Информационная безопасность (ИБ) – ключевой фактор, обеспечивающий качество бизнес-процессов организации. Реализованные угрозы ИБ способны остановить деятельность и причинить существенный ущерб. Непреднамеренные угрозы информационной безопасности, возникшие при отсутствии выраженной воли на причинение вреда, иногда оказываются наиболее опасными.
Типология угроз
Под угрозой информационной безопасности понимается преднамеренное или непреднамеренное действие, которое негативно влияет на информационную систему или хранящиеся в ней данные и от которого требуется профессионально организованная защита. Основным критерием, позволяющим отнести угрозу к категории случайных, не основанных на корыстных целях, становится случайность ее возникновения. За таким действием нет умысла причинить вред охраняемой информации, организовать ее утечку или уничтожение.
Выделяют следующие группы угроз информации, от которых требуется обеспечивать защиту:
- стихийные бедствия;
- аварии;
- сбои и отказы технических средств;
- программные ошибки;
- ошибки обслуживающего персонала.
Каждая группа угроз информации и ее отдельным свойствам имеет свою степень вероятности реализации и размер ущерба. Оценка этих параметров позволяет выработать оптимальный механизм защиты информации.
Стихийные бедствия и аварии – угрозы природного происхождения
Наводнения, землетрясения, пожары способны полностью уничтожить оборудование и носители информации. Хранение данных на удаленном сервере и их резервное копирование позволяют частично минимизировать угрозы и обеспечить защиту данных.
При выстраивании системы защиты от этого типа угроз информационной безопасности стоит учитывать, что ущерб от стихийных бедствий не всегда покрывается страховыми компаниями. Известен случай, когда компании было отказано в возмещении стоимости оборудования и информации, уничтоженных ливневыми дождями, которые были признаны не стихийным бедствием, а чрезвычайным природным событием.
Аварии и аналогичные техногенные угрозы ИБ могут привести к гибели оборудования и информации с тем же успехом, что и стихийные бедствия, защита от них становится задачей служб безопасности инженерных служб. Пожары от загоревшейся проводки и подтопление оборудования из-за аварии водопровода становятся частыми причинами утраты информации. При размещении информации на сторонних облачных серверах и невозможности личного контроля за состоянием помещения, в котором расположены серверы, хранящие информацию, необходимо требовать от провайдера гарантии защищенности оборудования от техногенных угроз.
Сбои и отказы технических средств
Эта группа угроз информационной безопасности может причинить существенный ущерб, но редко становится причиной полной гибели информации. Чаще страдает такое ее свойство, как доступность. Защита от угроз требует высокой компетентности технических служб.
Сбои и отказы могут происходить:
- на серверах и рабочих станциях;
- в системах электропитания;
- в периферийных устройствах;
- на линиях связи.
Своевременная профилактика состояния оборудования, программный мониторинг работоспособности элементов системы помогут избежать реализации этого риска утраты информации.
Программные ошибки
Ошибки при написании программного кода или при разработке средств автоматизации могут привести к тому, что информация окажется утраченной или какое-то время будет недоступной. Эти ошибки относятся к уязвимостям, под ними понимается неудачные характеристики программы или информационной системы, существование которых делает возможным возникновение угрозы утраты информации.
Хакеры, реализуя внешние угрозы ИБ, нередко используют уязвимости для проникновения в информационную систему, не обладающую должной степенью защиты информации.
Программные ошибки делятся на группы:
- системные, возникшие из-за неправильного составления или выполнения ТЗ на разработку ПО;
- алгоритмические, когда разработчики неверно истолковали и реализовали алгоритмы, на которых основано ПО;
- программные, возникающие при написании кода программного обеспечения;
- технологические, возникающие в процессе подготовки программной документации или ее перевода, если программное обеспечение имеет зарубежное происхождение.
Возникновение таких ошибок, приводящих к утрате информации, часто связано с использованием нового программного обеспечения, не прошедшего апробацию на практике и не сертифицированного ФСТЭК РФ.
Ошибки пользователей и системных администраторов – угрозы субъективного характера
Это наиболее распространенный тип угроз информационной безопасности. Такие ошибки возникают более чем в 50% случаев.
Причины появления угроз сохранности информации:
- психофизические. Из-за усталости, болезни, нервного возбуждения, снижения работоспособности пользователи могут неверно использовать ПО;
- объективные. Их вызывают несовершенные модели представления данных, отсутствие регламентов, нормативной базы, инструкций, низкая квалификация персонала, устаревание или низкое качество аппаратно-программных средств, неудобство их эксплуатации;
- субъективные. Ошибки, вызванные невнимательностью, ленью, безответственностью сотрудников;
- системные. К этой категории относится выбор неверной архитектуры информационной системы, установка ненужных, конфликтующих между собой программ, которые затрудняют работу ИС.
Примеры субъективных ошибок, чаще всего генерируемых пользователями:
- случайная порча оборудования;
- случайное удаление файлов или папок, содержащих рабочую информацию или системных;
- случайное изменение режима работы программ или приложений;
- случайная порча носителей информации;
- случайное форматирование дисков;
- отказ от выключения рабочей станции из сети, приведший к ее выходу из строя;
- заражение компьютера или системы вирусами;
- случайное отключение антивируса;
- ввод ошибочных данных;
- использование зараженных вирусом носителей информации для сохранения сведений из системы;
- использование личных мобильных устройств для рабочих целей;
- отправка конфиденциальной информации по ошибочному адресу;
- установка и использование программ, не предусмотренных регламентами работы;
- утрата или необдуманная передача средств обеспечения дифференцированного доступа (паролей, электронных устройств – токенов);
- игнорирование требований рабочих регламентов.
Работа с такими ошибками должна сопровождаться обязательным резервным хранением информации, так как они могут привести к ее модификации, искажению, полному уничтожению.
Среди мер реагирования:
- установка программных продуктов, обеспечивающих «защиту от дурака»;
- установка систем мониторинга инцидентов информационной безопасности (SIEM- и DLP-системы);
- реализация модели дифференцированного доступа;
- максимальное ограничение привилегий;
- обучение пользователей и повышение квалификации персонала;
- создание нормативно-правовой базы, регламентирующей действия пользователей;
- использование только лицензионного ПО и своевременное его обновление;
- ведение журналов учета действий пользователей.
Выполнение этих условий обеспечит защиту от угроз утраты данных, сохранность информации и улучшит общее состояние защищенности информационной системы.
Случайность нарушения не позволит привлечь виновного сотрудника к материальной или уголовной ответственности за разглашение коммерческой тайны, но неосторожность или халатность станет основанием для дисциплинарного взыскания. Настройка системы контроля за действиями персонала со стороны службы безопасности и кадрового подразделения снизит риски реализации непреднамеренных угроз информационной безопасности.
11.06.2020
Что такое угроза ИБ?
Угроза информационной безопасности — это любая подозрительная активность, потенциально направленная на нарушение конфиденциальности, доступности, целостности ключевых информационных ресурсов.
Последствиями успешной атаки могут быть:
- прекращение работы организации;
- сбой систем управления;
- уничтожение данных.
Источником опасности могут быть как искусственные, так и естественные угрозы. Искусственные угрозы представляют собой умышленное причинение вреда, а естественные возникают в результате обстоятельств непреодолимой силы, при отсутствии умышленного мотива человека.
К искусственным источникам опасности традиционно относят две группы.
К первой относятся:
- хакерские группировки;
- конкуренты;
- криминальные организации;
- инсайдеры (внутренние пользователи с преступным мотивом).
Ко второй группе относят:
- ошибки в процессе обработки информации;
- ошибки пользователей;
- нелицензированное ПО;
- отключение системы защиты данных.
Естественные источники опасности классифицировать намного проще. К ним можно отнести любые действия, на которые не может повлиять человек. Например, стихийные природные явления.
Анализ информационной безопасности организации
Анализ состояния информационной безопасности (или оценка защищенности информационных систем) представляет собой структурированный повторяемый процесс, который помогает компаниям вовремя находить и устранять возникающие опасности. По результатам анализа формируются рекомендации, направленные на изменение внутренних процессов компании. Также анализ необходим для определения вероятности возникновения опасности и масштаба возможного ущерба.
Анализ информационной безопасности помогает понять, какой должна быть система защиты для дальнейшего ее проектирования, модернизации, внедрения необходимых средств защиты, что, в свою очередь, позволит обеспечить требуемый уровень защиты данных предприятия от неправомерного доступа. Существует несколько различных методологий, которые можно использовать при анализе защищенности. Давайте рассмотрим их подробнее.
1. Экспертная оценка.
Экспертная комиссия определяет те объекты, , которые будут включены в исследование, а также их параметры и характеристики.
Для полноценной оценки эффективности информационной безопасности предприятия специалисты собирают следующие данные:
- общие сведения об объекте автоматизаци;
- описание процессов обработки конфиденциальной информации;
- описание корпоративной информационной системы;
- описание информационной инфраструктуры;
- описание системы обеспечения безопасности информации (документация, организационные и технические меры, средства защиты).
На основе собранной информации специалисты оценивают потенциальные источники риска. Для каждого выявленного источника определяется вероятность возникновения угрозы и коэффициент важности.
2. Статистический анализ рисков.
Этот метод позволяет определить, в каких местах система наиболее уязвима. Однако для такого анализа необходимо иметь достаточно большой объем данных о ранее совершенных атаках.
3. Факторный анализ.
ИТ-специалисты выделяют основные факторы, которые качественно влияют на возникновение той или иной угрозы. Задача эксперта заключается в том, чтобы проанализировать системы предприятия и определить, какие уязвимости будут устранены, а какие можно будет пренебречь.
Читайте также: Узнайте, как выбрать подрядчика по ИБ
В рамках анализа состояния информационной безопасности специалист также определяет векторы атак или средства, с помощью которых потенциальный злоумышленник может нанести вред системе.
Примеры некоторых угроз:
- неготовность пользователей к фишинговым атакам;
- использование незащищенных беспроводных сетей;
- открытые USB-порты и возможность бесконтрольного использования съемных носителей;
- наличие устаревших версий компонентов
Важно понимать, что оценка информационной безопасности предприятия должна стать постоянным постоянным, периодически проводимым мероприятием. С каждым днем хакеры придумывают новые способы и методы кражи информации, появляются новые уязвимости.
Анализ безопасности систем будет особенно актуален при:
- критических ситуациях;
- слиянии, поглощении, присоединении, расширении компании;
- смене курса или концепции бизнеса;
- изменении в законодательстве;
- крупных изменениях в информационной структуре.
Оценка информационной безопасности
Процесс оценки системы обеспечения информационной безопасности может отличаться в зависимости от предприятия. Однако, ключевые этапы оценки должны быть воспроизводимыми, основанными на передовых отраслевых практиках и структурированными, чтобы обеспечить оценку всего масштаба систем и ее потенциальных уязвимостей.
Ниже приведены несколько существующих методов, используемые для оценки возможных угроз.
Моделирование информационных потоков
Процесс оценивания информационной безопасности с помощью моделирования информационных потоков позволит выявить:
- тенденции в поведении системы;
- возникновение потенциальных ошибок;
- масштаб уязвимостей;
- масштабы последствий от вероятной угрозы.
Предварительная оценка всей системы и выявление потенциальных рисков дает возможность эффективно принимать решения о мерах безопасности.
Моделирование угроз
При моделировании угроз обычно используют сочетание экспертного и факторного анализа. Специалисты тестируют все жизненно важные системы предприятия на наличие уязвимости. Такой анализ позволяет оценить вероятность возникновение угрозы и масштабы последствий. Кроме этого, моделирование угроз включает в себя поиск потенциальных источников опасности и способы их устранения.
Читайте также: Пентест VS Аудит ИБ: что эффективнее.
