Практика 3
.docxМИНОБРНАУКИ РОССИИ
Санкт-Петербургский государственный
электротехнический университет
«ЛЭТИ» им. В.И. Ульянова (Ленина)
Кафедра информационной безопасности
отчет
по практическому заданию № 3
по дисциплине «Основы информационной безопасности»
Тема: Проведение анализа и оценки возможностей реализации угроз информационной безопасности на объекте по методике С.В. Вихорева
Студент гр. 1363 |
|
Владимиров П.А. |
Преподаватель |
|
Воробьев Е.Г. |
Санкт-Петербург
2022
Цель: изучение вида работ по разработке модели угроз, ее актуализации.
1. Описание базового объекта
Базовый вариант рассматривает гипотетический объект, расположенный:
в Европейской части Российской Федерации,
в спокойных метеорологических, сейсмических и гидрологических условиях (возможны наводнения),
не имеющий в непосредственной близости предприятий, и других техногенных сооружений.
Объект имеет гетерогенную, иерархическую корпоративную информационную сеть со счетным количеством (до 15) пользователей, которая:
обрабатывает информацию с разной степенью конфиденциальности
имеет равенство приоритетов целей ИБ
пользователи имеют разные права доступа к информации
не имеет удаленных и мобильных пользователей
Воздействия источников угроз приносят максимальный ущерб субъекту отношений, а сами источники угроз имеют максимальные возможности по реализации угроз.
2. Ранжирование групп источников угроз ИБ
Величины весовых коэффициенты групп источников угроз ИБ (Kgi) и соответствующих им нормированных весовых коэффициентов группы источников угроз ИБ (Kgi)N в случае равенства приоритетов целей ИБ и исходя из формулы (3.1) приведены в таблице.
Весовые коэффициенты групп источников ИБ при равенстве приоритетов целей |
||||
g |
Код |
Группа источников угроз ИБ |
Kgi |
(Kgi)N |
1 |
[I.A.0] |
Антропогенные внешние источники |
0,90 |
0,26 |
2 |
[I.B.0] |
Антропогенные внутренние источники |
0,92 |
0,27 |
3 |
[II.A.0] |
Техногенные внешние источники |
0,57 |
0,17 |
4 |
[II.B.0] |
Техногенные внутренние источники |
0,57 |
0,17 |
5 |
[III.A.0] |
Стихийные внешние источники |
0,43 |
0,13 |
3. Ранжирование источников угроз ИБ
Рассчитаем из формулы (4.4) пороговое значение коэффициента опасности источников угроз для случая равенства приоритетов i = 0,2 x 0,27 = 0,054
|
Ф-1 Коэффициенты приоритетности целей ИБ |
|
r |
Цели ИБ |
(КП)r |
К |
Конфиденциальность |
2 |
Ц |
Целостность |
2 |
Д |
Доступность |
2 |
С |
(КП)c = Const = 2 |
|
Ф-2 Коэффициенты актуальности угроз ИБ |
|
k |
Угрозы ИБ |
(КА)k |
1 |
Хищение (копирование) информации и средств ее обработки |
0,19 |
2 |
Утрата (неумышленная потеря, утечка) информации и средств ее обработки |
0,10 |
3 |
Модификация (искажение) информации |
0,14 |
4 |
Отрицание подлинности информации |
0,08 |
5 |
Навязывание ложной информации |
0,06 |
6 |
Уничтожение информации и средств ее обработки |
0,17 |
7 |
Блокирование информации |
0,12 |
8 |
Создание условий для реализации угрозы ИБ |
0,14 |
Ф-3 Оценка степени опасности источников угроз ИБ |
|||||
Код (i) |
Источники угроз ИБ |
(k1)i |
(k2)i |
(k3)i |
(Коп)i |
[I.A.0] |
Антропогенные внешние источники |
(Kgi)N =(К1)N =0,26 |
|||
[I.A.1] |
криминальные структуры |
3 |
4 |
4 |
0,1 |
[I.A.2] |
потенциальные преступники и хакеры |
3 |
5 |
3 |
0,09 |
[I.A.3] |
недобросовестные партнеры |
4 |
3 |
5 |
0,12 |
[I.A.4] |
технический персонал поставщиков телематических услуг |
4 |
4 |
4 |
0,13 |
[I.A.5] |
представители надзорных организаций и аварийных служб |
2 |
2 |
2 |
0,02 |
[I.A.6] |
представители силовых структур |
2 |
2 |
2 |
0,02 |
[I.B.0] |
Антропогенные внутренние источники |
(Kgi)N = (К2)N =0,27 |
|||
[I.B.1] |
основной персонал (пользователи, программисты, разработчики) |
5 |
5 |
3 |
0,1 |
[I.B.2] |
представители службы защиты информации (администраторы) |
5 |
5 |
4 |
0,22 |
[I.B.3] |
вспомогательный персонал (уборщики, охрана) |
3 |
1 |
2 |
0,01 |
[I.B.4] |
технический персонал (жизнеобеспечение, эксплуатация) |
3 |
2 |
2 |
0,03 |
[II.A.0] |
Техногенные внешние источники |
(Kgi)N = (К3)N =0,17 |
|||
[II.A.1] |
средства связи |
3 |
3 |
3 |
0,04 |
[II.A.2] |
сети инженерных коммуникации (водоснабжения, канализации) |
3 |
2 |
3 |
0,02 |
[II.A.3] |
транспорт |
1 |
1 |
1 |
0,001 |
[II.B.0] |
Техногенные внутренние источники |
(Kgi)N = (К4)N =0,17 |
|||
[II.B.1] |
некачественные технические средства обработки информации |
3 |
3 |
2 |
0,02 |
[II.B.2] |
некачественные программные средства обработки информации |
2 |
2 |
2 |
0,011 |
[II.B.3] |
вспомогательные средства (охраны, сигнализации, телефонии) |
4 |
3 |
3 |
0,048 |
[II.B.4] |
другие технические средства, применяемые в учреждении |
3 |
2 |
2 |
0,02 |
[III.A.0] |
Стихийные внешние источники |
(Kgi)N = (К5)N =0,13 |
|||
[III.A.1] |
пожары |
2 |
3 |
4 |
0,03 |
[III.A.2] |
землетрясения, провалы, обвалы, оползни |
1 |
1 |
3 |
0,003 |
[III.A.3] |
наводнения, сели, лавины, |
1 |
1 |
3 |
0,003 |
[III.A.4] |
ураганы, снегопады, метели, штормы |
1 |
1 |
2 |
0,002 |
[III.A.5] |
магнитные бури |
1 |
1 |
1 |
0,001 |
[III.A.6] |
радиоактивное излучение |
1 |
1 |
1 |
0,001 |
[III.A.7] |
различные непредвиденные обстоятельства |
2 |
2 |
2 |
0,008 |
[III.A.8] |
необъяснимые явления |
1 |
1 |
2 |
0,002 |
[III.A.9] |
другие форс-мажорные обстоятельства |
2 |
2 |
2 |
0,008 |
Ф-4 Перечень источников угроз исключенных в результате анализа |
||
Код |
Источники угроз |
Описание причин исключения |
[I.A.5] |
представители надзорных организаций и аварийных служб |
Не рассматриваются, как маловероятные, так как имеют коэффициент опасности ниже порогового значения i = 0,054.
|
[I.A.6] |
представители силовых структур |
|
[I.B.3] |
вспомогательный персонал (уборщики, охрана) |
|
[I.B.4] |
технический персонал (жизнеобеспечение, эксплуатация) |
|
[II.A.1] |
средства связи |
|
[II.A.2] |
сети инженерных коммуникации (водоснабжения, канализации) |
|
[II.A.3] |
транспорт |
|
[II.B.1] |
некачественные технические средства обработки информации |
|
[II.B.2] |
некачественные программные средства обработки информации |
|
[II.B.3] |
вспомогательные средства (охраны, сигнализации, телефонии) |
|
[II.B.4] |
другие технические средства, применяемые в учреждении |
|
[III.A.1] |
пожары |
|
[III.A.2] |
землетрясения, провалы, обвалы, оползни |
|
[III.A.3] |
наводнения, сели, лавины, |
|
[III.A.4] |
ураганы, снегопады, метели, штормы |
|
[III.A.5] |
магнитные бури |
|
[III.A.6] |
радиоактивное излучение |
|
[III.A.7] |
различные непредвиденные обстоятельства |
|
[III.A.8] |
необъяснимые явления |
|
[III.A.9] |
другие форс-мажорные обстоятельства |
Ф-5 Перечень актуальных источников угроз |
|||||
Код (i) |
Источники угроз |
(k1)i |
(k2)i |
(k3)i |
(Коп)I |
[I.A.1] |
криминальные структуры |
3 |
4 |
4 |
0,1 |
[I.A.2] |
потенциальные преступники и хакеры |
3 |
5 |
3 |
0,09 |
[I.A.3] |
недобросовестные партнеры |
4 |
3 |
5 |
0,12 |
[I.A.4] |
технический персонал поставщиков телематических услуг |
4 |
4 |
4 |
0,13 |
[I.B.1] |
основной персонал (пользователи, программисты, разработчики) |
5 |
5 |
3 |
0,1 |
[I.B.2] |
представители службы защиты информации (администраторы) |
5 |
5 |
4 |
0,22 |
Ф-6 Нормированные весовые коэффициенты групп методов реализации угроз |
||||
gm |
Код |
Группа методов реализации угроз ИБ |
Кgm |
(Кgm)N |
1 |
[M1.А.0] |
Активные аналитические методы |
0,33 |
0,07 |
2 |
[M1.В.0] |
Пассивные аналитические методы |
0,33 |
0,07 |
3 |
[M2.А.0] |
Активные технические методы |
0,76 |
0,15 |
4 |
[M2.В.0] |
Пассивные технические методы |
0,19 |
0,04 |
5 |
[M3.A.0] |
Активные программно-аппаратные методы |
1,00 |
0,20 |
6 |
[M3.B.0] |
Пассивные программно-аппаратные методы |
0,33 |
0,07 |
7 |
[M4.A.0] |
Активные социальные методы |
0,92 |
0,18 |
8 |
[M5.A.0] |
Активные организационные методы |
0,72 |
0,13 |
9 |
[M6.0.0] |
Предпосылки реализации угроз |
0,43 |
0,09 |
Ф-7 Оценка степени опасности уязвимостей |
|||||
Код |
Уязвимости ИБ |
(k1)f |
(k2)f |
(k3)f |
(Kоп)f |
[А.I.0.0] |
сопутствующие техническим средствам излучения |
(Kgu)N =0,75 |
|||
[A.I.a.1] |
побочные излучения элементов технических средств |
2 |
3 |
5 |
0,18 |
[A.I.a.2] |
излучения кабельных линий технических средств |
2 |
3 |
5 |
0,18 |
[A.I.a.3] |
излучения на частотах работы генераторов |
3 |
3 |
3 |
0,16 |
[A.I.a.4] |
излучения на частотах самовозбуждения усилителей |
2 |
2 |
2 |
0,05 |
[A.I.b.1] |
наводки электромагнитных излучений на линии и проводники |
2 |
1 |
3 |
0,04 |
[A.I.b.2] |
просачивание сигналов в цепи электропитания, в цепи заземления |
2 |
2 |
2 |
0,05 |
[A.I.b.3] |
неравномерность потребления тока электропитания |
2 |
2 |
1 |
0,024 |
[A.I.c.1] |
акустические излучения |
1 |
1 |
1 |
0,006 |
[A.I.c.2] |
виброакустические излучения |
1 |
1 |
1 |
0,006 |
[A.II.0.0] |
активизируемые |
(Kgu)N =0,92 |
|||
[A.II.a.1] |
аппаратные закладки устанавливаемые в телефонные линии |
4 |
4 |
4 |
0,47 |
[A.II.a.2] |
аппаратные закладки устанавливаемые в сети электропитания |
4 |
4 |
4 |
0,47 |
[A.II.a.3] |
аппаратные закладки устанавливаемые в помещениях |
3 |
3 |
4 |
0,26 |
[A.II.a.4] |
аппаратные закладки устанавливаемые в технических средствах |
4 |
4 |
5 |
0,59 |
[A.II.b.1] |
вредоносные программы |
5 |
2 |
3 |
0,22 |
[A.II.b.2] |
технологические выходы из программ |
3 |
2 |
2 |
0,09 |
[A.II.b.3] |
нелегальные копии ПО |
4 |
3 |
2 |
0,18 |
[A.III.0.0] |
определяемые особенностями элементов |
(Kgu)N =0,96 |
|||
[A.III.a.1] |
обладающие электроакустическими преобразованиями ТА |
3 |
2 |
1 |
0,044 |
[A.III.a.2] |
обладающие электроакустическими преобразованиями громкоговорители |
3 |
2 |
1 |
0,044 |
[A.III.a.3] |
обладающие электроакустическими преобразованиями индуктивности |
3 |
2 |
1 |
0,044 |
[A.III.a.4] |
обладающие электроакустическими преобразованиями дроссели |
3 |
2 |
1 |
0,044 |
[A.III.a.5] |
обладающие электроакустическими преобразованиями трансформаторы |
3 |
1 |
1 |
0,022 |
[A.III.b.1] |
подверженные воздействию электромагнитного поля магнитные носители |
3 |
2 |
1 |
0,044 |
[A.III.b.2] |
подверженные воздействию электромагнитного поля микросхемы |
3 |
2 |
1 |
0,044 |
[A.III.b.3] |
нелинейные элементы, подверженные ВЧ навязыванию |
3 |
2 |
1 |
0,044 |
[A.IV.0.0] |
определяемые особенностями защищаемого объекта |
(Kgu)N =0,88 |
|||
[A.IV.a.1] |
отсутствие контролируемой зоны |
2 |
4 |
3 |
0,17 |
[A.IV.a.2] |
наличие прямой видимости объектов |
4 |
4 |
3 |
0,34 |
[A.IV.a.3] |
наличие удаленных и мобильных элементов объекта |
3 |
3 |
2 |
0,13 |
[A.IV.a.4] |
наличие вибрирующих отражающих поверхностей |
2 |
3 |
1 |
0,042 |
[A.IV.b.1] |
использование радиоканалов |
3 |
3 |
3 |
0,19 |
[A.IV.b.2] |
использование глобальных информационных сетей |
3 |
4 |
3 |
0,25 |
[A.IV.b.3] |
использование арендуемых каналов |
2 |
4 |
2 |
0,12 |
[B.I.0.0] |
ошибки (халатность) |
(Kgu)N =0,96 |
|||
[B.I.a.1] |
при разработке алгоритмов и программного обеспечения |
1 |
5 |
2 |
0,08 |
[B.I.a.2] |
при инсталляции и загрузке программного обеспечения |
3 |
5 |
4 |
0,46 |
[B.I.a.3] |
при эксплуатации программного обеспечения |
4 |
5 |
5 |
0,76 |
[B.I.a.4] |
при вводе данных (информации) |
5 |
5 |
5 |
0,96 |
[B.I.а.5] |
при настройке сервисов универсальных систем |
3 |
4 |
3 |
0,28 |
[B.I.а.6] |
самообучающейся сложной системы систем |
3 |
3 |
3 |
0,21 |
[B.I.b.1] |
при включении/выключении технических средств |
4 |
5 |
5 |
0,77 |
[B.I.b.2] |
при использовании технических средств охраны |
3 |
5 |
3 |
0,35 |
[B.I.b.3] |
при использовании средств обмена информацией |
3 |
5 |
4 |
0,46 |
[B.I.c.1] |
при конфигурировании и управлении сложной системы |
4 |
3 |
4 |
0,37 |
[B.I.c.2] |
при настройке программного обеспечения |
3 |
5 |
4 |
0,46 |
[B.I.c.3] |
при организации управления потоками обмена информации |
4 |
5 |
3 |
0,46 |
[B.I.c.4] |
при настройке технических средств |
3 |
5 |
4 |
0,46 |
[B.I.c.5] |
при настройке штатных средств защиты программного обеспечения |
3 |
4 |
4 |
0,37 |
[B.I.d.1] |
повреждение (удаление) программного обеспечения |
4 |
5 |
5 |
0,77 |
[B.I.d.2] |
повреждение (удаление) данных |
5 |
5 |
5 |
0,96 |
[B.I.d.3] |
повреждение (уничтожение) носителей информации |
5 |
5 |
5 |
0,96 |
[B.I.d.4] |
повреждение каналов связи |
4 |
3 |
3 |
0,28 |
[B.II.0.0] |
нарушения |
(Kgu)N =0,88 |
|||
[B.II.a.1] |
доступа на объект |
3 |
4 |
3 |
0,25 |
[B.II.a.2] |
доступа к техническим средствам |
4 |
5 |
4 |
0,56 |
[B.II.a.3] |
соблюдения конфиденциальности |
5 |
5 |
4 |
0,7 |
[B.II.b.1] |
энергообеспечения |
3 |
3 |
3 |
0,19 |
[B.II.b.2] |
жизнеобеспечения |
2 |
3 |
3 |
0,13 |
[B.II.b.3] |
установки нештатного оборудования |
3 |
3 |
3 |
0,19 |
[B.II.b.4] |
инсталляции нештатного ПО (игрового, обучающего и др.) |
3 |
3 |
3 |
0,19 |
[B.II.c.1] |
обработки и обмена информацией |
4 |
4 |
4 |
0,45 |
[B.II.c.2] |
хранения и уничтожения носителей информации |
5 |
5 |
5 |
0,88 |
[B.II.c.3] |
уничтожения производственных отходов и брака |
2 |
3 |
3 |
0,13 |
[B.III.0.0] |
психогенные |
(Kgu)N =0,96 |
|||
[B.III.a.1] |
антагонистические отношения (зависть, озлобленность, обида) |
2 |
5 |
2 |
0,15 |
[B.III.a.3] |
неудовлетворенность своим положением |
4 |
5 |
3 |
0,46 |
[B.III.a.4] |
неудовлетворенность действиями руководства |
3 |
5 |
3 |
0,35 |
[B.III.a.5] |
психологическая несовместимость |
1 |
5 |
2 |
0,08 |
[B.III.b.1] |
психические отклонения |
1 |
5 |
1 |
0,04 |
[B.III.b.2] |
стрессовые ситуации |
3 |
5 |
4 |
0,46 |
[C.I.0.0] |
сбои и отказы |
(Kgu)N =1 |
|||
[C.I.a.1] |
отказы ТС обрабатывающих информацию |
3 |
4 |
2 |
0,19 |
[C.I.a.2] |
отказы ТС обеспечивающих работоспособность средств обработки |
3 |
4 |
2 |
0,19 |
[C.I.a.3] |
отказы ТС обеспечивающих охрану и контроль доступа |
3 |
4 |
2 |
0,19 |
[C.I.b.1] |
старение и размагничивание дискет и съемных носителей |
4 |
4 |
1 |
0,13 |
[C.I.b.2] |
старение и размагничивание жестких дисков |
4 |
5 |
1 |
0,16 |
[C.I.b.3] |
старение элементов микросхем |
3 |
5 |
1 |
0,12 |
[C.I.b.4] |
старение кабелей и соединительных линий |
2 |
5 |
1 |
0,08 |
[C.I.c.1] |
сбои операционных систем и СУБД |
4 |
5 |
2 |
0,32 |
[C.I.c.2] |
сбои прикладных программ |
4 |
5 |
3 |
0,48 |
[C.I.c.3] |
сбои сервисных программ |
4 |
5 |
2 |
0,32 |
[C.I.c.4] |
сбои антивирусных программ |
4 |
5 |
2 |
0,32 |
[C.I.d.1] |
сбои электропитания оборудования, обрабатывающего информацию |
4 |
5 |
1 |
0,16 |
[C.I.d.2] |
сбои электропитания обеспечивающего и вспомогательного оборудования |
3 |
5 |
1 |
0,12 |
[C.II.0.0] |
косвенные причины |
(Kgu)N =0,96 |
|||
[C.II.a.1] |
критично близкое расположение техногенных сооружений |
1 |
5 |
1 |
0,04 |
[C.II.a.2] |
географическое положение объекта и климатические условия |
1 |
5 |
1 |
0,04 |
[C.II.a.3] |
гидрологическая и сейсмологическая обстановка |
1 |
5 |
1 |
0,04 |
[C.II.b.1] |
физический износ оборудования и сооружений |
3 |
5 |
2 |
0,23 |
[C.II.b.2] |
малое время наработки на отказ оборудования и ПО |
2 |
4 |
2 |
0,12 |
[C.II.b.3] |
повреждения жизнеобеспечивающих коммуникаций |
1 |
5 |
1 |
0,04 |
[C.II.c.1] |
физическое состояние субъекта |
2 |
3 |
2 |
0,09 |
[C.II.c.2] |
психосоматическое состояние субъекта |
2 |
5 |
1 |
0,08 |