Наиболее распространенные угрозы
Основные определения и критерии классификации угроз
Угроза — это потенциальная возможность определенным образом нарушить информационную безопасность.
Попытка реализации угрозы называется атакой , а тот, кто предпринимает такую попытку, — злоумышленником . Потенциальные злоумышленники называются источниками угрозы .
Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).
Промежуток времени от момента, когда появляется возможность использовать слабое место, и до момента, когда пробел ликвидируется, называется окном опасности , ассоциированным с данным уязвимым местом. Пока существует окно опасности , возможны успешные атаки на ИС.
Если речь идет об ошибках в ПО , то окно опасности «открывается» с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.
Для большинства уязвимых мест окно опасности существует сравнительно долго (несколько дней, иногда — недель), поскольку за это время должны произойти следующие события:
- должно стать известно о средствах использования пробела в защите;
- должны быть выпущены соответствующие заплаты;
- заплаты должны быть установлены в защищаемой ИС.
Мы уже указывали, что новые уязвимые места и средства их использования появляются постоянно; это значит, во-первых, что почти всегда существуют окна опасности и, во-вторых, что отслеживание таких окон должно производиться постоянно, а выпуск и наложение заплат — как можно более оперативно.
Отметим, что некоторые угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения ИС от качественного электропитания.
Рассмотрим наиболее распространенные угрозы , которым подвержены современные информационные системы . Иметь представление о возможных угрозах , а также об уязвимых местах, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности. Слишком много мифов существует в сфере информационных технологий (вспомним все ту же «Проблему 2000»), поэтому незнание в данном случае ведет к перерасходу средств и, что еще хуже, к концентрации ресурсов там, где они не особенно нужны, за счет ослабления действительно уязвимых направлений.
Подчеркнем, что само понятие » угроза » в разных ситуациях зачастую трактуется по -разному. Например, для подчеркнуто открытой организации угроз конфиденциальности может просто не существовать — вся информация считается общедоступной; однако в большинстве случаев нелегальный доступ представляется серьезной опасностью. Иными словами, угрозы , как и все в ИБ, зависят от интересов субъектов информационных отношений (и от того, какой ущерб является для них неприемлемым).
Мы попытаемся взглянуть на предмет с точки зрения типичной (на наш взгляд) организации. Впрочем, многие угрозы (например, пожар) опасны для всех.
Угрозы можно классифицировать по нескольким критериям:
- по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;
- по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);
- по способу осуществления (случайные/преднамеренные, действия природного/техногенного характера);
- по расположению источника угроз (внутри/вне рассматриваемой ИС).
В качестве основного критерия мы будем использовать первый ( по аспекту ИБ), привлекая при необходимости остальные.
Наиболее распространенные угрозы доступности
Самыми частыми и самыми опасными (с точки зрения размера ущерба ) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы .
Иногда такие ошибки и являются собственно угрозами (неправильно введенные данные или ошибка в программе, вызвавшая крах системы), иногда они создают уязвимые места, которыми могут воспользоваться злоумышленники (таковы обычно ошибки администрирования). По некоторым данным, до 65% потерь — следствие непреднамеренных ошибок .
Пожары и наводнения не приносят столько бед, сколько безграмотность и небрежность в работе.
Очевидно, самый радикальный способ борьбы с непреднамеренными ошибками — максимальная автоматизация и строгий контроль .
Другие угрозы доступности классифицируем по компонентам ИС, на которые нацелены угрозы :
- отказ пользователей ;
- внутренний отказ информационной системы;
- отказ поддерживающей инфраструктуры .
Обычно применительно к пользователям рассматриваются следующие угрозы :
- нежелание работать с информационной системой (чаще всего проявляется при необходимости осваивать новые возможности и при расхождении между запросами пользователей и фактическими возможностями и техническими характеристиками);
- невозможность работать с системой в силу отсутствия соответствующей подготовки (недостаток общей компьютерной грамотности, неумение интерпретировать диагностические сообщения , неумение работать с документацией и т.п.);
- невозможность работать с системой в силу отсутствия технической поддержки (неполнота документации, недостаток справочной информации и т.п.).
