Владивосток, 201_ г.
Обозначения и сокращения. 3
Заказчик и исполнитель. 4
1. Общие положения. 5
2. Описание информационной системы.. 7
3. Описание угроз Наим системы 8
3.1. Модель нарушителя. 8
3.2. Обобщённые возможности источников атак Наим системы.. 13
3.3. Актуальность использования возможностей нарушителя и направлений атак. 16
3.4. Описание возможных уязвимостей в НАИМ СИСТЕМЫ 22
3.5. Угрозы безопасности информации НАИМ СИСТЕМЫ 25
3.5.1. Угрозы утечки по техническим каналам.. 26
3.5.2. Угрозы НСД к ПДн в НАИМ СИСТЕМЫ 29
3.6. Определение актуальности угроз безопасности информации НАИМ СИСТЕМЫ 73
3.6.1. Исходный уровень защищённости. 73
3.6.2. Алгоритм определения актуальных УБИ.. 74
3.6.3. Актуальность УБИ.. 75
3.6.4. Перечень актуальных угроз. 83
Источники разработки. 87
Обозначения и сокращения
| АРМ | Автоматизированное рабочее место |
| АС | Аппаратные средства |
| ВТСС | Вспомогательные технические средства и системы |
| ИС | Информационная система |
| КЗ | Контролируемая зона |
| НСД | Несанкционированный доступ |
| ОС | Операционная система |
| ПДн | Персональные данные |
| ПО | Программное обеспечение |
| ПЭМИН | Побочные электромагнитные излучения и наводки |
| СВТ | Средство вычислительной техники |
| СЗИ | Средство защиты информации |
| СКЗИ | Система криптографической защиты информации |
| СФ | Среда функционирования |
| УБИ | Угроза безопасности информации |
| ФСБ | Федеральная служба безопасности |
| ФСТЭК | Федеральная служба по техническому и экспортному контролю |
Заказчик и исполнитель
Адрес: адрес орг.
Исполнителем работ является: Общество с ограниченной ответственностью «Системы информационной безопасности» (сокращенное наименование - ООО «СИБ»).
Адрес: 630009, г. Новосибирск, ул. Добролюбова, 16.
Общие положения
Настоящая модель определяет актуальные угрозы безопасности данных при их обработке в информационной системе Наим орг сокращ и должна использоваться при задании требований к системе защиты информации указанной информационной системы.
Настоящая модель угроз разработана на основании данных Аналитического отчёта по обследованию государственной информационной системы «Наим сист» Департамента образования и науки Приморского края и Банка данных угроз безопасности информации ФСТЭК России.
Для разработки модели угроз ГИС Наим орг сокращ использовались следующие нормативные и методические документы, стандарты:
1. Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
3. Приказ ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну содержащихся в государственных информационных системах»;
4. Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 г. «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
5. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утверждена Заместителем директора ФСТЭК России 15 февраля 2008г.);
6. Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности информации персональных данных, актуальные при обработке персональных данных информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности, утверждены руководством 8 центра ФСБ России 31 марта 2015 года № 149/7/2/6-432;
7. Приказ ФСБ России от 10.07. 2014 г. № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности ПДн при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищённости» (зарегистрировано в Минюсте России 18.08.2014 г. № 33620);
8. Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Утверждена Заместителем директора ФСТЭК России 14 февраля 2008г.).
Модель угроз формируется и утверждается оператором и может быть пересмотрена:
· по решению оператора на основе периодически проводимых им анализа и оценки угроз безопасности данных с учетом особенностей и (или) изменений конкретной информационной системы;
· по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности данных при их обработке в информационной системе.
Принципы формирования модели угроз:
· безопасность защищаемой информации в ИС обеспечивается с помощью системы защиты информации;
· защищаемая информация обрабатывается и хранится в ИС с использованием определенных информационных технологий и технических средств, порождающих объекты защиты различного уровня, атаки на которые создают прямые и косвенные угрозы защищаемой информации;
· система защиты данных не может обеспечить защиту информации от действий, выполняемых в рамках предоставленных субъекту полномочий.
В модели угроз представлено описание ИС и её структурно – функциональных характеристик, состава и режима обработки защищаемой информации, определение уровня защищённости ИС, описание угроз безопасности информации.
Описание угроз безопасности информации включает:
· описание возможностей нарушителя (модель нарушителя);
· описание возможных уязвимостей ИС;
· способы реализации угроз;
· оценку вероятности (возможности) реализации угроз;
· оценку степени и вида ущерба от реализации угроз;
· определение актуальности УБИ.
Описание информационной системы
Система представляет собой клиент-серверную информационную систему. В качестве СУБД в НАИМ СИСТЕМЫ используется MSQL-2008. Технически серверная часть данной информационной системы находится на сервере под управлением MSQL в Наим орг сокращ.
Клиентские части расположены на АРМ сотрудников Наим орг сокращ.
