Тестирование безопасности ИС

Для эффективного определения уязвимостей систем могут быть использованы упреждающие методы – непосредственное тестирование и анализ уязвимостей. Методы тестирования уязвимостей включают:

- Автоматизированное сканирование уязвимостей с помощью специальных средств.

- Специализированные тесты и оценки безопасности.

- Тесты на проникновение.

Средства автоматизированного сканирования уязвимостей используются для сканирования группы узлов или сетей на известные уязвимые службы (например, узлы позволяющие анонимный доступ по FTP, свободная ретрансляция в sendmail). Несмотря на это необходимо отметить, что некоторые потенциальные уязвимости определенные автоматизированными средствами сканирования могут не представлять реальной опасности в контексте данного окружения системы. Для примера, некоторые из этих средств сканирования определяют рейтинг потенциальной уязвимости без учета конкретной среды и требований. Некоторые из уязвимостей, которые определяются средствами автоматизированного сканирования, могут в действительности не быть уязвимыми в данном конкретном приложении, но система настроена так потому, что этого требует среда. Таким образом, эти методы тестирования могут давать ложные срабатывания.

Специализированные тесты и оценка безопасности – другая техника, которая может быть использована для определения уязвимостей ИС в течение процесса оценки рисков. Процесс тестирования включает разработку и реализацию плана тестирования (например, тестовые сценарии, тестовые процедуры, и ожидаемые результаты тестов). Цель тестирования безопасности системы – оценить эффективность механизмов безопасности ИС такими, какими они применяются в операционной среде. Стремление – гарантировать, что используемые механизмы отвечают утвержденной спецификации безопасности для программного и аппаратного обеспечения и реализации политики безопасности организации или отвечают некоторым индустриальным или государственным стандартам.

ТЕСТИРОВАНИЕ БЕЗОПАСНОСТИ ИС

Тестирование на проникновение может использоваться для дополнения анализа механизмов безопасности, чтобы удостовериться, что ИС достаточно защищена. Тестирование на проникновение, когда используется в процессе оценки рисков, может быть использовано для демонстрации и оценки способностей ИС противостоять преднамеренным попыткам обхода системы безопасности. Цель – (1) тестирование ИС с точки зрения потенциального источника угрозы и (2) определения потенциальных недостатков в схеме защиты ИС.

ИДЕНТИФИКАЦИЯ УГРОЗ

Один из способов идентификации угроз – построение модели нарушителя. Данный подход используется в NIST 800-30 – “Risk Management Guide for Information Technology Systems”.

Таблица 1. Модель нарушителя в соответствии с NIST SP 800-30

Источник угрозы	Мотивация	Результат реализации угрозы (сценарии)
Хакер	Хулиганство, самоутверждение	Неавторизованный доступ к ИС с использованием известных уязвимостей ОС
Криминальные структуры	Получение финансовой информации	Проникновение в ИС с целью получения конфиденциальных данных

Аналогично производится идентификация уязвимостей.

Таблица 2-1. Модель уязвимостей в соответствии с NIST Sp 800-30

Уязвимость	Источник угрозы, использующей уязвимость	Пример реализации угрозы
Учетные записи уволенных сотрудников не удалены из системы	Уволенные сотрудники Администратор	Получение доступа к конфиденциальным данным компании
Межсетевой экран компании позволят входящие соединения по протоколу telnet, и на сервере АБВ не заблокирован гостевой доступ	Криминальные элементы (с намерением получить экономическую выгоду) со знанием или со способностью обнаружения уязвимости	Использование telnet на АБВ сервер и просмотр финансовых данных с гостевым доступом для получения преимущества в борьбе за поставки
Топология сети была оглашена.	Хакер, соперники предприятия.	Огласка топологии сети может повысить возможность реализации угроз на ее узлы.
Отсутствие должного обучения персонала	Руководство, служба безопасности, персонал	Отсутствие обучения персонала может повлиять на невыполнение инструкций и политик безопасности в результате чего может произойти утечка информации и т.д.

Существует следующая классификация угроз, предложенная компанией Digital Security.

 

ИДЕНТИФИКАЦИЯ УГРОЗ

В соответствии с этой схемой используется следующая модель угроз:

Таблица 2-2

Характер угрозы

Вид воздействия угрозы

Источник угрозы

Уязвимость

Актив, подвер-женнный угрозе

Угроза

предыдущаяследующа

МЕРЫ БЕЗОПАСНОСТИ

Меры безопасности включат в себя технические и нетехнические меры. Технические меры – меры безопасности, которые встраиваются в компьютерное аппаратное и программное обеспечение или прошивки (например, механизмы контроля доступа, механизмы идентификации и аутентификации, методы шифрования, программное обеспечение для обнаружения вторжений). Нетехнические меры – административные и операционные меры такие, как политики безопасности; операционные процедуры; и персональная безопасность, физическая безопасности и безопасность среды.

В таблице приводится список мер безопасности организованный по классам и семействам мер безопасности.

Таблица Меры безопасности

Класс Мер безопасности	Семейство Мер безопасности
Управление безопасностью	- Оценка рисков - Планирование безопасности - Приобретение систем и услуг - Анализ мер безопасности - Определение прав
Операционная безопасность	- Безопасность персонала - Физическая защита и защита среды - Планирование и функционирование бесперебойной работы - Управление конфигурацией - Поддержка программного и аппаратного обеспечения - Целостность системы и данных - Защита носителей информации - Реагирование на инциденты - Осведомление и тренировка по безопасности
Техническая безопасность	- Идентификация и аутентификация - Логический контроль доступа - Подотчетность (включая аудит журналов) - Защита систем и коммуникации

предыдущаяследующа