Основными источниками внутренних отказов являются:
- отступление (случайное или умышленное) от установленных правил эксплуатации;
- выход системы из штатного режима эксплуатации в силу случайных или преднамеренных действий пользователей или обслуживающего персонала (превышение расчетного числа запросов, чрезмерный объем обрабатываемой информации и т.п.);
- ошибки при (пере)конфигурировании системы;
- отказы программного и аппаратного обеспечения;
- разрушение данных;
- разрушение или повреждение аппаратуры .
По отношению к поддерживающей инфраструктуре рекомендуется рассматривать следующие угрозы :
- нарушение работы (случайное или умышленное) систем связи, электропитания, водо- и/или теплоснабжения, кондиционирования;
- разрушение или повреждение помещений;
- невозможность или нежелание обслуживающего персонала и/или пользователей выполнять свои обязанности (гражданские беспорядки, аварии на транспорте, террористический акт или его угроза , забастовка и т.п.).
Весьма опасны так называемые «обиженные» сотрудники — нынешние и бывшие. Как правило, они стремятся нанести вред организации-«обидчику», например:
- испортить оборудование;
- встроить логическую бомбу , которая со временем разрушит программы и/или данные;
- удалить данные.
Обиженные сотрудники , даже бывшие, знакомы с порядками в организации и способны нанести немалый ущерб . Необходимо следить за тем, чтобы при увольнении сотрудника его права доступа (логического и физического) к информационным ресурсам аннулировались.
Опасны, разумеется, стихийные бедствия и события, воспринимаемые как стихийные бедствия ,- пожары, наводнения, землетрясения, ураганы. По статистике, на долю огня, воды и тому подобных » злоумышленников » (среди которых самый опасный — перебой электропитания) приходится 13% потерь, нанесенных информационным системам.
Источник
Основы информационной безопасности
20.2. Классификация источников угроз
Современное развитие информационных технологий, и в частности, технологий Internet/Intranet, приводит к необходимости всесторонней защиты информации, передаваемой в рамках распределенной корпоративной сети, использующей внешние сети открытого доступа. При использовании собственных физических каналов работы с данными эта проблема не стоит так остро, так как в такую сеть не имеет доступа никто из посторонних. Однако свои каналы может позволить себе далеко не любая компания. Поэтому приходится изобретать способы защиты конфиденциальных данных, передаваемых по фактически незащищенной сети. Оценка реальной ситуации сводится в большинстве случаев к ответу на следующие ключевые вопросы, составляющие системную основу обеспечения информационной безопасности: надо ли защищаться, от кого надо защищаться, от чего надо защищаться, что надо защищать, как надо защищаться, что обеспечит эффективность защиты, во что обойдется разработка, внедрение, эксплуатация, сопровождение и развитие систем защиты. Первые три вопроса непосредственным образом относятся к проблеме оценки реальных угроз.
Надо ли защищаться? Ответов на этот вопрос неоднозначен — многое зависит от структуры, области деятельности и целей компании. Для одних первоочередной задачей является предотвращение утечки информации (маркетинговых планов, перспективных разработок, величины и распределения прибыли и т. д.) к конкурентам. Другие могут пренебречь конфиденциальностью своей информации и сосредоточить свое внимание на ее целостности (например, для научно-исследовательских организаций, имеющих открытые Web-серверы). Для третьих компаний на первом месте стоит задача обеспечения максимальной доступности и безотказной работы корпоративных информационных систем. Например, для провайдера Interner-услуг, оператора связи или общедоступного справочного сервера первейшей задачей является именно обеспечение безотказной работы всех (или наиболее важных) узлов своей информационной системы. Расставить такого рода приоритеты можно только в результате анализа деятельности компании.
