Какие категории нарушителей наиболее актуальны при подключении домашнего компьютера
Обновлено: 07.07.2024
Те кто уже успел изучить новые методики регуляторов по моделированию угроз, наверное заметили, что большое внимание уделяется описанию потенциального нарушителя. Например, в проекте методики моделирования угроз от ФСТЭК подробно описаны виды нарушителей и их мотивация. В банке угроз ФСТЭК, для каждой угрозы задан тип и потенциал нарушителя, который может ее реализовать. В общем, модель нарушителя перестает быть простой формальностью и начинает оказывать большое влияние на перечень актуальных угроз.
Проблема в том, что подходы двух регуляторов (ФСБ и ФСТЭК) к формированию модели нарушителя, несколько отличаются. ФСБ отвечает за регулирование в области криптографии и ее методика в основном служит для выбора класса криптосредств. Соответственно, ФСБ при описании нарушителя делает упор на возможностях нарушителя по атакам на криптосредства и среду их функционирования (СФ). Методика ФСТЭК более широкая и описывает возможности нарушителя по атакам на систему в целом.
В результате перед разработчиком модели угроз стоит выбор: либо сделать две модели нарушителя по разным методикам, либо пытаться объединить подходы обоих регуляторов в едином документе.
Поэтому обычно разрабатывается два документа: модель угроз ФСТЭК (включающая свое описание нарушителей) и, отдельно, модель нарушителя ФСБ. По крайней мере так поступали безопасники в большинстве проектов, которые я видел. Две модели нарушителя в одном проекте - это то не очень логично.
В связи с выходом новых документов ФСТЭК и ФСБ, интересно насколько сблизились подходы регуляторов к к описанию потенциальных нарушителей. Стала модель нарушителя более логичной?
Модель нарушителя по ФСТЭК
В проекте методики ФСТЭК перечислены виды нарушителей и их потенциал. Потенциал нарушителя может быть высоким, средним или низким. Для каждого из вариантов задан свой набор возможностей:
Так, нарушители с низким потенциаломмогут для реализации атак использовать информацию только из общедоступных источников. К нарушителям с низким потенциалом ФСТЭК относит любых "внешних" лиц, а также внутренний персонал и пользователей системы.
Нарушители со средним потенциаломимеют возможность проводить анализ кода прикладного программного обеспечения, самостоятельно находить в нем уязвимости и использовать их. К таким нарушителям ФСТЭК относит террористические и криминальные группы, конкурирующие организации, администраторов системы и разработчиков ПО.
Нарушители с высоким потенциаломимеют возможность вносить закладки в программно-техническое обеспечение системы, проводить специальные исследования и применять спец. средства проникновения и добывания информации. К таким нарушителям ФСТЭК относит только иностранные спецслужбы.
Возможности нарушителей по ФСБ
Как уже говорилось выше, у ФСБ своя методика угроз, с криптосредствами и СФ :) В недавно вышедших методических рекомендациях приводится 6 обобщенных возможностей нарушителей:
1) Возможность проводить атаки только за пределами КЗ;
2) Возможность проводить атаки в пределах КЗ, но без физического доступа к СВТ.
3) Возможность проводить атаки в пределах КЗ, с физическим доступом к СВТ.
4) Возможность привлекать специалистов, имеющих опыт в области анализа сигналов линейной передачи и ПЭМИН;
5) Возможность привлекать специалистов, имеющих опыт в области использования НДВ прикладного ПО;
6) Возможность привлекать специалистов, имеющих опыт в области использования НДВ аппаратного и программного компонентовсреды функционирования СКЗИ.
Эти возможности соответствуют классам криптосредств (СКЗИ). В зависимости от того, какую возможность мы признаем актуальной, необходимо использовать СКЗИ соответствующего класса. Подробнее это детализировано в другом документе - в приказе ФСБ №378.
Конкретных примеров нарушителей (террористы, конкуренты и т.д.) в своих новых документах ФСБ не дает. Но вспомним, что ранее были методические рекомендации ФСБ 2008 г.. В них то как раз рассказывалось о 6 типах нарушителей, которые обозначались как Н1- Н6. Возможности описанные в новых документах ФСБ соответствуют тем самым нарушителям Н1 - Н6 из старых методических рекомендаций.
Объединяем нарушителей ФСТЭК и ФСБ
Если прочесть описание возможностей нарушителя, то можно заметить, что оба регулятора уделяют внимание возможностям нарушителя по использованию НДВ. Сравнив описания нарушителей у ФСТЭК и ФСБ, получим примерно следующее:
- Нарушители с низким потенциалом по ФСТЭК – это нарушители Н1-Н3 по классификации ФСБ;
- Нарушитель со средним потенциалом по ФСТЭК – это нарушители Н4-Н5 по классификации ФСБ.;
- Нарушитель с высоким потенциалом по ФСТЭК – это нарушитель Н6 по ФСБ (т.е. сотрудник иностранной технической разведки).
Таким образом, для каждого нарушителя из методики ФСТЭК можно взять вполне определенный набор свойств из методики ФСБ.
Выбираем подходящих нарушителей и избавляемся от остальных
Остается только определиться, каких нарушителей рассматривать для конкретной информационной системы. А это регулятор сам подсказывает нам, уже на этапе классификации системы.
В случае государственной информационной системы, приглядимся к п.25 приказа ФСТЭК №17. В нем сказано:
- для информационных систем 1 класса защищенности, система защиты должна обеспечивать нейтрализацию угроз от нарушителя с высоким потенциалом;
- для информационных систем 2 класса защищенности - нейтрализацию угроз от нарушителя со средним потенциалом;
- для информационных систем 3 и 4 классов защищенности- нейтрализацию угроз от нарушителя с низким потенциалом.
То есть, хотя бы предварительно классифицировав систему, мы можем сделать вывод о том, какие виды нарушителей регулятор считает для нее актуальными.
Остается лишь описать данных нарушителей в модели нарушителя, а нарушителей с более высоким потенциалом исключить. Аргументы для исключения "лишних" нарушителей можно взять из приложения к методике моделирования угроз ФСБ.
В данном курсовом проекте рассматриваются основные вопросы проектирования технической защиты автоматизированного рабочего места (АРМ) пользователя (автоматизированной системы), а также соответствующие модели угроз безопасности и категории нарушителей.
1. МОДЕЛЬ УГРОЗ БЕЗОПАСНОСТИ АРМ. 5
1.1. ОСОБЕННОСТИ ФУНКЦИОНИРОВАНИЯ. 5
1.2. МОДЕЛЬ НАРУШИТЕЛЯ. 5
1.2.1. Пользователи АРМ. 5
1.2.2. Основные группы и классы нарушителей. 5
2.2.3. Характеристики группы внешних нарушителей. 6
2.2.4. Характеристики группы внутренних нарушителей. 7
2.2.5. Состав групп нарушителей. 8
2.3. Модель угроз. 9
2.3.2. Классификация угроз. 10
2.4. Организационно-технические меры противодействия угрозам. 15
3. ОБЕСПЕЧЕНИЕ ФИЗИЧЕСКОЙ ЗАЩИТЫ АРМ. 16
3.1. Организационные меры по обеспечению защиты АРМ. 16
3.2. Технические меры по обеспечению защиты АРМ. 17
4. ЗАКЛЮЧЕНИЕ. 21
5.Список используемых источников: 22
ВВЕДЕНИЕ.
В отличие от централизованной обработки данных, связанной с концентрацией основных вычислительных мощностей, есть возможность отказаться от этой в значительной мере " искусственной тенденции" и проводить обработку информации в местах ее непосредственного возникновения и использования. Это позволяет ликвидировать промежуточные звенья при общении человека с ЭВМ. В результате все технологические процедуры, начиная от ввода информации и кончая получением выходных данных, могут выполняться работниками управления непосредственно на своих рабочих местах. Системы обработки данных (СОД) на базе концепции АРМ получили широкое развитие. АРМ - автоматизированное рабочее место системы управления, оборудованное средствами, обеспечивающими участие человека в реализации автоматизированных функций АСУ.
АРМ присущи следующие признаки:
- доступная пользователю совокупность технических, программных, информационных и др. средств;
- размещение ВТ непосредственно (или вблизи) на рабочем месте пользователя;
- возможность создания и совершенствования проектов автоматизированной обработки данных в конкретной сфере деятельности;
- осуществление обработки данных самим пользователем;
- диалоговый режим взаимодействия пользователя с ЭВМ как в процессе решения задач управления, так и в процессе их проектирования.
Таким образом АРМ в системе управления представляет собой проблемно-ориентированный комплекс технических, программных, лингвистических (языковых) и др. средств, установленный непосредственно на рабочем месте пользователя и предназначенный для автоматизации операций взаимодействия пользователя с ЭВМ в процессе проектирования и реализации задач.
АРМ может состоять из следующих элементов:
· устройства вывода: монитор, принтер, динамики;
· устройства ввода: клавиатура, манипулятор (компьютерная мышь), микрофон.
МОДЕЛЬ УГРОЗ БЕЗОПАСНОСТИ АРМ.
ОСОБЕННОСТИ ФУНКЦИОНИРОВАНИЯ.
· АРМ располагается в отдельном выделенном помещении, защищенном как помещение для ведение конфиденциальных переговоров (бронированная дверь, средства акустического и виброакустического зашумления);
· доступ к защищаемой информации осуществляется в соответствии с уровнем доступа пользователей АРМ;
· АРМ является полностью автономным и не имеют сетевого соединения с локальными и глобальными вычислительными сетями.
МОДЕЛЬ НАРУШИТЕЛЯ.
Пользователи АРМ.
Пользователями АРМ являются сотрудники организации, допущенные к работе с информацией, имеющей гриф ограниченного доступа, в силу их прямых должностных обязанностей.
Для работы с АРМ от всех сотрудников организации требуется прохождение специальной процедуры для получения соответствующей формы допуска.
Нарушителями по отношению к АРМ могут быть сотрудники организации, имеющие непосредственный допуск для работы с АРМ, сотрудники организации, не имеющие допуск для работы с АРМ, и лица, не являющиеся сотрудниками организации.
Основные группы и классы нарушителей.
При рассмотрении нарушителей необходимо разделить их на группы по отношению к АРМ и соответственно возможностям воздействия на его компоненты. Групп нарушителей две:
- внешние нарушители (группа О) – физические лица, не обладающие правами доступа внутрь контролируемой зоны и соответственно не имеющие возможности прямого воздействия на компоненты АРМ;
- внутренние нарушители (группа И) – физические лица, обладающие правами доступа внутрь контролируемой зоны и соответственно имеющие доступ к техническим средствам АРМ.
Вне зависимости от групп нарушитель может относиться к одному из четырех классов по возможным действиям:
- первый (низкий) уровень (класс 1) возможностей нарушителя характеризуется запуском задач из фиксированного набора с заранее предусмотренными функциями по обработке информации. Также внешний злоумышленник, использующий технические каналы утечки информации;
- второй (класс 2), включает возможности пользователей первого уровня. Дополнительно имеет возможности создания и запуска собственных программ с новыми функциями по обработке информации. Таким образом, возможна ситуация, когда внешний нарушитель реализует внутренние угрозы;
- третий (класс 3), имеет возможность управления функционированием АРМ, то есть воздействовать на базовое программное обеспечение, его состав и конфигурацию. На этом уровне велика вероятность ошибок или непреднамеренных вредоносных действий законных пользователей;
- четвертый (класс 4), отличается полным объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АРМ, вплоть до включения в состав АСВТ технических средств с новыми функциями по обработке данных.
Различение нарушителей по квалификации, как специалиста в области информационных технологий:
Уровень возможностей нарушителей
Возможности нарушителей по реализации угроз безопасности информации
Нарушитель, обладающий базовыми возможностями
Имеет возможность при реализации угроз безопасности информации использовать только известные уязвимости, скрипты и инструменты.
Имеет возможность использовать средства реализации угроз (инструменты), свободно распространяемые в сети "Интернет" и разработанные другими лицами, имеет минимальные знания механизмов их функционирования, доставки и выполнения вредоносного программного обеспечения, эксплойтов.
Обладает базовыми компьютерными знаниями и навыками на уровне пользователя.
Имеет возможность реализации угроз за счет физических воздействий на технические средства обработки и хранения информации, линий связи и обеспечивающие системы систем и сетей при наличии физического доступа к ним.
Таким образом, нарушители с базовыми возможностями имеют возможность реализовывать только известные угрозы, направленные на известные (документированные) уязвимости, с использованием общедоступных инструментов
Физическое лицо (хакер)
Лица, обеспечивающие поставку программных, программно-аппаратных средств, обеспечивающих систем
Лица, обеспечивающие функционирование систем и сетей или обеспечивающих систем (администрация, охрана, уборщики и т.д.)
Авторизованные пользователи систем и сетей
Бывшие работники (пользователи)
Нарушитель, обладающий базовыми повышенными возможностями
Обладает всеми возможностями нарушителей с базовыми возможностями.
Имеет возможность использовать средства реализации угроз (инструменты), свободно распространяемые в сети "Интернет" и разработанные другими лицами, однако хорошо владеет этими
Преступные группы (два лица и более, действующие по единому плану)
Поставщики вычислительных услуг,
Продолжение таблицы 8.1
Уровень возможностей нарушителей
Возможности нарушителей по реализации угроз безопасности информации
средствами и инструментами, понимает, как они работают и может вносить изменения в их функционирование для повышения эффективности реализации угроз.
Оснащен и владеет фреймворками и наборами средств, инструментов для реализации угроз безопасности информации и использования уязвимостей.
Имеет навыки самостоятельного планирования и реализации сценариев угроз безопасности информации.
Обладает практическими знаниями о функционировании систем и сетей, операционных систем, а также имеет знания защитных механизмов, применяемых в программном обеспечении, программно-аппаратных средствах.
Таким образом, нарушители с базовыми повышенными возможностями имеют возможность реализовывать угрозы, в том числе направленные на неизвестные (недокументированные) уязвимости, с использованием специально созданных для этого инструментов, свободно распространяемых в сети "Интернет". Не имеют возможностей реализации угроз на физически изолированные сегменты систем и сетей
Лица, привлекаемые для установки, настройки, испытаний, пусконаладочных и иных видов работ
Системные администраторы и администраторы безопасности
Нарушитель, обладающий средними возможностями
Обладает всеми возможностями нарушителей с базовыми повышенными возможностями.
Имеет возможность приобретать информацию об уязвимостях, размещаемую на специализированных платных ресурсах (биржах уязвимостей).
Имеет возможность приобретать дорогостоящие средства и инструменты для реализации угроз, размещаемые на специализированных платных ресурсах (биржах уязвимостей).
Террористические, экстремистские группировки
Разработчики программных, программно-аппаратных средств
Продолжение таблицы 8.1
Уровень возможностей нарушителей
Возможности нарушителей по реализации угроз безопасности информации
Имеет возможность самостоятельно разрабатывать средства (инструменты), необходимые для реализации угроз (атак), реализовывать угрозы с использованием данных средств.
Имеет возможность получения доступа к встраиваемому программному обеспечению аппаратных платформ, системному и прикладному программному обеспечению, телекоммуникационному оборудованию и другим программно-аппаратным средствам для проведения их анализа.
Обладает знаниями и практическими навыками проведения анализа программного кода для получения информации об уязвимостях.
Обладает высокими знаниями и практическими навыками о функционировании систем и сетей, операционных систем, а также имеет глубокое понимание защитных механизмов, применяемых в программном обеспечении, программно-аппаратных средствах.
Имеет возможность реализовывать угрозы безопасности информации в составе группы лиц.
Таким образом, нарушители со средними возможностями имеют возможность реализовывать угрозы, в том числе на выявленные ими неизвестные уязвимости, с использованием самостоятельно разработанных для этого инструментов. Не имеют возможностей реализации угроз на физически изолированные сегменты систем и сетей
Нарушитель, обладающий высокими возможностями
Обладает всеми возможностями нарушителей со средними возможностями.
Имеет возможность получения доступа к исходному коду встраиваемого программного обеспечения аппаратных платформ, системного и прикладного программного обеспечения, телекоммуникационного оборудования и других программно-аппаратных средств для получения сведений об уязвимостях "нулевого дня".
Специальные службы иностранных государств
Продолжение таблицы 8.1
Уровень возможностей нарушителей
Возможности нарушителей по реализации угроз безопасности информации
Имеет возможность внедрения программных (программно-аппаратных) закладок или уязвимостей на различных этапах поставки программного обеспечения или программно-аппаратных средств.
Окончание таблицы 8.1
Уровень возможностей нарушителей
Возможности нарушителей по реализации угроз безопасности информации
Имеет возможность создания методов и средств реализации угроз с привлечением специализированных научных организаций и реализации угроз с применением специально разработанных средств, в том числе обеспечивающих скрытное проникновение.
Имеет возможность реализовывать угрозы с привлечением специалистов, имеющих базовые повышенные, средние и высокие возможности.
Имеет возможность создания и применения специальных технических средств для добывания информации (воздействия на информацию или технические средства), распространяющейся в виде физических полей или явлений.
Имеет возможность долговременно и незаметно для операторов систем и сетей реализовывать угрозы безопасности информации.
Обладает исключительными знаниями и практическими навыками о функционировании систем и сетей, операционных систем, аппаратном обеспечении, а также осведомлен о конкретных защитных механизмах, применяемых в программном обеспечении, программно-аппаратных средствах атакуемых систем и сетей.
Таким образом, нарушители с высокими возможностями имеют практически неограниченные возможности реализовывать угрозы, в том числе с использованием недекларированных возможностей,
Окончание таблицы 8.1
Уровень возможностей нарушителей
Возможности нарушителей по реализации угроз безопасности информации
программных, программно-аппаратных закладок, встроенных в компоненты систем и сетей
GMan1990 15-03-2015 15:16 3413 Прочтений 0 Комментариев
Раздел 1 Вопрос 2. Основные модели нарушителей в соответствии с действующим законодательством РФ.
Согласно документу «Модель угроз и нарушителя безопасности персональных данных, обрабатываемых в типовых информационных системах персональных данных отрасли»
С точки зрения наличия права постоянного или разового доступа в
контролируемую зону объектов размещения ИСПДн все физические лица
могут быть отнесены к следующим двум категориям:
− категория I – лица, не имеющие права доступа в контролируемую зону
− категория II – лица, имеющие право доступа в контролируемую зону
Все потенциальные нарушители подразделяются на:
− внешних нарушителей, осуществляющих атаки из-за пределов
контролируемой зоны ИСПДн;
− внутренних нарушителей, осуществляющих атаки, находясь в
пределах контролируемой зоны ИСПДн.
В качестве внешнего нарушителя кроме лиц категории I должны
рассматриваться также лица категории II, находящиеся за пределами КЗ.
В отношении ИСПДн в качестве внешнего нарушителями из числа лиц
категории I могут выступать:
− бывшие сотрудники предприятий отрасли;
− посторонние лица, пытающиеся получить доступ к ПДн в
− представители преступных организаций.
Внешний нарушитель может осуществлять:
− перехват обрабатываемых техническими средствами ИСПДн ПДн за
счет их утечки по ТКУИ, в том числе с использованием портативных,
возимых, носимых, а также автономных автоматических средств
разведки серийной разработки;
− деструктивные воздействия через элементы информационной
инфраструктуры ИСПДн, которые в процессе своего жизненного
цикла (модернизация, сопровождение, ремонт, утилизация)
оказываются за пределами КЗ;
− несанкционированный доступ к информации с использованием
специальных программных воздействий посредством программы
вирусов, вредоносных программ, алгоритмических или программных
− перехват информации, передаваемой по сетям связи общего
пользования или каналам связи, не защищенным от
несанкционированного доступа (НСД) к информации организационно-
− атаки на ИСПДн путем реализации угроз удаленного доступа.
Внутренний нарушитель (лица категории II) подразделяется на восемь
групп в зависимости от способа и полномочий доступа к информационным
ресурсам (ИР) ИСПДн.
1. К первой группе относятся сотрудники предприятий, не являющиеся
имеющие санкционированный доступ в КЗ. К этой категории нарушителей
относятся сотрудники различных структурных подразделений предприятий:
энергетики, сантехники, уборщицы, сотрудники охраны и другие лица,
обеспечивающие нормальное функционирование объекта информатизации.
Лицо данной группы может:
− изменять конфигурацию технических средств обработки ПДн, вносить
программно-аппаратные закладки в ПТС ИСПДн и обеспечивать съем
информации, используя непосредственное подключение к
техническим средствам обработки информации.
ИСПДн, осуществляющие ограниченный доступ к ИР ИСПДн с рабочего места.
К этой категории относятся сотрудники предприятий, имеющие право доступа
к локальным ИР ИСПДн для выполнения своих должностных обязанностей.
