Барабанова М.И., Кияев В.И. Информационные технологии: открытые системы, сети, безопасность в системах и сетях

Подождите немного. Документ загружается.

152

Первый этап – информационное обследование предприятия – самый

важный. Именно на этом этапе определяется, от чего, в первую очередь,

необходимо защищаться компании. Вначале строится так называемая мо-

дель нарушителя, которая описывает вероятный облик злоумышленника,

т. е. его квалификацию, имеющиеся средства для реализации тех или иных

атак, обычное время действия и т. п. На этом этапе можно получить ответ

на два вопроса, которые были заданы выше: «Зачем и от кого надо защи-

щаться?» На этом же этапе выявляются и анализируются уязвимые места

и возможные пути реализации угроз безопасности, оценивается вероят-

ность атак и ущерб от их осуществления.

По результатам этапа вырабатываются рекомендации по устранению

выявленных угроз, правильному выбору и применению средств защиты. На

этом этапе может быть рекомендовано не приобретать достаточно дорогие

средства защиты, а воспользоваться имеющимся в распоряжении. Например,

в случае использования в небольшой компании мощного маршрутизатора

можно рекомендовать воспользоваться встроенными в него защитными

функциями, а не приобретать более дорогой межсетевой экран (Fairwall).

Наряду с анализом существующих в компании конкретных средств

защиты должна осуществляться разработка политики в области информа-

ционной безопасности и совокупности организационно-распорядительных

мер и документов, а также методологий и технических решений, являю-

щихся основой для создания инфраструктуры информационной безопас-

ности (рис. 5.5) [5-9]. Эти документы, основанные на международном за-

конодательстве и законах Российской Федерации и нормативных актах,

дают необходимую правовую базу службам безопасности и отделам защи-

ты информации для проведения всего спектра защитных мероприятий,

взаимодействия с внешними организациями, привлечения к ответственно-

сти нарушителей и т. п.

Рис. 5.5. Составляющие инфраструктуры информационной безопасности

153

Следующим этапом построения комплексной системы информацион-

ной безопасности служат приобретение, установка и настройка рекомен-

дованных на предыдущем этапе средств и механизмов защиты информа-

ции. К таким средствам можно отнести системы защиты информации от

несанкционированного доступа, системы криптографической защиты,

межсетевые экраны, средства анализа защищенности и другие.

Для правильного и эффективного применения установленных средств

защиты необходим квалифицированный персонал.

С течением времени имеющиеся средства защиты устаревают, выхо-

дят новые версии систем обеспечения информационной безопасности, по-

стоянно расширяется список найденных слабых мест и атак, меняется

технология обработки информации, изменяются программные и аппарат-

ные средства, приходит и уходит персонал компании. Поэтому необходи-

мо периодически пересматривать разработанные организационно-

распорядительные документы, проводить обследование ИС или ее под-

систем, обучать новый персонал, обновлять средства защиты.

Следование описанным выше рекомендациям построения комплекс-

ной системы обеспечения информационной безопасности поможет дос-

тичь необходимого и достаточного уровня защищенности вашей автома-

тизированной системы.

5.2. Виды угроз информационной безопасности

и классификация источников угроз

Угрозы возникают из противоречий экономических интересов раз-

личных элементов, взаимодействующих как внутри, так и вне социально-

экономической систем, в том числе и в информационной сфере. Они и

определяют содержание и направления деятельности по обеспечению об-

щей и информационной безопасности. Следует отметить, что анализ про-

блем экономической безопасности необходимо проводить, учитывая

взаимосвязи экономических противоречий, угроз и потерь, к которым мо-

жет приводить реализация угроз. Такой анализ приводит к следующей це-

почке:

<источник угрозы (внешняя и/или внутренняя среда предприятия)> ⇒

⇒ <зона риска (сфера экономической деятельности предприятия,

способы её реализации, материальные и информационные ресур-

сы)> ⇒

⇒ <фактор (степень уязвимости данных, информации, программного

обеспечения, компьютерных и телекоммуникационных устройств,

материальных и финансовых ресурсов, персонала)> ⇒

⇒ <угроза (вид, величина, направление)> ⇒

154

⇒ <возможность её реализации (предпосылки, объект, способ дейст-

вия, скорость и временной интервал действия)> ⇒

⇒ <последствия (материальный ущерб, моральный вред, размер

ущерба и вреда, возможность компенсации)>.