Обычно, когда речь заходит о безопасности компании, ее руководство недооценивает важность информационной безопасности. Основной упор делается на физической безопасности предприятия (пропускной режим, охрана, системы видеонаблюдения и пр.). Однако за последние годы ситуация существенно изменилась. Для того чтобы проникнуть в тайны компании, нет необходимости вторгаться в служебные помещения, вскрывать сейфы, похищать документы. Достаточно проникнуть в информационную систему, скачать или подменить конфиденциальную информацию, перевести финансовые средства на другие счета или вывести из строя какой-либо модуль корпоративной информационной системы или узел локальной сети.
Все это может привести к огромному ущербу. Причем не только к прямому ущербу, оцениваемому непосредственно в денежном выражении, но и к косвенному, имеющему не меньшее значение. Потеря конфиденциальной информации может привести к банкротству компании. Выведение из строя того или иного узла приводит к затратам на восстановление его работоспособности, обновление или замену программного обеспечения, зарплату обслуживающего персонала. Атака на публичный Web-сервер компании и замена его содержимого на любое другое может привести к снижению доверия к фирме и, как следствие, потере части клиентуры и снижению доходов.
От кого надо защищаться? В абсолютном большинстве случаев ответом на этот вопрос является фраза: «От хакеров». Исследования показали, что, по мнению большинства российских предпринимателей, основная опасность исходит именно от внешних злоумышленников, которые проникают в компьютерные системы банков и корпораций, перехватывают управление бизнес-процессами, «взламывают» сайты, запускают «троянских коней». Ажиотаж вызван средствами массовой информации и непониманием природы проблемы.
Такая опасность существует и нельзя ее недооценивать. В системах информационной защиты обязательно должны быть соответствующие модули защиты от внешних угроз. Но эта опасность часто преувеличена. Обратимся к статистике.
До 75-85% всех компьютерных угроз и преступлений связаны с внутренними нарушениями, т. е. осуществляются действующими или уволенными сотрудниками компании. Согласно ежегодному исследованию Computer Security Institute (CSI, USA) в 2003 г. суммарный ущерб от всех внутренних угроз корпоративным информационным системам достиг 50 млн дол. (по опросу 500 респондентов из разных секторов экономики). По данным за 2004 г. ущерб снизился и составил около 30 млн дол. По данным опроса менеджеров компаний США, отвечающих за информационную безопасность, в 2003 г. в структура внутренних угроз вследствие несанкционированной деятельности сотрудников выглядела следующим образом: скачивание ПО, музыки, видео и т. п. составило 18%, в 40% случаев имел место нелегальный доступ к конфиденциальной информации, 19% пришлись на похищение важной корпоративной информации, 23% составили ошибки сотрудников в работе с компьютерными устройствами и невыполнение обязательных правил работы в корпоративной сети. По России достоверная статистика отсутствует. За 2003 г. в 81% случаев источником реальных атак были недовольные сотрудники компаний. Для сравнения: хакеры, атакующие корпоративные сети извне, оказывались источником атак в 77% случаев.
Существует достаточно много примеров, когда сотрудник компании, считая, что его на работе не ценят, совершал компьютерное преступление, приводящее к многомиллионным убыткам. Известно немало случаев, когда после увольнения бывшие сотрудники отдела автоматизации одной компании в течение долгого времени пользуются доступом в Интернет, зарегистрированным на данную компанию. При увольнении этих сотрудников пароли, к которым они имели доступ в рамках своих служебных обязанностей, как правило, не изменяются. В течение долгого времени никто не замечает, что бывшие сотрудники пользуются платным доступом в Интернет. Спохватываются лишь тогда, когда замечают резко возросшие счета за траффик. Этот случай достаточно показательный, так как иллюстрирует очень распространенную практику в российских компаниях.
