Разработка комплексных методов обеспечения информационной безопасности в организации, занимающейся разработкой программного обеспечения для банковских терминалов

- применение специального фильтра в телефонной сети;

- зашумление естественных звуководов;

- осуществление радиомониторинга с использованием сканеров;

- применение электромагнитной экранировки помещений;

- применение (при необходимости) специальных переговорных устройств;

- использование специальных жалюзей и штор.



3. Модель нарушителя, угрозы безопасности, оценка ущерба

3.1 Модель нарушителя

Нарушителя можно классифицировать по нескольким признакам: по наличию права постоянного или разового доступа в КЗ исследуемого объекта информатизации (рис. 3); по уровню подготовки в области информационной безопасности (рис. 4); по количеству лиц -- участников атаки (рис. 5); по целям, преследуемым им при проведении акта нарушения информационной безопасности. (рис. 6).

По наличию права постоянного или разового доступа в контролируемую зону (КЗ) ИС нарушители подразделяются на два типа:

I тип - лица, не имеющие права доступа в контролируемую зону информационной системы;

II тип - лица, имеющие право постоянного или разового доступа в контролируемую зону информационной системы(например, персонал организации, персонал, обслуживающий питьевой кулер, охранник или уборщица).



Рис. 3. Классификация нарушителя по наличию доступа к КЗ

Внутренние нарушители подразделяются на семь категорий в зависимости от способа доступа и полномочий доступа к ПД:

1) лица, имеющие санкционированный доступ к ИС, но не имеющие доступа к ПД. К этому типу нарушителей относятся должностные лица, обеспечивающие нормальное функционирование ИС.

Лицо этой категории, может:

- иметь доступ к фрагментам информации, содержащей ПД и распространяющейся по внутренним каналам связи ИС;

- располагать фрагментами информации о топологии ИС (коммуникационной части подсети) и об используемых коммуникационных протоколах и их сервисах;

- располагать именами и вести выявление паролей зарегистрированных пользователей;

- изменять конфигурацию технических средств ИС, вносить в неё программно-аппаратные закладки и обеспечивать съем информации, используя непосредственное подключение к техническим средствам ИС.

2) зарегистрированные пользователи ИС, осуществляющие ограниченный доступ к ресурсам ИС с рабочего места.

Лицо этой категории:

- обладает всеми возможностями лиц первой категории;

- знает, по меньшей мере, одно легальное имя доступа;

- обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПД;

- располагает конфиденциальными данными, к которым имеет доступ.

Его доступ, аутентификация и права по доступу к некоторому подмножеству ПД должны регламентироваться соответствующими правилами разграничения доступа.

3) зарегистрированные пользователи ИС, осуществляющие удалённый доступ к ПД по локальным и (или) распределённым информационным системам.

Лицо этой категории:

- обладает всеми возможностями лиц первой и второй категорий;

- располагает информацией о топологии ИС на базе локальной и (или) распределённой информационной системы, через которую осуществляется доступ, и о составе технических средств ИС;

- имеет возможность прямого (физического) доступа к фрагментам технических средств ИС.

4) зарегистрированные пользователи с полномочиями системного администратора ИС.

Лицо этой категории:

- обладает всеми возможностями лиц предыдущих категорий;

- обладает полной информацией о системном и прикладном программном обеспечении ИС;

- обладает полной информацией о технических средствах и конфигурации ИС;

- имеет доступ ко всем техническим средствам обработки информации и данным ИС;

- обладает правами конфигурирования и административной настройки технических средств ИС.

Системный администратор выполняет конфигурирование и управление программным обеспечением (ПО) и оборудованием, включая оборудование, отвечающее за безопасность защищаемого объекта: средства криптографической защиты информации, мониторинга, регистрации, архивации, защиты от НСД.

5) зарегистрированные пользователи с полномочиями администратора безопасности ИС.

Лицо этой категории:

- обладает всеми возможностями лиц предыдущих категорий;

- обладает полной информацией об ИС;

- имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИС;

- не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных).

Администратор безопасности отвечает за соблюдение правил разграничения доступа, за генерацию ключевых элементов, смену паролей. Администратор безопасности осуществляет аудит тех же средств защиты объекта, что и системный администратор.

6) программисты-разработчики (поставщики) прикладного программного обеспечения и лица, обеспечивающие его сопровождение на защищаемом объекте.

Лицо этой категории:

- обладает информацией об алгоритмах и программах обработки информации на ИС;

- обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИС на стадии её разработки, внедрения и сопровождения;

- может располагать любыми фрагментами информации о топологии ИС и технических средствах обработки и защиты ПД, обрабатываемых в ИС.

7) разработчики и лица, обеспечивающие поставку, сопровождение и ремонт технических средств на ИС.

Лицо этой категории:

- обладает возможностями внесения закладок в технические средства ИС на стадии их разработки, внедрения и сопровождения;

- может располагать любыми фрагментами информации о топологии ИС и технических средствах обработки и защиты информации в ИС.

