47
- недостатки установленной политики безопасности. Разработанная для АС
политика безопасности неадекватна критериям безопасности, что и
используется для выполнения НСД:
- ошибки административного управления;
- недокументированные особенности системы безопасности, в том числе
связанные с ПО, - ошибки, неосуществленные обновления ОС, уязвимые
сервисы, незащищенные конфигурации по умолчанию;
- недостатки алгоритмов защиты. Алгоритмы защиты, использованные
разработчиком для построения системы защиты информации, не отражают
реальных аспектов обработки информации и содержат концептуальные
ошибки;
- ошибки реализации проекта системы защиты. Реализация проекта системы
защиты информации не соответствует заложенным разработчиками системы
принципам.
Возможные способы и методы осуществления НСД (виды атак):
1) анализ сетевого трафика, исследование ЛВС и средств защиты для поиска
их слабостей и исследования алгоритмов функционирования АС. В системах
с физически выделенным каналом связи передача сообщений осуществляется
напрямую между источником и приемником, минуя остальные объекты
системы. В такой системе при отсутствии доступа к объектам, через которые
осуществляется передача сообщения, не существует программной
возможности анализа сетевого трафика;
2) введение в сеть несанкционированных устройств.
3)перехват передаваемых данных с целью хищения, модификации или
переадресации;
4) подмена доверенного объекта в АС.
5) внедрение в сеть несанкционированного маршрута (объекта) путем
навязывания ложного маршрута с перенаправлением через него потока
сообщений;
48
6) внедрение в сеть ложного маршрута (объекта) путем использования
недостатков алгоритмов удаленного поиска;
7) использование уязвимостей общесистемного и прикладного ПО.
8) криптоанализ.
9) использование недостатков в реализации криптоалгоритмов и
криптографических программ.
10) перехват, подбор, подмена и прогнозирование генерируемых ключей и
паролей.
11) назначение дополнительных полномочий и изменение параметров
настройки системы защиты.
12) внедрение программных закладок.
13) нарушение работоспособности (устойчивости) АС путем внесения
перегрузки, уничтожения "критических" данных, выполнения некорректных
операций.
14) доступ к компьютеру сети, принимающему сообщения или
выполняющему функции маршрутизации;
Таким образом, понимая основные свойства информации –
целостность, доступность и конфиденциальность, необходимо определить
круг действий, которые могут привести к нарушению основных свойств
информации и представляют из себя угрозу, в том числе классифицировать
основные признаки защиты от угроз и определить возможные способы их
реализации.
3.2. Модель нарушителя
С целью сохранения информации и обеспечения ее основных свойств
необходимо правильно сформулировать и разработать модель
потенциального нарушителя. Так же, не исключается возможность, что
угрозу информационной безопасности могут представлять несколько
нарушителей одновременно.
49
Что может представлять собой модель потенциального нарушителя или
группы нарушителей? В первую очередь необходимо предполагать уровень
их технических возможностей, квалификацию, используемых технических
материальных средств для достижения своей цели и т.д.
Модель потенциального нарушителя, разработанная с учетом всех
необходимых способностей и возможностей лица, представляющего угрозу
информационной безопасности, может являться в некоторой степени
гарантией правильно построенной и эффективно функционирующей системы
защиты информации.
Обычно модель нарушителя строится по неформальному принципу,
учитывающему мотивы действий, знания в области электронной
информации, причины, побуждающие к противоправному действию,
соответственно, цели, которые перед собой ставит нарушитель. Кроме того,
необходимо предусмотреть возможный сценарий действий, а именно
способы реализации атаки, место и характер, возможный арсенал
вспомогательных средств, оперативные действия и др. Таким образом, для
построения успешной модели потенциального нарушителя, важно
спрогнозировать не только порядок действий и наиболее уязвимые места
системы, но также и личность самого нарушителя.
Следствием создания неформальной модели потенциального
нарушителя должна стать отработка слабых мест системы не только
информационной безопасности, но и комплекс упреждающих действий в
окружающих средах. Подход должен быть системным, целостным и
комплексным.
Относительно защиты непосредственно информационной системы,
необходимо скорректировать требования к ее защите таким образом, чтобы в
случае проникновения в нее, минимизировать ущерб, или вовсе не допустить
разрушения основных свойств информации.
50
Кроме того, необходимо не только строить линию обороны от
возможных угроз, но и работать на упреждение, чтобы в аналогичных
ситуациях иметь готовность к действиям в чрезвычайной ситуации.
Для более эффективной защиты, необходимо построить несколько
моделей поведения потенциальных нарушителей.
Обычно для работы по построению модели потенциального
нарушителя используется служебная информация от служб безопасности
предприятия, аналитиков, психологов, сотрудников кадровых служб,
информаторов в среде сотрудников. Также важной информацией являются
технические данные об актуальных средствах воздействия на информацию,
самых разнообразных инструментах и ресурсах, способах и ситуации на
рынке, особенно в конкурирующих сегментах, необходимо также владеть
информацией об общей ситуации по отрасли, и даже понимать суть
происходящих процессов в макроэкономической среде, политических
отношениях и международной ситуации. Обязательным условием
успешности построения модели является наличие, анализ и прогнозы схожих
ситуаций, детальное их изучение и гипотетическое приближение к
естественным условиям защищаемого объекта.
