|
|
@@ -0,0 +1,100 @@
|
|
|
+# Источники и объекты воздействия угроз безопасности информации
|
|
|
+
|
|
|
+## Введение
|
|
|
+
|
|
|
+Любая система защиты информации начинается с ответа на два вопроса: от кого (или от чего) защищаемся и что именно защищаем. В нормативных документах и методических рекомендациях эти две сущности принято различать как **источник угрозы** и **объект воздействия**. Если источник показывает, где может возникнуть деструктивное начало, то объект воздействия — это конкретный компонент информационной системы (или сама информация), на который направлена угроза. Без чёткого понимания этой связки модель угроз превращается в формальный перечень, который не помогает выстроить реальную защиту.
|
|
|
+
|
|
|
+В докладе кратко разобраны основные подходы к классификации источников угроз, а также перечень объектов воздействия, который используется при оценке угроз безопасности информации.
|
|
|
+
|
|
|
+## 1. Понятие угрозы и её структура
|
|
|
+
|
|
|
+В нормативных документах угроза безопасности информации определяется как совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации. Из этого определения следует важный практический вывод: угроза — это не обязательно уже случившаяся атака; она может существовать как возможность, которая при определённых условиях реализуется.
|
|
|
+
|
|
|
+Структурно угроза характеризуется наличием **объекта угрозы**, **источника угрозы** и **проявления угрозы** (способа реализации). Именно источник и объект воздействия являются отправными точками при построении модели угроз: сначала определяется, какие нарушители и явления могут представлять опасность, затем — на какие компоненты системы они могут повлиять.
|
|
|
+
|
|
|
+## 2. Источники угроз безопасности информации
|
|
|
+
|
|
|
+### 2.1. Классификация по природе возникновения
|
|
|
+
|
|
|
+Наиболее распространённый подход — деление источников на три группы по природе их происхождения.
|
|
|
+
|
|
|
+**Антропогенные источники** — это субъекты (физические лица, группы лиц, организации), действия которых могут быть как умышленными, так и случайными. К ним относятся внешние и внутренние нарушители: хакеры, конкуренты, недобросовестные сотрудники, а также пользователи, допускающие ошибки в работе с информацией.
|
|
|
+
|
|
|
+**Техногенные источники** — отказы и сбои технических и программных средств, ошибки в программном обеспечении, дефекты оборудования, проблемы с электропитанием и каналами связи. Такие источники менее предсказуемы, чем действия людей, и напрямую зависят от качества используемой техники.
|
|
|
+
|
|
|
+**Стихийные источники** — природные явления и катаклизмы: пожары, наводнения, землетрясения, удары молнии. Полностью исключить их невозможно, поэтому защита строится на снижении последствий (резервное копирование, размещение в защищённых помещениях, дублирование каналов).
|
|
|
+
|
|
|
+В таблице ниже приведены примеры для каждой группы с привязкой к характеру воздействия на информацию.
|
|
|
+
|
|
|
+| Группа источников | Характер воздействия | Типичные примеры |
|
|
|
+|---|---|---|
|
|
|
+| **Антропогенные** | Умышленные или случайные действия субъектов | Внешний злоумышленник, внутренний нарушитель, ошибка пользователя, социальная инженерия |
|
|
|
+| **Техногенные** | Отказы, сбои, дефекты техники и ПО | Отказ сервера, ошибка в обновлении, сбой диска, перебой электропитания |
|
|
|
+| **Стихийные** | Природные явления | Пожар в серверной, затопление, удар молнии, землетрясение |
|
|
|
+
|
|
|
+### 2.2. Внутренние и внешние источники
|
|
|
+
|
|
|
+По отношению к контролируемой зоне организации источники угроз делятся на **внешние** и **внутренние**. Это деление важно потому, что для внешних и внутренних нарушителей применяются разные организационные и технические меры.
|
|
|
+
|
|
|
+**Внешние источники** находятся за пределами контролируемой зоны: хакерские группировки, конкуренты, иностранные спецслужбы, а также внешние техногенные и природные факторы (аварии на сетях связи, стихийные бедствия). **Внутренние источники**, напротив, связаны с персоналом и инфраструктурой самой организации.
|
|
|
+
|
|
|
+**Внутренние источники** — это сотрудники, администраторы, обслуживающий персонал, а также внутренние технические сбои. Как показывает практика, внутренний нарушитель часто обладает более широкими возможностями, поскольку у него уже есть легитимный доступ к части ресурсов. В банках данных угроз для каждой угрозы указываются источники угрозы и объекты воздействия; например, для ряда угроз в качестве источника фиксируются одновременно внешний и внутренний нарушитель со средним потенциалом, а в качестве объекта — системное и прикладное программное обеспечение, аппаратное обеспечение.
|
|
|
+
|
|
|
+### 2.3. Нарушители как основной антропогенный источник
|
|
|
+
|
|
|
+В нормативных документах нарушитель определяется как физическое лицо или логический объект, случайно или преднамеренно совершивший действие, следствием которого является нарушение информационной безопасности организации. Источники угроз принято подразделять на **субъекты** (физические лица, организации, государства) и **явления** (стихийные бедствия, техногенные сбои).
