Методика перекрестной оценки угроз безопасности информационных систем и их уязвимостей

Размещено на http://www.allbest.ru/

Учреждение образования «Белорусский государственный университет транспорта»

МЕТОДИКА ПЕРЕКРЕСТНОЙ ОЦЕНКИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ СИСТЕМ И ИХ УЯЗВИМОСТЕЙ

П.М. БУЙ, С.Г. КУЛЬГАВИК

В Республике Беларусь в последнее время наблюдается процесс стремительной информатизации и компьютеризации практически всех отраслей народного хозяйства. В рамках этого процесса на вооружение принимаются информационные системы - системы, предназначенные для хранения, поиска и обработки информации, которые, помимо прочего, включают человеческие, технические и прочие организационные ресурсы, взаимодействующие с информацией. Особое место занимают информационные системы, выполняющие функции автоматизированных систем управления технологическими процессами (АСУ ТП).

Вместе с тем процессы информатизации и компьютеризации, а также использование современных сетевых технологий таят в себе множество потенциальных опасностей, область реализации которых касается исключительно сферы высоких технологий. При отсутствии адекватной системы защиты опасности такого рода могут привести к нарушению штатной работы информационных систем, что особенно критично для АСУ ТП. В таких условиях обязательным является проведение анализа опасностей характерных как для самих информационных систем, так и для среды их функционирования.

Безопасность информационных систем - это их защищенность от случайного или преднамеренного вмешательства в штатный процесс их функционирования. В общем случае речь идет о функциональной безопасности, когда важным является выполнение информационной системой поставленных перед нею задач, в этом случае должны соблюдаться такие условия функционирования информационной системы, при которых предотвращаются или минимизируются последствия от внешних или внутренних деструктивных воздействий. Если же эти задачи связаны с хранением и обработкой информации, предоставление и/или распространение которой ограничено, то в этом случае речь идет об информационной безопасности, для которой важным является защита информации от попыток хищения, изменения или разрушения компонентов информационной системы.

В реальной среде функционирования любой информационной системы независимо от нее существует множество угроз его безопасности - возможных воздействий на систему, которые прямо или косвенно могут нанести ущерб ее безопасности. Следует разделять угрозы функциональной и информационной безопасности исходя из функций информационных систем, на которые они нацелены.

Оптимальным методом анализа угроз является метод экспертных оценок, при котором экспертам предлагается оценить возможность реализации некоторого перечня угроз. В качестве критериев оценки опасности конкретной угрозы, согласно [1], можно выбрать возможность возникновения источника угрозы (K₁), степень его готовности произвести атаку (K₂), а также фатальность для объекта от реализации угрозы (K₃). Коэффициент опасности угрозы вычисляется на основании баллов, выставленных экспертом по трем критериям, например, от 1 до 10, по следующей формуле:

. (1)

Для N экспертов общий коэффициент опасности угрозы вычисляется как произведение средних баллов, выставленных экспертами по каждому критерию:

, (2)

где K_1i, K_2i, K_3i - баллы, выставленные i-м экспертом трем указанным выше критериям соответственно.

Сами по себе угрозы не опасны для информационных систем. Сосуществуя совместно с ним, угрозы могут вовсе не причинять ущерба их безопасности. Опасность представляют только те угрозы, для которых информационная система является уязвимой, или, иными словами, обладает определенными уязвимостями, через которые источники угроз могут реализовать свои угрозы и нанести ущерб. Уязвимость информационной системы - это присущие ей причины, приводящие к нарушению безопасности ее функционирования или безопасности обрабатываемой в ней информации.

В качестве критериев оценки опасности уязвимости источник [1] предлагает: фатальность наличия у объекта информатизации уязвимости (K₄), доступность уязвимости для источников угроз (K₅), а также количество уязвимостей на объекте или частота их появления (K₆). Аналогично с процессом оценки опасности угроз один или N экспертов выставляют баллы от 1 до 10 по каждому из критериев. Для одного эксперта коэффициент опасности уязвимости вычисляется по схожей с (1) формулой:

. (3)

Для N независимых экспертов расчет общего коэффициента опасности уязвимости производится аналогично формуле (2):

. (4)

При наличии множества уязвимостей информационной системы и множества угроз ее безопасности в реальных условиях функционирования велика вероятность реализации одной из угроз, нацеленной на процесс функционирования объекта или безопасность информации, которая в нем используется. Анализируя коэффициенты опасности совокупности уязвимостей, можно произвести их ранжирование и определить те из них, устранением которых необходимо заняться в первую очередь.

