|
|
@@ -0,0 +1,312 @@
|
|
|
+# Потенциальные угрозы безопасности информации
|
|
|
+
|
|
|
+Данная тема является **центральной для всей системы защиты информации**. Прежде чем защищать что-либо, необходимо понять **от чего именно** мы защищаемся. Потенциальные угрозы безопасности — это не абстрактные «хакеры», а **конкретные факторы и события**, которые могут привести к нарушению конфиденциальности, целостности или доступности информации.
|
|
|
+
|
|
|
+## 📌 Ключевое определение: что такое угроза безопасности
|
|
|
+
|
|
|
+**Угроза безопасности информации** — это **потенциально существующая возможность** случайного или преднамеренного действия (или бездействия), в результате которого может быть **нарушена безопасность** информации или системы .
|
|
|
+
|
|
|
+**Простыми словами:** Угроза — это **то, что может пойти не так**. Это ещё не атака, не инцидент, а **потенциальная опасность**, которая может реализоваться при определённых условиях.
|
|
|
+
|
|
|
+**⚠️ Ключевой момент:** Угроза отличается от **атаки** и **уязвимости**:
|
|
|
+- **Уязвимость** — это «слабое место» в системе (например, незакрытая уязвимость ПО).
|
|
|
+- **Угроза** — это «возможность» использования уязвимости (например, хакер может проэксплуатировать эту уязвимость).
|
|
|
+- **Атака** — это «реализация» угрозы (например, хакер фактически проэксплуатировал уязвимость).
|
|
|
+
|
|
|
+## 🎯 Классификация угроз: по каким признакам делят
|
|
|
+
|
|
|
+Согласно **ГОСТ Р 51275-2006**, угрозы классифицируются по **природе возникновения** и **отношению к объекту** .
|
|
|
+
|
|
|
+| Признак классификации | Категории |
|
|
|
+|----------------------|-----------|
|
|
|
+| **По природе возникновения** | **Объективные** (не зависят от воли человека) / **Субъективные** (связаны с деятельностью человека) |
|
|
|
+| **По отношению к объекту** | **Внутренние** / **Внешние** |
|
|
|
+| **По источнику угрозы** | **Антропогенные** (человек) / **Техногенные** (техника) / **Стихийные** (природа) |
|
|
|
+| **По характеру происхождения** | **Преднамеренные** (умышленные) / **Непреднамеренные** (случайные) |
|
|
|
+| **По направленности** | Нарушение **конфиденциальности** / **целостности** / **доступности** |
|
|
|
+
|
|
|
+**⚠️ Важно:** Одна и та же угроза может относиться к нескольким категориям. Например, утечка данных (угроза конфиденциальности) может быть **внутренней** и **преднамеренной** (кража сотрудником) или **внешней** и **преднамеренной** (хакерская атака).
|
|
|
+
|
|
|
+## 📖 Основные категории угроз: что именно угрожает
|
|
|
+
|
|
|
+### 🧑 Антропогенные угрозы
|
|
|
+
|
|
|
+**Антропогенные источники** — это **субъекты**, действия которых могут быть квалифицированы как умышленные или случайные нарушения .
|
|
|
+
|
|
|
+**Внешние субъекты:**
|
|
|
+- Криминальные структуры
|
|
|
+- Хакеры и киберпреступники
|
|
|
+- Недобросовестные партнёры
|
|
|
+- Технический персонал поставщиков услуг
|
|
|
+
|
|
|
+**Внутренние субъекты:**
|
|
|
+- Основной персонал (пользователи, программисты)
|
|
|
+- Представители службы защиты информации
|
|
|
+- Вспомогательный персонал (уборщики, охрана)
|
|
|
+- Специально внедрённые агенты
|
|
|
+
|
|
|
+**Примеры антропогенных угроз:**
|
|
|
+- **Социальная инженерия** — обман сотрудника для получения доступа (фишинг, pretexting)
|
|
|
+- **Инсайдерские атаки** — умышленные действия сотрудников
|
|
|
+- **Ошибки персонала** — случайное удаление данных, неправильная настройка
|
|
|
+
|
|
|
+### ⚙️ Техногенные угрозы
|
|
|
+
|
|
|
+**Техногенные источники** — это **последствия технократической деятельности человека**, которые могут выйти из-под контроля .