Однако самая большая опасность может исходить не от уволенных или обиженных обычных сотрудников, а от тех, кто облечен соответствующими полномочиями и имеет доступ к широкому спектру важной информации. Обычно это менеджеры и сотрудники ИТ-отделов (администрирования систем, информатизации, автоматизации, телекоммуникаций), которые по долгу службы знают пароли и способы доступа ко всем системам, применяемым в организации. Их квалификация, знания и опыт, используемые во вред, могут привести к очень большим проблемам. Кроме того, действия таких специалистов очень трудно обнаружить, поскольку они обладают достаточными знаниями о системе защиты организации, чтобы обойти используемые защитные механизмы. Поэтому при построении системы защиты необходимо защищаться не только и не столько от внешних злоумышленников, сколько от злоумышленников внутренних.
При создании защищенных корпоративных систем нередко упускается из виду распределение и текущее перераспределение прав доступа к информации, и оставляются открытыми такие очевидные причины утечки конфиденциальной информации, как «слабые» (или «долгоживущие») пароли или невнедренные, «неработающие» положения политики корпоративной безопасности. Некоторые специалисты предлагают радикальный метод — запретить любое обращение к данным, если оно не санкционировано высшим руководством, но защита информации от несанкционированного доступа (НСД) — это комплексная задача. Она не может быть решена одними лишь административными или техническими мерами. Защита от НСД должна строиться, как минимум, на трех уровнях — административном, физическом и программно-аппаратном.
Повторим, однако, что ни административная, ни физическая защита от НСД не предотвратит хищение конфиденциальной информации сотрудниками, если они имеют к ней свободный доступ. Приведем конкретный пример. Риск неконтролируемого использования различных устройств передачи и хранения информации резко увеличился с выходом Windows 2000 и поддержкой в ней технологии USB. Недавно выпущенный пакет обновления Service Pack 2 для Windows XP с множеством улучшений подсистемы безопасности не содержит в себе средств разграничения доступа к портам USB и FireWire.
Вообще Windows XP (а также NT/2000/ Server 2003) обладает широкими возможностями по контролю доступа пользователей к различным ресурсам и позволяет настраивать разнообразные политики безопасности. Однако полноценный контроль доступа к USB-портам невозможен с помощью только встроенных средств администрирования. Windows разрешает любому пользователю устанавливать USB-устройства и работать с ними. Поэтому USB-порт представляет собой неконтролируемый канал утечки конфиденциальных данных и заражения корпоративной сети вирусами и «червями» в обход серверных шлюзов и антивирусов — и таких точек неконтролируемого доступа в большой распределенной компании может быть множество. Точно так же дело обстоит и с записывающими CD-ROM, FireWire-портами и многими другими устройствами.
Самый простой способ решения проблемы — отключение USB-портов через BIOS — часто является и самым неэффективным, так как современные внешние устройства (мышь, клавиатура, принтер, сканер и т. д.) все чаще снабжены USB-коннекторами.
От чего надо защищаться? Во-первых, это вирусы (Virus, Worm) и всевозможные виды практически бесполезной информации (обычно рекламы), принудительно рассылаемой абонентам электронной почты (Spam). По различным данным — в 2003 г. вирусным атакам было подвержено от 80 до 85% компаний во всем мире. И эта цифра продолжает расти.
Далее следует назвать программы типа «троянский конь» (Trojan Horse), которые могут быть незаметно для владельца установлены на его компьютер и также незаметно функционировать на нем. Простые варианты «троянского коня» выполняют всего лишь одну функцию — например, кражу паролей, но есть и более «продвинутые» экземпляры, которые реализуют широкий спектр функций для удаленного управления компьютером, включая просмотр содержимого каталогов, перехват всех вводимых с клавиатуры команд, кражу или искажение данных и информации, изменение файлов и содержания полей баз данных.
Другим распространенным типом атак являются действия, направленные на выведение из строя того или иного узла сети. Эти атаки получили название «отказ в обслуживании» (Service Denial), и на сегодняшний день известно более сотни различных вариантов этих действий. Выше отмечалось, что выведение из строя узла сети на несколько часов может привести к очень серьезным последствиям. Например, выведение из строя сервера платежной системы банка приведет к невозможности осуществления платежей и, как следствие, к большим прямым и косвенным финансовым и рейтинговым потерям.