Поиск уязвимых зон
Для успешного анализа и оценки информационной безопасности, компании необходимо не только знать о потенциальных угрозах, но и оценивать степень их влияния на работу предприятия. Существует множество методов и способов поиска уязвимых зон. Ниже представлены две популярные методики, которые позволяют классифицировать атаки на всех этапах их возникновения.
Матрица угроз
Матрица угроз представляет собой сводную таблицу вероятности возникновения угроз и степени их влияния. Такая характеристика позволяет специалистам описывать все уязвимые места системы, типы угроз и возможные последствия, уменьшая при этом субъективный фактор. Другими словами, матрица угроз наглядно показывает количество потенциальных угроз. По результатам работ с матрицей организация сможет эффективно распределить свои ресурсы для защиты информационной безопасности от наиболее вероятных атак.
Деревья атак
Деревья атак или деревья ошибок — это структурированный и иерархический способ сбора возможных угроз. Дерево описывает возможную атаку и ее цель, связывая с целью атаки задачи злоумышленников, а также возможные способы реализации. Деревья атак могут использоваться либо в совокупности с другими инструментами анализа, либо как самостоятельный инструмент исследования.
Особенность деревьев атак заключается в том, что под каждый программный продукт компании эксперт выстраивает отдельное дерево атак. Таким образом, получается целая цепочка угроз, по которой хакеры могут “подниматься” для достижения свой цели.
Вероятность реализации угроз и масштаб ущерба
После анализа и оценки информационной безопасности компании специалисты смогут предвидеть вероятность реализации угрозы и масштаб возможного ущерба. Как правило, эксперты ссылаются на следующие данные:
- проведенные исследования;
- результаты анализа ИБ;
- данные по ранее проведенным атакам.
Специалисты определяют два основных вектора работы:
- Устранение последствий атаки, если она будет успешной.
- Принятие и проработка рисков.
Опираясь на статистические данные компаний, эксперты определяют уровень затрат производства на устранение последствий. Как правило, статистика собирается за несколько отчетных периодов. В них отражена реальные инциденты по утечкам данных, репутационные риски, эффективность систем защиты. С помощью собранной информации компания принимает решение по тем действиям, которые необходимо предпринять, чтобы обеспечить надлежащий уровень защиты.
При просчете рисков эксперты также обращают внимание на стоимость их устранения. В случае, если устранение риска превосходит предполагаемые потери, то некоторые компании предпочитают минимизировать возможные потери, а не полностью исключить подобный риск. Такой анализ помогает грамотно распределить бюджеты компании на защиту своих данных и избежать незапланированных расходов
Анализ и оценка информационной безопасности способствуют повышению осведомленности о степени защиты в компании. Работа по изучению потенциальных рисков и уязвимостей, а также действия по их минимизации позволяют повысить безопасность данных организации, ее сетей и серверов.
Вопросы:
1. Непреднамеренные угрозы безопасности информации
2. Преднамеренные угрозы безопасности информации
Эффективность
любой информационной системы в
значительной степени определяется
состоянием защищенности (безопасностью)
перерабатываемой в ней информации.
Безопасность
информации — состояние защищенности
информации при ее получении, обработке,
хранении, передаче и использовании от
различного вида угроз.
Источниками
угроз информации являются люди, аппаратные
и программные средства, используемые
при разработке и эксплуатации
автоматизированных систем (АС), факторы
внешней среды. Порождаемое
данными источниками множество угроз
безопасности информации можно разделить
на два класса: непреднамеренные и
преднамеренные.
Непреднамеренные
угрозы связаны главным образом со
стихийными бедствиями, сбоями и отказами
технических средств, а также с ошибками
в работе персонала и аппаратно-программных
средств. Реализация этого класса угроз
приводит, как правило, к нарушению
достоверности и сохранности информации
в АС, реже — к нарушению конфиденциальности,
однако при этом могут создаваться
предпосылки для злоумышленного
воздействия на информацию.
Угрозы второго
класса носят преднамеренный характер
и связаны с незаконными действиями
посторонних лиц и персонала АС. В общем
случае в зависимости от статуса по
отношению к АС злоумышленником может
быть: разработчик АС, пользователь,
постороннее лицо или специалисты,
обслуживающие эти системы.
Большие возможности
оказания вредительских воздействий на
информацию АС имеют специалисты,
обслуживающие эти системы.
Реализация угроз
безопасности информации приводит к
нарушению основных свойств информации:
достоверности, сохранности и
конфиденциальности
При этом объектами
воздействия угроз являются аппаратные
и программные средства, носители
информации (материальные носители,
носители-сигналы) и персонал АС.
Непреднамеренные
угрозы
Основными видами
непреднамеренных угроз являются:
стихийные бедствия и аварии, сбои и
отказы технических средств, ошибки в
комплексах алгоритмов и программ, ошибки
при разработке АС, ошибки пользователей
и обслуживающего персонала.
Стихийные
бедствия и аварии.
Примерами угроз этой группы могут
служить пожар, наводнение, землетрясение
и т. д. При их реализации АС, как правило,
подвергаются физическому разрушению,
при этом информация утрачивается, или
доступ к ней становится невозможен.
Сбои
и отказы технических средств.
К угрозам этой группы относятся сбои и
отказы аппаратных средств ЭВМ, сбои
систем электропитания, сбои кабельной
системы и т. д. В результате сбоев и
отказов нарушается работоспособность
технических средств, уничтожаются и
искажаются данные и программы, нарушается
алгоритм работы устройств. Нарушения
алгоритмов работы отдельных узлов и
устройств могут также привести к
нарушению конфиденциальности информации.
Вероятность сбоев и отказов технических
средств изменяется на этапах жизненного
цикла АС
Ошибки
при разработке АС и ошибки в комплексах
алгоритмов и программ
приводят к последствиям, аналогичным
последствиям сбоев и отказов технических
средств. Кроме того, такие ошибки могут
быть использованы злоумышленниками
для воздействия на ресурсы АС.
Ошибки в комплексах
алгоритмов и программ обычно классифицируют
на:
-
системные,
обусловленные неправильным пониманием
требований автоматизируемой задачи
АС и условий ее реализации; -
алгоритмические,
связанные с некорректной формулировкой
и программной реализацией алгоритмов; -
программные,
возникающие вследствие описок при
программировании на ЭВМ, ошибок при
кодировании информационных символов,
ошибок в логике машинной программы и
др.; -
технологические,
возникающие в процессе подготовки
программной документации и перевода
её во внутримашинную информационную
базу АС.
Вероятность данных
ошибок изменяется на этапах жизненного
цикла АС
Ошибки
пользователей и обслуживающего персонала.
По статистике на долю этой группы угроз
приходится более половины всех случаев
нарушения безопасности информации.
Ошибки
пользователей и обслуживающего персонала
определяются:
-
психофизическими
характеристиками человека (усталостью
и снижением работоспособности после
определенного времени работы, неправильной
интерпретацией используемых информационных
массивов); -
объективными
причинами (несовершенством моделей
представления информации, отсутствием
должностных инструкций и нормативов,
квалификацией персонала, несовершенством
комплекса аппаратно-программных
средств, неудачным расположением или
неудобной конструкцией их с точки
зрения эксплуатации); -
субъективными
причинами (небрежностью, безразличием,
несознательностью, безответственностью,
плохой организацией труда и др.).
Ошибки данной
группы приводят, как правило, к уничтожению,
нарушению целостности и конфиденциальности
информации.
Преднамеренные
угрозы
Угрозы этого класса
в соответствии с их физической сущностью
и механизмами реализации могут быть
распределены по пяти группам:
-
шпионаж и диверсии;
-
несанкционированный
доступ к информации; -
съем электромагнитных
излучений и наводок; -
несанкционированная
модификация структур; -
вредительские
программы.
Шпионаж
и диверсии.
Традиционные методы и средства шпионажа
и диверсий чаще всего используются для
получения сведений о системе защиты с
целью проникновения в АС, а также для
хищения и уничтожения информационных
ресурсов.
К таким методам
относятся:
-
подслушивание;
-
наблюдение;
-
хищение документов
и машинных носителей информации; -
хищение программ
и атрибутов системы защиты; -
подкуп и шантаж
сотрудников; -
сбор и анализ
отходов машинных носителей информации; -
поджоги;
-
взрывы.
Подслушивание
— один из наиболее древних методов
добывания информации. Подслушивание
бывает непосредственное и с помощью
технических средств. Непосредственное
подслушивание использует только слуховой
аппарат человека. В силу малой мощности
речевых сигналов разговаривающих людей
и значительного затухания акустической
волны в среде распространения
непосредственное подслушивание возможно
на небольшом расстоянии (единицы или в
лучшем случае при отсутствии посторонних
звуков — десятки метров). Поэтому для
подслушивания применяются различные
технические средства, позволяющие
получать информацию по техническим
каналам утечки акустической (речевой)
информации.
Технический
канал, утечки информации — совокупность
объекта, технического средства, с помощью
которого добывается информация об этом
объекте, и физической среды, в которой
распространяется информационный сигнал.
В зависимости от
физической природы возникновения
информационных сигналов, среды
распространения акустических колебаний
и способов их перехвата технические
каналы утечки акустической (речевой)
информации можно разделить на:
1) воздушные
2) вибрационные
3) электроакустические
4)
оптико-электронные
В
воздушных технических каналах утечки
информации средой распространения
акустических сигналов является воздух,
и для их перехвата используются
миниатюрные высокочувствительные
микрофоны и специальные направленные
микрофоны. Автономные устройства,
конструктивно объединяющие миниатюрные
микрофоны и передатчики, называют
закладными устройствами перехвата
речевой информации, или просто
акустическими закладками. Закладные
устройства делятся на проводные и
излучающие.
Проводные закладные устройства требуют
значительного времени на установку и
имеют существенный демаскирующий
признак — провода. Излучающие «закладки»
(«радиозакладки») быстро устанавливаются,
но также имеют демаскирующий признак
— излучение в радио или оптическом
диапазоне. «Радиозакладки» могут
использовать в качестве источника
электрические сигналы или акустические
сигналы. Примером
использования электрических сигналов
в качестве источника является применение
сигналов внутренней телефонной,
громкоговорящей связи. Наибольшее
распространение получили акустические
«радиозакладки». Они воспринимают
акустический сигнал, преобразуют его
в электрический и передают в виде
радиосигнала на определенные расстояния.
Из применяемых на практике «радиозакладок»
подавляющее большинство рассчитаны на
работу в диапазоне расстояний 50—800
метров.
В
вибрационных технических каналах утечки
информации средой распространения
акустических сигналов являются
конструкции зданий, сооружений (стены,
потолки, полы), трубы водоснабжения,
отопления, канализации и другие твердые
тела.
Для перехвата акустических колебаний
в этом случае используются контактные
микрофоны (стетоскопы). Контактные
микрофоны, соединенные с электронным
усилителем называют электронными
стетоскопами. Такие микрофоны, например,
позволяют прослушивать разговоры при
толщине стен до 50—100 см.
Электроакустические
технические каналы утечки информации
включают перехват акустических колебаний
через элементы, обладающие микрофонным
эффектом, а также путем высокочастотного
навязывания.
Под микрофонным
эффектом понимают эффект электроакустического
преобразования акустических колебаний
в электрические, характеризуемый
свойством элемента изменять свои
параметры (емкость, индуктивность,
сопротивление) под действием акустического
поля, создаваемого источником акустических
колебаний. Изменение параметров приводит
либо к появлению на данных элементах
электродвижущей силы, изменяющейся по
закону воздействующего информационного
акустического поля, либо к модуляции
токов, протекающих по этим элементам.
С этой точки зрения наибольшую
чувствительность к акустическому полю
имеют абонентские громкоговорители и
датчики пожарной сигнализации. Перехват
акустических колебаний в данном канале
утечки информации осуществляется путем
непосредственного подключения к
соединительным линиям специальных
высокочувствительных низкочастотных
усилителей. Например, подключая такие
средства к соединительным линиям
телефонных аппаратов с электромеханическими
вызывными звонками, можно прослушивать
разговоры, ведущиеся в помещениях, где
установлены эти аппараты.
Технический канал
утечки информации путем высокочастотного
навязывания может быть осуществлен с
помощью несанкционированного контактного
введения токов высокой частоты от
соответствующего генератора в линии
(цепи), имеющие функциональные связи с
нелинейными или параметрическими
элементами, на которых происходит
модуляция высокочастотного сигнала
информационным. В силу того, что нелинейные
или параметрические элементы для
высокочастотного сигнала, как правило,
представляют собой несогласованную
нагрузку, промодулированный высокочастотный
сигнал будет отражаться от нее и
распространяться в обратном направлении
по линии или излучаться. Для приема
излученных или отраженных высокочастотных
сигналов используются специальные
приемники с достаточно высокой
чувствительностью. Наиболее часто такой
канал утечки информации используется
для перехвата разговоров, ведущихся в
помещении, через телефонный аппарат,
имеющий выход за пределы контролируемой
зоны.
Оптико-электронный
(лазерный) канал утечки акустической
информации образуется при облучении
лазерным лучом вибрирующих в акустическом
поле тонких отражающих поверхностей
(стекол окон, картин, зеркал и т. д.).
Отраженное лазерное излучение (диффузное
или зеркальное) модулируется по амплитуде
и фазе (по закону вибрации поверхности)
и принимается приемником оптического
(лазерного) излучения, при демодуляции
которого выделяется речевая информация.
Причем лазер и приемник оптического
излучения могут быть установлены в
одном или разных местах (помещениях).
Для перехвата речевой информации по
данному каналу используются сложные
лазерные акустические локационные
системы, иногда называемые лазерными
микрофонами. Работают эти устройства,
как правило, в ближнем инфракрасном
диапазоне волн.
При
передаче информации по каналам связи
возможен ее перехват. В настоящее время
для передачи информации используют в
основном KB,
УКВ, радиорелейные, тропосферные и
космические каналы связи, а также
кабельные и волоконно-оптические линии
связи.
В
зависимости от вида каналов связи
технические каналы перехвата информации
можно разделить на:
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]
- #
- #
- #
- #
- #
- #
- #
- #
- #
- #
- #
#Информационная безопасность
Риски ИБ
Риск информационной безопасности — это вероятность возникновения негативного события, которое нанесет ущерб организации или физическому лицу. Применительно к сфере информационной безопасности (ИБ) выделяют следующие последствия:
- Утечка конфиденциальных данных в организации
- Внешние атаки на информационные системы компании
- Действия неблагонадежных сотрудников (человеческий фактор)
- Доступ к потенциально опасным объектам во внешней сети
- Получение информации при помощи технических средств
- Вредоносное ПО (трояны, бэкдоры, блокировщики, шифраторы и т. д.)
- Использование нелицензионных программных решений, зачастую содержащие не декларируемые возможности
Аудит информационной безопасности
Утечка данных в большинстве случаев связана с непониманием сотрудников возможных последствий при нарушении правил ИБ. Пример: рассылка коммерческой информации через незащищенный канал связи.
Сетевые атаки, как правило, проводятся с целью воровства коммерческой тайны, шпионажа за конкурентами, вывода из строя критически важных для жертвы ресурсов и пр.
Человеческий фактор включает в себя не только ошибки сотрудников, но и умышленные действия, которые приводят к распространению конфиденциальной информации.
К опасным объектам относятся сайты, содержащие фишинговые скрипты, зловредное ПО или другие средства, которые нарушают информационную безопасность физического или юридического лица. К примеру, сотрудник зашел на веб-ресурс, созданный мошенниками, и оставил аутентификационные данные, которые в дальнейшем будут использоваться для шантажа.
Один из самых опасных типов вирусного ПО — шифровальщики. Они, например, могут зашифровать все важные служебные данные на компьютерах сотрудников. За дешифровку злоумышленники обычно требуют выкуп. Далеко не все антивирусные продукты способны обнаружить шифровальщика и тем более расшифровать зараженный файлы.
Инциденты ИБ могут сильно повредить бюджету и репутации компании, вплоть до банкротства. Для того, чтобы минимизировать вероятность инцидентов, проводится комплекс превентивных мероприятий, направленных на снижение рисков — аудит ИБ.
Аудит подразумевает анализ текущей ситуации в компании и выявление уязвимостей в ИТ-инфраструктуре. Разрабатывается концепция информационной безопасности объекта. Она включает в себя нормативные документы, политику информационной безопасности, а также приоритезацию рисков. Для повышения уровня ИБ применяют организационные и технические средства.
ОЦЕНКА УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Автор раздела:
Павел Евгеньевич Голосов
В УСЛОВИЯХ МАССОВОГО ПЕРЕХОДА НА УДАЛЕННУЮ РАБОТУ*
ОЦЕНКА УГРОЗ ИНФОРМАЦИ-ОННОЙ БЕЗОПАСНОСТИ
*В разделе были использованы материалы компании «АйТи Бастион», компании «Инфосистемы Джет», института экономики математики и информационных технологий (ЭМИТ) РАНХиГС, Центра подготовки руководителей цифровой трансформации ВШГУ РАНХиГС.
Массовый и быстрый переход в режим самоизоляции вынудил организации оперативно предоставить сотрудникам удаленный доступ к информационным системам и взаимодействовать с ними в режиме веб-конференций гораздо чаще, чем раньше. Обнаружилось, что организационные и технические меры информационной безопасности отстают по времени. В разделе собран обобщенный анализ возникающих угроз, приведены рекомендации, как их нейтрализовать.
Основные сценарии удаленной работы требуют доступа пользователя, работающего из дома, к ресурсам корпоративной сети, облака, видеоконференциям. В каждом случае необходимо конкретное программное обеспечение для удаленной работы.
В ряде организаций давно налажена удаленная работа, действует политика информационной безопасности, сформированы регламенты обучения, предоставления сотрудникам технических, программных средств, позволяющих обеспечивать приемлемый уровень безопасности данных.
В условиях удаленного доступа к ресурсам организации возможно следующее типовое решение:
- VPN-клиент на рабочее место;
- шлюз удаленного доступа в периметр компании;
- многофакторная аутентификация для пользователей;
- доступ в режиме терминала к ресурсам в рамках защищенных подключений;
- контроль поведения пользователей и ведение журнала их действий;
- антивирусная защита рабочих мест;
- специальный контроль трафика от пользователей;
- дополнительная защита почты от фишинговых сообщений.
Типичными угрозами являются взлом и заражение сети. Они возможны, если имеют место следующие обстоятельства:
- ошибки настройки устройств доступа (компьютеров), в результате которых они оказываются незащищенными полностью или частично;
- использование концепции Bring Your Own Device, когда пользователи либо подключаются со своих не-доверенных устройств к корпоративным ресурсам, либо используют корпоративные компьютеры, но в домашних условиях;
- недостаточная защита конечных устройств пользователей, в том числе случаи их утраты, хищения;
- ошибки настройки шлюза, который используется для доступа в корпоративную сеть, некорректные решения, связанные с публикацией корпоративных сервисов, пользование облачными сервисами, находящимися вне доверенной среды;
- отсутствие контроля доступа к ресурсам организации, когда нет доверия только к идентификатору и аутентификатору (паролю) пользователя и нет возможности различить, кто именно работает; нужен второй фактор и дополнительное профилирование поведения пользователей по вторичным признакам — например, по поведению (концепция User Behavior Analytics);
- недостаточно строгие политики информационной безопасности для контроля трафика пользователей, в том числе при работе с конфиденциальными данными, ненадежные пароли для удаленного доступа;
- недостаточный контроль за трафиком, который передается с условно «домашних» устройств обратно в корпоративную среду, поскольку существует возможность проникновения с помощью программных средств и несанкционированного воздействия (ПСНВ);
- отсутствие системы контроля утечек при несанкционированном копировании информации по злому умыслу или случайно с корпоративных ресурсов; передача информации злоумышленникам.
Доверенной средой считается ИТ-периметр организации, охваченный системами и средствами безопасности. Доверенные устройства — устройства, зарегистрированные в доверенной среде.
7.1 Удаленный доступ: угрозы и противодействие
Любой удаленный доступ, на практике — это расширение периметра, так как в инфраструктуре компании появляются новые подключения извне. Личные станции, на которых работают пользователи и с которых обращаются к корпоративной системе, могут быть недостаточно защищены, могут быть заранее скомпрометированы, физически утеряны или целенаправленно украдены.
К типичным угрозам непосредственно на домашнем рабочем месте пользователя, можно отнести следующие:
- проникновение вирусов из дома в офисную сеть, сетевая или вирусная атака на системы в периметре, например атака вируса-шифровальщика.
- заражение документов, обрабатываемых на рабочих местах пользователей;
- заражение компьютеров пользователей из-за недостаточных СЗИ, установленных у них на местах, и работы с потенциально открытой или потенциально зараженной информацией;
- утечка данных из организации через рабочие места пользователей даже при контроле копирования на внешние носители, например, можно сфотографировать информацию на экране;
- недостаточно строгая аутентификация пользователей на рабочих местах (например, доступ без пароля или с очень простым паролем);
- утеря/воровство конечного оборудования либо данных;
- проникновение в периметр; например, ребенок делает уроки на компьютере, случайно сохраняет или удаляет документы на сервере организации;
- проблемы связи: для удаленной работы необходима связность, много соединений могут исчерпать полосу канала или возможности оборудования (dos, denial of service — отказ в обслуживании);
- распространение личной информации сотрудников: где они расположены, их график работы, присутствия, возможностей, — информация становится доступной для наблюдения и использования лицами, для которых она не предназначена.
Как информация организации становится доступна на конечных устройствах, так и наоборот, возможен удаленный доступ к личной информации с удаленных рабочих мест. Это может представлять личные риски для здоровья и качества жизни сотрудников и их близких.
Например, если школьники занимаются удаленно, они массово регистрируются на всевозможных сервисах для конференцсвязи и регулярно ими пользуются. Это вызывает заметные риски утечек персональных данных в контексте ФЗ-152 «О персональных данных». Даже просто по объему использования сервисы дистантного обучения становятся ГИС (государственными информационными системами). Кроме того, активное использование видеосвязи приводит к раскрытию достатка и сбору информации о присутствии родителей. Таким образом, нынешний формат дистанционного обучения чреват не только рисками утечек информации, но и вполне реальными угрозами потери имущества.
Пользователь имеет полный физический доступ к устройству, установленному у него дома, может получить доступ к файловой системе устройства и скопировать туда/оттуда информацию. Также к устройству будет иметь доступ и его окружение (члены его семьи, например). В силу указанных рисков рекомендуется выдавать пользователям права на удаленный доступ вместе с оборудованием, которое предварительно настроено с соблюдением необходимых стандартов и практик безопасности. Установка обновлений, средств защиты, отсутствие у оператора административных прав, пломбы, препятствующие вскрытию, — это все хорошие практики для повышения безопасности.
Если выдача спецоборудования для доступа в периметр нецелесообразна или такой возможности просто нет, стоит применять средства доступа со встроенным контролем защищенности со стороны пользователя или требовать, чтобы пользователь обзавелся актуальными средствами защиты.
В связи с экстренным режимом перехода в режим изоляции будут оправданы дополнительные меры контроля активности пользователя:
- заблаговременное ограничение доступа к межсетевому экрану;
- введение средств документирования действий (например, при удаленном доступе администраторов) или онлайн-мониторинга;
- ограничение доступа к данным только узкими «текущими рамками» (до абсолютно необходимого минимума);
- использование средств, базой для которых является инфраструктура организации, а не на открытые облачные системы; популярные облачные решения, как правило, могут размещаться за границей, что приводит к потере контроля за накапливаемыми там данными.
- проведение инспекции всей номенклатуры используемых сотрудниками гаджетов — от персональных компьютеров до мобильных устройств, от почтовых программ до мессенджеров и удобных «браузерных» программ (приложений и сервисов, запускаемых через веб-браузер) всех видов;
- сокращение времени, которое сотрудники проводят в соцсетях во время выполнения должностных обязанностей;
- встречный контроль, получение согласований на изменения или доступ.
В любом случае предоставлять удаленному сотруднику доступ «везде» по умолчанию — плохая идея.
Регулятор — Федеральная служба по техническому и экспортному контролю, Центральный Банк, Национальный координационный центр по компьютерным инцидентам предлагают подходы, призванные обеспечить надежный режим удаленного пользования инфраструктурой и данными организаций.
Информационное письмо о мерах по обеспечению киберустойчивости и информационной безопасности в условиях распространения новой коронавирусной инфекции (COVID-19) // Банк России.
Центральный Банк рекомендует финансовым организациям обеспечить применение технологий виртуальных частных сетей, многофакторной аутентификации, терминального доступа (по возможности), а также мониторинг и контроль действий пользователей удаленного мобильного доступа.
ФСТЭК России рекомендует не допускать использование сотрудниками личных средств вычислительной техники, в том числе портативных мобильных средств вычислительной техники (ноутбуков, компьютеров, телефонов). Кроме того, регулятор рекомендует определить перечень информационных ресурсов, к которым будет предоставляться удаленный доступ, назначить минимально необходимые права пользователям, исключить возможность эксплуатации удаленных рабочих мест посторонними лицами, обеспечить двухфакторную аутентификацию работников, а также организовать защищенный доступ к серверам с помощью VPN-клиентов в комбинации с антивирусной защитой.
В таблице 1 представлены в общих чертах представлены угрозы, связанные с переходом в режим удаленной работы, далее они будут рассмотрены более подробно.
Таблица 1
Оценка возникающих угроз, рекомендации по минимизации последствий
7.2 Экспертные мнения о вопросах удаленного доступа
Стандартным архитектурным решением для организации удаленного доступа является организация одного или нескольких узлов удаленного доступа с использованием сертифицированных средств защиты: криптографической защиты сетевых потоков (VPN), межсетевого экрана, средства систем обнаружения вторжений (IDS, intrusion detection system, система обнаружения вторжений). На внешние станции, которым дается право на удаленный доступ, как правило, также устанавливаются средства защиты: антивирусные средства, средства контроля возможных вторжений. Имеет смысл принять меры по контролю известных уязвимостей, выстроить процессы обеспечения информационной безопасности, в данном случае объектами пристального внимания должны стать жизненный цикл учетных записей, паролей, ключей доступа к VPN, обновление программного обеспечения, проверка на уязвимости.
Сотрудники службы безопасности выполняют необходимые организационные меры по управлению и учету подобных доступов, проверку работы и необходимых настроек на средствах защиты, устанавливают и контролируют порядок действий при тех или иных инцидентах, угрожающих безопасности. В системе есть привилегированные исполнители (администраторы, разработчики), которые участвуют в управлении конфигурацией. Как правило, для слежения за их действиями применяются специальные средства контроля. Для охраны информации применяются дополнительные средства предотвращения утечек (DLP), расположенные как в инфраструктуре, так и на рабочих станциях сотрудников, в том числе работающих удаленно. Реализация мероприятий в полном соответствии с требованиями регулятора требует затрат, тем более если к системе подключено много пользователей извне.
Существует несколько вариантов аппаратных и программных решений. Это может быть доступ через web-access, через удаленный рабочий стол, защита протоколов удаленного доступа.
7.3 Резюме
Итак, в данном разделе представлен сложный комплекс мероприятий, которые целесообразно проводить заранее, часть из них подразумевают регулярное исполнение. Рекомендуем использовать VPN-подключения. Производители коммерческих продуктов предлагают VPN-решения для доступа. Лучше выбирать продукты, которые сертифицированы и одобрены регуляторами. Если такой возможности нет, допустимо установить коммерческие решения, но только те, которые хорошо известны ответственному специалисту по ИБ в организации. Если в компании есть профильные специалисты, отвечающие за инфраструктуру и безопасность, возможно применять бесплатные решения для организации VPN-подключений, например OpenVPN или его аналоги. Специалисты должны будут обеспечить их грамотное развертывание, эксплуатацию и необходимые организационные мероприятия по управлению доступом и ключами.
Если в организации налажен процессный подход к моделированию угроз, реализации и модернизации используемых моделей, ситуация неопределенности просто не возникает, и организация в целом легко перестраивается с учетом нового формата взаимодействия как с контрагентами, так и подрядчиками, а также и своими сотрудниками, внедряет новые методы защиты (VPN, антивирус, DLP, аутентификацию, инспекцию потоков, мониторинг, контроль), ориентируясь на изменившуюся модель угроз.
Соответственно, недостаточно принять собственно меры, перечисленные в данном разделе, рекомендуется обратить внимание на системный подход к стандартизации и популяризации моделей защиты крупных и малых организаций и внедрить указанные модели на уровне отраслевых стандартов, назначить персональных ответственных за систему организации защиты. Также важно наладить образовательный процесс, с тем чтобы все сотрудники понимали, что такое системный подход к защите информации.
Это поможет справиться с новыми задачами, возникшими сейчас, в условиях кризиса, но и с любыми изменениями, которые возникнут в будущем.
Угрозы можно
классифицировать по нескольким критериям:
-
по
аспекту информационной безопасности
(доступность, целостность,
конфиденциальность), против которого
угрозы направлены в первую очередь; -
по
компонентам информационных систем,
на которые угрозы нацелены (данные,
программы, аппаратура, поддерживающая
инфраструктура); -
по
способу осуществления
(случайные/преднамеренные действия
природного/техногенного характера); -
по
расположению источника угроз
(внутри/вне рассматриваемой ИС).
Необходимость
классификации угроз ИБ АС обусловлена
тем, что архитектура современных средств
автоматизированной обработки информации,
организационное, структурное и
функциональное построение
информационно-вычислительных систем
и сетей, технологии и условия
автоматизированной обработки информации
такие, что накапливаемая, хранимая и
обрабатываемая информация подвержена
случайным влияниям чрезвычайно большого
числа факторов, в силу чего становится
невозможным формализовать задачу
описания полного множества угроз. Как
следствие, для защищаемой системы
определяют не полный перечень угроз, а
перечень классов угроз.
Классификация
всех возможных угроз
информационной безопасности
АС может быть проведена по ряду базовых
признаков.
1. По природе возникновения.
1.1. Естественные
угрозы-угрозы, вызванные
воздействиями на АС и ее компоненты
объективных физических процессов или
стихийных природных явлений, независящих
от человека.
1.2. Искусственные
угрозы— угрозы информационной
безопасности АС, вызванные деятельностью
человека.
2.
По степени
преднамеренности проявления.
2.1. Угрозы
случайного действия и/или угрозы,
вызванные ошибками или халатностью
персонала. Например:
-
проявление
ошибок программно-аппаратных средств
АС; -
некомпетентное использование, настройка
или неправомерное отключение средств
защиты персоналом службы безопасности; -
неумышленные действия, приводящие к
частичному или полному отказу системы
или разрушению аппаратных, программных,
информационных ресурсов системы
(неумышленная порча оборудования,
удаление, искажение файлов с важной
информацией или программ, в том числе
системных и т. п.); -
неправомерное включение оборудования
или изменение режимов работы устройств
и программ; -
неумышленная
порча носителей информации; -
пересылка
данных по ошибочному адресу абонента
(устройства); -
ввод
ошибочных данных; -
неумышленное
повреждение каналов связи.
2.2. Угрозы
преднамеренного действия(например,
угрозы действий злоумышленника для
хищения информации).
3.
По
непосредственному источнику угроз.
3.1. Угрозы,
непосредственным источником которых
является природная среда(стихийные
бедствия, магнитные бури, радиоактивное
излучение и т.п.).
3.2. Угрозы,
источником которых является человек:
-
внедрение агентов в число персонала
системы (в том числе, возможно, и в
административную группу, отвечающую
за безопасность); -
вербовка (путем подкупа, шантажа и т.п.)
персонала или отдельных пользователей,
имеющих определенные полномочия; -
угроза несанкционированного копирования
секретных данных пользователем АС; -
разглашение, передача или утрата
атрибутов разграничения доступа
(паролей, ключей шифрования,
идентификационных карточек, пропусков
и т.п.).
3.3. Угрозы,
непосредственным источником которых
являются санкционированные
программно-аппаратные средства:
-
запуск технологических программ,
способных при некомпетентном пользовании
вызывать потерю работоспособности
системы (зависания) или зацикливания)
или необратимые изменения в системе
(форматирование или реструктуризацию
носителей информации, удаление данных
и т. п.); -
возникновение
отказа в работе операционной системы.
3.4. Угрозы,
непосредственным источником которых
являются несанкционированные
программно-аппаратные средства:
-
нелегальное внедрение и использование
неучтенных программ (игровых, обучающих,
технологических и др., не являющихся
необходимыми для выполнения нарушителем
своих служебных обязанностей) с
последующим необоснованным расходованием
ресурсов (загрузка процессора, захват
оперативной памяти и памяти на внешних
носителях); -
заражение
компьютера вирусами с деструктивными
функциями.
4.
По положению
источника угроз.
4.1. Угрозы,
источник которых расположен вне
контролируемой зоны территории
(помещения), на которой находится АС:
-
перехват побочных электромагнитных,
акустических и других излучений
устройств и линий связи, а также наводок
активных излучений на вспомогательные
технические средства, непосредственно
не участвующие в обработке информации
(телефонные линии, сети питания, отопления
и т. п.); -
перехват данных, передаваемых по каналам
связи, и их анализ с целью выяснения
протоколов обмена, правил вхождения в
связь и авторизации пользователя и
последующих попыток их имитации для
проникновения в систему; -
дистанционная фото- и видеосъемка.
4.2. Угрозы,
источник которых расположен в пределах
контролируемой зоны территории
(помещения), на которой находится АС:
-
хищение производственных отходов
(распечаток, записей, списанных носителей
информации и т.п.); -
отключение или вывод из строя подсистем
обеспечения функционирования
вычислительных систем (электропитания,
охлаждения и вентиляции, линий связи
и т.д.); -
применение
подслушивающих устройств.
4.3. Угрозы,
источник которых имеет доступ к
периферийным устройства АС(терминалам).
4.4. Угрозы,
источник которых расположен в АС:
-
проектирование архитектуры системы и
технологии обработки данных, разработка
прикладных программ, которые представляют
опасность для работоспособности системы
и безопасности информации; -
некорректное
использование ресурсов АС.
5.
По степени
зависимости от активности АС.
5.1. Угрозы,
которые могут проявляться независимо
от активности АС:
-
вскрытие шифров криптозащиты информации;
-
хищение носителей информации (магнитных
дисков, лент, микросхем памяти,
запоминающих устройств и компьютерных
систем).
5.2. Угрозы, которые
могут проявляться только в процессе
автоматизированной обработки данных(например, угрозы выполнения и
распространения программных вирусов).
6.
По степени
воздействия на АС.
6.1. Пассивные
угрозы, которые при реализации
ничего не меняют в структуре и содержании
АС (угроза копирования секретных данных).
6.2. Активные
угрозы, которые при воздействии
вносят изменения в структуру и содержание
АС:
-
внедрение аппаратных спецвложений,
программных «закладок» и «вирусов»
(«троянских коней» и «жучков»),
т.е. таких участков программ, которые
не нужны для выполнения заявленных
функций, но позволяют преодолеть систему
защиты, скрытно и незаконно осуществить
доступ к системным ресурсам с целью
регистрации и передачи критической
информации или дезорганизации
функционирования системы; -
действия по дезорганизации функционирования
системы (изменение режимов работы
устройств или программ, забастовка,
саботаж персонала, постановка мощных
активных радиопомех на частотах работы
устройств системы и т.п.); -
угроза умышленной модификации информации.
7.
По этапам
доступа пользователей или программ к
ресурсам АС.
7.1. Угрозы,
которые могут проявляться на этапе
доступа к ресурсам АС(например,
угрозы несанкционированного доступа
в АС).
7.2. Угрозы,
которые могут проявляться после
разрешения доступа к ресурсам АС(например, угрозы несанкционированного
или некорректного использования ресурсов
АС).
8.
По способу
доступа к ресурсам АС.
8.1. Угрозы,
направленные на использование прямого
стандартного пути доступа к ресурсам
АС:
-
незаконное получение паролей и других
реквизитов разграничения доступа
(агентурным путем, используя халатность
пользователей, подбором, имитацией
интерфейса системы и т.д.) с последующей
маскировкой под зарегистрированного
пользователя («маскарад»); -
несанкционированное использование
терминалов пользователей, имеющих
уникальные физические характеристики,
такие как номер рабочей станции в сети,
физический адрес, адрес в системе связи,
аппаратный блок кодирования и т.п.
8.2. Угрозы,
направленные на использование скрытого
нестандартного пути доступа к ресурсам
АС:
-
вход в систему в обход средств защиты
(загрузка посторонней опера ционной
системы со сменных магнитных носителей
и т.п.); -
угроза несанкционированного доступа
к ресурсам АС путем использования
недокументированных возможностей ОС.
9. По
текущему месту расположения информации,
хранимой и обрабатываемой в АС.
9.1. Угрозы
доступа к информации на внешних
запоминающих устройства(например,
угроза несанкционированного копирования
секретной информации с жесткого диска).
9.2. Угрозы
доступа к информации в оперативной
памяти:
-
чтение остаточной информации из
оперативной памяти; -
чтение информации из областей оперативной
памяти, используемых операционной
системой (в том числе подсистемой
защиты) или другими пользователями, в
асинхронном режиме, используя недостатки
мультизадачных АС и систем программирования; -
угроза доступа к системной области
оперативной памяти со сторон прикладных
программ.
9.3. Угрозы
доступа к информации, циркулирующей в
линиях связи:
-
незаконное подключение к линиям связи
с целью работы во время пауз в действиях
законного пользователя от его имени с
вводом ложных сообщений или модификацией
передаваемых сообщений; -
незаконное подключение к линиям связи
с целью прямой подмены законного
пользователя путем его физического
отключения после входа в систему и
успешной аутентификации с последующим
вводом дезинформации и навязыванием
ложных сообщений; -
перехват всего потока данных с целью
дальнейшего анализа не в реальном
масштабе времени.
9.4. Угрозы
доступа к информации, отображаемой на
терминале или печатаемой на принтере(например, угроза записи отображаемой
информации на скрытую видеокамеру). Вне
зависимости от конкретных видов угроз
или их проблемно-ориентированной
классификации АС удовлетворяет
потребности эксплуатирующих ее лиц,
если обеспечиваются следующие свойства
информации систем ее обработки.
В качестве основного
критерия будем использовать первый (по
аспекту ИБ), привлекая при необходимости
остальные.
Угроза доступности
(отказа
служб)
возникает всякий раз, когда в результате
преднамеренных действий, предпринимаемых
другим пользователем или злоумышленником,
блокируется доступ к некоторому ресурсу
вычислительной системы. Реально
блокирование может быть постоянным —
запрашиваемый ресурс никогда не будет
получен, или оно может вызывать только
задержку запрашиваемого ресурса,
достаточно долгую для того, чтобы он
стал бесполезным. В этих случаях говорят,
что ресурс исчерпан.
Доступность информации– свойство
системы (среды, средств и технологии
обработки), в которой циркулирует
информация, характеризующееся способностью
обеспечивать своевременный беспрепятственный
доступ субъектов к интересующей их
информации и готовность соответствующих
автоматизированных служб к обслуживанию
поступающих от субъектов запросов
всегда, когда возникает в этом
необходимость.
Самыми частыми и
самыми опасными (с точки зрения размера
ущерба) являются непреднамеренные
ошибкиштатных пользователей,
операторов, системных администраторов
и других лиц, обслуживающих ИС.
Иногда такие ошибки
и являются собственно угрозами
(неправильно введенные данные или ошибка
в программе, вызвавшая крах системы),
иногда они создают уязвимые места,
которыми могут воспользоваться
злоумышленники. По некоторым данным,
до 65% потерь – следствие непреднамеренных
ошибок.
Пожары и наводнения
не приносят столько бед, сколько
безграмотность и небрежность в работе.
Самый радикальный способ борьбы с
непреднамеренными ошибками – максимальная
автоматизация и строгий контроль.
Другие угрозы
доступностиклассифицируем покомпонентам ИС, на которые нацелены
угрозы:
-
отказ
пользователей; -
внутренний
отказ информационной
системы; -
отказ
поддерживающей инфраструктуры.
Обычно применительно
к пользователям рассматриваются
следующие угрозы:
-
нежелание
работать с информационной системой; -
невозможность
работать с системой в силу отсутствия
соответствующей подготовки (недостаток
компьютерной грамотности, неумение
интерпретировать диагностические
сообщения, неумение работать с
документацией); -
невозможность
работать с системой в силу отсутствия
технической поддержки (неполнота
документации, недостаток справочной
информации и т.п.).
Основными
источниками внутренних
отказов являются:
-
отступление
от установленных правил эксплуатации; -
выход
системы из штатного режима эксплуатации
в силу случайных или преднамеренных
действий пользователей или обслуживающего
персонала (превышение расчетного числа
запросов, чрезмерный объем обрабатываемой
информации и т.п.); -
ошибки
при (пере)конфигурировании системы; -
отказы
программного и аппаратного обеспечения; -
разрушение
данных; -
разрушение
или повреждение аппаратуры.
По
отношению к поддерживающей
инфраструктуре
рекомендуется рассматривать следующие
угрозы:
-
нарушение
работы (случайное или умышленное) систем
связи, электропитания, водо- и/или
теплоснабжения, кондиционирования; -
разрушение
или повреждение помещений; -
невозможность
или нежелание обслуживающего персонала
и/или пользователей выполнять свои
обязанности (гражданские беспорядки,
аварии на транспорте, террористический
акт или его угроза, забастовка и т.п.).
Весьма
опасны так называемые «обиженные»
сотрудники – нынешние
и бывшие (они стремятся нанести вред
организации-«обидчику», например:
испортить оборудование; встроить
логическую бомбу, которая со временем
разрушит программы и/или данные; удалить
данные). Необходимо следить за тем,
чтобы при увольнении сотрудника его
права доступа (логического и физического)
к информационным ресурсам аннулировались.
Опасны, разумеется,
стихийные бедствияи события,
воспринимаемые как стихийные бедствия,–
пожары, наводнения, землетрясения,
ураганы, по статистике, (среди которых
самый опасный – перебой электропитания)
приходится 13% потерь, нанесенных ИС.
Некоторые примеры
угроз доступности.
Угрозы доступности
могут выглядеть грубо – как повреждениеили даже разрушениеоборудования(в том числе носителей данных) и может
вызываться естественными причинами
(чаще всего – грозами). Опасны протечки
водопровода и отопительной системы, в
сильную жару, ломаются кондиционеры,
установленные в серверных залах, набитых
дорогостоящим оборудованием.
Общеизвестно, что
периодически необходимо производить
резервное копирование данных. Однако
даже если это предложение выполняется,
резервные носители обычно хранят
небрежно, не обеспечивая их защиту от
вредного воздействия окружающей среды.
Перейдем теперь
к программным атакам на доступность.
В качестве средства
вывода системы из штатного режима
эксплуатации может использоваться
агрессивное потребление ресурсов(обычно – полосы пропускания сетей,
вычислительных возможностей процессоров
или ОЗУ). По расположению источника
угрозы такоепотреблениеподразделяется
налокальное и удаленное.
При просчетах в конфигурации системы
локальная программа способна практически
монополизировать процессор и/или
физическую память, сведя скорость
выполнения других программ к нулю.
Простейший
пример удаленного потребления ресурсов
– атака, получившая наименование
«SYN-наводнение». Она представляет
собой попытку переполнить таблицу
«полуоткрытых» TCP-соединений сервера
(установление соединений начинается,
но не заканчивается), что приводит к
затруднению установление новых соединений
пользователей, то есть сервер блокируется.
По
отношению к атаке «Papa Smurf» уязвимы
сети, воспринимающие ping-пакеты с
широковещательными адресами. Ответы
на такие пакеты «съедают» полосу
пропускания.
Удаленное потребление
ресурсов в последнее время проявляется
в особенно опасной форме – как
скоординированные распределенные
атаки, когда на сервер с множества разных
адресов с максимальной скоростью
направляются вполне легальные запросы
на соединение и/или обслуживание.
Для выведения
систем из штатного режима эксплуатации
могут использоваться уязвимые места в
виде программных и аппаратных ошибок.
Например, известная
ошибка в процессоре Pentium I дает возможность
локальному пользователю путем выполнения
определенной команды «подвесить»
компьютер, так что помогает только
аппаратный RESET.
Программа
«Teardrop» удаленно «подвешивает»
компьютеры, эксплуатируя ошибку в сборке
фрагментированных IP-пакетов.
Угроза нарушения
целостности
включает в себя любое умышленное
изменение информации, хранящейся в
вычислительной системе или передаваемой
из одной системы в другую, в том числе
и несанкционированное изменение
информации при случайных ошибках
программного или аппаратного обеспечения.
Санкционированными изменениями являются
те, которые сделаны уполномоченными
лицами с обоснованной целью (например,
периодическая запланированная коррекция
некоторой базы данных).
Целостность информации — существование
информации в неискаженном виде (неизменном
по отношению к некоторому фиксированному
ее состоянию). Обычно субъектов интересует
обеспечение более широкого свойства –
достоверности информации, которое
складывается из адекватности (полноты
и точности) отображения состояния
предметной области и непосредственно
целостности информации, т.е. ее
неискаженности.
На втором месте
по размерам ущерба стоят кражи иподлоги. По данным газеты USA Today, еще
в 1992 году в результате подобных
противоправных действий с использованием
персональных компьютеров американским
организациям был нанесен общий ущерб
в размере 882 миллионов долларов. В наши
дни ущерб от такого рода действий вырос
многократно.
В большинстве
случаев виновниками оказывались штатные
сотрудники организаций, знакомые с
режимом работы и мерами защиты, что
подтверждает опасность внутренних
угроз, хотя им уделяют меньшее внимание,
чем внешним.
Существует различие
между статическойидинамической
целостностью. С целью нарушения
статической целостности злоумышленник
может:ввести неверные
данные; изменить данные.
Иногда
изменяются содержательные данные,
иногда – служебная информация.
Показательный случай нарушения
целостности имел место в 1996 году. Служащая
Oracle (личный секретарь вице-президента)
предъявила судебный иск, обвиняя
президента корпорации в незаконном
увольнении после того, как она отвергла
его ухаживания. В доказательство своей
правоты женщина привела электронное
письмо, якобы отправленное ее начальником
президенту. Содержание письма для нас
сейчас не важно; важно время отправки.
Дело в том, что вице-президент предъявил,
в свою очередь, файл с регистрационной
информацией компании сотовой связи, из
которого явствовало, что в указанное
время он разговаривал по мобильному
телефону, находясь вдалеке от своего
рабочего места. Таким образом, в суде
состоялось противостояние «файл
против файла». Очевидно, один из них
был фальсифицирован или изменен, то
есть была нарушена его целостность. Суд
решил, что подделали электронное письмо
(секретарша знала пароль вице-президента,
поскольку ей было поручено его менять),
и иск был отвергнут…
Угрозой целостности
является не только фальсификация или
изменение данных, но и отказ от совершенных
действий. Если нет средств обеспечить
«неотказуемость», компьютерные
данные не могут рассматриваться в
качестве доказательства.
Потенциально
уязвимы с точки зрения нарушения
целостностине толькоданные,
но ипрограммы. Внедрение рассмотренного
выше вредоносного ПО – пример подобного
нарушения.
Угрозами динамической
целостности являются нарушение
атомарности транзакций, переупорядочение,
кража, дублирование данных или внесение
дополнительных сообщений (сетевых
пакетов и т.п.). Соответствующие действия
в сетевой среде называются активным
прослушиванием.
Угроза нарушения
конфиденциальности
заключается в том, что информация
становится известной тому, кто не
располагает полномочиями доступа к
ней. Иногда, в связи с угрозой нарушения
конфиденциальности, используется термин
«утечка».
Конфиденциальность информации–
субъективно определяемая (приписываемая)
характеристика (свойство) информации,
указывающая н необходимость введения
ограничений на круг субъектов, имеющих
доступ к данной информации, и обеспечиваемая
способностью системы (среды) сохранять
указанную информацию в тайне от субъектов,
не имеющих полномочий доступа к ней.
Объективные предпосылки подобного
ограничения доступности информации
для одних субъектов заключены в
необходимости защиты их законных
интересов от других субъектов
информационных отношений.
Конфиденциальную
информацию можно разделить на предметную
и служебную. Служебная информация
(например, пароли пользователей) не
относится к определенной предметной
области, в информационной системе она
играет техническую роль, но ее раскрытие
особенно опасно, поскольку оно чревато
получением несанкционированного доступа
ко всей информации, в том числе предметной.
Многим людям
приходится выступать в качестве
пользователей не одной, а целого ряда
систем (информационных сервисов). Если
для доступа к таким системам используются
многоразовые пароли или иная
конфиденциальная информация, то наверняка
эти данные будут храниться не только в
голове, но и в записной книжке или на
листках бумаги, которые пользователь
часто оставляет на рабочем столе, а то
и попросту теряет. И дело здесь не в
неорганизованности людей, а в изначальной
непригодности парольной схемы. Невозможно
помнить много разных паролей; рекомендации
по их регулярной смене только усугубляют
положение, заставляя применять несложные
схемы чередования или стараться свести
дело к двум-трем легко запоминаемым
паролям.
Описанный класс
уязвимых мест можно назвать размещением
конфиденциальных данных в среде, где
им не обеспечена необходимая защита.
Угроза же состоит в том, что кто-то не
откажется узнать секреты, которые сами
просятся в руки. Помимо паролей, хранящихся
в записных книжках пользователей, в
этот класс попадает передача
конфиденциальных данных в открытом
виде (в разговоре, в письме, по сети),
которая делает возможным перехват
данных. Для атаки могут использоваться
разные технические средства (подслушивание
или прослушивание разговоров, пассивное
прослушивание сети и т.п.), но идея одна
– получить доступ к данным в тот момент,
когда они наименее защищены.
Угрозу перехвата
данных следует принимать во внимание
не только при начальном конфигурировании
ИС, но и, что очень важно, при всех
изменениях. Еще
один пример изменения, о котором часто
забывают, – хранение данных на резервных
носителях. Для защиты данных на основных
носителях применяются развитые системы
управления доступом; копии же нередко
просто лежат в шкафах и получить доступ
к ним могут многие.
Перехват данных
– очень серьезная угроза, и если
конфиденциальность действительно
является критичной, а данные передаются
по многим каналам, их защита может
оказаться весьма сложной и дорогостоящей.
Технические средства перехвата хорошо
проработаны, доступны, просты в
эксплуатации, а установить их, например
на кабельную сеть, может кто угодно, так
что эту угрозу нужно принимать во
внимание по отношению не только к
внешним, но и к внутренним коммуникациям.
Кражи оборудования
являются угрозой не только для резервных
носителей, но и для компьютеров, особенно
портативных. Часто ноутбуки оставляют
без присмотра на работе или в автомобиле,
иногда просто теряют.
Опасной нетехнической
угрозой конфиденциальности являются
методы морально-психологического
воздействия, такие какмаскарад– выполнение действий под видом лица,
обладающего полномочиями для доступа
к данным
К неприятным
угрозам, от которых трудно защищаться,
можно отнести злоупотребление
полномочиями. На многих типах систем
привилегированный пользователь (например
системный администратор) способен
прочитать любой (незашифрованный) файл,
получить доступ к почте любого пользователя
и т.д. Другой пример – нанесение ущерба
при сервисном обслуживании. Обычно
сервисный инженер получает неограниченный
доступ к оборудованию и имеет возможность
действовать в обход программных защитных
механизмов.
Таковы основные
угрозы, которые наносят наибольший
ущерб субъектам информационных отношений.
На современном
этапе развития информационных технологий
под системы или функции защиты являются
неотъемлемой частью комплекса по
обработке информации. Информация не
представляется «в чистом виде», на
пути к ней имеется хотя бы какая-нибудь
система защиты, и поэтому чтобы угрожать,
атакующая сторона должна преодолеть
эту систему. Однако не существует
абсолютно стойкой системы защиты, вопрос
лишь во времени и средствах, требующихся
на ее преодоление. Исходя из данных
условий, примем следующую модель: защита
информационной системы считается
преодоленной, если в ходе ее исследования
определены все уязвимости системы.
Поскольку преодоление защиты также
представляет собой угрозу, для защищенных
систем будем рассматривать ее четвертый
вид — угрозу
раскрытия параметров АС,
включающей в себя систему защиты. С
точки зрения практики любое проводимое
мероприятие предваряется этапом
разведки, в ходе которого определяются
основные параметры системы, её
характеристики, в результате чего
уточняется поставленная задача и
выбираются оптимальные технические
средства.
Угрозу раскрытия
можно рассматривать как опосредованную.
Последствия ее реализации не причиняют
какой-либо ущерб обрабатываемой
информации, но дают возможность
реализоваться первичным или непосредственным
угрозам, перечисленным выше.
ОЦЕНКА УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Автор раздела:
Павел Евгеньевич Голосов
В УСЛОВИЯХ МАССОВОГО ПЕРЕХОДА НА УДАЛЕННУЮ РАБОТУ*
ОЦЕНКА УГРОЗ ИНФОРМАЦИ-ОННОЙ БЕЗОПАСНОСТИ
*В разделе были использованы материалы компании «АйТи Бастион», компании «Инфосистемы Джет», института экономики математики и информационных технологий (ЭМИТ) РАНХиГС, Центра подготовки руководителей цифровой трансформации ВШГУ РАНХиГС.
Массовый и быстрый переход в режим самоизоляции вынудил организации оперативно предоставить сотрудникам удаленный доступ к информационным системам и взаимодействовать с ними в режиме веб-конференций гораздо чаще, чем раньше. Обнаружилось, что организационные и технические меры информационной безопасности отстают по времени. В разделе собран обобщенный анализ возникающих угроз, приведены рекомендации, как их нейтрализовать.
Основные сценарии удаленной работы требуют доступа пользователя, работающего из дома, к ресурсам корпоративной сети, облака, видеоконференциям. В каждом случае необходимо конкретное программное обеспечение для удаленной работы.
В ряде организаций давно налажена удаленная работа, действует политика информационной безопасности, сформированы регламенты обучения, предоставления сотрудникам технических, программных средств, позволяющих обеспечивать приемлемый уровень безопасности данных.
В условиях удаленного доступа к ресурсам организации возможно следующее типовое решение:
- VPN-клиент на рабочее место;
- шлюз удаленного доступа в периметр компании;
- многофакторная аутентификация для пользователей;
- доступ в режиме терминала к ресурсам в рамках защищенных подключений;
- контроль поведения пользователей и ведение журнала их действий;
- антивирусная защита рабочих мест;
- специальный контроль трафика от пользователей;
- дополнительная защита почты от фишинговых сообщений.
Типичными угрозами являются взлом и заражение сети. Они возможны, если имеют место следующие обстоятельства:
- ошибки настройки устройств доступа (компьютеров), в результате которых они оказываются незащищенными полностью или частично;
- использование концепции Bring Your Own Device, когда пользователи либо подключаются со своих не-доверенных устройств к корпоративным ресурсам, либо используют корпоративные компьютеры, но в домашних условиях;
- недостаточная защита конечных устройств пользователей, в том числе случаи их утраты, хищения;
- ошибки настройки шлюза, который используется для доступа в корпоративную сеть, некорректные решения, связанные с публикацией корпоративных сервисов, пользование облачными сервисами, находящимися вне доверенной среды;
- отсутствие контроля доступа к ресурсам организации, когда нет доверия только к идентификатору и аутентификатору (паролю) пользователя и нет возможности различить, кто именно работает; нужен второй фактор и дополнительное профилирование поведения пользователей по вторичным признакам — например, по поведению (концепция User Behavior Analytics);
- недостаточно строгие политики информационной безопасности для контроля трафика пользователей, в том числе при работе с конфиденциальными данными, ненадежные пароли для удаленного доступа;
- недостаточный контроль за трафиком, который передается с условно «домашних» устройств обратно в корпоративную среду, поскольку существует возможность проникновения с помощью программных средств и несанкционированного воздействия (ПСНВ);
- отсутствие системы контроля утечек при несанкционированном копировании информации по злому умыслу или случайно с корпоративных ресурсов; передача информации злоумышленникам.
Доверенной средой считается ИТ-периметр организации, охваченный системами и средствами безопасности. Доверенные устройства — устройства, зарегистрированные в доверенной среде.
7.1 Удаленный доступ: угрозы и противодействие
Любой удаленный доступ, на практике — это расширение периметра, так как в инфраструктуре компании появляются новые подключения извне. Личные станции, на которых работают пользователи и с которых обращаются к корпоративной системе, могут быть недостаточно защищены, могут быть заранее скомпрометированы, физически утеряны или целенаправленно украдены.
К типичным угрозам непосредственно на домашнем рабочем месте пользователя, можно отнести следующие:
- проникновение вирусов из дома в офисную сеть, сетевая или вирусная атака на системы в периметре, например атака вируса-шифровальщика.
- заражение документов, обрабатываемых на рабочих местах пользователей;
- заражение компьютеров пользователей из-за недостаточных СЗИ, установленных у них на местах, и работы с потенциально открытой или потенциально зараженной информацией;
- утечка данных из организации через рабочие места пользователей даже при контроле копирования на внешние носители, например, можно сфотографировать информацию на экране;
- недостаточно строгая аутентификация пользователей на рабочих местах (например, доступ без пароля или с очень простым паролем);
- утеря/воровство конечного оборудования либо данных;
- проникновение в периметр; например, ребенок делает уроки на компьютере, случайно сохраняет или удаляет документы на сервере организации;
- проблемы связи: для удаленной работы необходима связность, много соединений могут исчерпать полосу канала или возможности оборудования (dos, denial of service — отказ в обслуживании);
- распространение личной информации сотрудников: где они расположены, их график работы, присутствия, возможностей, — информация становится доступной для наблюдения и использования лицами, для которых она не предназначена.
Как информация организации становится доступна на конечных устройствах, так и наоборот, возможен удаленный доступ к личной информации с удаленных рабочих мест. Это может представлять личные риски для здоровья и качества жизни сотрудников и их близких.