|
|
|
+
|
|
|
+**Примеры техногенных угроз:**
|
|
|
+- **Отказы оборудования** — выход из строя серверов, дисков, сетевого оборудования
|
|
|
+- **Сбои ПО** — ошибки в программах, баги, несовместимость версий
|
|
|
+- **Ошибки проектирования** — недостатки в архитектуре системы
|
|
|
+- **Устаревание** — моральное и физическое устаревание техники
|
|
|
+
|
|
|
+### 🌪️ Стихийные угрозы
|
|
|
+
|
|
|
+**Стихийные источники** — это **природные явления**, не зависящие от человека.
|
|
|
+
|
|
|
+**Примеры:**
|
|
|
+- Пожары, наводнения, землетрясения
|
|
|
+- Ураганы, грозы (могут повредить оборудование)
|
|
|
+- Перебои электропитания
|
|
|
+
|
|
|
+### 🎯 Преднамеренные vs Непреднамеренные
|
|
|
+
|
|
|
+**Непреднамеренные угрозы** — результат **случайных** действий или событий :
|
|
|
+- Ошибки при разработке ПО
|
|
|
+- Ошибки пользователей и обслуживающего персонала
|
|
|
+- Сбои технических средств
|
|
|
+
|
|
|
+**Преднамеренные угрозы** — результат **целенаправленных** действий :
|
|
|
+- Шпионаж и диверсии
|
|
|
+- Несанкционированный доступ
|
|
|
+- Съём электромагнитных излучений
|
|
|
+- Работа вредоносных программ
|
|
|
+
|
|
|
+### 📊 Угрозы по направленности: триада CIA
|
|
|
+
|
|
|
+Угрозы направлены на нарушение **трёх свойств безопасности информации** :
|
|
|
+
|
|
|
+| Свойство | Суть | Примеры угроз |
|
|
|
+|----------|------|---------------|
|
|
|
+| **Конфиденциальность** | Информация доступна только авторизованным лицам | Утечка данных, перехват, кража носителей |
|
|
|
+| **Целостность** | Информация точна и не изменена | Модификация данных, подмена, заражение вирусом |
|
|
|
+| **Доступность** | Информация доступна, когда нужна | DDoS-атака, отказ оборудования, шифрование-вымогатель |
|
|
|
+
|
|
|
+## ⛓️ Логическая цепочка: как угроза превращается в инцидент
|
|
|
+
|
|
|
+Угрозы не реализуются сами по себе. Для этого нужны **условия**:
|
|
|
+
|
|
|
+**Источник угрозы → Уязвимость → Реализация угрозы → Инцидент → Ущерб**
|
|
|
+
|
|
|
+1. **Источник угрозы** — кто или что может навредить (хакер, сбой, пожар).
|
|
|
+2. **Уязвимость** — слабое место, которое позволяет угрозе реализоваться (незакрытая уязвимость ПО, слабый пароль).
|
|
|
+3. **Реализация** — фактическое событие (атака, сбой).
|
|
|
+4. **Инцидент** — нарушение безопасности (утечка, отказ).
|
|
|
+5. **Ущерб** — финансовые потери, репутационный урон, юридические последствия.
|
|
|
+
|
|
|
+**⚠️ Важно:** Угроза без уязвимости не страшна. Уязвимость без угрозы — тоже. **Опасность возникает при их сочетании.**
|
|
|
+
|
|
|
+## ⚖️ Нормативная база: что говорит закон и стандарты
|
|
|
+
|
|
|
+### 📜 ГОСТ Р 51275-2006
|
|
|
+
|
|
|
+**Ключевой документ** в области угроз безопасности. Устанавливает **классификацию и перечень факторов**, воздействующих на безопасность защищаемой информации, в целях **обоснования угроз безопасности** и требований по защите .
|
|
|
+
|
|
|
+**Основные положения:**
|
|
|
+- Факторы делятся на **объективные** и **субъективные** .
|
|
|
+- По отношению к объекту — на **внутренние** и **внешние** .
|
|
|
+- Классификация включает подклассы, группы, подгруппы, виды и подвиды .
|
|
|
+
|
|
|
+### 📋 Приказ ФСТЭК России от 18.02.2013 № 21
|
|
|
+
|
|
|
+Регламентирует **определение угроз безопасности информации** в государственных информационных системах. Устанавливает требования к **модели угроз** — документу, описывающему актуальные угрозы для конкретной системы .
|
|
|
+
|
|
|
+### ⚠️ Банк данных угроз ФСТЭК России
|
|
|
+
|
|
|
+**Официальный источник** информации об актуальных угрозах. Содержит **УБИ** (Угрозы Безопасности Информации) с уникальными идентификаторами .
