НАЦИОНАЛЬНЫЙ ИССЛЕДОВАТЕЛЬСКИЙ ЯДЕРНЫЙ УНИВЕРСИТЕТ МИФИ

Вечерний факультет

Кафедра 43 «Комплексной защиты объектов информатизации»

«Модели внешних нарушителей. Оснащение, тактика действий, мотивация»

Реферат

Выполнил:

Группа В9-43

Москва, 2011 г.

Содержание

1.  Термины и определения.

2.  Введение. Информационная безопасность.

3.  Модели нарушителей.

4.  Модели внешних нарушителей.

5.  Оснащение, тактика, мотивация.

6.  Список литературы.

1.

Информационная безопасность — это состояние защищённости информационной среды, защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение этого состояния.

Информационная безопасность организации — целенаправленная деятельность ее органов и должностных лиц с использованием разрешенных сил и средств по достижению состояния защищённости информационной среды организации, обеспечивающее её нормальное функционирование и динамичное развитие.

Информационная безопасность государства — состояние сохранности информационных ресурсов государства и защищенности законных прав личности и общества в информационной сфере.

Безопасность информации (данных) — состояние защищенности информации (данных), при котором обеспечены её (их) конфиденциальность, доступность и целостность.

2.

Примечательная особенность нынешнего периода - переход от индустриального общества к информационному, в котором информация становится более важным ресурсом, чем материальные или энергические ресурсы. Ресурсами, как известно, называют элементы экономического потенциала, которыми располагает общество и которое при необходимости могут быть использованы для достижения конкретной цели хозяйственной деятельности. Давно стали привычными и общеупотребительными такие категории, как материальные, финансовые, трудовые, природные ресурсы, которые вовлекаются в хозяйственный оборот, и их назначение понятно каждому. Но вот появилось понятие "информационные ресурсы", и хотя оно узаконено, но осознано пока еще недостаточно. Информационные ресурсы - отдельные документы и отдельные массивы, документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах). Информационные ресурсы являются собственностью, находятся в ведении соответствующих органов и организаций, подлежат учету и защите, так как информацию можно использовать не только для товаров и услуг, но и превратить ее в наличность, продав кому-нибудь, или, что еще хуже, уничтожить. Собственная информация для производителя представляет значительную ценность, так как нередко получение (создание) такой информации - весьма трудоемкий и дорогостоящий процесс. Очевидно, что ценность информации (реальная или потенциальная) определяется в первую очередь приносимыми доходами.

Особое место отводится информационным ресурсам в условиях рыночной экономики.

Важнейшим фактором рыночной экономики выступает конкуренция. Побеждает тот, кто лучше, качественнее, дешевле и оперативнее производит и продает. В сущности это универсальное правило рынка. И в этих условиях основным выступает правило: кто владеет информацией, тот владеет миром.

В конкурентной борьбе широко распространены разнообразные действия, направленные на получение (добывание, приобретение) конфиденциальной информации самыми различными способами, вплоть до прямого промышленного шпионажа с использованием современных технических средств разведки. Установлено, что 47% охраняемых сведений добывается с помощью технических средств промышленного шпионажа.

В этих условиях защите информации от неправомерного овладения ею отводится весьма значительное место. При этом "целями защиты информации являются: предотвращение разглашения, утечки и несанкционированного доступа к охраняемым сведениям; предотвращение противоправных действий по уничтожению, модификации, искажению, копированию, блокированию информации; предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы; обеспечение правового режима документированной информации как объекта собственности; защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах; сохранение государственной тайны, конфиденциальности документированной информации в соответствие с законодательством; обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологии и средств их обеспечения".

3.

Модель (образ) нарушителя представляет собой его комплексную характеристику, отражающую его возможное психологическое состояние, уровень физической и технической подготовленности, осведомленности, которая позволяет оценить степень его способности в практической реализации проникновения.

Как показывает опыт работы, нормальное безущербное функционирование системы защиты возможно при комплексном использовании всех видов защиты и четко спланированных действиях сил службы охраны по сигналам, получаемым от технических средств охранной сигнализации.

Охрана учреждения, как правило, является достаточно дорогостоящим мероприятием, поэтому при выборе уровня защиты целесообразно оценить возможные потери от "беспрепятственного" действия нарушителя и сравнить их с затратами на организацию охраны. Этот показатель является индивидуальным для каждого объекта и может быть оценен, как правило, весьма приближенно. Практика создания и эксплуатации комплексов технических средств охранной сигнализации показала, что в большинстве случаев для построения эффективной охраны требуется наличие комбинированных ТСОС, учитывающих возможность дублирования функций обнаружения на основе использования различных физических принципов действия средств обнаружения.

В основе эффективного противодействия угрозе проникновения нарушителя в охраняемые помещения лежит проведение априорных оценок:

- приоритетов в системе защиты;

- путей возможного проникновения нарушителей;

- информации, которой может располагать нарушитель об организации системы защиты предприятия;

- технических возможностей нарушителя и т. д., т. е. оценок совокупности количественных и качественных характеристик вероятного нарушителя.

Такая совокупность полученных оценок называется "моделью" нарушителя. Эта модель, наряду с категорией объекта, служит основой для выбора методов организации охраны объекта, определяет сложность и скрытность применяемых технических средств охранной сигнализации и телевизионного наблюдения, варианты инженерно-технической защиты, кадровый состав службы охраны и т. д.

По уровню подготовки и технической оснащенности "нарушителя" условно можно разделить на следующие типы:

- случайные;

- неподготовленные;

- подготовленные;

- обладающие специальной подготовкой и оснащенные специальными средствами обхода;

- сотрудники предприятия.

Наиболее распространенной "моделью" нарушителя является "неподготовленный нарушитель", т. е. человек, пытающийся проникнуть на охраняемый объект, надеясь на удачу, свою осторожность, опыт или случайно ставший обладателем конфиденциальной информации об особенностях охраны. "Неподготовленный нарушитель" не располагает специальными инструментами для проникновения в закрытые помещения и тем более техническими средствами для обхода охранной сигнализации. Для защиты от "неподготовленного нарушителя" часто оказывается достаточным оборудование объекта простейшими средствами охранной сигнализации и организация службы невооруженной охраны.

Более сложная "модель" нарушителя предполагает осуществление им целенаправленных действий, например, проникновение в охраняемые помещения с целью захвата материальных ценностей или получения информации. Для крупного учреждения наиболее вероятной "моделью" является хорошо подготовленный нарушитель, возможно действующий в сговоре с сотрудником или охранником. При этом возможны такие варианты проникновения, как:

- негласное проникновение одиночного постороннего нарушителя с целью кражи ценностей, для установки специальной аппаратуры или для съема информации;

- негласное проникновение нарушителя-сотрудника предприятия с целью доступа к закрытой информации;

- проникновение группы нарушителей в охраняемые помещения в нерабочее время путем разрушения инженерной защиты объекта и обхода средств охранной сигнализации;

- проникновение одного или группы вооруженных нарушителей под видом посетителей с целью силового захвата ценностей;

- вооруженное нападение на объект с целью захвата заложников, ценностей, получения важной информации или организации собственного управления.

Очевидно, "модель" нарушителя может предполагать и сразу несколько вариантов исполнения целей проникновения на объект.