Лицо данной группы:
− обладает всеми возможностями лиц первой категории;
− знает, по меньшей мере, одно легальное имя доступа;
− обладает всеми необходимыми атрибутами (например, паролем),
обеспечивающим доступ к ИР ИСПДн;
− располагает ПДн, к которым имеет доступ.
подсистем ИСПДн, осуществляющие удаленный доступ к ПДн по локальной
или распределенной сети предприятий.
Лицо данной группы:
− обладает всеми возможностями лиц второй категории;
− располагает информацией о топологии сети ИСПДн и составе
технических средств ИСПДн;
− имеет возможность прямого (физического) доступа к отдельным
техническим средствам ИСПДн.
ИСПДн с полномочиями администратора безопасности сегмента (фрагмента)
Лицо данной группы:
− обладает полной информацией о системном и прикладном
программном обеспечении, используемом в сегменте ИСПДн
− обладает полной информацией о технических средствах и
конфигурации сегмента ИСПДн;
− имеет доступ к средствам защиты информации и протоколирования, а
также к отдельным элементам, используемым в сегменте ИСПДн;
− имеет доступ ко всем техническим средствам сегмента ИСПДн;
− обладает правами конфигурирования и административной настройки
некоторого подмножества технических средств сегмента ИСПДн.
полномочиями системного администратора ИСПДн, выполняющего
конфигурирование и управление программным обеспечением и оборудованием,
включая оборудование, отвечающее за безопасность защищаемого объекта:
средства мониторинга, регистрации, архивации, защиты от
Лицо данной группы:
− обладает полной информацией о системном, специальном и
прикладном ПО, используемом в ИСПДн;
− обладает полной информацией о ТС и конфигурации ИСПДн
− имеет доступ ко всем ТС ИСПДн и данным;
− обладает правами конфигурирования и административной настройки
с полномочиями администратора безопасности ИСПДн, отвечающего за
соблюдение правил разграничения доступа, за генерацию ключевых элементов,
смену паролей, криптографическую защиту информации (СКЗИ).
Администратор безопасности осуществляет аудит тех же средств защиты
объекта, что и системный администратор.
Лицо данной группы:
− обладает полной информацией об ИСПДн;
− имеет доступ к средствам защиты информации и протоколирования и
к части ключевых элементов ИСПДн;
− не имеет прав доступа к конфигурированию технических средств сети
за исключением контрольных (инспекционных).
7. К седьмой группе относятся лица из числа программистов-
разработчиков сторонней организации, являющихся поставщиками ПО и лица,
обеспечивающие его сопровождение на объекте размещения ИСПДн.
Лицо данной группы:
− обладает информацией об алгоритмах и программах обработки
информации в ИСПДн;
− обладает возможностями внесения ошибок, недекларированных
возможностей, программных закладок, вредоносных программ в ПО
ИСПДн на стадии его разработки, внедрения и сопровождения;
− может располагать любыми фрагментами информации о ТС обработки
и защиты информации в ИСПДн.
8. К восьмой группе относятся персонал, обслуживающий ТС ИСПДн, а
также лица, обеспечивающие поставку, сопровождение и ремонт ТС ИСПДн.
Лицо данной группы:
− обладает возможностями внесения закладок в ТС ИСПДн на стадии их
разработки, внедрения и сопровождения;
− может располагать фрагментами информации о топологии ИСПДн,
автоматизированных рабочих местах, серверах и коммуникационном
оборудовании, а также о ТС защиты информации в ИСПДн.
При взаимодействии отдельных подсистем ИСПДн между собой по сетям
связи общего пользования и (или) сетям международного информационного
обмена, при обмене информацией между ИСПДн и внешними по отношению к
40предприятию информационными системами, а также при передаче ПДн по
кабельным системам, расположенным в пределах контролируемой зоны и не
защищенных от НСД к информации организационно-техническими мерами,
для обеспечения конфиденциальности информации необходимо использование
средств криптографической защиты информации (СКЗИ).
Уровень криптографической защиты персональных данных,
обеспечиваемой СКЗИ, определяется путем отнесения нарушителя, действиям
которого должно противостоять СКЗИ, к конкретному типу, и базируется на
подходах, описанных в «Методическими рекомендациями по обеспечению с
Читайте также: