Оценка степени злоумышленного интереса к различным компонентам объекта защиты

Белов Сергей Валерьевич; Досмухамедов Булат Рамильевич

УДК 004.45:519.87 ББК 32.988-5:32.973.2

С. В. Белов, Б. Р. Досмухамедов

ОЦЕНКА СТЕПЕНИ ЗЛОУМЫШЛЕННОГО ИНТЕРЕСА К РАЗЛИЧНЫ1М КОМПОНЕНТАМ ОБЪЕКТА ЗАЩИТЫ

S. V. Belov, B. R. Dosmukhamedov

ASSESSMENT OF THE DEGREE OF CRIMINAL INTEREST TO DIFFERENT COMPONENTS OF THE OBJECT OF PROTECTION

Исследуется возможность формализации задачи по оценке степени уязвимости компонентов системы, в том числе и с точки зрения их привлекательности для злоумышленников. Выделены четыре основных компонента формализованной модели, сформирована таблица экспертных оценок степени уязвимости этих компонентов со стороны каждой из групп угроз на разных этапах жизненного цикла. Полученная таблица оценок может быть использована в качестве начального приближения степени уязвимости для различных объектов защиты.

Ключевые слова: угрозы информационной безопасности, оценка вероятностей, степень привлекательности, этапы жизненного цикла.

The possibility of formalization of the problem on estimating the vulnerability of the system components, including their attractiveness to cybercriminals is studied. The four main components of the formalized model are identified; a table of expert assessments of the vulnerability of these components from the side of each group of threats at different stages of the life cycle is designed. The obtained table of assessments can be used as an initial approximation of vulnerability for different objects of protection.

Key words: threats to information security, assessment of probabilities, degree of attraction, life cycle.

Введение

В настоящее время необходимость повышения эффективности функционирования фирм и организаций в условиях глобализации рынка и связанного с этим ужесточения конкурентной борьбы обусловливает активное и повсеместное внедрение автоматизированных систем обработки данных (АСОД) разного назначения. Деятельность подавляющего большинства средних и крупных организаций и фирм немыслима без использования средств вычислительной техники. При этом в АСОД концентрируется значительная часть информации, связанной с деятельностью организации, причем большая часть этой информации не имеет немашинных (в частности, бумажных) носителей. Во многих крупных фирмах объем накопленных данных достигает десятков миллионов записей, что породило необходимость в развитии специального научного направления

- Data Mining, В результате средства автоматизированной обработки информации, являясь местом средоточения ключевой информации организации, становятся также объектом притяжения для злоумышленных и противоправных действий. Именно поэтому актуальной становится проблема защиты информационных ресурсов организации, а также средств их обработки.

Однако обеспечение безопасности информации с учетом современных требований является весьма затратным и дорогостоящим мероприятием, поэтому очевидно стремление организаций минимизировать эти затраты. Среди множества возможных методов и путей уменьшения затрат на обеспечение безопасности выделим направление, связанное с оценкой притягательности всего объекта, отдельных его составляющих и компонентов для злоумышленников разного типа. Знание степени привлекательности каждого компонента для злоумышленника позволит более дифференцированно подходить к проблемам обеспечения безопасности, затрачивать большие усилия и расходовать больше ресурсов для защиты тех объектов, которые более притягательны.

В данной работе предлагается решение поставленной задачи на основе построения модели воздействия на компоненты системы. Среди работ, посвященных данной тематике, отметим [1], где указанная задача решается применительно к организации в целом. Применительно к процессу документооборота близкая задача рассматривается в [2, 3].

Технические системы: управление и моделирование

Модель злоумышленного воздействия

Для формирования модели воздействия необходимо прежде всего описать ее компоненты. Предлагается следующий состав компонентов модели:

I. Список свойств защищаемой информации, которые необходимо контролировать.

II. Нарушитель регламентированных правил работы с информационными ресурсами в АСОД (в частности, злоумышленник). Под нарушителем понимается не только физическое или юридическое лицо, но и любое программно-аппаратное средство, которое может пытаться получить доступ к элементам и (или) ресурсам АСОД. Под злоумышленником понимается нарушитель, который имеет вполне определенные цели, связанные с несанкционированным проникновением в АСОД, поэтому основная особенность злоумышленника как нарушителя - целенаправленный характер его действий.

III. Состав компонентов АСОД, которые потенциально могут быть объектом воздействия нарушителя. Отметим, что множество всех компонентов обычно подразделяют на следующие четыре группы: а) программные и информационные ресурсы; б) технические средства обработки информации; в) персонал; г) инженерно-технические конструкции, включая инженерные коммуникации. Наиболее важной с точки зрения опасности воздействия является первая группа.

IV. Этап жизненного цикла, на котором осуществляется атака. Каждый этап имеет свои специфические особенности, которые в решающей степени определяют характер несанкционированного воздействия и его эффективность. Отметим, что каждый из объектов воздействия характеризуется своим набором этапов жизненного цикла.

