Что такое окно опасности
Лекция «Угрозы безопасности информации» (МДК.01.03.Информационная безопасность)
БИК Курс лекций по дисциплине «Информационная безопасность»
Концепция информационной безопасности
Угрозы безопасности информации
Критерии классификации угроз
1. Основные определения
Угроза – это потенциальная возможность определенным образом нарушить информационную безопасность.
Попытка реализации угрозы называется атакой, а тот, кто предпринимает такую попытку, – злоумышленником. Потенциальные злоумышленники называются источниками угрозы.
Показатель, характеризующий безопасность информации при воздействии различных факторов опасности, – это критерий безопасности.
Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).
Промежуток времени от момента, когда появляется возможность использовать слабое место, и до момента, когда пробел ликвидируется, называется окном опасности, ассоциированным с данным уязвимым местом. Пока существует окно опасности, возможны успешные атаки на ИС.
Если речь идет об ошибках в программном обеспечении, то окно опасности «открывается» с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.
Для большинства уязвимых мест окно опасности существует сравнительно долго (несколько дней, иногда – недель), поскольку за это время должны произойти следующие события:
должно стать известно о средствах использования пробела в защите;
должны быть выпущены соответствующие заплаты;
заплаты должны быть установлены в защищаемой ИС.
Новые уязвимые места и средства их использования появляются постоянно; это значит, во-первых, что почти всегда существуют окна опасности и, во-вторых, что отслеживание таких окон должно производиться постоянно, а выпуск и наложение заплат – как можно более оперативно.
Некоторые угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения ИС от качественного электропитания.
Рассмотрим наиболее распространенные угрозы, которым подвержены современные информационные системы. Иметь представление о возможных угрозах, а также об уязвимых местах, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности. Слишком много мифов существует в сфере информационных технологий (вспомним все ту же «Проблему 2000»), поэтому незнание в данном случае ведет к перерасходу средств и, что еще хуже, к концентрации ресурсов там, где они не особенно нужны, за счет ослабления действительно уязвимых направлений.
Само понятие «угроза» в разных ситуациях зачастую трактуется по-разному. Например, для подчеркнуто открытой организации угроз конфиденциальности может просто не существовать — вся информация считается общедоступной; однако в большинстве случаев нелегальный доступ представляется серьезной опасностью. Иными словами, угрозы, как и все в ИБ, зависят от интересов субъектов информационных отношений (и от того, какой ущерб является для них неприемлемым).
2. Критерии классификации угроз
Угрозы можно классифицировать по нескольким критериям:
по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;
по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);
по способу осуществления (случайные/преднамеренные, действия природного/техногенного характера);
по расположению источника угроз (внутри/вне рассматриваемой ИС).
Рисунок 1. Критерии классификации угроз
В качестве основного критерия чаще используется первый ( по аспекту ИБ), привлекая при необходимости остальные.
Рассмотрим подробнее каждый вид угроз.
Информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа).
Обладателем информации является лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам. Обладателем информации может быть гражданин (физическое лицо), юридическое лицо, Российская Федерация, субъект Российской Федерации, муниципальное образование. Именно обладатель информации вправе разрешать или ограничивать доступ к информации, определять порядок и условия такого доступа, передавать информацию другим лицам по договору или на ином установленном законом основании, а также он обязан ограничивать доступ, если такая обязанность установлена федеральными законами.
Информация ограниченного доступа должна храниться только как документированная информация, то есть информация должна быть зафиксирована на материальном носителе путём документирования и иметь реквизиты, позволяющие определить такую информацию или, в установленных законодательством Российской Федерации случаях, её материальный носитель.
с ведения особой важности,
совершенно секретные и
К сведениям особой важности следует относить сведения в области военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб интересам Российской Федерации в одной или нескольких из перечисленных областей.
К совершенно секретным сведениям следует относить сведения в области военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб интересам министерства (ведомства) или отрасли экономики Российской Федерации в одной или нескольких из перечисленных областей.
К секретным сведениям следует относить все иные сведения из числа сведений, составляющих государственную тайну. Ущербом безопасности Российской Федерации в этом случае считается ущерб, нанесённый интересам предприятия, учреждения или организации в военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной или оперативно-розыскной области деятельности.
К сведениям конфиденциального характера относятся:
1. Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях.
2. Сведения, составляющие тайну следствия и судопроизводства.
3. Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (служебная тайна).
4. Сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и так далее).
5. Сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (коммерческая тайна).
6. Сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.
Под коммерческой тайной понимается конфиденциальность информации, позволяющая её обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду.
К информации, составляющей коммерческую тайну, относится научно-техническая, технологическая, производственная, финансово-экономическая или иная информация, в том числе составляющая секреты производства (ноу-хау), которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности её третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введен режим коммерческой тайны (правовые, организационные, технические и иные принимаемые обладателем информации, составляющей коммерческую тайну, меры по охране ее конфиденциальности).
К персональным данным относится любая информация, относящаяся к определённому или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.
К угрозам, создающим опасность конфиденциальности информации, относится утечка информации, под которой понимается неконтролируемое распространение защищаемой информации в результате её разглашения, несанкционированного доступа к ней или получения защищаемой информации иностранными разведками и другими заинтересованными субъектами (заинтересованными субъектами могут быть: государство, юридическое лицо, группа физических лиц, отдельное физическое лицо).
Очевидно, данное определение не в полной мере отражает основные формы утечки информации. Классификация угроз конфиденциальности информации (утечки информации) представлена на рисунке.
Рисунок 2. Классификация угроз конфиденциальности информации (утечки информации)
Разглашение сведений ограниченного доступа может произойти или в форме несанкционированного предоставления информации, или в форме несанкционированного распространения информации.
Разглашение сведений ограниченного доступа может произойти как преднамеренно (при прямом умысле), так и непреднамеренно (по неосторожности).
В случае преднамеренного разглашения сведений ограниченного доступа лицо, которому информация ограниченного доступа была доверена или стала известна по службе или работе, сознавая неправомерность своих действий, связанных с разглашением этой информации, предоставляет или распространяет её посторонним лицам. В этом случае субъективная сторона разглашения сведений характеризуется виной в форме прямого умысла.
К основным действиям, в результате которых осуществляется преднамеренное разглашение сведений ограниченного доступа, можно отнести:
разговор с посторонними лицами по закрытой тематике;
ознакомление посторонних лиц с информацией ограниченного доступа, содержащейся на различного вида носителях, в том числе и электронных (без передачи носителя информации постороннему лицу);
передача носителя информации, содержащего сведения ограниченного доступа, постороннему лицу (в том числе через посредника, с использованием тайников, почтовой связи, технических средств, электронной почты и т.д.);
опубликование информации в открытой печати и других в средствах массовой информации;
распространение сведений через Интернет и т.п.
При непреднамеренном разглашении сведений лицо, которому информация ограниченного доступа была доверена или стала известна по службе или работе, нарушая правила и меры, установленные для защиты этой информации инструкциями, положениями, наставлениями и другими документами, не предвидит возможности разглашения информации ограниченного доступа, хотя по обстоятельствам должно было и могло предвидеть такие последствия. Юристы классифицируют такие действия как разглашение сведений по неосторожности.
Угрозы нарушения доступности системы (отказ в обслуживании) направлены на создание таких ситуаций, когда определённые действия либо снижают работоспособность информационной системы, либо блокируют доступ к некоторым её ресурсам.
Причины случайных воздействий :
аварийные ситуации из-за стихийных бедствий и отключения электроэнергии;
ошибки в программном обеспечении;
ошибки в работе обслуживающего персонала и пользователей;
помехи в линии связи из-за воздействия внешней среды, а также вследствие плотного трафика в системе (характерно для беспроводных решений).
Преднамеренные воздействия связаны с целенаправленными действиями злоумышленника, в качестве которого может выступить любое заинтересованное лицо (конкурент, посетитель, персонал и т.д.). Действия злоумышленника могут быть обусловлены разными мотивами: недовольством сотрудника своей карьерой, материальным интересом, любопытством, конкуренцией, стремлением самоутвердиться любой ценой и т.п.
Внутренние угрозы инициируются персоналом объекта, на котором установлена система, содержащая конфиденциальную информацию. Причинами возникновения таких угроз может послужить нездоровый климат в коллективе или неудовлетворенность от выполняемой работы некоторых сотрудников, которые могут предпринять действия по выдаче информации лицам, заинтересованным в её получении.
