1 Санкт-Петербург 2010 год Угрозы безопасности персональным данным при их обработке в информационных системах персональных данных. Модель угроз безопасности персональным данным. Ведущий эксперт Управления Федеральной службы по техническому и экспортному контролю по Северо-Западному федеральному округу, Катаржнов Александр Демьянович кандидат технических наук, доцент Негосударственное образовательное учреждение дополнительного образования "Учебный центр "ЭВРИКА"

2 Повысить уровень подготовки специалистов организаций и предприятий в вопросах угроз безопасности информации в информационных системах персональных данных (ИСПДн) Введение 1. Виды представления и носители информации в ИСПДн. 2. Классификация угроз безопасности информации в ИСПДн. 3. Классификация и характеристика технических каналов утечки информации. 4. Характеристика программно-математических (вирусных) воздействий на ИСПДн. 5. Формирование модели угроз безопасности ИСПДн. Модель нарушителя. Вопросы: Цель занятия. Рассматриваемые вопросы 2 Цель занятия:

3 1. Информационных систем персональных данных 2. Возможных источников угроз персональным данным 3. Основных классов уязвимостей информационных систем персональных данных 4. Возможных видов неправомерных действий и деструктивных воздействий на персональные данные 5. Основных способов реализации угроз персональным данным Безопасность персональных данных - состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, це­лостность и доступность персональных данных при их обработке в информа­ционных системах персональных данных В «Модели угроз…» дано обобщённое описание: «Базовая модель угроз безопасности персональным данным при их обработке в информационных системах персональных данных»

4 Термины и определения в области безопасности персональных данных («Базовая модель угроз безопасности персональным данным при их обработке в информационных системах персональных данных») Информационная система ПД Информационные технологии Технические средства информационной системы ПД Угрозы безопасности персональных данных Процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов. Средства ВТ, ИВК и сети, средства и средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства ЗИ, применяемые в информационных системах. Информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств. Со вокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение пер­сональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.

5 5 Угрозы безопасности информации - совокупность условий и факторов, создающих опасность несанкционированного, в том числе, случайного, доступа к информации, результатом которого может стать ее уничтожение, изменение, блокирование, копирование, распространение, а также иных несанкционированных действий при ее обработке в информационной системе. Основные определения и понятия 5 Утечка (защищаемой) информации по техническим каналам - неконтролируемое распространение информации от носителя защищаемой информации через физическую среду до технического средства, осуществляющего перехват информации. Безопасность информации - состояние защищенности информации, характеризуемое способностью персонала, технических средств и информационных технологий обеспечивать конфиденциальность (т.е. сохранение в тайне от субъектов, не имеющих полномочий на ознакомление с ней), целостность и доступность информации при ее обработке техническими средствами. Технический канал утечки информации – путь утечки информации от объекта защиты, образуемый совокупностью объекта защиты, физической среды и средства технической разведки. (ГОСТ РВ ) Перехват (информации) - неправомерное получение информации с использованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов.

6 Виды представления информации в ИСПДн 6 Акустическая (речевая) информация информация содержащиеся непосредственно в произносимой речи информация воспроизводимая акустическими средствами ИС информация содержащаяся в электромагнитных полях и электрических сигналах которые возникают за счёт преобразований акустической информации Видовая информация информация представленная в виде текста и изображений различных устройств отображения информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИС Информация, обрабатываемая (циркулирующая) в ИС, в виде электрических, электромагнитных, оптических сигналов Информация, обрабатываемая в ИС, представленная в виде бит, байт, IP-протоколов, файлов и других логических структур

7 Внешнее лазерное излучение, промодулированное отражающими его поверхностями внутри помещения и оконными стеклами Лазерное излучение ВОЛС, промодулированное вибрационными колебаниями элементов ВОЛС «Вторичные» носители защищаемой речевой информации Радиоизлучения акустических закладок ПЭМИ ОТСС и ВТСС Электрические наводки в линиях электропитания и заземления ОТСС и ВТСС Электрические наводки в «случайных антеннах» Внешний промодулированный ВЧ - сигнал Возникшие в результате акустоэлектрических преобразований Вибрационные колебания стекол и поверхностей помещения Вибрационные колебания жидкости в трубах Вибрационные колебания инженерных коммуникаций Вибрационные колебания ограничивающих конструкций помещения Возникшие в результате виброакустических преобразований Возникшие в результате акустооптических преобразований Должностные лица ОИ Радио-, теле- трансляционные приемники Звукоусилительная аппаратура Аппаратура громкогово- рящей связи Телефонные аппараты Магнитофоны диктофоны Звуковоспроизводящие устройства «Первичные» носители защищаемой речевой информации

8 Жесткий диск HDD ZIP накопители Стриммеры Цифровые видеокамеры, сопрягаемые с ЭВМ Устройства сетевого оборудования ЛВС, РВС Сетевые технические устройства Концент- раторы Сетевые адаптеры Модемы Устройства сопряжения с беспро-водными линиями передачи данных Узловые радио передатчики ЛВС, РВС Устройства электропитания Устройства заземления Магнито- оптические Устройства памяти Магнитные Оптические CD-R, CD-RW, CD-DVD Цифровые фотокамеры, сопрягаемые с ЭВМ Цифровые видео магнитофоны, сопрягаемые с ЭВМ BIOS Модули памяти SIMM/DIMM/ RIMM Электронные Контроллеры портов ЭВМ Жидкокриста- ллические мониторы Электронные мониторы Устройства визуали- зации информации Принтеры Другие устройства, сопрягаемые с ЭВМ Устройства ввода/вывода информации c ЭВМ Сканеры Носители защищаемой информации в составе ИСПДн Клавиатура Устройства считывания идентификато ров Устройства управления Линии передач данных Проводные линии Беспровод- ные линии ПД ЛВС Коаксиаль ный кабель Витая пара Оптиковоло- конные линии ВОЛС

9 Классификация угроз безопасности информации, обрабатываемых в ИСПДн 9 Информационная система Информация, содержащаяся в базах данных информационные технологии программные средства средства защиты информации ВТСС Среда распространения информативных сигналов Источники угрозы безопасности информации

10 Понятие источника угрозы безопасности информации Источник угрозы безопасности информации это субъект, деятельность которого направлена на нанесение ущерба безопасности информации или непреднамеренные действия которого могут привести к нанесению ущерба безопасности информации, или объект, функционирование которого может принести к ущербу безопасности информации на объекте информатизации Внешний источник – это субъект (физическое лицо, организация, служба иностранного государства и т.п.), не входящий в состав персонала объекта информатизации (то есть не являющийся должностным лицом), деятельность которого направлена на нанесение ущерба безопасности информации, циркулирующей на этом объекте информатизации, или объект, функционирование которого может принести к ущербу безопасности информации на объекте информатизации внутренний источник угрозы информационной безопасности – это субъект из состава персонала объекта информатизации, деятельность которого направлена на нанесение ущерба безопасности информации, циркулирующей на этом объекте информатизации, или непреднамеренные действия которого способствуют нанесению такого ущерба или элемент объекта информатизации, функционирование которого может принести к ущербу безопасности информации на этом

11 Источники угроз безопасности информации в ИСПДн субъекты (нарушители), осуществляющие умышленные незаконные действия в отношении информации, циркулирующей в информационных системах; Источниками угроз безопасности информации являются субъекты (нарушители), создающие непреднамеренные угрозы безопасности информации, обрабатываемой и хранящейся в системах обработки информации; технические аварии (отказы оборудования, внезапное отключение электропитания, протечки и т.п.); стихийные бедствия (пожары, наводнения и т.п.);

12 Субъекты (нарушители), осуществляющие преднамеренные и непреднамеренные угрозы безопасности информации Конкуренты, конкурирующие организации Специальные службы государств и их представители Криминальные структуры Недобросовестные партнеры Персонал учреждения, организации Бывшие сотрудники учреждения, организации Внешние субъекты, физические лица, не имеющие прямого отношения к организации, учреждению Разработчики и производители технических средств и программного обеспечения Клиенты организации Представители обслуживающих организаций, предприятий

13 Объекты воздействия в информационных системах персональных данных средства информатизации (помещения, средства вычислительной техники, автоматизированные системы (подсистемы), сети, средства и системы связи и передачи данных); Основные объекты воздействия : конфиденциальная информация, циркулирующая в системах электронного документооборота в процессе информационного взаимодействия; общесистемные и прикладные программные средства (операционные системы, системы управления базами данных, другое общесистемное и прикладное программное обеспечение); средства защиты информации; средства контроля эффективности защиты информации

14 Результаты деструктивных действий в информационных системах персональных данных нарушение конфиденциальности информации путем перехвата техническими средствами разведки, хищения или копирования Основные деструктивные действия: блокирование информации (нарушение доступности информации); уничтожение информации; модификация (искажение) информации; нарушение адресности при передаче информации по каналам связи; отрицание подлинности информации; навязывание ложной информации.

15 Ухудшение качества функционирования ИСПДн в органах власти и организациях. Сбои в работе ИСПДн обеспечения жизнедеятельности (ПФР, ФНС и др.) Нарушения конституционных прав граждан. Экономический, финансовый, моральный ущерб операторам ИСПДн. Возможные последствия в случае реализации угроз безопасности персональным данным: Снижение авторитета, деловой репутации и, соответственно, степени доверия к данной организации, ущерб для престижа власти. Оценка возможного ущерба в случаях утечки информации или нарушений в работе ИСПДн Оценка возможных последствий реализации угроз безопасности информации

16 Угрозы ИБ (1)

17 Угрозы ИБ (2)

18 Угрозы ИБ (3)

19 Угрозы ИБ (4)

20 Угрозы ИБ (5)

21 Угрозы ИБ (6)

22 Классификация угроз безопасности информации, обрабатываемых в информационных системах персональных данных 22 По видам возможных источников угроз Угрозы, связанные преднамеренными или непреднамеренными действиями лиц, имеющими доступ к ИСПДн, включая пользователей, реализующие угрозы непосредственно в ИСПДн Угрозы, связанные преднамеренным или непреднамеренными действиями лиц, не имеющих доступа к ИСПДн, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена По структуре ИСПДн, на которые направлена реализация угроз безопасности информации Угрозы безопасности информации, обрабатываемых в ИСПДн, на базе автоматизированного рабочего места Угрозы безопасности информации, обрабатываемых в ИСПДн на базе локальных информационных систем Угрозы безопасности информации, обрабатываемых в ИСПДн на базе распределённых информационных систем По виду несанкционированных действий, осуществляемых с информацией Угрозы, приводящие к нарушению конфиденциальности информации(копированию, распространению), при реализации которых не осуществляется непосредственное воздействие на содержание информации Угрозы, приводящие несанкционированному, в том числе случайному, воздействию на содержание информации, в результате которого осуществляется изменение данных или их уничтожение Угрозы, приводящие несанкционированному, в том числе случайному, воздействию на программные или программно- аппаратные элементы ИСПДн, в результате которого осуществляется блокирование данных

23 Классификация угроз безопасности информации, обрабатываемых в информационных системах персональных данных 23 По способам реализации угроз безопасности информации Угрозы, реализуемые в ИСПДн при их подключении к сетям связи общего пользования Угрозы, реализуемые в ИСПДн при их подключении к сетям международного информационного обмена Угрозы, реализуемые в ИСПДн, не имеющих подключений к сетям связи общего пользования и сетям международного информационного обмена По виду каналов, с использованием которых реализуется угроза безопасности информации Угрозы, реализуемые через каналы возникающие за счёт использования технических средств съёма (добывания) информации, обрабатываемой в технических средствах ИС ПДн или ВТСС (технические каналы утечки информации) : Угрозы, реализуемые за счёт несанкционированного доступа к данным в ИС ПДн с использованием программного обеспечения ИСПДн или специально разрабатываемого программного обеспечения : - угрозы утечки акустической (речевой) информации - угрозы утечки видовой информации - угрозы утечки информации по каналам ПЭМИН - угрозы доступа (проникновения) в операционную среду компьютера с использованием штатного программного обеспечения (средств операционной системы или прикладных программ общего применения) - угрозы создания нештатных режимов работы программных средств за счет преднамеренных изменений служебных данных - угрозы внедрения вредоносных программ (программно-математического воздействия)

24 Технический канал утечки информации Технический канал утечки информации (ТКУИ)- совокупность объектов разведки, которые содержат информацию, технических средств разведки (ТСР), с помощью которых добывается информация, и физической среды, в которой распространяется информативный сигнал (циркулируют данные)

25 Средства съема информации с линий заземления и электропитания Средства съема информации с линий связи ИК - аппаратура Средства видеонаблюдения Устройства лазерного съема со стекол Стетоскопы Направленные микрофоны Электроакустические сигналы ЭМИ линий связи и передачи данных Собственные излучения дисплеев, табло, экранов Отраженная световая энергия Излучения экранов Вибрационные колебания Средства передачи (обмена) данных Теле, видеоаппаратура Средства звукозаписи Документы и др. Плакаты, схемы, демонстрационные доски Звуковоспроизводящая аппаратура Источник защищаемой информации Среда (путь) распространения информативного сигнала Приемник информативного сигнала Краткая характеристика ТКУИ Должностные лица Речевая информация Экраны мониторов Графическая информация Средства связи Информация в ТСОИ СВТ, источники ПЭМИ Информация в АС Акустические колебания ПЭМИ ОТСС и ВТСС Электрические сигналы (наводки) Акустические закладки Средства АРР Приемники радиосигналов Приемники сигналов ЭМИ 5

26 Потенциальные технические каналы утечки персональных данных ПЭВМ Средства радиосвязи АС ИСПДн - объекты информатизации (ОТСС) Защищаемые помещения ВТСС Охранная пожарная сигнализация Система радиовещания, часофикации Средства оргтехники и др. КПП Контролируемая зона УЧРЕЖДЕНИЕ (ПРЕДПРИЯТИЕ) Охранные телесистемы Радиозакладн ое устройство Скрытое уст- во звукозаписи Сетевые и телефонные закладки Перехват основных радиоизлучений, несущих информацию ПЭМИ ОТСС Электромагнитные наводки ПЭМИ ОТСС на ВТСС Передача по радиоканалу акустической информации Прием отраженного лазерного излучения, промодулированн ого речевым сигналом за счет вибрации стекол Прослушивание с помощью направленного микрофона Информация, содержащаяся в изображениях Акустические преобразования, передача акустической информации по сетям электроснабжения и телефонным линиям Передача акустической информации по проводам или радиоканалу Акустическая речевая разведка Визуальная оптическая разведка Фотогра- фическая разведка Визуальная оптико- электронная разведка Телевизионная разведка Оптико-электронная разведка Компьютерная разведка Несанкциониров анный доступ к информации Несанкциониров анное воздействие на информацию Разведка ПЭМИН Радиоразвед ка вибродатчик

27 Технические каналы утечки акустической речевой информации и возможности аппаратуры перехвата 27 Тех.канал утечки информации Наименование аппаратуры Вид аппаратуры Технические дальности перехвата Акустический Направленные микрофоны Стационарная, портативная носимая, портативная возимая до 200 м. Не направленные микрофоны Портативная носимая, портативная возимая до 10 м. Виброакустический Вибродатчики («контактные микрофоны») Автономная автоматическая (совместно со средствами приёма ретранслируемого сигнала) до 10 м (на поверхностях 150 см и более). Виброакустический (лазерный) «Лазерные микрофоны»Стационарная, портативная носимая, портативная возимая до 500 м. Акустоэлектрический Средства съёма электрических сигналов с гальваническим подключением Стационарная, портативная возимаядо 300 м. ВЧ - навязывание Средства съёма электрических сигналов с гальваническим подключением Стационарная, портативная возимаядо 300 м. ВЧ - облучение (параметрический) Приёмники электромагнитного излучения Стационарная, портативная возимаядо 1000 м.

