Количественная модель рисков

Рассмотрим здесь традиционную (для Запада) методику Quantitative Risk Model (QRM). В ней применяются такие понятия как:

- годовая частота происшествия - ARO (Annual Rate of Occurrence) – вероятность появления ущерба, т.е. если событие происходит раз в 5 лет, то ARO=1/5;

- ожидаемый единичный ущерб - SLE (Single Loss Expectancy) – стоимость ущерба от одной успешной атаки;

- ожидаемый годовой ущерб – ALE (Annualized Loss Expectancy):

ALE = ARO × SLE.

Величина ARO отлична от вероятности, т.к. может превышать 1, более того, не ограничена сверху. Она может быть вычислена как произведение количества ошибок одного пользователя в год на количество таких пользователей.

SLE рассчитывается как произведение стоимостного значения актива AV (Active Value) на фактор воздействия EF (Executive Factor). EF - это размер ущерба или влияния назначение актива ( от 0 до 100%), т.е. часть значения актива, потерянная в результате события:

SLE = AV × EF.

Пример: Пусть имеется здание с инфраструктурой стоимостью 100 000$. Пожар может нанести ущерб с EF = 30% может произойти раз в 10 лет.

SLE = 100 000 × 0, 3 = 30 000

ALE = 30 000 × 0, 1 = 3 000.

Т.е. если организация тратит 3 000$ в год на предотвращение риска пожара, то предпринимаемые меры могут считаться эффективными.

Несмотря на простоту расчета, определение составляющих здесь представляет значительные сложности.

Чтобы вычислить ARO событий, вызванных природными условиями, можно обратиться в локальные метеослужбы, имеющие сведения о вероятности стихийных бедствий и т.п. По пожарам – в управление пожарной охраны и т.д. Компьютерные преступления учитываются органами внутренних дел. Если эта информация закрыта, то можно обратиться к мировой статистике, во всех случаях имея в виду, что определенный процент таких преступлений скрывается. Статистика отказов оборудования и ПО обычно предоставляется производителем (с поправкой на рекламу).

Для определения стоимости активов следует разделить их на осязаемые и неосязаемые. К первым отнесем средства обслуживания информационных технологий (ИТ) - аппаратное и сетевое обеспечение, запчасти, зарплата обслуживающего персонала. Стоимостные оценки этих активов легко вычислимы.

Стоимость неосязаемых активов должна учитывать два вида расходов: расходы на замену/восстановление ПО и данных, расходы на восстановление:

«конфиденциальности / целостности / доступности». Определение стоимости можно определить по методике Инструкции по Оценке Стоимости Информации – Guidence for Information Violation (GIV).

Приведем пример такого определения.

Группа специалистов работает над исследованием, результатом которого должен стать некоторый набор данных (НД), неосязаемую стоимость которого надо оценить. Если НД будет утерян на каком-либо этапе, то для восстановления потребуются следующие средства:

1. Если НД сохранился как интеллектуальный продукт, то затраты на его восстановление – это труд операторов по вводу в систему, корректировке и т.п.

2. Если НД не сохранился ни в каком виде, то расходы составят столько же, сколько было потрачено на разработку данного этапа, при условии что актуальность не утрачена. Если сохранилось оборудование и материалы, которые можно использовать в повторной реализации, то их стоимость следует вычесть из общих расходов.

Для оценки стоимости по конфиденциальности необходимо исследование ряда дополнительных условий:

1. Если разглашение информации о деталях исследования никак не повлияло на деятельность группы, то НД не имеет стоимости в этом смысле.

2. Если разглашение информации о НД (конкурентам) означает крах всего исследования, то расходы равны затратам на всю разработку.

3. Если работы были сегментированы таким образом, что НД представляет собой отдельные объекты, не связанные друг с другом, и нарушение конфиденциальности одного не повлияет на состояние конфиденциальности остальных, то расходы составят соответствующую часть.

Для оценки нарушения целостности необходимо знать, насколько такое нарушение существенно для проекта. При этом различают смысловые ошибки самого исследования, ошибки персонала при работе с данными, ошибки оборудования, изменения, внесенные злоумышленником и т.д. Также следует различать данные по чувствительности к нарушению целостности (например, одна цифра в банковском счете и сто записей в библиотечном каталоге могут иметь одинаковую стоимость целостности).