Для защиты информационных систем от атак разрабатываются специальные мероприятия по обеспечению их безопасности, часть из которых обеспечивает их надежное функционирование в условиях воздействия угроз, часть направлено на обеспечение информационной безопасности, т. е. сохранению таких свойств защищаемой информации, как конфиденциальность, доступность и целостность.

Учитывая многообразие угроз современного информационного мира, построить абсолютно адекватную систему защиты не представляется возможным, ведь затраты на ее организацию и сопровождение не должны превышать предполагаемый ущерб от ее нарушения в результате реализации угроз. Таким образом, необходимо выбрать методику, которая позволит выбрать наиболее опасные для исследуемой информационной системы угрозы и защищаться только от них. Также важным является определение наиболее опасных уязвимостей, устранение которых позволит существенно повысить уровень безопасности информационной системы.

Существующие методы ранжирования угроз и уязвимостей производят их оценку независимо друг от друга [1]. Однако, как было указано выше, угрозы не представляют опасности для информационных систем без наличия соответствующих им уязвимостей. Также и уязвимости не подрывают уровень безопасности системы, если нет угроз, которые могут ими воспользоваться. Следовательно, оценку угроз и уязвимостей следует производить совокупно, оценивая критерии опасности угрозы и уязвимости исходя из того, что первая будет реализована через вторую. При этом следует использовать подкорректированные критерии, соответствующие указанной совокупной оценке «угроза - уязвимость»:

- критерий C₁ - возможность возникновения источника угрозы в достаточном окружении от информационной системы для реализации угрозы через уязвимость;

- критерий C₂ - степень готовности источника угрозы воспользоваться уязвимостью информационной системы и реализовать угрозу;

- критерий C₃ - распространенность уязвимости по информационной системе или частота ее появления;

- критерий C₄ - доступность уязвимости для реализации угрозы ее источником;

- критерий C₅ - фатальность от реализации угрозы источником угрозы через уязвимость информационной системы.

При таком подходе оценивается опасность реализации угрозы через уязвимость информационной системы. Общий коэффициент опасности реализации угрозы через уязвимость (K_{опугузN}) оценивается N экспертами по следующей формуле:

. (5)

угроза информационный безопасность система

В реальных условиях функционирования одна и та же уязвимость безопасности информационной системы может стать причиной реализации сразу нескольких угроз.

Для перекрестной оценки опасности угроз и уязвимостей в таких условиях необходимо учитывать все сочетания пар «угроза - уязвимость», для которых были проведены индивидуальные оценки по формуле (5).

Оценка опасности угрозы, которая может быть реализована через S уязвимостей, каждая из которых по отдельности была оценена группой из N экспертов по методике, указанной выше, рассчитывается следующим образом:

 (6)

где C_1ij, C_2ij, C_3ij, C_4ij, C_5ij - баллы, выставленные i-м экспертом пяти указанным выше критериям соответственно в процессе оценки реализации одной угрозы через j-ю уязвимость информационной системы.

Схожим образом производится расчет коэффициента опасности уязвимости, через которую могут реализоваться Z угроз:

(7)

где C_1ij, C_2ij, C_3ij, C_4ij, C_5ij - баллы, выставленные i-м экспертом пяти указанным выше критериям соответственно в процессе оценки одной уязвимости объекта информатизации при реализации через нее j-й угрозы.

Таким образом, при проведении перекрестной оценки угроз и уязвимостей необходимо:

- определить совокупности угроз и уязвимостей безопасности информационной системы;

- увязать между собой угрозы и уязвимости, установив потенциальную реализацию первых через вторые;

- перевести в резерв несвязанные уязвимости и угрозы;

- вычислить по формуле (5) коэффициент опасности реализации каждой угрозы через каждую увязанную с ней уязвимость;

- для каждой из угроз и уязвимостей определить соответственно по формулам (6) и (7) коэффициенты их опасностей;

- произвести ранжирование угроз и уязвимостей, определив тем самым наиболее опасные из них.

Список литературы

1. Вихорев, С. В. Как узнать - откуда напасть или откуда исходит угроза безопасности информации (окончание) / С. В. Вихорев, Р. Ю. Кобцев // Защита информации. Конфидент. 2002. № 3. С. 80-84.

Размещено на Allbest.ru