Угрозу отождествляют обычно либо с характером (видом, способом)

дестабилизирующего воздействия на материальные объекты, программ-

ные средства или информацию либо с последствиями (результатами) тако-

го воздействия.

С правовой точки зрения понятие угроза жестко связано с юридиче-

ской категорией ущерб, которую Гражданский кодекс РФ (часть I, ст. 15)

определяет как «фактические расходы, понесенные субъектом в результа-

те нарушения его прав (например, кражи, разглашения или использования

нарушителем конфиденциальной информации), утраты или повреждения

имущества, а также расходы, которые он должен будет произвести для

восстановления нарушенного права и стоимости поврежденного или утра-

ченного имущества».

Анализ негативных последствий возникновения и осуществления уг-

роз предполагает обязательную идентификацию возможных источников

угроз, уязвимостей, способствующих их проявлению, и методов реализа-

ции. В связи с этим угрозы экономической и информационной безопасно-

сти необходимо классифицировать с тем, чтобы наиболее полно и адек-

ватно проводить указанную идентификацию: по источнику угрозы, по

природе возникновения, по вероятности реализации, по отношению к ви-

ду человеческой деятельности, по объекту посягательства, по последстви-

ям, по возможностям прогнозирования.

Угрозы можно классифицировать по нескольким критериям:

• по важнейшим составляющим информационной безопасности

(доступность, целостность, конфиденциальность), против которых

направлены угрозы в первую очередь;

• по компонентам информационных систем и технологий (данные,

программно-аппаратные комплексы, сети, поддерживающая ин-

фраструктура), на которые угрозы непосредственно нацелены;

• по способу осуществления (случайные или преднамеренные дей-

ствия, события техногенного или природного масштаба);

• по локализации источника угроз (вне или внутри информационной

технологии или системы).

Одна из возможных моделей классификации угроз представлена на

рисунке 5.6

Источник рисунков 5.6 и 5.7: Вихорев С., Кобцев Р. // Открытые системы. – 2002. –

№ 7-8.

155

Рис. 5.6. Модель возможных угроз системе информационной безопасности

и основные классы методов защиты

В ходе анализа необходимо убедиться, что большинство возможных

источников угроз и уязвимости идентифицировано и сопоставлено друг с

другом, а со всеми идентифицированными источниками угроз и уязвимо-

стям сопоставлены методы их нейтрализации и устранения. Указанная

классификация может служить основой для выработки методики оценки

актуальности той или иной угрозы, и при обнаружении наиболее актуаль-

ных угроз могут приниматься меры по выбору методов и средств для их

предотвращения или нейтрализации.

При выявлении актуальных угроз экспертно-аналитическим методом

определяются объекты защиты, подверженные воздействию той или иной

угрозы, характерные источники этих угроз и уязвимости, способствующие

реализации угроз. На основании анализа составляется матрица взаимо-

связи источников угроз и уязвимостей, из которой определяются возмож-

ные последствия реализации угроз (атаки) и вычисляется коэффициент

значимости (степени опасности) этих атак как произведение коэффициен-

тов опасности соответствующих угроз и источников угроз, определенных

ранее. Один из возможных алгоритмов проведения такого анализа показан

на рисунке 5.7.

156

Рис. 5.7. Алгоритм проведения анализа и оценки угроз

Благодаря такому подходу возможно:

• установить приоритеты целей безопасности для субъекта отноше-

ний;

• определить перечень актуальных источников угроз;

• определить перечень актуальных уязвимостей;

• оценить взаимосвязь уязвимостей, источников угроз, возможности

их осуществления;

157

• определить перечень возможных атак на объект;

• разработать сценарии возможных атак;

• описать возможные последствия реализации угроз;

• разработать комплекс защитных мер и систему управления эконо-

мической и информационной безопасностью предприятия.

Выше было отмечено, что самыми частыми и самыми опасными (с

точки зрения размера ущерба) являются непреднамеренные ошибки штат-

ных пользователей, операторов, системных администраторов и других

лиц, обслуживающих информационные системы. Иногда такие ошибки и

являются собственно угрозами (неправильно введенные данные или

ошибка в программе, вызвавшая крах системы), иногда они создают уяз-

вимые места, которыми могут воспользоваться злоумышленники (таковы

обычно ошибки администрирования). По некоторым данным, до 65% по-

терь возникают из-за непреднамеренных ошибок, совершенных по неос-

торожности, халатности, или несоответствующей подготовки персо-

нала.