Рис. 4. Классификация нарушителя по уровню подготовки в области информационной безопасности

Рис. 5. Классификация нарушителя по количеству лиц -- участников атаки

Рис. 6. Классификация нарушителя по целям атаки



3.2 Методика определения актуальности угроз безопасности

Согласно [6] при определении перечня возможных угроз безопасности и анализа их актуальности должны быть учтены следующие факторы:

- уровень исходной защищённости анализируемой системы;

- перечень возможных угроз применительно к реальным условиям эксплуатации объекта информатизации;

- вероятность реализации той или иной угрозы;

- опасность реализации той или иной угрозы применительно к реальным условиям эксплуатации объекта информатизации;

3.2.1 Определение уровня исходной защищённости анализируемой системы

Согласно [6] под уровнем исходной защищённости ИС понимается обобщённый показатель, зависящий от следующих технических и эксплуатационных характеристик:

- территориальное размещение;

- наличие соединений с сетями общего пользования;

- встроенные (легальные) операции с записями баз данных;

- разграничение доступа к данным;

- уровень защиты от исполнения вредоносного кода в ОС на АС;

Уровень исходной защищённости анализируемой ИС зависимости от значений указанных выше характеристик может принимать три значения:

- низкий;

- средний;

- высокий.

Исходная степень защищённости определяется следующим образом:

- ИС имеет высокий уровень защищённости, если не менее 70% обозначенных выше характеристик ИС соответствуют уровню “высокий”, а остальные - среднему уровню защищённости.

- ИС имеет средний уровень защищённости, если не выполняются условия по пункту 1 и не менее 70% обозначенных выше характеристик ИС соответствуют уровню не ниже “средний”, а остальные - низкому уровню защищённости.

- ИС имеет низкий уровень защищённости, если не выполняются условия по пункту 1 и 2.

3.2.2 Определение вероятности реализации угроз

В соответствии с [5] для определения степени реализуемости угрозы вводится показатель - частота (вероятность) реализации угрозы - определяемый экспертным путём показатель, характеризующий, насколько вероятным является реализация конкретной угрозы ИС для данной ИС в складывающихся реальных условиях обстановки.

Вводятся четыре вербальных градации этого показателя:

маловероятно - отсутствуют объективные предпосылки для осуществления угрозы;

низкая вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют её реализацию;

средняя вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ИС не достаточны;

высокая вероятность - объективные предпосылки для реализации угрозы существуют, и меры по обеспечению безопасности ИС не приняты.

3.2.3 Определение возможности реализации угроз

В соответствии с [6] каждой степени исходной защищённости ставится в соответствие числовой коэффициент Y₁, а именно:

0 - для высокой степени защищённости;

5 - для средней степени защищённости;

10 - для низкой степени защищённости.

Каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент Y₂, а именно:

0 - для маловероятной угрозы;

2 - для низкой вероятности угрозы;

5 - для средней вероятности угрозы;

10 - для высокой вероятности угрозы.

На основе уровня исходной защищённости и частоты (вероятности) реализации угроз рассчитывается коэффициент реализуемости угрозы - Y, равный:

Y = (Y₁+Y₂)/20

Коэффициент может принимать значения от 0 до 1. Коэффициент реализуемости угрозы - Y можно считать математическим ожиданием возникновения угрозы, на анализируемом объекте. По значению коэффициента реализуемости угрозы Y формируется вербальная интерпретация реализуемости угрозы следующим образом:

- если значение Y больше равно 0 и меньше равно 0.3, то возможность реализации угрозы признается низкой;

- если значение Y больше 0.3 и меньше равно 0.6, то возможность реализации угрозы признается средней;

- если значение Y больше 0.6 и меньше равно 0.8, то возможность реализации угрозы признается высокой;

- если значение Y больше 0.8, то возможность реализации угрозы признается очень высокой.



3.2.4 Определение опасности угрозы

Опасность реализации той или иной угрозы безопасности применительно к реальным условиям функционирования объекта определяется на основе совместного предварительного обследования АС. При этом для каждой угрозы определяется вербальный показатель её опасности.

Данный показатель может принимать три значения:

низкая опасность - если реализация угрозы может привести к незначительным негативным последствиям для субъектов ИС;

средняя опасность - если реализация угрозы может привести к негативным последствиям для субъектов ИС;

высокая опасность - если реализация угрозы может привести к значительным негативным последствиям для субъектов ИС.

3.2.5 Определение актуальности угроз на основе реализуемости и опасности угрозы

Выбор из общего (предварительного) перечня угроз безопасности угроз, которые являются актуальными для данной ИС, производится в соответствии со следующими правилами, приведёнными в таблице 10:

Таблица 10

Возможность реализации угрозы	Показатель опасности угрозы
	Низкая	Средняя	Высокая
Низкая	неактуальная	неактуальная	актуальная
Средняя	неактуальная	актуальная	актуальная
Высокая	актуальная	актуальная	актуальная
Очень высокая	актуальная	актуальная	актуальная



4. АС (ИС) OOO Altius Plus

4.1 Уровень исходной защищённости анализируемой ИС

Перечень определённых технических и эксплуатационных характеристик АС (ИС) OOO Altius Plus и соответствующие им уровни исходной защищённости приведены в таблице 11.

Таблица 11

Технические и эксплуатационные характеристики ИС	Уровень защищённости
1	2
По территориальному размещению анализируемая ИС состоит из одного локального сегмента, развёрнутого в пределах одного здания	Высокий
По наличию соединения с сетями общего пользования рассматриваемая ИС относится к категории систем, имеющих подключения.	Средний
По встроенным (легальным) операциям с записями баз данных SVN: – чтение – поиск – запись – удаление – сортировка – модификация	Высокий
По разграничению доступа к персональным данным анализируемая ИС относится к системе, к которой имеет доступ только бухгалтер, или директор организации	Высокий

Необходимо заметить, что несмотря на наличие у потенциального нарушителя доступа на запись, удаление, или модификацию данных в БД SVN, встроенные механизмы аудита позволят восстановаить или откатить данные до необходимого корректного состояния даже после совершения нарушителем указанных действий.