|
|
|
+
|
|
|
+**Классы УБИ включают:**
|
|
|
+- Угрозы нарушения аутентификации и управления доступом
|
|
|
+- Угрозы целостности и функционирования ПО
|
|
|
+- Угрозы сетевых взаимодействий
|
|
|
+- Угрозы вредоносных программ
|
|
|
+- Угрозы физического воздействия
|
|
|
+
|
|
|
+## 🚨 Типичные ошибки и заблуждения
|
|
|
+
|
|
|
+### ❌ «Угрозы — это только хакеры»
|
|
|
+
|
|
|
+**Ошибка.** Угрозы включают **природные явления**, **технические сбои** и **ошибки персонала**. Хакеры — лишь **один из источников**.
|
|
|
+
|
|
|
+### ❌ «Угрозы можно устранить полностью»
|
|
|
+
|
|
|
+**Ошибка.** Абсолютной безопасности **не существует**. Можно **снизить вероятность** реализации угроз и **минимизировать ущерб**, но не устранить их полностью.
|
|
|
+
|
|
|
+### ❌ «Внутренние угрозы менее опасны, чем внешние»
|
|
|
+
|
|
|
+**Ошибка.** **Инсайдеры** часто имеют **больше возможностей** для нанесения ущерба, чем внешние злоумышленники .
|
|
|
+
|
|
|
+### ❌ «Модель угроз нужна только для больших систем»
|
|
|
+
|
|
|
+**Ошибка.** **Любая** система должна иметь представление о **потенциальных угрозах**. Модель угроз — это **основа** для планирования защиты.
|
|
|
+
|
|
|
+## 🎬 СЦЕНАРИЙ: «Один день из жизни системы, которую атакуют»
|
|
|
+
|
|
|
+> **Это сквозной практический пример, который показывает, как различные угрозы реализуются в реальной системе.**
|
|
|
+
|
|
|
+### 📖 Легенда
|
|
|
+
|
|
|
+В организации **ООО «Ромашка»** развернута **корпоративная информационная система (КИС)**. В ней работают:
|
|
|
+- **Иван Петров** — бухгалтер (работает с финансовыми документами).
|
|
|
+- **Анна Смирнова** — HR-специалист (ведёт кадровый учёт).
|
|
|
+- **Сергей Кузнецов** — системный администратор (обслуживает систему).
|
|
|
+
|
|
|
+### 🎭 Акт 1. Внешняя угроза: Фишинг
|
|
|
+
|
|
|
+**Злоумышленник отправляет Ивану Петрову письмо, выдавая себя за «IT-отдел».**
|
|
|
+
|
|
|
+1. **Источник угрозы:** Внешний антропогенный (киберпреступник).
|
|
|
+2. **Уязвимость:** Иван **не прошёл обучение** по информационной безопасности.
|
|
|
+3. **Реализация:** Иван **переходит по ссылке** и вводит логин/пароль на фейковой странице.
|
|
|
+4. **Инцидент:** Злоумышленник получает **доступ к учётной записи** Ивана.
|
|
|
+5. **Ущерб:** Утечка финансовых данных, возможные финансовые потери.
|
|
|
+
|
|
|
+**✅ Что спасло бы:** **Многофакторная аутентификация** — без токена злоумышленник не смог бы войти.
|
|
|
+
|
|
|
+**❌ Что было бы, если бы угрозу не учли:** Злоумышленник **получил бы доступ** к бухгалтерским данным.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 🎭 Акт 2. Внутренняя угроза: Инсайдер
|
|
|
+
|
|
|
+**Анна Смирнова решает уволиться и забрать базу сотрудников с собой.**
|
|
|
+
|
|
|
+1. **Источник угрозы:** Внутренний антропогенный (сотрудник).
|
|
|
+2. **Уязвимость:** У Анны **есть легальный доступ** к кадровым данным.
|
|
|
+3. **Реализация:** Анна **копирует базу** на флешку перед увольнением.
|
|
|
+4. **Инцидент:** Утечка персональных данных сотрудников.
|
|
|
+5. **Ущерб:** Юридические последствия (нарушение 152-ФЗ), репутационный урон.
|
|
|
+
|
|
|
+**✅ Что спасло бы:** **DLP-система** (защита от утечек) и **мониторинг** массовых выгрузок.
