Угроза, риск, нарушитель

2.1. Классификация угроз информационной безопасности

Определение, анализ и классификация возможных угроз безопасности АИС являются одним из важнейших аспектов проблемы обеспечения ее безопасности. Перечень угроз, оценки вероятностей их реализации, а также модель нарушителя служат основой для проведения анализа риска и формулирования требований к системе защиты.

Классификацию угроз информационной безопасности можно выполнить по нескольким критериям.

1. По свойству информации, подвергающемуся угрозе:

• угрозы конфиденциальности;
• угрозы целостности;
• угрозы доступности;
• угрозы аутентичности;
• угрозы апеллируемости (возникают, когда легальный пользователь отрицает свои действия по передаче или приему информации, чтобы снять с себя ответственность).

2. По компонентам АИС, на которые нацелена угроза:

• данные;
• программное обеспечение;
• аппаратное обеспечение;
• поддерживающая инфраструктура.

3. По расположению источника угроз:

• внешние угрозы;
• внутренние угрозы (угрозы со стороны инсайдеров являются наиболее опасными).

4. По природе возникновения:

• Естественные угрозы – это угрозы, вызванные воздействиями на АИС и ее элементы объективных физических процессов или стихийных природных явлений, не зависящих от человека.
• Искусственные угрозы – угрозы, вызванные деятельностью человека. Среди них, исходя из мотивации действий, можно выделить непреднамеренные (неумышленные, случайные) угрозы, вызванные ошибками в проектировании АИС и ее элементов, ошибками в программном обеспечении, ошибками в действиях персонала и т. п., и преднамеренные (умышленные) угрозы, связанные с целенаправленными устремлениями злоумышленников.

Обратим внимание, что эти четыре признака независимы: конкретная угроза характеризуется значением каждого из них одновременно. Так, ввод ошибочных данных оператором есть угроза целостности, нацеленная на данные, внутренняя, искусственная непреднамеренная. Практический смысл классификации не в том, чтобы правильно разложить угрозы по ячейкам, а в том, чтобы ни одна ячейка не осталась незаполненной по недосмотру: типичная ошибка проектирования состоит в том, что система защищается от внешнего злоумышленника и остается беззащитной перед ошибкой собственного сотрудника.

2.2. Категории угроз: модель STRIDE

Компания Microsoft рекомендует систему категоризации угроз под названием STRIDE. Эта мнемоника означает шесть категорий угроз, на которые предлагается проверить каждый компонент информационной системы – желательно, еще на этапе проектирования. Каждой угрозе соответствует некоторое свойство информационной безопасности, которое нарушается при успешной атаке:

Spoofing (выдача себя за другого, подмена субъекта) – может ли кто-то или что-то обмануть механизмы проверки подлинности, т. е. аутентификации.

Tampering (изменение данных) – нарушение целостности.

Repudiation (отказ от авторства) – может ли пользователь успешно отрицать совершенные им нелегальные действия; нарушение апеллируемости.

Information Disclosure (раскрытие информации) – нарушение конфиденциальности.

Denial of Service (отказ в обслуживании) – нарушение доступности.

Elevation of privilege (повышение прав доступа) – может ли пользователь в нарушение процедуры авторизации получить доступ к информации или функционалу, для которых он не имеет полномочий.

Безопасность каждого отдельного компонента еще не означает безопасности системы в целом, но если один из компонентов оказывается подвержен угрозе, то система в целом также не безопасна. Один из ключевых принципов информационной безопасности гласит:

Система надежна настолько, насколько надежно ее самое слабое звено

Ценность STRIDE не в самой классификации, а в том, что она задает исчерпывающий перечень вопросов к каждому элементу проектируемой системы. Работа с ней устроена так: система раскладывается на компоненты и потоки данных между ними, после чего к каждому компоненту и каждому потоку последовательно применяются все шесть вопросов. Категория, для которой ответ звучит «здесь такой угрозы быть не может», требует такого же явного обоснования, как и категория, для которой угроза найдена, – именно необоснованные пропуски и порождают уязвимости.

2.3. Уровень риска и актуальность угрозы

Управление безопасностью базируется на четко идентифицированных и оцененных активах организации. После того как такие активы выявлены, в соответствии с их ценностью разрабатываются меры по обеспечению их конфиденциальности, целостности и доступности, то есть меры по защите этих активов. Но сначала необходимо определить, от чего их требуется защищать.

В теории рисков для определения уровня риска используется формула R = P·C, где P – вероятность наступления нежелательного события, а C – ущерб от наступления такого события. Застраховаться от всех угроз на свете невозможно, но можно выделить наиболее вероятные и наиболее критичные по своим последствиям угрозы. Другими словами, принимать во внимание, тратить силы и средства следует на борьбу с такими рисками, для которых величина R значительна. Та же самая логика справедлива и в отношении угроз информационной безопасности.

Одни и те же угрозы могут иметь разный уровень риска, когда речь идет о различной информации, принадлежащей различным людям и организациям. Сравним, к примеру, уровень риска DDoS-атаки, если она направлена на:

• персональный сайт автора этого учебника;
• сайт английского букмекера, предназначенный для приема ставок (накануне проведения скачек на Золотой кубок в Аскоте);
• региональный сайт МЧС, предназначенный для информирования населения о чрезвычайных ситуациях (в разгар сложной пожарной обстановки в регионе).

Очевидно, что ущерб от успешной реализации такой атаки будет весьма различаться. Также будет различаться вероятность реализации такой угрозы, как «доступ к защищаемой информации с использованием средств радиоэлектронной разведки», если речь идет о:

• личном дневнике школьницы Маши;
• списке рекламодателей газеты «Степной путь»;
• сведениях о засекреченной сделке по поглощению крупной корпорации.

Для построения адекватной системы защиты необходимо выявить актуальные угрозы информационной безопасности конкретной защищаемой информации, то есть угрозы с существенным уровнем риска.

Формула R = P·C выглядит количественной, но применить ее буквально удается редко. Ущерб C еще поддается денежной оценке (хотя косвенные потери оценить трудно), а вот вероятность P в информационной безопасности, как правило, неизвестна и неизмерима: у нас нет ни статистики повторяющихся однородных событий, ни оснований считать, что противник действует случайно. Поэтому на практике вместо чисел используют порядковые шкалы, а вместо произведения – таблицу соответствия. Так, реализуемость угрозы и ее опасность оцениваются качественно, а актуальность определяется их сочетанием:

Таблица 2.1. Определение актуальности угрозы

Реализуемость угрозы	Опасность низкая	Опасность средняя	Опасность высокая
Низкая	неактуальная	неактуальная	актуальная
Средняя	неактуальная	актуальная	актуальная
Высокая	актуальная	актуальная	актуальная
Очень высокая	актуальная	актуальная	актуальная

Существуют и попытки более дробной оценки. Компания Microsoft предлагала методику под названием DREAD, в которой для каждой угрозы оцениваются пять параметров по шкале от 1 до 10 (в упрощенной методике от 1 до 3):

Damage – опасность – насколько велик ущерб от реализации угрозы.

Reproducibility – воспроизводимость – насколько легко повторить атаку (если для повтора атаки требуется редкое стечение обстоятельств, параметр будет низким).

Exploitability – насколько большие усилия нужны для осуществления атаки.

Affected users – как много пользователей пострадает в результате реализации угрозы.

Discoverability – насколько легко обнаружить уязвимость, приводящую к угрозе.

Значения этих пяти параметров усредняются, и получается относительный рейтинг угрозы: R = (D + R + E + A + D) / 5. При построении системы защиты приоритет отдается борьбе с угрозами, занимающими более высокие места в рейтинге.

Модель STRIDE и методику DREAD принято применять совместно: одна отвечает на вопрос «какие угрозы существуют», другая – «с какой из них следует иметь дело в первую очередь». Вместе с тем DREAD показателен и как пример ограничений подобных методик. Оценки по всем пяти параметрам выставляются экспертом на глаз, поэтому у разных специалистов одна и та же угроза нередко получает существенно разные баллы; сложение разнородных величин (ущерб и легкость обнаружения) в одну сумму математически не обосновано; наконец, усреднение сглаживает именно те угрозы, которые опасны по одному-единственному параметру. Сам разработчик методики впоследствии отказался от нее в пользу иных подходов. Из этого следует общий вывод, важный для всей дисциплины: числовая шкала не превращает экспертное суждение в измерение. Ценность подобных методик состоит не в точности итогового балла, а в том, что они принуждают рассмотреть угрозу с нескольких сторон и сделать рассуждение воспроизводимым и обсуждаемым.

2.4. Модель угроз

У различных информационных систем (а также объектов одной информационной системы) может быть различный набор актуальных угроз, следовательно, понадобятся и различные меры защиты.

Описание существующих угроз с указанием их актуальности (возможности реализации и последствий) называется моделью угроз информационной безопасности.

Этапы построения модели угроз:

1. Выявление критических объектов информационной системы. Это может быть как информация, так и программно-аппаратные компоненты, которые нуждаются в защите.
2. Выявление источников угроз. Источником угрозы может быть человек (нарушитель), материальный объект или физическое явление. Подробнее этот этап рассматривается в следующем параграфе.
3. Построение перечня возможных угроз для каждого критического объекта с указанием способа их реализации и оценкой реализуемости (низкая, средняя, высокая или очень высокая).
4. Оценка материального ущерба и других возможных последствий угроз. Выявление актуальных угроз.

При разработке системы безопасности необходимо предусмотреть меры противодействия каждой из актуальных угроз – таким образом, чтобы эти угрозы перешли в разряд неактуальных из-за низкой реализуемости в защищенной системе.

Разработка модели угроз давно перестала быть занятием исключительно специализированных организаций. Любая организация обязана вести как минимум бухгалтерский учет, в процессе которого (при начислении заработной платы, исчислении налогов и т. д.) обрабатываются персональные данные сотрудников, а закон возлагает на оператора персональных данных обеспечение их конфиденциальности. Таким образом, у организации есть как минимум один информационный актив, который необходимо защищать. И даже если угрозы этому активу так и останутся нереализованными, за ненадлежащую систему защиты организация может быть наказана контролирующими органами.

Для организаций, не располагающих собственным специалистом по информационной безопасности, разработаны типовые методические документы и справочные ресурсы: утвержденная регулятором методика оценки угроз, задающая порядок действий, и банк данных угроз, содержащий систематизированный перечень типовых угроз и уязвимостей, из которого формируется частная модель для конкретной системы. Существуют и программные средства, составляющие модель угроз на основе анкеты. Такие средства сильно облегчают рутинную работу, но полагаться на них без понимания предмета не стоит: они порождают правдоподобно выглядящий документ, а не защищенную систему.

С моделью угроз тесно связано понятие поверхности атаки – совокупности точек системы, через которые противник может на нее воздействовать: сетевые интерфейсы и открытые порты, формы ввода, файлы и форматы, которые система обрабатывает, интерфейсы взаимодействия с другими системами, съемные носители, а также люди, имеющие к системе доступ. Существенно, что поверхность атаки определяется не тем, что разработчик считает точкой входа, а тем, что фактически принимает данные извне. Сокращение поверхности атаки – удаление неиспользуемых функций, закрытие неиспользуемых портов, отказ от избыточных форматов – относится к числу самых дешевых защитных мер, поскольку устраняет не отдельную уязвимость, а целую область, где уязвимости могли бы возникнуть, в том числе еще не найденные.

2.5. Модель нарушителя

Нарушитель информационной безопасности – человек или группа людей, случайно или преднамеренно совершающие действия, следствием которых является нарушение информационной безопасности (конфиденциальности, целостности или доступности информации). Другими словами, нарушитель – это лицо, осуществляющее попытку выполнения запрещенных операций с данными. Злоумышленником называют нарушителя, который предпринимает такую попытку намеренно и, как правило, из корыстного интереса.

Чтобы построить качественную модель угроз, необходимо иметь представление о возможных нарушителях информационной безопасности, поскольку искусственные угрозы (особенно преднамеренные) являются наиболее опасными. Для этого предварительно создается модель нарушителя информационной безопасности. Она состоит из профилей (описаний) вероятных нарушителей, каждый из которых включает следующие предположения.

1. Категория лиц, к которым может принадлежать нарушитель:

• внешние: бывшие сотрудники предприятия, клиенты, посетители, конкуренты, случайные лица, члены преступных группировок;
• участники цепочки поставок, пользующиеся доверенными каналами: сторонние разработчики программных средств, поставщики библиотек, компонентов, данных и услуг;
• внутренние (инсайдеры): пользователи системы, обслуживающий персонал, разработчики АИС, сотрудники службы безопасности, руководители и т. д.

2. Мотивы нарушителя:

• безответственность (нарушения вызываются некомпетентностью или небрежностью без наличия злого умысла);
• самоутверждение (получая доступ к запретным данным, нарушитель растет в своих глазах или глазах коллег; свои действия часто воспринимает как игру);
• корыстный интерес.

3. Уровень знаний нарушителя (в контексте анализируемой системы): пользователь; администратор; программист; специалист в области информационной безопасности.

4. Возможности нарушителя (используемые методы и средства):

• может получать сведения только от других лиц;
• использует штатные средства доступа к данным (возможно, в несанкционированном режиме);
• пассивный перехват;
• активный перехват (возможность модификации данных).

5. Время действия: во время функционирования информационной системы; во время простоя системы; в любое время.

6. Место действия: без доступа на контролируемую территорию организации; с доступом на контролируемую территорию, но без доступа к техническим средствам; с рабочих мест пользователей; с доступом к базам данных АИС; с доступом к подсистеме защиты АИС.

Создавая модель нарушителя, можно опираться на шаблоны и методические рекомендации, разработанные для конкретной отрасли. Так, типовая отраслевая модель для предприятий связи подразделяет внутренних нарушителей на восемь групп, соотнося с каждой группой ее возможности. Например, к одной из групп отнесены программисты-разработчики сторонней организации – поставщика программного обеспечения и лица, обеспечивающие его сопровождение: предполагается, что такое лицо осведомлено об алгоритмах и программах обработки информации, способно внести в программное обеспечение ошибки, недекларированные возможности или программные закладки на стадии разработки, внедрения и сопровождения и может располагать любыми сведениями о технических средствах обработки и защиты информации.

Модель нарушителя описывает не личность, а возможности. Для проектирования защиты в первую очередь важно то, что он может сделать – какими знаниями располагает, к чему имеет доступ, в какой момент и какими средствами способен воздействовать на систему. Кто именно противник и чем он руководствуется, важно лишь при ранжировании вероятностей атак (P). Поэтому рабочим инструментом служит модель нарушителя, а не перечень известных злоумышленников. И поэтому утверждение о защищенности системы имеет смысл лишь применительно к конкретной модели нарушителя: система, надежно защищенная от внешнего противника, может оказаться полностью беззащитной перед администратором собственной сети.

2.6. Меры противодействия

Второй ключевой категорией, с которой работает информационная безопасность, является мера. Выявив угрозы, систематизировав и оценив их риски с помощью модели угроз, мы имеем вполне очевидную задачу: перевести актуальные угрозы в разряд неактуальных, начиная с тех, которые несут наибольшие риски. Из самого понятия риска нетрудно вывести, что для этого необходимо либо уменьшить вероятность нежелательного события, либо ущерб от его реализации. Действия, направленные на это, и называются мерами противодействия.

Меры противодействия принято разделять на три группы, соответствующие природе применяемого воздействия:

• технические (программно-аппаратные) – шифрование, разграничение доступа, межсетевое экранирование, резервное копирование, средства обнаружения вторжений, физическая защита помещений и оборудования;
• организационные – регламенты и инструкции, распределение обязанностей и ответственности, порядок допуска и увольнения, обучение персонала, режим работы с носителями;
• правовые – установление режимов охраны информации, договорные обязательства и соглашения о неразглашении, ответственность за неправомерный доступ и распространение.

Эти группы образуют многоуровневую систему, в которой каждый следующий уровень поддерживает предыдущий и закрывает угрозы, недосягаемые для других уровней. Так, применение технических мер (например, шифрования) абсолютно необходимо, если мы собираемся передавать конфиденциальные сведения по небезопасному каналу, но совершенно бесполезно, если ключ генерируется с помощью пароля из трех букв или хранится в доступном файле. Организационные меры задают регламент правильного использования технических средств, а правовые, в свою очередь, мотивируют персонал придерживаться этого регламента.

Эти виды мер наглядно соотносятся с рассмотренной классификацией угроз. Естественные угрозы противодействия правовыми мерами не допускают в принципе. Искусственные непреднамеренные угрозы (то есть ошибки персонала) снижаются прежде всего организационными мерами и техническими средствами контроля ввода; преднамеренные угрозы со стороны внешнего нарушителя закрываются главным образом технически, а со стороны внутреннего – организационно и правовым принуждением. Таким образом, полнота классификации угроз оборачивается требованием полноты защиты: система, построенная на средствах одной группы, обязательно оставляет открытым целый класс угроз.

Наконец, зафиксируем вывод, который следует из всего изложенного и определяет практическую сторону дисциплины. Абсолютная защита недостижима, и стремление к ней является проектной ошибкой: ресурсы, потраченные на противодействие маловероятной угрозе с незначительным ущербом, отняты у противодействия угрозе актуальной.

Дело в том, что на преодоление системы защиты противник должен потратить ресурсы (неважно, временные, финансовые или организационные). В результате успеха он получает (или рассчитывает) на какую-то выгоду (которая также может быть финансовой, моральной и какой-то другой). Вполне очевидно эмпирическое правило:

Систему безопасности можно считать достаточно надежной, если ресурсы, необходимые на ее преодоление, значительно превышают выгоды от успеха

Задача построения системы защиты – это задача распределения ограниченного ресурса, а модель угроз и модель нарушителя – инструменты, позволяющие обосновать это распределение и предъявить обоснование другим. Причем, ограниченность ресурса работает на противника через похожее правило, только зеркальное:

Стоимость системы защиты не должна превышать ценность защищаемой информации

Речь опять не только о деньгах: необходимость помнить сложный пароль, менять его каждую неделю и вводить по десять раз на дню – тоже стоимость. Второе правило ограничивает защищающегося, оно устанавливает потолок, выше которого поднимать защиту просто нецелесообразно.  

В двух правилах фигурируют четыре попарно несовпадающие величины. Стоимость защиты для владельца не равна стоимости взлома для противника, а ценность информации для владельца не равна ее ценности для того, кто на нее покушается. Расхождения возможны в обе стороны. Клиентская база может быть для организации рутинным рабочим файлом и одновременно ходовым товаром на черном рынке; личный архив может быть бесценен для владельца и не нужен более никому. Отсюда следует практический вывод: защитник, назначающий бюджет защиты по собственной оценке ценности, систематически недооценивает угрозу везде, где противник ценит информацию выше, чем он сам. Именно для того, чтобы посмотреть на защищаемое чужими глазами, и строится модель нарушителя.

В этом смысле информационная безопасность является не состоянием, которого можно достичь, а решением, которое принимается и пересматривается по мере того, как меняются активы, угрозы и противник.