Доступа к ПД сотрудников через ЛВС не имеет никто кроме бухгалтера, все эти данные расположены в АС бухгалтера, и дублируются только на резервном сервере, физический доступ к которому закрыт.

Исходя из требований [6], на основе приведённых характеристик и соответствующих им уровней защищённости уровень исходной защищённости, рассматриваемой ИС может быть оценен как высокий. Поскольку более 70% характеристик ИС имеют уровень не ниже среднего и при этом отсутствует 70% характеристик удовлетворяющих высокому уровню защищённости, что не позволяет отнести рассматриваемую систему к высокому исходному уровню защищённости.

4.2 Общий (предварительный) перечень угроз безопасности ИС

1. Угрозы утечки информации по техническим каналам, включающие:

1) угрозы утечки видовой информации;

2) угрозы утечки информации по каналу ПЭМИН.

2. Угрозы утечки информации посредством:

1) копирования информации на незарегистрированный носитель информации;

2) передачи носителя информации лицам, не имеющим права доступа к ней (в том числе при ремонте и утилизации носителя);

3) возможности утраты (потери) носителя;

4) передачи защищаемой информации по открытым каналам связи;

3. Угрозы несанкционированного доступа к информации, путём:

1) подключения к техническим средствам и системам объекта информатизации с целью нарушения целостности;

2) подключения к техническим средствам и системам объекта информатизации с целью нарушения конфиденциальности;

3) использования закладочных средств (устройств) с целью нарушения целостности;

4) использования закладочных средств (устройств) с целью нарушения конфиденциальности;

5) использования программного обеспечения ТС ИС с целью нарушения целостности через:

- маскировку под зарегистрированного пользователя;

- дефекты и уязвимости программного обеспечения ОИ;

- внесение программных закладок;

- применение вредоносного программного кода;

6) хищения носителя защищаемой информации.

4. Угрозы искажения, уничтожения или блокирования информации с применением технических средств, путём:

1) Силового электромагнитного воздействия:

- по сети электропитания на порты электропитания постоянного и переменного тока;

- по проводным линиям связи на порты ввода-вывода сигналов и порты связи;

- по металлоконструкциям на порты заземления и порты корпуса;

- посредством электромагнитного быстроизменяющегося поля на порты корпуса, порты ввода-вывода сигналов и порты связи;

2) Преднамеренного силового воздействия различной физической природы

3) Использования программных или программно-аппаратных средств при осуществлении:

- компьютерной атаки;

- сетевой атаки;

- применения вредоносного кода;

4) Воздействия программными средствами в комплексе с преднамеренным силовым электромагнитным воздействием

5. Дефекты, сбои и отказы, аварии ТС и систем ОИ, а так же систем обеспечения ОИ.

4.3 Анализ вероятности реализации угроз

4.3.1 Угрозы утечки информации по техническим каналам

В соответствии с [5] и результатами проведённого анализа АС (ИС) OOO Altius Plus, угрозы утечки информации по техническим каналам включают в себя:

- угрозы утечки видовой информации;

- угрозы утечки информации по каналу ПЭМИН.

Угрозы утечки видовой информации:

Реализация угрозы утечки видовой информации возможна за счёт просмотра информации с помощью оптических (оптикоэлектронных) средств с экранов дисплеев и других средств отображения средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав анализируемой ИС, а также в виде случайного просмотра посетителями организации. При этом следует рассматривать возможности съёма информации как внутри, так и за пределами КЗ.

Возможность утечки видовой информации в случае расположения нарушителя за пределами контролируемой зоны объекта в достаточной степени зависит от определения КЗ.

Принимая во внимание следующие факторы:

- сложность реализации съёма видовой информации за пределами КЗ ввиду взаимного расположения зданий и сооружений, наличия на окнах помещений штор (жалюзи), а также расположения экранов дисплеев и других средств отображения средств вычислительной техники по отношению к окнам;

- исключение неконтролируемого нахождения посторонних лиц и посетителей организации в пределах КЗ анализируемого объекта информатизации, что ограничивает возможность вноса в КЗ объекта фото-, видео-аппаратуры и других оптических (оптикоэлектронных) средств;

следует признать принятые меры безопасности видовой информации существенно ограничивающими реализацию данной угрозы. Исходя из чего вероятность реализации угрозы утечки видовой информации считать маловероятной.

Угрозы утечки информации по каналам ПЭМИН:

Возникновение угроз утечки данных по каналам ПЭМИН возможно за счёт перехвата техническими средствами побочных (не связанных с прямым функциональным назначением элементов ИС) электромагнитных излучений (электромагнитных полей) СВТ.

Технические каналы утечки информации в зависимости от физической природы образования и среды распространения побочных излучений и наводок разделяют на электромагнитные, электрические и параметрические. Электромагнитные и электрические каналы утечки информации формируются за счёт электромагнитных излучений и наводок, модулированных сигналами, формируемыми в ОТСС в процессе обработки защищаемой информации.

Параметрический канал утечки информации образуется за счёт изменения параметров радиокомпонентов и элементов функциональных связей (как правило, выходящих за пределы КЗ объекта), которые происходят при воздействии на них акустических полей и сигналов ВЧ-навязывания. Под ВЧ-навязыванием здесь следует понимать контактный способ введения в кабели и провода, выходящие за пределы контролируемых зон, токов высокой частоты, которые при определённых условиях отражаются промодулированными информационными сигналами.