|
|
|
+
|
|
|
+**❌ Что было бы, если бы угрозу не учли:** База **попала бы** к конкурентам или в открытый доступ.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 🎭 Акт 3. Техногенная угроза: Отказ оборудования
|
|
|
+
|
|
|
+**В серверной выходит из строя жёсткий диск с базой данных.**
|
|
|
+
|
|
|
+1. **Источник угрозы:** Техногенный (отказ оборудования).
|
|
|
+2. **Уязвимость:** **Отсутствие резервного копирования** или его нерегулярность.
|
|
|
+3. **Реализация:** Диск **физически выходит из строя**.
|
|
|
+4. **Инцидент:** База данных **недоступна**.
|
|
|
+5. **Ущерб:** Остановка работы бухгалтерии, потеря данных.
|
|
|
+
|
|
|
+**✅ Что спасло бы:** **Регулярное резервное копирование** и **RAID-массивы**.
|
|
|
+
|
|
|
+**❌ Что было бы, если бы угрозу не учли:** Потеря данных за **последний месяц** работы.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 🎭 Акт 4. Стихийная угроза: Пожар
|
|
|
+
|
|
|
+**В здании офиса происходит короткое замыкание и пожар.**
|
|
|
+
|
|
|
+1. **Источник угрозы:** Стихийный (пожар).
|
|
|
+2. **Уязвимость:** **Отсутствие системы пожаротушения** в серверной.
|
|
|
+3. **Реализация:** Огонь **уничтожает серверы**.
|
|
|
+4. **Инцидент:** Полная **потеря инфраструктуры**.
|
|
|
+5. **Ущерб:** Остановка деятельности на недели, огромные финансовые потери.
|
|
|
+
|
|
|
+**✅ Что спасло бы:** **Система пожаротушения**, **резервный ЦОД**, **страхование**.
|
|
|
+
|
|
|
+**❌ Что было бы, если бы угрозу не учли:** Организация **прекратила бы** деятельность.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 🎭 Акт 5. Преднамеренная угроза: DDoS-атака
|
|
|
+
|
|
|
+**Конкуренты заказывают DDoS-атаку на сайт ООО «Ромашка».**
|
|
|
+
|
|
|
+1. **Источник угрозы:** Внешний антропогенный (конкуренты).
|
|
|
+2. **Уязвимость:** **Отсутствие защиты** от DDoS.
|
|
|
+3. **Реализация:** Сайт **подвергается** массированной атаке.
|
|
|
+4. **Инцидент:** Сайт **недоступен** несколько часов.
|
|
|
+5. **Ущерб:** Потеря клиентов, репутационный урон.
|
|
|
+
|
|
|
+**✅ Что спасло бы:** **Anti-DDoS-сервис**, **CDN** с защитой.
|
|
|
+
|
|
|
+**❌ Что было бы, если бы угрозу не учли:** Сайт **«упал бы»** в самый неподходящий момент.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 📊 Итоговая таблица сценария
|
|
|
+
|
|
|
+| Акт | Тип угрозы | Источник | Уязвимость | Последствие |
|
|
|
+|-----|-----------|----------|------------|-------------|
|
|
|
+| **1. Фишинг** | Внешняя, антропогенная, преднамеренная | Киберпреступник | Отсутствие обучения | Доступ к учётной записи |
|
|
|
+| **2. Инсайдер** | Внутренняя, антропогенная, преднамеренная | Сотрудник | Легальный доступ | Утечка данных |
|
|
|
+| **3. Отказ диска** | Техногенная, непреднамеренная | Оборудование | Нет резервных копий | Потеря данных |
|
|
|
+| **4. Пожар** | Стихийная, непреднамеренная | Природа | Нет пожаротушения | Уничтожение инфраструктуры |
|
|
|
+| **5. DDoS** | Внешняя, антропогенная, преднамеренная | Конкуренты | Нет защиты | Недоступность сервиса |
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 🎓 Мораль сценария
|
|
|
+
|
|
|
+> **Угрозы** — это **не только хакеры**.
|
|
|
+> Это **люди**, **техника** и **природа**.
|
|
|
+> **Одна угроза** может реализоваться **через разные уязвимости**.
|
|
|
+> **Защита** должна быть **комплексной** — нельзя закрыть только одну «дыру».
