Классификация угроз и объектов защиты

Информация может существовать в различных формах в виде совокупности некоторых символов (знаков) на носителях различных типов. В связи с бурным развитием информатизации общества все большие объемы информации накапливаются, хранятся и обрабатываются в автоматизированных системах, построенных на основе современных средств вычислительной техники и связи. В дальнейшем будут рассматриваться только те формы представления информации, которые используются при ее автоматизированной обработке.

Автоматизированная система (АС) – система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций[7.1]. Таким образом, АС представляет собой совокупность следующих компонентов:

1. технических средств обработки и передачи информации;
2. программного обеспечения;
3. самой информации на различных носителях;
4. обслуживающего персонала и пользователей системы.

Одним из основных аспектов проблемы обеспечения безопасности АС является определение, анализ и классификация возможных угроз конкретной АС. Перечень наиболее значимых угроз, оценка их вероятности и модель злоумышленника являются базовой информацией для построения оптимальной системы защиты. При формулировании основных терминов в области информационной безопасности "Основные понятия в области технической защиты информации" мы уже сталкивались с определением угрозы. Остановимся на нем подробнее.

Угроза безопасности информации – совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации[7.2]. Угроза информационной безопасности АС – это возможность реализации воздействия на информацию, обрабатываемую в АС, приводящего к нарушению конфиденциальности, целостности или доступности этой информации, а также возможность воздействия на компоненты АС, приводящего к их утрате, уничтожению или сбою функционирования.

Источник угрозы безопасности информации - субъект, являющийся непосредственной причиной возникновения угрозы безопасности информации.

Основными источниками нарушения безопасности в АС являются:

• аварии и стихийные бедствия (пожар, землетрясение, ураган, наводнение и т.п.);
• сбои и отказы технических средств;
• ошибки проектирования и разработки компонентов АС (программных средств, технологий обработки данных, аппаратных средств и др.);
• ошибки эксплуатации;
• преднамеренные действия нарушителей.

Существует много критериев классификации угроз. Рассмотрим наиболее распространенные из них.

1. по природе возникновения: естественные и искусственные

   Естественные угрозы - это угрозы, вызванные воздействиями на АС и ее элементы объективных физических процессов или стихийных природных явлений, независящих от человека. В свою очередь искусственные угрозы - это угрозы АС, вызванные деятельностью человека.
2. по степени мотивации: непреднамеренные (случайные) и преднамеренные. Первые связаны с разного рода ошибками – в проектировании АС, в программном обеспечении, ошибки персонала при работе с АС и т.п. Вторая группа связана с корыстными, идейными и другими целями людей, в данном случае, злоумышленников. Поводом может быть получение материальной выгоды, месть, моральные убеждения и пр.

   К основным случайным угрозам можно отнести следующее:

   • неумышленные действия, приводящие к нарушению нормального функционирования системы, либо ее полной остановке. В эту категорию также относится повреждение аппаратных, программных, информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение файлов с важной информацией или программ, в том числе системных и т.п.);
   • неумышленное отключение оборудования;
   • неумышленная порча носителей информации;
   • использование программного обеспечения, способного при неверном использовании привести к нарушению работоспособности системы (зависанию) или к необратимым изменениям в системе (удаление файлов, форматирование и т.п.);
   • использование программ, которые не нужны для выполнения должностных обязанностей. К ним могут быть отнесены игровые, обучающие и др. программы, использование которых может привести к неумеренному расходу ресурсов системы, в частности, оперативной памяти и процессора;
   • непреднамеренное заражение компьютера вирусами;
   • неосторожные действия, влекущие за собой разглашение конфиденциальной информации;
   • ввод ошибочных данных;
   • утрата, передача кому-то или разглашение идентификаторов, к которым относятся пароли, ключи шифрования, пропуски, идентификационные карточки;
   • построение системы, технологии обработки данных, создание программ с уязвимостями;
   • несоблюдение политики безопасности или других установленных правил работы с системой;
   • отключение или некорректное использование средств защиты персоналом;
   • пересылка данных по ошибочному адресу абонента (устройства).

   К основным преднамеренным угрозам можно отнести следующее:

