|
|
@@ -0,0 +1,91 @@
|
|
|
+**Угроза безопасности информации** — это совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения базовых свойств информации: **конфиденциальности, целостности и доступности**.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 1. Триада информационной безопасности (Объекты воздействия)
|
|
|
+Любое деструктивное воздействие на автоматизированную систему нацелено на разрушение одного или нескольких базовых свойств:
|
|
|
+* **Нарушение конфиденциальности:** Несанкционированный доступ (НСД) к закрытым данным, утечка информации, кража интеллектуальной собственности или персональных данных.
|
|
|
+* **Нарушение целостности:** Неправомерное изменение, модификация, подмена или уничтожение данных, конфигурационных файлов и компонентов системы.
|
|
|
+* **Нарушение доступности:** Блокирование легитимных пользователей, вывод АС из строя, атаки типа «отказ в обслуживании» (DoS/DDoS) и воздействие программ-вымогателей.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 2. Классификация угроз по природе возникновения
|
|
|
+Все потенциальные угрозы делятся на два крупных класса:
|
|
|
+
|
|
|
+#### А. Естественные (Объективные) угрозы
|
|
|
+Вызваны физическими процессами или природными явлениями, не зависящими от человека:
|
|
|
+* **Стихийные бедствия:** Пожары, наводнения, землетрясения, ураганы.
|
|
|
+* **Техногенные факторы:** Сбои электропитания, аварии систем связи или охлаждения, отказы аппаратного обеспечения (жестких дисков, оперативной памяти).
|
|
|
+
|
|
|
+#### Б. Искусственные (Субъективные) угрозы
|
|
|
+Вызваны непосредственной деятельностью человека. Делятся на две категории:
|
|
|
+1. **Непреднамеренные (Случайные):**
|
|
|
+ * Ошибки при проектировании и разработке программного обеспечения (баги, логические уязвимости кода).
|
|
|
+ * Некомпетентность или ошибки персонала (случайное удаление файлов, неверная настройка прав доступа или межсетевых экранов).
|
|
|
+ * Утеря физических носителей информации или токенов авторизации.
|
|
|
+2. **Преднамеренные (Умышленные):**
|
|
|
+ * Действия хакеров, киберпреступных сообществ (включая APT-группировки) и инсайдеров, направленные на извлечение выгоды, шпионаж или саботаж.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 3. Классификация по локализации источника (Внутренние и Внешние)
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 4. Основные каналы и способы реализации угроз
|
|
|
+Злоумышленники реализуют угрозы, используя уязвимости (так называемые «окна опасности») в защите АС:
|
|
|
+
|
|
|
+* **Программный канал:** Внедрение вредоносного ПО (вирусы, трояны, сетевые черви, программы-вымогатели), использование недокументированных возможностей (НДВ) софта.
|
|
|
+* **Сетевой канал:** Перехват сетевого трафика (сниффинг), подмена адресов (спуфинг), сканирование портов, удаленное внедрение SQL-кода, атаки на протоколы маршрутизации.
|
|
|
+* **Технические каналы утечки:** Перехват побочных электромагнитных излучений и наводок (ПЭМИН), акустический и виброакустический шпионаж (актуально для режимных объектов).
|
|
|
+* **Человеческий фактор:** Социальная инженерия (фишинг, претекстинг, обман сотрудников для получения паролей), шантаж, подкуп.
|
|
|
+* **Физический канал:** Несанкционированное проникновение в серверные помещения, кража жестких дисков, серверов или рабочих станций сотрудников.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 5. Базовый перечень угроз (по методологии ФСТЭК России)
|
|
|
+Согласно государственному Банку данных угроз (БДУ) ФСТЭК, ключевыми угрозами безопасности информации в автоматизированных системах общего характера являются:
|
|
|
+
|
|
|
+* **УБИ.1:** Утечка информации (противоправное получение или передача данных).
|
|
|
+* **УБИ.2:** Несанкционированный доступ к ресурсам АС.
|
|
|
+* **УБИ.3:** Несанкционированная модификация или искажение информации.
|
|
|
+* **УБИ.5:** Удаление критически важных информационных ресурсов.
|
|
|
+* **УБИ.6:** Отказ в обслуживании (блокирование работоспособности ресурсов АС).
|
|
|
+* **УБИ.8:** Нарушение штатного функционирования оборудования или компонентов системы.