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 🏁 Заключение
|
|
|
+
|
|
|
+В рамках данного доклада было рассмотрено понятие **потенциальных угроз безопасности информации**. Проведённый анализ показал, что угрозы — это **потенциально существующая возможность** нарушения безопасности, которая может реализоваться при определённых условиях .
|
|
|
+
|
|
|
+Согласно **ГОСТ Р 51275-2006**, угрозы классифицируются по **природе возникновения** (объективные/субъективные), **отношению к объекту** (внутренние/внешние) и **источнику** (антропогенные/техногенные/стихийные) .
|
|
|
+
|
|
|
+Были рассмотрены **основные категории угроз**: антропогенные (действия человека), техногенные (отказы техники) и стихийные (природные явления) . Показано, что угрозы могут быть **преднамеренными** (умышленными) и **непреднамеренными** (случайными) .
|
|
|
+
|
|
|
+На практическом сценарии было продемонстрировано, как **различные типы угроз** реализуются в реальной системе: от **фишинга** до **пожара**. Показано, что **одна угроза** может реализоваться через **разные уязвимости**, и **защита** должна быть **комплексной**.
|
|
|
+
|
|
|
+Нормативная база — **ГОСТ Р 51275-2006**, **приказы ФСТЭК России**, **Банк данных угроз ФСТЭК** — устанавливает обязательные требования к **выявлению и учёту угроз** безопасности информации .
|
|
|
+
|
|
|
+Таким образом, **потенциальные угрозы безопасности** представляют собой **фундамент для построения системы защиты**, поскольку невозможно защищаться от того, **что не identified**. Понимание угроз — это **первый шаг** к обеспечению безопасности информации.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## 📚 Список литературы
|
|
|
+
|
|
|
+1. **ГОСТ Р 51275-2006**. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. — М.: Стандартинформ, 2007.
|
|
|
+2. **Приказ ФСТЭК России от 18.02.2013 № 21** «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
|
|
|
+3. **Банк данных угроз безопасности информации** ФСТЭК России. — URL: https://bdu.fstec.ru/
|
|
|
+4. **ГОСТ Р 50922-2006**. Защита информации. Основные термины и определения. — М.: Стандартинформ, 2006.
|
|
|
+5. **Системный анализ в информационной безопасности**: учебное пособие / под ред. А.А. Шелупанова. — М.: Горячая линия — Телеком, 2019.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+## ❓ Вопросы и ответы
|
|
|
+
|
|
|
+**1. [Что такое угроза безопасности информации] — *Потенциально существующая возможность случайного или преднамеренного действия, в результате которого может быть нарушена безопасность информации***
|
|
|
+**Ответ:** Угроза — это потенциальная опасность нарушения конфиденциальности, целостности или доступности информации. Она отличается от атаки (реализации) и уязвимости (слабого места) .
|
|
|
+
|
|
|
+**2. [Как классифицируются угрозы по источнику] — *Антропогенные, техногенные, стихийные***
|
|
|
+**Ответ:** Антропогенные — связаны с действиями человека; техногенные — с отказами техники; стихийные — с природными явлениями .
|
|
|
+
|
|
|
+**3. [Что такое внутренние и внешние угрозы] — *Внутренние — источник внутри объекта, внешние — за его пределами***
|
|
|
+**Ответ:** Внутренние угрозы исходят от сотрудников и внутренних систем; внешние — от хакеров, конкурентов, природных явлений .
|
|
|
+
|
|
|
+**4. [В чём разница между преднамеренными и непреднамеренными угрозами] — *Преднамеренные — умышленные действия, непреднамеренные — случайные***
|
|
|
+**Ответ:** Преднамеренные угрозы — результат целенаправленных действий (шпионаж, атаки); непреднамеренные — случайные ошибки, сбои .
|
|
|
+
|
|
|
+**5. [Какие три свойства безопасности нарушают угрозы] — *Конфиденциальность, целостность, доступность***
|
|
|
+**Ответ:** Угрозы направлены на нарушение одного или нескольких свойств: конфиденциальности (утечка), целостности (модификация), доступности (блокирование) .
|
|
|
+
|
|
|
+**6. [Что такое модель угроз] — *Документ, описывающий актуальные угрозы для конкретной системы***
|
|
|
+**Ответ:** Модель угроз — это результат анализа, в котором определяются источники угроз, уязвимости, сценарии реализации и возможные последствия .
|
|
|
+
|
|
|
+**7. [Где найти перечень актуальных угроз] — *Банк данных угроз ФСТЭК России***
|
|
|
+**Ответ:** Банк данных угроз (БДУ) ФСТЭК содержит официальный перечень УБИ с идентификаторами и описаниями .
|
