прав доступа. Доверенный объект – это элемент сети, легально подключенный к серверу.
Такая угроза эффективно реализуется в системах, где применяются нестойкие алгоритмы идентификации и аутентификации хостов, пользователей и т.д.

Могут быть выделены две разновидности процесса реализации указанной угрозы: с установлением и без установления виртуального соединения.

Процесс реализации с установлением виртуального соединения состоит в присвоении прав доверенного субъекта взаимодействия, что позволяет нарушителю вести сеанс работы с объектом сети от имени доверенного субъекта . Реализация угрозы данного типа требует преодоления системы идентификации и аутентификации сообщений (например, атака rsh-службы UNIX-хоста).

Процесс реализации угрозы без установления виртуального соединения может иметь место в сетях, осуществляющих идентификацию передаваемых сообщений только по сетевому адресу отправителя. Сущность заключается в передаче служебных сообщений от имени сетевых управляющих устройств (например, от имени маршрутизаторов) об изменении маршрутно-адресных данных.

В результате реализации угрозы нарушитель получает права доступа, установленные его пользователем для доверенного абонента, к техническому средству ИСПД– цели угроз.
Навязывание ложного маршрута сети
Данная атака стала возможной из-за недостатков протоколов маршрутизации (RIP, OSPF, LSP ) и управления сетью (ICMP, SNMP), таких как слабая аутентификация маршрутизаторов. Суть атаки состоит в том, что злоумышленник, используя уязвимости протоколов, вносит несанкционированные изменения в маршрутно-адресные таблицы.
Внедрение ложного объекта сети
Когда изначально объекты сети не знают информацию друг о друге, то для построения адресных таблиц и последующего взаимодействия, используется механизм запрос (как правило, широковещательный) - ответ с искомой информацией. При этом если нарушитель перехватил такой запрос, то он может выдать ложный ответ, изменить таблицу маршрутизации всей сети, и выдать себя за легального субъекта сети. В дальнейшем все пакеты, направленные к легальному субъекту, будут проходить через злоумышленника.
Отказ в обслуживании
Этот тип атак является одним из самых распространенных в настоящее время. Целью такой атаки является отказ в обслуживании, то есть нарушение доступности информации для законных субъектов информационного обмена.

Могут быть выделены несколько разновидностей таких угроз:

скрытый отказ в обслуживании, вызванный привлечением части ресурсов ИСПД на обработку пакетов, передаваемых злоумышленником со снижением пропускной способности каналов связи, производительности сетевых устройств, нарушением требований ко времени обработки запросов. Примерами реализации угроз подобного рода могут служить: направленный шторм эхо-запросов по протоколу ICMP (Ping flooding ), шторм запросов на установление TCP-соединений (SYN- flooding ), шторм запросов к FTP-серверу;
явный отказ в обслуживании, вызванный исчерпанием ресурсов ИСПДн при обработке пакетов, передаваемых злоумышленником (занятие всей полосы пропускания каналов связи, переполнение очередей запросов на обслуживание), при котором легальные запросы не могут быть переданы через сеть из-за недоступности среды передачи либо получают отказ в обслуживании ввиду переполнения очередей запросов , дискового пространства памяти и т.д. Примерами угроз данного типа могут служить шторм широковещательных ICMP-эхо-запросов (Smurf), направленный шторм (SYN- flooding ), шторм сообщений почтовому серверу ( Spam );
явный отказ в обслуживании, вызванный нарушением логической связности между техническими средствами ИСПДн при передаче нарушителем управляющих сообщений от имени сетевых устройств, приводящих к изменению маршрутно-адресных данных (например, ICMP Redirect Host, DNS- flooding ) или идентификационной и аутентификационной информации;
явный отказ в обслуживании, вызванный передачей злоумышленником пакетов с нестандартными атрибутами (угрозы типа "Land", "TearDrop", "Bonk", " Nuke ", "UDP- bomb ") или имеющих длину, превышающую максимально допустимый размер (угроза типа "Ping Death"), что может привести к сбою сетевых устройств, участвующих в обработке запросов, при условии наличия ошибок в программах, реализующих протоколы сетевого обмена.