Принимая во внимание следующие факторы:

- исключение неконтролируемого нахождения посторонних лиц и посетителей организации в пределах КЗ анализируемого объекта информатизации;

- обработка ИС на анализируемом объекте производится в рабочее время, для которого характерно одновременное функционирование многих средств вычислительной техники;

- обработка ИС в нерабочее время также осуществляется, но доступ в помещения, в которых происходит обработка ИС и установлены средства вычислительной техники, закрыт;

следует также отметить, что на анализируемом объекте информатизации для обработки ИС применяются однотипные СВТ с одинаковыми техническими характеристиками и параметрами настройки. Учитывая данный факт, можно сделать вывод о том, что при работе нескольких СВТ одновременно, выделение ПЭМИН какого-то конкретного СВТ в данной ситуации представляется достаточно сложной задачей.

Принимая во внимание обозначенную выше информацию, можно заключить, что угроза утечки информации по каналу ПЭМИН является маловероятной.

4.3.2 Угрозы утечки информации через инсайдеров

Источником угрозы утечки информации является лицо, имеющее доступ к ИС, включая пользователей ИС, -- внутренний нарушитель.

В подавляющем большинстве случаев сотрудник имеет возможность скопировать документы, с которыми он в данный момент работает, на любой мобильный носитель информации. Наибольшую опасность в этом отношении представляют мобильные модули памяти. Особенно это верно в отношении тех устройств, которые могут подключаться прямо к USB-порту компьютера.

Например, флеш-память, объем которой может достигать значительных величин, для работы с ней не нужны дополнительные драйвера, и скорость обмена информацией с ПК достаточно большая. Кроме того, нужно учитывать, что физические размеры устройств на базе флеш-памяти очень невелики. То есть человек может не только принести их в офис, но и работать с ними незаметно для других сотрудников.

Следует учитывать, что многие цифровые устройства имеют встроенную память для хранения данных. Они также могут легко подключаться к компьютеру с помощью одного универсального USB-кабеля. Таким образом карманные компьютеры, сотовые телефоны, mp3-плееры также могут использоваться внутренними нарушителями для переноса конфиденциальной информации.

Также утечка защищаемой информации может возникнуть в случае передачи информации по открытым каналам связи.

В результате проведённого анализа АС OOO Altius Plus было выявлено:

- все АРМ имеют встроенные USB порты, к которым возможно подключение внешних HDD/FLASH накопителей, или CD-RW/DVD-RW-приводы;

- отсутствуют специализированные сертифицированные средства разграничения доступа и контроля внешних носителей;

- учёт защищаемых носителей информации не реализован.

Вероятность угрозы утечки защищаемой информации через:

- копирование информации на незарегистрированный носитель информации;

- передачу носителя информации лицам, не имеющим права доступа к ней (в том числе при ремонте и утилизации носителя);

- возможность утраты (потери) носителя,

является средней.

Несмотря на то, что:

- реализована система защищённого доступа сотрудников OOO Altius Plus к ресурсам сети «Интернет»,

следует признать принятые меры препятствующие утечке защищаемой информации, путём передачи информации по открытым каналам связи недостаточными и признать вероятность реализации угрозы средней.

4.3.3 Угрозы несанкционированного доступа к информации

Следуя определениям [5], уязвимость ИС -- недостаток или слабое место в системном и прикладном программном обеспечении автоматизированной информационной системы, которое может быть использовано для реализации угрозы НСД к ИС.

Причинами возникновения уязвимостей могут являться:

- ошибки при проектировании и разработке программного (программно-аппаратного) обеспечения;

- преднамеренные действия по внесению уязвимостей в ходе проектирования и разработки программного (программно-аппаратного) обеспечения;

- неправильные настройки ПО, неправомерное изменение режимов работы устройств и программ;

- несанкционированное внедрение и использование неучтённых программ с последующим необоснованным расходованием ресурсов;

- внедрение вредоносных программ, создающих уязвимости в программном и программно-аппаратном обеспечении;

- несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей;

- сбои в работе аппаратного и программного обеспечения.

- получения удаленного доступа к АС путем установки, либо использования приложений на АС, т.к. МЭ не осуществляет контроль и фильтрацию пакетов по параметрам прикладного уровня.

Примером последнего может послужить то, что практически все АС в организации работают 24 часа в сутки, даже по ночам, когда сотрудников нет на АРМ, в это же время почти на каждой АС запущена программа Teamviewer, обеспечивающая сотрудникам удаленный доступ к своим АС посредством туннелирования траффика. Т.к. при таком способе доступа, нарушителю получить несанкционированнный доступ к АС методом атаки bruteforce будет почти невозможно при необходимой длинне ключа, этот метод дистанционного доступа к АС может показаться безопасным. Но если учесть, что статистически, пользователи таких программ устанавливают свои идентификаторы и пароли для всех интернет служб одни и те же, а назначение этих параметров в прикладном ПО OOO Altius Plus никто из администрации OOO Altius Plus не контролирует, то нарушитель, зная ФИО одного из сотрудников и получив доступ к интернет сервису, например к аккаунту сотрудника в социальной сети, можно предположить с определенной вероятностью успеха, что эти же самые идентификатор и ключ используются в ПО Teamviewer, и нарушитель получит полный доступ к АС сотрудника, что приведет к возможности утечки информации, т.к. любая АС в ЛВС имеет доступ к SVN, по крайней мере на чтение.

