Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.
Теоретические основы информационной
безопасности автоматизированных систем
Семинар 1. Моделирование угроз
Михаил Ванин
Ста...
Угроза – потенциально возможное событие,
действие, процесс или явление, которое может
привести к нанесению ущерба чьи-либо...
Классификация угроз
По природе возникновения
• естественные
• искусственные
По степени
преднамеренности
• случайные
• пред...
Методы моделирования угроз
1. Неформальное построение перечня угроз
2. Использование типовых моделей угроз
3. Формальное м...
Пример формального метода
Декомпозиция приложения
на составляющие
Идентификация угроз
Построение деревьев угроз
Ранжирован...
Декомпозиция методов DFD-диаграмм
Элементы DFD-диаграмм
Пример DFD-диаграммы верхнего уровня
Пример DFD-диаграммы 1 уровня
Идентификация угроз – метод STRIDE
Spoofing identity – нарушение идентификации
Tampering with data – подмена данных
Repudi...
Связь элементов DFD и категорий угроз
процессы хранилища
данных
субъекты потоки
данных
S ✅ ✅
T ✅ ✅ ✅
R ✅ ✅ ✅
I ✅ ✅ ✅
D ✅ ✅...
Деревья угроз
Дают наглядное представление о способах
реализации угрозы и рисках ее возникновения
Пример дерева угроз
Альтернативный вариант записи дерева угроз
Альтернативный вариант записи дерева угроз
Ранжирование угроз – метод DREAD
Damage potential – возможный ущерб
Reproducibility – воспроизводимость
Exploitability – с...
Описание угрозы
1. Название
2. Объект, подверженный угрозе
3. Типы угрозы по STRIDE
4. Риск, рассчитанный по DREAD
5. Дере...
SDLThreat ModelingTool
http://www.microsoft.com/en-us/sdl/adopt/threatmodeling.aspx
Сдача ДЗ1
1. Прислать ДЗ1 до 30 сентября 2015 включительно
2. Адрес – mvanin@bmstu.ru
3. Тема письма – ДЗ1. <Группа>. <ФИО...
Upcoming SlideShare
Loading in …5
×

ТОИБАС. Семинар 1. Моделирование угроз

442 views

Published on

Слайды к семинару 1 ТОИБАС по теме "Моделирование угроз"

Published in: Education
  • Be the first to comment

  • Be the first to like this

ТОИБАС. Семинар 1. Моделирование угроз

  1. 1. Теоретические основы информационной безопасности автоматизированных систем Семинар 1. Моделирование угроз Михаил Ванин Старший преподаватель кафедры ИУ8 mvanin@bmstu.ru Москва, 2015
  2. 2. Угроза – потенциально возможное событие, действие, процесс или явление, которое может привести к нанесению ущерба чьи-либо интересам.
  3. 3. Классификация угроз По природе возникновения • естественные • искусственные По степени преднамеренности • случайные • преднамеренные По источнику угрозы • вызванные природной средой • вызванные человеком • вызванные санкционированным СВТ • вызванные несанкционированным СВТ По местонахождению источника • источник вне периметра безопасности • источник в пределах периметра безопасности По степени воздействия на АС • пассивные • активные По способу доступа к ресурсам АС • использующие стандартные возможности • использующие недекларируемые возможности По нарушаемому свойству безопасности • нарушение конфиденциальности • нарушение целостности • нарушение доступности
  4. 4. Методы моделирования угроз 1. Неформальное построение перечня угроз 2. Использование типовых моделей угроз 3. Формальное моделирование угроз
  5. 5. Пример формального метода Декомпозиция приложения на составляющие Идентификация угроз Построение деревьев угроз Ранжирование угроз Выработка мер противодействия угрозам
  6. 6. Декомпозиция методов DFD-диаграмм
  7. 7. Элементы DFD-диаграмм
  8. 8. Пример DFD-диаграммы верхнего уровня
  9. 9. Пример DFD-диаграммы 1 уровня
  10. 10. Идентификация угроз – метод STRIDE Spoofing identity – нарушение идентификации Tampering with data – подмена данных Repudiation – отказ от авторства Information disclosure – нарушение конфиденциальности Denial of Service – отказ в обслуживании Elevation of privilege – повышение полномочий
  11. 11. Связь элементов DFD и категорий угроз процессы хранилища данных субъекты потоки данных S ✅ ✅ T ✅ ✅ ✅ R ✅ ✅ ✅ I ✅ ✅ ✅ D ✅ ✅ ✅ E ✅
  12. 12. Деревья угроз Дают наглядное представление о способах реализации угрозы и рисках ее возникновения
  13. 13. Пример дерева угроз
  14. 14. Альтернативный вариант записи дерева угроз
  15. 15. Альтернативный вариант записи дерева угроз
  16. 16. Ранжирование угроз – метод DREAD Damage potential – возможный ущерб Reproducibility – воспроизводимость Exploitability – сложность взлома Affected users – доля пользователей под угрозой Discoverability – вероятность обнаружения
  17. 17. Описание угрозы 1. Название 2. Объект, подверженный угрозе 3. Типы угрозы по STRIDE 4. Риск, рассчитанный по DREAD 5. Дерево угрозы
  18. 18. SDLThreat ModelingTool http://www.microsoft.com/en-us/sdl/adopt/threatmodeling.aspx
  19. 19. Сдача ДЗ1 1. Прислать ДЗ1 до 30 сентября 2015 включительно 2. Адрес – mvanin@bmstu.ru 3. Тема письма – ДЗ1. <Группа>. <ФИО>. Пример темы: «ДЗ1. ИУ8-71.Иванов Иван Иванович.» 4. Вложение – отчет в формате docx, pdf или html

×