 |
4.5. Оценка уязвимости системы
|
|
|
|
При решении практических задач защиты информации боль- шое значение имеет количественная оценка ее уязвимости.
Ряд специалистов в области информационной безопасности разделяют методы и средства защиты от случайных и от пред- намеренных угроз [6].
Для защиты от случайных угроз используются средства по- вышения надежности функционирования автоматизирован- ных систем, средства повышения достоверности и резервиро- вания информации.
При проектировании защиты от преднамеренных угроз опре- деляются перечень и классификация по характеру, размеще- нию, важности и времени жизни данных, подлежащих защите в заданной информационной системе. В соответствии с харак- тером и важностью этих данных выбираются ожидаемая ква- лификация и модель поведения потенциального нарушителя. Рассмотрим ситуацию, когда угроза реализуется путем несанк- ционированного доступа к информации.
В соответствии с моделью нарушителя в проектируемой системе выявляются виды и количество возможных каналов несанкционированного доступа к защищаемым данным. Дан- ные каналы делятся на технически контролируемые и некон- тролируемые. Например, вход в систему со стороны клавиатуры может контролироваться специальной программой, а каналы связи территориально-распределенной системы — не всегда. На основе анализа каналов выбираются готовые или создают- ся новые средства защиты с целью перекрытия этих каналов.
Для создания единого постоянно действующего механизма защиты средства защиты с помощью специально выделенных средств централизованного управления объединяются в одну автоматизированную систему безопасности информации, ко- торая путем анализа ее состава и принципов построения про-
|
|
|
веряется на предмет наличия возможных путей ее обхода. Если таковые обнаруживаются, то они перекрываются соответствую- щими средствами, которые также включаются в состав защит- ной оболочки. В результате будет построена замкнутая вирту- альная оболочка защиты информации [6].
Степень защиты определяется полнотой перекрытия кана- лов утечки информации и возможных путей обхода средств за- щиты, а также прочностью защиты. Согласно принятой модели поведения нарушителя прочность защитной оболочки опреде- ляется средством защиты с наименьшим значением прочности из числа средств, составляющих эту оболочку.
Под прочностью защиты (преграды) понимается величина вероятности ее непреодоления нарушителем.
Прочность защитной преграды является достаточной, если ожидаемое время преодоления ее нарушителем больше вре- мени жизни предмета защиты или больше времени обнаруже- ния и блокировки доступа при отсутствии путей обхода этой преграды.
Защитная оболочка должна состоять из средств защиты, по- строенных по одному принципу (контроля или предупрежде- ния несанкционированного доступа) и размещаемых на ка- налах доступа одного типа (технически контролируемых или неконтролируемых). На контролируемых каналах нарушитель рискует быть пойманным, а на неконтролируемых он может работать в комфортных условиях, не ограниченных временем и средствами. Прочность защиты во втором случае должна быть значительно выше. Поэтому целесообразно в информацион- ной системе иметь отдельные виртуальные защитные оболоч- ки: контролируемую и превентивную.
Кроме того, необходимо учитывать применение организа- ционных мероприятий, которые в совокупности могут обра- зовать свою защитную оболочку.
Стратегия и тактика защиты от преднамеренного несанкцио- нированного доступа заключается в применении на возможных
|
|
|
каналах доступа к информации средств контроля, блокировки и предупреждения событий. Средства контроля и блокировки устанавливаются на возможных каналах доступа, где это воз- можно технически или организационно, а средства предупреж- дения (превентивные средства) применяются там, где такие воз- можности отсутствуют.
При расчете прочности средства защиты учитывается вре- менной фактор, позволяющий получить количественную оцен- ку его прочности — ожидаемую величину вероятности непрео- доления его потенциальным нарушителем.
Рассмотрим варианты построения защитной оболочки и оценку ее прочности [6].
В простейшем случае предмет защиты помещен в замкну- тую однородную защитную оболочку (рис. 4. 1).
Предмет защиты
Преграда
Рис. 4. 1. Модель однозвенной защиты
Прочность защиты зависит от свойств преграды. Считает- ся, что прочность созданной преграды достаточна, если стои- мость ожидаемых затрат на ее преодоление потенциальным на- рушителем превышает стоимость защищаемой информации.
Если обозначить вероятность непреодоления преграды на- рушителем через Рн, вероятность преодоления преграды нару- шителем через Рп, то согласно теории вероятности
Рн + Рп = 1.
В реальном случае у преграды могут быть пути ее обхода. Обозначим вероятность обхода преграды нарушителем через Ро. Нарушитель, действующий в одиночку, выберет один из пу- тей: преодоление преграды или обходной вариант. Тогда, учи- тывая несовместность событий, формальное выражение проч- ности преграды можно представить в виде
Рн = min {(1 — Рп), (1 — Ро)}.
Рассмотрим наиболее опасную ситуацию, когда нарушитель знает и выберет путь с наибольшей вероятностью преодоле- ния преграды. В таком случае можно предположить, что проч- ность преграды определяется вероятностью ее преодоления или обхода потенциальным нарушителем по пути с наиболь- шим значением этой вероятности. То есть в случае действий единственного нарушителя прочность защиты определяется ее слабейшим звеном.
У преграды может быть несколько путей обхода. Тогда по- следнее выражение примет вид
Рн = min {(1 — Рп), (1 — Ро1), (1 — Ро2), (1 — Ро3), … (1 — Роk)},
где k — количество путей обхода.
|
|
|
Для случая, когда нарушителей более одного и они действуют одновременно (организованная группа) по каждому пути, это выражение с учетом совместности действий будет выглядеть так:
Рн = (1 — Рп) (1 — Ро1) (1 — Ро2) (1 — Ро3) … (1 — Роk).
Данная формула применима для неконтролируемой пре- грады.
Рассмотрим особенности расчета соотношений для кон- тролируемой преграды. Когда к предмету защиты, имеюще- му постоянную ценность, необходимо и технически возможно обеспечить контроль доступа, обычно применяется постоян- но действующая преграда, обладающая свойствами обнаруже-
ния и блокировки доступа нарушителя к предмету или объек- ту защиты.
Для анализа ситуации рассмотрим временную диаграмму процесса контроля и обнаружения несанкционированного до- ступа, приведенную на рис. 3. 4.
| Т |
| Т |
| Тоб |
| Тб |
| Тнр |
0 t
Рис. 4. 2. Временная диаграмма процесса контроля и обнаружения НСД:
Т — период опроса датчиков; Тоб — время передачи сигнала и обнаружения НСД; Тб — время блокировки доступа; Тнр — время нарушения
Из рис. 3. 2 следует, что нарушитель может быть не обнару- жен в двух случаях:
а) когда время нарушения меньше периода опроса датчи- ков: Тнр < Т;
б) когда Т < Тнр < Тоб + Тб.
В случае а) требуется дополнительное условие — попадание ин- тервала времени t в интервал Т, т. е. необходима синхронизация действий нарушителя с частотой опроса датчиков обнаружения.
Формально эту задачу можно представить следующим об- разом. Есть последовательное множество событий в виде кон- трольных импульсов с расстоянием Т между ними и есть опре- деленное множество элементарных событий в виде отрезка длиной Тнр, который случайным образом накладывается на пер- вое множество. Задача состоит в определении вероятности по- падания отрезка Тнр на контрольный импульс, если Тнр < Т.
Если обозначить вероятность попадания отрезка на кон- трольный импульс, то есть вероятность обнаружения наруше- ния, через Р1, то
|
|
|
| = п Т |
Р1 н нр
< Т ,
| о |
В случае б), когда Т < Тнр < Тоб + Т, несанкционированный доступ фиксируется наверняка и вероятность обнаружения дей- ствий нарушителя будет определяться соотношением между Тнр и (Тоб + Тб).
Величина ожидаемого Тнр зависит от многих факторов:
· характера поставленной задачи нарушения,
· метода и способа нарушения,
· технических возможностей и квалификации нарушителя,
· технических возможностей автоматизированной системы. Поэтому можно говорить о вероятностном характере вели- чины Тнр. Если обозначить вероятность обнаружения и блоки-
ровки доступа через Р2, то
Р2 =
Т нр .
Т об +Т б
Для более полного формального представления прочности преграды в виде системы обнаружения и блокировки несанк- ционированного доступа необходимо учитывать надежность ее функционирования и пути возможного обхода ее нарушителем.
Вероятность отказа системы определяется по формуле
Ротк (t) = е–lt,
где l — интенсивность отказов группы технических средств, со- ставляющих систему обнаружения и блокировки; t — рассма- триваемый интервал времени функционирования системы об- наружения и блокировки.
Исходя из наиболее опасной ситуации, считаем, что отказ системы контроля и НСД могут быть совместными события- ми. Поэтому, с учетом этой ситуации формула прочности кон- тролируемой преграды примет вид
Рн = min{Р2 (1 — Ротк), (1 — Ро1), (1 — Ро2), (1 — Ро3), … (1 — Роk)},
где Ро и количество путей обхода k определяются экспертным путем на основе анализа принципов построения конкретной си- стемы контроля и блокировки несанкционированного доступа. В случае, если ценность информации падает с течением вре- мени, за условие достаточности защиты можно принять превы- шение затрат времени на преодоление преграды нарушителем над временем жизни информации. В качестве такой защиты может быть использовано криптографическое преобразование информации. Возможными путями обхода криптографической преграды могут быть криптоанализ исходного текста зашифро- ванного сообщения или доступ к действительным значениям
ключей шифрования при хранении и передаче.
На практике в большинстве случаев защитный контур (обо- лочка) состоит из нескольких соединенных между собой пре- град с различной прочностью (рис. 4. 3).
Предмет защиты
Преграда 1
Преграда 2
Преграда 3
Рис. 4. 3. Модель многозвенной защиты
Примером такого вида защиты может служить помещение, в котором хранится аппаратура. В качестве преград с различ-
|
|
|
ной прочностью здесь могут служить стены, потолок, пол, окна и замок на двери.
Формальное описание прочности многозвенной оболочки защиты почти полностью совпадает с однозвенной, т. к. нали- чие нескольких путей обхода одной преграды, не удовлетворяю- щих заданным требованиям, потребует их перекрытия другими преградами, которые в конечном итоге образуют многозвен- ную оболочку защиты.
Прочность многозвенной защиты из неконтролируемых пре- град, построенной для противостояния одному нарушителю, определяется по формуле
Рзи = min{Рсзи1, Рсзи2, Рсзиi, (1 — Ро1), (1 — Ро2), (1 — Ро3), … (1 — Роk)},
где Рсзиi — прочность i-й преграды; Роk — вероятность обхода преграды по k-мy пути.
Прочность многозвенной защитной оболочки от одного на- рушителя равна прочности ее слабейшего звена. Это правило справедливо и для защиты от неорганизованной группы нару- шителей, действующих самостоятельно.
Прочность многозвенной защиты, построенной из некон- тролируемых преград для защиты от организованной группы квалифицированных нарушителей, рассчитывается следую- щим образом:
Рзи0 = Рсзи1 ∙ Рсзи2 ∙ …Рсзиi (1 — Ро1) (1 — Ро2) (1 — Ро3) … (1 — Роk). Прочность многозвенной защиты от организованной груп-
пы нарушителей равна произведению вероятностей непреодо- ления потенциальным нарушителем каждого из звеньев, со- ставляющих эту защиту.
Расчет прочности многозвенной защиты с контролируемы- ми преградами аналогичен.
Расчеты итоговых прочностей защиты для неконтролируе- мых и контролируемых преград должны быть раздельными, по-
скольку исходные данные для них различны и, следовательно, на разные задачи должны быть разные решения — две разные оболочки защиты одного уровня.
Если прочность слабейшего звена защиты удовлетворяет предъявленным требованиям оболочки защиты в целом, возни- кает вопрос об избыточности прочности на остальных звеньях данной оболочки. Отсюда следует, что экономически целесо- образно применять в многозвенной оболочке защиты равно- прочные преграды.
Если звено защиты не удовлетворяет предъявленным требо- ваниям, преграду в этом звене следует заменить на более проч- ную или данная преграда дублируется еще одной преградой, а иногда двумя и более. Дополнительные преграды должны перекрывать то же количество или более возможных каналов несанкционированного доступа, что и первая.
В этом случае, если обозначить прочность дублирующих друг друга преград соответственно через Рд1, Рд2, Рд3, …, Рдi, то ве- роятность преодоления каждой из них определяется как ве- роятность противоположного события: (1 — Рд1), (1 — Рд2), (1 — Рд3), … (1 — Рдi).
Считаем, что факты преодоления этих преград нарушите- лем — события совместные. Это позволяет вероятность прео- доления суммарной преграды нарушителем представить в виде
Рп = (1 — Рд1) (1 — Рд2) (1 — Рд3) … (1 — Рдi).
В ответственных случаях при повышенных требованиях к за- щите применяется многоуровневая защита, модель которой представлена на рис. 4. 4.
При расчете суммарной прочности многоуровневой защи- ты суммируются прочности отдельных уровней.
Предмет защиты
Уровни защиты (оболочки)
Рис. 4. 4. Модель многоуровневой защиты
ВыВОды
· Система защиты информации должна предусматривать защиту от всех видов случайных и преднамеренных воз- действий: стихийных бедствий и аварий, сбоев и отказов технических средств, ошибок персонала и пользователей, ошибок в программах и от преднамеренных действий зло- умышленников.
· Имеется широчайший спектр вариантов путей и методов доступа к данным и вмешательства в процессы обработки и обмена информацией. Анализ всех уязвимостей систе- мы, оценка возможного ущерба позволят верно опреде- лить мероприятия по защите информации. Расчет эф- фективности защитных мероприятий можно производить различными методами в зависимости от свойств защища- емой информации и модели нарушителя.
· Правильно построенная (адекватная реальности) мо- дель нарушителя, в которой отражаются его практиче- ские и теоретические возможности, априорные знания, время и место действия и другие характеристики, явля-
ется важной составляющей успешного проведения ана- лиза риска и определения требований к составу и харак- теристикам системы защиты.
Вопросы для самоконтроля
1. На примере нескольких различных угроз покажите, что их осуществление приведет к изменению одного из ос- новных свойств защищаемой информации (конфиден- циальности, целостности, доступности).
2. Приведите примеры систем, для которых наибольшую угрозу безопасности представляет нарушение конфиден- циальности информации.
3. Для каких систем (приведите примеры) наибольшую опасность представляет нарушение целостности инфор- мации?
4. В каких системах на первом месте стоит обеспечение до- ступности информации?
5. В чем различие понятий «нарушение конфиденциально- сти информации», «несанкционированный доступ к ин- формации», «утечка информации»?
6. Определите перечень основных угроз для АС, состоящей из автономно работающего компьютера без выхода в сеть, расположенной в одной из лабораторий университета.
7. Постройте неформальную модель нарушителя для учеб- ной компьютерной лаборатории.
8. Выведите формулу для расчета прочности трехуровневой защитной оболочки.
9. Охарактеризуйте защитные оболочки и перечень преград, применяемые в учебной компьютерной лаборатории.
|
|
|