Принимая во внимание следующие факторы:

- посетители могут находится в помещениях с установленными СВТ ИС только в присутствии постоянных сотрудников OOO Altius Plus;

- сетевое оборудование и серверы баз данных и резервного копирования установлены в специальном помещении, запертом на ключ (ключи находятся у директора и системного администратора OOO Altius Plus);

Учитывая отсутствие:

- учёта защищаемых носителей информации;

- контроля подключения внешних носителей к АРМ ИС;

- периодического инструментального контроля состояния защищённости АРМ анализируемой ИС на соответствие требованиям безопасности информации;

меры безопасности, предпринимаемые для противодействия угрозе несанкционированного доступа к информации путём подключения к техническим средствам и системам объекта информатизации с целью нарушения конфиденциальности, являются недостаточными.

Поэтому вероятность реализации угрозы несанкционированного доступа к информации путём подключения к техническим средствам и системам объекта информатизации с целью нарушения конфиденциальности является угрозой средней вероятности.

Исследование объекта информатизации показало:

- существуют резервные копии информации, хранящиеся на сервере резервного копирования;

тем не менее,

- в рассматриваемой ИС отсутствуют сертифицированные средства контроля подключения внешних носителей информации;

- технические средства анализируемой системы имеют прямые выводы коммуникаций за пределы контролируемой зоны объекта.

Основываясь на вышесказанном можно заключить, что вероятность реализации угрозы несанкционированного доступа к информации путём подключения к техническим средствам и системам объекта информатизации с целью нарушения целостности является средней.

Принимая во внимание следующие факторы:

- посетители могут находится в помещениях с установленными СВТ ИС только в присутствии постоянных сотрудников OOO Altius Plus;

- АРМ рассматриваемой ИС располагаются в помещениях, которые не остаются открытыми в отсутствие сотрудников OOO Altius Plus;

угроза несанкционированного доступа к информации путём использования закладочных средств (устройств) с целью нарушения конфиденциальности и целостности является угрозой низкой степени вероятности.

В ходе анализа функционирования АС (ИС) OOO Altius Plus было выявлено наличие следующих защитных механизмов:

- идентификация и проверка подлинности субъекта доступа при входе в систему по идентификатору (коду) условно-постоянного действия длиной не менее шести буквенных символов. Идентификатор должен периодически меняться каждым сотрудником;

- идентификация терминалов, компьютеров, узлов сети ИС, каналов связи, внешних устройств компьютеров по логическим именам;

- реализация механизмов автоматического блокирования обнаруженных ВП путём их удаления из программных модулей или уничтожения;

- регулярная проверка на предмет наличия ВП в средствах защиты от ПМВ;

- инициация автоматической проверки на предмет ВП в случае выявления факта ПМВ;

- непрерывный, согласованный по единому сценарию автоматический мониторинг информационного обмена ИС на всех технических средствах ИС с целью выявления проявлений ПМВ;

- резервное копирование ИС на сервер резервного копирования;

- регистрация входа (выхода) субъектов доступа в систему (из системы), либо регистрация загрузки и инициализации операционной системы и её программного останова;

- межсетевое экранирование от сети провайдера телекоммуникационных услуг.

Учитывая отсутствие таких элементов защиты как:

- регистрация запуска (завершения) программ и процессов (заданий, задач), предназначенных для обработки защищаемых файлов;

- регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам;

- регистрация попыток доступа программных средств к следующим дополнительным защищаемым объектам доступа: терминалам, компьютерам, узлам сети ИС, линиям (каналам) связи, внешним устройствам компьютеров, программам, томам, каталогам, файлам, записям, полям записей;

- проведение периодического тестирования функций СЗИС при изменении среды и персонала с помощью тест-программ, имитирующих попытки НСД;

- наличие средств восстановления СЗИС, предусматривающие ведение двух копий программных средств защиты информации и их периодическое обновление и контроль работоспособности;

- учёт всех защищаемых носителей информации;

- обеспечение целостности программных средств защиты информации в составе СЗИС, а также неизменности программной среды,

следует признать, что меры, направленные на предотвращение угрозы несанкционированного доступа к информации, являются недостаточными.

Таким образом угроза внутреннего несанкционированного доступа к информации путём использования программного обеспечения ТС ИС с целью нарушения конфиденциальности через:

- маскировку под зарегистрированного пользователя;

- дефекты и уязвимости программного обеспечения ОИ;

- внесение программных закладок;

- применение вредоносного программного кода,

является угрозой средней степени вероятности.

В ходе исследования объекта информатизации было установлено следующее:

- технические средства анализируемой системы не имеют прямые выводы коммуникаций за пределы контролируемой зоны объекта;

- реализована система разграничения доступа пользователей OOO Altius Plus к защищаемой информации;

- исключение неконтролируемого нахождения посторонних лиц и посетителей организации в пределах КЗ анализируемых объектов информатизации.

- применение средств межсетевого экранирования сегмента анализируемой АС от сети провайдера телекоммуникационных услуг реализовано с помощью DrayTek VigorPro-5510. Но при этом не осуществляется инспектирование траффика по заголовкам на прикладном уровне, выше описанная мною уязвимость на примере ПО Teamviewer имеет место быть.

Можно сделать вывод о том, что меры, направленные на предотвращение угроз несанкционированного доступа к информации, источником которых является внешний нарушитель, являются недостаточными.