Результатом реализации данной угрозы может стать нарушение работоспособности соответствующей службы предоставления удаленного доступа к ПД в ИСПД, передача с одного адреса такого количества запросов на подключение к техническому средству в составе ИСПД, какое максимально может "вместить" трафик (направленный "шторм запросов"), что влечет за собой переполнение очереди запросов и отказ одной из сетевых служб или полную остановку компьютера из-за невозможности системы заниматься ничем другим, кроме обработки запросов.

Мы рассмотрели наиболее часто реализуемые угрозы при сетевом взаимодействии. На практике угроз значительно больше. Частная модель угроз безопасности строится на основе двух документов ФСТЭК – "Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных" и "Методика определения актуальных угроз безопасности персональных данных при их обработке в ИСПД" . Если организация большая, и в ней несколько систем ИСПД, наиболее разумным решением будет привлечение квалифицированных специалистов сторонних фирм для построения частной модели угроз и проектирования СЗПД.

4.4. Организационно-распорядительная документация по защите ПД

Помимо технических и процедурных решений создаваемой системы защиты персональных данных , оператор должен обеспечить разработку организационно - распорядительных документов, которые будут регулировать все возникающие вопросы по обеспечению безопасности ПД при их обработке в ИСПД и эксплуатации системы защиты персональных данных (далее СЗПД). Таких документов достаточно много, основные из них:

1. Положение по обеспечению безопасности ПД . Это внутренний (локальный) документ организации. Строгой формы данного документа нет, но он должен удовлетворять требованиям ТК и ФЗ-152, а, следовательно, в нем должно быть указано:

цель и задачи в области защиты персональных данных ;
понятие и состав персональных данных;
в каких структурных подразделениях и на каких носителях (бумажных, электронных) накапливаются и хранятся эти данные;
как происходит сбор и хранение персональных данных;
как они обрабатываются и используются;
кто (по должностям) в пределах фирмы имеет к ним доступ;

Список лиц, допущенных к обработке ПД, можно оформить в виде приложения к Положению по обеспечению безопасности персональных данных или отдельным документом, утвержденным руководителем.

3. Частная модель угроз (если ИСПД несколько, то модель угроз разрабатывается на каждую из них) – разрабатывается по результатам предварительного обследования. ФСТЭК России предлагает Базовую модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, согласно которой при создании частной модели должны быть рассмотрены:

угрозы утечки информации по техническим каналам;
угрозы несанкционированного доступа, связанные с действиями нарушителей, имеющих доступ к ИСПД, реализующих угрозы непосредственно в ИСПД. При этом необходимо в качестве потенциальных нарушителей рассматривать легальных пользователей ИСПД;
угрозы несанкционированного доступа, связанные с действиями нарушителей, не имеющих доступа к ИСПД, реализующих угрозы из внешних сетей связи общего пользования и(или) сетей международного информационного обмена.

Разработанная модель угроз утверждается руководителем.

4. На основании утвержденной модели угроз ИСПД необходимо разработать требования по обеспечению безопасности ПД при их обработке в ИСПД. Требования, как и модель угроз, - это самостоятельный документ, который должен быть утвержден руководителем организации.

Для разработки модели угроз и требований оператору целесообразно привлекать специалистов организаций-лицензиатов ФСТЭК.

5. Инструкции в части обеспечения безопасности ПД при их обработке в ИСПД.

Мы рассмотрели только основные организационно-распорядительные документы. Помимо перечисленных документов необходимо составить Акт классификации ИСПД, Технический паспорт ИСПД, Электронный журнал регистрации обращений пользователей ИСПД на получение ПД, Регламент разграничения прав доступа, приказы о назначении лиц, работающих с ИСПД и т.п.

Кроме того, до проведения всех мероприятий по защите ПД оператор должен назначить должностное лицо или (если ИСПД достаточно велика) структурное подразделение, ответственные за обеспечение безопасности ПД. Решение о назначении оформляется приказом руководителя. Задачи, функции и полномочия должностного лица ( подразделения ), ответственного за обеспечение безопасности ПД, определяются внутренними организационно-распорядительными документами (должностными инструкциями, регламентами).