Ели изменение данных повлекло прямой материальный ущерб, то он оценивается по максимуму, хотя такой максимальный ущерб может быть моментально обнаружен, а более малый, оставаясь незамеченным, за больший период повлияет сильнее. Изменение некоторых данных может быть оценено только специалистами (замена символа в химической формуле может повлечь катастрофу).

Нарушение доступности целесообразно различать по времени:

‑ недоступно навсегда;

‑ недоступно в течение определенного периода.

Первый вид аналогичен ущербам по конфиденциальности и целостности, а второй оценивается по времени недоступности:

В качестве альтернативы QRM разработана модель обобщенного стоимостного результата Миоры (GCC), которая улучшает и облегчает вычисления. Дело в том, что большая и малая вероятность события, хотя и выглядят в предыдущей формуле одинаково, но требуют разного подхода в определении защитных мер.

Модель GCC не требует учета вероятностей катастрофических событий, она оперирует понятиями ущерба от простоя, как функцией времени после наступления события. Для каждого информационного актива (группы схожих активов, называемых категорией) определяется размер возможного ущерба, срок начала его влияния и распределенность во времени.

Например, простой производства будет приносить ущерб в 50000$ в день, начиная с первого дня. Простой службы заключения контрактов начнет действовать с пятого дня. Затем все категории ущерба суммируются.

Можно отобразить рост ущерба в виде графика, где одна кривая показывает суммарный ущерб организации во времени при отсутствии защитных мероприятий – аварийного плана DRP (Disaster Recovery Plan), а вторая – суммарный ущерб при наличии DRP. Здесь необходимость и эффективность СЗИ особенно наглядна.

Модель различает три вида ущерба: прямой осязаемый, косвенный осязаемый и неосязаемый. К первой категории относятся производственные активы (то, что непосредственно производит прибыль). Второй вид – это функции поддержки, активы, связанные с внешними источниками (например, ущерб от падения акций). В третий вид включены ущерб репутации, невыполненные обещания, негативное общественное мнение.

Наиболее вероятные атаки

Рассмотрение возможности компьютерного взлома представляет наибольший профессиональный интерес, однако следует учитывать, что такие угрозы не всегда являются основными для АС. В среднем, аварии электроснабжения приносят больший ущерб, чем хакерские атаки.

Согласно рейтингу SANS (System Administration Networking and Security institute) к наиболее уязвимым продуктам и протоколам относятся:

1. BIND (Berkeley Internet Name Domain ) – реализация службы доменных имен, а именно ее сервисы nxt, qint, in.named. Позволяет злоумышленнику получить полный доступ (на уровне root) к хосту.

2. Скрипты CGI и приложения Веб-серверов. Во многих из них вопросы безопасности не учтены.

3. Remote Procedure Calls (RPC) – удаленный вызов процедур – механизм, позволяющий одному компьютеру выполнение процедур на другом, используемый при совместной работе с файлами нескольких клиентов (sharing). Также позволяет получить полный доступ к хосту.

4. Microsoft Internet Information Server (IIS) имеет компоненту под названием Remote Data Service – RDS, в которой присутствует уязвимость, позволяющая удаленно выполнять на сервере команды с привилегиями администратора.

5. Sendmail – почтовая программа. Известна давно по «червю Моррисона». Доступ на уровне root.

6. Сервисы sadmind (Solaris) и mountd (Unix) позволяют получить доступ к административным функциям и управляют доступом к сетевой файловой системе (NFS). Атаки на переполнение буфера позволяют получить доступ на уровне root.

7. Совместное использование портов (sharing), характерно для всех систем. Здесь для удобства пользователей открывают больше каталогов, чем необходимо, с большими, чем необходимо, правами. Такое неверное конфигурирование системы приводит к появлению уязвимостей.

8. Использование аутентификационных данных пользователя (ID+пароль) c пустым или легко разгадываемым паролем. Уязвимость основана на человеческом факторе и характерна для всех систем. В зависимости от прав пользователя доступ может быть получен до root –уровня.

9. Уязвимости в протоколах IMAP и POP, предназначенных для предоставления доступа пользователя из внешних сетей к почтовому ящику пользователя в корпоративной сети. Если МСЭ сконфигурирован так, что пропускает эти протоколы, то существует возможность атаки переполнением.

10.Упрощенный протокол управления сетью – SNMP (Simple Network Management Protocol) - используется сетевыми администраторами для мониторинга и управления сетевыми устройствами. Примитивный механизм защиты от перехвата позволяет злоумышленнику управлять устройством. (имя группы доступа – community string – передается открытым текстом). Соответственно, можно прочитать всю техническую информацию об устройстве и подключенных к нему сетях, а также переконфигурировать или вывести устройство из работы.

SANS дает также расширенный список 20 уязвимостей, разделенный на 3 части:

I Методологические ошибки:

1. Сохранение конфигураций и настроек ПО, установленных по умолчанию при инсталляции.

2. Использование пользователями счетов с пустыми или легко разгадываемыми паролями.

3. Отсутствие или неполнота резервных копий.

4. Большое количество открытых портов.

5. Отсутствие фильтрации пакетов на входе/выходе во внутренней сети организации. Минимальные требования здесь – поверка адресов.

6. Отсутствие или неполнота регистрационных журналов.

7. Уязвимые CGI – программы.

II Windows – системы:

8. Уязвимость Unicode в IIS. Если клиент направляет IIS специально сформированный URL (адрес запроса) c нештатными Unicode - символами, он может перемещаться по директориям сервера за пределами разрешенной области и выполнять определенные скрипты.

9. Переполнение буфера в расширении ISAPI, позволяющего подключать библиотеки dll, некоторые из которых имеют ошибки в вопросах безопасности.

10.IIS Remote Data Service.

11.Пользовательское разделение фалов по NetBIOS.

12.Нулевая сессия или системное разделение.

13.Слабое хэширование в базе данных Security Account Manager – SAM. Использует устаревший формат LM для совместимости с предыдущими версиями Windows.

III Unix – системы:

14.Уязвимость для атаки на переполнение буфера Remote Procedure Calls (RPC).

15.Уязвимость Sendmail.

16. Уязвимость сервера имен BIND.

17. R – команды удаленного администрирования, удаленного входа, удаленного исполнения, копирования и т.д. Идентификация источника команд производится только по IP –адресу, который может быть подменен.

18. Уязвимость сервиса LPD (Local Printer Deamon). Модуль, отвечающий за передачу данных на печать имеет ошибку позволяющую исполнить посторонний код с повышенными привилегиями.

19. Уязвимость сервисов sadmind и mountd.

20. Уязвимость протокола SNMP.

Часть приведенных в описании атак связана с особенностями функционирования, часть с ошибками реализации или в настройках систем, часть с ошибками при использовании. Для оценки опасности конкретной атаки предлагается следующая формула:

S = (C + L) – (SC + NC),

где S - серьезность ущерба от атаки;

С – критичность объекта атаки;

L – опасность цели атаки (предполагаемый размер ущерба);

SC - системные контрмеры объекта;

NC – сетевые контрмеры информационного пространства, где находится объект. Единицы измерения можно выбирать самостоятельно на основе собственных данных по классификации активов и имеющихся данных по атакам и средствам безопасности.

При реализации эффективной защиты недостаточно просто пройти по вышеприведенному списку уязвимостей и принять соответствующие настройки. Это связано с тем, что:

1. Мероприятия по ИБ носят не разовый, а регулярный характер (пополнение антивирусных баз).

2. Нет полностью статичной в настройках информационной сети в связи с периодическим обновлением аппаратной части и ПО.

3. Не в любом информационном пространстве возможно запрещение использования уязвимых систем и сервисов, т.к. требования производственных задач часто конфликтуют с требованиями безопасности.

При решении проблемы управления рисками следует учитывать два важных момента:

Во-первых, при проектировании моделей и схем защиты, следует обращать внимание на то, чтобы вся полнота власти не концентрировалась в руках одного человека, каким бы доверенным он не был. Контроль за ИБ необходимо оптимально распределять между автоматизированными средствами и людскими ресурсами.

Во-вторых, несмотря на то, что в сфере оперативного распознавания атак и их предотвращения автоматизированные средства значительно превосходят человека, наличие команды системных аналитиков информационного пространства – это фактор, способный сыграть ключевую роль.

Лекция 12(3 часа)

Тема:

«ОСНОВЫ ПОСТРОЕНИЯ КОМПЛЕКСНЫХ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ АВТОМАТИЗИРОВАНЫХ СИСТЕМ»

⇐ Предыдущая 14 15 16 17 181920 21 22 23 Следующая ⇒