В рассматриваемой модели сделаны допущения применительно ко всем перечисленным компонентам модели, позволяющие упростить модель до уровня, приемлемого для ее практической реализации.

1. Обеспечение безопасности информации заключается в обеспечении у защищаемых информационных ресурсов выполнения на требуемом уровне следующих трех свойств: доступность, целостность и конфиденциальность. Под доступностью понимается возможность за приемлемое время получить требуемую информационную услугу, под целостностью - защищенность информационных ресурсов от их искажения, разрушения и несанкционированного изменения, под конфиденциальностью - защищенность от несанкционированного доступа к информации. Часто наряду с данными свойствами в рамках обеспечения информационной безопасности рассматриваются также и ряд других: своевременность доставки информации, защищенность средств обработки информации, защита авторских прав и др. Однако первые три свойства информации являются наиболее важными с точки зрения их защищенности.

2. Для эффективности процесса обеспечения информационной безопасности большую ценность представляет информация о возможном первоисточнике злоумышленных действий, поскольку подобная информация позволяет спрогнозировать возможные цели его действий и на этой основе обеспечить более эффективное противодействие атакам. Выявление возможного первоисточника атак является достаточно затратной процедурой, однако практически все крупные фирмы занимаются экономической разведкой. Подавляющее большинство средних и малых фирм практически не имеют подобной возможности и поэтому вынуждены противодействовать возможным атакам в границах своей организации. Большинство атак (по некоторым оценкам, не менее 80 %) реализуются с участием персонала. Распространена следующая схема атаки со стороны зарубежного первоисточника. Некая зарубежная организация (государственное ведомство, фирма и т. п.) желает получить определенную информацию, являющуюся собственностью отечественного собственника (фирмы, ведомства, организации). С этой целью организуется следующая цепочка участников: посредническая (часто подставная) фирма за рубежом, которая находит партнера на отечественной территории; этот партнер находит непосредственных исполнителей злонамеренного замысла, которые для успешного осуществления своих намерений часто привлекают сотрудников организации - владельцев информации. Для этой организации и первоисточник атаки заблокирован цепочкой перечисленных посредников и поэтому практически недоступен. С этих позиций рассматриваются только угрозы, реализуемые с участием субъектов, которые могут непосредственно взаимодействовать (атаковать) с АСОД, поэтому разделим все множество непосредственных источников угроз на две категории:

— внутренние угрозы - угрозы со стороны лиц, имеющих возможность непосредственно-

го контакта с АСОД или ее элементами: персонал организации, партнеры (строительные, финансовые и банковские организации, ремонтные и консультационные центры), контролирующие структуры;

— внешние угрозы - угрозы со стороны лиц и организаций, которые могут установить (санкционированным или несанкционированным образом) непосредственный контакт с АСОД или ее элементами. Данное предположение существенно ограничивает число возможных источников атак, сводя проблему обеспечения информационной безопасности к защите рубежей контролируемой зоны.

В каждой категории выделяются две группы: субъекты-злоумышленники и нарушители, не имеющие злонамеренных целей (условно назовем их нарушителями). Таким образом, получаем четыре группы угроз: а) внутренние злоумышленники; б) внутренние нарушители (в частности, сотрудники, непреднамеренно нарушающие правила работы с закрытой информацией); в) внешние злоумышленники; г) внешние нарушители (в частности, хакеры, несанкционированно проникающие в систему только ради «спортивного интереса»).

3. Все множество возможных объектов атак разделим на следующие три наиболее важные категории: 1) программные средства обработки информации и информационные ресурсы (в частности, операционные системы, базы данных, пользовательские программные средства);

2) технические средства обработки информации (серверы, персональные компьютеры, сетевая аппаратура, камеры видео- и фотонаблюдения и т. п.); 3) (персонал).

4. Поскольку мы в модели ограничились лишь первыми тремя группами объектов, то перечислим эти этапы для указанных групп.

— программные и информационные ресурсы: 1) разработка; 2) приобретение;

3) настройка; 4) эксплуатация; 5) плановые проверки; 6) вывод из эксплуатации;

— технические средства обработки информации: 1) разработка; 2) приобретение;

3) настройка; 4) эксплуатация; 5) плановые проверки; 6) вывод из эксплуатации;

— персонал: 1) отбор сотрудников; 2) прием на работу; 3) обучение; 4) работа; 5) плановые проверки; 6) увольнение.

Одной из основных задач, которые целесообразно рассмотреть в рамках построенной модели, является задача оценки вероятности нарушения информационной безопасности объекта с опорой на оценку указанной вероятности для каждой группы нарушителей.

Оценка вероятностей нарушения информационной безопасности

Оценка вероятностей нарушения информационной безопасности объекта со стороны субъектов из каждой группы нарушителей существенно зависит от индивидуальных особенностей объекта защиты. Однако возможно формирование некоего исходного (базового) варианта, на основе которого в дальнейшем будут формироваться искомые вероятности.

В режиме круглого стола с привлечением пяти экспертов было произведено ранжирование важности аспектов информационной безопасности для каждой группы угроз и каждого типа объекта защиты (1 - наиболее важный объект, 3 - наименее важный); затем полученные оценки переведены в вероятности. При этом при оценивании степени злоумышленного интереса к защищаемой информации будем исходить из того, что численная величина, описывающая злоумышленный интерес к конкретной информации, пропорциональна уровню ее важности. Поэтому задача оценки возможности проникновения к конкретной защищаемой информации сводится к задаче оценки важности каждого типа защищаемой информации. Степень злоумышленного интереса оценивается вероятностью нарушения безопасности, которая представляется как произведение вероятности возникновения угрозы и вероятности ее реализации - опасность угрозы.

На основе приведенной выше классификации показателей информационной безопасности и их оценки с использованием экспертных методов было произведено ранжирование показателей по важности. Результаты приведены в табл. 1-3.

17

Ранжирование показателей по важности для программных и информационных ресурсов

Этапы жизненного цикла Категория угрозы Защищаемое свойство информации

Угроза доступности Угроза целостности Угроза конфиденциальности

Вероятность возникновения угрозы Опасность угрозы Результат Вероятность возникновения угрозы Опасность угрозы Результат Вероятность возникновения угрозы Опасность угрозы Результат

Разработка Внутренний злоумышленник 0,1 1 0,100 1 0,5 0,500 1 0,5 0,500

Внутренний нарушитель 0,3 0,7 0,210 1 0,3 0,300 1 0,3 0,300

Внешний злоумышленник 0,3 0,3 0,090 1 0,1 0,100 1 0,1 0,100

Внешний нарушитель 0 0,1 0,000 1 0,1 0,100 1 0,1 0,100

Приобретение Внутренний злоумышленник 1 0,5 0,500 1 0,5 0,500 1 0,5 0,500

Внутренний нарушитель 0,3 0,3 0,090 0,7 0,3 0,210 0,7 0,3 0,210

Внешний злоумышленник 0 0,1 0,000 0,7 0,1 0,070 0,7 0,1 0,070

Внешний нарушитель 0 0,1 0,000 0,3 0,1 0,030 0,3 0,1 0,030

Настройка Внутренний злоумышленник 1 0,5 0,500 1 0,5 0,500 1 0,5 0,500

Внутренний нарушитель 0,7 0,3 0,210 0,7 0,3 0,210 0,7 0,3 0,210

Внешний злоумышленник 0,3 0,1 0,030 0,7 0,1 0,070 0,7 0,1 0,070

Внешний нарушитель 0,3 0,1 0,030 0,3 0,1 0,030 0,3 0,1 0,030

Эксплуатация Внутренний злоумышленник 0,3 0,5 0,150 0,7 0,5 0,350 0,7 0,5 0,350

Внутренний нарушитель 0,3 0,3 0,090 0,3 0,3 0,090 0,3 0,3 0,090

Внешний злоумышленник 0 0,1 0,000 0,1 0,1 0,010 0,1 0,1 0,010

Внешний нарушитель 0 0,1 0,000 0 0,1 0,000 0 0,1 0,000

Плановые проверки Внутренний злоумышленник 0 0,5 0,000 1 0,5 0,500 1 0,5 0,500

Внутренний нарушитель 1 0,3 0,300 0,7 0,3 0,210 0,7 0,3 0,210

Внешний злоумышленник 0,7 0,1 0,070 0,3 0,1 0,030 0,3 0,1 0,030

Внешний нарушитель 0 0,1 0,000 0,1 0,1 0,010 0,1 0,1 0,010

Вывод из эксплуатации Внутренний злоумышленник 0 0,5 0,000 1 0,5 0,500 1 0,5 0,500

Внутренний нарушитель 0 0,3 0,000 0,7 0,3 0,210 0,7 0,3 0,210

Внешний злоумышленник 0 0,1 0,000 0,3 0,1 0,030 0,3 0,1 0,030

Внешний нарушитель 0,1 0,1 0,010 0,1 0,1 0,010 0,1 0,1 0,010

Технические системы: управление и моделирование

81

Ранжирование показателей по важности для технических средств обработки информации

Этапы жизненного цикла Категория угрозы Защищаемое свойство информации

Уг1 юза доступности Угроза целостности Угроза конфиденциальности

Вероятность возникновения угрозы Опасность угрозы Результат Вероятность возникновения угрозы Опасность угрозы Результат Вероятность возникновения угрозы Опасность угрозы Результат

Разработка Внутренний злоумышленник 1 0,5 0,500 1 0,5 0,500 1 0,5 0,500

Внутренний нарушитель 0,7 0,3 0,210 0,7 0,3 0,210 0,7 0,3 0,210

Внешний злоумышленник 0,3 0,1 0,030 0,3 0,1 0,030 0,3 0,1 0,030

Внешний нарушитель 0,3 0,1 0,030 0,1 0,1 0,010 0,1 0,1 0,010