Ввиду чего угрозу внешнего несанкционированного доступа к информации путём использования программного обеспечения ТС ИС с целью нарушения заданных параметров безопасности (конфиденциальности и целостности) через:

- маскировку под зарегистрированного пользователя;

- дефекты и уязвимости программного обеспечения ОИ;

- внесение программных закладок;

- применение вредоносного программного кода, внедряемого по сети,

следует считать угрозой средней вероятности.

Принимая во внимание, что:

- исключено неконтролируемое нахождение посторонних лиц и посетителей организации в пределах КЗ анализируемого объекта информатизации;

- серверы с защищаемой информацией располагаются в специальном телекоммуникационном помещении, оборудованном замком;

- все помещения, которые занимает OOO Altius Plus, оборудованы системами пожарной и охранной сигнализации, в нерабочее время помещения устанавливаются в режим охраны,

следует признать, что при условии реализации системы учёта защищаемых носителей информации (на момент проведения обследования учёт защищаемых носителей информации не проводился), принятые меры защиты являются достаточными и вероятность реализации угрозы хищения носителей защищаемой информации является низкой.

4.3.4 Искажение, уничтожение или блокирование информации с применением технических средств

Угроза искажения, уничтожения или блокирования информации с применением технических средств путём:

1. Силового электромагнитного воздействия:

- по сети электропитания на порты электропитания постоянного и переменного тока;

- по проводным линиям связи на порты ввода-вывода сигналов и порты связи;

- по металлоконструкциям на порты заземления и порты корпуса;

- посредством электромагнитного быстроизменяющегося поля на порты корпуса, порты ввода-вывода сигналов и порты связи.

2. Преднамеренного силового воздействия различной физической природы;

3. Использования программных или программно-аппаратных средств при осуществлении:

- компьютерной атаки;

- сетевой атаки;

- применения вредоносного кода.

4. Воздействия программными средствами в комплексе с преднамеренными силовым электромагнитным воздействием.

Исследование объекта информатизации показало, что:

- технические средства анализируемой системы не имеют прямые выводы коммуникаций за пределы контролируемой зоны объекта;

- в точке подключения анализируемой системы к внешним сетям (сети «Интернет») установлен и настроен сертифицированный межсетевой экран;

- в анализируемой АС применяются средства криптографической защиты информации.

- большинство АРМ сотрудников OOO Altius Plus подключены к сети электропитания 2 категории надежности электроснабжения;

- серверы с защищаемой информацией располагаются в специальном телекоммуникационном помещении, оборудованном замком;

- часть АРМ и серверы оборудованы источниками бесперебойного питания,

- Осуществляется резервное копирование всех данных на серверах на резервный массив отказоустойчивых носителей.

- В случае удаления всех данных в базе SVN, они все равно будут восстановимы, т.к. удаление данных из репозитория SVN не удаляет их физически, и система аудита позволит откатить удаленные данные. Поэтому для безвозвратного уничтожения данных нарушителю потребуется непосредственный, физический доступ к носителям информации серверов, что исключается условием размещения их в отельной комнате, запираемой на ключ.

Исходня из всего вышесказанного можно сделать вывод о достаточности принятых мер защиты, препятствующих реализации обозначенных в данном разделе угроз, вследствие чего данные угрозы могут быть определены как мало вероятные.

4.3.5 Дефекты, сбои и отказы, аварии ТС и систем ОИ, а также систем обеспечения ОИ

Дефекты, сбои и отказы, аварии ТС и систем ОИ, а так же систем обеспечения ОИ в большей степени влияют на целостность и доступность информации и в меньшей на конфиденциальность.

Принимая во внимание следующие факторы:

- Осуществляется резервное копирование всех данных на серверах на резервный массив отказоустойчивых носителей.

- наличие источников бесперебойного питания как на рабочих местах пользователей, так и на серверах баз данных и резервного копирования анализируемой ИС,

можно сделать вывод, что принятые меры снижают вероятность потерь (на длительный срок потерять доступность требуемой информации, а также целостность информации) от дефектов, сбоев и отказов, аварии ТС и систем ОИ, а так же систем обеспечения ОИ. Учитывая данный факт, следует признать угрозу причинения вреда дефектами, сбоями и отказами, авариями ТС и систем ОИ, а также систем обеспечения ОИ низко вероятной и представляющую косвенную низкую опасность.



4.4 Обобщённый перечень возможных угроз и вероятность их возникновения

Ниже в таблице 12, приведены обобщённые результаты проведённого анализа возможных угроз АС (ИС) OOO Altius Plus и вероятность их возникновения.

Таблица 12

№	Угроза. Путь реализации.	Вероятность возникновения
1	2	3
1	Угроза утечки информации по техническим каналам. Угрозы утечки видовой информации	Низкая
2	Угроза утечки информации по техническим каналам. Угрозы утечки информации по каналу ПЭМИН.	Маловероятная
3	Угроза утечки информации посредством: - копирования информации на незарегистрированный носитель информации; - передачи носителя информации лицам, не имеющим права доступа к ней (в том числе при ремонте и утилизации носителя); - утраты (потери) носителя.	Маловероятная
4	Угроза разглашения защищаемой информации через передачу информации по открытым каналам связи.	Маловероятная
5	Угроза несанкционированного доступа к информации путём подключения к техническим средствам и системам объекта информатизации с целью нарушения конфиденциальности	Низкая
6	Угроза несанкционированного доступа к информации путём подключения к техническим средствам и системам объекта информатизации с целью нарушения целостности	Низкая
7	Угроза НСД к информации путём использования закладочных средств (устройств) с целью нарушения конфиденциальности	Низкая
8	Угроза НСД к информации путём использования закладочных средств (устройств) с целью нарушения целостности	Низкая
9	Угроза внутреннего НСД путём использования программного обеспечения ТС ОИ с целью нарушения конфиденциальности через: - маскировку под зарегистрированного пользователя; - дефекты, уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Средняя
10	Угроза внутреннего НСД путём использования программного обеспечения ТС ОИ с целью нарушения целостности через: - маскировку под зарегистрированного пользователя; - дефекты, уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Низкая
11	Угроза внешнего НСД путём использования программного обеспечения ТС ОИ с целью нарушения конфиденциальности через: - маскировку под зарегистрированного пользователя; - дефекты и уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Средняя
12	Угроза внешнего НСД путём использования программного обеспечения ТС ОИ с целью нарушения целостности через: - маскировку под зарегистрированного пользователя; - дефекты и уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Низкая
13	Угроза НСД к информации путём хищения носителя защищаемой информации	Низкая
14	Угроза искажения, уничтожения или блокирования информации с применением технических средств	Низкая
15	Дефекты, сбои и отказы, аварии ТС и систем ОИ, а также систем обеспечения ОИ.	Низкая

4.5 Определение опасности угрозы

Опасность для угроз из предварительного перечня определена согласно методике, приведённой в п. 7.2, в таблице 13.

Таблица 13

№	Угроза. Путь реализации.	Характеристика	Опасность
1	2	3	4
1	Угроза утечки информации по техническим каналам. Угрозы утечки видовой информации	Незначительный объем Периодическая повторяемость	Низкая
2	Угроза утечки информации по техническим каналам. Угрозы утечки информации по каналу ПЭМИН.	Незначительный объем Условно постоянная повторяемость	Низкая
3	Угроза разглашения защищаемой информации через: - копирование информации на незарегистрированный носитель информации; - передачу носителя информации лицам, не имеющим права доступа к ней (в том числе при ремонте и утилизации носителя); - возможность утраты (потери) носителя.	Значительный объем Периодическая повторяемость	Средняя
4	Угроза разглашения защищаемой информации через передачу информации по открытым каналам связи.	Средний объем Повторяемость - периодическая	Средняя
5	Угроза несанкционированного доступа к информации путём подключения к техническим средствам и системам объекта информатизации с целью нарушения конфиденциальности	Средний объем Условно постоянная повторяемость	Средняя
6	Угроза несанкционированного доступа к информации путём подключения к техническим средствам и системам объекта информатизации с целью нарушения целостности	Средний объем Условно постоянная повторяемость	Средняя
7	Угроза НСД к информации путём использования закладочных средств (устройств) с целью нарушения конфиденциальности	Незначительный объем Повторяемость - условно постоянная	Низкая
8	Угроза НСД к информации путём использования закладочных средств (устройств) с целью нарушения целостности	Незначительный объем Повторяемость - условно постоянная	Низкая
9	Угроза внутреннего НСД путём использования программного обеспечения ТС ОИ с целью нарушения конфиденциальности, через: - маскировку под зарегистрированного пользователя; - дефекты, уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Значительный объем Повторяемость - периодическая	Средняя
10	Угроза внутреннего НСД путём использования программного обеспечения ТС ОИ с целью нарушения целостности, через: - маскировку под зарегистрированного пользователя; - дефекты, уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода	Значительный объем Повторяемость - периодическая	Средняя
11	Угроза внешнего НСД путём использования программного обеспечения ТС ОИ с целью нарушения конфиденциальности, через: - маскировку под зарегистрированного пользователя; - дефекты и уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Значительный объем Повторяемость - периодическая	Средняя
12	Угроза внешнего НСД путём использования программного обеспечения ТС ОИ с целью нарушения конфиденциальности, через: - маскировку под зарегистрированного пользователя; - дефекты и уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Значительный объем Повторяемость - периодическая	Средняя
13	Угроза НСД к информации путём хищения носителя защищаемой информации	Значительный объем Повторяемость - одноразовая	Низкая
14	Угроза искажения, уничтожения или блокирования информации с применением технических средств	Незначительный объем Повторяемость - условно постоянная	Низкая
15	Дефекты, сбои и отказы, аварии ТС и систем ОИ, а так же систем обеспечения ОИ.	Незначительный объем Повторяемость - условно постоянная	Низкая



4.6 Определение актуальности угроз

Актуальной считается угроза, которая может быть реализована в ИС и представляет опасность для ИС. Определение актуальности угрозы производится в соответствии со следующими правилами, приведёнными в таблице 14.

Таблица 14

Возможности реализации угрозы	Показатель опасности угрозы
	Низкая	Средняя	Высокая
Низкая	неактуальная	неактуальная	актуальная
Средняя	неактуальная	актуальная	актуальная
Высокая	актуальная	актуальная	актуальная
Очень высокая	актуальная	актуальная	актуальная

Ниже приводится таблица, в которой для каждой угрозы из общего (предварительного) списка угроз безопасности ИС анализируемого объекта - АС (ИС) OOO Altius Plus в соответствии с требованиями [6] определены реализуемость, опасность и актуальность.

