Построение модели информационной системы на основе модели угроз и уязвимостей

ПОДРАЗДЕЛ	УГРОЗА	УЯЗВИМОСТЬ
РАЗДЕЛ 1. Физическое воздействие человека, направленное на ИС
1.1 Воздействие на ресурс	1.1.1. Неавторизованное проникновение нарушителя внутрь охраняемого периметра (одного из периметров)	1 Отсутствие пропускной системы (системы контроля доступа) для персонала компании и разовых посетителей. 2 Система охраны объекта не отвечает современным требованиям или существуют способы несанкционированного доступа в охраняемую зону. 3 Пропускная система (система контроля доступа) не включает ограничение доступа в охраняемую зону по расписанию (установленным часам работы и дням недели). 4 Отсутствие процедуры предоставления доступа в КЗ во внеурочное время (выходные и праздничные дни, нерабочее время суток) в случае возникновения нештатной ситуации. 5 Отсутствие процедуры предоставления доступа в КЗ разовым посетителям и временным сотрудникам (гостевые пропуска, сопровождение, удаленное наблюдение). 6 Отсутствие системы разграничения физического доступа к ресурсам с ценной информацией для персонала (не выделены отдельно зоны безопасности для помещений с такими ресурсами). 7 Отсутствие регламента доступа в помещения с ресурсами, содержащими ценную информации. 8 Отсутствие контроля за персоналом, обслуживающим ресурсы с ценной информацией. 9 Отсутствие системы наблюдения (видеонаблюдения, сенсоры, …) за объектом (или существующая система не охватывает все важные объекты). 10 Данные, полученные от систем наблюдения, не хранятся длительное время. 11 Данные, полученные от систем наблюдения, не анализируются. 12 Отсутствие процедур досмотра вносимых и выносимых вещей (металлические предметы, электронное оборудование, химические вещества, крупногабаритный груз). 13 Отсутствие процедур регулярного пересмотра перечня лиц, имеющих доступ в помещения с ресурсами, содержащими ценную информацию. 14 Отсутствие регламента прекращения доступа в КЗ в случае увольнения. 15 Отсутствие у персонала уникальных визуальных идентификаторов, совмещенных с электронными ключами или картами доступа. 16 Охраняемая зона не разделена на сегменты доступа (проникновение внутрь КЗ означает получение доступа ко всем ресурсам).
1.1.10. Порча или злонамеренное изменение режимов работы оборудования	1 Отсутствие системы разграничения физического доступа к ресурсам с ценной информацией для персонала (не выделены отдельно зоны безопасности для помещений с такими ресурсами). 2 Отсутствие регламента доступа в помещения с ресурсами, содержащими ценную информацию. 3 Отсутствие контроля за персоналом, обслуживающим ресурсы с ценной информацией. 4 Отсутствие системы наблюдения (видеонаблюдения, сенсоры, …) за объектом (или существующая система не охватывает все важные объекты). 5 Отсутствие инструкций для персонала по использованию оборудования компании. 6 Отсутствие физической защиты беспроводных точек доступа и коммутационного оборудования. 7 Не используется опломбирование системных блоков.
1.1.14. Установка нарушителем устройств создания помех	1 Система охраны объекта не отвечает современным требованиям или существуют способы несанкционированного доступа в охраняемую зону. 2 Отсутствие системы разграничения физического доступа к ресурсам с ценной информацией для персонала (не выделены отдельно зоны безопасности для помещений с такими ресурсами). 3 Отсутствие регламента доступа в помещения с ресурсами, содержащими ценную информацию. 4 Отсутствие контроля за персоналом, обслуживающим ресурсы с ценной информацией. 5 Отсутствие системы наблюдения (видеонаблюдения, сенсоры, …) за объектом (или существующая система не охватывает все важные объекты). 6 Не осуществляются периодические проверки помещений с ресурсами, содержащими ценную информацию, на наличие технических средств разведки. 7 Отсутствие физической защиты беспроводных точек доступа и коммутационного оборудования. 8 Отсутствие инструкций для персонала по поддержанию информационной безопасности.
1.1.15 Разглашение или утрата атрибутов разграничения доступа (пропусков, идентификационных карточек)	1 Отсутствие процедур регулярного пересмотра перечня лиц, имеющих доступ в помещения с ресурсами, содержащими ценную информацию. 2 Отсутствие регламента прекращения доступа в КЗ в случае увольнения. 3 Отсутствие инструкций для персонала по соблюдению пропускного режима компании 4 Личные визуальные идентификаторы персонала не содержат хорошо различимые идентификационные данные. 5 Не осуществляются периодические проверки, принадлежит ли атрибут разграничения доступа авторизованному сотруднику (например соответствие фотографии и сотрудника).
1.2 Воздействие на канал связи	1.2.1 Повреждение кабелей	1 Силовые и телекоммуникационные кабели не разъединены (для уменьшения помех). 2 Критически важные телекоммуникационные кабели не продублированы. 3 Отсутствуют средства обнаружения несанкционированного подключения к кабельным системам (детекторы поля, анализаторы спектра, частотомеры, нелинейные локаторы, специализированные программно-аппаратные комплексы). 4 Критически важные телекоммуникационные кабели не защищены коробами. 5 Отсутствуют предупреждающие или пояснительные маркировки на кабелях для пользователей. 6 Отсутствие экранирования кабеля. 7 Критически важные телекоммуникационные кабели располагаются в общедоступных зонах. 8 Отсутствие инструкций и маркировок для обслуживающего персонала на кабелях и электронном оборудовании.
1.2.2 Несанкционированное подключение к кабельной линии	1 Отсутствуют средства обнаружения несанкционированного подключения к кабельным системам (детекторы поля, анализаторы спектра, частотомеры, нелинейные локаторы, специализированные программно-аппаратные комплексы). 2 Отсутствие экранирования кабеля. 3 Критически важные телекоммуникационные кабели располагаются в общедоступных зонах. 4 Отсутствие регулярных проверок кабельных систем на обнаружение устройств создания помех.
Раздел 2. Физические угрозы, направленные на ИС
2.1 Глобальное воздействие на ИС	2.1.1 Стихийное бедствие	Отсутствие систем резервирования.
2.1.2 Техногенная катастрофа	Отсутствие систем резервирования.
2.1.3 Военные действия	Отсутствие систем резервирования.
2.1.4 Террористический акт	Отсутствие систем резервирования.
2.2 Локальное воздействие на ИС	2.2.1 Пожар	1 Отсутствие систем резервирования. 2 Отсутствие противопожарной защиты 3 Не используются несгораемые шкафы 4 Огнеопасные материалы располагаются вблизи ресурсов с ценной информацией
2.2.2 Удар молнии	1 Отсутствие систем резервирования. 2 Не используется защита против удара молнии 3 Отсутствие заземления
2.2.3 Перекрестная наводка	1 Отсутствие экранирования. 2 Неправильная разводка силовых кабелей.
2.2.4 Отказ внешних источников энергоснабжения	1 Отсутствие систем резервирования. 2 Отсутствие дублирующих источников энергоснабжения 3 Не применяются источники. 4 Не производится регулярное обслуживание источников бесперебойного питания
2.2.5 Резкие колебания напряжения в сети	1 Отсутствие систем резервирования. 2 Не используются сетевые фильтры 3 Превышено допустимое количество потребителей электроэнергии.
2.2.7 Нарушение контура замкнутых систем вблизи объектов информационной системы	1 Отсутствие систем резервирования. 2 Ресурсы с ценной информацией расположены в непосредственной близости от замкнутых систем.
2.3. Угрозы, связанные с отказом оборудования	2.3.1 Потеря данных в результате отказа носителей данных.	1 Отсутствие систем резервирования. 2 Отсутствие инструкций для персонала по использованию ресурсов компании. 3 Не производится техническое обслуживание носителей данных
2.3.2 Дефектные носители данных	1 Не производится проверка носителей данных при приобретении 2 Отсутствие регламента приобретения нового оборудования.
2.3.3 Снижение надежности оборудования после истечения срока эксплуатации	1 Не производится своевременная замена оборудования. 2 Не производится регулярное техническое обслуживание оборудования. 3 Несоблюдение условий эксплуатации оборудования
2.3.4 Потеря данных в результате переполнения устройств хранения информации	1 Отсутствие систем резервирования. 2 Отсутствие инструкций для персонала по использованию ресурсов компании. 3 Не соблюдаются регулярные проверки наличия необходимого свободного места на устройстве хранения.
Раздел 3. Локальные программные угрозы, направленные на ресурс
3.1. На операционную систему	3.1.1. Эскалация привилегий пользователей при запуске эксплоитов, использующих локальные уязвимости операционной системы.	1 Не используются средства защиты программного стека от переполнения. 2 Отсутствие системы контроля целостности 3 Не производится регулярная установка обновлений для устранения известных уязвимостей. 4 Не производится регулярная проверка прав (привилегий) пользователей.
3.1.2 Локальные уязвимости операционной системы, не требующие запуска эксплоитов для реализации угрозы.	1 Не производится регулярная установка обновлений для устранения известных уязвимостей. 2 Не производится регулярная проверка прав (привилегий) пользователей. 3 Не производится мониторинг новых уязвимостей 4 Типовые ошибки при конфигурировании ОС.
3.1.3 Запуск файлов, содержащих вирусы, которые воздействуют на операционную систему	1 Типовые ошибки при конфигурировании ОС. 2 Отсутствие инструкций для персонала по антивирусной защите информационных ресурсов.
3.1.5 Модификация (подмена) компонентов операционной системы	1 Отсутствие инструкций для персонала по работе с информационной системой. 2 Отсутствие системы контроля целостности исполняемых файлов и системных библиотек ОС.
3.1.6 Отказ в обслуживании операционной системы	1 Отсутствие резервного копирования данных, обрабатываемых ОС, и настроек самой ОС с тем, чтобы иметь возможность развернуть работу ОС в резервном месте 2 Отсутствие систем восстановления ОС (носителей для восстановления). 3 Отсутствие процедур восстановления ОС. 4 На критичных объектах используются нестабильные ОС 5 Не используется система балансировки сетевой нагрузки.
3.2 На программное обеспечение	3.2.1 Эскалация привилегий пользователей при запуске эксплоитов, использующих уязвимости прикладного программного обеспечения	1 Отсутствие системы контроля целостности исполняемых файлов и системных библиотек ОС. 2 Отсутствие утвержденного перечня разрешенного к использованию прикладного ПО. 3 Отсутствие инструкций по тестированию и развертыванию в бизнес-среде прикладного ПО. 4 Не производится мониторинг новых уязвимостей и созданных эксплоитов 5 Не используются средства защиты программного стека от переполнения. 6 Не производится регулярная проверка прав (привилегий) пользователей
3.2.2 Локальные уязвимости прикладного программного обеспечения, не требующие запуска эксплоитов для реализации угрозы.	1 Не производится регулярная проверка прав (привилегий) пользователей 2 Не производится мониторинг новых уязвимостей 3 Отсутствие регулярного обновления версий прикладного ПО. 4 Отсутствие утвержденного перечня разрешенного к использованию прикладного ПО. 5 Отсутствие инструкций по тестированию и развертыванию в бизнес-среде прикладного ПО.
3.2.3 Открытие файлов, содержащих макровирусы (вирусы интерпретируемых сред).	1 Отсутствие инструкций для персонала по антивирусной защите информационных ресурсов. 2 Типовые ошибки в конфигурации интерпретаторов.
3.2.4 Модификация (подмена) прикладного программного обеспечения.	1 Отсутствие системы контроля целостности исполняемых файлов и библиотек прикладного ПО. 2 Отсутствие утвержденного перечня разрешенного к использованию прикладного ПО.
3.2.5 Отказ в обслуживании прикладного программного обеспечения.	1 Не используется система балансировки сетевой нагрузки. 2 Отсутствие утвержденного перечня разрешенного к использованию прикладного ПО. 3 Отсутствие инструкций по тестированию и развертыванию в бизнес-среде прикладного ПО. 4 Отсутствие систем восстановления рабочих конфигураций прикладного ПО. 5 Отсутствие процедур восстановления прикладного ПО. 6 На критичных объектах используется ненадежное прикладное ПО. 7 Невыполнение требований прикладного ПО к аппаратной конфигурации с учетом максимально возможной нагрузки.
3.3 На информацию, хранимую и обрабатываемую на ресурсе	3.3.1 Неавторизованная модификация информации в базе данных, хранящейся на ресурсе	1 Отсутствие систем резервирования. 2 Отсутствие инструкций для персонала по работе с ИС. 3 Отсутствие настроек СУБД, обеспечивающих безопасность транзакций. 4 Отсутствие журнала протокола транзакций. 5 Отсутствие авторизации для внесения изменений в СУБД 6 Отсутствие системы контроля целостности данных и СУБД. 7 Не используется блокирование рабочей станции (терминала) при простое.
3.3.4 Неавторизованное чтение конфиденциальной информации в базе данных, хранящейся на ресурсе	1 Не используется блокирование рабочей станции (терминала) при простое. 2 Отсутствие инструкций для персонала по работе с конфиденциальной информацией.
3.3.7 Потеря или нарушение целостности информации, хранящихся на ресурсе, в результате не правильного функционирования программного обеспечения.	1 Отсутствие систем резервирования. 2 Отсутствие системы контроля целостности данных. 3 Не производится тестирование ПО перед внедрением. 4 Не проводится регулярная проверка правильной работы ПО 5 Низкая квалификация системных администраторов.
3.3.9 Удаление нарушителем ценной информации, хранящейся в базе данных.	6 Отсутствие инструкций для персонала по работе с конфиденциальной информацией. 7 Отсутствие систем резервирования. 8 Отсутствие журнала протокола транзакций. 9 Не используется блокирование рабочей станции (терминала) при простое.
Раздел 4. Удаленные программные (логические) угрозы, направленные на ресурс
4.1. На операционную систему	4.1.1. Сбор информации об операционной системе («отпечатки» протоколов)	1 При использовании настроек сетевых протоколов по умолчанию ОС позволяет потенциальному нарушителю определить версию ОС, др. служебную информацию, представляющую интерес для нарушителя. 2 Отсутствие инструкций для администраторов по настройке ОС. 3 Не используется система обнаружения вторжений для раннего обнаружения атак и оперативной реакции на них.
4.1.2. Запуск эксплоитов, использующих удаленные уязвимости операционной системы (отказ в обслуживании, получение доступа с правами супер пользователя, выполнение произвольного кода на удаленном компьютере)	1 Не производится регулярная установка обновлений для устранения известных уязвимостей. 2 Не производится регулярная проверка прав (привилегий) пользователей. 3 Не используются средства защиты программного стека от переполнения. 4 Не используется система обнаружения вторжений для раннего обнаружения атак и оперативной реакции на них.
4.2. На сетевые службы	42.1 Отказ в обслуживании сетевой службы (внутренний сбой программного обеспечения)	1 Отсутствие утвержденного перечня разрешенного к использованию прикладного ПО. 2 Отсутствие инструкций по тестированию и развертыванию в бизнес-среде прикладного ПО. 3 Отсутствие систем восстановления рабочих конфигураций сетевых служб. Отсутствие инструкций для администраторов 4 Отсутствие инструкций для администраторов по настройкам конфигурации сетевой службы. 5 Отсутствие системы мониторинга работоспособности сетевых служб, работающих в режиме реального времени.
4.2.2 Запуск эксплоитов, использующих удаленные уязвимости сетевых служб (отказ в обслуживании).	1 Не производится регулярная установка обновлений для устранения известных уязвимостей. 2 Не используются средства защиты программного стека от переполнения. 3 Отсутствие утвержденного перечня разрешенного к использованию прикладного ПО. 4 Отсутствие инструкций по тестированию и развертыванию в бизнес-среде прикладного ПО. 5 Не используется система обнаружения вторжений для раннего обнаружения атак и оперативной реакции на них. 6 Отсутствие системы мониторинга работоспособности сетевых служб, работающих в режиме реального времени. 7 Отсутствие регулярной проверки сетевых служб на наличие уязвимостей, которые могут быть использованы при организации отказа в обслуживании.
4.2.6 Удаленный сбор информации о сетевых службах.	1 Отсутствие инструкций для администраторов по настройке конфигураций сетевых служб. 2 Сетевая служба предоставляет потенциальному нарушителю информацию о своей версии и текущей конфигурации.
Раздел 5. Программные (логические) угрозы, направленные на канал связи
5.1. На сетевое оборудование	5.1.2 Отказ в обслуживании на программном уровне	1 Отсутствие регулярного обновления версий ПО сетевого оборудования. 2 Отсутствие регулярных проверок состояния сетевого оборудования. 3 Типовые ошибки при конфигурировании ПО сетевого оборудования.
Раздел 6. Угрозы персонала
6.1. Физическое воздействие на человека	6.1.1. Недоступность информации в результате нетрудоспособности пользователей информационной системы	1 Отсутствие распределения атрибутов безопасности (ключи доступа, шифрование) между несколькими доверенными сотрудниками. 2 Выполнение важных операций одним доверенным сотрудником. 3 Отсутствие разделения административных обязанностей по управлению и поддержке различных сервисов.
6.1.2. Неправильное функционирование информационной системы в результате нетрудоспособности администраторов (отказ ОС, отказ ПО)	1 Отсутствие распределения атрибутов безопасности (ключи доступа, шифрование) между несколькими доверенными сотрудниками. 2 Отсутствие разделения административных обязанностей по управлению и поддержке различных сервисов. 3 Выполнение работ по администрированию (информационной системы или отдельных сервисов) одним сотрудником.
6.1.3. Снижение реакции на инциденты в области информационной безопасности в результате нетрудоспособности администратора.	1 Отсутствие распределения атрибутов безопасности (ключи доступа, шифрование) между несколькими доверенными сотрудниками. 2 Отсутствие разделения административных обязанностей по управлению и поддержке различных сервисов. 3 Выполнение работ по администрированию (информационной системы или отдельных сервисов) одним сотрудником.
6.2. Психологическое воздействие на человека	6.2.2 Подлог недостоверной информации в результате психологического воздействия сторонних лиц на сотрудников компании.	1 Отсутствие инструкций для персонала по работе с информацией ограниченного доступа. 2 Отсутствуют необходимые проверки сотрудников при приеме на работу (на предмет психологических отклонений). 3 Отсутствуют тренинги персонала по вопросам ИБ. 4 Отсутствие штатного психолога в компании. 5 Неблагоприятный психологический климат в компании, несоблюдение норм социальной и деловой этики. 6 Распределения атрибутов безопасности (ключи доступа, шифрование) между несколькими доверенными сотрудниками. 7 Разделения административных обязанностей по управлению и поддержке различных сервисов. 8 Выполнение важных операций несколькими доверенными сотрудниками.
6.2.3 Модификация (удаление) информации в результате психологического воздействия сторонних лиц на сотрудников компании	1 Отсутствие инструкций для персонала по работе с информацией ограниченного доступа. 2 Отсутствуют необходимые проверки сотрудников при приеме на работу (на предмет психологических отклонений). 3 Отсутствуют тренинги персонала по вопросам ИБ. 4 Отсутствие штатного психолога в компании. 5 Неблагоприятный психологический климат в компании, несоблюдение норм социальной и деловой этики. 6 Распределения атрибутов безопасности (ключи доступа, шифрование) между несколькими доверенными сотрудниками. 7 Разделения административных обязанностей по управлению и поддержке различных сервисов. 8 Выполнение важных операций несколькими доверенными сотрудниками.
6.2.4 Недоступность информации в результате нетрудоспособности пользователей информационной системы, владеющих данной информацией	1 Отсутствие распределения атрибутов безопасности (ключи доступа, шифрование) между несколькими доверенными сотрудниками. 2 Выполнение операций одним доверенным сотрудником. 3 Отсутствие разделения административных обязанностей по управлению и поддержке различных сервисов. 4 Отсутствие штатного психолога в компании.
6.3. Шпионаж	6.3.2 Модификация (удаление) информации сотрудниками компании.	1 Отсутствие штатного психолога в компании. 2 Неблагоприятный психологический климат в компании, несоблюдение норм социальной и деловой этики. 3 Распределения атрибутов безопасности (ключи доступа, шифрование) между несколькими доверенными сотрудниками. 4 Разделения административных обязанностей по управлению и поддержке различных сервисов. 5 Отсутствует адекватная оценка труда сотрудников. 6 Отсутствие соглашений о конфиденциальности. 7 Отсутствие нормативных документов, определяющих ответственность за разглашение конфиденциальной информации. 8 Неформальные отношения с недоверенными сотрудниками.
6.3.3 Подлог недостоверной информации сотрудниками компании	1 Отсутствие штатного психолога в компании. 2 Неблагоприятный психологический климат в компании, несоблюдение норм социальной и деловой этики. 3 Распределения атрибутов безопасности (ключи доступа, шифрование) между несколькими доверенными сотрудниками. 4 Разделения административных обязанностей по управлению и поддержке различных сервисов. 5 Отсутствует адекватная оценка труда сотрудников. 6 Отсутствие соглашений о конфиденциальности. 7 Отсутствие нормативных документов, определяющих ответственность за разглашение конфиденциальной информации. 8 Неформальные отношения с недоверенными сотрудниками.
6.3. Неумышленные действия	6.3.1. Нарушение конфиденциальности информации в результате неумышленных действий.	1 Отсутствие в компании системы защищенного документооборота. 2 Должностные инструкции не включают ответственность за неумышленные действия. 3 Отсутствие обязательного информирования персонала о нормативных документах, определяющих действия с конфиденциальной информацией. 4 Не выполняется регулярная проверка действующих прав пользователей на доступ к информационным ресурсам. 5 Отсутствие обязательной авторизации для доступа к конфиденциальной информации. 6 Отсутствие маркеров конфиденциальности (грифов) на документах, содержащих конфиденциальные сведения.
6.3.2. Неумышленное нарушение целостности (модификация) информации	1 Отсутствие систем резервирования. 2 Отсутствие систем контроля целостности. 3 Отсутствие в компании системы защищенного документооборота. 4 Должностные инструкции не включают ответственность за неумышленные действия. 5 Отсутствие обязательного информирования персонала о нормативных документах, определяющих действия с конфиденциальной информацией. 6 Не выполняется регулярная проверка действующих прав пользователей на доступ к информационным ресурсам. 7 Отсутствие обязательной авторизации для модификации конфиденциальной информации.

 

ВЫВОД

В данной лабораторной работе была построена модель информационной системы на основе модели угроз и уязвимостей. В качестве ресурса информационной системы был рассмотрен биллинговый сервер.

Рассмотрев перечень угроз, в качестве рекомендаций можно предложить:

1. Использовать резервное копирование данных;

2. Нанять на работу штатного психолога, для работы с персоналом;

3. Разработать должностные инструкции;

4. Определить порядок доступа к ресурсу;

5. Утвердить перечень разрешенного к использованию прикладного ПО;

6. Регулярное обновление ПО;

7. Ввести регулярную проверку прав (привилегий) пользователей;

8. Использовать систему обнаружения вторжений для раннего обнаружения атак и оперативной реакции на них.

9. Внедрить систему мониторинга работоспособности сетевых служб, работающих в режиме реального времени;

Данные рекомендации будут расширяться, опираясь на сферу деятельности ИС. Единственной угрозой, которая всегда будет присутствовать, является персонал. Персонал компании является довольно непредсказуемым даже при создании адекватной политики безопасности.