Атаки и угрозы такого типа являются наиболее частыми, и поэтому находятся у всех на слуху. Однако существуют и другие угрозы, которые могут привести к серьезным последствиям. Например, система обнаружения атак RealSecure обнаруживает более 600 различных событий, влияющих на безопасность и относящихся к внешним атакам.
Укажем еще один источник угроз, который с точки зрения размера ущерба может быть отнесен к одному из самых распространенных в России, — непреднамеренные ошибки пользователей ИС, операторов, системных администраторов и других лиц, обслуживающих информационные системы. Иногда такие ошибки являются угрозами (неправильно введенные данные, ошибка в программе), а иногда они создают слабости, которыми могут воспользоваться злоумышленники, — таковы обычно ошибки администрирования и предоставления доступа. Согласно, 65% потерь — следствие непреднамеренных ошибок из-за компьютерной неграмотности и безответственности сотрудников компаний и пользователей ИС. Очевидно, самый радикальный способ борьбы с непреднамеренными ошибками — максимальная автоматизация информационных процессов, системы программной и технической «защиты от дурака» (Fool Proof), эффективное обучение персонала и строгий контроль правильности совершаемых действий.
Анализ негативных последствий возникновения и осуществления угроз предполагает обязательную идентификацию возможных источников угроз, уязвимостей, способствующих их проявлению и методов реализации. В связи с этим угрозы экономической и информационной безопасности необходимо классифицировать с тем, чтобы наиболее полно и адекватно проводить указанную идентификацию: по источнику угрозы, по природе возникновения, по вероятности реализации, по отношению к виду человеческой деятельности, по объекту посягательства, по последствиям, по возможностям прогнозирования. Одна из возможных моделей классификации угроз представлена на рис. 20.2-1.
В ходе анализа необходимо убедиться, что все возможные источники угроз и уязвимости идентифицированы и сопоставлены друг с другом, а все идентифицированные источники угроз и уязвимостям сопоставлены с методами их нейтрализации и устранения. При этом важно иметь возможность, при необходимости, не меняя самого методического подхода, выявлять новые виды источников угроз, разрабатывать методы нейтрализации уязвимостей, которые можно предусмотреть при грамотной оценке реальной ситуации.
Указанная классификация может служить основой для выработки методики оценки актуальности той или иной угрозы, и при обнаружении наиболее актуальных угроз могут приниматься меры по выбору методов и средств для их предотвращения или нейтрализации.
При выявлении актуальных угроз экспертно-аналитическим методом определяются объекты защиты, подверженные воздействию той или иной угрозы, характерные источники этих угроз и уязвимости, способствующие реализации угроз. На основании анализа составляется матрица взаимосвязи источников угроз и уязвимостей, из которой определяются возможные последствия реализации угроз (атаки) и вычисляется коэффициент значимости (степени опасности) этих атак как произведение коэффициентов опасности соответствующих угроз и источников угроз, определенных ранее. Один из возможных алгоритмов проведения такого анализа показан на рис. 20.2-2.
Благодаря такому подходу возможно:
- установить приоритеты целей безопасности для субъекта отношений;
- определить перечень актуальных источников угроз;
- определить перечень актуальных уязвимостей;
- оценить взаимосвязь уязвимостей, источников угроз, возможности их осуществления;
- определить перечень возможных атак на объект;
- разработать сценарии возможных атак;
- описать возможные последствия реализации угроз;
- разработать комплекс защитных мер и систему управления экономической и информационной безопасностью предприятия.
Результаты проведения оценки и анализа могут быть использованы при выборе адекватных оптимальных методов парирования угроз, а также при аудите реального состояния информационной безопасности объекта.
Для создания оптимальной системы информационной безопасности предприятия необходимо грамотно оценить ситуацию, выявить возможные риски, разработать концепцию и политику безопасности, на основе которых строится модель системы и вырабатываются соответствующие механизмы реализации и функционирования.
Источник