Таблица 15

№	Угроза. Путь реализации.	Реализуемость	Опасность	Актуальность
1	2	3	4	5
1	Угроза утечки информации по техническим каналам. Угрозы утечки видовой информации	Средняя	Низкая	Неактуальна
2	Угроза утечки информации по техническим каналам. Угрозы утечки информации по каналу ПЭМИН.	Низкая	Низкая	Неактуальна
3	Угроза разглашения защищаемой информации, через: - копирования информации на незарегистрированный носитель информации; - передачи носителя информации лицам, не имеющим права доступа к ней (в том числе при ремонте и утилизации носителя); - возможность утраты (потери) носителя.	Средняя	Средняя	Актуальна
4	Угроза разглашения защищаемой информации через передачу информации по открытым каналам связи.	Средняя	Средняя	Актуальна
5	Угроза несанкционированного доступа к информации путем подключения к техническим средствам и системам объекта информатизации с целью нарушения конфиденциальности	Средняя	Средняя	Актуальна
6	Угроза несанкционированного доступа к информации путем подключения к техническим средствам и системам объекта информатизации с целью нарушения целостности	Средняя	Средняя	Актуальна
7	Угроза НСД к информации путём использования закладочных средств (устройств) с целью нарушения конфиденциальности	Средняя	Низкая	Неактуальна
8	Угроза НСД к информации путём использования закладочных средств (устройств) с целью нарушения целостности	Средняя	Низкая	Неактуальна
9	Угроза внутреннего НСД путём использования программного обеспечения ТС ОИ с целью нарушения конфиденциальности, через: - маскировку под зарегистрированного пользователя; - дефекты, уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Средняя	Средняя	Актуальна
10	Угроза внутреннего НСД путём использования программного обеспечения ТС ОИ с целью нарушения целостности, через: - маскировку под зарегистрированного пользователя; - дефекты, уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Средняя	Средняя	Актуальна
11	Угроза внешнего НСД путём использования программного обеспечения ТС ОИ с целью нарушения конфиденциальности, через: - маскировку под зарегистрированного пользователя; - дефекты и уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Средняя	Средняя	Актуальна
12	Угроза внешнего НСД путём использования программного обеспечения ТС ОИ с целью нарушения целостности, через: - маскировку под зарегистрированного пользователя; - дефекты и уязвимости программного обеспечения ОИ; - внесение программных закладок; - применение вредоносного программного кода.	Средняя	Средняя	Актуальна
13	Угроза НСД к информации путём хищения носителя защищаемой информации	Средняя	Низкая	Неактуальна
14	Угроза искажения, уничтожения или блокирования информации с применением технических средств	Средняя	Низкая	Неактуальна
15	Дефекты, сбои и отказы, аварии ТС и систем ОИ, а так же систем обеспечения ОИ.	Средняя	Низкая	Неактуальна



Выводы и рекомендации по повышению общего уровня защищенности информации

Исследовав существующую защищенность информации в организации, были получены следующие сведения. Среди пятнадцати найденных возможных угроз информационной безопасности восемь оказались актуальными. Для повышения безопасности следует обратить внимание на следующие угрозы:

- Угроза разглашения защищаемой информации, через:

· копирование информации на незарегистрированный носитель информации;

· передачу носителя информации лицам, не имеющим права доступа к ней (в том числе при ремонте и утилизации носителя);

· возможность утраты (потери) носителя

- Угроза несанкционированного доступа к информации путем подключения к техническим средствам и системам объекта информатизации

- Угроза внутреннего и внешнего НСД путем использования программного обеспечения ТС, через:

· маскировку под зарегистрированного пользователя;

· дефекты и уязвимости программного обеспечения ОИ;

· внесение программных закладок;

· применение вредоносного программного кода

Проведённый анализ показывает, что на анализируемом объекте МЭ не имеет сертификатов ФСТЭК и ФСБ, поэтому для привидения системы в соответствие с требованиями нормативно методических документов этих организаций необходимо закупить, установить и настроить СЗИ, обеспечивающие межсетевое экранирование ИСПД OOO Altius Plus от сети общего пользования (Интернет);



Предлагаемые меры и средства защиты

1. Улучшить систему контроля доступа сотрудников в офисное помещение путем выдачи сотрудникам уникальных идентификационных RFID карт, обеспечить регистрацию посещения сотрудниками помещения специальными техническими средствами, т.к. в данный момент каждый сотрудник имеет тривиальную копию одной и той же карты доступа, которую можно скопировать любым RFID программатором. Предлагаемые варианты систем: a) система регистрации и контроля доступа TAGMASTER от компании Keytex b) RFID-система для контроля доступа и мониторинга RFID Server от компании ItProject.

2. Для обеспечения ИТЗИ необходимо выполнить ряд рекомендаций.

a) Для защиты от утечек по оптическому техническому каналу необходимо располагать рабочие места сотрудников так, чтобы экраны мониторов не располагались непосредственно рядом с окнами. Необходимо также, чтобы сотрудники закрывали жалюзи для предотвращения считывания информации по оптическому техническому каналу, т.к. офисные помещения находятся на 2 и первом этажах, а окна помещений находятся напротив не охраняемой общественной автомобильной парковки с возможностью размещения ТС, оборудованного средствами перехвата оптической и технической информации через окна.

b) При защите от утечек по радиоэлектронному техническому каналу, рекомендуется исключить из помещения все приборы, подключенные к линиям связи, отключать все радиопередающие устройства. При проведении совещаний или переговоров пользоваться сканерами частот, для определения радиопередающих устройств, при переговорах по телефону, использовать снифферы.

c) Материально-вещественный канал утечки информации можно защитить, правильно утилизируя отходы, документы, черновики, следя за выбросами за пределы охраняемой территории.

4. Наладить контроль за IP пакетами, идущими за пределы внутренне транслируемой ЛВС, установив правила фильтрации по заголовкам прикладного уровня. Для этого предлагается...