28 Технические средства получения видовой информации 28 Фотоаппараты мобильных устройств Фотокамера (оформлена под пейджер) Портативные аналоговые и цифровые фото- и видеокамеры Мобильные телефоны КПК Цифровые фотоаппараты Миниатюрные видеокамеры

29 Акустическое излучение речевого сигнала; ТЕХНИЧЕСКИЕ КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ

30 Акустоэлектрические сигналы (микрофонный эффект): - телефон, факс; - лампы накаливания; - датчики пожарной и охранной сигнализации; ТЕХНИЧЕСКИЕ КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ

31 Виброакустический канал утечки: - ограждающие, строительные конструкции (стены, полы, потолки, перекрытия); - окна; - системы водо-, теплоснабжения; ТЕХНИЧЕСКИЕ КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ

32 Съем информации с её носителей с помощью средств визуально- оптической и оптико- электронной разведки; ТЕХНИЧЕСКИЕ КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ

33 Побочные электромагнитные излучения информативных сигналов от технических средств и линий передачи информации; линия связи Электромагнитное излучение ТЕХНИЧЕСКИЕ КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ

34 Наводки информативного сигнала, обрабатываемого техническими средствами, на цепи электропитания и линии связи, выходящие за пределы контролируемой зоны; ТЕХНИЧЕСКИЕ КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ

35 Линия связи Прослушивание телефонных и радиопереговоров; ТЕХНИЧЕСКИЕ КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ

36 Несанкционированный доступ к информации, обрабатываемой в автоматизированной системе и несанкционированные действия с ней; Хищение технических средств с хранящейся в них информацией или носителей информации; ТЕХНИЧЕСКИЕ КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ

37 Специально внедренные электронные устройства перехвата информации; ТЕХНИЧЕСКИЕ КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ Средства разведки МИКРОПЕРЕДАТЧИКИ НА ТЕЛЕФОННУЮ ЛИНИЮ РАДИОМИКРОФОН НА ОБЫЧНЫЙ FM ПРИЕМНИК РАДИОМИКРОФОН - ТАБЛЕТКА С АРУ Размер с фильтр сигареты Радиопередатчики Микрорадиомикрофоны

38 Каналы утечки информации за счёт ПЭМИН 38 Перехват информации методом высокочастотного облучения Перехват ПЭМИН ТСПИ средствами разведки ПЭМИН Перехват наведенных электромагнитных излучений ТСПИ с посторонних проводников (инженерных коммуникаций)

39 Технические каналы утечки информации за счёт ПЭМИН и возможности аппаратуры перехвата 39 Тех.канал утечки информации Наименование аппаратуры Вид аппаратуры Технические дальности перехвата ПЭМИНПрограммно-аппаратные комплексы, портативные сканерные приёмники, цифровые анализаторы спектра, селективные микровольтметры Стационарная, портативная носимая, портативная возимая и автономная автоматическая до 1000 м Наводки информативного сигнала на цепи электропитания и линии связи Токосъёмники Портативная носимая, портативная возимая и автономная автоматическая до 300 м. Радиоизлучения, модулированные информативным сигналом Программно-аппаратные комплексы, портативные сканерные приёмники, цифровые анализаторы спектра, селективные микровольтметры Стационарная, портативная носимая, портативная возимая и автономная автоматическая до 1000 м. Радиоизлучения, формируемые в результате высокочастотного облучения технических средств ИСПДн Программно-аппаратные комплексы, портативные сканерные приёмники, цифровые анализаторы спектра, селективные микровольтметры Стационарная, портативная носимая, портативная возимая и автономная автоматическая до 1000 м.

40 Угрозы несанкционированного доступа к информации 40 Угрозы создания нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений служебных данных и т.д. Угрозы внедрения вредоносных программ (программно- математического воздействия) Угрозы непосредственного доступа Угрозы удалённого доступа Угрозы доступа (проникновения) в операционную среду компьютера с использованием штатного программного обеспечения (средств операционной системы или прикладных программ общего применения) Несанкционированный доступ (несанкционированные действия) (НСД) - доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.

41 Пути и методы несанкционированного доступа к персональным данным изъятия носителей информации; хищения носителей информации; копирования с носителей информации; информация может быть прочитана «через плечо» с экрана монитора при работе зарегистрированного пользователя. Несанкционированный доступ к персональным данным может быть получен: Путем физического доступа к носителям информации Методами дистанционного съема информации программы-шпионы; специальные аппаратные средства, обеспечивающие неправомерный доступ к информации, в том числе в каналах связи; использование специальных технических средств для перехвата электромагнитных излучений ПК (с помощью направленной антенны такой перехват возможен в отношении персонального компьютера на расстояниях до 1 км).

42 НСД к персональным данным на жестком диске ИСПДн НСД к персональным данным, находящейся на жестком диске ИСПДн может быть осуществлен путем: Несанкционированного проникновения в помещение, где установлен ПК, с получением дальнейшего доступа к персональным данным; Несанкционированного подключения к ПК внешних и (или) съемных носителей с целью копирования информации, несанкционированного копирования персональных данных на магнитные носители, а также несанкционированного получения печатных копий документа; Хищения жесткого диска с персональными данными или самого ПК; Использование заранее загруженных на ПК программных средств(в том числе вирусов); Получения доступа к ПК при помощи существующей внутренней сети, в том числе через Интернет Применения технических средств дистанционного съема информации с работающего ПК. Путем физического доступа к информации Методами дистанционного съема информации

43 НСД к персональным данным на съемных носителях Неправомерный доступ к персональным данным, находящейся на съемных носителях может быть осуществлен: Несанкционированного проникновения в помещение, где установлены съемные носители ПК, с получением дальнейшего доступа к конфиденциальной информации; Несанкционированного подключения съемных носителей к ПК с целью копирования информации; Хищения съемных носителей с конфиденциальной информацией; Получения доступа к подключенным к ПК съемным носителям, используя существующую внутреннюю сеть, в том числе через Интернет; Применения технических средств дистанционного съема информации с работающего ПК, к которому подключены съемные носители. Путем физического доступа к информации Методами дистанционного съема информации

44 Несанкционированный доступ к информации, обрабатываемой в автоматизированной системе и несанкционированные действия с ней; Хищение технических средств с хранящейся в них информацией или носителей информации; Несанкционированный доступ к информации

45 Несанкционированный доступ к информации Хищение технических средств с хранящейся в них информацией или носителей информации;

46 Способы реализации угроз в ИСПДн Путем обхода механизмов разграничения доступа, возникающего вследствие несовершенства общесистемных компонентов программного обеспечения (операционных систем, систем управления базами данных и др.); Способы реализация угроз: Путем модификации используемого программного обеспечения систем электронного документооборота для получения возможности несанкционированного доступа к защищаемой информации. С применением технических средств съема информации по возможным каналам ее утечки.

47 Условия реализации угроз безопасности информации в ИСПДн При нарушении технологии хранения, обработки, передачи и защиты персональных данных; Угрозы, связанные с действиями законных пользователей могут осуществляться: При нарушении установленных правил обращения с информацией Наибольшую угрозу безопасности информации в системах обработки и передачи персональных данных представляют умышленные действия субъектов (нарушителей), в т. ч. законных пользователей, направленные на нарушение конфиденциальности, целостности и доступности информации.

48 Факторы, влияющие на безопасность персональных данных Отсутствие или недостаточность мер по защите информации о ПДн при работе в Интернете; Реализации основных угроз безопасности персональным данным способствуют: Бесконтрольное использование флэш-карт; Бесконтрольное использование мобильных телефонов с определенным набором функций; Применение нелицензионного программного обеспечения; Недостаточно развитое чувство ответственности за обеспечение безопасности информации у пользователей. Отсутствие или недостаточность организационных и технических мер по предотвращению НСД к информации и физического доступа к системам электронного документооборота, в т.ч. по каналам связи;

49 Нарушитель 49 Программно- аппаратная закладка Вредоносная программа Уязвимости программного обеспечения (наличие в ИС вредоносной программы Уязвимости, вызванные наличием в ИС программно- аппаратной закладки Уязвимости, связанные с реализацией протоколов сетевого взаимодействия и каналов передачи данных Уязвимости, вызванные недостатками организации ТЗИ от НСД Уязвимости СЗИ Уязвимости программно- аппаратных средств ИС в результате сбоев в работе, отказов этих средств Использование существующих уязвимостей программно- аппаратного обеспечения ИС Внедрение (внесение) новых уязвимостей в ИС Информация, обрабатываемая на АРМ (узле) вычислительной техники Информация в средствах реализующих сетевое взаимодействие в каналах передачи данных в сети Нарушение конфиденциальности Нарушение целостности (уничтожение, модификация, дезинформация) Нарушение доступности Способ реализации угрозы Уязвимости ИСПДн Источник угрозы Объект воздействия Деструктивное действие Элементы угроз НСД в ИСПДн 49

50 Элементы описания угроз НСД в ИСПДн 50 Нарушитель Источник угрозы Внешний Лица имеющие санкционированный доступ в КЗ, но не имеющие доступа к ИР Зарегистрированный пользователь информационных ресурсов, имеющий ограниченные права доступа в ИС с рабочего места Пользователи информационных ресурсов, осуществляющие удалённый доступ к ИС по ЛВС Зарегистрированный пользователь ПДн с полномочиями администратора безопасности структурного подразделения защищаемой ИСПДн Зарегистрированный пользователь ИС с полномочиями системного администратора Зарегистрированный пользователь ИС с полномочиями администратора безопасности Программисты - разработчики прикладного программного обеспечения и лица, обеспечивающие его сопровождение в ИС Разработчики и лица обеспечивающие поставку, сопровождение и ремонт технических средств ИС Другие категории в соответствии с оргштатной структурой ИС Конструктивно встроенная Программные закладки (недекларированные возможности ПО, программы типа «Троянский конь», специальные программы: клавиатурные шпионы, программы подбора паролей удалённого доступа и др.) Программные вирусы Вредоносные программы распространяющиеся по сети (сетевые черви) Другие вредоносные программы, предназначенные для осуществления НСД Программно-аппаратная закладка Вредоносная программа Программно- аппаратная закладка Внутренний Автономная

51 Уязвимости программного обеспечения (наличие в ИС) вредоносной программы Уязвимости, вызванные наличием в ИС программно- аппаратной закладки Уязвимости, связанные с реализацией протоколов сетевого взаимодействия и каналов передачи данных Уязвимости, вызванные недостатками организации ТЗИ от НСД Уязвимости СЗИ Уязвимости программно- аппаратных средств ИС в результате сбоев в работе, отказов этих средств Элементы описания угроз НСД в ИСПДн 51 Уязвимости микропрограмм прошивок ПЗУ, ППЗУ Уязвимости драйверов аппаратных средств Уязвимости ИС В процессе инициализации ОС В незащищенном режиме работы процессора В процессе функционирования ОС в привилегированном режиме Уязвимости прикладного ПО Уязвимости специального ПО Уязвимости ПО пользователя Уязвимости на канальном уровне Уязвимости на сетевом уровне Уязвимости на транспортном уровне Уязвимости на сеансовом уровне Уязвимости на прикладном уровне Уязвимости операционных систем

52 Уязвимости информационных систем персональных данных Уязвимость ИСПДн - недостаток или слабое место в системном или прикладном программном (программно-аппаратном) обеспечении автоматизированной информационной системы, которое может быть использовано для реализации угрозы безопасности персональных данным. Причинами возникновения уязвимостей являются: Ошибки при проектировании и разработке программного (программно-аппаратного) обеспечения; Преднамеренные действия по внесению уязвимостей в ходе проектирования и разработки программного (программно-аппаратного) обеспечения; Неправильные настройки программного обеспечения, неправомерное изменение режимов работы устройств и программ; Несанкционированное внедрение и использование неучтенных программ с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях); Внедрение вредоносных программ, создающих уязвимости в программном и программно-аппаратном обеспечении; Несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей; Сбои в работе аппаратного и программного обеспечения (вызванные сбоями в электропитании, выходом из строя аппаратных элементов в результате старения и снижения надежности, внешними воздействиями электро­магнитных полей технических устройств и др.).

53 Характеристика групп уязвимостей ИСПДн Общая характеристика основных групп уязвимостей ИСПДн, включает: уязвимости системного программного обеспечения (в том числе протоколов сетевого взаимодействия); уязвимости прикладного программного обеспечения (в том числе средств защиты информации). Для систематизации описания множества уязвимостей используется единая база данных уязвимостей CVE (Common Vulnerabilities and Exposures), в разработке которой принимали участие специалисты многих известных компаний и организаций, таких как MITRE, ISS, Cisco, BindView, Axent, NFR, L-3, CyberSafe, CERT, Carnegie Mellon University, институт SANS и т.д. Эта база данных постоянно пополняется и используется при формировании баз данных многочисленных программных средств анализа защищенности и, прежде всего, сетевых сканеров.

54 Элементы описания угроз НСД в ИСПДн 54 Использование существующих уязвимостей программно-аппаратного обеспечения (ПАО) ИСПДн Способ реализации угрозы Обход СЗИ Деструктивное воздействие на СЗИ Перехват информации Модификация передаваемых данных Перегрузка ресурсов (отказ в обслуживании) Внедрение вредоносной программы Удалённый несанкционированный доступ в систему Разглашение и утечка информации на незащищённые рабочие места вычислительной сети Вскрытие или перехват пароля На этапе проектирования и разработки ИСПДн На этапе утилизации элементов АС Внедрение (внесение) новых уязвимостей в ИСПДн Программно- аппаратная закладка Уязвимости протоколов сетевого взаимодействия и каналов передачи данных Использование остаточной, неучтённой информации (сбор «мусора») Использование нетрадиционных (стеганографических) каналов передачи данных Использование нештатного ПАО Обмен программами и данными, содержащими выполняемые модули (скрипты, макросы и т.д.) Изменение конфигурации ПАО Модификация ПО и данных Разработка вредоносных программ Публикация, разглашение защищаемых сведений На этапе сопровождения (модернизации) ИСПДн На этапе эксплуатации Внесение уязвимостей с использованием штатных средств

55 Элементы описания угроз НСД в ИСПДн 55 Информация обрабатываемая на АРМ (узле) вычислительной сети ГМДЖМДНакопители ZIP Накопители электронной памяти типа флэш Аудио-, видеокассеты, магнитные ленты Оптические компакт-диски Информация на канальном уровне Информация в средствах реализующих сетевое взаимодействие и каналах передачи данных в сети Программно- аппаратная закладка На отчуждаемых носителях информации Сотовые телефоны, карманные компьютеры, цифровые фотоаппараты,mp3- проигрыватели Цифровые видеокамеры Другие устройства Жёсткие магнитные диски Постоянные запоминающие устройства Перепрограммируемые (перезаписываемые)запоминающие устройства На встроенных носителях долговременного хранения информации Оперативная память Кэш-память, буферы ввода- вывода Видео память Оперативная память подключаемых устройств В средствах обработки и хранения оперативной информации Информация на сетевом уровне Информация на транспортном уровне Информация на сеансовом уровне Информация на презентационном уровне Информация на прикладном уровне В средствах (портах) ввода/вывода информации Объект воздействия Клавиатура Манипулятор мышь Сканер Дисплей, монитор Принтер Плоттер Приводы магнитных и оптических дисков Порты ввода/вывода для подключения периферийных устройств Информация в средствах (аппаратуре) передачи данных Другие средства ввода/вывода информации

56 Элементы описания угроз НСД в ИСПДн 56 Нарушение конфиденциальности Утечка информации Несанкционированное копирование Средства управления конфигурацией сетей Воздействие на ПО и данные пользователя Нарушение функционирования и отказы средств обработки информации Нарушение и отказы функционирования средств ввода/вывода информации Нарушение целостности (уничтожение, модификация, дезинформация) Нарушение доступности Программно- аппаратная закладка Деструктивное действие Перехват информации в каналах передачи данных Разглашение (публикация) защищаемой информации Нарушение и отказы функционирования средств хранения информации Нарушение и отказы функционирования аппаратуры и каналов передачи данных Нарушение и отказы функционирования СЗИ Воздействие на микропрограммы, данные и драйвера устройств вычислительной системы Воздействие на программы, данные и драйвера устройств обеспечивающие загрузку (инициализацию) ОС и СЗИ Воздействие на программы и данные прикладного ПО Воздействие на программы и данные специального ПО Воздействие на промежуточные (оперативные) значения программ и данных в процессе их обработки средствами и устройствами вычислительной техники Внедрение вредоносной программы Внедрение программно-аппаратной закладки Воздействие на СЗИ Средства управления адресами и маршрутизацией передачи данных в сети Средства управления функциональным контролем сети Средства управления безопасностью сети Воздействие на технологическую сетевую информацию

57 Понятие программно-математического (вирусного) воздействия Программа с потенциально опасными последствиями или вредоносная программа – это некоторая самостоятельная программа (набор инструкций), которая способна выполнять любое непустое подмножество следующих функций: Скрывать признаки своего присутствия в программной среде ПЭВМ; Обладать способностью к самодублированию, ассоциированию себя с другими программами и/или переносу своих фрагментов в иные области оперативной или внешней памяти; Разрушать (искажать произвольным образом) код программ в оперативной памяти; Сохранять фрагменты информации из оперативной памяти в некоторых областях внешней памяти прямого доступа (локальных или удаленных); Искажать произвольным образом, блокировать и/или подменять выводимый во внешнюю память или в канал связи массив информации, образовавшийся в результате работы прикладных программ, или уже находящиеся во внешней памяти массивы данных

58 Воздействие на технические или программные средства информационных систем в целях нарушения конфиденциальности, целостности и доступности информации посредством специально внедренных программных средств; ПРОГРАММЫ-ВИРУСЫ ОПАСНО ВИРУС

59 Десятка почтовых вирусов за 10 месяцев 2007 года. 1Trojan.Bankfraud % 2Win32.HLLM.Beagle 10.60% 3Win32.HLLM.Netsky % 4Win32.HLLP.Sector 8.06% 5Win32.HLLM.Limar 7.63% 6Win32.HLLM.Perf 7.27% 7Win32.HLLM.MyDoom.based 4.99% 8Win32.HLLM.Limar.based 4.82% 9Win32.HLLM.Netsky.based 4.26% 10BackDoor.Groan 4.19%

60 Сравнительная оценка вирусов на 15 мая 2008 года : :00 1Trojan.Okuks (33.03%) 2Trojan.Spambot (19.45%) 3Trojan.Click (7.58%) 4Trojan.Okuks (2.61%) 5Win32.HLLM.Generic (2.39%) 6JS.Nimda (2.36%) 7Win32.Alman (1.99%) 8Win32.HLLW.Autoruner (1.63%) 9VBS.Generic (1.57%) 10Adware.SaveNow (1.38%) 11Win32.HLLP.PissOff (1.34%)

61 Руткит (Rootkit) вредоносная программа, предназначенная для перехвата системных функций операционной системы (API) с целью сокрытия своего присутствия в системе. Кроме того, Rootkit может маскировать процессы других программ, различные ключи реестра, папки, файлы. Rootkit распространяются как самостоятельные программы, так и как дополнительные компоненты в составе иных вредоносных программ (троянов, программ удаленного управления, почтовых червей и проч). RootKit технология. Современный инструмент кибер преступника

62 User Mode Rootkits (UMR) - т.н. Rootkit, работающие в режиме пользователя, базируется на перехвате функций библиотек пользовательского режима Принципы работы RootKit

63 Kernel Mode Rootkit (KMR) - т.н. Rootkit, работающие в режиме ядра. Базируется на установке в систему драйвера, который осуществляет перехват функций на уровне системного ядра, что значительно усложняет его обнаружение и обезвреживание. Принципы работы RootKit

64 Rootkit вирус Win32. Ntldrbot (aka Rustock.C) Создана bot-сеть рассылающая до 30-миллиардов сообщений в день. Создание эффективного средства поиска и обнаружение программы заняло 18 недель с момента обнаружения первой копии.

65 Rootkit вирус Win32. Ntldrbot (aka Rustock.C) Имеет мощный полиморфный протектор, затрудняющий анализ и распаковку руткита. Реализован в виде драйвера уровня ядра, работает на самом низком уровне. Имеет функцию самозащиты, противодействует модификации времени исполнения. Активно противодействует отладке - контролирует установку аппаратных точек останова (DR-регистры), нарушает работу отладчиков уровня ядра: Syser, SoftIce. Отладчик WinDbg при активном рутките не работает вообще. Перехватывает системные функции неклассическим методом. Работает как файловый вирус, заражая системные драйверы. Конкретный экземпляр руткита привязывается к оборудованию зараженного компьютера. Таким образом, на другом компьютере руткит с большой вероятностью работать не будет. Имеет функцию перезаражения, срабатывающую по времени. Старый зараженный файл лечит. Таким образом, руткит «путешествует» по системным драйверам, оставляя зараженным какой-нибудь один. Фильтрует обращения к зараженному файлу, перехватывая FSD-процедуры драйвера файловой системы и подставляет оригинальный файл вместо зараженного. Имеет защиту от антируткитов. Имеет в составе библиотеку, внедряемую в один из системных процессов. Данная библиотека занимается рассылкой спама. Для связи драйвера с DLL используется специальный механизм передачи команд.

66 Антивирусная защита данных. Оценка угроз. Потенциальные угрозы Краткая характеристика Интернет Загрузка из сети различных программ и приложений. В том числе из личных почтовых ящиков почтовых on-line сервисах. Электронная почта Просмотр ссылок и замаскированных вложений пришедших по электронной почте. В том числе СПАМа. Человеческий фактор Недовольные сотрудники, шпионы, агенты конкурирующих служб. Перекупленные исполнители. Сотрудник использованные в качестве средства доставки. Сменные носители информации Различные сменные USB диски, лазерные диски и другие источники информации. Копирование и перемещение информации между домашними и рабочими ПК, обмен данными.

67 Рассылки вредоносных программ по географическому признаку Место Страна% 1Китай 31,44 2США25,90 3Россия 11,05 4Бразилия 4,40 5Южная Корея 3,64 6Аргентина 2,90 7Германия 2,31 8Франция 1,70 9Панама 1,53 10Голландия 1,31

68 Вирус заменяющий систему загрузки

69 Подмененная страница получения кода активации

70 Кибер шантаж. Захват в три хода. Шаг первый. Рассылка

71 Шаг второй. Проникновение. Макро – вирус внутри документа устанавливающий программу загрузчик шифровальщика. Загрузка шифровальщика и последующий его запуск с помощью Trojan Downloader

72 Шаг третий. Шифрование и вымогательство. Поиск и шифрование файлов с документами, с расширением doc, txt, xls, ppt и других. Размещение на диске файлов с расширением txt, с информацией о методе шифрования и адреса получения дешифратора Some files are coded by RSA method. To buy decoder mail: with subject: REPLY

73 Необходимые условия для обеспечения безопасности Своевременное получение обновлений Операционных систем Обновление антивирусной программы. Активные резидентные мониторы на компьютере. Правильная настройка антивирусных программ.

74 Содержание хакинга Тому, кто забудет о безопасности, читайте о гибели великих народов. Древнеиндийский трактат АГНИ-ИОГА

75 ТРИ ОПРЕДЕЛЕНИЯ ХАКИНГА УЯЗВИМОСТЬ УГРОЗА АТАКА

76 УЯЗВИМОСТИ Любая характеристика или свойство информационной системы, использование которой нарушителем может привести к реализации угрозы. ошибки в программах; человеческие ошибки и неправильная конфигурация разрешенный, но неиспользуемый сервис восприимчивость к атакам типа «отказ в обслуживании» ошибки при проектировании

77 УГРОЗЫ Угроза - потенциально возможное событие, действие или процесс, которое посредством воздействия на компоненты информационной системы может привести к нанесению ущерба.

78 АТАКИ Атака - любое действие нарушителя, которое приводит к реализации угрозы путем использования уязвимостей информационной системы.

79 Почему возможно проведение сетевых атак. 11 Все управляющие сообщения и данные, пересылаемые одной компонентой информационной системы другой компоненте, передаются по сетевым соединениям в виде пакетов обмена. Незащищенность протоколов сетевого и транспортного уровней. Основная причина проведения сетевых атак недостаточная идентификация и аутентификация удаленных компонентов информационных систем. Возрастающая сложность программного обеспечения, обеспечивающего взаимодействие на всех уровнях, приводящая к: -ошибкам в программном обеспечении, допущенные разработчиком; -ошибкам в настройке программного обеспечения.

80 Уязвимости отдельных протоколов стека проколов TCP/IP. 12 Наименование протокола Уровень стека протоколов Наименование (характеристика) уязвимости Содержание нарушения безопасности FTP Прикладной, представительный, сеансовый Аутентификация на базе открытого текста (пароли пересылаются в незашифрованном виде). Предоставление доступа по умолчанию Наличие 2-х открытых портов Возможность перехвата данных учетной записи (имен зарегистрированных пользователей, паролей). Получение удаленного доступа к хостам. telnet Прикладной, представительный, сеансовый Аутентификация на базе открытого текста (пароли пересылаются в незашифрованном виде). UDP Транспортный Отсутствует механизм предотвращения перегрузок буфера Возможность реализации UDP-шторма. В результате - существенное снижение производительности сервера ARP Сетевой Адресная информация пересылаются в незашифрованном виде. Возможность перехвата трафика злоумышленником. RIP Транспортный Отсутствие аутентификации управляющих сообщений об изменении маршрута Возможность перенаправления трафика через хост злоумышленника TCP Транспортный Отсутствие механизма проверки корректности заполнения служебных заголовков пакета Существенное снижение скорости обмена и даже полный разрыв произвольных соединений TCP DNS Прикладной, представитель-ный, сеансовый Отсутствует проверки аутентификационных данных полученных от источника Фальсификация ответа DNS-сервера SMTP Прикладной, представительный, сеансовый Отсутствие поддержки аутентификации заголовков сообщений Возможность поделки сообщений электронной почты, адреса отправителя сообщения SNMP Прикладной, представительный, сеансовый Возможность переполнения пропускной способности сети

81 Основные угрозы безопасности информационных ресурсов. Основными угрозами безопасности информационных ресурсов АС являются при взаимодействии посредством Интернет: НСД к информационным ресурсам АC с целью нарушения их конфиденциальности, целостности, доступности, используя следующие методы реализации угрозы: маскировка под уполномоченного абонента Сети на основе перехвата данных аутентификации; маскировка под уполномоченного абонента Сети на основе подделки сетевых адресов; маскировка использования запрещенного сервиса под использование разрешенного сервиса; внедрение компьютерных вирусов или других вредоносных программ. НСД к информации о структуре, разрешенных сервисах, способах их реализации и существующих уязвимостях АC путем перехвата сетевых пакетов и анализа их содержания; блокировка межсетевого взаимодействия путем нарушения целостности данных о настройках коммуникационного оборудования, обеспечивающего взаимодействие АC с Сетью. 13

82 Общая классификация атак. 14

83 Классификация сетевых атак по цели воздействия. Атаки доступа. Атаки модификации. Атаки на отказ в обслуживании. Атаки на отказ от обстоятельств. 15

84 Разновидности сетевых атак. 16 Цель атаки доступа – получение злоумышленником доступа к информации, на которую у него нет прав. Направлена на нарушение конфиденциальности информации. -доступ к информации, находящейся на носителях данных -доступ к информации, передаваемой по каналам связи Цель атаки модификации - неправомочное изменение информации. Направлена на нарушение целостности информации. -замена, добавление или удаление информации (изменение заработной платы служащего); Цель атаки на отказ в обслуживании (Dos, DDoS) – блокирование использования сервисов системы легальными пользователям. Направлена на нарушение доступности информации. -с модификацией информации, необходимой для предоставления сервиса; -с воздействием на среду передачи, необходимую для предоставления сервиса; Цель атаки на отказ от обстоятельств – представлении неверной информации о реальном событии. Направлена против возможности идентификации информации. -выполнение действий под видом другого пользователя (маскарад); -отрицание событий (манипуляции с полем from в адресе электронной почты, IP адресом отправителя).

85 Категории информации, подлежащей защите в сети. 17 структура, состав, назначение и принципы построения вычислительной сети; структура, состав, назначение и принципы построения сети обмена данными; состояние направлений связи в сети передачи данных; адресные таблицы вычислительной сети; таблицы полномочий элементов вычислительной сети и всей сети; информация, циркулирующая в элементах ВС и каналах связи.

86 Как происходит сетевая атака Действия злоумышленника при подготовке и проведении атаки: Сбор информации: -анализ сетевого трафика; -незаметное сканирование портов; -получение информации о структуре и сетевых адресах атакуемой сети; -получение информации об используемых на хостах операционных системах -получение информации о работающих службах; -методы социального инжиниринга (сервис Whois/Fwhois, телефонные справочники, представление от имени сотрудников служб поддержки и т.п.). Анализ информации (поиск уязвимостей в программном обеспечении и его настойке). Реализация атаки (формирование определенных последовательностей сетевых пакетов, выполнение специальным образом сформированных запросов). Цель: -получение удаленного доступа к командной оболочке; -захват контроля над приложением; -перехват вывода приложений; -подмена доверенного хоста (ложный сервер); -подмена информации; -массовые посылки ложных сообщений c целью реализации отказа в обслуживании;

87 Что используется для выполнения атак Средства для сбора информации: - cпециально разработанные программные средства: Netcat, Cryptcat, nmap, nmapfe, netscantools, superscan, fscan, wups, udp_scan - cистемные утилиты в составе операционных систем: netstat, net (view и use), telnet, ping, traceroute, nbstat, smbclient, nmblookup, rpcinfo, finger, r-tools (rlogin, rsh, rcp), who. Анализаторы сетевых протоколов (Ethereal, Dsniff, tcpdump) Средства взлома Web-приложений (сканеры уязвимостей, средства проверки приложений, многоцелевые средства) Средства взлома паролей (pwdump, lsadump2, L0phtCrack) Средства анализа беспроводных сетей (NetStumbler, AiroPeek) Средства удаленного доступа и средства входа с черного входа (SubSeven, Back Orifice, VNC, NetBus) использование cетевых червей и сетевых шпионов;

88 команды пользователей сценарии или программы автономные агенты комплекты утилит распределенные средства уязвимости проектирования уязвимости реализации уязвимости конфигурации чтение файла изменение прав Средство реализации атаки Уязвимость Событие безопасности КОМПОНЕНТЫ АТАКИ

89 Цель атаки Метод атаки Устранение одного звена позволяет полностью защититься от атаки. Традиционные средства защиты сосредоточены на изучении методов и целей атак. КАК ДЕЙСТВУЮТ ЗЛОУМЫШЛЕННИКИ? Атакующий

90 Цель атаки Атакующий МОДЕЛЬ ТРАДИЦИОННОЙ АТАКИ ( отношение «один к одному»)

91 Цель атаки Атакующий МОДЕЛЬ ТРАДИЦИОННОЙ АТАКИ (отношение «один ко многим»)

92 Цель атаки Промежуточный узел 1 Промежуточный узел 2 Атакующий МОДЕЛЬ ТРАДИЦИОННОЙ АТАКИ

93 Атакующий Цель атаки МОДЕЛЬ РАСПРЕДЕЛЕННОЙ АТАКИ (отношение «многие к одному»)

94 Цель атаки Атакующий МОДЕЛЬ РАСПРЕДЕЛЕННОЙ АТАКИ (ОТНОШЕНИЕ «МНОГИЕ КО МНОГИМ»)

95 ЭТАПЫ ОСУЩЕСТВЛЕНИЯ АТАКИ изучение окружения топология сети идентификация узлов сканирование портов идентификация ОС идентификация роли узла идентификация уязвимостей проникновение установление контроля чистка логов Сбор информации Реализация атаки Завершение атаки

96 ВИДЫ АТАК СНИФФЕРЫ ПАКЕТОВ IP-СПУФИНГ ПАРОЛЬНЫЕ АТАКИ АТАКИ ТИПА Man-in-the Middle АТАКИ НА УРОВНЕ ПРИЛОЖЕНИЙ СЕТЕВАЯ РАЗВЕДКА ЗЛОУПОТРЕБЛЕНИЕ ДОВЕРИЕМ ПЕРЕАДРЕСАЦИЯ ПОРТОВ ВИРУСЫ И ПРИЛОЖЕНИЯ ТИПА «ТОЯНСКОГО КОНЯ» ОТКАЗ В ОБСЛУЖИВАНИИ (Denial of Service DoS)

97 СНИФФЕР ПАКЕТОВ Сниффер пакетов представляет собой прикладную программу, которая использует сетевую карту, работающую в режиме promiscuous mode (в этом режиме все пакеты, полученные по физическим каналам, сетевой адаптер отправляет приложению для обработки). При этом сниффер перехватывает все сетевые пакеты, которые передаются через определенный домен. В настоящее время снифферы работают в сетях на вполне законном основании. Они используются для диагностики неисправностей и анализа графика. Однако ввиду того, что некоторые сетевые приложения передают данные в текстовом формате (Telnet, FTP, SMTP, РОРЗ и т.д.), с помощью сниффера можно узнать полезную, а иногда и конфиденциальную информацию (например, имена пользователей и пароли).

98 Угрозу сниффинга пакетов можно уменьшить с помощью следующих средств: Аутентификация; Коммутируемая инфраструктура; Анти-снифферы (так называемые анти-снифферы измеряют время реагирования хостов и определяют, не приходится ли хостам обрабатывать лишний график. Одно из таких средств, поставляемых компанией LOpht Heavy Industries, называется AntiSniff ; Криптография.

99 Обычно IP-спуфинг ограничивается вставкой ложной информации или вредоносных команд в обычный поток данных, передаваемых между клиентским и серверным приложением или по каналу связи между одноранговыми устройствами. Для двусторонней связи хакер должен изменить все таблицы маршрутизации, чтобы направить трафик на ложный IP-адрес. Некоторые хакеры, однако, даже не пытаются получить ответ от приложений. Если главная задача состоит в получении от системы важного файла, ответы приложений не имеют значения. Если же хакеру удается поменять таблицы маршрутизации и направить график на ложный IP-адрес, хакер получит все пакеты и сможет отвечать на них так, будто он является санкционированным пользователем. Атаки IP-спуфинга часто являются отправной точкой для прочих атак. Классический пример атака DoS, которая начинается с чужого адреса, скрывающего истинную личность хакера. IP -СПУФИНГ

100 Угрозу спуфинга можно ослабить (но не устранить) с помощью следующих мер: контроль доступа; фильтрация RFC 2827 (в результате отбраковывается весь трафик, который не имеет исходного адреса, ожидаемого на определенном интерфейсе; может выполнять и ваш провайдер (ISP));

101 Атаки DoS не нацелены на получение доступа к вашей сети или на получение из этой сети какой-либо информации. Атака DoS делает вашу сеть недоступной для обычного использования за счет превышения допустимых пределов функционирования сети, операционной системы или приложения. В случае использования некоторых серверных приложений (таких как web-сервер или FTP- сервер) атаки DoS могут заключаться в том, чтобы занять все соединения, доступные для этих приложений, и держать их в занятом состоянии, не допуская обслуживания обычных пользователей. Источником информации по вопросам безопасности является группа экстренного реагирования на компьютерные проблемы (CERT Computer Emergency Response Team), опубликовавшая отличную работу по борьбе с атаками DoS ( ОТКАЗ В ОБСЛУЖИВАНИИ (Denial of Service DoS)

102 Способы защиты от атак типа DoS Угроза атак типа DoS может снижаться тремя способами: функции анти-спуфинга функции анти-DoS; ограничение объема графика (traffic rate limiting).

103 Парольные атаки проводятся хакерами с помощью целого ряда методов, таких как простой перебор (brute force attack), троянский конь, IP-спуфинг и сниффинг пакетов. Хотя логин и пароль часто можно получить при помощи IP-спуфинга и сниффинга пакетов, хакеры часто пытаются подобрать пароль и логин, используя для этого многочисленные попытки доступа. Такой подход носит название простого перебора (brute force attack). ПАРОЛЬНЫЕ АТАКИ

104 Парольная защита Прежде всего, парольных атак можно избежать, если не пользоваться паролями в текстовой форме. Одноразовые пароли и/или криптографическая аутентификация могут практически свести на нет угрозу таких атак. Минимальная длина пароля должна быть не менее восьми символов. Пароль должен включать символы верхнего регистра, цифры и специальные символы #, %, $ и т.д.).

105 Для атаки типа Man-in-the-Middle хакеру нужен доступ к пакетам, передаваемым по сети. Такой доступ ко всем пакетам, передаваемым от провайдера в любую другую сеть, может, к примеру, получить сотрудник этого провайдера. Для атак этого типа часто используются снифферы пакетов, транспортные протоколы и протоколы маршрутизации. Атаки проводятся с целью кражи информации, перехвата текущей сессии и получения доступа к частным сетевым ресурсам, для анализа графика и получения информации о сети и ее пользователях, для проведения атак типа DoS, искажения передаваемых данных и ввода несанкционированной информации в сетевые сессии. АТАКИ ТИПА Man-in-the-Middle

106 Криптозащита Эффективно бороться с атаками типа Man-in-the- Middle можно только с помощью криптографии. Если хакер перехватит данные зашифрованной сессии, у него на экране появится не перехваченное сообщение, а бессмысленный набор символов. Однако, если хакер получит информацию о криптографической сессии (например, ключ сессии), это может сделать возможной атаку Man-in-the- Middle даже в зашифрованной среде.

107 Атаки на уровне приложений могут проводиться несколькими способами. Самый распространенный из них состоит в использовании хорошо известных слабостей серверного программного обеспечения (sendmail, HTTP, FTP). Сведения об атаках на уровне приложений широко публикуются, чтобы дать возможность администраторам исправить проблему с помощью коррекционных модулей (патчей). Главная проблема с атаками на уровне приложений состоит в том, что они часто пользуются портами, которым разрешен проход через межсетевой экран. К примеру, хакер, эксплуатирующий известную слабость web-сервера, часто использует в ходе атаки TCP порт 80. Поскольку web-сервер предоставляет пользователям web-страницы, межсетевой экран должен предоставлять доступ к этому порту. С точки зрения межсетевого экрана, атака рассматривается как стандартный трафик для порта 80. АТАКИ НА УРОВНЕ ПРИЛОЖЕНИЙ

108 Полностью исключить атаки на уровне приложений невозможно. Самое главное здесь хорошее системное администрирование. Меры, которые можно предпринять, чтобы снизить уязвимость для атак этого типа: Читайте лог-файлы операционных систем и сетевые лог-файлы и/или анализируйте их с помощью специальных аналитических приложений. Подпишитесь на услуги по рассылке данных о слабых местах прикладных программ: Bugtrad ( и CERT ( Пользуйтесь самыми свежими версиями операционных систем и приложений и самыми последними коррекционными модулями (патчами). Кроме системного администрирования, пользуйтесь системами распознавания атак (IDS). Существуют две взаимодополняющие друг друга технологии IDS.

109 Сетевой разведкой называется сбор информации о сети с помощью общедоступных данных и приложений. При подготовке атаки против какой-либо сети хакер, как правило, пытается получить о ней как можно больше информации. Сетевая разведка проводится в форме запросов DNS, эхо-тестирования (ping sweep) и сканирования портов. Запросы DNS помогают понять, кто владеет тем или иным доменом и какие адреса этому домену присвоены. Эхо-тестирование (ping sweep) адресов, раскрытых с помощью DNS, позволяет увидеть, какие хосты реально работают в данной среде. Получив список хостов, хакер использует средства сканирования портов, чтобы составить полный список услуг, поддерживаемых этим хостом. И наконец, хакер анализирует характеристики приложений, работающих на хостах. СЕТЕВАЯ РАЗВЕДКА

110 Полностью избавиться от сетевой разведки невозможно. Если, к примеру, отключить эхо ICMP и эхо-ответ на периферийных маршрутизаторах, вы избавитесь от эхо-тестирования, но потеряете данные, необходимые для диагностики сетевых сбоев. Кроме того, сканировать порты можно и без предварительного эхо-тестирования. Просто это займет больше времени, так как сканировать придется и несуществующие IP-адреса.

111 Этот тип действий условно является атакой или штурмом. Он представляет собой злонамеренное использование отношений доверия, существующих в сети. Классическим примером такого злоупотребления является ситуация в периферийной части корпоративной сети. В этом сегменте часто располагаются серверы DNS, SMTP и HTTP. Поскольку все они принадлежат к одному и тому же сегменту, взлом одного из них приводит к взлому и всех остальных, так как эти серверы доверяют другим системам своей сети. Другим примером является система, установленная с внешней стороны межсетевого экрана, имеющая отношения доверия с системой, установленной с его внутренней стороны. В случае взлома внешней системы хакер может использовать отношения доверия для проникновения в систему, защищенную межсетевым экраном. ЗЛОУПОТРЕБЛЕНИЕ ДОВЕРИЕМ

112 Риск злоупотребления доверием можно снизить за счет более жесткого контроля уровней доверия в пределах своей сети. Системы, расположенные с внешней стороны межсетевого экрана, никогда не должны пользоваться абсолютным доверием со стороны защищенных экраном систем. Отношения доверия должны ограничиваться определенными протоколами и, по возможности, аутентифицироваться не только по IP-адресам, но и по другим параметрам.

113 ПЕРЕАДРЕСАЦИЯ ПОРТОВ Переадресация портов представляет собой разновидность злоупотребления доверием, когда взломанный хост используется для передачи через межсетевой экран графика, который в противном случае был бы обязательно отбракован. Если хакер захватит хост общего доступа, он сможет установить на нем программное средство, перенаправляющее трафик с внешнего хоста прямо на внутренний хост. Хотя при этом не нарушается ни одно правило, действующее на экране, внешний хост в результате переадресации получает прямой доступ к защищенному хосту. Примером приложения, которое может предоставить такой доступ, является netcat. Более подробную информацию можно получить на сайте

114 Основным способом борьбы с переадресацией портов является использование надежных моделей доверия (см. предыдущий раздел). Кроме того, помешать хакеру установить на хосте свои программные средства может хост-система IDS (HIDS).

115 ВИРУСЫ И ПРИЛОЖЕНИЯ ТИПА «ТРОЯНСКИЙ КОНЬ» Вирусами называются вредоносные программы, которые внедряются в другие программы для выполнения определенной нежелательной функции на рабочей станции конечного пользователя. В качестве примера можно привести вирус, который прописывается в файле command.com (главном интерпретаторе систем Windows) и стирает другие файлы, а также заражает все другие найденные им версии command.com. Троянский конь это не программная вставка, а настоящая программа, которая выглядит как полезное приложение, а на деле выполняет вредную роль. Примером типичного троянского коня является программа, которая выглядит, как простая игра для рабочей станции пользователя. Однако пока пользователь играет в игру, программа отправляет свою копию по электронной почте каждому абоненту, занесенному в адресную книгу этого пользователя. Все абоненты получают по почте игру, вызывая ее дальнейшее распространение.

116 Борьба с вирусами и троянскими конями ведется с помощью эффективного антивирусного программного обеспечения, работающего на пользовательском уровне и, возможно, на уровне сети. Антивирусные средства обнаруживают большинство вирусов и троянских коней и пресекают их распространение.

117 Маршрутизатор АТАКА ИЗ ДОВЕРЕННОЙ СЕТИ ЧЕРЕЗ VPN - СОЕДИНЕНИЕ Intern e t Рабочая станция Межсетевой экран (с функцией VPN) Коммутатор Маршрутизатор Межсетевой экран (с функцией VPN) Коммутатор

118 АТАКА ПРИ ПОМОЩИ «ТРОЯНСКОГО КОНЯ» Interne t Рабочая станция (Resource) Рабочая станция Рабочая станция Рабочая станция Межсетевой экран Коммутатор Маршрутизатор SourceDestinationPortAction Truusted host Resource21Accept Внедрение «троянского коня» Truusted host

119 АТАКА ПУТЕМ ПОДМЕНЫ АДРЕСА Interne t Рабочая станция (Resource) Рабочая станция Рабочая станция Рабочая станция Межсетевой экран Коммутатор Маршрутизатор SourceDestinationPortAction Trusted host Resource2121Accept Доверенный узел (Truusted host)

120 АТАКА НА МЕЖСЕТЕВОЙ ЭКРАН Interne t Рабочая станция Рабочая станция Рабочая станция Рабочая станция Межсетевой экран Коммутатор Маршрутизатор

121 АТАКА ПУТЕМ ИСПОЛЬЗОВАНИЯ ПЕРЕХВАЧЕННОГО ПАРОЛЯ Interne t Рабочая станция Рабочая станция Рабочая станция Рабочая станция Межсетевой экран Коммутатор Маршрутизатор Сергей *****

122 МЕТОДИКА ХАКИНГА ПРЕДВАРИТЕЛЬНЫЙ СБОР ДАННЫХ СКАНИРОВАНИЕ ИНВЕНТАРИЗАЦИЯ ПОЛУЧЕНИЕ ДОСТУПА РАСШИРЕНИЕ ПРИВИЛЕГИЙ ПОЛУЧЕНИЕ ДАННЫХ СОКРЫТИЕ СЛЕДОВ СОЗДАНИЕ «ПОТАЙНЫХ ХОДОВ» ОТКАЗ В ОБСЛУЖИВАНИИ (DoS)

123 ПРЕДВАРИТЕЛЬНЫЙ СБОР ДАННЫХ ЦЕЛЬ ПРИЕМЫ СРЕДСТВА

124 СКАНИРОВАНИЕ ЦЕЛЬ ПРИЕМЫ СРЕДСТВА Исследование цели и идентификация работающих служб позволяет взломщику сконцентрировать свое внимание на наиболее доступных способах проникновения в систему Ping-прослушивание Сканирование TCP- и UDP-портов Определение версии операционной системы Ping-прослушивание Сканирование TCP- и UDP-портов Определение версии операционной системы fping, icmpenum, WS PingProPack nmap, SuperScan, fscan nmap. queso, siphon

125 ИНВЕНТАРИЗАЦИЯ ЦЕЛЬ ПРИЕМЫ СРЕДСТВА Более серьезные попытки начинаются с идентификации учетных записей пользователей или поиска плохо защищенных совместно используемых ресурсов Получение списка учетных записей пользователей Получение списка совместно используемых файлов Идентификация приложений Получение списка учетных записей пользователей Получение списка совместно используемых файлов Идентификация приложений Нулевой сеанс, DumpACL sid2user, OnSite Admin showmount, NAT, Legion Сбор маркеров с помощью telnet или netcat, rpcinfo

126 СРЕДСТВА ЦЕЛЬ К этому моменту собрано достаточно информации для реализации осознанной попытки проникновения в целевую систему К этому моменту собрано достаточно информации для реализации осознанной попытки проникновения в целевую систему ПОЛУЧЕНИЕ ДОСТУПА ПРИЕМЫ Перехват паролей Захват совместно используемых ресурсов Захват файла паролей Переполнение буфера Перехват паролей Захват совместно используемых ресурсов Захват файла паролей Переполнение буфера Tcpdump, LOphtcrack, readsmb NAT. legion tftp, pwdump2(NT) ttdb.brnd.HSHTR/ISM.DLL Tcpdump, LOphtcrack, readsmb NAT. legion tftp, pwdump2(NT) ttdb.brnd.HSHTR/ISM.DLL

127 СРЕДСТВА ЦЕЛЬ РАСШИРЕНИЕ ПРИВИЛЕГИЙ Если на предыдущем этапе взломщик пытался получить доступ к системе на уровне пользователя, то теперь он постарается захватить полный контрольная системой. ПРИЕМЫ Взлом паролей Известные программы взлома Взлом паролей Известные программы взлома John, LOphtcrack ls_messages, getadmm. sechole

128 ЦЕЛЬ ПРИЕМЫ СРЕДСТВА ПОЛУЧЕНИЕ ДАННЫХ Новый этап сбора информации с целью идентификации механизмов для получения доступа к доверенным системам Новый этап сбора информации с целью идентификации механизмов для получения доступа к доверенным системам Выявление доверительных отношений Поиск незашифрованных паролей Выявление доверительных отношений Поиск незашифрованных паролей rhosts, секреты LSA Данные пользователей, файлы конфигурации, системный реестр rhosts, секреты LSA Данные пользователей, файлы конфигурации, системный реестр

129 СРЕДСТВА ЦЕЛЬ СОКРЫТИЕ СЛЕДОВ ПРИЕМЫ Получив контроль над системой, взломщик должен скрыть этот факт от администратора, чтобы тот на прекратил его деятельность Очистка журналов Сокрытие средств Очистка журналов Сокрытие средств Zap, графический интерфейс утилиты просмотра журнала событий "Наборы отмычек", файловые потоки Zap, графический интерфейс утилиты просмотра журнала событий "Наборы отмычек", файловые потоки

130 ЦЕЛЬ ПРИЕМЫ СРЕДСТВА Если взломщику не удалось получить доступ к системе, в качестве последнего средства он может воспользоваться специальной программой для вывода из строя целевой системы Если взломщику не удалось получить доступ к системе, в качестве последнего средства он может воспользоваться специальной программой для вывода из строя целевой системы Бомбардировка пакетами SYN Методы ICMP Идентичные запросы SYN для источника и получателя Ошибки перекрытия фрагментов Выход за пределы параметров TCPDDoS Бомбардировка пакетами SYN Методы ICMP Идентичные запросы SYN для источника и получателя Ошибки перекрытия фрагментов Выход за пределы параметров TCPDDoS Если взломщику не удалось получить доступ к системе, в качестве последнего средства он может воспользоваться специальной программой для вывода из строя целевой системы ОТКАЗ В ОБСЛУЖИВАНИИ (DoS)

131 ОСНОВНЫЕ УЯЗВИМОСТИ КОРПОРАТИВНОЙ СЕТИ Internet Пограничный маршрутизатор Внутренний маршрутизатор брандмауэер Серверы Internet /демитаризованные зоны/ Внутренняя локальная сеть Рабочая станция Филиал Мобильный/ удаленный пользователь Установка удаленного соединения Выделенные каналы

Неадекватное управление доступом на уровне маршрутизатора. Неправильно настроенный список ACL маршрутизатора может привести к утечке информации через протоколы ICMP, IP, NetBIOS и, как следствие, к возможности несанкционированного доступа к службам сервера в демитализированной зоне.

Незащищенные и неконтролируемые пункты удаленного доступа являются одним из наиболее простых способов проникновения в корпоративную сеть. Удаленные пользователи зачастую соединяются в Internet, не позаботившись о надлежащей защите и подвергая опасности важные файлы.

Слишком доверительные отношения между доменами NT, или отношения заданные с помощью файлов.rhoits и hosts.equiv в UNIX могут предоставить взломщику возможность несанкционированного доступа к важным файлам.

Пользовательские или текстовые учетные записи с чрезмерно расширенными привилегиями.

Необновленное, устаревшее,уязвимое или установленное с принятыми по умолчанию параметрами программное обеспечение.

Несоблюдение или отсутствие политики безопасности, соответствующих процедур и рекомендаций.Несоблюдение или отсутствие политики безопасности, соответствующих процедур и рекомендаций.

Необоснованное предоставление совместного доступа к файлам и каталогам (совместно используемые ресурсы в NT,NFS в UNIX).Необоснованное предоставление совместного доступа к файлам и каталогам (совместно используемые ресурсы в NT,NFS в UNIX).

Не требующие аутентификации службы, например X WINDOWS, позволяют удаленно регистрировать нажатие клавиш.

Использование легко отгадываемых и повторно используемых паролей на уровне рабочей станции может стать причиной взлома сервера.Использование легко отгадываемых и повторно используемых паролей на уровне рабочей станции может стать причиной взлома сервера.

Плохо настроенные серверы Internet, особенно сценарии CGI на WEB - серверах, и анонимные FTP - серверы.Плохо настроенные серверы Internet, особенно сценарии CGI на WEB - серверах, и анонимные FTP - серверы.

Неправильно настроенный список ACL брандмауэра или маршрутизатора может обеспечить доступ к внутренним узлам напрямую или после взлома сервера из демилитаризованной зоны.Неправильно настроенный список ACL брандмауэра или маршрутизатора может обеспечить доступ к внутренним узлам напрямую или после взлома сервера из демилитаризованной зоны.

Узлы на которые запущены ненужные службы (например RPC, FTP, DNS, SMTP), могут быть легко взломаны.

Утечка информации может позволить взломщику узнать версию операционной системы и приложений, данные о пользователях, группах, совместно используемых ресурсах, информацию DNS с помощью переноса зоны и служб типа SNMP, finger, SMTP, telnet, rusers, rpcinfo, NetBIOS.

Не отвечающий требованиям подход к регистрации, мониторингу, и обнаружение аномалий на уровне сети и узлов.

146 ОБЩЕДОСТУПНЫЕ УТИЛИТЫ, СЦЕНАРИИ, СЛОВАРИ (

147 NOVELL Bindery vl.16. Выполняет инвентаризацию связки на серверах NetWare Bindin. Выполняет инвентаризацию связки на cерверах NetWare Chknull. Подсоединяется к нескольким серверам NetWare и выполняет поиск пользовательских учетных записей с отсутствующими или простыми паролями в данных службы связки. Finger. Выполняет инвентаризацию пользователей. IMP 2.0. Позволяет взломать пароли NDS системы NetWare в автономном режиме. NDSsnoop. Позволяет просмотреть деревья NDS.

148 NOVELL (продолжение) Nslist. Позволяет установить соединение с cервером NetWare. Knapsack. Утилита взлома NetWare в реальном времени. On-Site Admin. Средство администрирования системы NetWare. Pandora 3.0. Средства взлома NetWare. Remote. Позволяет получить пароль утилиты rconsole. Remote.pl. Сценарий на языке Perl, позволяющий расшифровать пароль утилиты rconsole. Snlist. Позволяет подсоединиться к серверам NetWare. Userdump. Позволяет получить данные о пользователях от службы связи NetWare. Userinfo. Позволяет получить данные о пользователях от службы связи NetWare.

149 UNIX Crack 5.0a. Утилита взлома паролей NT и UNIX Firewalk.99beta. Средство инвентаризации пограничного маршрутизатора и брандмауэра. Fping 2.2bl. Быстрая утилита ping-прослушивания. Hping.c. Простая утилита передачи пакетов TCP. Hunt 1.3. Средство перехвата TCP-пакетов. John the Ripper 1.6. Утилита взлома паролей NT и UNIX. Juggernaut. Средство перехвата TCP-пакетов. Netcat "Швейцарский армейский нож"; средство обмена информацией с использованием протоколов TCP и UDP.

150 UNIX (продолжение) Nmap Утилита сканирования TCP- и UDP- портов. Scotty Средство инвентаризации сетей и систем. Sniffit O.3.5. Анализатор пакетов Ethernet. Snmpsniff 1.0. Анализатор трафика SNMP. Strobe Утилита сканирования TCP-портов Wipe 1.0. Средство очистки журналов регистрации. Wzap.c. Средство очистки журналов регистрации. Zap.c. Средство очистки журналов регистрации.

151 WINDOWS NT DumpACL Утилита инвентаризации системы NT, теперь переименована в DumpSec. ELiTeWrap Программа для создания "троянских коней" для NT Genius 2.7. Утилита обнаружения сканирования TCP-портов, обладающая еще и многими другими возможностями Grinder. Средство для инвентаризации Web-узлов, разработанное группой Rhino9. John the Ripper for NT. Средство для взлома паролей NT и UNIX. Legion. Средство поиска совместно используемых ресурсов Windows.

152 WINDOWS NT (продолжение) Netcat for NT. "Швейцарский армейский нож", адаптированный для системы NT. Netviewx. Средство инвентаризации ресурсов NetBIO Nmap for NT. Утилита сканирования TCP- и UDP- портов: NTFSDOS. Драйвер для чтения файловой системы NTFS с загрузочного гибкого диска DOS. Pinger. Быстрая утилита ping-прослушивания от группы Rhino9. PortPro. Программа с графическим интерфейсом, предназначенная для быстрого сканирования портов; одновременно может работать только с одним портом.

153 WINDOWS NT Portscan. Простая программа с графическим интерфейсом, предназначенная для сканирования портов Pwdump. Средство для получения дампа базы данных SAM с хэш-кодами паролей. Pwdump2. Утилита, позволяющая получить дамп базы данных SAM из оперативной памяти. Revelation. Средство извлечения паролей из оперативной памяти. Samadump. Утилита, предназначенная для получения дампа базы данных SAM из файлов резервных копий SAM.

154 WINDOWS NT (продолжение) Scan. Простая программа сканирования портов NT из командной строки. Sid2user. Средство поиска имени пользователя по его идентификатору зашиты. Spade Сетевая утилита с разнообразными возможностями. User2sid. Средство поиска пользовательского идентификатора SID по заданному имени. Virtual Network Computing 3.3.2r6. Средство удаленного управления с графическим интерфейсом

155 СЛОВАРИ Общедоступные словари. Сборник словарей из Internet. Общедоступные списки слов. Список слов из Internet.

156 ПРОГРАММЫ АВТОПРОЗВОНА THC-SCAN 2.0. Программа автопрозвона для DOS, разработанная группой The Hackers Choce. ToneLoc. Одна из первых и наиболее популярных программ автопрозвона.

157 СЦЕНАРИИ, КОТОРЫЕ МОЖНО ИСПОЛЬЗОВАТЬ ДЛЯ ИНВЕНТАРИЗАЦИИ СЕТЕВЫХ РЕСУРСОВ Ntscan. Сценарий на языке Perl, предназначенный для инвентаризации сетевых ресурсов системы NT. Unixscan. Сценарий на языке Perl, предназначенный для инвентаризации сетевых ресурсов системы UNIX.

158 В ходе работы по определению угроз и формированию модели угроз проводится комплексное обследование ИСПДн основными направлениями которого являются: Анализ возможности физического доступа посторонних лиц к критичным с точки зрения защиты информации элементам ИСПДн и к объекту в целом. Анализ возможности утечки информации по побочным электромагнитным излучениям и наводкам (ПЭМИН). Анализ возможности перехвата речевой информации из помещений. Анализ возможности перехвата информации при передаче по проводным (кабельным) линиям связи. Анализ возможности перехвата информации при передаче по каналам радио и радиорелейной, тропосферной, космической связи. Анализ возможности несанкционированного доступа с применением программно- аппаратных и программных средств. Оценка актуальности угроз программно-математического воздействия. Оценка актуальности угроз безопасности информации от непреднамеренных несанкционированных действий пользователей. Анализ возможности преднамеренного или непреднамеренного электромагнитного воздействия. Оценка актуальности угроз неатропогенного характера (сбоев аппаратуры из-за ненадежности элементов, сбоев электропитания). Модель угроз безопасности ИС применительно к конкретной ИСПДн составляется оператором на этапах ее создания и (или) эксплуатации. Модель угроз безопасности информационной системы

159 Типовые модели угроз безопасности персональных данных, обрабатываемых в информационных системах персональных данных Типовая модель угроз безопасности персональных данных, обрабатываемых в АРМ, не имеющих подключения к сетям связи общего пользования и (или) сетям международного информационного обмена Типовая модель угроз безопасности персональных данных, обрабатываемых в АРМ, имеющих подключения к сетям связи общего пользования и (или) сетям международного информационного обмена Типовая модель угроз безопасности персональных данных, обрабатываемых в локальных ИСПДн, не имеющих подключения к сетям связи общего пользования и (или) сетям международного информационного обмена Типовая модель угроз безопасности персональных данных, обрабатываемых в локальных ИСПДн, имеющих подключения к сетям связи общего пользования и (или) сетям международного информационного обмена Типовая модель угроз безопасности персональных данных, обрабатываемых в распределенных ИСПДн, не имеющих подключения к сетям связи общего пользования и (или) сетям международного информационного обмена Типовая модель угроз безопасности персональных данных, обрабатываемых в распределенных ИСПДн, имеющих подключения к сетям связи общего пользования и (или) сетям международного информационного обмена 159

160 Типовая модель угроз безопасности персональных данных, обрабатываемых в АРМ, не имеющих подключения к сетям связи общего пользования и (или) сетям международного информационного обмена 160 Возможна реализация следующих угроз безопасности персональных данных: Угрозы утечки по техническим каналам: угрозы утечки акустической информации; угрозы утечки видовой информации; угрозы утечки информации по каналу ПЭМИН; Угрозы несанкционированного доступа к персональным данным, обрабатываемым на АРМ: реализуемые в ходе загрузки ОС, направленные на перехват паролей и идентификаторов, модификации BIOS, перехват управления загрузкой; реализуемые после загрузки, направленные на НСД с применением стандартных функций ОС, прикладных или специальных программ; угрозы внедрения вредоносных программ. Возможны следующие источники угроз безопасности персональных данных: нарушители, имеющие доступ к ИСПДн; аппаратные закладки; отчуждаемые носители вредоносных программ. Возможны все виды уязвимостей, за исключением уязвимостей, связанных с реализацией протоколов сетевого взаимодействия.

161 Типовые модели угроз безопасности персональных данных, обрабатываемых в ИСПДн 161 Виды угроз безопасности ИСПДн АРМЛокакальная Территор.распред Нет подкл. к СОП Есть подкл. к СОП Нет подкл. к СОП Есть подкл. к СОП Нет подкл. к СОП Есть подкл. к СОП Угрозы утечки по техническим каналам Нарушители, имеющие доступ к ИСПДн; угрозы НСД к ПДн, обрабатываемым на АРМ аппаратные закладки отчуждаемые носители вредоносных программ Нарушители, не имеющие доступа к ИСПДн, реализующих угрозы из внешних сетей: анализа сетевого трафика с перехватом информации сканирования выявления паролей получения НСД путем подмены доверенного объекта типа «Отказ в обслуживании» удаленного запуска приложений внедрения по сети вредоносных программ навязывания ложного маршрута путем изменения маршрутно-адресных данных Виды уязвимостей, не связанные с реализацией протоколов сетевого взаимодействия Виды уязвимостей, связанные с реализацией протоколов сетевого взаимодействия

162 Структура типовой модели угроз безопасности информации, обрабатываемой в информационной системе 162 Модель угроз безопасности информации, обрабатываемой на автоматизированных рабочих местах, не имеющих подключения к сетям связи общего пользования и сетям международного информационного обмена При обработке информации на автоматизированном рабочем месте, не имеющем подключения к сетям связи общего пользования и сетям международного информационного обмена возможна реализация следующих УБ: -угрозы утечки информации по техническим каналам; -угрозы НСД к информации, обрабатываемым в автоматизированном рабочем месте. 1. Основные угрозы обрабатываемой информации 2. Технические каналы утечки. Угрозы утечки информации по техническим каналам включают в себя: - угрозы утечки акустической (речевой) информации; - угрозы утечки видовой информации; - угрозы утечки информации по каналу ПЭМИН. Возникновение угроз утечки акустической (речевой) информации, содержащейся непосредственно в произносимой речи пользователя ИС, при обработке информации в ИС, возможно при наличием функций голосового ввода информации в ИС или функций воспроизведения информации акустическими средствами ИС. Реализация угрозы утечки видовой информации возможна за счет просмотра информации с помощью оптических (оптико-электронных) средств с экранов дисплеев и других средств отображения средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИС. Угрозы утечки информации по каналу ПЭМИН, возможны из-за наличия электромагнитных излучений, в основном, монитора и системного блока компьютера. Основную опасность представляют угрозы утечки из-за наличия электромагнитных излучений монитора Обоснование наличия, возможности технических каналов утечки

163 Структура типовой модели угроз безопасности информации, обрабатываемой в информационной системе 163 Угрозы НСД в автономном АРМ связаны с действиями нарушителей, имеющих доступ к ИС, включая пользователей ИС, реализующие угрозы непосредственно в ИС. Кроме этого, источниками угроз НСД к информации в АРМ могут быть аппаратные закладки и отчуждаемые носители вредоносных программ. В ИС на базе автономного АРМ возможны все виды уязвимостей ИС, за исключением уязвимостей, связанных с реализацией протоколов сетевого взаимодействия и каналов передачи данных. 3. Угрозы создаваемые НСД 3.1 Угрозы НСД связанные с действиями нарушителей имеющих доступ к ИСПДН 3.2 Угрозы НСД из внешних сетей В ИС возможны: - угрозы, реализуемые в ходе загрузки операционной системы и направленные на перехват паролей или идентификаторов, модификацию базовой системы ввода/ вывода (BIOS), перехват управления загрузкой; - угрозы, реализуемые после загрузки операционной системы и направленные на выполнение несанкционированного доступа с применением стандартных функций (уничтожение, копирование, перемещение, форматирование носителей информации и т.п.) операционной системы или какой-либо прикладной программы (например, системы управления базами данных), с применением специально созданных для выполнения НСД программ (программ просмотра и модификации реестра, поиска текстов в текстовых файлах и т.п.); - угрозы внедрения вредоносных программ. Угрозы из внешних сетей включают в себя: - угрозы «Анализа сетевого трафика» с перехватом передаваемой в внешние сети и принимаемой из внешних сетей информации; - угрозы сканирования, направленные на выявление типа операционной системы АРМ, открытых портов и служб, открытых соединений и др.; - угрозы выявления паролей; - угрозы получения НСД путем подмены доверенного объекта; - угрозы типа «Отказ в обслуживании»; - угрозы удаленного запуска приложений; - угрозы внедрения по сети вредоносных программ.

164 МЕТОДИЧЕСКИЕ РЕКОМЕНДАЦИИ по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации Методические документы ФСБ России в области обеспечения безопасности персональных данных, при их обработке в ИСПД 164 ТИПОВЫЕ ТРЕБОВАНИЯ по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных

165 В : Методология формирования модели угроз Общие принципы Разработка модели угроз должна базироваться на следующих принципах: 1) Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных (п. 2.2 Методических рекомендаций). 2) При формировании модели угроз необходимо учитывать как угрозы, осуществление которых нарушает безопасность персональных данных (далее – прямая угроза), так и угрозы, создающие условия для появления прямых угроз (далее – косвенные угрозы) или косвенных угроз. 3) Персональные данные обрабатываются и хранятся в информационной системе с использованием определенных информационных технологий и технических средств, порождающих объекты защиты различного уровня, атаки на которые создают прямые или косвенные угрозы защищаемой информации. 4) Криптосредство штатно функционирует совместно с техническими и программными средствами, которые способны повлиять на выполнение предъявляемых к криптосредству требований и которые образуют среду функционирования криптосредства (СФК). 5) Система защиты персональных данных не может обеспечить защиту информации от действий, выполняемых в рамках предоставленных субъекту действий полномочий (например, криптосредство не может обеспечить защиту информации от раскрытия лицами, которым предоставлено право на доступ к этой информации). 6) Нарушитель может действовать на различных этапах жизненного цикла криптосредства и СФК (под этими этапами в настоящем документе понимаются разработка, производство, хранение, транспортировка, ввод в эксплуатацию, эксплуатация программных и технических средств криптосредства и СФК). 7) Для обеспечения безопасности персональных данных при их обработке в информационных системах должны использоваться сертифицированные в системе сертификации ФСБ России (имеющие положительное заключение экспертной организации о соответствии требованиям нормативных документов по безопасности информации) криптосредства. В случае определения оператором необходимости обеспечения безопасности персональных данных с использованием криптосредств при формировании модели угроз используются Методические документы ФСТЭК России и Методические рекомендации ФСБ России. При этом из двух содержащихся в документах ФСТЭК и ФСБ России однотипных угроз выбирается более опасная. Модель угроз безопасности информационной системы при необходимости использования криптографических средств

Определение условий создания и использования персональных данных - субъекты, создающие персональные данные (в качестве такого субъекта может выступать лицо или его представитель в виде программного или технического средства) - субъекты, которым персональные данные предназначены; - правила доступа к защищаемой информации; - информационные технологии, базы данных, технические средства, используемые для создания и обработки персональных данных; - используемые в процессе создания и использования персональных данных объекты, которые могут быть объектами угроз, создающими условия для появления угроз персональным данным. Такого рода объектами могут быть, например, технические и программные средства. 2. Описание форм представления персональных данных Необходимо дать описание этих форм представления (форм фиксации) персональных данных. К таким формам относятся области оперативной памяти, файлы, записи баз данных, почтовые отправления и т.д. 3. Описание информации, сопутствующей процессам создания и использования персональных данных- ключевая, аутентифицирующая и парольная информация криптосредства - криптографически опасная информация (КОИ); - конфигурационная информация; - управляющая информация; - информация в электронных журналах регистрации; - побочные сигналы, которые возникают в процессе функционирования технических средств и в которых полностью или частично отражаются персональные данные или другая защищаемая информация; - резервные копии файлов с защищаемой информацией, которые могут создаваться в процессе обработки этих файлов; - остаточная информация на носителях информации. 4. Определение характеристик безопасности - угроза уничтожения защищаемой информации; - угроза нарушения целостности защищаемой информации; - угроза нарушения доступности защищаемой информации. Методология формирования модели угроз верхнего уровня предусматривает: Модель угроз верхнего уровня предназначена для определения характеристик безопасности защищаемых персональных данных и других объектов защиты (принципы 2 и 3). Эта модель также определяет исходные данные для детализированной модели угроз.

167 В : Структура угроз, не являющихся атаками: угрозы, не связанные с деятельностью человека: стихийные бедствия и природные явления (землетрясения, наводнения, ураганы и т.д.); угрозы социально–политического характера: забастовки, саботаж, локальные конфликты и т.д.; ошибочные действия и (или) нарушения тех или иных требований лицами, санкционировано взаимодействующими с возможными объектами угроз. (Для автоматизированной системы в защищенном исполнении (АСЗИ), к таким действиям и нарушениям, в частности, относятся: непредумышленное искажение или удаление программных компонентов АСЗИ; внедрение и использование неучтенных программ; игнорирование организационных ограничений (установленных правил) при работе с ресурсами АСЗИ, включая средства защиты информации. В частности: нарушение правил хранения информации ограниченного доступа, используемой при эксплуатации средств защиты информации (в частности, ключевой, парольной и аутентифицирующей информации); предоставление посторонним лицам возможности доступа к средствам защиты информации, а также к техническим и программным средствам, способным повлиять на выполнение предъявляемых к средствам защиты информации требований; -настройка и конфигурирование средств защиты информации, а также технических и программных средств, способных повлиять на выполнение предъявляемых к средствам защиты информации требований, в нарушение нормативных и технических документов; несообщение о фактах утраты, компрометации ключевой, парольной и аутентифицирующей информации, а также любой другой информации ограниченного доступа. угрозы техногенного характера, основными из которых являются: аварии (отключение электропитания, системы заземления, разрушение инженерных сооружений и т.д.); неисправности, сбои аппаратных средств, нестабильность параметров системы электропитания, заземления и т.д.; помехи и наводки, приводящие к сбоям в работе аппаратных средств. Методология формирования детализированной модели угроз предусматривает: Детализированная модель угроз предназначена для определения требуемого уровня криптографической защиты.

168 В : Этапы разработки, производства, хранения, транспортировки, ввода в эксплуатацию технических и программных средств криптосредства и среды функционирования криптосредств (СФК) - внесение негативных функциональных возможностей в технические и программные компоненты криптосредства и СФК, в том числе с использованием вредоносных программ (компьютерные вирусы, «троянские кони» и т.д.); - внесение несанкционированных изменений в документацию на криптосредство и технические и программные компоненты СФК. Этап эксплуатации технических и программных средств криптосредства и СФК К существенным признакам атак на этапе эксплуатации технических и программных средств криптосредства и СФК можно отнести: - нарушителя - субъекта атаки; - объект атаки; - цель атаки; - имеющуюся у нарушителя информацию об объекте атаки; - имеющиеся у нарушителя средства атаки; - канал атаки. Модель угроз содержит максимально полное описание угроз безопасности объекта. Модель нарушителя содержит описание предположения о возможностях нарушителя, которые он может использовать для разработки и проведения атак, а также об ограничениях на эти возможности. Детализированная модель угроз предназначена для определения требуемого уровня криптографической защиты.

169 В : Раздел модели нарушителя должен содержать: 1. Перечень лиц, которые не рассматриваются в качестве потенциальных нарушителей, и обоснование этого перечня (при необходимости). категория I – лица, не имеющие права доступа в контролируемую зону информационной системы; категория II – лица, имеющие право постоянного или разового доступа в контролируемую зону информационной системы. внешних нарушителей, осуществляющих атаки из-за пределов контролируемой зоны информационной системы; внутренних нарушителей, осуществляющих атаки, находясь в пределах контролируемой зоны информационной системы. 2. Предположение о невозможности сговора нарушителей (для всех типов нарушителей) или предположения о возможном сговоре нарушителей и о характере сговора, включая перечисление дополнительных возможностей, которые могут использовать находящиеся в сговоре нарушители для подготовки и проведения атак (для нарушителей типа Н4 - Н6). 3. Предположения об имеющейся у нарушителя информации об объектах атак. 4. Предположения об имеющихся у нарушителя средствах атак. 5. Описание каналов атак. 6. Определение типа нарушителя. Нарушитель относится к типу Нi, если среди предположений о его возможностях есть предположение, относящееся к нарушителям типа Нi и нет предположений, относящихся только к нарушителям типа Нj (j > i). Нарушитель относится к типу Н6 в информационных системах, в которых обрабатываются наиболее важные персональные данные, нарушение характеристик безопасности которых может привести к особо тяжелым последствиям. Рекомендуется при отнесении оператором нарушителя к типу Н6 согласовывать модель нарушителя с ФСБ России. Различают шесть основных типов нарушителей: Н1, Н2,..., Н6. Предполагается, что нарушители типа Н5 и Н6 могут ставить работы по созданию способов и средств атак в научно-исследовательских центрах, специализирующихся в области разработки и анализа криптосредств и СФК. Возможности нарушителя типа Нi+1 включают в себя возможности нарушителя типа Нi (1 i 5). Описание нарушителей (субъектов атак)

170 В : Уровень криптографической защиты персональных данных, обеспечиваемой криптосредством, определяется оператором путем отнесения нарушителя, действиям которого должно противостоять криптосредство, к конкретному типу. При отнесении заказчиком нарушителя к типу Н1 криптосредство должно обеспечить криптографическую защиту по уровню КС1, к типу Н2 – КС2, к типу Н3 – КС3, к типу Н4 – КВ1, к типу Н5 – КВ2, к типу Н6 – КА1. Различают три уровня КС, КВ и КА специальной защиты от утечки по каналам побочных излучений и наводок при защите персональных данных с использованием криптосредств. При отнесении нарушителя к типу Н1-Н3 должна быть обеспечена специальная защита по уровню КС, к типу Н4-Н5 – по уровню КВ, к типу Н6 – по уровню КА. В случае принятия оператором решения о защите персональных данных в информационной системе от несанкционированного доступа в соответствии с нормативными документами ФСБ России различают шесть уровней АК1, АК2, АК3, АК4, АК5, АК6 защиты от несанкционированного доступа к персональным данным в информационных системах, определенных в порядке возрастания количества и жесткости предъявляемых к системам защиты требований, и, соответственно, шесть классов информационных систем, также обозначаемых через АК1, АК2, АК3, АК4, АК5, АК6. При отнесении заказчиком нарушителя к типу Н1 в информационной системе должна быть обеспечена защита от несанкционированного доступа к персональным данным по уровню АК1, к типу Н2 – по уровню АК2, к типу Н3 – по уровню АК3, к типу Н4 – по уровню АК4, к типу Н5 – по уровню АК5, к типу Н6 – по уровню АК6. Различают шесть уровней КС1, КС2, КС3, КВ1, КВ2, КА1 криптографической защиты персональных данных, не содержащих сведений, составляющих государственную тайну, определенных в порядке возрастания количества и жесткости предъявляемых к криптосредствам требований, и, соответственно, шесть классов криптосредств, также обозначаемых через КС1, КС2, КС3, КВ1, КВ2, КА1. Уровень криптографической защиты персональных данных, уровни специальной защиты от утечки по каналам побочных излучений и наводок и уровни защиты от НСД

В качестве нарушителя рассматривается субъект, имеющий доступ к работе с штатными средствами АС и СВТ как части АС. Нарушители классифицируются по уровню возможностей, предоставляемых им штатными средствами АС и СВТ. Выделяется четыре уровня этих возможностей. Классификация является иерархической, т.е. каждый следующий уровень включает в себя функциональные возможности предыдущего Первый уровень определяет самый низкий уровень возможностей ведения диалога в АС - запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации. Второй уровень определяется возможностью создания и запуска собственных программ с новыми функциями по обработке ин­формации. Третий уровень определяется возможностью управления функционированием АС, т.е. воздействием на базовое программное обеспечение системы и на состав и конфигурацию ее оборудования. Четвертый уровень определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт техни­ческих средств АС, вплоть до включения в состав СВТ собствен­ных технических средств с новыми функциями по обработке инфор­мации В своем уровне нарушитель является специалистом высшей квалификации, знает все о АС и, в частности, о системе и средствах ее защиты. РУКОВОДЯЩИЙ ДОКУМЕНТ «К О Н Ц Е П Ц И Я ЗАЩИТЫ СВТ И АС ОТ НСД К ИНФОРМАЦИИ» Модель нарушителя в АС

ОСНОВНЫЕ СПОСОБЫ НСД 5.1. К основным способам НСД относятся: непосредственное обращение к объектам доступа; создание программных и технических средств, выполняющих обращение к объектам доступа в обход средств защиты; модификация средств защиты, позволяющая осуществить НСД; внедрение в технические средства СВТ или АС программных или технических механизмов, нарушающих предполагаемую структу­ру и функции СВТ или АС и позволяющих осуществить НСД. РУКОВОДЯЩИЙ ДОКУМЕНТ «К О Н Ц Е П Ц И Я ЗАЩИТЫ СВТ И АС ОТ НСД К ИНФОРМАЦИИ» Модель нарушителя в АС

173 Санкт-Петербург 2010 год Методические рекомендации по разработке частной модели угроз безопасности персональным данным для информационной системы персональных данных предприятия. Ведущий эксперт Управления Федеральной службы по техническому и экспортному контролю по Северо-Западному федеральному округу, Катаржнов Александр Демьянович кандидат технических наук, доцент Негосударственное образовательное учреждение дополнительного образования "Учебный центр "ЭВРИКА"

174 Порядок формирования частной Модели угроз безопасности персональным данным Модель угроз формируется и утверждается оператором в соответствии с методическими документами ФСТЭК, ФСБ и других ведомственных документов, разработанными в соответствии с пунктом 2 постановления Правительства Российской Федерации от 17 ноября 2007 г. 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных». В соответствии с п. 12 указанного Положения необходимым условием разработки системы защиты персональных данных является формирование модели угроз безопасности персональных данных (модели угроз). Кроме этого, в соответствии с п. 16 «Порядка проведения классификации информационных систем персональных данных, утвержденный приказом ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 года 55/86/20 модель угроз необходима для определения класса специальной информационной системы. Модель угроз может быть пересмотрена: по решению оператора на основе периодически проводимых им анализа и оценки угроз безопасности персональных данных с учетом особенностей и (или) изменений конкретной информационной системы; по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационной системе.

175 Методология формирования частной Модели угроз Разработка модели угроз должна базироваться на следующих принципах: Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных (СЗПДн). При формировании модели угроз необходимо учитывать как угрозы, осуществление которых нарушает безопасность персональных данных (далее – прямая угроза), так и угрозы, создающие условия для появления прямых угроз (далее – косвенные угрозы) или косвенных угроз. Персональные данные обрабатываются и хранятся в информационной системе с использованием определенных информационных технологий и технических средств, порождающих объекты защиты различного уровня, атаки на которые создают прямые или косвенные угрозы защищаемой информации. Система защиты персональных данных не может обеспечить защиту информации от действий, выполняемых в рамках предоставленных субъекту действий полномочий (например, СЗПДн не может обеспечить защиту информации от раскрытия лицами, которым предоставлено право на доступ к этой информации).

176 Этапы формирования частной Модели угроз Для разработки модели угроз необходимо последовательно осуществить следующие шаги: описать ИСПДн; определить пользователей ИСПДн; определить тип ИСПДн; определить исходный уровень защищенности ИСПДн; определить вероятность реализации угроз в ИСПДн; определить возможность реализации угроз в ИСПДн; оценить опасность угроз; определить актуальность угроз в ИСПДн; После прохождения всех шагов будет сформирована частная модель угроз. Модель угроз составляется для каждой выявленной ИСПДн и оформляется в виде документа Модель угроз безопасности персональных данных Модель угроз безопасности персональных данных

177 Описание ИСПДн Описание ИСПДн является первым шагом при построении модели угроз и осуществляется на этапе сбора и анализа исходных данных. Описание ИСПДн состоит из следующих пунктов: описание условий создания и использования ПДн; описание форм представления ПДн; описание структуры ИСПДн; описание характеристик безопасности.

178 Определение условий создания и использования персональных данных Должны быть описаны условия создания и использования персональных данных. Для этого определяются характер и структура обрабатываемых персональных данных: цель обработки ПДн; состав ПДн (фамилия, имя, отчество, дата рождения, паспортные данные, сведения о состоянии здоровья (перечислить) и т.п.); действия осуществляемые с данными в ходе их обработки (действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных); условия прекращения обработки; субъекты, создающие персональные данные (в качестве такого субъекта может выступать лицо или его представитель в виде программного или технического средства); субъекты, которым персональные данные предназначены; правила доступа к защищаемой информации; информационные технологии, базы данных, технические средства, используемые для создания и обработки персональных данных; используемые в процессе создания и использования персональных данных объекты, которые могут быть объектами угроз, создающими условия для появления угроз персональным данным. Такого рода объектами могут быть, например, технические и программные средства. Определение условий создания и использования ПДн осуществляется на основании Отчета о результатах проведения аудита (внутренней проверки).Отчета о результатах проведения аудита (внутренней проверки

179 Описание форм представления персональных данных Персональные данные имеют различные формы представления (носители ПДн) с учетом используемых в информационной системе информационных технологий и технических средств. Носитель ПДн – материальный объект, в том числе физическое поле, в котором ПДн находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин. Носители ПДн могут содержать информацию, представленную в следующих видах: акустическая (речевая) информация, содержащаяся непосредственно в произносимой речи пользователя ИСПДн при осуществлении им функции голосового ввода ПДн в ИСПДн, либо воспроизводимой акустическими средствами ИСПДн (если такие функции предусмотрены технологией обработки ПДн), а также содержащаяся в электромагнитных полях и электрических сигналах, которые возникают за счет преобразований акустической информации; видовая информация, представленная в виде текста и изображений различных устройств отображения информации средств вычислительной техники, информационно-вычислительных комплексов, технических средства обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИСПДн; информация, обрабатываемая (циркулирующая) в ИСПДн, в виде электрических, электромагнитных, оптических сигналов;

180 Описание форм представления персональных данных (продолжение) информация, обрабатываемая в ИСПДн, представленная в виде бит, байт, IP-протоколов, файлов и других логических структур. Необходимо дать описание носителей персональных данных. Основными носителями ПДн в ИСПДн Предприятий являются: видовая информация; информация, обрабатываемая в ИСПДн, представленная в виде бит, байт, IP-протоколов, файлов и других логических структур. Остальные типы носителей можно исключить по следующим причинам: акустическую (речевую) информацию, если в ИСПДн не производится голосового ввода персональных данных; информация, обрабатываемая (циркулирующая) в ИСПДн, в виде электрических, электромагнитных, оптических сигналов, если все элементы ИСПДн находятся внутри контролируемой зоны. Формы представления и носители ПДн определятся на основании Отчета о результатах проведения внутренней проверки Отчета о результатах проведения внутренней проверки

181 Описание структуры ИСПДн На основе анализа условий создания и использования персональных данных должны быть определены элементы и информация, сопутствующая процессам создания и использования персональных данных. После этого должна быть описана структура и представлена схеме ИСПДн, а так же описаны элементы ИСПДн: Технические средства ИСПДн, в том числе: –Описание серверов баз данных, где хранятся ПДн. Если сервера БД имеют уникальную программную, техническую или логическую структуру, необходимо описание каждого сервера. –Описание серверов БД, расположенных вне пределов контролируемой зоны или являющихся частью других ИСПДн, с которыми ваша информационная система обменивается данными. –Описание АРМ пользователей. Если в вашей информационной системе АРМ пользователей унифицированы, то достаточно перечислить программное обеспечение используемое, при обработке ПДн и установленные средства безопасности. Используемые каналы связи, с помощью которых ИСПДн обменивается данными с другими системами. Каналом связи так же является подключение всей ИСПДн или ее элементов к сети международного обмена Интернет, даже если режим работы информационной системы не предполагает служебной необходимости передачи данных по сетям общего пользования и международного обмена. Структура ИСПДн определяется на основании Отчета о результатах проведения аудита (внутренней проверки).Отчета о результатах проведения аудита (внутренней проверки

182 Определение характеристик безопасности Так же необходимо определить характеристики безопасности элементов системы и всей ИСПДн в целом. Основными (классическими) характеристиками безопасности являются конфиденциальность, целостность и доступность. Конфиденциальность информации – обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя. Целостность информации – способность средства вычислительной техники или информационной системы обеспечивать неизменность информации в условиях случайного и/или преднамеренного искажения (разрушения). Доступность информации – состояние информации (ресурсов автоматизированной информационной системы), при котором субъекты, имеющие право доступа, могут реализовывать их беспрепятственно. При обработке персональных данных в ИСПДн предприятий необходимо обеспечить следующие характеристики безопасности – конфиденциальность, целостность. Выбранные характеристики безопасности ПДн отражаются в Акте классификации информационной системы персональных данных.Акте классификации информационной системы персональных данных

183 Пользователи ИСПДн В данном разделе Вам необходимо составить матрицу доступа. Матрица доступа в табличной форме отражает права всех групп пользователей ИСПДн на действия с персональными данными. Действия (операции) с персональными данными, включают сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных). Есть три основные группы пользователей ИСПДн (группы должны быть описаны в Концепции информационной безопасности):Концепции информационной безопасности Администраторы ИСПДн, осуществляющие настройку и установку технических средств ИСПДн и обеспечивающие ее бесперебойную работу; Разработчики ИСПДн, осуществляющие разработку и поддержку программного обеспечения собственной разработки или стандартных программ, специально доработанных под нужды организации; Операторы ИСПДн, осуществляющие текущую работу с персональными данными.

184 Пользователи ИСПДн (продолжение) Каждая группа может быть уточнена (пример уточнения описан в Политике информационной безопасности), например, может быть две группы Операторов ИСПДн. Первая осуществляет лишь сбор и систематизацию персональных данных, вторая – уточнение, использование и распространение. В матрице доступа должно быть описание всех групп, обладающих правами на определенные действия с ПДн. Должен быть уточнен список разрешенных действий каждой из групп. Политике информационной безопасности Должен быть описан порядок предоставления и прекращения доступа тем или иным пользователям. При наступлении, каких событий (прием и увольнение с работы, инициатива или требование руководителя, службы безопасности и т.п.) и на основании каких документов (политик и инструкций) происходит предоставление и прекращение доступа. Впоследствии сотрудники выявленных групп пользователей, должны быть рассмотрены в качестве потенциальных нарушителей.

185 Типизация ИСПДн Исходя из характеристик ИСПДн, определяется тип ИСПДн Предприятий. Существуют следующие типы ИСПДн: Автономная ИС I типа – однопользовательское, автономное рабочее место, не имеющее подключения к сетям связи общего пользования и (или) сетям международного информационного обмена информационные системы. Автономная ИС II типа – однопользовательское, автономное рабочее место, имеющее подключение к сетям связи общего пользования и (или) сетям международного информационного обмена информационные системы. Автономная ИС III типа – многопользовательское автономное рабочее место, не имеющее подключения к сетям связи общего пользования и (или) сетям международного информационного обмена информационные системы, без разграничения прав доступа. Автономная ИС IV типа – многопользовательское, автономное рабочее место, имеющее подключение к сетям связи общего пользования и (или) сетям международного информационного обмена информационные системы, без разграничения прав доступа. Автономная ИС V типа – многопользовательское, автономное рабочее место, не имеющее подключения к сетям связи общего пользования и (или) сетям международного информационного обмена информационные системы, с разграничением прав доступа. Автономная ИС VI типа – многопользовательское, автономное рабочее место, имеющее подключение к сетям связи общего пользования и (или) сетям международного информационного обмена информационные системы, с разграничением прав доступа.

186 Типизация ИСПДн (продолжение) Необходимо определить к какому типу относится ИСПДн. После чего, в соответствии с типом ИСПДн, определить уровень исходной защищенности, вероятность и возможность реализации угроз, их опасность и актуальность. Определение исходного уровня защищенности определяется на основании Отчета о результатах проведения аудита (внутренней проверки)Отчета о результатах проведения аудита (внутренней проверки модели угроз безопасности персональных данных при их обработке в ИСПДн» В приложении к «Базовой модели угроз безопасности персональных данных при их обработке в ИСПДн» представлены обобщенные частные модели угроз для различных типов ИСПДн.

187 Вероятность реализации угроз безопасности Классификация угроз безопасности Состав и содержание УБПДн определяется совокупностью условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к ПДн обрабатываемым в ИСПДн. ИСПДн предприятий представляют собой совокупность информационных и программно-аппаратных элементов и их особенностей как объектов обеспечения безопасности. Основными элементами ИСПДн являются: персональные данные, обрабатываемые в ИСПДн; информационные технологии, как совокупность приемов, способов и методов применения средств вычислительной техники при обработке ПДн; технические средства ИСПДн, осуществляющие обработку ПДн (средства вычислительной техники (СВТ), информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн; программные средства (операционные системы, системы управления базами данных и т.п.); средства защиты информации (СЗИ), включая СКЗИ; вспомогательные технические средства и системы (технические средства и системы, их коммуникации, не предназначенные для обработки ПДн, но размещенные в помещениях, в которых расположены ИСПДн, такие как средства вычислительной техники, средства и системы охранной и пожарной сигнализации, средства и системы кондиционирования, средства электронной оргтехники и т.п.) (далее - ВТСС); документация на СКЗИ и на технические и программные компоненты ИСПДн; ключевая, аутентифицирующая и парольная информация; помещения, в которых находятся защищаемые ресурсы.

188 Вероятность реализации угроз безопасности Угроза безопасности ПДн реализуется в результате образования канала реализации УБПДн между источником угрозы и носителем (источником) ПДн, что создает необходимые условия для нарушения безопасности ПДн (несанкционированный или случайный доступ). Основными элементами канала реализации УБПДн являются: источник УБПДн – субъект, материальный объект или физическое явление, создающие УБПДн; среда (путь) распространения ПДн или воздействий, в которой физическое поле, сигнал, данные или программы могут распространяться и воздействовать на защищаемые свойства (конфиденциальность, целостность, доступность) ПДн; носитель ПДн – физическое лицо или материальный объект, в том числе физическое поле, в котором ПДн находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин. Источниками угроз НСД в ИСПДн могут быть: нарушитель; носитель вредоносной программы.

189 Классификация нарушителей По признаку принадлежности к ИСПДн все нарушители делятся на две группы: внешние нарушители – физические лица, не имеющие права пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИСПДн; внутренние нарушители – физические лица, имеющие право пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИСПДн. Внешний нарушитель В качестве внешнего нарушителя информационной безопасности, рассматривается нарушитель, который не имеет непосредственного доступа к техническим средствам и ресурсам системы, находящимся в пределах контролируемой зоны. Предполагается, что внешний нарушитель не может воздействовать на защищаемую информацию по техническим каналам утечки, так как объем информации, хранимой и обрабатываемой в ИСПДн, является недостаточным для возможной мотивации внешнего нарушителя к осуществлению действий, направленных утечку информации по техническим каналам утечки. Предполагается, что внешний нарушитель может воздействовать на защищаемую информацию только во время ее передачи по каналам связи.

190 Классификация нарушителей Внутренние нарушители. К внутренним нарушителям могут относиться (список лиц должен быть уточнен в соответствии с группами пользователей описанных в Политике информационной безопасности): Политике информационной безопасности администраторы ИСПДн (категория I); администраторы конкретных подсистем или баз данных ИСПДн (категория II); пользователи ИСПДн (категория III); пользователи, являющиеся внешними по отношению к конкретной АС (категория IV); лица, обладающие возможностью доступа к системе передачи данных (категория V); сотрудники ЛПУ, имеющие санкционированный доступ в служебных целях в помещения, в которых размещаются элементам ИСПДн, но не имеющие права доступа к ним (категория VI); обслуживающий персонал (охрана, работники инженерно–технических служб и т.д.) (категория VII); уполномоченный персонал разработчиков ИСПДн, который на договорной основе имеет право на техническое обслуживание и модификацию компонентов ИСПДн (категория VIII).

191 Классификация уязвимостей ИСПДн Уязвимость ИСПДн – недостаток или слабое место в системном или прикладном программном (программно-аппаратном) обеспечении автоматизированной информационной системы, которое может быть использовано для реализации угрозы безопасности персональных данным. Причинами возникновения уязвимостей являются: ошибки при проектировании и разработке программного (программно-аппаратного) обеспечения; преднамеренные действия по внесению уязвимостей в ходе проектирования и разработки программного (программно-аппаратного) обеспечения; неправильные настройки программного обеспечения, неправомерное изменение режимов работы устройств и программ; несанкционированное внедрение и использование неучтенных программ с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях); внедрение вредоносных программ, создающих уязвимости в программном и программно- аппаратном обеспечении; несанкационированные неумышленные действия пользователей, приводящие к возникновению уязвимостей; сбои в работе аппаратного и программного обеспечения (вызванные сбоями в электропитании, выходом из строя аппаратных элементов в результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.). Различают следующие группы основных уязвимостей: уязвимости системного программного обеспечения (в том числе протоколов сетевого взаимодействия); уязвимости прикладного программного обеспечения (в том числе средств защиты информации).

192 Определение угроз безопасности персональным данным Определение угроз безопасности персональным данным (УБПДн) производится на основании Отчета о результатах проведения аудита (внутренней проверки).Отчета о результатах проведения аудита (внутренней проверки Список угроз безопасности персональным данным может быть скорректирован в зависимости от типа ИСПДн. Так, если ИСПДн не имеет подключения к сетям общего пользования и (или) международного обмена, то Угрозы несанкционированного доступа по каналам связи, можно убрать из общего списка угроз.

193 Определение вероятности реализации УБПДн Под вероятностью реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для ИСПДн в складывающихся условиях обстановки. Числовой коэффициент (Y2) для оценки вероятности возникновения угрозы определяется по 4 вербальным градациям этого показателя: маловероятно - отсутствуют объективные предпосылки для осуществления угрозы (Y2 = 0); низкая вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (Y2 = 2); средняя вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны (Y2 = 5); высокая вероятность - объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты (Y2 = 10). Определение вероятности реализации угрозы, должно быть проведено для всех выявленных угроз.