|
|
|
+
|
|
|
+Среди субъектов-нарушителей обычно выделяют:
|
|
|
+
|
|
|
+- внешних нарушителей (не являющихся сотрудниками организации);
|
|
|
+- внутренних нарушителей (сотрудников, руководителей, а также лиц, имеющих договорные отношения с организацией);
|
|
|
+- бывших сотрудников, сохранивших знание внутренней инфраструктуры.
|
|
|
+
|
|
|
+Такая детализация нужна не ради классификации как таковой, а для оценки **потенциала нарушителя** и выбора адекватных мер. Очевидно, что защита от внешнего хакера и от невнимательного сотрудника строится по-разному.
|
|
|
+
|
|
|
+## 3. Объекты воздействия угроз безопасности информации
|
|
|
+
|
|
|
+### 3.1. Перечень объектов воздействия
|
|
|
+
|
|
|
+Если источники отвечают на вопрос «кто/что может воздействовать», то объекты воздействия показывают, **на что именно направлена угроза**. В методических документах по оценке угроз для информационных систем приводится достаточно конкретный перечень таких объектов:
|
|
|
+
|
|
|
+- информация, содержащаяся в системе (обрабатываемые данные, сведения о событиях безопасности);
|
|
|
+- информация, передаваемая по вычислительным сетям;
|
|
|
+- технические средства обработки и хранения информации (рабочие станции, серверы);
|
|
|
+- сетевое оборудование (маршрутизаторы, коммутаторы);
|
|
|
+- машинные носители информации;
|
|
|
+- системное и прикладное программное обеспечение;
|
|
|
+- средства защиты информации;
|
|
|
+- пользователи и администраторы системы.
|
|
|
+
|
|
|
+Этот перечень удобен тем, что охватывает как «цифровые» активы (данные, ПО), так и физические компоненты (носители, техника), а также персонал, который может стать объектом социальной инженерии.
|
|
|
+
|
|
|
+### 3.2. Связь объекта воздействия с видом воздействия
|
|
|
+
|
|
|
+Один и тот же объект может подвергаться разным видам воздействия, и последствия будут различаться. В таблице ниже обобщены основные сочетания, которые встречаются при описании угроз.
|
|
|
+
|
|
|
+| Объект воздействия | Основные виды воздействия | На что направлено (последствия) |
|
|
|
+|---|---|---|
|
|
|
+| **Информация в системе** | Несанкционированный доступ; модификация; блокирование; уничтожение | Нарушение конфиденциальности, целостности, доступности |
|
|
|
+| **Информация в сетях** | Перехват; модификация; блокирование | Утечка, искажение, нарушение обмена |
|
|
|
+| **Технические средства** | Физическое воздействие; отказ в доступе; несанкционированное использование ресурсов | Нарушение доступности и целостности обработки |
|
|
|
+| **Машинные носители** | Внедрение вредоносного ПО; доступ к постоянной памяти; физическое хищение | Компрометация хранимых данных |
|
|
|
+| **Системное и прикладное ПО** | Использование уязвимостей; внедрение вредоносного кода; ошибочные действия | Нарушение работы системы, утечка, искажение |
|
|
|
+| **Средства защиты информации** | Использование уязвимостей; перехват трафика; изменение настроек | Снижение эффективности защиты |
|
|
|
+| **Пользователи и администраторы** | Социальная инженерия; ошибочные действия | Получение доступа, разглашение данных |
|
|
|
+
|
|
|
+Из таблицы видно, что объекты воздействия не изолированы: компрометация одного компонента (например, учётной записи пользователя) может открыть путь к другим объектам (информации, программному обеспечению, сетевым ресурсам).
|
|
|
+
|
|
|
+### 3.3. Практическое значение выделения объектов воздействия
|
|
|
+
|
|
|
+Для специалиста по защите информации перечень объектов воздействия — это, по сути, **карта активов**, которую нужно защищать. Если на этапе анализа угроз объект не выделен, то и мера защиты для него не планируется. Поэтому в модели угроз объекты воздействия фиксируются либо для каждой угрозы отдельно, либо укрупнённо — по группам компонентов системы.
|
|
|
+
|
|
|
+Кроме того, привязка угрозы к объекту воздействия позволяет оценить **негативные последствия**. Одно дело — сбой в работе вспомогательного сервиса, и совсем другое — компрометация базы с персональными данными. Формально это выражается в том, что для каждого объекта воздействия определяется перечень возможных негативных последствий (нарушение конфиденциальности, целостности, доступности и т.д.).
|
|
|
+
|
|
|
+## Заключение
|
|
|
+
|
|
|
+Источники и объекты воздействия — это две опоры, на которых держится содержательная модель угроз безопасности информации. Источники показывают, откуда исходит опасность (антропогенные, техногенные, стихийные; внешние и внутренние), а объекты воздействия — на какие компоненты системы эта опасность направлена (информация, технические средства, программное обеспечение, носители, персонал). Без явного выделения обеих сторон анализ угроз остаётся поверхностным, а меры защиты — не привязанными к реальным активам.
|
|
|
+
|
|
|
+В практической работе удобно двигаться от перечня объектов воздействия к возможным источникам и далее — к способам реализации угроз. Такой порядок, в частности, используется в методиках оценки угроз безопасности информации, где последовательно определяются негативные последствия, объекты воздействия, источники угроз и возможности нарушителей. Именно эта логика и была кратко рассмотрена в докладе.
|
|
|
+
|
|
|
+## Список литературы
|