   • физическое воздействие на систему или отдельные ее компоненты (устройства, носители, люди), приводящее к выходу из строя, разрушению, нарушению нормального функционирования;
   • отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и т.п.);
   • действия по нарушению нормальной работы системы (изменение режимов работы устройств или программ, создание активных радиопомех на частотах работы устройств системы и т.п.);
   • подкуп, шантаж и другие пути воздействия на персонал или отдельных пользователей, имеющих определенные полномочия;
   • применение подслушивающих устройств, дистанционная фото- и видео-съемка и т.п.;
   • перехват ПЭМИН;
   • перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему;
   • хищение носителей информации (магнитных дисков, лент, микросхем памяти, запоминающих устройств и целых ПЭВМ);
   • несанкционированное копирование носителей информации;
   • хищение производственных отходов (распечаток, записей, списанных носителей информации и т.п.);
   • чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств;
   • чтение информации из областей оперативной памяти, используемых операционной системой (в том числе подсистемой защиты) или другими пользователями, в асинхронном режиме используя недостатки мультизадачных операционных систем и систем программирования;
   • незаконное получение паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, путем имитации интерфейса системы и т.д.) с последующей маскировкой под зарегистрированного пользователя ("маскарад");
   • несанкционированное использование терминалов пользователей, имеющих уникальные физические характеристики, такие как номер рабочей станции в сети, физический адрес, адрес в системе связи, аппаратный блок кодирования и т.п.;
   • вскрытие шифров криптозащиты информации;
   • внедрение аппаратных "спецвложений", программных "закладок" и "вирусов" ("троянских коней" и "жучков"), то есть таких участков программ, которые не нужны для осуществления заявленных функций, но позволяющих преодолевать систему зашиты, скрытно и незаконно осуществлять доступ к системным ресурсам с целью регистрации и передачи критической информации или дезорганизации функционирования системы;
   • незаконное подключение к линиям связи с целью работы "между строк", с использованием пауз в действиях законного пользователя от его имени с последующим вводом ложных сообщений или модификацией передаваемых сообщений;
   • незаконное подключение к линиям связи с целью прямой подмены законного пользователя путем его физического отключения после входа в систему и успешной аутентификации с последующим вводом дезинформации и навязыванием ложных сообщений.

   Следует заметить, что чаще всего для достижения поставленной цели злоумышленник использует не один, а некоторую совокупность из перечисленных выше путей[7.3].

   Рассмотрим другие критерии классификации угроз:
3. по положению относительно контролируемой зоны: внутренние и внешние угрозы. В качестве примера внешних угроз может быть перехват данных , передаваемых по сети или утечка через ПЭМИН. К внутренним угрозам можно отнести хищение носителей с конфиденциальной информацией, порчу оборудования, применение различного рода закладок.
4. по степени воздействия на АС: пассивные и активные. Пассивные угрозы – угрозы, не нарушающие состав и нормальную работу АС. Пример – копирование конфиденциальной информации, утечка через технические каналы утечки, подслушивание и т.п. Активная угроза, соответственно, нарушает нормальное функционирование АС, ее структуру или состав.
5. по виду нарушаемого свойства информации - конфиденциальности, доступности, целостности.

   К угрозам доступности можно отнести как искусственные, например, повреждение оборудования из-за грозы или короткого замыкания, так и естественные угрозы. В настоящее время широко распространены сетевые атаки на доступность информации – DDOS-атаки, которые мы рассмотрим в ходе данного курса более подробно.

   В последнее время в специальной литературе всё чаще говорится о динамической и статической целостностях. К угрозам статической целостности относится незаконное изменение информации, подделка информации, а также отказ от авторства. Угрозами динамической целостности является нарушение атомарности транзакций, внедрение нелегальных пакетов в информационный поток и т.д.

   Также важно отметить, что не только данные являются потенциально уязвимыми к нарушению целостности, но и программная среда. Заражение системы вирусом может стать примером реализации угрозы целостности.

   К угрозам конфиденциальности можно отнести любые угрозы, связанные с незаконным доступом к информации, например, перехват передаваемых по сети данных с помощью специальной программы или неправомерный доступ с использованием подобранного пароля. Сюда можно отнести и "нетехнический" вид угрозы, так называемый, "маскарад" - выполнение действий под видом лица, обладающего полномочиями для доступа к данным.
6. по типу системы, на которую направлена угроза: системы на базе автономного рабочего места и система, имеющая подключение к сети общего пользования.
7. по способу реализации: несанкционированный доступ (в том числе случайный) к защищаемой информации, специальное воздействие на информацию, утечка информации через технические каналы утечки.

Наиболее распространенными являются классификации по способу реализации и по виду нарушаемого свойства информации.

Компании, занимающиеся разработками в области информационной безопасности, регулярно проводят аналитические исследования по утечкам информации. Результаты публикуются на их официальных сайтах. Приведем некоторую статистику из ежегодного аналитического отчета компании "InfoWath" за 2010 год. Согласно отчету, в 2010 году соотношение случайных и намеренных утечек составило 60/40 ( рис. 7.1), что говорит о необходимости применения защитных мер не только от умышленных действий нарушителей, но и от случайных угроз.

Рис. 7.1. Соотношение случайных и умышленных утечек в 2010 году

Соотношение каналов утечки сильно зависит от типа носителя информации – рис. 7.2

Рис. 7.2. Распределение случайных и умышленных утечек по каналам

В случае обработки защищаемой информации на компьютере преобладают умышленные утечки, а в случае использования бумажного носителя и доступа по сети – случайные. Неосторожная работа сотрудника с принтером зачастую приводит к утечке конфиденциальной информации: распечатал документ и забыл его, отправил не на тот сетевой принтер, проставил не тот адрес при автоматической распечатке и рассылке писем.

Для специалиста в области информационной безопасности важно знать критерии классификации угроз и их соотношение с целью систематизации своих знаний при построении системы защиты, в частности, проведения оценки рисков и выбора оптимальных средств защиты.