Обычно пользователи могут быть источниками следующих угроз:

• намеренная (встраивание логической бомбы, которая со временем

разрушит программное ядро или приложения) или непреднаме-

ренная потеря или искажение данных и информации, «взлом» сис-

темы администрирования, кража данных и паролей, передача их

посторонним лицам и т.д.;

• нежелание пользователя работать с информационной системой (ча-

ще всего проявляется при необходимости осваивать новые возмож-

ности или при расхождении между запросами пользователей и фак-

тическими возможностями и техническими характеристиками) и

намеренный вывод из строя её программно-аппаратных устройств;

• невозможность работать с системой в силу отсутствия соответст-

вующей подготовки (недостаток общей компьютерной грамотно-

сти, неумение интерпретировать диагностические сообщения, не-

умение работать с документацией и т.п.).

Очевидно, что эффективный способ борьбы с непреднамеренными

ошибками – максимальная автоматизация и стандартизация информаци-

онных процессов, использование устройств «защита от дурака», регла-

ментация и строгий контроль действий пользователей. Необходимо также

следить за тем, чтобы при увольнении сотрудника его права доступа (ло-

гического и физического) к информационным ресурсам аннулировались.

Основными источниками внутренних системных отказов являются:

• невозможность работать с системой в силу отсутствия технической

поддержки (неполнота документации, недостаток справочной ин-

формации и т.п.);

158

• отступление (случайное или умышленное) от установленных пра-

вил эксплуатации;

• выход системы из штатного режима эксплуатации в силу случай-

ных или преднамеренных действий пользователей или обслужи-

вающего персонала (превышение расчетного числа запросов, чрез-

мерный объем обрабатываемой информации и т.п.);

• ошибки конфигурирования системы;

• отказы программного и аппаратного обеспечения;

• разрушение данных;

• разрушение или повреждение аппаратуры.

По отношению к поддерживающей инфраструктуре рекомендуется

рассматривать следующие угрозы:

• нарушение работы (случайное или умышленное) систем связи,

электропитания, водо- и/или теплоснабжения, кондиционирования;

• разрушение или повреждение помещений;

• невозможность или нежелание обслуживающего персонала и/или

пользователей выполнять свои обязанности (гражданские беспо-

рядки, аварии на транспорте, террористический акт или его угроза,

забастовка и т.п.).

Опасны, разумеется, стихийные бедствия (наводнения, землетрясе-

ния, ураганы) и события, являющиеся результатом техногенных катастроф

(пожары, взрывы, обрушения зданий и т.д.). По статистике, на долю огня,

воды и тому подобных «злоумышленников» (среди которых самый опас-

ный – сбой электропитания) приходится 13-15% потерь, нанесенных про-

изводственным информационным системам и ресурсам.

Результаты проведения оценки и анализа могут быть использованы

при выборе адекватных оптимальных методов парирования угроз, а также

при аудите реального состояния информационной безопасности объекта.

Для создания оптимальной системы информационной безопасности

предприятия необходимо грамотно оценить ситуацию, выявить возмож-

ные риски, разработать концепцию и политику безопасности, на основе

которых строится модель системы и вырабатываются соответствующие

механизмы реализации и функционирования.

5.3. Основные виды защищаемой информации

Любое предприятие, получающее ресурсы, в том числе и информаци-

онные, перерабатывает их в продукты своей деятельности. При этом оно

порождает специфическую внутреннюю среду, которая формируется со-

вокупностью структурных подразделений, персоналом, техническими

159

средствами и технологическими процессами, экономическими и социаль-

ными отношениями как внутри предприятия, так и во взаимодействии с

внешней средой (рис. 5.8).

Рис. 5.8. Источники информации

во внутренней и внешней средах предприятия

Информация внутренней среды отражает финансово-экономическое

состояние предприятия и результаты его деятельности. Обработка этой

информации осуществляется посредством стандартных формализованных

процедур, «заложенных» в модули корпоративной информационной сис-

темы. Внутренняя информация, как правило, точна и адекватно отражает

состояние предприятия.

