CC BY
2
УДК 004.056.53
АНАЛИЗ УГРОЗ ПОДКЛЮЧЕНИЯ ИНФРАСТРУКТУРЫ УНИВЕРСИТЕТА К ФЕДЕРАЛЬНЫМ ГОСУДАРСТВЕННЫМ ИНФОРМАЦИОННЫМ СИСТЕМАМ
М. И. Семенов Научный руководитель - В. В. Золотарев
Сибирский государственный университет науки и технологий имени академика М. Ф. Решетнева Российская Федерация, 660037, г. Красноярск, просп. им. газ. «Красноярский рабочий», 31
E-mail: msemnv@mail.ru
В работе приведен результат анализа угроз подключения инфраструктуры университета к государственным информационным системам, приведены возможные угрозы.
Ключевые слова: информационная безопасность, анализ угроз, организация подключения.
ANALYSIS OF THREATS TO CONNECT THE UNIVERSITY INFRASTRUCTURE TO FEDERAL STATE INFORMATION SYSTEMS
M. I. Semenov Scientific Supervisor - V. V. Zolotarev
Reshetnev Siberian State University of Science and Technology 31, Krasnoyarskii rabochii prospekt, Krasnoyarsk, 660037, Russian Federation
E-mail: msemnv@mail.ru
The paper presents the result of the analysis of threats to the connection of the university infrastructure to state information systems, possible threats are presented.
Keywords: information security, threat analysis, connection organization.
В ходе функционирования и работы информационных систем высших учебных заведений используются подключения к различным государственным информационным системам.
Организация подключения инфраструктуры университета к государственным информационным системам должна включать в себя выполнение требований информационной безопасности, предъявляемых регулирующими органами.
Обработка и хранение информации в информационной системе университета регламентируется следующими документами:
- ФЗ-149 «Об информации, информационных технологиях и о защите информации» регламентирует необходимость защиты данных в государственных информационных системах [1];
- ФЗ-152 «О персональных данных» регламентирует защиту обрабатываемых в информационной системах персональных данных [2];
- Приказ ФСТЭК №17 от 11 февраля 2013 г. N 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» регламентирует требования и мероприятия по защите информации в государственных информационных системах [3].
Актуальные проблемы авиации и космонавтики - 2022. Том 2
Согласно данным документам, имеется необходимость в проведении мероприятий по обеспечению информационной безопасности. В данной работе будут рассмотрены угрозы при организации подключения и взаимодействия государственных информационных систем.
Информационная система университета включает в себя узлы (автоматизированные рабочие места), серверное и сетевое оборудование (локальной сети), а также установленное системное и прикладное программное обеспечение. Подключение государственной информационной системы к инфраструктуре университета осуществляется посредством выделенного канала (VPN) передачи данных в общедоступной сети Интернет.
К возможным негативным последствиям от реализации (возникновения) угроз безопасности информации при взаимодействии информационных систем можно отнести нарушение конфиденциальности (утечку), модификацию, уничтожение данных ограниченного доступа, нарушение штатного режима функционирования информационной системы (снижение эффективности решения задач), выход из строя оборудования. Данные последствия могут принести репутационный, финансовый или материальный ущерб.
Поскольку подключение осуществляется при помощи общедоступной сети «Интернет», то источником угроз может являться нарушитель (внешний, внутренний), а также вредоносные программы и уязвимости в информационной системе (уязвимости конфигурации, кода, архитектуры программно-аппаратных средств).
Объектами воздействия является информация, обрабатывающаяся на узлах (автоматизированных рабочих местах) сети и серверном оборудовании (в том числе в средствах порта ввода/вывода информации), сетевое оборудование, каналы связи, а также в средствах, реализующих сетевое взаимодействие между информационными системами.
В связи с определением источников и объектов воздействия были выделены следующие угрозы при подключении и сетевом взаимодействии между информационной системой университета и государственными информационными системами (угрозы из внешних сетей):
- угроза анализа сетевого трафика с помощью сетевых анализаторов при передаче информации в сети «Интернет» между информационными системами;
- угроза сканирования локальной сети при помощи сетевых анализаторов;
- угроза подмены доверенного объекта сети;
- угроза навязывания ложного маршрута сети;
- угроза внедрения по сети вредоносных программ;
- угроза выявления пароля;
- угроза отказ в обслуживании (в результате атак, частичном исчерпании ресурсов, ошибок в программном обеспечении или конфигурации).
Также присутствуют угрозы безопасности информации со стороны информационных систем, подключенных к инфраструктуре университета, источником угроз которых могут являться как внутренние нарушители, так и вредоносное программное обеспечение:
- угроза доступа к информации, её модификации и уничтожение лицами, не допущенных к её обработке;
- угроза действия вредоносных программ (в случае заражения одной из информационных систем).
Для уменьшения вероятности реализации угроз безопасности, необходимо выполнение мер по защите информации, установленных регламентирующими документами. Согласно приказу ФСТЭК №17, перечень реализуемых мер защиты определяется классом защищенности информационной системы [3].
Так, для уменьшения вероятности реализации угроз удаленного доступа возможно применение защищенного канала связи VPN с использованием шифрования (сертифицированных средств криптографической защиты информации) [4]. Также, для данного типа угроз необходимо применение средств межсетевого экранирования, установленных на границах периметров информационных систем. Для угроз, связанных с
несанкционированным доступом необходимо применение моделей и средств разграничения прав доступа пользователей к информации (средств от несанкционированного доступа), используемых в информационных системах. Для угроз, связанных с действиями вредоносных программ, необходима установка и настройка антивирусных средств защиты информации. Имеется необходимость в мониторинге информационных потоков, передаваемых между информационными системами.
Библиографические ссылки
1. Федеральный закон от 27 июля 2006 г. N 149-ФЗ Об информации, информационных технологиях и о защите информации [Электронный ресурс]. URL: https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/107-zakony/364-federalnyj-zakon-ot-27-iyulya-2006-g-n-149-fz (дата обращения 26.03.2022)
2. Федеральный закон "О персональных данных" от 27.07.2006 N 152-ФЗ [Электронный ресурс]. URL: https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/107-zakony/365-federalnyj-zakon-ot-27-iyulya-2006-g-n-152-fz (дата обращения 26.03.2022)
3. Приказ ФСТЭК России от 11 февраля 2013 г. N 17 Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах [Электронный ресурс]. URL: https://fstec.ru/normotvorcheskaya/akty/53-prikazy/702 (дата обращения 26.03.2022)
4. Приказ ФСБ России от 10 июля 2014 года N 378 Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности [Электронный ресурс]. URL: https://docs.cntd.ru/document/420208484 (дата обращения 26.03.2022)
© Семенов М. И., 2022
