Некоторые угрозы нельзя считать следствием целенаправленных действий вредного характера. Существуют угрозы, вызванные случайными ошибками или техногенными явлениями.
Отправной точкой при анализе угроз информационной безопасности является определение составляющей информационной безопасности, которая может быть нарушена той или иной угрозой: конфиденциальность, целостность или доступность.
Угрозы информационной безопасности классифицируются по нескольким признакам:
–по составляющим информационной безопасности (доступность,
целостность, конфиденциальность), против которых, в первую очередь, направлены угрозы;
–по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, персонал);
–по характеру воздействия (случайные или преднамеренные, действия природного или техногенного характера);
–по расположению источника угроз (внутри или вне рассматриваемой информационной системы).
Особую опасность представляют внешние угрозы, обусловленные применением вычислительных сетей и созданием на их основе информационных систем. Особенность данного вида угроз заключается в том, что местоположение и характер злоумышленника изначально неизвестны.
По причине возникновения все множество угроз можно разделить на два класса:
–случайные или непреднамеренные;
–преднамеренные.
Угрозы, которые не связаны с преднамеренными действиями злоумышленников и реализуются в случайные моменты времени, называют случайным или непреднамеренными (стихийные бедствия, аварии, сбои, отказы, ошибки персонала, помехи и т.п.).
Реализация угроз этого класса приводит к наибольшим потерям информации (по статистическим данным – до 80% от общего ущерба, наносимого информационным ресурсам всеми угрозами).
Механизм их реализации изучен достаточно хорошо, накоплен значительный опыт противодействия этим угрозам. Современная технология разработки технических и программных средств, эффективная система эксплуатации информационных систем, включающая обязательное резервирование информации, позволяют значительно снизить потери от реализации угроз этого класса.
Второй класс угроз безопасности информации составляют преднамеренно создаваемые угрозы. Данный класс угроз изучен недостаточно, очень динамичен и постоянно пополняется новыми угрозами. Угрозы этого
30
класса в соответствии с их физической сущностью и механизмами реализации могут быть распределены по пяти группам:
–традиционный или универсальный шпионаж и диверсии;
–несанкционированный доступ к информации;
–электромагнитные излучения и наводки;
–модификация структур информационных систем;
–вредительские программы.
В качестве источников нежелательного воздействия на информационные ресурсы по-прежнему актуальны методы и средства шпионажа и диверсий, которые использовались и используются для добывания или уничтожения информации на объектах, не имеющих информационных систем. Эти методы также действенны и эффективны в условиях применения информационных систем. Чаще всего они используются для получения сведений о системе защиты с целью проникновения в информационную систему, а также для хищения и уничтожения информационных ресурсов.
К методам шпионажа и диверсий относятся:
–подслушивание;
–визуальное наблюдение;
–хищение документов и машинных носителей информации;
–хищение программ и атрибутов системы защиты;
–подкуп и шантаж сотрудников;
–сбор и анализ отходов машинных носителей информации;
–поджоги, взрывы.
Одним из наиболее распространенных и многообразных способов воздействия на информационную систему, позволяющим нанести ущерб любой из составляющих информационной безопасности является
несанкционированный доступ (НСД). Несанкционированный доступ возможен из-за ошибок в системе защиты, нерационального выбора средств защиты, их некорректной установки и настройки.
Каналы НСД классифицируются по компонентам автоматизированных информационных систем:
Через человека:
–хищение носителей информации;
–чтение информации с экрана или клавиатуры;
–чтение информации из распечатки. Через программу:
–перехват паролей;
–расшифровка зашифрованной информации;
–копирование информации с носителя. Через аппаратуру:
–подключение специально разработанных аппаратных средств, обеспечивающих доступ к информации;
–перехват побочных электромагнитных излучений от аппаратуры, линий связи, сетей электропитания и т. д.
31
Выполнение установленных правил разграничения доступа в информационных системах реализуется за счет создания системы разграничения доступа (СРД).
Несанкционированный доступ к информации возможен только с использованием штатных аппаратных и программных средств в следующих случаях:
–отсутствует система, разграничения доступа;
–сбой или отказ в информационной системе;
–ошибочные действия пользователей или обслуживающего персонала информационных систем;
–ошибки в СРД;
–фальсификация полномочий.
Если СРД отсутствует, то злоумышленник, имеющий навыки работы в информационной системе, может получить без ограничений доступ к любой информации.
Электромагнитные излучения используются злоумышленниками не только для получения информации, но и для ее уничтожения. Электромагнитные импульсы способны уничтожить информацию на магнитных носителях. Мощные электромагнитные и сверхвысокочастотные излучения могут вывести из строя электронные блоки системы. Большую угрозу безопасности информации в информационной системе представляет несанкционированная модификация алгоритмической, программной и технической структур системы. Несанкционированная модификация структур может осуществляться на любом жизненном цикле информационной системы. Несанкционированное изменение структуры системы на этапах разработки и модернизации получило название «закладка».
