Неформальная модель нарушителя

Нарушитель — лицо, предпринявшее попытку выполнения запрещенных операций (действий) по ошибке, незнанию или осознанно со злым умыслом (из корыстных интересов) или без такового (ради игры или удовольствия, с целью самоутверждения и т.п.) и использующее для этого различные возможности, методы и средства.

Злоумышленником будем называть нарушителя, намеренно идущего на нарушение из корыстных побуждений.

Для того, чтобы определить вероятные источники угроз информационной безопасности АИС и показатели риска для этих угроз строится неформальная модель нарушителя. Такая модель отражает потенциальные возможности и знания нарушителя, время и место действия, необходимые усилия и средства для осуществления атаки и т.п. и в идеале должны быть адекватна реальному нарушителю для данной АИС.

Модель нарушителя включает следующие (обоснованные) предположения:

1. О категориях лиц, к которым может принадлежать нарушитель: пользователи системы, обслуживающий персонал, разработчики АИС, сотрудники службы безопасности, руководители — внутренние нарушители; клиенты, посетители, конкуренты, случайные лица — внешние нарушители.

2. О мотивах нарушителя. Основными мотивами считаются три: безответственность, самоутверждение или корыстный интерес. В первом случае нарушения вызываются некомпетентностью или небрежностью без наличия злого умысла. Во втором случае нарушитель, преодолевая защиту АИС и получая доступ к системным данным, самоутверждается в собственных глазах или в глазах коллег (такой нарушитель рассматривает свои действия как игру «пользователь — против системы»). Наибольшей опасностью обладает третий тип нарушителя, который целенаправленно преодолевает систему защиты, движимый корыстным интересом.

3. Об уровне знаний нарушителя: на уровне пользователя АИС, на уровне администратора АИС, на уровне программиста, на уровне специалиста в области информационной безопасности.

4. О возможностях нарушителя (используемых методах и средствах): применяющий только агентурные методы, применяющий только штатные средства доступа к данным (возможно, в несанкционированном режиме), применяющий пассивные средства (возможность перехвата данных), применяющий активные средства (возможность перехвата и модификации данных).

5. О времени действия: во время штатного функционирования АИС, во время про-стоя АИС, в любое время.

6. О месте действия: без доступа на контролируемую территорию организации, с доступом на контролируемую территорию (но без доступа к техническим средствам), с рабочих мест пользователей, с доступом к базам данных АИС, с доступом к подсистеме защиты АИС.

Неформальная модель нарушителя строится на основе исследования АИС (аппаратных и программных средств) с учетом специфики предметной области и используемой в организации технологии обработки данных.

Поскольку определение конкретных значений характеристик возможных нарушителей — в значительной степени субъективный процесс, обычно модель включает несколько обликов возможного нарушителя, по каждому из которых определяются значения всех приведенные выше характеристик. Наличие неформальной модели нарушителя позволяет выявить причины возможных нарушений информационной безопасности и либо устранить эти причины, либо усовершенствовать систему защиты от данного вида нарушений.

Таблица 2. Модель нарушителя в информационных системах

Группа	Возможности проникновения
	Запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации	Создание и запуск собственных программ с новыми функциями по обработке информации	Возможность управления функционированием ИС, (воздействие на базовое ПО, на состав и конфигурацию ее оборудования)	Полное и всестороннее воздействие на средства ИС, вплоть до включения в состав ИС своих средств и ПО
Начинающий взломщик	+
Освоивший основы работы на ПЭВМ и в составе сети	+	+
Классный специалист	+	+	+
Специалист высшего класса	+	+	+	+

 

Способы НСД к информации.

; Несанкционированный доступ к источникам конфиденциальной информации — это противоправное преднамеренное овладение ею. В лекции рассмотрены способы НСД, обобщенная модель способов НСД к источникам конфиденциальной информации, методы и средства защиты от НСД в сети.

Способ несанкционированного доступа - это совокупность приемов, позволяющих злоумышленнику получить охраняемые сведения конфиденциального характера.