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 6. Последствия реализации угроз
|
|
|
+Успешная атака на автоматизированную систему влечет за собой:
|
|
|
+* **Финансовый ущерб:** Прямые кражи денежных средств, оборотные штрафы регуляторов за утечку персональных данных (ПДн), затраты на расследование и восстановление ИТ-инфраструктуры.
|
|
|
+* **Репутационный ущерб:** Потеря доверия клиентов, партнеров, падение стоимости акций и ухудшение имиджа бренда.
|
|
|
+* **Юридическая ответственность:** Административная и уголовная ответственность должностных лиц за неисполнение требований по защите КИИ (Критической информационной инфраструктуры).
|
|
|
+* **Технологический коллапс:** Остановка бизнес-процессов организации или остановка производственных линий (в случае АСУ ТП).
|
|
|
+
|
|
|
+---
|
|
|
+
|
|
|
+### 7. Методы противодействия и защиты
|
|
|
+Для минимизации рисков применяется комплексный подход к защите информации (ЗИ) в АС. Ниже приведена матрица соответствия основных типов угроз и наиболее эффективных мер защиты против них:
|
|
|
+
|
|
|
+| Тип / Канал угрозы (по ФСТЭК) | Пример реализации | Первоочередная инженерно-техническая мера защиты |
|
|
|
+| :--- | :--- | :--- |
|
|
|
+| **Естественные / Техногенные** | Сбой электропитания, пожар, отказ RAID-массива накопителей | Использование ИБП (UPS), регулярное резервное копирование (бэкап) изолированно от основной сети, размещение в сертифицированных ЦОД. |
|
|
|
+| **Программный канал (УБИ.8, УБИ.2)** | Внедрение вирусов, шифровальщиков-вымогателей, троянов, эксплуатация уязвимостей ПО | Развертывание систем класса EDR/XDR, строгое управление обновлениями (патч-менеджмент), контроль целостности программной среды. |
|
|
|
+| **Сетевой канал (УБИ.6, УБИ.1)** | DDoS-атаки, перехват трафика (сниффинг), сканирование портов, MitM-атаки | Применение межсетевых экранов (Firewalls), использование шифрованных туннелей VPN (IPsec/TLS), фильтрация трафика на уровне провайдера (anti-DDoS). |
|
|
|
+| **Внутренние угрозы / Инсайдеры (УБИ.1)** | Копирование конфиденциальной базы данных сотрудником на внешний USB-носитель | Внедрение DLP-систем (защита от утечек), разграничение доступа по принципу наименьших привилегий (Role-Based Access Control), аудит и логирование действий. |
|
|
|
+| **Человеческий фактор (УБИ.2)** | Фишинг, компрометация учетных записей методами социальной инженерии | Обучение персонала цифровой гигиене (Security Awareness), обязательное внедрение многофакторной аутентификации (MFA/2FA). |
|
|
|
+| **Физический канал (УБИ.5, УБИ.2)** | Санкционированный/несанкционированный доступ посторонних в серверную, кража дисков | Установка систем контроля доступа (СКУД), видеонаблюдение, физическое шифрование накопителей информации (BitLocker, LUKS). |
|
|
|
+---
|
|
|
+
|
|
|
+### Литература
|
|
|
+1. **Федеральный закон № 187-ФЗ** «О безопасности критической информационной инфраструктуры Российской Федерации».
|
|
|
+2. **Федеральный закон № 149-ФЗ** «Об информации, информационных технологиях и о защите информации».
|
|
|
+3. **Методический документ ФСТЭК России** «Методика оценки угроз безопасности информации» (утв. ФСТЭК России 05.02.2021 г.).
|
|
|
+4. **Банк данных угроз безопасности информации (БДУ ФСТЭК России)** — [Официальный ресурс: bdu.fstec.ru](https://fstec.ru).
|
|
|
+5. **ГОСТ РО РОС 0043-004-2021** (или актуальный аналог серии ГОСТ Р ИСО/МЭК 27002) «Информационная технология. Методы и средства обеспечения безопасности. Свод правил по средствам управления информационной безопасностью».
|
|
|
+6. **ГОСТ Р 51583-2014** «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении».
|
|
|
+
|
|
|
+
|