Примеры внутренней информации: регистрационные и уставные до-

кументы, долговременные и текущие планы, приказы, распоряжения, от-

четы, производственные данные, данные о движении финансов и других

ресурсов, подготовке персонала, сферах применения продуктов деятель-

ности, методы и каналы сбыта, техника продаж, заказы, логистика, ин-

формация о поставщиках, партнёрах.

Источники внутренней информации: директорат и администрация

предприятия, планово-финансовые подразделения, бухгалтерия, ИТ-отделы

и вычислительные центры, отделы главного инженера и главного механика,

производственные подразделения, юридические, эксплуатационные и ре-

монтные службы, отделы логистики, закупки и сбыта и т.д.

Внешняя среда – государственные, экономические, политические и

социальные субъекты, действующие за пределами предприятия, которое

имеет связи и отношения с ними. Соответственно, организационные

структуры предприятия формируют экономические, политические, соци-

альные, технические, технологические, научные и другие отношения с го-

сударственными органами, партнерами, потребителями, конкурентами,

социальными институтами и общественными организациями (рис. 5.8).

160

Информация внешней среды часто неполна, противоречива, прибли-

зительна, разнородна, неадекватно отражает состояние внешней среды.

Примеры внешней информации: информация о состоянии рынка – его дол-

говременное и текущее состояние (тенденции в деловой среде, колебания

спроса и предложения, нестабильность ситуации, изменчивость, противо-

речивость требований), изменения в законодательстве, ожидания потреби-

телей, «происки» конкурентов, последствия политических событий и т.д.

Источники внешней информации и формы ее подачи чрезвычайно

разнообразны. Укажем некоторые из них.

1. Общая информация о состоянии экономики: информационно-

аналитические обзоры, специализированные печатные издания, газеты,

Internet-сайты. Например, сервер «РосБизнесКонсалтинг» (www.rbc.ru)

предоставляет следующую информацию:

• оперативные экономические новости;

• оперативную информацию с СЭЛТ/FOREX;

• биржевые индексы (Доу-Джонс, АК&М, NIKKEY);

• данные по валютному, фондовому, вексельному, кредитному рын-

кам;

• аналитическую информацию по отраслям производства и банков-

ским ресурсам.

2. Специализированная экономическая информация. На информацион-

ном сервере Центробанка (www.crb.ru) можно найти всю свободно распро-

страняемую информацию по финансовому рынку – межбанковский кре-

дитный рынок, ставки привлечения рублевых и валютных депозитов, ры-

нок облигаций Банка России, рынок государственных ценных бумаг, кур-

сы валют на любую пошедшую дату, динамика валют, кросс-курсы и т. д.

3. Официальная информация из государственных органов и органов

управления – новостные ленты, законы, указы, постановления, норматив-

ные документы, сообщения таможенных и налоговых органов.

4. Информация по ценам на товары: журналы и бюллетени, каталоги,

тематические сайты в Internet. Это, в основном, данные по компьютерной,

аудио-, видеотехнике, цифровым устройствам, книжным и музыкальным

новинкам и т.д.

5. Тематическая информация. Основной источник – российские и за-

рубежные информационные поисковые Internet-системы: Google, Yahoo,

AltaVista, Rambler, Яndex и многие другие. Системы выполняют поиск до-

кументов по ключевым словам с учетом синтаксиса и морфологии языков.

Поиск осуществляется по тематическим серверам и заявленным разделам.

Совокупность внешней и внутренней информации, обслуживающие

системы и технологии, ИТ-специалисты и персонал ИТ-подразделений со-

ставляют информационно-технологический ресурс (Information & Technol-

ogy Resource – ITR) современного предприятия. Внутри предприятия ин-

161

формационные потоки поступают в соответствующие модули корпора-

тивной системы для структурирования, систематизации, обработки, ана-

лиза и практического использования.

Большая часть этой информации является свободно используемой в

процессе реализации деятельности государственного или коммерческого

предприятия, однако в зависимости от особенностей внутренней деятель-

ности и взаимодействия с внешним миром часть информации может быть

«для служебного пользования», «строго конфиденциальной» или «секрет-

ной». Такая информация является, как правило, «закрытой» и требует со-

ответствующих мер защиты (рис. 5.9).

Рис. 5.9. Общая классификация охраняемой информации