Способами несанкционированного доступа являются:

1. Инициативное сотрудничество.

2. Склонение к сотрудничеству.

3. Выведывание, выпытывание.

4. Подслушивание.

5. Наблюдение.

6. Хищение.

7. Копирование.

8. Подделка (модификация).

9. Уничтожение.

10. Незаконное подключение.

11. Перехват.

12. Негласное ознакомление.

13. Фотографирование.

14. Сбор и аналитическая обработка информации.

 

Инициативное сотрудничество проявляется в определенных действиях лиц, чем-то неудовлетворенных или остро нуждающихся в средствах к существованию, из числа работающих на предприятии, готовых ради наживы на любые противоправные действия. Наличие такого человека в сфере производства и управления предприятия позволяет злоумышленникам получать необходимые сведения о деятельности фирмы.

Склонение к сотрудничеству — это, как правило, насильственное действие со стороны злоумышленников. Склонение или вербовка может осуществляться путем подкупа, запугивания, шантажа.

Выведывание, выпытывание — это стремление под видом наивных вопросов получить определенные сведения.

Подслушивание — способ ведения разведки и промышленного шпионажа, применяемый агентами, наблюдателями, информаторами, специальными постами подслушивания. Злоумышленники используют для этого специальных людей, сотрудников, современную технику, различные приемы ее применения. Подслушивание может осуществляться непосредственным восприятием акустических колебаний лицом при прямом восприятии речевой информации либо с помощью технических средств.

Наблюдение — способ ведения разведки о состоянии и деятельности противника. Ведется визуально и с помощью оптических приборов. Процесс наблюдения довольно сложен, так как требует значительных затрат сил и средств.

Хищение — умышленное противоправное завладение чужим имуществом, средствами, документами, материалами, информацией. Похищают документы, продукцию, дискеты, ключи, коды, пароли и шифры.

Копирование - копируют документы, содержащие интересующие злоумышленника сведения; информацию, обрабатываемую в АСОД (автоматизированные системы обработки данных); продукцию.

Подделка (модификация, фальсификация) Подделывают доверительные документы, позволяющие получить определенную информацию, письма, счета, бухгалтерскую и финансовую документацию, ключи, пропуска, пароли и т. д.

Уничтожение. В части информации особую опасность представляет ее уничтожение в АСОД, в которой накапливаются на технических носителях огромные объемы сведений различного характера, причем многие из них весьма трудно изготовить в виде немашинных аналогов.

Незаконное подключение. Под незаконным подключением будем понимать контактное или бесконтактное подключение к различным линиям и проводам с целью несанкционированного доступа к информации. Подключение возможно как к проводным линиям телефонной и телеграфной связи, так и к линиям связи иного информационного назначения: линиям передачи данных, соединительным линиям периферийных устройств больших и малых ЭВМ, линиям диспетчерской связи, конференцсвязи, питания, заземления и другими.

Перехват. В практике радиоэлектронной разведки под перехватом понимают получение разведывательной информации за счет приема сигналов электромагнитной энергии пассивными средствами приема, расположенными, как правило, на достаточном расстоянии от источника конфиденциальной информации. Перехвату подвержены переговоры любых систем радиосвязи, переговоры, ведущиеся с подвижных средств телефонной связи (радиотелефон), переговоры внутри помещения посредством бесшнуровых систем учрежденческой связи и другие.

Негласное ознакомление — способ получения информации, к которой субъект не допущен, но при определенных условиях он может получить возможность кое-что узнать (открытый документ на столе во время беседы с посетителем, наблюдение экрана ПЭВМ со значительного расстояния в момент работы с закрытой информацией и т. д.). К негласному ознакомлению относится и перлюстрация почтовых отправлений, учрежденческой и личной переписки.

Фотографирование — способ получения видимого изображения на фотоматериале. Особенность способа — документальность, позволяющая при дешифровании фотоснимков по элементам и демаскирующим признакам получить весьма ценные, детальные сведения об объекте наблюдения.