Потенциальные нарушители бывают внутренними и внешними.
Так называемые внутренние нарушители тем или иным образом
непосредственно связаны с деятельностью предприятия и информационной
системой соответственно. Внутренний нарушитель в подавляющем
большинстве случаев является или являлся сотрудником предприятия, и
имеет достаточно высокую степень осведомленности о внутреннем
распорядке, ресурсах и возможностях, которые могут способствовать
несанкционированному проникновению в святая святых информационной
системы. Если говорить более детально, внутренний нарушитель может быть
из числа как топ-менеджмента, так и из числа младшего обслуживающего
персонала. В спектр потенциальных нарушителей могут попасть все
51
сотрудники: пользователи и операторы информационной системы, в том
числе руководители различных уровней, администраторы сетей, прикладные
и системные программисты, сотрудники службы безопасности, технический
персонал по обслуживанию зданий и вычислительной техники, от уборщицы
до сервисного инженера, вспомогательный персонал и даже временные
работники.
Какие же причины могут побудить сотрудников к совершению
неправомерных действий? Среди часто встречающихся, это
безответственность, амбициозность (показать, свое превосходство над
остальными), корысть, оппозиционные настроения («борьба с системой»),
желание навредить без причины (особенно используя недостатки
информационных технологий) и другие личные причины, свойственные
отдельно взятой личности.
Как уже было сказано ранее, в группу потенциальных нарушителей
кроме внутренних могут также входить внешние нарушители.
Внешние нарушители могут быть связаны с предприятием, а могут
представлять собой совсем посторонних лиц.
К числу внешних потенциальных нарушителей справедливо будет
отнести клиентов, приглашенных посетителей, конкурентов (их
представителей), сотрудников надзорных органов, наблюдателей за
пределами охраняемой территории.
Кроме параметров внешний-внутренний, классификацию можно и
нужно проводить и по другим параметрам.
Такой параметр как методы и средства, используемые потенциальным
нарушителем в перспективе, может существенно облегчить составление
правильной модели нарушителя. Этот параметр может включать в себя такие
характеристики, как сбор информации и данных, пассивные средства
перехвата, использование средств, входящих в информационную систему
или систему ее защиты, и их недостатков, активное отслеживание
52
модификаций существующих средств обработки информации, подключение
новых средств, использование специализированных утилит, внедрение
программных закладок и «черных ходов» в систему, подключение к каналам
передачи данных.
Также, необходимо учитывать такой параметр, как уровень возможных
знаний нарушителя относительно организации информационной структуры,
в который входят типовые знания о методах построения вычислительных
систем, сетевых протоколов, использование стандартного набора программ,
высокий уровень знаний сетевых технологий, опыт работы со
специализированными программными продуктами и утилитами, высокие
знания в области программирования, системного проектирования и
эксплуатации вычислительных систем, обладание сведениями о средствах и
механизмах защиты атакуемой системы.
Кроме того, необходимо обратить внимание, что потенциальный
нарушитель мог быть разработчиком или принимал участие в реализации
системы обеспечения информационной безопасности.
Учету подлежит и время, и место осуществления возможного
негативного воздействия. Нельзя упускать из внимания, анализируя данные
факторы такие моменты, как временной интервал, а именно: сам момент
обработки информации, или момент передачи данных или атака произойдет в
процессе хранения данных (учитывая рабочее и нерабочее состояния
системы). По месту осуществления воздействия необходимо обратить
внимание на следующие моменты: как произойдет воздействие - удаленно с
использованием перехвата информации, передающейся по каналам передачи
данных, или без ее использования, или в месте доступа на охраняемую
территорию, возможен ли, непосредственный физический контакт с
вычислительной техникой, при этом можно выделить: доступ к рабочим
станциям, доступ к серверам предприятия, доступ к системам
администрирования, контроля и управления информационной системой,
53
доступ к программам управления системы обеспечения информационной
безопасности.
Таким образом, в данном разделе мы рассмотрели модели
потенциальных нарушителей информационной системы.
Важным моментом при построении защиты корпоративной
компьютерной сети является понимание, что потенциальный нарушитель
может быть как внутренним, так и внешним. Одним из вариантов защиты
системы должно являться не только техническое обеспечение защиты
информации с использованием непосредственно устройств и программного
обеспечения, но также и большая административная работа, определяющая
поведение сотрудников предприятия и регламентирующая их работу в сети.
3.3. Выводы о вероятных нарушителях для АС
Исходя из составленной модели потенциального нарушителя системы
можно сделать определенные выводы, которые должны привести к
повышению уровня безопасности информационной системы и недопущения
неправомерных действий со стороны нарушителя, независимо от того,
относится ли он к внутренним или внешним носителям угрозы для
информационной безопасности.
Выводы, сделанные на основе прогностических исследований, даже
если они носят неформальный характер, должны лечь в основу построения
системы защиты, а также являются серьезными рекомендациями для
руководства компании по ведению оперативных мероприятий, служащих
целям обеспечения защиты информации. Надо понимать, что действия
только одного специалиста по защите информации не принесут желаемого
результата. Безопасность, чего бы она не касалась – есть комплекс мер по
предвидению (прогнозированию), анализу и осуществлению необходимых
мероприятий, включающих всех без исключения работников предприятия.
Даже такой банальный оперативный ход, как ознакомление под роспись
54
сотрудников с правилами поведения, требованиями и уровнем
ответственности за нарушение информационной безопасности уже может
исключить из числа потенциальных внутренних нарушителей любителей
доказывать свои сверхспособности за счет приложения своих сил в
технических вопросах, а также поднимет уровень ответственности среди тех,
кто своим непродуманным действием, или бездействием может нанести
ущерб информационной безопасности. Также осознаваемый уровень
ответственности может охладить пыл «борцов с системой» и заставит
призадуматься любителей легкой наживы.
Конечно, работа по предотвращению угроз со стороны внешних
нарушителей является более серьезной, но и здесь можно, на основании
сделанных выводов, суметь защитить информацию достойным способом. А
именно, привлечь специалистов, инженеров высокого уровня, не пожалеть
денег на установку качественного актуального оборудования, создание
атмосферы свободного обмена информацией в коллективе, когда каждый
сотрудник может своевременно проинформировать службу безопасности о
подозрительных людях или изменениях в системе или о том, что кажется им
подозрительным в принципе.
Кроме того, необходимо помнить, что на сегодняшний день
существуют широко распространенные факторы, представляющие угрозу
информационной сети. В частности, к ним можно отнести следующее:
- массовость использования информационных технологий;
- все более возрастающая сложность функционирования информационных
систем;
- перманентный рост вирусных атак, переходящий в эпидемию;
Среди угроз информационной безопасности лидирующие места
занимают утечка информации, искажение информации, отказ в
предоставлении информации, несанкционированный обмен информацией
между получателями, незаконное использование информации, ошибки при
55
использовании информационной системы, нарушение привилегий и прав
пользователей и администраторов.
Решение задачи защиты информации должно носить комплексный
системный характер. Модель нарушителя в данном случае является
краеугольным камнем построения этой системы.
Одним из актуальных вариантов сохранения информации является на
сегодняшний день использование облачных хранилищ. Доступ
злоумышленникам туда пока закрыт весьма надежно. Также в ближайшее
время все большую популярность приобретет технология блокчейна, когда
взять разрозненную информацию из одного источника станет невозможно.
Таким образом, создавая модель потенциального нарушителя,
необходимо помнить, что это не просто утилитарный документ, сделанный
ради проформы, это важный стратегический документ, безусловно
влияющий на политику информационной безопасности компании в целом.
Кроме выводов о потенциальном злоумышленнике необходимо понимать,
что сама модель постоянно изменяется в связи с изменениями, которые
происходят в цифровом мире.
Из вышесказанного сделаем вывод о том, что с целью построения
эффективной системы защиты информационной сети от вероятного
злоумышленника необходимо применять не только технические знания, но и
психологию поведения, присущую группам сотрудников, осуществляющих
свою трудовую функцию непосредственно на предприятии. \
Кроме того, необходимо помнить, что модель потенциального
нарушителя должна быть динамической и постоянно обновляться, в
соответствии с вызовами времени.
3.4. Рекомендации по эксплуатации компьютерной сети
Для того, чтобы корпоративная компьютерная сеть функционировала
эффективно, необходимо соблюдать ряд условий.
56
В первую очередь необходимо разработать детальную инструкцию по
эксплуатации сети (серверов, компьютеров, кабелей, маршрутизаторов,
коммуникаторов, концентраторов (если таковые имеются), мониторов и
принтеров и т.д., то есть всех элементов сети) надлежащим образом. Далее,
оформив инструкцию в качестве внутреннего документа, ознакомить с нею
под роспись всех без исключения сотрудников предприятия.
Инструкция обязательно должна включать в себя описание функций,
реализуемых включенным в сеть оборудованием.
Таким образом, в инструкции должно быть указано, что персональный
компьютер служит для работы с электронными документами, с его помощью
осуществляется ввод и вывод данных в информационные базы предприятия.
Серверы предназначены для централизованного хранения, обработки и
выдачи информации, ограничение прав доступа, администрирование сети, а
также резервное копирование баз данных. Сетевые коммутаторы соединяют
в сеть все ее элементы и подключают локальную сеть к интернету,
осуществляют транспортировку пакетов между компьютерами и серверами и
т.д.
Кроме того, в инструкции должен быть тщательным образом прописан
регламент и порядок работы компьютерного оборудования.
Инструкция должна включать в себя и раздел, в котором четко указан
уровень ответственности каждого пользователя сети. В разделе должно быть
прописано, что каждый пользователь сети персонально несет
ответственность за закрепленное за его рабочим местом компьютерное
оборудование. В инструкции должно содержаться требование о том, что
любое воздействие на операционную систему, программное обеспечение
производится только специалистами технического обслуживания
(инженерами и программистами). В случае сбоя в работе сети или любой
другой неисправности самостоятельное вторжение пользователя в систему,