Алгоритмические, программные и аппаратные «закладки» используются либо для непосредственного вредительского воздействия на информационную систему, либо для обеспечения неконтролируемого входа в систему. Вредительские воздействия «закладок» на систему осуществляются при получении соответствующей команды извне (в основном характерно для аппаратных «закладок») и при наступлении определенных событий в системе. Такими событиями могут быть, переход на определенный режим работы.
Программные и аппаратные «закладки» для осуществления неконтролируемого входа в программы, использование привилегированных режимов работы (например, режимов операционной системы), обхода средств защиты информации получили название люки.
Одним из основных источников угроз безопасности информации в КС является использование специальных программ, получивших общее название вредительские программы. В зависимости от механизма действия вредительские программы делятся на четыре класса: «логические бомбы», «черви», «троянские кони», «компьютерные вирусы».
32
Тема 2.2. Модель нарушителя информационной безопасности
Для предотвращения возможных угроз необходимо не только обеспечить защиту информации, но и попытаться выявить категории нарушителей и те методы, которые они используют.
Нарушитель – это лицо, предпринявшее попытку выполнения запрещенных операций (действий) по ошибке, незнанию или осознанно со злым умыслом (из корыстных интересов) или без такового (ради игры или удовольствия, с целью самоутверждения и т.п.) и использующее для этого различные возможности, методы и средства. Злоумышленником называется нарушитель, намеренно идущий на нарушение из корыстных побуждений.
Неформальная модель нарушителя отражает его практические и теоретические возможности, априорные знания, время и место действия и т.п. Для достижения своих целей нарушитель должен приложить некоторые усилия, затратить определенные ресурсы. Исследовав причины нарушений, можно либо повлиять на сами эти причины (конечно, если это возможно), либо точнее определить требования к системе защиты отданного вида нарушений или преступлений.
В каждом отдельном случае, исходя из конкретной технологии обработки информации, может быть определена модель нарушителя, которая должна быть адекватна реальному нарушителю.
При разработке модели нарушителя определяются:
–предположения о категориях лиц, к которым может принадлежать нарушитель;
–предположения о мотивах действий нарушителя (преследуемых нарушителем целях);
–предположения о квалификации нарушителя и его технической оснащенности (об используемых для совершения нарушения методах и средства);
–ограничения и предположения о характере возможных действий нарушителей.
По отношению к информационным ресурсам нарушители могут быть внутренними (из числа персонала) или внешними (посторонними лицами).
Внутренним нарушителем может быть лицо из следующих категорий персонала:
–пользователи (операторы) информационной системы;
–персонал, обслуживающий технические средства (инженеры, техники);
–сотрудники отделов разработки и сопровождения программного обеспечения (прикладные и системные программисты);
–технический персонал, обслуживающий здания (уборщики, электрики, сантехники и другие сотрудники, имеющие доступ в здания и помещения, где расположены компоненты информационной системы);
–сотрудники службы безопасности;
33
–руководители различных уровней должностной иерархии. Посторонние лица, которые могут быть нарушителями:
–клиенты (представители организаций, граждане);
–посетители (случайные или приглашенные по какому-либо поводу);
–представители организаций, взаимодействующих по вопросам обеспечения жизнедеятельности организации (энерго-, водо-, теплоснабжения и т.п.);
–представители конкурирующих организаций (иностранных спецслужб) или лица, действующие по их заданию;
–лица, случайно или умышленно нарушившие пропускной режим (без цели нарушить безопасность);
–любые лица за пределами контролируемой территории.
Можно выделить три основных мотива нарушений: безответственность, самоутверждение и корыстный интерес.
При нарушениях, вызванных безответственностью, пользователь целенаправленно или случайно производит какие-либо разрушающие действия, не связанные, тем не менее, со злым умыслом. В большинстве случаев это следствие некомпетентности или небрежности.
Некоторые пользователи считают получение доступа к системным наборам данных крупным успехом, затевая своего рода игру «пользователь – против системы» ради самоутверждения либо в собственных глазах, либо в глазах коллег.
Нарушение безопасности информационной системы может быть вызвано и корыстным интересом пользователя системы. В этом случае он будет целенаправленно пытаться преодолеть систему защиты для доступа к хранимой, передаваемой и обрабатываемой в системе информации. Даже если система имеет средства, делающие такое проникновение чрезвычайно сложным, полностью защитить ее от проникновения практически невозможно.
Всех нарушителей можно классифицировать следующим образом. По уровню знаний об информационной системе:
–знает функциональные особенности системы, основные закономерности формирования в ней массивов данных и потоков запросов к ним, умеет пользоваться штатными средствами;
–обладает высоким уровнем знаний и опытом работы с техническими средствами системы и их обслуживания;
–обладает высоким уровнем знаний в области программирования и вычислительной техники, проектирования и эксплуатации автоматизированных информационных систем;
–знает структуру, функции и механизм действия средств защиты, их сильные и слабые стороны.
По уровню возможностей (используемым методам и средствам):
–применяющий чисто агентурные методы получения сведений;
34