Сбор и аналитическая обработка являются завершающим этапом изучения и обобщения добытой информации с целью получения достоверных и объемлющих сведений по интересующему злоумышленника аспекту деятельности объекта его интересов. Полный объем сведений о деятельности конкурента не может быть получен каким-нибудь одним способом. Чем большими информационными возможностями обладает злоумышленник, тем больших успехов он может добиться в конкурентной борьбе. На успех может рассчитывать тот, кто быстрее и полнее соберет необходимую информацию, переработает ее и примет правильное решение.

Каналы несанкционированного получения информации (КНПИ)

КНПИ – это физический канал от источника защищаемой информации к злоумышленнику, по которому возможна утечка охраняемых сведений.

Классифицируем все возможные каналы несанкционированного получения информации (КНПИ) по двум критериям:

1. необходимости доступа (физического или логического) к элементам АС для реализации того или иного КНПИ

2. зависимости появления КНПИ от состояния АС.

По первому критерию КНПИ могут быть разделены на не требующие доступа, т.е. позволяющие получать необходимую информацию дистанционно (например, путем визуального наблюдения через окна помещений АС), и требующие доступа в помещения АС.

В свою очередь, КНПИ, воспользоваться которыми можно только получив доступ в помещения АС, делятся на не оставляющие следы в АС (например, визуальный просмотр изображений на экранах мониторов или документов на бумажных носителях) и на КНПИ, использование которых оставляет те или иные следы (например, хищение документов или машинных носителей информации).

По второму критерию КНПИ делятся на постоянно существующие независимо от состояния АС (например, похищать носители информации можно независимо от того, в рабочем состоянии находятся средства АС или нет) и существующие только в рабочем состоянии АС (например, побочные электромагнитные излучения и наводки).

КНПИ 1-го класса – каналы, проявляющиеся безотносительно к обработке информации и без доступа злоумышленника к элементам системы.

Сюда может быть отнесено подслушивание разговоров, а также провоцирование на разговоры лиц, имеющих отношение к АС, и использование злоумышленником визуальных, оптических и акустических средств.

Данный канал может проявиться и путем хищения носителей информации в момент их нахождения за пределами помещения, где расположена АС.

КНПИ 2-го класса – каналы, проявляющиеся в процессе обработки информации без доступа злоумышленника к элементам АС.

Сюда могут быть отнесены электромагнитные излучения различных устройств ЭВМ, аппаратуры и линий связи, паразитные наводки в цепях питания, телефонных сетях, системах теплоснабжения, вентиляции и канализации, шинах заземления, подключение к информационно-вычислительной сети генераторов помех и регистрирующей аппаратуры. К этому же классу может быть отнесен осмотр отходов производства, попадающих за пределы контролируемой зоны.

КНПИ 3-го класса – каналы, проявляющиеся безотносительно к обработке информации с доступом злоумышленника к элементам АС, но без изменения последних.

К ним относятся всевозможные виды копирования носителей информации и документов, а также хищение производственных отходов.

КНПИ 4-го класса – каналы, проявляющиеся в процессе обработки информации с доступом злоумышленника к элементам АС, но без изменения последних.

Сюда может быть отнесено запоминание и копирование информации в процессе обработки, использование программных ловушек, недостатков языков программирования и операционных систем, а также поражение программного обеспечения вредоносными закладками, маскировка под зарегистрированного пользователя.

КНПИ 5-го класса – каналы, проявляющиеся безотносительно к обработке информации с доступом злоумышленника к элементам АС и с изменением последних.

Среди этих каналов: подмена и хищение носителей информации и аппаратуры, включение в программы блоков типа «троянский конь», «компьютерный червь» и т.п., чтение остаточной информации, содержащейся в памяти, после выполнения санкционированных запросов.

КНПИ 6-го класса – каналы, проявляющиеся в процессе обработки информации с доступом злоумышленника к элементам АС и с изменением последних.

Сюда может быть отнесено незаконное подключение к аппаратуре и линиям связи, а также снятие информации на шинах питания различных элементов АС.