Среди путей негласного проникновения нарушителя прежде всего могут быть естественные проемы в помещениях: двери, окна, канализационные коммуникации, кроме того непрочные, легко поддающиеся разрушению стены, полы, потолки. Поэтому при организации охранной сигнализации в охраняемом помещении в первую очередь должны быть установлены средства обнаружения для защиты окон и дверей. Обнаружение проникновения через стены, полы и потолки выполняют, как правило, СО, предназначенные для защиты объема помещения. Для усиления защиты окон и дверей широко используются металлические решетки и защитные жалюзи. Установка достаточно надежных решеток на окна может иногда позволить отказаться от установки на них средств охранной сигнализации. Однако часто наблюдалось, что неправильная конструкция решеток открывает дополнительные возможности для проникновения в здание. Например, защищая окна первого этажа, решетки могут облегчить доступ к окнам второго этажа.

Возможность проникновения на объект вооруженных нарушителей требует не только усиления вооруженной охраны, но и установки на входах обнаружителей оружия, оборудование особо ответственных рабочих мест сотрудников кнопками и педалями тревожного оповещения, а в ряде случаев и установки скрытых телекамер для наблюдения за работой сотрудников. Входы в хранилища ценностей должны оборудоваться специальными сейфовыми дверями с дистанционно управляемыми замками и переговорными устройствами.

Уровни технической оснащенности нарушителя и его знаний о физических принципах работы СО, установленных на объекте, определяют возможность и время, необходимое ему на преодоление средств инженерной защиты и обход сигнализационной техники. Наиболее эффективны СО, физический принцип действия и способ обхода которых нарушитель не знает. В этом случае вероятность его обнаружения приближается к единице.

В конечном счете, поскольку задачей системы охраны является оказание противодействий нарушителю в достижении его целей, при построении системы охраны в ее структуру закладывается принцип создания последовательных рубежей на пути движения нарушителя. Угроза проникновения обнаруживается на каждом рубеже и ее распространению создается соответствующая преграда. Такие рубежи располагаются последовательно от прилегающей к зданию территории до охраняемого помещения, сейфа. Эффективность всей системы защиты от несанкционированного проникновения будет оцениваться по минимальному значению времени, которое нарушитель затратит на преодоление всех зон безопасности. За это время, с вероятностью близкой к 1, должна сработать система охранной сигнализации. Сотрудники охраны установят причину тревоги и примут необходимые меры.

Если "модель" нарушителя рассматривает негласное проникновение в охраняемое помещение нарушителя-сотрудника, в состав средств охранной сигнализации необходимо включить устройства документирования работы средств обнаружения, чтобы фиксировать несанкционированные отключения каналов сигнализации. Обычно указывается время постановки и снятия с охраны помещения. Аппаратура документирования должна устанавливаться в специальном помещении, куда имеют доступ только начальник охраны или ответственный сотрудник службы безопасности.

Очевидно, что для разработки "модели" нарушителя применительно к некоторому объекту необходимо обобщение большого опыта как отечественной, так и зарубежной практики построения систем охраны объектов, аналогичных рассматриваемому. С течением времени "модель" нарушителя, а следовательно, и вся концепция охраны могут меняться. Отсюда следует вывод о необходимости периодического дополнения концепции охраны объекта, обновления системы инженерной защиты, системы охранной сигнализации, телевизионного наблюдения, системы контроля доступа и всех иных систем, рассматриваемых системной концепцией обеспечения безопасности.

4.

Нарушитель - это лицо, предпринявшее попытку выполнения запрещенных операций (действий) по ошибке, незнанию или осознанно со злым умыслом (из корыстных интересов) или без такового (ради игры или удовольствия, с целью самоутверждения и т. п.) и использующее для этого различные возможности, методы и средства. Злоумышленником принято называть нарушителя, намеренно идущего на нарушение из корыстных побуждений.

Внутренний нарушитель

Классификация внутренних нарушителей

Наибольшую опасность для инфромационной безопасности предприятия представляют его сотрудники, так как работая с информацией для служебного пользования, они имеют к ней доступ и поэтому могут нанести ущерб предприятию. У каждого такого случая есть свои особенности такие как: Умысел(специально или по неосторожности), корысть (была ли цель получения выгоды), Постановка задач (кто разработал план действий и была ли он), действия при невозможности (совершить действие опасное для информационной безопасности предприятия. Сотрудники подразделения информационной безопасности компании, могут спрогнозировать поведение нарушителя при невозможности осуществления попытки передачи информации. Кроме того, рассматривая средства защиты, всегда надо иметь в виду, против каких нарушителей эти средства действенны, а против каких — нет. Мы разделяем нарушителей на пять основных видов: неосторожные, манипулируемые, саботажники, нелояльные и мотивеируемые извне.

Неосторожные (халатные)

Создают угрозы безопасности не из умысла а по своей халатности. в основном они нарушают правила хранения конфиденциальной информации, действуя из лучших побуждений. Самые частые инциденты это вынос информации из офиса для работы с ней дома, в командировке и т. д.с дальнейшей утерей носителя или доступом членов семьи к этой информации. Ущерб от таких утечек может быть ничуть не меньше, чем от промышленных шпионов. Столкнувшись с невозможностью осуществить копирование информации такой нарушитель — обратится за помощью к коллегам или системному администратору, которые объяснят ему, что вынос этой информации за пределы офиса запрещен. Потому против таких нарушителей действенными являются простые технические средства предотвращения каналов утечек — контентная фильтрация исходящего трафика в сочетании с менеджерами устройств ввода - вывода.

Манипулируемые

Последние годы термин "социальная инженерия" чаще всего используется для описания различных типов мошенничества в Сети. Однако манипуляции используются не только для получения обманным путем персональной информации пользователей — паролей, персональных идентификационных номеров, реквизитов кредитных карт и адресов. Известный экс-хакер Кевин Митник считает, что именно социальная инженерия сегодня является "бичом" информационных систем. Примеры, которые приводит Митник в своей книге "Искусство обмана", показывают, например, что "добросовестная" секретарша может по просьбе злоумышленника "для надежности" продублировать почтовое сообщение, содержащее конфиденциальную информацию, на открытый почтовый ящик. Таким образом может быть осуществлена утечка. Другим примером манипулируемого сотрудника может служить сотрудник, начальник которого является злоумышленником и отдает этому сотруднику преступные приказы отправить в ненадлежащее место конфиденциальную информацию. И в том и в другом случае сотрудники, наткнувшись на невозможность совершить требуемое манипулятором, обратятся в службу поддержки. Поскольку манипулируемые и неосторожные сотрудники действуют из своего понимания "блага" компании (оправдываясь тем, что иногда ради этого блага нужно нарушить дурацкие инструкции, которые только мешают эффективно работать), два этих типа нарушителей иногда объединяют в тип "незлонамеренных". Как уже говорилось выше, ущерб не зависит от намерений, зато от намерений зависит поведение нарушителя в случае невозможности осуществить свое действие. Как лояльные сотрудники, эти нарушители, столкнувшись с техническим блокированием их попыток нарушить регламенты хранения и движения информации, обратятся за помощью к коллегам, техническому персоналу или руководству, которые могут указать им на недопустимость планируемых действий.

Саботажники (обиженные сотрудники)

Саботажники — это сотрудники, стремящиеся нанести вред компании из-за личных мотивов. Чаще всего мотивом такого поведения может быть обида из-за недостаточной оценки их роли в компании — недостаточный размер материальной компенсации, неподобающее место в корпоративной иерархии, отсутствие элементов моральной мотивации или отказ в выделении корпоративных статусных атрибутов (ноутбука, автомобиля, секретаря). Для оценки моделей поведения нарушителя отметим два ключевых отличия от других типов нарушителей — во-первых, сотрудник не собирается покидать компанию и, во- вторых, цель сотрудника — нанести вред, а не похитить информацию. То есть он стремится к тому, чтобы руководство не узнало, что утечка произошла из-за него, и, столкнувшись с технической невозможностью похитить какую-либо информацию, он может направить свою разрушительную энергию на что-нибудь другое, например на уничтожение или фальсификацию доступной информации, или похищение материальных ценностей. При этом сотрудник, исходя из собственных представлений о ценности информации и нанесенном вреде, определяет, какую информацию имеет смысл похитить и кому ее передать. Чаще всего это пресса или теневые структуры, соответственно для оглашения или шантажа. Примером реализации такой угрозы может служить передача экологической прессе данных о состоянии затопленных ядерных подводных лодок одним из сотрудников предприятия, ответственного за мониторинг этого состояния

Нелояльные

В последнее время также увеличилось количество инцидентов, связанных с похищением интеллектуальной собственности высокотехнологичных европейских и американских компаний стажерами из развивающихся стран, поэтому временных сотрудников иногда также относят к этому типу. По направленности угроза, исходящая от таких нарушителей, является ненаправленной — нарушители стараются унести максимально возможное количество доступной информации, часто даже не подозревая о ее ценности и не имея представления, как они ее будут использовать. К этому же типу мы относим и тех сотрудников, которые, решив сменить место работы, еще не сообщили об этом начальству и коллегам, и начавшие действовать в своих интересах в ущерб интересам компании. Самый частый способ получения доступа к информации или возможности ее скопировать, если они этой возможности не имеют, — это имитация производственной необходимости. От предыдущего типа нарушителей нелояльные отличаются в основном тем, что, похитив информацию, они не скрывают факта похищения. Более того, иногда похищенная информация используется как залог для обеспечения комфортного увольнения — с компенсацией и рекомендациями, либо – как способ повысить свою оценку новым работодателем, например, имея на руках клиентскую базу бывшего рекламодателя. Иногда получить контакты всех клиентов компании не так сложно, как кажется на первый взгляд. Конечно, в системах CRM и ERP она надежно защищена, и доступ к ней, особенно в консолидированном виде строго контролируется. Однако раз в год все контакты выгружаются в обычный файл Excel для рассылки новогодних поздравлений и этот файл хранится на локальном компьютере ассистента отдела маркетинга. Обычно это юная особа. Достаточно коробки конфет, чтобы втереться к ней в доверие. Но наибольшую опасность представляют не эти два типа нарушителей. Саботажники и нелояльные сотрудники все же сами определяют информацию для похищения и место ее "сбыта". Коммерческий директор, решивший уволиться, унесет с собой базу данных клиентов, но, возможно, он найдет работу в компании, напрямую не конкурирующей с нынешним работодателем. Переданная прессе саботажником информация может не оказаться сенсацией и не будет напечатана. Стажер, похитивший чертежи перспективной разработки, может не найти на них покупателя. Во всех этих случаях утечка информации не нанесет вреда владельцу. Наткнувшись на невозможность похитить информацию, нарушители вряд ли будут искать технический способ обойти защиту, к тому же, скорее всего, они не обладают должной технической подготовкой для этого. Однако если еще до похищения информации саботажник или нелояльный сотрудник выйдет на потенциального "покупателя" конкретной информации, будь то конкурент, пресса, криминальные структуры или спецслужбы, он становится самым опасным нарушителем — мотивированным извне. Теперь его дальнейшая судьба — работа, благосостояние, а иногда жизнь и здоровье напрямую зависят от полноты и актуальности информации, которую он сможет похитить.

Нарушители, мотивированные извне

Мотивированные извне — это сотрудники, цель которым определяет заказчик похищения информации. К этому типу сотрудников относят внедренных, то есть специально устроенных на работу для похищения информации, и завербованных, то есть сотрудников, изначально лояльных, но впоследствии подкупленных или запуганных. Опасность этого типа нарушителей заключается в том, что в случае технических ограничений на вынос информации за пределы корпоративной информационной сети "работодатели" могут снабдить их соответствующими устройствами или программами для обхода защиты.

Другие типы нарушителей

В эту классификацию не случайно не включена такая распространенная группа экономических преступников, как инсайдеры — сотрудники, передающие с целью получения выгоды внутреннюю корпоративную информацию, которая может повлиять на стоимость акций. Дело в том, что техническими и организационными мерами пресечь утечку информации, влияющей на стоимость ценных бумаг, практически невозможно. Эта информация обычно очень невелика, часто всего несколько цифр или одно предложение, и может даже не существовать в электронном виде. Например, это прибыль компании за какой-то период, разведанные запасы нефти, информация о предстоящем поглощении компании и т. п. В отличие от прессы, проверяющих органов и т. п., клиентам инсайдеров не нужны подтверждения в электронном виде. С технической точки зрения, пресечь вынос такой информации (например, названия вновь учреждаемой компании и даты запуска) за пределы компании "в оперативной памяти человеческого мозга" невозможно, для предотвращения таких утечек действует законодательно закрепленный запрет на использование инсайдерской информации при ценными бумагами
" href="/text/category/torgovlya_tcennimi_bumagami/" rel="bookmark">торговле ценными бумагами
. Поэтому данный тип нарушителей не принимается в предложенной классификации во внимание.

Классификация внешних нарушителей

Внешний нарушитель – нарушитель, не попадающий в определение «Внутренний нарушитель».

Модель нарушителей может иметь разную степень детализации.

Содержательная модель нарушителей отражает систему принятых руководством объекта, ведомства взглядов на контингент потенциальных нарушителей, причины и мотивацию их действий, преследуемые цели и общий характер действий в процессе подготовки и совершения акций воздействия.

Сценарии воздействия нарушителей определяют классифицированные типы совершаемых нарушителями акций с конкретизацией алгоритмов и этапов, а также способов действия на каждом этапе.

Математическая модель воздействия нарушителей представляет собой формализованное описание сценариев в виде логико-алгоритмической последовательности действий нарушителей, количественных значений, параметрически характеризующих результаты действий, и функциональных (аналитических, численных или алгоритмических) зависимостей, описывающих протекающие процессы взаимодействия нарушителей с элементами объекта и системы охраны. Именно этот вид модели используется для количественных оценок уязвимости объекта и эффективности охраны.

Под нарушителем в общем виде можно рассматривать лицо или группу лиц, которые в результате предумышленных или непредумышленных действий обеспечивает реализацию угроз информационной безопасности.

С точки зрения наличия права постоянного или разового доступа в контролируемую зону нарушители могут подразделяться на два типа:

нарушители, не имеющие права доступа в контролируемую зону территории (помещения) — внешние нарушители;

нарушители, имеющие право доступа в контролируемую зону территории (помещения) — внутренние нарушители.

Руководящим документом [2] в качестве нарушителя рассматривается субъект, имеющий доступ к работе со штатными средствами АС и СВТ.

Нарушители в указанном РД классифицируются по уровню возможностей, предоставляемых им штатными средствами АС и СВТ, подразделяются на четыре уровня.

Первый уровень определяет самый низкий уровень возможностей ведения диалога в АС — запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации.

Второй уровень определяется возможностью создания и запуска собственных программ с новыми функциями по обработке информации.

Третий уровень определяется возможностью управления функционированием АС, то есть воздействием на базовое программное обеспечение системы и на состав и конфигурацию ее оборудования. Четвертый уровень определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации.

При этом в своем уровне нарушитель является специалистом высшей квалификации, знает все об АС и, в частности, о системе и средствах ее защиты.

Так же, модель нарушителя можно представить так:

1) Разработчик;

2) Обслуживающий персонал (системный администратор, сотрудники обеспечения ИБ);

3) Пользователи;

4) Сторонние лица.

Модели злоумышленников подходящие под классификацию модели внешних нарушителей

Хакер-одиночка, обладающий стандартным персональным компьютером, с модемным (реже выделенным) выходом в Интернет. Данный тип злоумышленников обычно очень сильно ограничен в финансовом плане. Он необязательно обладает глубокими знаниями в области компьютерных технологий, чаще всего использует готовые компьютерные программы, доступные из Интернета, для реализации угроз через давно известные уязвимости. Вряд ли такой тип нарушителя обладает достаточными знаниями о построении информационной системы банка. Его действия больше носят экспериментальный характер, он не стремится получить доступ к определенной информации или модифицировать ее с целью извлечения выгоды. Ему просто интересно провести некоторые действия с информационной системой банка, недоступными и неиспользуемыми простыми пользователями Интернета. Характер действия -- скрытый, в меру своих способностей. Чаще всего останавливается после проведения первого успешного воздействия. Для борьбы с подобными "исследователями" администраторам безопасности необходимо четко выполнять правила, предписанные политикой безопасности организации. Устанавливать самые последние версии используемых программных продуктов и ОС, а также выпускаемые к ним патчи и расширения. Отслеживать публичные списки обнаруживаемых уязвимостей в аппаратных и программных продуктах известных производителей и совершать рекомендуемые действия для предотвращения реализации угроз с использованием обнаруженных уязвимостей.

Объединенная хакерская группа. Исследуемый тип злоумышленников достаточно скован в своих финансовых возможностях. Она еще не обладает вычислительными мощностями уровня крупного предприятия и подобным пропускным каналом в Интернет. Но обладание суммарными знаниями в области компьютерных технологий представляют большую опасность. Такие злоумышленники используют всевозможные приемы для организации сканирования информационных систем с целью выявления новых уязвимостей, применяются также методы реализации угроз через уже известные уязвимости. Они в состоянии написать программы, которые используют обнаруженные уязвимости: сетевые черви, вирусы, трояны и другие вредоносные программные средства. Для выполнения своих планов они могут встраивать вредоносные программы в вычислительные системы своих жертв. При использовании таких программ они могут получить доступ к большим компьютерным мощностям вычислительных сетей крупных научных или военных ведомств, а также к каналу с высокой пропускной способностью, который соединяет пораженную сеть (сети) с Интернетом. Описанные действия позволяют им производить мощные атаки на информационные системы в сети Интернет. Чаще всего они действуют целенаправленно и могут предпринимать определенные усилия для получения представления о принципах функционирования системы защиты банка. Спектр их действий - от подделки суммы на счете (модификация данных) до получения или уничтожения критичных данных по заказу. Планируя свои действия, группа предпринимает все возможные усилия для сокрытия факта несанкционированного доступа. Хакерская группа не останавливается до момента достижения поставленной цели или столкновения с непреодолимыми препятствиями для проведения дальнейшего вторжения. Для противостояния действиям подобных групп необходимо использовать последние достижения в области обеспечения информационной безопасности объекта.

Предприятие-конкурент. Данная модель включает в себя: собственные мощные вычислительные сети и каналы передачи данных с высокой пропускной способностью для выхода в Интернет; большие финансовые возможности; высокие знания компьютерных специалистов как самой компании, так и нанимаемых "под заказ". Возможны попытки подкупа сотрудников службы безопасности или иные действия из области социальной инженерии. Конкуренты могут предпринять серьезные усилия для получения сведений функционирования системы информационной защиты, в том числе внедрить своего представителя в службу безопасности. Среди целей могут быть: блокирование функционирования информационной системы конкурента, нанесение подрыва в имидже, деструктивные действия, направленные на причинение непоправимого ущерба конкуренту, вплоть до его разорения и банкротства. Для этого используются самые изощренные методы проникновения в информационные системы и воздействия на потоки данных в ней. Действия конкурентов могут носить как скрытый, так и открытый, демонстративный характер. При осуществлении своих намерений конкурирующая сторона бьется до победного конца. Служба безопасности должна быть начеку и сама вести наблюдение за компаниями, со стороны которых возможно проявление недобросовестной конкуренции. Может применяться сбор информации, другие разведывательные действия, подкуп и перевербовка сотрудников.

Коррумпированные представители различных структур ведомственного уровня, а также спецслужбы различных государств. Они обладают практически неограниченными вычислительными и финансовыми возможностями, самостоятельно регулируют и контролируют трафик в сети Интернет. На их службе состоят самые высокопрофессиональные компьютерные специалисты. В некоторых странах известны примеры, когда вместо тюремного заключения или после него известного хакера берут в службу национальной безопасности. Эти специалисты участвуют в разработке стандартов по безопасности информации, сетевых протоколов и досконально знают возможности и недостатки всех компьютерных технологий. В процессе сертификации вычислительной системы представители ведомственных органов могут получать достаточно полную информацию о ее построении. Цели, преследуемые такой группой, весьма разнообразны и их невозможно предугадать заранее. Подобные преступные элементы могут не утруждать себя сокрытием своих действий и, как уже говорилось, практически ничто неспособно их остановить. Они могут пользоваться поддержкой как законодательных, так и иных правовых актов, а также опекой органов исполнительной и судебной власти. Опасность может исходить и от спецслужб или разведывательных служб других государств, имеющих личные интересы в данном секторе экономики или оказывающих воздействие на различные направления деятельности государства. Что можно сказать о борьбе с этой группой... Требуется организация защиты информации на очень высоком уровне, что подразумевает существенные издержки. Кроме этого, требуется создавать собственные службы безопасности, оснащенные и обученные лучше ведомственных, но такой поворот событий чреват вступлением в открытое противостояние с этими органами.

Классификация нарушителей (разделение делается по целям, преследуемым злоумышленником):

хакеры - собственное удовлетворение, без материальной выгоды;

шпионы - получение информации, которая может быть использована для каких-либо политических целей;

террористы - с целью шантажа;

промышленные шпионы - кража промышленных секретов, материальная выгода конкурентов;

профессиональные преступники - получение личной финансовой выгоды.

Среди целей, преследуемых нарушителями, отмечаются:

·  любопытство;

·  вандализм;

·  месть;

·  финансовая выгода;

·  конкурентная выгода;

·  сбор информации;

·  военная или политическая выгода.

Для защиты вычислительных сетей от злоумышленного воздействия необходимо использовать программные и программно-аппаратные комплексы и системы обеспечения информационной безопасности. Для организации защиты от внешней потенциально враждебной информационной системы используются межсетевые экраны, системы построения виртуальных частных сетей (VPN), защищенные каналы передачи данных (протоколы SSL, SOCKS, IPsec), криптографические средства (ГОСТ, AES, RSA и др.), протоколы распределения ключей и сертификаты (Х.509, SKIP, ISAKMP, PKCS, PEM и др.), системы аутентификации пользователей (PAP, S/Key, CHAP) и удаленного доступа (TACACS и RADIUS).

5.

Современная ситуация в области информационной безопасности

Последнее время сообщения об атаках на информацию, о хакерах и компьютерных взломах наполнили все средства массовой информации. Что же такое «атака на информацию»? Дать определение этому действию на самом деле очень сложно, поскольку информация, особенно в электронном виде, представлена сотнями различных видов. Информацией можно считать и отдельный файл, и базу данных, и одну запись в ней, и целиком программный комплекс. И все эти объекты могут подвергнуться и подвергаются атакам со стороны некоторой “Социальной” группы лиц.

При хранении, поддержании и предоставлении доступа к любому информационному объекту его владелец, либо уполномоченное им лицо, накладывает явно либо самоочевидно набор правил по работе с ней. Умышленное их нарушение классифицируется как атака на информацию.

С массовым внедрением компьютеров во все сферы деятельности человека объем информации, хранимой в электронном виде вырос в тысячи раз. И теперь скопировать за полминуты и унести дискету с файлом, содержащим план выпуска продукции, намного проще, чем копировать или переписывать кипу бумаг. А с появлением компьютерных сетей даже отсутствие физического доступа к компьютеру перестало быть гарантией сохранности информации.

Каковы возможные последствия атак на информацию? В первую очередь, конечно, нас будут интересовать экономические потери:

Раскрытие коммерческой информации может привести к серьезным прямым убыткам на рынке;

Известие о раже большого объема информации обычно серьезно влияет на репутацию фирмы, приводя косвенно к потерям в объемах торговых операций;

Фирмы-конкуренты могут воспользоваться кражей информации, если та осталась незамеченной, для того чтобы полностью разорить фирму, навязывая ей фиктивные либо заведомо убыточные сделки;

Подмена информации как на этапе передачи, так и на этапе хранения в фирме может привести к огромным убыткам;

Многократные успешные атаки на фирму, предоставляющую какой-либо вид информационных услуг, снижают доверие к фирме у клиентов, что сказывается на объеме доходов.

Естественно, компьютерные атаки могут принести и огромный моральный ущерб. Понятие конфиденциального общения давно уже стало «притчей во языцех». Само собой разумеется, что никакому пользователю компьютерной сети не хочется, чтобы его письма кроме адресата получали еще 5-10 человек, или, например, весь текст, набираемый на клавиатуре ЭВМ, копировался в буфер, а затем при подключении к Интернету отправлялся на определенный сервер. А именно так и происходит в тысячах и десятках тысяч случаев.

Несколько интересных цифр об атаках на информацию. Основные причины повреждений электронной информации распределились следующим образом: неумышленная ошибка человека — 52% случаев, умышленные действия человека — 10% случаев, отказ техники — 10% случаев, повреждения в результате пожара — 15% случаев, повреждения водой — 10% случаев. Как видим, каждый десятый случай повреждения электронных данных связан с компьютерными атаками.

Кто был исполнителем этих действий: в 81 % случаев — текущий кадровый состав учреждений, только в 13% случаев — совершенно посторонние люди, и в 6% случаев — бывшие работники этих же учреждений. Доля атак, производимых сотрудниками фирм и предприятий, просто ошеломляет и заставляет вспомнить не только о технических, но и о психологических методах профилактики подобных действий.

И, наконец, что же именно предпринимают злоумышленники, добравшись до информации: в 44% случаев взлома были произведены непосредственные кражи денег с электронных счетов, в 16% случаев выводилось из строя программное обеспечение, столь же часто — в 16% случаев — производилась кража информации с различными последствиями, в 12% Случаев информация была сфальсифицирована, в 10% случаев злоумышленники с помощью компьютера воспользовались либо заказали услуги, к которым в принципе не должны были иметь доступа.

Категории информационной безопасности

Информация с точки зрения информационной безопасности обладает следующими категориями:

конфиденциальность — гарантия того, что конкретная информация доступна только тому кругу лиц, для кого она предназначена; нарушение этой категории называется хищением либо раскрытием информации;

целостность — гарантия того, что информация сейчас существует в ее исходном виде, то есть при ее хранении или передаче не было произведено несанкционированных изменений; нарушение этой категории называется фальсификацией сообщения;

аутентичность — гарантия того, что источником информации является именно то лицо, которое заявлено как ее автор; нарушение этой категории также называется фальсификацией, но уже автора сообщения;

апеллируемость — довольно сложная категория, но часто применяемая в электронной коммерции — гарантия того, что при необходимости можно будет доказать, что автором сообщения является именно заявленный человек, и не может являться никто другой; отличие этой категории от предыдущей в том, что при подмене автора, кто-то другой пытается заявить, что он автор сообщения, а при нарушении апеллируемости сам автор пытается «откреститься» от своих слов, подписанных им однажды.

В отношений информационных систем применяются иные категории:

надежность — гарантия того, что система ведет себя в нормальном^ и внештатном режимах так, как запланировано;

точность - гарантия точного и полного выполнения всех команд;

контроль доступа - гарантия того, что различные группы лиц имеют различный доступ к информационным объектам, и эти ограничения доступа постоянно выполняются;

контролируемость — гарантия того, что в любой момент может быть произведена полноценная проверка любого компонента программного комплекса;

контроль идентификации — гарантия того, что клиент, подключенный в данный момент к системе, является именно тем, за кого себя выдает;

устойчивость к умышленным сбоям - гарантия того, что при умышленном внесении ошибок в пределах заранее оговоренных норм система будет вести себя так, как оговорено заранее.

Наиболее распространенные методы «взлома»

Комплексный поиск возможных методов доступа

Злоумышленники исключительно тщательно изучают системы безопасности перед проникновением в нее. Очень часто они находят очевидные и очень простые методы «взлома» системы, которые создатели просто «проглядели», создавая возможно очень хорошую систему идентификации или шифрования.

Обратимся к наиболее популярным и очевидным технологиям несанкционированного доступа. Рассмотрением их мы не должны пренебрегать по очень простому правилу: «прочность цепи не выше прочности самого слабого ее звена». Эта аксиома постоянно цитируется; когда речь идет о компьютерной безопасности. Например, как бы ни была прочна система, если пароль на доступ к ней лежит в текстовом файле в центральном каталоге или записан на экране монитора — это уже не конфиденциальная система. А примеров, в которых разработчики системы защиты забывают или просто не учитывают какие-либо примитивнейшие методы проникновения в систему, можно найти сотни.

Например, при работе в сети Internet не существует надежного автоматического подтверждения того, что данный пакет пришел именно от того отправителя» (IP-адреса), который заявлен в пакете. А это позволяет даже при применении самого надежного метода идентификации первого пакета подменять все остальные, просто заявляя, что все они пришли тоже с этого же самого IP-адреса.

Примерно та же проблема существует в сети Novell NetWare — в ней сервер может поддерживать одновременно до 254 станций, и при этом при наличии мощной системы идентификации аутентификация пакета ведется только по номеру станции. Это позволяло проводить следующую атаку — в присутствии в сети клиента-супервизора злоумышленнику достаточно послать 254 пакета с командой серверу, которую он хочет исполнить, перебрав в качестве псевдоотправителя все 254 станции. Один из отправленных пакетов совпадет с номером соединения, на котором сейчас действительно находится клиент-супервизор, и команда будет принята сервером к исполнению, а остальные 253 пакета просто проигнорированы.

А в отношении шифрования — мощного средства защиты передаваемой информации от прослушивания и изменения — можно привести следующий метод, неоднократно использованный на практике. Действительно злоумышленник, не зная пароля, которым зашифрованы данные или команды, передаваемые по сети, не может прочесть их или изменить. Но если у него есть возможность наблюдать, что происходит в системе после получения конкретного блока данных (например, стирается определенный файл или выключается какое-либо аппаратное устройство), то он может, не раскодируя информацию, послать ее повторно и добьется результатов, аналогичных команде супервизора.

Все это заставляет разработчиков защищенных систем постоянно помнить и о самых простых и очевидных способах проникновения в систему и предупреждать их в комплексе.

Терминалы защищенной информационной системы

Терминалы — это точки входа пользователя в информационную сеть. В том случае, когда к ним имеют доступ несколько человек или вообще любой желающий, при их проектировании и эксплуатации необходимо тщательное соблюдение целого комплекса мер безопасности.

Несмотря на самоочевидность, все-таки наиболее распространенным способом входа в систему при атаках на информацию остается вход через официальный log-in запрос системы. Вычислительная техника, которая позволяет произвести вход в систему, называется в теории информационной безопасности терминалом. Терминология восходит ко временам супер-ЭВМ и тонких «терминальных» клиентов. В случае если система состоит всего из одного персонального компьютера, то он одновременно считается и терминалом и сервером. Доступ к терминалу может быть физическим, в том случае, когда терминал — это ЭВМ с клавиатурой и дисплеем, либо удаленным — чаще всего по телефонной линии (в этом случае терминалом является модем, подключенный либо непосредственно к системе, либо к ее физическому терминалу).

При использовании терминалов с физическим доступом необходимо соблюдать следующие требования:

Защищенность терминала должна соответствовать защищенности помещения: терминалы без пароля могут присутствовать только в тех помещениях, куда имеют доступ лица соответствующего или более: высокого уровня доступа. Отсутствие имени регистрации возможно только в том случае, если к терминалу имеет доступ только один человек, либо если на группу лиц, имеющих к нему доступ, распространяются общие меры ответственности. Терминалы, установленные в публичных местах должны всегда запрашивать имя регистрации и пароль.

Системы контроля за доступом в помещение с установленным терминалом должны работать полноценно и в соответствии с общей схемой доступа к информации.

В случае установки терминала в местах с большим скоплением народа клавиатура, а если необходимо, то и дисплей должны быть оборудованы устройствами, позволяющими видеть их только работающему в данный момент клиенту (непрозрачные стеклянные или пластмассовые ограждения, шторки, «утопленная» модель клавиатуры).

При использовании удаленных терминалов необходимо соблюдать следующие правила:

Любой удаленный терминал должен запрашивать имя регистрации и пароль. Того, что якобы никто не знает шестизначного номера вашего служебного модема, отнюдь не достаточно для конфиденциальности вашей системы. Все дело в том, что при наличии программного обеспечения, которое не составит труда найти в сети Интернет, и тонового набора для одного звонка достаточно 4 секунд. Это означает, что за 1 минуту можно перебрать около 15 номеров телефонной станции с тем, чтобы узнать существует ли на этом телефонном номере модем. За час таким образом можно перебрать 1000 номеров, а за рабочий день с повтором в ночное время (это стандартная методика) — всю АТС (10.000 номеров). Подобные операции производятся довольно часто, особенно в отношении фирм, связанных с компьютерами и компьютерными сетями, а также в отношении промышленных предприятий.

Вторым требованием является своевременное отключение всех модемов, не требующихся в данный момент фирме (например, по вечерам, либо во время обеденного перерыва), либо не контролируемых в данный момент вашими сотрудниками.

По возможности рекомендуется использовать схему возвратного звонка от модема, поскольку она гарантирует с уровнем надежности АТС то, что удаленный клиент получил доступ с определенного телефонного номера.

Из log-in запроса терминала рекомендуется убрать все непосредственные упоминания имени фирмы, ее логотипы — это не позволит компьютерным вандалам, просто перебирающим номера с модемами, узнать login экран какой фирмы они обнаружили. Для проверки правильности соединения вместо имени фирмы можно использовать неординарную приветственную фразу, какой-либо афоризм либо просто фиксированную последовательность букв и цифр, которые будут запоминаться у постоянных операторов этого терминала.

Также на входе в систему рекомендуется выводить на экран предупреждение о том, что вход в систему без полномочий на это преследуется по закону. Во-первых, это послужит ещё одним предостережением начинающим злоумышленникам, а во-вторых, будет надежным аргументом в пользу атакованной фирмы в судебном разбирательстве, если таковое будет производиться.

Безотносительно от физического или коммутируемого доступа к терминалу, линия, соединяющая терминал (коммутируемый, либо установленный в публичном месте) с зоной ядра информационной системы должна быть защищена от прослушивания, либо же весь обмен информацией должен вестись по конфиденциальной схеме идентификации и надежной схеме аутентификации клиента — этим занимаются криптосистемы.

Дальнейшие действия взломщика, получившего доступ к терминальной точке входа; могут развиваться по двум основным направлениям:

а) попытки выяснения пароля прямо или косвенно;

б) попытки входа в систему, совершенно без знания пароля, основываясь на ошибках в реализации программного или аппаратного обеспечения.

Звонок администратору — злоумышленник выбирает из списка сотрудников того, кто не использовал пароль для входа в течение нескольких дней (отпуск, отгулы, командировка) и кого администратор не знает по голосу. Затем следует звонок с объяснением ситуации о забытом пароле, искренние извинения, просьба зачитать пароль, либо сменить его на новый. Больше чем в половине случаев просьба будет удовлетворена, а факт подмены будет замечен либо с первой неудачной попыткой зарегистрироваться истинного сотрудника, либо по произведенному злоумышленником ущербу.

Почти такая же схема, но в обратную сторону может быть разыграна злоумышленником в адрес сотрудника фирмы — звонок от администратора. В этом случае он представляется уже сотрудником службы информационной безопасности и просит назвать пароль либо из-за произошедшего сбоя в базе данных, либо якобы для подтверждения личности самого сотрудника по какой-либо причине (рассылка особо важных новостей), либо по поводу последнего подключения сотрудника к какому-либо информационному серверу внутри фирмы. Фантазия в этом случае может придумывать самые правдоподобные причины, по которым сотруднику «просто необходимо» вслух назвать пароль. Самое неприятное в этой схеме то, что если причина запроса пароля придумана, что называется «с умом», то сотрудник повторно позвонит в службу информационной безопасности только через неделю, месяц, если вообще это произойдет. Кроме того, данная схема может быть проведена и без телефонного звонка — по электронной почте, что неоднократно и исполнялось якобы от имени почтовых и Web-серверов в сети Интернет.

Оба данных метода относятся к группе «атака по социальной психологии» и могут принимать самые разные формы. Их профилактикой может быть только тщательное разъяснение всем сотрудникам, в особо важных случаях введение административных мер и особого регламента запроса и смены пароля.

Необходимо тщательно инструктировать сотрудников об опасности оставления рабочих станций, не закрытых паролем. В первую очерёдь это, конечно, относится к терминалам, работающим в публичных местах и офисах с более низким уровнем доступа к информации, однако, и при работе в помещениях с равным уровнем доступа не рекомендуется давать возможность сотрудникам работать за другими ЭВМ тем более в отсутствие владельца. В качестве программных профилактических мер используются экранные заставки с паролем, появляющиеся через 5-10 минут отсутствия рабочей активности, автоматическое отключение сервером клиента через такой же промежуток времени. От сотрудников должны требоваться разрегистрация как на серверах, так и на рабочих станциях при выключении ЭВМ, либо закрытие их паролем при оставлении без присмотра.

Большое внимание следует уделять любым носителям информации, покидающим пределы фирмы. Наиболее частыми причинами этого бывают ремонт аппаратуры и списание технологически устаревшей техники. Необходимо помнить, что на рабочих поверхностях носителей даже в удаленных областях находится информация, которая может представлять либо непосредственный интерес, либо косвенно послужить причиной вторжения в систему. Так, например, при использовании виртуальной памяти часть содержимого ОЗУ записывается на жесткий диск, что теоретически может привезти даже к сохранению пароля на постоянном носителе (хотя это и маловероятно). Ремонт, производимый сторонними фирмами на месте, должен производится под контролем инженера из службы информационной безопасности. Необходимо помнить, что при нынешнем быстродействии ЭВМ копирование файлов производится со скоростью, превышающей мегабайт в секунду, а установить второй жесткий диск для копирования в момент ремонта без надзора специалиста можно практически незаметно. Все носители информации, покидающие фирму должны надежно чиститься либо уничтожаться механически (в зависимости от дальнейших целей их использования).

Немного слов о защищенности самих носителей информации. На сегодняшний день не существует разумных по критерию «цена/надежность» носителей информации, не доступных к взлому. Строение файлов, их заголовки и, расположение в любой операционной системе может быть прочитано при использовании соответствующего программного обеспечения. Практически невскрываемым может быть только энергонезависимый носитель, автоматически разрушающий информацию при попытке несанкционированного подключения к любым точкам, кроме разрешенных разъемов, желательно саморазрушающийся при разгерметизации, имеющий внутри микропроцессор, анализирующий пароль по схеме без открытой передачи. Однако, все это из области «сумасшедших» цен и военных технологий.

Для бизнес-класса и частной переписки данная проблема решается гораздо проще и дешевле — с помощью криптографии. Любой объем информации от байта до гигабайта, будучи зашифрован с помощью более или менее стойкой криптосистемы, недоступен для прочтения без знания ключа. И уже совершенно не важно, хранится он на жестком диске, на дискете или компакт-диске, не важно под управлением какой операционной системы. Против самых новейших технологий и миллионных расходов здесь стоит математика, и этот барьер до сих пор невозможно преодолеть. Вот почему силовые ведомства практически всех стран, будучи не в состоянии противостоять законам математики, применяют административные меры против так называемой «стойкой криптографии». Вот почему ее использование частными и юридическими лицами
без лицензии Федерального Агентства по Связи и Информации (ФАПСИ), входящего в структуру одного из силовых ведомств государства, запрещено и у нас в России.

Анализ тактики действий нарушителя

Есть ли разница между действиями нарушителя и проектировщика системы безопасности? Несомненно. Нарушитель знает (или может узнать) о системе защиты все (или почти все), а проектировщик не знает о нарушителе практически ничего…

Кто победит?

Нарушитель (или сотрудник объекта) решил совершить преступление: похитить один из охраняемых предметов защиты. Он взвешивает все «за» и «против». Оценивает уровень системы безопасности, свои умения и возможности. Возможный срок в тюрьме. Надежность партнеров. Прогнозируемую материальную выгоду. Выбирает самую эффективную тактику действий. И лишь после этого принимает решение.

Проектировщик защитной системы соблюдает требования по проектированию. Операционная система должна быть Windows NT. Дверь в хранилища материальных ценностей – 10-го класса защиты и оборудована двумя замками класса В. При входе в здание – шлюзовая кабина не ниже 3-го класса. На компьютерах необходимо установить систему защиты информации Secret-Net. Дисководы у пользователей должны быть сняты…

Вот здесь-то и начинается дуэль с человеком-невидимкой. Проектировщик не знает, когда нарушитель начнет свою акцию, какую тактику применит, как будет заметать следы. Он действует в рамках априори неполной информации. Поэтому составляет модель нарушителя, которая носит в основном описательный характер и служит лишь для систематизации действий проектировщика – надо хотя бы примерно представлять, от кого защищаемся. Моделей проектировщик делает несколько. Если их будет 100 или 200, систему защиты построить будет просто невозможно.

Кроме того, при этом часто не учитывается возможность сговора внешнего нарушителя с персоналом – внутренний нарушитель по модели проектировщика обычно действует один. Да и достаточно сложно анализировать сговор сотрудников при построении системы защиты. В то же время проведенный экспертный опрос ряда сотрудников банков показал, что обычно в преступной акции участвует несколько сотрудников объекта либо сотрудники действуют в сговоре с внешними нарушителями.

Действительно, одному сотруднику чаще всего невозможно похитить материальные или информационные ресурсы объекта. От этого надежно защищает система многоуровневого учета (каждый ответственен только за часть операции, например по выносу материальных ценностей: часовой, материально-ответственное лицо, бухгалтер). Однако если все элементы цепи учета вовлечены в преступную деятельность, система безопасности оказывается бессильна. Здесь может помочь только аудит, но он проходит 1 раз в 2–3 года, что зачастую оказывается недостаточным.

Внешний или внутренний нарушитель в настоящее время не склонен к геройским поступкам, например к вооруженным нападениям. Такие действия являются достаточно рискованными, кроме того, они строго уголовно наказуемы. Гораздо проще договориться с сотрудником объекта, который «случайно» не заметит несанкционированные действия нарушителя.

Все это говорит о том, что проектирование системы защиты должно учитывать тактику действий нарушителя.

Секреты анализа

Тактических приемов в действиях нарушителя существует великое множество, и разрабатывать систему защиты или методику действий от каждого из них весьма проблематично. Даже технически совершенная система защиты (правильно расположенные датчики, телекамеры и пр.) не всегда способна обеспечить безопасность объекта на все 100%. Сотрудник, отвечающий за определенный участок технических средств охраны (ТСО), может их отключить на время действия нарушителя, специалист из отдела ТСО может «неправильно» откалибровать детектор металла – и на объект будет пронесено оружие и т. д. Построить систему защиту, спрогнозировав все тактические ухищрения, также невозможно, поскольку универсальной системы не существует. Что же делать?

Очевидно, что необходимо проанализировать возможные последовательности действий нарушителя, приводящие к успешной реализации преступной акции. Нарушитель старается минимизировать риск акции – следовательно, он попытается вывести из строя (нейтрализовать) те элементы защиты, которые препятствуют ему «незаметно» совершить акцию. К таким элементам можно отнести сотрудников, технические средства защиты, физические барьеры, алгоритмы работы системы контроля и управления доступом и просто любую информацию о системе защиты, которая поможет злоумышленникам снизить защищенность охраняемых ценностей при нападении. На какие-либо из этих элементов будут направлены действия нарушителей. Но защищать все элементы экономически невыгодно. Как же определить те из них, на которые в первую очередь будут направлены действия нарушителей?

Критические элементы системы защиты

Введем понятие критического элемента системы защиты (КЭ). Это – информация, техническое устройство, человек, физический барьер, знания о которых (или о слабых местах которых) позволят нарушителю снизить защищенность охраняемых ценностей при реализации акции.

С точки зрения нарушителя можно выделить несколько категорий КЭ:

1. Информация о возможных КЭ и их слабых местах, полученная технических путем, – взлом баз данных, наблюдение и т. д.

2. Информация, полученная от сотрудников – об объекте, местах хранения охраняемых ценностей, графике выдвижения сил охраны, информация о слабых местах сотрудников отдела безопасности.

3. Технические средства доступа, настройки которых можно изменить, что приведет к снижению их функциональных возможностей по обеспечению защиты.

4. Слабые физические барьеры.

5. Сотрудники, которые могут оказать техническую помощь внешнему нарушителю при совершении акции.

6. Сотрудники, которые в силу своих служебных полномочий могут в сговоре совершить «незаметное» хищение.

7. Недостаточно продуманные организационные меры, что позволяет «незаметно» вынести ценности с объекта.

Нарушитель совершает акцию, когда он знает (или уверен, что знает) все о системе защиты и у него есть тактика действий, позволяющая реализовать преступный замысел. Для того чтобы обеспечить противодействие его планам и выбрать оптимальную стратегию защиты, необходимо анализировать (предугадывать) возможные действия нарушителя.

Введем два понятия: локальная тактика и конечная тактика.

Под локальной тактикой понимается единичное действие нарушителя по блокированию, нейтрализации некоего КЭ, направленное на достижение основной цели, т. е. хищение охраняемых ценностей или причинение ущерба объекту и персоналу.

Конечной тактикой назовем совокупность локальных тактик, позволяющих совершить преступную акцию.

Рассмотрим возможные стратегии защиты на основе анализа тактик нарушителя:

1. Метод частотного анализа тактик нарушителя. Определить наиболее вероятные тактики действий нарушителей. Выделить КЭ, наиболее часто встречающиеся в тактиках. Проранжировать их по частоте. Обеспечить адекватную защиту наиболее часто встречающихся КЭ, снизив тем самым вероятность преступной акции.

2. Ранговый метод выделения основных КЭ. Определить локальные тактики нарушителя. Выделить КЭ, воздействие на которые может наибольшим образом снизить защищенность объекта. Проранжировать их по степени потенциальной уязвимости. Обеспечить защиту наиболее уязвимых мест.

3. Частотный метод выделения совокупности КЭ. Определить конечные тактики нарушителя. Выделить минимальные совокупности КЭ, снижающие до нуля эффективность защиты. Проранжировать КЭ по частоте и степени потенциальной уязвимости. Обеспечить защиту в соответствии с рангами.

Первый метод является достаточно трудоемким и требует длительных вычислений. Кроме того, без наличия специального программного обеспечения он может даже привести к лишним экономическим затратам, поскольку не будут проанализированы все тактики нарушителя и в системе безопасности объекта останутся уязвимые места.

Однако остальные методы можно применить без использования специального программного обеспечения. Рассмотрим эти методы более подробно.

Ранговый метод выделения основных КЭ

Для выделения КЭ необходимо определить локальные тактики действия нарушителя.

Большинство локальных тактик можно получить из анализа нормативных и руководящих документов (требования МВД к оснащению объектов, ведомственная инструкция по эксплуатации ИТСО, требования к проверке персонала и т. д.).

Некоторые из локальных тактик представлены в табл. 1.

Таблица 1. Локальные тактики действия нарушителей и способы защиты от них

Помимо анализа документов, для составления такой таблицы необходимо привлекать сотрудников службы безопасности, хорошо знающих специфику объекта.

После составления перечня КЭ проводится их ранжирование. Критерием ранжирования могут быть текущая защищенность данного КЭ, его важность в плане обеспечения защиты.

Для комплексного определения ранга можно использовать метод свертки. Данный метод используется, когда есть несколько показателей и необходимо получить интегральный показатель. Введем два показателя: важность элемента (что даст нарушителю данный КЭ) и его защищенность. В табл. 2 и 3 приводятся примеры рангов по оценке КЭ по 5-балльной шкале.

Таблица 3. Пример ранжирования защищенности КЭ

Оценить общую защиту каждого элемента можно, разделив важность на защищенность. Если интегральный коэффициент составляет от 0,7 до 1, можно считать этот элемент некритическим, если ниже 0,7 – незначимым для нарушителя, если выше 1 – критическим.

Составив перечень локальных тактик и определив для них ранги, можно получить их интегральные показатели и отсортировать их по возрастанию.

После ранжирования определяется последовательность модернизации КЭ. Очередность модернизации определяется рангом, стоимостью модернизации и наличием необходимых средств. Ранг не всегда является определяющим фактором. Например, в настоящее время на объекте может не быть необходимых средств для защиты самого важного КЭ. Тогда необходимо защищать следующие по важности элементы. Существуют и такие элементы, защитить которые практически невозможно – например, время выдвижения сил охраны. А вот защитить пароли можно достаточно просто: менять их 1 раз в 2 недели, учитывая при этом, что пароль должен состоять из случайной последовательности символов, а компьютеры должны располагаться в закрытых помещениях.

Метод выделения совокупности КЭ (на примере сговора)

При организации защиты от различных тактик нарушителя более целесообразным, хотя и более сложным, является анализ последовательности действий нарушителя или совокупности КЭ, «отказ» которых позволит беспрепятственно совершить преступление. Примеры приведены в табл. 4.

Таблица 4. Примеры совокупности КЭ для совершения преступного действия

После определения последовательности или перечня КЭ определяются наиболее часто используемые из них. Например, известно, что разработчик АБС может участвовать во многих операциях по снятию электронных денег. В связи с этим необходимо предусмотреть ряд мер защиты: запретить модификацию кода программы, замену файлов без наблюдения и записи изменений, проверять текст программы на возможные закладки (наличие явных дат в тексте программы – для срабатывания по таймеру, текстовых переменных в виде фамилий – для создания счета балластного клиента и т. д.).

Чем чаще встречается один КЭ в различных преступных действиях, тем больше необходимо предпринимать мер по его защите от неадекватных действий.

Рассмотренный анализ при создании систем защиты необходимо проводить несколько раз: при первичном проектировании, составлении списка должностных полномочий сотрудников, правил работ, переконфигурации системы защиты и ее элементов, изменении проектных угроз (например, появляются новые средства взлома, новые средства копирования информации).

При применении такого анализа желательно несколько раз вручную (на компьютере) рассчитать рассмотренные группы событий (классификация, ранжирование, оптимизация затрат на каждый вид защиты и т. п.). С приобретением опыта КЭ и их совокупности уже будут видны «невооруженным глазом», что даст возможность без применения математических методов оценочно предлагать меры по защите КЭ и их совокупностей.

6.

Список литературы:

1.  http://www. /articles/osnovnye-vidy-i-istochniki-atak-na-informatsiyu. html

2.  http://www. *****/referat-153667.html

3.  http://bezopasnik. org/article/45.htm

4.  http://*****/IB/37.htm

5.  http://www. *****/referat/ref/id.46333_1.html