Также имеет место так называемый » человеческий фактор «, когда человек не умышленно, по ошибке, совершает действия, приводящие к разглашению конфиденциальной информации или к нарушению доступности информационной системы. Большую долю конфиденциальной информации злоумышленник (конкурент) может получить при несоблюдении работниками-пользователями компьютерных сетей элементарных правил защиты информации. Это может проявиться, например, в примитивности паролей или в том, что сложный пароль пользователь хранит на бумажном носителе на видном месте или же записывает в текстовый файл на жестком диске и пр. Утечка конфиденциальной информации может происходить при использовании незащищенных каналов связи, например, по телефонному соединению.
Под внешними угрозами безопасности понимаются угрозы, созданные сторонними лицами и исходящие из внешней среды, такие как:
атаки из внешней сети (например, Интернет), направленные на искажение, уничтожение, хищение информации или приводящие к отказу в обслуживании информационных систем предприятия;
распространение вредоносного программного обеспечения;
нежелательные рассылки (спам);
воздействие на информацию, осуществляемое путем применения источника электромагнитного поля для наведения в информационных системах электромагнитной энергии с уровнем, вызывающим нарушение нормального функционирования (сбой в работе) технических и программных средств этих систем;
перехват информации с использованием радиоприемных устройств;
воздействие на информацию, осуществляемое путем несанкционированного использования сетей инженерных коммуникаций;
воздействие на персонал предприятия с целью получения конфиденциальной информации.
Что такое окно опасности
Информации, как продукт, удовлетворяющий определенным потребностям субъектов, который они получают посредством информационных систем, должна обладать следующими свойствами:
· Доступность информации – возможность за приемлемое время выполнить ту или иную операцию над данными или получить нужную информацию. Заметим, что защита данных от повреждения является лишь частным случаем защиты от нарушения доступности информации.
· Конфиденциальность – защищенность информации от несанкционированного доступа.
Иногда выделяют и другие свойства, например достоверность информации. Под достоверность информации в информационном хранилище обычно понимают ее адекватность предметной области, которой соответствует данное информационное хранилище. Скорее все же достоверность относиться не столько к предмету информационной безопасности, сколько определяет ценность хранимой информации. Достоверность поддерживается соответствующей организацией работы ИС.
Можно сказать, что безопасность информационных систем это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нарушить доступность, целостность или конфиденциальность информации.
Под защитой информации будем понимать комплекс мер, направленных на обеспечение информационной безопасности.
Информационная безопасность, строящаяся на защите доступности, целостности и конфиденциальности информации часто называют моделью CIA. Сокращение происходит от английских терминов C onfidentiality (конфиденциальность), I ntegrity (целостность), A vailability (доступность).
Под угрозой безопасности информации будем понимать действие или событие, которое может привести к нарушению достоверности, целостности или конфиденциальности хранящейся, передаваемой или обрабатываемой информации.
Обратим внимание, что мы говорим о защите не только хранящейся в информационной базе информации, но и информации, которая передается по каналам связи или обрабатывается программным обеспечением.
Дадим определение некоторым понятиям, которые часто используются, при анализе безопасности ИС.
· Атака – попытка реализовать угрозу.
· Злоумышленник – тот, кто осуществляет атаку.
· Источник угрозы – потенциальный злоумышленник.
Классификации угроз
Один из возможных подходов к классификации угроз информационным системам фактически был изложен в предыдущем разделе. Угрозы, таким образом, можно поделить на три класса: угрозы доступности информации, угрозы целостности информации и угрозы конфиденциальности информации. В следующих разделах мы подробно остановимся на всех трех классах угроз.
Угрозы можно разделить по тем компонентам ИС и ее инфраструктуры, на которые непосредственно направлена данная угроза. В этом случае, можно говорить об угрозе непосредственно данным, угрозе программному обеспечению ИС, угрозе системному программному обеспечению, угрозе компьютерной технике и сетевому оборудованию и т.д.
Деление всех угроз по их характеру приводит, таким образом, к делению угроз информационной безопасности на случайные и преднамеренные. Случайные угрозы возникают независимо от воли и желания людей, хотя люди и могут быть источниками этих угроз. Преднамеренные же угрозы всегда создаются людьми, причем их намеренными действиями.
Наконец угрозы безопасности можно поделить по их источникам. Всего можно, выделить три группы угроз:
· Природные угрозы. Природные угрозы являются случайными и связаны, прежде всего, с прямым физическим воздействием на компьютерную систему или системы ее жизнеобеспечения. Источником таких угроз являются природные катаклизмы. Предотвратить такие явления мы не можем, но можем предвидеть их и свести негативные их последствия к минимуму.