Например, если школьники занимаются удаленно, они массово регистрируются на всевозможных сервисах для конференцсвязи и регулярно ими пользуются. Это вызывает заметные риски утечек персональных данных в контексте ФЗ-152 «О персональных данных». Даже просто по объему использования сервисы дистантного обучения становятся ГИС (государственными информационными системами). Кроме того, активное использование видеосвязи приводит к раскрытию достатка и сбору информации о присутствии родителей. Таким образом, нынешний формат дистанционного обучения чреват не только рисками утечек информации, но и вполне реальными угрозами потери имущества.
Пользователь имеет полный физический доступ к устройству, установленному у него дома, может получить доступ к файловой системе устройства и скопировать туда/оттуда информацию. Также к устройству будет иметь доступ и его окружение (члены его семьи, например). В силу указанных рисков рекомендуется выдавать пользователям права на удаленный доступ вместе с оборудованием, которое предварительно настроено с соблюдением необходимых стандартов и практик безопасности. Установка обновлений, средств защиты, отсутствие у оператора административных прав, пломбы, препятствующие вскрытию, — это все хорошие практики для повышения безопасности.
Если выдача спецоборудования для доступа в периметр нецелесообразна или такой возможности просто нет, стоит применять средства доступа со встроенным контролем защищенности со стороны пользователя или требовать, чтобы пользователь обзавелся актуальными средствами защиты.
В связи с экстренным режимом перехода в режим изоляции будут оправданы дополнительные меры контроля активности пользователя:
- заблаговременное ограничение доступа к межсетевому экрану;
- введение средств документирования действий (например, при удаленном доступе администраторов) или онлайн-мониторинга;
- ограничение доступа к данным только узкими «текущими рамками» (до абсолютно необходимого минимума);
- использование средств, базой для которых является инфраструктура организации, а не на открытые облачные системы; популярные облачные решения, как правило, могут размещаться за границей, что приводит к потере контроля за накапливаемыми там данными.
- проведение инспекции всей номенклатуры используемых сотрудниками гаджетов — от персональных компьютеров до мобильных устройств, от почтовых программ до мессенджеров и удобных «браузерных» программ (приложений и сервисов, запускаемых через веб-браузер) всех видов;
- сокращение времени, которое сотрудники проводят в соцсетях во время выполнения должностных обязанностей;
- встречный контроль, получение согласований на изменения или доступ.
В любом случае предоставлять удаленному сотруднику доступ «везде» по умолчанию — плохая идея.
Регулятор — Федеральная служба по техническому и экспортному контролю, Центральный Банк, Национальный координационный центр по компьютерным инцидентам предлагают подходы, призванные обеспечить надежный режим удаленного пользования инфраструктурой и данными организаций.
Информационное письмо о мерах по обеспечению киберустойчивости и информационной безопасности в условиях распространения новой коронавирусной инфекции (COVID-19) // Банк России.
Центральный Банк рекомендует финансовым организациям обеспечить применение технологий виртуальных частных сетей, многофакторной аутентификации, терминального доступа (по возможности), а также мониторинг и контроль действий пользователей удаленного мобильного доступа.
ФСТЭК России рекомендует не допускать использование сотрудниками личных средств вычислительной техники, в том числе портативных мобильных средств вычислительной техники (ноутбуков, компьютеров, телефонов). Кроме того, регулятор рекомендует определить перечень информационных ресурсов, к которым будет предоставляться удаленный доступ, назначить минимально необходимые права пользователям, исключить возможность эксплуатации удаленных рабочих мест посторонними лицами, обеспечить двухфакторную аутентификацию работников, а также организовать защищенный доступ к серверам с помощью VPN-клиентов в комбинации с антивирусной защитой.
В таблице 1 представлены в общих чертах представлены угрозы, связанные с переходом в режим удаленной работы, далее они будут рассмотрены более подробно.
Таблица 1
Оценка возникающих угроз, рекомендации по минимизации последствий
7.2 Экспертные мнения о вопросах удаленного доступа
Стандартным архитектурным решением для организации удаленного доступа является организация одного или нескольких узлов удаленного доступа с использованием сертифицированных средств защиты: криптографической защиты сетевых потоков (VPN), межсетевого экрана, средства систем обнаружения вторжений (IDS, intrusion detection system, система обнаружения вторжений). На внешние станции, которым дается право на удаленный доступ, как правило, также устанавливаются средства защиты: антивирусные средства, средства контроля возможных вторжений. Имеет смысл принять меры по контролю известных уязвимостей, выстроить процессы обеспечения информационной безопасности, в данном случае объектами пристального внимания должны стать жизненный цикл учетных записей, паролей, ключей доступа к VPN, обновление программного обеспечения, проверка на уязвимости.
Сотрудники службы безопасности выполняют необходимые организационные меры по управлению и учету подобных доступов, проверку работы и необходимых настроек на средствах защиты, устанавливают и контролируют порядок действий при тех или иных инцидентах, угрожающих безопасности. В системе есть привилегированные исполнители (администраторы, разработчики), которые участвуют в управлении конфигурацией. Как правило, для слежения за их действиями применяются специальные средства контроля. Для охраны информации применяются дополнительные средства предотвращения утечек (DLP), расположенные как в инфраструктуре, так и на рабочих станциях сотрудников, в том числе работающих удаленно. Реализация мероприятий в полном соответствии с требованиями регулятора требует затрат, тем более если к системе подключено много пользователей извне.
Существует несколько вариантов аппаратных и программных решений. Это может быть доступ через web-access, через удаленный рабочий стол, защита протоколов удаленного доступа.
7.3 Резюме
Итак, в данном разделе представлен сложный комплекс мероприятий, которые целесообразно проводить заранее, часть из них подразумевают регулярное исполнение. Рекомендуем использовать VPN-подключения. Производители коммерческих продуктов предлагают VPN-решения для доступа. Лучше выбирать продукты, которые сертифицированы и одобрены регуляторами. Если такой возможности нет, допустимо установить коммерческие решения, но только те, которые хорошо известны ответственному специалисту по ИБ в организации. Если в компании есть профильные специалисты, отвечающие за инфраструктуру и безопасность, возможно применять бесплатные решения для организации VPN-подключений, например OpenVPN или его аналоги. Специалисты должны будут обеспечить их грамотное развертывание, эксплуатацию и необходимые организационные мероприятия по управлению доступом и ключами.
Если в организации налажен процессный подход к моделированию угроз, реализации и модернизации используемых моделей, ситуация неопределенности просто не возникает, и организация в целом легко перестраивается с учетом нового формата взаимодействия как с контрагентами, так и подрядчиками, а также и своими сотрудниками, внедряет новые методы защиты (VPN, антивирус, DLP, аутентификацию, инспекцию потоков, мониторинг, контроль), ориентируясь на изменившуюся модель угроз.
Соответственно, недостаточно принять собственно меры, перечисленные в данном разделе, рекомендуется обратить внимание на системный подход к стандартизации и популяризации моделей защиты крупных и малых организаций и внедрить указанные модели на уровне отраслевых стандартов, назначить персональных ответственных за систему организации защиты. Также важно наладить образовательный процесс, с тем чтобы все сотрудники понимали, что такое системный подход к защите информации.
Это поможет справиться с новыми задачами, возникшими сейчас, в условиях кризиса, но и с любыми изменениями, которые возникнут в будущем.
Угрозы информационной (компьютерной) безопасности — это различные действия, которые могут привести к нарушениям состояния защиты информации. Другими словами, это — потенциально возможные события, процессы или действия, которые могут нанести ущерб информационным и компьютерным системам.
Угрозы ИБ можно разделить на два типа: естественные и искусственные. К естественным относятся природные явления, которые не зависят от человека, например ураганы, наводнения, пожары и т.д. Искусственные угрозы зависят непосредственно от человека и могут быть преднамеренными и непреднамеренными. Непреднамеренные угрозы возникают из-за неосторожности, невнимательности и незнания. Примером таких угроз может быть установка программ, не входящих в число необходимых для работы и в дальнейшем нарушающих работу системы, что и приводит к потере информации. Преднамеренные угрозы, в отличие от предыдущих, создаются специально. К ним можно отнести атаки злоумышленников как извне, так и изнутри компании. Результат реализации этого вида угроз — потери денежных средств и интеллектуальной собственности организации.
Классификация угроз информационной безопасности
В зависимости от различных способов классификации все возможные угрозы информационной безопасности можно разделить на следующие основные подгруппы.
- Нежелательный контент.
- Несанкционированный доступ.
- Утечки информации.
- Потеря данных.
- Мошенничество.
- Кибервойны.
- Кибертерроризм.
Нежелательный контент — это не только вредоносный код, потенциально опасные программы и спам (т.е. то, что непосредственно создано для уничтожения или кражи информации), но и сайты, запрещенные законодательством, а также нежелательные ресурсы с информацией, не соответствующей возрасту потребителя.
Источник: международное исследование EY в области информационной безопасности «Путь к киберустойчивости: прогноз, сопротивление, ответная реакция», 2016 год
Несанкционированный доступ — просмотр информации сотрудником, который не имеет разрешения пользоваться ею, путем превышения должностных полномочий. Несанкционированный доступ приводит к утечке информации. В зависимости от того, каковы данные и где они хранятся, утечки могут организовываться разными способами, а именно через атаки на сайты, взлом программ, перехват данных по сети, использование несанкционированных программ.
Утечки информации можно разделять на умышленные и случайные. Случайные утечки происходят из-за ошибок оборудования, программного обеспечения и персонала. Умышленные, в свою очередь, организовываются преднамеренно с целью получить доступ к данным, нанести ущерб.
Потерю данных можно считать одной из основных угроз информационной безопасности. Нарушение целостности информации может быть вызвано неисправностью оборудования или умышленными действиями людей, будь то сотрудники или злоумышленники.
Не менее опасной угрозой является мошенничество с использованием информационных технологий («фрод»). К мошенничеству можно отнести не только манипуляции с кредитными картами («кардинг») и взлом онлайн-банка, но и внутренний фрод. Целями этих экономических преступлений являются обход законодательства, политики безопасности или нормативных актов, присвоение имущества.
Ежегодно по всему миру возрастает террористическая угроза, постепенно перемещаясь при этом в виртуальное пространство. На сегодняшний день никого не удивляет возможность атак на автоматизированные системы управления технологическими процессами (АСУ ТП) различных предприятий. Но подобные атаки не проводятся без предварительной разведки, для чего применяется кибершпионаж, помогающий собрать необходимые данные. Существует также такое понятие, как «информационная война»; она отличается от обычной войны тем, что в качестве оружия выступает тщательно подготовленная информация.
Источник угроз информационной безопасности
Нарушение режима информационной безопасности может быть вызвано как спланированными операциями злоумышленников, так и неопытностью сотрудников. Пользователь должен иметь хоть какое-то понятие об ИБ, вредоносном программном обеспечении, чтобы своими действиями не нанести ущерб компании и самому себе. Такие инциденты, как потеря или утечка информации, могут также быть обусловлены целенаправленными действиями сотрудников компании, которые заинтересованы в получении прибыли в обмен на ценные данные организации, в которой работают или работали.
Основными источниками угроз являются отдельные злоумышленники («хакеры»), киберпреступные группы и государственные спецслужбы (киберподразделения), которые применяют весь арсенал доступных киберсредств, перечисленных и описанных выше. Чтобы пробиться через защиту и получить доступ к нужной информации, они используют слабые места и ошибки в работе программного обеспечения и веб-приложений, изъяны в конфигурациях сетевых экранов и настройках прав доступа, прибегают к прослушиванию каналов связи и использованию клавиатурных шпионов.
То, чем будет производиться атака, зависит от типа информации, ее расположения, способов доступа к ней и уровня защиты. Если атака будет рассчитана на неопытность жертвы, то возможно, например, использование спам-рассылок.
Оценивать угрозы информационной безопасности необходимо комплексно, при этом методы оценки будут различаться в каждом конкретном случае. Так, чтобы исключить потерю данных из-за неисправности оборудования, нужно использовать качественные комплектующие, проводить регулярное техническое обслуживание, устанавливать стабилизаторы напряжения. Далее следует устанавливать и регулярно обновлять программное обеспечение (ПО). Отдельное внимание нужно уделить защитному ПО, базы которого должны обновляться ежедневно.
Обучение сотрудников компании основным понятиям информационной безопасности и принципам работы различных вредоносных программ поможет избежать случайных утечек данных, исключить случайную установку потенциально опасного программного обеспечения на компьютер. Также в качестве меры предосторожности от потери информации следует делать резервные копии. Для того чтобы следить за деятельностью сотрудников на рабочих местах и иметь возможность обнаружить злоумышленника, следует использовать DLP-системы.
Организовать информационную безопасность помогут специализированные программы, разработанные на основе современных технологий:
- защита от нежелательного контента (антивирус, антиспам, веб-фильтры, анти-шпионы);
- сетевые экраны и системы обнаружения вторжений (IPS);
- управление учетными данными (IDM);
- контроль привилегированных пользователей (PUM);
- защита от DDoS;
- защита веб-приложений (WAF);
- анализ исходного кода;
- антифрод;
- защита от таргетированных атак;
- управление событиями безопасности (SIEM);
- системы обнаружения аномального поведения пользователей (UEBA);
- защита АСУ ТП;
- защита от утечек данных (DLP);
- шифрование;
- защита мобильных устройств;
- резервное копирование;
- системы отказоустойчивости.
Понятие угрозы, классификация угроз информационной безопасности и их содержание⚓︎
Жак Фреско
Если один человек построил, то другой всегда разобрать может
ГОСТ Р 53114⚓︎
Угроза⚓︎
Совокупность условий и факторов, которые могут стать причиной нарушения целостности, доступности, конфиденциальности
Угроза информационной безопасности организации⚓︎
Совокупность факторов и условий, создающих опасность нарушения информационной безопасности организации, вызывающую или способную вызвать негативные последствия (ущерб/вред) для организации.
Ущерб⚓︎
Отрицательные последствия, возникающие вследствие причинения вреда активам организации
Угроза безопасности информации⚓︎
Совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации
Безопасность информации (данных)⚓︎
Состояние защищенности информации(данных), при котором обеспечены ее (их) конфиденциальность, доступность и целостность
Уязвимость⚓︎
Внутренние свойства объекта, создающие восприимчивость к воздействию источника риска, которое может привести к какому-либо последствию
Атака⚓︎
Попытка преодоления системы защиты информационной системы
Сетевая атака⚓︎
Действия с применением программных и (или) технических средств и с использованием сетевого протокола, направленные на реализацию угроз несанкционированного доступа к информации, воздействия на нее или на ресурсы автоматизированной информационной системы
ГОСТ Р 50922⚓︎
Конфиденциальность информации⚓︎
Обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя
Доступность информации (ресурсов ИС)⚓︎
Состояние информации (ресурсов информационной системы), при котором субъекты, имеющие права доступа, могут реализовать их беспрепятственно
Целостность информации⚓︎
Состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право
Классификация угроз ИБ⚓︎
По аспекту ИБ⚓︎
-
Угрозы конфиденциальности информации реализуются, если защищаемая информация, обладающая действующей или потенциальной ценностью в силу ее неизвестности третьим лицам, становится достоянием этих лиц (одного или многих)
-
Угрозы целостности информации выражаются в ее несанкционированной или непреднамеренной модификации. Т.е. угрозы изменения ее содержания
-
Угрозы доступности информации выражаются в том, что защищаемая информация оказывается заблокированной, т. е. в течение некоторого времени недоступной для ее собственника, владельца или пользователя. При этом информация сохраняется в неизменном виде и не становится достоянием третьих лиц
По мотивации воздействия на информационные ресурсы и системы⚓︎
-
Преднамеренные (умышленные) угрозы связаны с корыстными стремлениями людей (злоумышленников)
-
Случайные (неумышленные) угрозы вызваны ошибками в проектировании элементов информационных систем, в программном обеспечении, в действиях сотрудников и т.п.
По сфере воздействия на ИС⚓︎
Угрозы, обусловленные человеческим фактором⚓︎
- Неправомерные действия авторизованных пользователей в системах и приложениях
- Отказ в обслуживании
- Внедрение вредоносного или разрушающего программного обеспечения
- Подмена имени пользователя авторизованными пользователями
- Подмена имени пользователя посторонними лицами
- Неправомерное использование системных ресурсов
- Ошибки в операциях
- Ошибки в обслуживании аппаратного обеспечения
- Ошибки пользователя при работе с приложениями
- Проникновение в корпоративную сеть
- Манипулирование информацией
- Перехват информации
- Отрицание приема/передачи сообщений
- Кражи персоналом документов (имущества)
- Кражи посторонними лицами документов (имущества)
- Умышленная порча имущества сотрудниками организации
- Умышленная порча имущества посторонними лицами, не являющимися сотрудниками организации
Угрозы по компонентам воздействия на информационную систему⚓︎
Угрозы по отказам пользователей⚓︎
- Нежелание работать с ИС (чаще всего проявляется при необходимости осваивать новые возможности и при расхождении между запросами пользователей и фактическими возможностями, и техническими характеристиками)
- Невозможность работать с системой в силу отсутствия соответствующей подготовки (недостаток общей компьютерной грамотности, неумение интерпретировать диагностические сообщения, неумение работать с документацией и т.п.)
- Невозможность работать с системой в силу отсутствия технической поддержки (неполнота документации, недостаток справочной информации и т.п.)
Угрозы внутренних отказов⚓︎
- Нарушение (случайное или умышленное) от установленных правил эксплуатации
- Выход системы из штатного режима эксплуатации в силу случайных или преднамеренных действий пользователей или обслуживающего персонала (превышение расчетного числа запросов, чрезмерный объем обрабатываемой информации и т.п.)
- Ошибки при (пере)конфигурировании системы
- Отказы программного и аппаратного обеспечения
- Разрушение данных
- Разрушение или повреждение аппаратуры
Угрозы поддерживающей инфраструктуры⚓︎
- Нарушение работы (случайное или умышленное) систем связи, электропитания, водо- и/или теплоснабжения, кондиционирования
- Разрушение или повреждение помещений
- Невозможность или нежелание обслуживающего персонала и/или пользователей выполнять свои обязанности (гражданские беспорядки, аварии на транспорте, террористический акт или его угроза, забастовка и т.п.)
Угрозы по природе возникновения⚓︎
- Естественные угрозы — это угрозы, вызванные воздействиями на АИС и ее элементы объективных физических процессов или стихийных природных явлений, независящих от человека
-
Искусственные угрозы — угрозы, вызванные деятельностью человека:
-
Непреднамеренные (неумышленные, случайные) угрозы, вызванные ошибками в проектировании АИС и ее элементов, ошибками в программном обеспечении, ошибками в действиях персонала и т.п.
-
Преднамеренные (умышленные) угрозы, связанные с целенаправленными устремлениями злоумышленников
Основные непреднамеренные искусственные угрозы АИС⚓︎
- Неумышленные физические действия, приводящие к частичному или полному отказу системы или разрушению аппаратных, программных, информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение файлов с важной информацией или программ, в том числе системных и т.п.)
- Неправомерное отключение оборудования или изменение режимов работы устройств и программ
- Неумышленная порча носителей информации
- Запуск программ, способных при некомпетентном использовании вызывать потерю работоспособности системы (зависания или зацикливания) или осуществляющих необратимые изменения в системе (форматирование носителей информации, удаление данных и т.п.)
- Нелегальное внедрение и использование неучтенных программ (игровых, обучающих, технологических и др., не являющихся необходимыми для выполнения нарушителем своих служебных обязанностей) с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях)
- Заражение компьютера вирусами
- Неосторожные действия, приводящие к разглашению конфиденциальной информации, или делающие ее общедоступной
- Разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карточек, пропусков и т.п.)
- Проектирование архитектуры системы, технологии обработки данных, разработка прикладных программ, с возможностями, представляющими опасность для работоспособности системы и безопасности информации
- Игнорирование организационных ограничений (установленных правил) при работе в системе
- Вход в систему в обход средств защиты (загрузка посторонней операционной системы с внешних носителей и т.п.)
- Некомпетентное использование, настройка или неправомерное отключение средств защиты персоналом службы безопасности
- Пересылка данных по ошибочному адресу абонента (устройства)
- Ввод ошибочных данных
- Неумышленное повреждение каналов связи
Основные преднамеренные искусственные угрозы АИС⚓︎
- Физическое разрушение системы (путем взрыва, поджога и т.п.) или вывод из строя всех или отдельных наиболее важных компонентов компьютерной системы(устройств, носителей важной системной информации, лиц из числа персонала и т.п)
- Отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и т.п.)
- Действия по дезорганизации функционирования системы (изменение режимов работы устройств или программ, забастовка, саботаж персонала, постановка мощных активных радиопомех на частотах работы устройств системы и т.п.)
- Внедрение агентов в число персонала системы (в том числе, возможно, и в административную группу, отвечающую за безопасность)
- Вербовка (путем подкупа, шантажа и т.п.) персонала или отдельных пользователей, имеющих определенные полномочия
- Применение подслушивающих устройств, дистанционная фото- и видеосъемка и т.п.
- Перехват побочных электромагнитных, акустических и других излучений устройств и линий связи, а также наводок активных излучений на вспомогательные технические средства, непосредственно не участвующие в обработке информации (телефонные линии, сети питания, отопления и т.п.)
- Перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему
- Хищение носителей информации
- Несанкционированное копирование носителей информации
- Хищение производственных отходов (распечаток, записей, списанных носителей информации и т.п.)
- Чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств
- Чтение информации из областей оперативной памяти, используемых операционной системой (в том числе подсистемой защиты) или другими пользователями, в асинхронном режиме используя недостатки операционных систем и других приложений
- Незаконное получение паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, путем имитации интерфейса системы и тд.) с последующей маскировкой под зарегистрированного пользователя («маскарад»)
- Несанкционированное использование терминалов пользователей, имеющих уникальные физические характеристики, такие как номер рабочей станции в сети, физический адрес, адрес в системе связи, аппаратный блок кодирования и т.п.
- Вскрытие шифров криптозащиты информации
- Внедрение аппаратных спецвложений, программных «закладок» и вирусов (троянских коней), то есть таких участков программ, которые не нужны для осуществления заявленных функций, но позволяющих преодолевать систему защиты, скрытно и незаконно осуществлять доступ к системным ресурса регистрации и передачи критической информации или дезорганизации функционирования системы
- Незаконное подключение к линиям связи с целью работы «между строк», с использованием пауз в действиях законного пользователя от его имени с последующим вводом ложных сообщений или модификацией передаваемых сообщений
- Незаконное подключение к линиям связи с целью подмены законного пользователя путем его физического отключения после входа в систему и успешной аутентификации с последующим вводом дезинформации и навязыванием ложных сообщений
В картинках⚓︎
В картинках
Угрозы информации⚓︎
ГОСТ Р 53114⚓︎
ГОСТ 50922⚓︎
ГОСТ 27005⚓︎
Перечень угроз ИБ⚓︎
Каналы утечки информации⚓︎
Понятие «Концепции» и «Политики» ИБ⚓︎
Цель и задачи системы ИБ⚓︎
Применение системного подхода к созданию системы информационной безопасности⚓︎
Последнее обновление: 2021-01-25
Созданный: 2021-01-19