Применительно к основным типам информационных систем разработаны типовые модели угроз безопасности ПДн, характеризующие наступление различных видов последствий в результате несанкционированного или случайного доступа и реализации угрозы в отношении персональных данных. Всего таких моделей шесть и описаны они в документе ФСТЭК России «Базовая модель»:

типовая модель угроз безопасности ПДн, обрабатываемых в автоматизированных рабочих местах, не имеющих подключения к сетям общего пользования и (или) сетям международного информационного обмена;

типовая модель угроз безопасности ПДн, обрабатываемых в автоматизированных рабочих местах, имеющих подключения к сетям общего пользования и (или) сетям международного информационного обмена;

типовая модель угроз безопасности ПДн, обрабатываемых в локальных ИСПДн, не имеющих подключения к сетям общего пользования и (или) сетям международного информационного обмена;

типовая модель угроз безопасности ПДн, обрабатываемых в локальных ИСПДн, имеющих подключения к сетям общего пользования и (или) сетям международного информационного обмена;

типовая модель угроз безопасности ПДн, обрабатываемых в распределенных ИСПДн, не имеющих подключения к сетям общего пользования и (или) сетям международного информационного обмена;

типовая модель угроз безопасности ПДн, обрабатываемых в распределенных ИСПДн, имеющих подключения к сетям общего пользования и (или) сетям международного информационного обмена.

Угрозы безопасности информации (УБИ) определяются по результатам оценки возможностей (потенциала, оснащенности и мотивации) внешних и 8 внутренних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (конфиденциальности, целостности, доступности).

Модель угроз безопасности информации представляет собой формализованное описание угроз безопасности информации для конкретной информационной системы или группы информационных систем в определенных условиях их функционирования.

3. Методика и порядок выполнения работы.

На данном практическом занятии студенты выполняют следующие задания:

3.1. Изучают категории нарушителей, описанные в документе ФСТЭК России «Базовая модель».Для конкретной информационной системы определяют перечень вероятных нарушителей ИСПДн с учетом всех исключений.Результаты записывают в таблицу (см. таблицу 2).

3.2. Изучают модели безопасности, описанные в документе ФСТЭК России «Базовая модель». Составляют перечень всех возможных угроз по документу ФСТЭК России «Базовая модель». Результаты записывают в таблицу, см. пример 1.

Таблица 3.

Перечень всех возможных угроз безопасности ПДн.

Возможные угрозы безопасности ПДн

1. Угрозы от утечки по техническим каналам

1.1. Угрозы утечки акустической информации

1.2. Угрозы утечки видовой информации

1.3. Угрозы утечки информации по каналам ПЭМИН

2. Угрозы несанкционированного доступа к информации

2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации путем физического доступа к элементам ИСПДн

2.1.1. Кража ПЭВМ

2.1.2. Кража носителей информации

2.1.3. Кража ключей и атрибутов доступа

2.1.4. Кражи, модификации, уничтожения информации

2.1.5. Вывод из строя узлов ПЭВМ, каналов связи

2.1.6. Несанкционированный доступ к информации при техническом обслуживании (ремонте, уничтожении) узлов ПЭВМ

2.1.7. Несанкционированное отключение средств защиты

2.2. Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий)

2.2.1. Действия вредоносных программ (вирусов)

2.2.3. Установка ПО, не связанного с исполнением служебных обязанностей

2.3. Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и систем защиты ПДн в ее составе из-за сбоев в программном обеспечении, а также от сбоев аппаратуры, из-за ненадежности элементов, сбоев электропитания и стихийного (ударов молний, пожаров, наводнений и т. п.) характера

2.3.1. Утрата ключей и атрибутов доступа

2.3.2. Непреднамеренная модификация (уничтожение) информации сотрудниками

2.3.3. Непреднамеренное отключение средств защиты

2.3.4. Выход из строя аппаратно-программных средств

2.3.5. Сбой системы электроснабжения

2.3.6. Стихийное бедствие

2.4. Угрозы преднамеренных действий внутренних нарушителей

2.4.1. Доступ к информации, копирование, модификация, уничтожение, лицами, не допущенными к ее обработке

2.4.2. Разглашение информации, копирование, модификация, уничтожение сотрудниками, допущенными к ее обработке

2.5.Угрозы несанкционированного доступа по каналам связи

2.5.1.Угроза «Анализ сетевого трафика» с перехватом передаваемой из ИСПДн и принимаемой из внешних сетей информации:

2.5.1.1. Перехват за переделами с контролируемой зоны

2.5.1.2. Перехват в пределах контролируемой зоны внешними нарушителями

2.5.1.3.Перехват в пределах контролируемой зоны внутренними нарушителями.

2.5.2.Угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др.

2.5.3.Угрозы выявления паролей по сети

2.5.4.Угрозы навязывание ложного маршрута сети

2.5.5.Угрозы подмены доверенного объекта в сети

2.5.6.Угрозы внедрения ложного объекта как в ИСПДн, так и во внешних сетях

2.5.7.Угрозы типа «Отказ в обслуживании»

Владивосток, 201_ г.

Обозначения и сокращения. 3

Заказчик и исполнитель. 4

1. Общие положения. 5

2. Описание информационной системы.. 7

3. Описание угроз Наим системы 8

3.1. Модель нарушителя. 8

3.2. Обобщённые возможности источников атак Наим системы.. 13

3.3. Актуальность использования возможностей нарушителя и направлений атак. 16

3.4. Описание возможных уязвимостей в НАИМ СИСТЕМЫ 22

3.5. Угрозы безопасности информации НАИМ СИСТЕМЫ 25

3.5.1. Угрозы утечки по техническим каналам.. 26

3.5.2. Угрозы НСД к ПДн в НАИМ СИСТЕМЫ 29

3.6. Определение актуальности угроз безопасности информации НАИМ СИСТЕМЫ 73

3.6.1. Исходный уровень защищённости. 73

3.6.2. Алгоритм определения актуальных УБИ.. 74

3.6.3. Актуальность УБИ.. 75

3.6.4. Перечень актуальных угроз. 83

Источники разработки. 87

Обозначения и сокращения

АРМ	Автоматизированное рабочее место
АС	Аппаратные средства
ВТСС	Вспомогательные технические средства и системы
ИС	Информационная система
КЗ	Контролируемая зона
НСД	Несанкционированный доступ
ОС	Операционная система
ПДн	Персональные данные
ПО	Программное обеспечение
ПЭМИН	Побочные электромагнитные излучения и наводки
СВТ	Средство вычислительной техники
СЗИ	Средство защиты информации
СКЗИ	Система криптографической защиты информации
СФ	Среда функционирования
УБИ	Угроза безопасности информации
ФСБ	Федеральная служба безопасности
ФСТЭК	Федеральная служба по техническому и экспортному контролю

Заказчик и исполнитель

Адрес: адрес орг.

Исполнителем работ является: Общество с ограниченной ответственностью «Системы информационной безопасности» (сокращенное наименование - ООО «СИБ»).

Адрес: 630009, г. Новосибирск, ул. Добролюбова, 16.

Общие положения

Настоящая модель определяет актуальные угрозы безопасности данных при их обработке в информационной системе Наим орг сокращ и должна использоваться при задании требований к системе защиты информации указанной информационной системы.

Настоящая модель угроз разработана на основании данных Аналитического отчёта по обследованию государственной информационной системы «Наим сист» Департамента образования и науки Приморского края и Банка данных угроз безопасности информации ФСТЭК России.

Для разработки модели угроз ГИС Наим орг сокращ использовались следующие нормативные и методические документы, стандарты:

1. Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

3. Приказ ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну содержащихся в государственных информационных системах»;

4. Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 г. «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

5. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утверждена Заместителем директора ФСТЭК России 15 февраля 2008г.);

6. Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности информации персональных данных, актуальные при обработке персональных данных информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности, утверждены руководством 8 центра ФСБ России 31 марта 2015 года № 149/7/2/6-432;

7. Приказ ФСБ России от 10.07. 2014 г. № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности ПДн при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищённости» (зарегистрировано в Минюсте России 18.08.2014 г. № 33620);

8. Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утверждена Заместителем директора ФСТЭК России 14 февраля 2008г.).

Модель угроз формируется и утверждается оператором и может быть пересмотрена:

· по решению оператора на основе периодически проводимых им анализа и оценки угроз безопасности данных с учетом особенностей и (или) изменений конкретной информационной системы;

· по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности данных при их обработке в информационной системе.

Принципы формирования модели угроз:

· безопасность защищаемой информации в ИС обеспечивается с помощью системы защиты информации;

· защищаемая информация обрабатывается и хранится в ИС с использованием определенных информационных технологий и технических средств, порождающих объекты защиты различного уровня, атаки на которые создают прямые и косвенные угрозы защищаемой информации;

· система защиты данных не может обеспечить защиту информации от действий, выполняемых в рамках предоставленных субъекту полномочий.

В модели угроз представлено описание ИС и её структурно – функциональных характеристик, состава и режима обработки защищаемой информации, определение уровня защищённости ИС, описание угроз безопасности информации.

Описание угроз безопасности информации включает:

· описание возможностей нарушителя (модель нарушителя);

· описание возможных уязвимостей ИС;

· способы реализации угроз;

· оценку вероятности (возможности) реализации угроз;

· оценку степени и вида ущерба от реализации угроз;

· определение актуальности УБИ.

Описание информационной системы

Система представляет собой клиент-серверную информационную систему. В качестве СУБД в НАИМ СИСТЕМЫ используется MSQL-2008. Технически серверная часть данной информационной системы находится на сервере под управлением MSQL в Наим орг сокращ.

Клиентские части расположены на АРМ сотрудников Наим орг сокращ.

Вставить из аналитики

Описание угроз НАИМ СИСТЕМЫ Наим орг сокращ

Модель нарушителя

Источниками угроз НСД в ИС могут быть:

· Нарушитель;

· Носитель вредоносной программы;

· Аппаратная закладка.

Нарушитель безопасности ПДн определяется, как физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности ПДн при их обработке техническими средствами в информационных системах.

В Наим орг сокращ всех нарушителей можно классифицировать следующим образом - по наличию права постоянного или разового доступа в КЗ.

По данной классификации они подразделяются на два типа:

· Нарушители, не имеющие доступа в КЗ, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена – внешние нарушители;

· Нарушители, имеющие доступ в КЗ и (или) данным, хранящимся в ИС - внутренние нарушители;

Внешними нарушителями для реализации угроз безопасности информации в ИС Наим орг сокращ могут быть:

· Криминальные структуры;

· Недобросовестные партнёры;

· Внешние субъекты (физические лица).

Внешний нарушитель имеет следующие возможности:

· Осуществлять НСД к каналам связи, выходящим за пределы служебных помещений;

· Осуществлять НСД через АРМ, подключённые к сетям связи общего пользования и (или) сетям международного информационного обмена;

· Осуществлять НСД к информации с использованием специальных программных воздействий посредством программных вирусов, вредоносных программ, алгоритмических или программных закладок;

· Осуществлять НСД через элементы информационной инфраструктуры ИС, которые в процессе своего жизненного цикла (модернизации, сопровождения, ремонта, утилизации) оказываются за пределами КЗ;

· Осуществлять НСД через ИС взаимодействующих ведомств, организаций и учреждений при их подключении к ИС.

Возможности внутреннего нарушителя существенным образом зависят от действующих в пределах КЗ режимных и организационно – технических мер защиты, в том числе по допуску физических лиц к ПДн и контролю порядка проведения работ.

Внутренние потенциальные нарушители подразделяются на восемь категорий в зависимости от способа доступа и полномочий доступа к ПДн.

К первой категории (И1) относятся лица, имеющие санкционированный доступ к ИС, но не имеющие доступа к ПДн. К этому типу нарушителей относятся должностные лица, обеспечивающие нормальное функционирование ИС.

· иметь доступ к фрагментам информации, содержащей ПДн и распространяющейся по внутренним каналам связи ИС;

· располагать фрагментами информации о топологии ИС (коммуникационной части подсети) и об используемых коммуникационных протоколах и их сервисах;

· располагать именами и вести выявление паролей зарегистрированных пользователей;

· изменять конфигурацию технических средств ИС, вносить в нее программно-аппаратные закладки и обеспечивать съём информации, используя непосредственное подключение к техническим средствам ИС.

· обладает всеми возможностями лиц первой категории;

· знает, по меньшей мере, одно легальное имя доступа;

· обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн;

· располагает конфиденциальными данными, к которым имеет доступ.

· обладает всеми возможностями лиц первой и второй категорий;

· располагает информацией о топологии ИС на базе локальной и распределенной информационных систем, через которую он осуществляет доступ, и составе технических средств ИС;

· имеет возможность прямого (физического) доступа к фрагментам технических средств ИС.

· обладает полной информацией о системном и прикладном программном обеспечении, используемом в - сегменте (фрагменте) ИС;

· обладает полной информацией о технических средствах и конфигурации сегмента (фрагмента) ИС;

· имеет доступ к средствам защиты информации и протоколирования, а также к отдельным элементам, используемым в сегменте (фрагменте) ИС;

· имеет доступ ко всем техническим средствам сегмента (фрагмента) ИС;

· обладает правами конфигурирования и административной настройки некоторого подмножества технических средств сегмента (фрагмента) ИС.

· обладает всеми возможностями лиц предыдущих категорий;

· обладает полной информацией о системном и прикладном программном обеспечении ИС;

· обладает полной информацией о технических средствах и конфигурации ИС;

· имеет доступ ко всем техническим средствам обработки информации данным ИС;

· обладает правами конфигурирования и административной настройки технических средств ИС.

· обладает всеми возможностями лиц предыдущих категорий;

· обладает полной информацией об ИС;

· имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИС;

· не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных).

· обладает информацией об алгоритмах и программах обработки информации на ИС;

· обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИС на стадии ее разработки, внедрения и сопровождения;

· может располагать любыми фрагментами информации о топологии ИС и технических средствах обработки и защиты данных, обрабатываемых в ИС.

· обладает возможностями внесения закладок в технические средства ИС на стадии их разработки, внедрения и сопровождения;

· может располагать любыми фрагментами информации о топологии ИС и технических средствах обработки и защиты информации в ИС.

В следующей таблице приведён сводный перечень внутренних потенциальных нарушителей и наличие их в Наим орг сокращ:

Таблица 3.1.1.

Из числа потенциальных нарушителей безопасности информации Наим орг сокращ исключаются нарушители категории И5 и И6. Данные пользователи осуществляют техническое обслуживание, как общесистемных средств ИС, так и специальных средств защиты информации, включая их настройку, конфигурирование, распределение паролей и ключевой документации между пользователями, поэтому они назначаются из числа особо проверенных и доверенных лиц. Они имеют полный доступ ко всем настройкам сети и подсистем защиты информации на случай необходимости их восстановления, обновления систем и т.п. (т.к. должны иметь возможность отключения СЗИ для выполнения определенных мероприятий). Эффективность всей системы безопасность информации зависит от действий этих пользователей, поэтому устанавливать системы защиты от них было бы нецелесообразно, в связи с ее сложностью и низкой эффективностью. Вместе с тем, нельзя не учитывать, что контроль за деятельностью привилегированных пользователей и оценка их эффективности осуществляется в ходе оценки соответствия ИС по требованиям безопасности при проведении аттестации и проверок со стороны регулирующих органов, а также со стороны правоохранительных органов.

Таким образом, потенциальными нарушителями безопасности информации в Наим орг сокращ принимаются:

1. Внешние нарушители;

Актуальность УБИ

Для каждой угрозы рассчитан коэффициент реализуемости угрозы и определён показатель опасности угрозы.