4. Модель потенциального нарушителя

Под нарушителем понимается физическое лицо, слу­чайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности защищаемой ин­формации при ее обработке в ИС.

Целями несанкционированных действий нарушителя, способных привести к совершению НСД к защищаемым ре­сурсам ИС и нарушению принятых для ИС характеристик ин­формационной безопасности, являются:

• нарушение целостности защищаемых ресурсов;

• нарушение конфиденциальности защищаемых ресурсов;

• нарушение доступности защищаемых ресурсов;

• создание условий для последующего проведения атак.

Возможными направлениями несанкционированных дей­ствий нарушителя, в том числе являются:

• доступ к защищаемой информации с целью нарушения ее конфиденциальности (хищение, ознакомление, перехват);

• доступ к защищаемой информации с целью нарушения ее целостности (модификация данных);

• доступ к техническим и программным средствам ИС с целью постоянного или временного нарушения доступности защищаемой информации для легального пользователя;

• доступ к техническим и программным средствам ИС с целью внесения в них несанкционированных изменений, создающих условия для проведения атак;

• доступ к средствам защиты информации с целью изменения их конфигурации.

При разработке модели предполагается, что доступ к за­щищаемой информации нарушитель может получить путем:

• преодоления (обхода) средств и системы защиты информации, систем контроля доступа;

• использования специальных программных средств (в том числе вредоносного ПО) или уязвимостей легально используемого ПО;

• использования специализированных средств съема (добывания) информации по техническим каналам;

• использование средств специальных воздействий;

• внедрения аппаратных закладных устройств.

Закладные устройства, как правило, активируются путем программно-математических воздействий, реализованных при непосредственном физическом доступе к ТС, либо путем уда­ленного сетевого воздействия.

4.1. Типы нарушителей информационной безопасности ис

Нарушители информационной безопасности ИС могут быть следующих типов:

1. внешние нарушители, осуществляющие атаки из-за пределов контролируемой зоны ИС;

2. внутренние нарушители, осуществляющие атаки, находясь в пределах контролируемой зоны ИС.

В зависимости от категории обрабатываемых персональ­ных данных изменяются категории лиц, заинтересованных в несанкционированном получении информации ограниченного доступа, то есть изменяются возможности потенциального на­рушителя информационной безопасности.

К внешним нарушителям ИС относятся следующие группы лиц:

1. представители криминальных структур;

2. другие физические лица, пытающиеся получить доступ к информации в инициативном порядке, в том числе «хакеры» и т.п.

Внешний нарушитель может осуществлять попытки НСД к информации из-за границы КЗ, в том числе с использованием каналов передачи данных.

Внешний нарушитель может обладать следующей ин­формацией и данными об ИС:

• знаниями функциональных особенностей ИС;

• высоким уровнем знаний в области технических средств;

• сведениями о средствах защиты информации (в том числе применяемых в ИС);

• данными об уязвимостях ИС, включая данные о недокументированных возможностях технических средств ИС;

• информацией о возможных и существующих способах (методах) реализации атак;

• знаниями в области программирования и вычислительной техники.

Состав и характеристики имеющихся у нарушителя средств существенно определяются имеющимися у него воз­можностями по их приобретению или разработке. Возможно­сти нарушителя по использованию имеющихся средств зави­сят от реализованной в ИС политики безопасности.

Внешний нарушитель может использовать следующие средства доступа к защищаемой информации:

• средства, подключаемые к сетям связи общего пользования;

• средства активации аппаратных закладок;

• имеющиеся в свободной продаже программные средства прослушивания каналов передачи данных;

• имеющиеся в свободной продаже программные средства модификации данных при их передаче по каналам связи;

• специальные программные средства для осуществления несанкционированного доступа, в том числе вредоносное ПО.

Возможности внутреннего нарушителя ИС существен­ным образом зависят от действующих в пределах КЗ ограни­чительных факторов, основными из которых являются органи­зационные, режимные, инженерно-технические и другие меры, направленные на:

• предотвращение и пресечение несанкционированных действий лиц, имеющих доступ в КЗ ИС;

• подбор и расстановку кадров для работы с ИС;

• организацию контроля и разграничения доступа физических лиц в КЗ, а также к штатным средствам ИС и в помещения, в которых они расположены;

• контроль над порядком проведения работ;

• контроль над соблюдением требований документации, определяющей политику безопасности ИС (в том числе, контроль над выполнением режимных мер, регламентирующих порядок обращения с информацией, обрабатываемой в ИС).

Исходя из прав доступа лиц к ресурсам ИС, потенциаль­ных внутренних нарушителей можно разделить на следующие категории:

Категория I: зарегистрированный пользователь с полно­мочиями администратора ИС (системного администратора, администратора безопасности). Лица данной категории явля­ются доверенными (в силу реализованных организационных, режимных и кадровых мероприятий), и как нарушители ин­формационной безопасности не рассматриваются. Админист­раторы ИС проходят инструктаж по вопросам обработки ин­формации в ИС, допускаются к работе с ресурсами ИС после проверки знаний ими положений соответствующих должност­ных инструкций, в связи с чем рассмотрение их ошибочных действий, способных привести к нарушению информационной безопасности ИС, в рамках данной модели не проводится.

Категория II: зарегистрированный пользователь ресурсов АС.

Нарушитель категории II может обладать следующей ин­формацией и данными о ИС:

• атрибутами, обеспечивающими доступ к некоторому подмножеству ресурсов (например, паролем, легальным именем доступа);

• сведениями о структуре, функциях, принципах, механизмах действия и правилах работы технических средств и средств защиты информации в объеме эксплуатационной документации;

• знаниями функциональных особенностей ИС;

• сведениями о ресурсах ИС: порядок и правила создания, хранения и передачи информации, форматы сообщений, структура и свойства информационных потоков;

• данными об уязвимостях ИС, включая данные о недокументированных возможностях технических средств ИС;

• данными о реализованных в системе и средствах защиты информации принципах и алгоритмах;

• сведениями о возможных для ИС каналах атак;

• информацией о способах атак.

Нарушитель категории II обладает следующими средст­вами доступа к ресурсам ИС:

• штатными средствами ИС (компьютером, подключаемым непосредственно к СВТ ИС);

• имеющимися в свободной продаже программными средствами прослушивания каналов передачи данных;

• имеющимися в свободной продаже программными средствами модификации данных при их передачи по каналам связи;

• общедоступными компьютерными вирусами;

• общедоступным программным обеспечением, предназначенным для подготовки и осуществления применения программных средств скрытого информационного воздействия.

Лица категории II могут исключаться из числа потенци­альных нарушителей в зависимости от организационных и кадровых мероприятий, принятых в учреждении, эксплуати­рующем ИС, с учетом категории персональных данных: пред­полагается, что лица категории II могут быть заинтересованы в получении персональных данных (ПДн) категории I и II.

Категория III: лица, имеющие санкционированный дос­туп в помещения с размещаемыми ТС из состава ИС, но не имеющие санкционированного доступа к ресурсам ИС.

Нарушитель категории III может обладать следующей информацией и данными о ИС:

• знаниями об «именах» (логинах) зарегистрированных пользователей;

• знаниями функциональных особенностей ИС;

• любыми фрагментами информации о топологии сети (коммуникационной части подсети) и об используемых в ИС коммуникационных протоколах и их сервисах;

• данными об уязвимостях ИС, включая данные о недокументированных возможностях технических и программных средств ИС;

• данными о реализованных в системе и средствах защиты информации ИС принципах и алгоритмах;

• сведениями о возможных для ИС каналах атак;

• информацией о способах атак.

Нарушитель категории III обладает следующими средст­вами доступа к ресурсам ИС:

• оставленными без присмотра штатными средствами ИС;

• имеющимися в свободной продаже программными средствами прослушивания каналов передачи данных;

• имеющимися в свободной продаже программными средствами модификации данных при их передаче по каналам связи;

• общедоступными компьютерными вирусами;

• общедоступным программным обеспечением, предназначенным для подготовки и осуществления применения программных средств скрытого информационного воздействия.

Категория IV: сотрудники подразделений (организаций), выполняющие разработку прикладного программного обеспе­чения, ремонт и восстановление работоспособности ТС ИС.

Лица категории IV:

• обладают информацией о программах обработки информации ИС, а также о реализованных в данных программах алгоритмах;

• обладают возможностями внесения ошибок (в том числе вредоносного ПО) в ИС на стадии разработки и сопровождения;

• могут располагать любыми фрагментами информации о топологии ЛВС, технических средствах обработки и средствах защиты информации, применяемых в типовой ИС.