Вставить из аналитики
Описание угроз НАИМ СИСТЕМЫ Наим орг сокращ
Модель нарушителя
Источниками угроз НСД в ИС могут быть:
· Нарушитель;
· Носитель вредоносной программы;
· Аппаратная закладка.
Нарушитель безопасности ПДн определяется, как физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности ПДн при их обработке техническими средствами в информационных системах.
В Наим орг сокращ всех нарушителей можно классифицировать следующим образом - по наличию права постоянного или разового доступа в КЗ.
По данной классификации они подразделяются на два типа:
· Нарушители, не имеющие доступа в КЗ, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена – внешние нарушители;
· Нарушители, имеющие доступ в КЗ и (или) данным, хранящимся в ИС - внутренние нарушители;
Внешними нарушителями для реализации угроз безопасности информации в ИС Наим орг сокращ могут быть:
· Криминальные структуры;
· Недобросовестные партнёры;
· Внешние субъекты (физические лица).
Внешний нарушитель имеет следующие возможности:
· Осуществлять НСД к каналам связи, выходящим за пределы служебных помещений;
· Осуществлять НСД через АРМ, подключённые к сетям связи общего пользования и (или) сетям международного информационного обмена;
· Осуществлять НСД к информации с использованием специальных программных воздействий посредством программных вирусов, вредоносных программ, алгоритмических или программных закладок;
· Осуществлять НСД через элементы информационной инфраструктуры ИС, которые в процессе своего жизненного цикла (модернизации, сопровождения, ремонта, утилизации) оказываются за пределами КЗ;
· Осуществлять НСД через ИС взаимодействующих ведомств, организаций и учреждений при их подключении к ИС.
Возможности внутреннего нарушителя существенным образом зависят от действующих в пределах КЗ режимных и организационно – технических мер защиты, в том числе по допуску физических лиц к ПДн и контролю порядка проведения работ.
Внутренние потенциальные нарушители подразделяются на восемь категорий в зависимости от способа доступа и полномочий доступа к ПДн.
К первой категории (И1) относятся лица, имеющие санкционированный доступ к ИС, но не имеющие доступа к ПДн. К этому типу нарушителей относятся должностные лица, обеспечивающие нормальное функционирование ИС.
· иметь доступ к фрагментам информации, содержащей ПДн и распространяющейся по внутренним каналам связи ИС;
· располагать фрагментами информации о топологии ИС (коммуникационной части подсети) и об используемых коммуникационных протоколах и их сервисах;
· располагать именами и вести выявление паролей зарегистрированных пользователей;
· изменять конфигурацию технических средств ИС, вносить в нее программно-аппаратные закладки и обеспечивать съём информации, используя непосредственное подключение к техническим средствам ИС.
· обладает всеми возможностями лиц первой категории;
· знает, по меньшей мере, одно легальное имя доступа;
· обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн;
· располагает конфиденциальными данными, к которым имеет доступ.
· обладает всеми возможностями лиц первой и второй категорий;
· располагает информацией о топологии ИС на базе локальной и распределенной информационных систем, через которую он осуществляет доступ, и составе технических средств ИС;
· имеет возможность прямого (физического) доступа к фрагментам технических средств ИС.
· обладает полной информацией о системном и прикладном программном обеспечении, используемом в - сегменте (фрагменте) ИС;
· обладает полной информацией о технических средствах и конфигурации сегмента (фрагмента) ИС;
· имеет доступ к средствам защиты информации и протоколирования, а также к отдельным элементам, используемым в сегменте (фрагменте) ИС;
· имеет доступ ко всем техническим средствам сегмента (фрагмента) ИС;
· обладает правами конфигурирования и административной настройки некоторого подмножества технических средств сегмента (фрагмента) ИС.
· обладает всеми возможностями лиц предыдущих категорий;
· обладает полной информацией о системном и прикладном программном обеспечении ИС;
· обладает полной информацией о технических средствах и конфигурации ИС;
· имеет доступ ко всем техническим средствам обработки информации данным ИС;
· обладает правами конфигурирования и административной настройки технических средств ИС.
· обладает всеми возможностями лиц предыдущих категорий;
· обладает полной информацией об ИС;
· имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИС;
· не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных).
· обладает информацией об алгоритмах и программах обработки информации на ИС;
· обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИС на стадии ее разработки, внедрения и сопровождения;
· может располагать любыми фрагментами информации о топологии ИС и технических средствах обработки и защиты данных, обрабатываемых в ИС.
· обладает возможностями внесения закладок в технические средства ИС на стадии их разработки, внедрения и сопровождения;
· может располагать любыми фрагментами информации о топологии ИС и технических средствах обработки и защиты информации в ИС.
В следующей таблице приведён сводный перечень внутренних потенциальных нарушителей и наличие их в Наим орг сокращ:
Таблица 3.1.1.
Из числа потенциальных нарушителей безопасности информации Наим орг сокращ исключаются нарушители категории И5 и И6. Данные пользователи осуществляют техническое обслуживание, как общесистемных средств ИС, так и специальных средств защиты информации, включая их настройку, конфигурирование, распределение паролей и ключевой документации между пользователями, поэтому они назначаются из числа особо проверенных и доверенных лиц. Они имеют полный доступ ко всем настройкам сети и подсистем защиты информации на случай необходимости их восстановления, обновления систем и т.п. (т.к. должны иметь возможность отключения СЗИ для выполнения определенных мероприятий). Эффективность всей системы безопасность информации зависит от действий этих пользователей, поэтому устанавливать системы защиты от них было бы нецелесообразно, в связи с ее сложностью и низкой эффективностью. Вместе с тем, нельзя не учитывать, что контроль за деятельностью привилегированных пользователей и оценка их эффективности осуществляется в ходе оценки соответствия ИС по требованиям безопасности при проведении аттестации и проверок со стороны регулирующих органов, а также со стороны правоохранительных органов.
Таким образом, потенциальными нарушителями безопасности информации в Наим орг сокращ принимаются:
1. Внешние нарушители;
Актуальность УБИ
Для каждой угрозы рассчитан коэффициент реализуемости угрозы и определён показатель опасности угрозы.
при их обработке в информационной системе персональных данных
1. Общие положения
Данная частная модель угроз безопасности персональных данных при их обработке в информационной системе персональных данных «СКУД» в ___________(далее – ИСПДн) разработана на основании:
1) «Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной 15 февраля 2008 г. заместителем директора ФСТЭК России;
2) «Методики определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной 14 февраля 2008 г. заместителем директора ФСТЭК России;
3) ГОСТ Р 51275-2006 «Защита информации. Факторы, воздействующие на информацию. Общие положения».
Модель определяет угрозы безопасности персональных данных, обрабатываемых в информационной системе персональных данных «СКУД».
2. Перечень угроз, представляющих потенциальную опасность для персональных данных, обрабатываемых в испДн
Потенциальную опасность для персональных данных (далее – ПДн) при их обработке в ИСПДн представляют:
угрозы утечки информации по техническим каналам;
физические угрозы;
угрозы несанкционированного доступа;
угрозы персонала.
Определение актуальных угроз безопасности пДн при обработке в испДн
3.1. Определение уровня исходной защищенности испДн
Уровень исходной защищенности ИСПДн определен экспертным методом в соответствии с «Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (далее – Методика), утвержденной 14 февраля 2008 г. заместителем директора ФСТЭК России. Результаты анализа исходной защищенности приведены в Таблице 1.
Таблица 1. Уровень исходной защищенности
|
Технические и эксплуатационные характеристики ИСПДн |
Уровень защищенности |
||
|
Высокий |
Средний |
Низкий |
|
|
1. По территориальному размещению |
|||
|
Локальная ИСПДн, развернутая в пределах одного здания |
|||
|
2. По наличию соединения с сетями общего пользования |
|||
|
ИСПДн, физически отделённая от сетей общего пользования. |
|||
|
3. По встроенным (легальным) операциям с записями баз ПДн |
|||
|
Чтение, запись, удаление |
|||
|
4. По разграничению доступа к ПДн |
|||
|
ИСПДн, к которой имеет доступ определенный перечень сотрудников организации, являющейся владельцем ИСПДн, либо субъект ПДн |
|||
|
5. По наличию соединений с другими базами ПДн иных ИСПДн |
|||
|
ИСПДн, в которой используется одна база ПДн, принадлежащая организации - владельцу данной ИСПДн |
|||
|
6. По уровню обобщения (обезличивания) ПДн |
|||
|
ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн) |
|||
|
7. По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки |
|||
|
ИСПДн, предоставляющая часть ПДн |
|||
|
Характеристики ИСПДн |
|||
Таким образом, ИСПДн имеет средний (Y 1 =5 ) уровень исходной защищенности, т. к. более 70% характеристик ИСПДн соответствуют уровню защищенности не ниже «средний», но менее 70% характеристик ИСПДн соответствуют уровню «высокий».
В данный момент занимаюсь пересмотром частной политики по рискам нарушения информационной безопасности и обновлением модели угроз ИБ.
В ходе работы я столкнулся с некоторыми сложностями. О том, как я их решил и разработал частную модель угроз, и пойдет речь далее.
Ранее многие банки использовали Отраслевую модель угроз безопасности ПДн, взятую из Рекомендации в области стандартизации ЦБР РС БР ИББС-2.4-2010 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Отраслевая частная модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных организаций банковской системы Российской Федерации" (РС БР ИББС-2.4-2010). Но в связи с изданием информации Банка России от 30.05.2014 документ утратил силу. Сейчас её нужно разрабатывать самому.
Не многие знают, что с выходом Рекомендации в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Предотвращение утечек информации" РС БР ИББС-2.9-2016 (РС БР ИББС-2.9-2016) произошла подмена понятий. Теперь при определении перечня категорий информации и перечня типов информационных активов рекомендуется ориентироваться на содержание п.6.3 и 7.2 РС БР ИББС-2.9-2016. Раньше это был п.4.4 Рекомендаций в области стандартизации Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки рисков нарушения информационной безопасности" РС БР ИББС-2.2-2009 (РС БР ИББС-2.2-2009). Я даже обращался в ЦБ за разъяснениями:
Основные источники угроз перечислены в п.6.6 Стандарте Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» СТО БР ИББС-1.0-2014 (СТО БР ИББС-1.0-2014). Потенциал нарушителя можно взять отсюда .
В общем случае, при определении актуальных угроз ИБ нужно принимать во внимание инциденты ИБ, которые происходили в организации, сведения из аналитических отчетов регуляторов и компаний, оказывающих услуги по обеспечению информационной безопасности, и экспертное мнение специалистов компании.
Также угрозы ИБ определяются в соответствии с Указанием Банка России от 10.12.2015 N 3889-У "Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных (3889-У), приложением 1 РС БР ИББС-2.2-2009, таблицей 1 РС БР ИББС-2.9-2016 (её я сделал отдельным приложением), Банком данных угроз безопасности информации ФСТЭК России (БДУ).
Кстати, заметил, что некоторые угрозы из 3889-У дублируют угрозы из БДУ:
- угроза воздействия вредоносного кода, внешнего по отношению к информационной системе персональных данных - УБИ.167, УБИ.172, УБИ.186, УБИ.188, УБИ.191;
- угроза использования методов социального инжиниринга к лицам, обладающим полномочия-ми в информационной системе персональных данных - УБИ.175;
- угроза несанкционированного доступа к персональным данным лицами, не обладающими полномочиями в информационной системе персональных данных, с использованием уязвимостей в программном обеспечении информационной системы персональных данных - УБИ.192;
В связи с этим я исключил дублирующие угрозы из 3889-У в пользу УБИ, т.к. в их описании содержится дополнительная информация, которая облегчает заполнение таблиц с моделью угроз и оценкой рисков ИБ.
Актуальные угрозы источника угроз "Неблагоприятные события природного, техногенного и социального характера" статистику МЧС РФ о чрезвычайных ситуациях и пожарах .
Актуальные угрозы источника угроз "Террористы и криминальные элементы" можно определить, ориентируясь на статистику МВД РФ о состоянии преступности и рассылку новостей "Преступления в банковской сфере" .
На данном этапе мы определись с источниками угроз ИБ и актуальными угрозами ИБ. Теперь перейдем к созданию таблицы с моделью угроз ИБ.
За основу я взял таблицу "Отраслевая модель угроз безопасности ПДн" из РС БР ИББС-2.4-2010. Колонки "Источник угрозы" и "Уровень реализации угрозы" заполняются в соответствии с требованиями п.6.7 и п.6.9 СТО БР ИББС-1.0-2014. У нас остаются пустыми колонки "Типы объектов среды" и "Угроза безопасности". Последнюю я переименовал в "Последствия реализации угрозы", как в БДУ (на мой взгляд, так вернее). Для их заполнения нам потребуется описание наших угроз из БДУ.
В качестве примера рассмотрим " УБИ.192: Угроза использования уязвимых версий программного обеспечения ":
Описание угрозы
: угроза заключается в возможности осуществления нарушителем деструктивного воздействия на систему путем эксплуатации уязвимостей программного обеспечения. Данная угроза обусловлена слабостями механизмов анализа программного обеспечения на наличие уязвимостей. Реализация данной угрозы возможна при отсутствии проверки перед применением программного обеспечения на наличие в нем уязвимостей.
Источники угрозы
: внутренний нарушитель с низким потенциалом; внешний нарушитель с низким потенциалом.
Объект воздействия
: прикладное программное обеспечение, сетевое программное обеспечение, системное программное обеспечение.
Последствия реализации угрозы
: нарушение конфиденциальности, нарушение целостности, нарушение доступности.
Для удобства я распределил типы объектов среды (объекты воздействия) по уровням реализации угрозы (уровням информационной инфраструктуры банка ).
Перечень объектов среды я скомпоновал из п.7.3 РС БР ИББС-2.9-2016, п.4.5 РС БР ИББС-2.2-2009 и из описания УБИ. Уровни реализации угрозы представлены в п.6.2 СТО БР ИББС-1.0-2014.
Т.о. данная угроза затрагивает следующие уровни: уровень сетевых приложений и сервисов; уровень банковских технологических процессов и приложений.
Тоже самое проделал с другими угрозами ИБ.
В результате получилась такая таблица.
Аннотация: В лекции ведется изучение понятий и классификаций уязвимостей и угроз, рассмотрение наиболее распространенных атак. Состав и содержание организационно-распорядительной документации по защите ПД.
4.1. Угрозы информационной безопасности
При построении системы защиты персональных данных (далее СЗПД) ключевым этапом является построение частной модели угроз для конкретной организации. На основании этой модели в дальнейшем подбираются адекватные и достаточные средства защиты, в соответствии с принципами, рассмотренными в "Автоматизированная и неавтоматизированная обработка персональных данных" .
Под угрозами безопасности ПД при их обработке в ИСПД понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование , распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.
Появление угроз безопасности может быть связано как с преднамеренными действиями злоумышленников, так и с непреднамеренными действиями персонала или пользователей ИСПД.
Угрозы безопасности могут быть реализованы двумя путями:
- через технические каналы утечки;
- путем несанкционированного доступа.
Обобщенная схема реализации канала угроз ПД показана на рисунке 4.1
Рис.
4.1.
Технический канал утечки информации – совокупность носителя информации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация . Среда распространения бывает однородной, например, только воздух при распространении электромагнитного излучения, или неоднородной, когда сигнал переходит из одной среды в другую. Носителями ПД могут быть люди, работающие с ИСПД, технические средства, вспомогательные средства и т.д. Главное, что информация при этом отображается в виде полей, сигналов, образов, количественных характеристиках физических величин.
Как правило, выделяют следующие угрозы за счет реализации технических каналов утечки:
- угрозы утечки речевой информации. Фактически злоумышленник перехватывает информацию с помощью специальной аппаратуры в виде акустических, виброакустических волн, а также электромагнитного излучения, модулированного акустическим сигналом. В качестве средств могут использоваться различного рода электронные устройства, подключаемые либо к каналам связи, либо к техническим средствам обработки ПД.
- угрозы утечки видовой информации. В этом случае речь идет о непосредственном просмотре ПД при наличии прямой видимости между средством наблюдения и носителем ПД. В качестве средств наблюдения используются оптические средства и видеозакладки;
- угрозы утечки информации по каналам побочных электромагнитных излучений и наводок (ПЭМИН). Речь идет о перехвате побочных (не связанных с прямым функциональным значением элементов ИСПД) информативных электромагнитных полей и электрических сигналов, возникающих при обработке ПД техническими средствами ИСПД. Для регистрации ПЭМИН используется аппаратура в составе радиоприемных устройств и оконечных устройств восстановления информации. Кроме этого, перехват ПЭМИН возможен с использованием электронных устройств перехвата информации, подключенных к каналам связи или техническим средствам обработки ПД. Наводки электромагнитных излучений возникают при излучении элементами технических средств ИСПД информативных сигналов при наличии емкостной, индуктивной или гальванической связей соединительных линий технических средств ИСПД и различных вспомогательных устройств.
Источниками угроз , реализуемых за счет несанкционированного доступа к базам данных с использованием штатного или специально разработанного программного обеспечения, являются субъекты, действия которых нарушают регламентируемые в ИСПД правила разграничения доступа к информации. Этими субъектами могут быть:
- нарушитель;
- носитель вредоносной программы;
- аппаратная закладка.
Под нарушителем здесь и далее понимается физическое лицо (лица), случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности ПД при их обработке техническими средствами в информационных системах. С точки зрения наличия права легального доступа в помещения, в которых размещены аппаратные средства , обеспечивающие доступ к ресурсам ИСПД, нарушители подразделяются на два типа:
- нарушители, не имеющие доступа к ИСПД, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена, – внешние нарушители;
- нарушители, имеющие доступ к ИСПД, включая пользователей ИСПД, реализующие угрозы непосредственно в ИСПД, – внутренние нарушители.
Для ИСПД, предоставляющих информационные услуги удаленным пользователям, внешними нарушителями могут являться лица, имеющие возможность осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий, алгоритмических или программных закладок через автоматизированные рабочие места, терминальные устройства ИСПД, подключенные к сетям общего пользования.
Обобщим полученные знания с помощью рисунка 4.2 .
Рис. 4.2.
Угрозы можно классифицировать по различным признакам, например, по виду нарушаемого свойства информации ( конфиденциальность , целостность , доступность), по типу ИСПД, на которые направлена атака , по типу используемой для атаки уязвимости.
4.2. Общая характеристика уязвимостей информационной системы персональных данных
Появление потенциальных угроз безопасности связано с наличием слабых мест в ИСПД - уязвимостей. Уязвимость информационной системы персональных данных – недостаток или слабое место в системном или прикладном программном (программно-аппаратном) обеспечении ИСПД, которые могут быть использованы для реализации угрозы безопасности персональных данных.
Причинами возникновения уязвимостей в общем случае являются:
- ошибки при разработке программного обеспечения;
- преднамеренные изменения программного обеспечения с целью внесения уязвимостей;
- неправильные настройки программного обеспечения;
- несанкционированное внедрение вредоносных программ;
- неумышленные действия пользователей;
- сбои в работе программного и аппаратного обеспечения.
Уязвимости, как и угрозы, можно классифицировать по различным признакам:
- по типу ПО – системное или прикладное.
- по этапу жизненного цикла ПО, на котором возникла уязвимость – проектирование, эксплуатация и пр.
- по причине возникновения уязвимости, например, недостатки механизмов аутентификации сетевых протоколов.
- по характеру последствий от реализации атак – изменение прав доступа, подбор пароля, вывод из строя системы в целом и пр.
Наиболее часто используемые уязвимости относятся к протоколам сетевого взаимодействия и к операционным системам, в том числе к прикладному программному обеспечению.
Уязвимости операционной системы и прикладного ПО в частном случае могут представлять:
- функции, процедуры, изменение параметров которых определенным образом позволяет использовать их для несанкционированного доступа без обнаружения таких изменений операционной системой;
- фрагменты кода программ ("дыры", "люки"), введенные разработчиком, позволяющие обходить процедуры идентификации, аутентификации, проверки целостности и др.;
- отсутствие необходимых средств защиты (аутентификации, проверки целостности, проверки форматов сообщений, блокирования несанкционированно модифицированных функций и т.п.);
- ошибки в программах (в объявлении переменных, функций и процедур, в кодах программ), которые при определенных условиях (например, при выполнении логических переходов) приводят к сбоям, в том числе к сбоям функционирования средств и систем защиты информации.
Уязвимости протоколов сетевого взаимодействия связаны с особенностями их программной реализации и обусловлены ограничениями на размеры применяемого буфера, недостатками процедуры аутентификации, отсутствием проверок правильности служебной информации и др. Так, например, протокол прикладного уровня FTP , широко используемый в Интернете, производит аутентификацию на базе открытого текста, тем самым позволяя перехватывать данные учетной записи.
Прежде чем приступать к построению системы защиты информации необходимо провести анализ уязвимостей ИСПД и попытаться сократить их количество, то есть использовать метод превентивности. Можно закрыть лишние порты, поставить "заплатки" на программное обеспечение (например, service pack для Windows ), ввести более сильные методы аутентификации и т.п. Эти меры могут существенно сократить материальные, временные и трудовые затраты на построение системы защиты персональных данных в дальнейшем.
4.3. Наиболее часто реализуемые угрозы
В связи с повсеместным развитием Интернета наиболее часто атаки производятся с использованием уязвимостей протоколов сетевого взаимодействия. Рассмотрим 7 наиболее распространенных атак.
- Анализ сетевого трафика
Данный вид атаки направлен в первую очередь на получение пароля и идентификатора пользователя путем "прослушивания сети". Реализуется это с помощью sniffer – специальная программа-анализатор, которая перехватывает все пакеты, идущие по сети. И если протокол, например, FTP или TELNET, передает аутентификационную информацию в открытом виде, то злоумышленник легко получает доступ к учетной записи пользователя.
Рис. 4.3. - Сканирование сети
Суть данной атаки состоит в сборе информации о топологии сети, об открытых портах, используемых протоколах и т.п. Как правило, реализация данной угрозы предшествует дальнейшим действиям злоумышленника с использованием полученных в результате сканирования данных.
- Угроза выявления пароля
Целью атаки является преодоление парольной защиты и получении НСД к чужой информации. Методов для кражи пароля очень много: простой перебор всех возможных значений пароля, перебор с помощью специальных программ ( атака словаря ), перехват пароля с помощью программы-анализатора сетевого трафика.
- Подмена доверенного объекта сети и передача по каналам связи сообщений от его имени с присвоением его прав доступа.
Доверенный объект – это элемент сети, легально подключенный к серверу.
Такая угроза эффективно реализуется в системах, где применяются нестойкие алгоритмы идентификации и аутентификации хостов, пользователей и т.д.
Могут быть выделены две разновидности процесса реализации указанной угрозы: с установлением и без установления виртуального соединения.
Процесс реализации с установлением виртуального соединения состоит в присвоении прав доверенного субъекта взаимодействия, что позволяет нарушителю вести сеанс работы с объектом сети от имени доверенного субъекта . Реализация угрозы данного типа требует преодоления системы идентификации и аутентификации сообщений (например, атака rsh-службы UNIX-хоста).
Процесс реализации угрозы без установления виртуального соединения может иметь место в сетях, осуществляющих идентификацию передаваемых сообщений только по сетевому адресу отправителя. Сущность заключается в передаче служебных сообщений от имени сетевых управляющих устройств (например, от имени маршрутизаторов) об изменении маршрутно-адресных данных.
В результате реализации угрозы нарушитель получает права доступа, установленные его пользователем для доверенного абонента, к техническому средству ИСПД– цели угроз.
- Навязывание ложного маршрута сети
Данная атака стала возможной из-за недостатков протоколов маршрутизации (RIP, OSPF, LSP ) и управления сетью (ICMP, SNMP), таких как слабая аутентификация маршрутизаторов. Суть атаки состоит в том, что злоумышленник, используя уязвимости протоколов, вносит несанкционированные изменения в маршрутно-адресные таблицы.
- Внедрение ложного объекта сети
Когда изначально объекты сети не знают информацию друг о друге, то для построения адресных таблиц и последующего взаимодействия, используется механизм запрос (как правило, широковещательный) - ответ с искомой информацией. При этом если нарушитель перехватил такой запрос, то он может выдать ложный ответ, изменить таблицу маршрутизации всей сети, и выдать себя за легального субъекта сети. В дальнейшем все пакеты, направленные к легальному субъекту, будут проходить через злоумышленника.
- Отказ в обслуживании
Этот тип атак является одним из самых распространенных в настоящее время. Целью такой атаки является отказ в обслуживании, то есть нарушение доступности информации для законных субъектов информационного обмена.
Могут быть выделены несколько разновидностей таких угроз:
- скрытый отказ в обслуживании, вызванный привлечением части ресурсов ИСПД на обработку пакетов, передаваемых злоумышленником со снижением пропускной способности каналов связи, производительности сетевых устройств, нарушением требований ко времени обработки запросов. Примерами реализации угроз подобного рода могут служить: направленный шторм эхо-запросов по протоколу ICMP (Ping flooding ), шторм запросов на установление TCP-соединений (SYN- flooding ), шторм запросов к FTP-серверу;
- явный отказ в обслуживании, вызванный исчерпанием ресурсов ИСПДн при обработке пакетов, передаваемых злоумышленником (занятие всей полосы пропускания каналов связи, переполнение очередей запросов на обслуживание), при котором легальные запросы не могут быть переданы через сеть из-за недоступности среды передачи либо получают отказ в обслуживании ввиду переполнения очередей запросов , дискового пространства памяти и т.д. Примерами угроз данного типа могут служить шторм широковещательных ICMP-эхо-запросов (Smurf), направленный шторм (SYN- flooding ), шторм сообщений почтовому серверу ( Spam );
- явный отказ в обслуживании, вызванный нарушением логической связности между техническими средствами ИСПДн при передаче нарушителем управляющих сообщений от имени сетевых устройств, приводящих к изменению маршрутно-адресных данных (например, ICMP Redirect Host, DNS- flooding ) или идентификационной и аутентификационной информации;
- явный отказ в обслуживании, вызванный передачей злоумышленником пакетов с нестандартными атрибутами (угрозы типа "Land", "TearDrop", "Bonk", " Nuke ", "UDP- bomb ") или имеющих длину, превышающую максимально допустимый размер (угроза типа "Ping Death"), что может привести к сбою сетевых устройств, участвующих в обработке запросов, при условии наличия ошибок в программах, реализующих протоколы сетевого обмена.
Результатом реализации данной угрозы может стать нарушение работоспособности соответствующей службы предоставления удаленного доступа к ПД в ИСПД, передача с одного адреса такого количества запросов на подключение к техническому средству в составе ИСПД, какое максимально может "вместить" трафик (направленный "шторм запросов"), что влечет за собой переполнение очереди запросов и отказ одной из сетевых служб или полную остановку компьютера из-за невозможности системы заниматься ничем другим, кроме обработки запросов.
Мы рассмотрели наиболее часто реализуемые угрозы при сетевом взаимодействии. На практике угроз значительно больше. Частная модель угроз безопасности строится на основе двух документов ФСТЭК – "Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных" и "Методика определения актуальных угроз безопасности персональных данных при их обработке в ИСПД" . Если организация большая, и в ней несколько систем ИСПД, наиболее разумным решением будет привлечение квалифицированных специалистов сторонних фирм для построения частной модели угроз и проектирования СЗПД.
4.4. Организационно-распорядительная документация по защите ПД
Помимо технических и процедурных решений создаваемой системы защиты персональных данных , оператор должен обеспечить разработку организационно - распорядительных документов, которые будут регулировать все возникающие вопросы по обеспечению безопасности ПД при их обработке в ИСПД и эксплуатации системы защиты персональных данных (далее СЗПД). Таких документов достаточно много, основные из них:
1. Положение по обеспечению безопасности ПД . Это внутренний (локальный) документ организации. Строгой формы данного документа нет, но он должен удовлетворять требованиям ТК и ФЗ-152, а, следовательно, в нем должно быть указано:
- цель и задачи в области защиты персональных данных ;
- понятие и состав персональных данных;
- в каких структурных подразделениях и на каких носителях (бумажных, электронных) накапливаются и хранятся эти данные;
- как происходит сбор и хранение персональных данных;
- как они обрабатываются и используются;
- кто (по должностям) в пределах фирмы имеет к ним доступ; по налогам, бухгалтерия получит не все сведения о работнике, а только данные о количестве его иждивенцев). Поэтому целесообразно прописать перечень информационных ресурсов, к которым пользователи допущены.
- угрозы утечки информации по техническим каналам;
- угрозы несанкционированного доступа, связанные с действиями нарушителей, имеющих доступ к ИСПД, реализующих угрозы непосредственно в ИСПД. При этом необходимо в качестве потенциальных нарушителей рассматривать легальных пользователей ИСПД;
- угрозы несанкционированного доступа, связанные с действиями нарушителей, не имеющих доступа к ИСПД, реализующих угрозы из внешних сетей связи общего пользования и(или) сетей международного информационного обмена.
Список лиц, допущенных к обработке ПД, можно оформить в виде приложения к Положению по обеспечению безопасности персональных данных или отдельным документом, утвержденным руководителем.
3. Частная модель угроз (если ИСПД несколько, то модель угроз разрабатывается на каждую из них) – разрабатывается по результатам предварительного обследования. ФСТЭК России предлагает Базовую модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, согласно которой при создании частной модели должны быть рассмотрены:
Разработанная модель угроз утверждается руководителем.
4. На основании утвержденной модели угроз ИСПД необходимо разработать требования по обеспечению безопасности ПД при их обработке в ИСПД. Требования, как и модель угроз, - это самостоятельный документ, который должен быть утвержден руководителем организации.
Для разработки модели угроз и требований оператору целесообразно привлекать специалистов организаций-лицензиатов ФСТЭК.
5. Инструкции в части обеспечения безопасности ПД при их обработке в ИСПД.
Мы рассмотрели только основные организационно-распорядительные документы. Помимо перечисленных документов необходимо составить Акт классификации ИСПД, Технический паспорт ИСПД, Электронный журнал регистрации обращений пользователей ИСПД на получение ПД, Регламент разграничения прав доступа, приказы о назначении лиц, работающих с ИСПД и т.п.
Кроме того, до проведения всех мероприятий по защите ПД оператор должен назначить должностное лицо или (если ИСПД достаточно велика) структурное подразделение, ответственные за обеспечение безопасности ПД. Решение о назначении оформляется приказом руководителя. Задачи, функции и полномочия должностного лица ( подразделения ), ответственного за обеспечение безопасности ПД, определяются внутренними организационно-распорядительными документами (должностными инструкциями, регламентами).
Они, в свою очередь, могут подразделяться на санкционированные и случайные. Внешнюю опасность могут оказывать террористы, зарубежные спецслужбы, криминальные группировки, конкуренты и т.д., которые могут блокировать, копировать, и даже уничтожать информацию, имеющую ценность для обеих сторон.
Базовая модель угроз
Внутренняя угроза «утечки» информации – это такая угроза, которую создают сотрудники определенного предприятия. Они могут санкционировано взломать и использовать ее в личных интересах. Такое возможно, если в компании не налажена техническая мера и контроля доступа к .
Право на защиту личной информации, гарантированное Конституцией РФ каждому гражданину.
Уровни защиты
Сама система защиты информации может иметь четыре . Отметим, что выбор средств определяет оператор на основании нормативных актов (часть 4 статьи 19 ФЗ «О персональных данных»).
- организация должна создать режим, препятствующий проникновению в помещения лиц, не имеющих к ним доступ;
- необходимо позаботиться о сохранности персональных файлов;
- руководитель должен утвердить оператора, а также документы, в которых заключался бы перечень лиц, которым разрешено в силу служебных обязанностей обращаться к конфиденциальной информации других сотрудников;
- использование средств защиты информации, прошедших процедуру оценки в области обеспечения безопасности информации.
Для обеспечения третьего уровня защищенности необходимо соблюдения всех требований четвертого уровня и добавляется еще один – обязательно назначается должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в .
Для второго уровня защищенности характерно положение о том, что к может иметь доступ сам оператор или сотрудник, которому это позволяют его служебные обязанности. А также к нему относятся все требования третьего уровня безопасности.
И, наконец, для обеспечения первого уровня безопасности необходимо соблюсти все вышеперечисленные требования и обеспечить соблюдение следующих пунктов:
- установка в электронном журнале безопасности такой системы, которая могла бы автоматически заменять доступа сотрудника к в связи смены его полномочий;
- назначение ответственного человека (сотрудника) за обеспечение безопасности персональных данных в информационной системе, либо возложение на одно из структурных подразделений функций по обеспечению такой безопасности.
Контроль безопасности оператор должен производить более одного раза в три года.
Он имеет право поручить это дело юридическому лицу или лицам, у которых на это есть лицензия, заключив с ними договор («Требования к защите персональных данных при их обработке в информационных системах персональных данных от» 1 ноября 2012 г. №1119).
Обеспечение высокого уровня защиты
Законом дано право юридическим лицам самим определять меру защиты своей конфиденциальной информации. Не будьте же уязвимыми – примите необходимые меры.
