Побудова узагальненої моделі загроз для систем Інтернет-банкінгу

Невід'ємною частиною у разі удосконалення побудови моделі загроз для систем ІБ є модель вірогідного порушника, що має бути адекватною реальному порушнику такого виду систем.

Модель порушника системи ІБ - абстрактний формалізований або неформалізований опис порушника, який складається з опису його вірогідних дій, вектора їх направленості, рівня знань та умінь та первинних знань про систему ІБ.

Загалом модель порушника використовується не тільки в процесі оцінки ризиків, аналізу вразливості системи, а й для підвищення ефективності існуючих і планових заходів захисту.

Відповідно до класифікації порушників в автоматизованих системах [8, с. 62] та до запропонованої моделі загроз (табл. 2) можна зробити висновки, що порушник має два основні вектори направленості своїх дій щодо систем ІБ: опосередковані дії (через засоби зв'язку), прямої дії на елементи систем ІБ та змішаної природи (злочинна домовленість внутрішніх та зовнішніх порушників). Однак таке категоріювання не є достатнім, тому ранжування необхідно проводити з розподілом зазначених категорій на підкатегорії.

Узагальнену модель порушника систем ІБ за зазначеними принципами можна розбити на такі підкатегорії:

а) внутрішні:

працівники, що не мають доступу до системи ІБ;

працівники банку, що безпосередньо працюють з системою ІБ;

прикладні програмісти; розробники системи ІБ;

б) зовнішні: клієнти системи ІБ; розробники системи ІБ; хакери;

недобросовісні партнери; кримінальні структури; конкуренти;

в) злочинна домовленість внутрішніх та зовнішніх порушників.

Окрім категоризації порушника за вектором направленості своїх дій щодо системи ІБ також необхідно врахувати такі фактори:

1. кінцева мета впливу порушника за ступенем небезпеки щодо системи ІБ (зупинка працездатності сервісу, крадіжка коштів з рахунку клієнта, крадіжка персональних даних клієнта);

2. професійний рівень знань та умінь порушника (низький, середній, високий);

3. первинні знання порушника щодо функціонального складу системи ІБ (IP-адреси серверів, версії програмного забезпечення, правило взаємодії елементів системи ІБ);

4. можливості доступу порушника;

5. технічні ресурси та програмно-апаратне забезпечення порушника.

Проаналізувавши структуру вірогідної моделі порушника систем Інтернет-банкінгу, пропонуємо розглянути математичне її зображення:

М_ = (О. О, O ),

О 4 р ln a

де О_р - місце розташування зловмисника;

О - професійний рівень знань та умінь порушника; О_рп - первинні знання порушника про систему; О_а - сценарії можливого доступу порушника.

Виокремимо три основні місця розташування зловмисника: О_рЈ{ 1,2,3 }, де 1 - порушник зовнішній, 2 - порушник внутрішній; 3 - злочинна домовленість внутрішніх та зовнішніх порушників.

Професійний рівень знань та умінь порушника О 0 { 1,2,3 }, де 1 - низький рівень, 2 - середній рівень; 3 - високий рівень.

Первинні знання порушника про систему ІБ залежать від місця розташування зловмисника відносно неї.

Також необхідно зазначити пряму залежність між О та О_а Отже, чим вищий рівень знань зловмисника, тим більше можливих варіантів сценаріїв доступу він може створити.

Сценарії можливого доступу порушника будуються на основі табл. 2.

Для підвищення рівня безпеки в системі в процесі складання моделі порушника в деяких ситуаціях доцільно робити припущення про високий рівень забезпеченості ресурсами та великий досвідом порушника.

Як доповнення до моделі можливе використання статистичної інформації про несанкціоновані проникнення в системи ІБ.

Висновки

Запропонований у статті аналіз множини можливих типових загроз у системах ІБ дає можливість із застосуванням удосконаленої методики побудови моделі таких загроз виявити основні ризики інформаційної безпеки для формування в подальшому методологічних систем оцінювання ризиків пов'язаних з ризиками інформаційної безпеки (ІТ-ризики), що наявні в системах ІБ та визначення складу необхідних заходів для побудови відповідної моделі захисту для систем ІБ.

Розглядаючи питання моделювання загроз, притаманних системам ІБ, доцільно використовувати чотирирівневу градацію загроз: загрози природного походження, загрози пов'язані з зоною ризиків клієнтів ІБ, загрози пов'язані з середовищем взаємодії (Інтернет-провайдер клієнта та банку) та загрози пов'язані з локальними (або розподіленими) мережами банку.

Список використаних джерел

1. Про затвердження Положення про організацію операційної діяльності в банках України, затверджене Постановою Правління Національного банку України від 18.06.2003 N 254 [Електронний ресурс]. Режим доступу: http://zakon. nau.ua/doc/?uid=1078.8029.0.

2. Банковские риски: учебное пособие / кол. авторов; под ред. д-ра экономических наук, проф. Н. И. Валенцовой. 2-е изд., стер. М.: КНОРУС, 2008. 232 с.

3. Лист Департаменту інформатизації банках України, затверджене від 03.03.2011 № 24-112/365/ [Електронний ресурс]. Режим доступу: http:// www.zakon.rada.gov.ua.

4. СОУ Н НБУ 65.1 СУІБ 2.0:2010 “Методи захисту в банківській діяльності. Звід правил для управління інформаційною безпекою” (ISO/IES 27002:2005, MOD). [Електронний ресурс]. Режим доступу: http://www.zakon.rada.gov.ua.

5. Постанова Правління Національного банку України від 28.10.2010 № 474 “Про набрання чинності стандартами з управління інформаційною безпекою в банківській системі України”. [Електронний ресурс]. Режим доступу: http:// www.zakon.rada.gov.ua.

6. СОУ Н НБУ 65.1 СУІБ 1.0:2010 “Методи захисту в банківській діяльності. Звід правил для управління інформаційною безпекою” (ISO/IES 27001:2005, MOD). [Електронний ресурс]. Режим доступу: http://www.zakon.rada.gov.ua.

7. НД ТЗІ 1.1-002-99 Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу. Затверджено наказом ДСТСЗІ СБ України від 28.04.1999 № 22.

8. Капустян М. В., Орленко В. С., Хорошко В. О. Створення моделі загроз інформації та механізму її ефективного захисту / М. В. Капустян, В. С. Орленко, В. О. Хорошко // Автоматика, вимірювання та керування: Вісник національного університету “Львівська політехніка”. 2006. № 551. C. 58-63.

9. Кудінов В. А. Корпоративна мережа ОВС України та моделі її захисту від порушників безпеки / В. А. Кудінов, В. О. Хорошко // Захист інформації. № 1. 2004. С. 26-36.

10. Лямин Л. В. Анализ факторов риска, связанных с интернет-банкингом / Л. В. Лямин // Расчеты и операционная работа в коммерческом банке. 2006. № 5. C. 52-64.

Размещено на Allbest.ru