· Угрозы, созданные людьми. Угрозы, созданные людьми можно разделить на
o Угрозы со стороны людей, непосредственно работающих с системой (обслуживающий персонал, программисты, администраторы, операторы, управленческий аппарат и др.).
o Угрозы, вызванные внешними злоумышленниками, в том числе хакерские атаки, компьютерные вирусы и др.
Кроме перечисленных выше признаков, по которым можно классифицировать угрозы информационной безопасности, угрозы можно поделить на прямые и косвенные. Косвенные угрозы непосредственно не приводят к каким либо нежелательным явлениям в компьютерной системе, но они могут являться источниками новых косвенных или прямых угроз. Например, запись на диск зараженного компьютерным вирусом файла может лишь с некоторой вероятностью привести к неполадкам в работе операционной системы. В свою очередь неполадки в операционной системе также с некоторой вероятностью приведут к неполадкам в информационной системе. Знание возможных косвенных угроз помогает просчитать непосредственные угрозы для информационной системы и повысить уровень безопасности.
Лекция #3: Наиболее распространенные угрозы
Основные определения и критерии классификации угроз
Чаще всего угроза является следствием наличия уязвимых мест в защите (или, чуть короче, уязвимостей) информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).
Промежуток времени от момента, когда появляется возможность использовать уязвимость, и до момента, когда она ликвидируется, называется окном опасности, ассоциированным с данной уязвимостью. Пока существует окно опасности, возможны успешные атаки на ИС.
Если речь идет об ошибках в ПО, то окно опасности появляется вместе с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.
· должно стать известно о средствах использования уязвимости;
· должны быть выпущены соответствующие заплаты;
· заплаты должны быть установлены в защищаемой ИС.
Отметим, что некоторые угрозы нельзя назвать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения ИС от качественного электропитания.
Рассмотрим наиболее распространенные угрозы, которым подвержены современные информационные системы. Знание возможных угроз, а также уязвимостей, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности. Слишком много мифов существует в информационных технологиях и вокруг них (вспомним все ту же постыдную «Проблему-2000»), поэтому незнание в данном случае ведет к перерасходу средств и, что еще хуже, к концентрации ресурсов там, где они не особенно нужны, за счет ослабления действительно уязвимых направлений.
Мы попытаемся встать на точку зрения типичной (по нашему мнению) организации. Впрочем, многие угрозы (например, пожар) опасны для всех.
Угрозы можно классифицировать по нескольким критериям:
· по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого они (угрозы) направлены в первую очередь;
· по компонентам информационных систем, на который угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);
· по способу осуществления угроз (случайные/преднамеренные действия природного/техногенного характера);
· по расположению источника угроз (внутри/вне рассматриваемой ИС).
В качестве основного критерия мы будем использовать первый (по аспекту ИБ), привлекая при необходимости остальные.
Современные технологии защиты информации
Понятие информационной безопасности
Словосочетание » информационная безопасность » в разных контекстах может иметь различный смысл. В Доктрине информационной безопасности Российской Федерации термин » информационная безопасность » используется в широком смысле. Имеется в виду состояние защищенности национальных интересов в информационной сфере, определяемых совокупностью сбалансированных интересов личности, общества и государства.
Для разработчика программного обеспечения наиболее важны вопросы хранения, обработки и передачи информации вне зависимости от того, на каком языке (русском или каком-либо ином) она закодирована, кто или что является ее источником и какое психологическое воздействие она оказывает на людей. Поэтому термин » информационная безопасность » будет использоваться в узком смысле, так, как это принято, например, в англоязычной литературе.
Основные составляющие информационной безопасности
Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций)). Средства контроля динамической целостности применяются, в частности, при анализе потока финансовых сообщений с целью выявления кражи, переупорядочения или дублирования отдельных сообщений.
Классификация угроз
Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).
Отметим, что некоторые угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения ИС от качественного электропитания.
Угрозы можно классифицировать по нескольким критериям:
В качестве основного критерия мы будем использовать первый ( по аспекту ИБ), привлекая при необходимости остальные.
Наиболее распространенные угрозы доступности
Самыми частыми и самыми опасными (с точки зрения размера ущерба ) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы.
Другие угрозы доступности классифицируем по компонентам ИС, на которые нацелены угрозы:
Обычно применительно к пользователям рассматриваются следующие угрозы:
Основными источниками внутренних отказов являются:
По отношению к поддерживающей инфраструктуре обычно рассматриваются следующие угрозы: