четверг, 21 июля 2011 г.

Оценка рисков нарушения ИБ (подход научный)

На досуге почитал труд, скорее всего, двух ученых: Радько Н.М. и Скобелев И.О. "Риск-модели информационно-телекоммуникационных систем (ИТКС) при реализации угроз удаленного и непосредственного доступа". Книгу можно купить тут.
Так как подход является научным и с первого раза можно не понять о чем идет речь, то я постараюсь перевести всем понятный язык. В книге есть много интересных моментов, начиная от классификации угроз и заканчивая возможностью управления рисками с помощью существующей нормативно-методической базы ФСТЭК России по защите конфиденциальной информации. Сферой моих интересов является оценка рисков ИБ поэтому только о ней я и буду говорить.

Что предлагают авторы:
1. Описание информационно-телекоммуникационной системы.
Фактически, необходимо выбрать к какому из предлагаемых авторами типов ИТКС относится Ваша система. Выделяют 5-ть типов ИТКС: изолированная - локальная сеть без выхода в сеть интернет и обрабатывающая данные "секретного" (вообще говоря секретная - это тип гос тайны ;), поэтому не совсем понял этот термин) характера; корпоративная государственная - обрабатывает гос тайну; корпоративная коммерческая - обрабатывает коммерческую тайну; управляющая - система удаленного управления технологическими процессами; справочная - система, которая обрабатывает пользовательские запросы. Каждый из пяти типов может иметь различную структуру: односегментную, многосегментную и распределенную. Не могу не отметить таблички "актуальные виды угроз для исследуемых типов ИТКС", например для изолированной ИТКС актуальной является только угроза конфиденциальности!? а как же угрозы непосредственного доступа внутренними нарушителями с изменением информации в целях скрыть или подменить результаты исследования (для примера с научно-исследовательскими центрами).

2. Определение угроз удаленного и непосредственного доступа.
Одной из составляющей угроз в предлагаемой модели является способ НСД (атака), поэтому в дальнейшем авторы проводят классификацию угроз в разрезе атак непосредственного и удаленного доступа. Из классификации можно четко выделить три класса атак непосредственного доступа (вредоносное ПО, взлом системы идентификации и аутентификации, повышение привилегий пользователя) и 7 классов угроз удаленного доступа (если Вы возьмете базовую модель угроз ПДн в ИСПДн ФСТЭК России, то все эти сетевые угрозы Вы там найдете, внедрение ложного объекта, ложного DNS, анирование и т.д.).

3. Определение видов ущерба от реализации атак.
Для меня, самый непонятный и сомнительный этап. Авторы, в своей модели, принимают за величину ущерба - количество успешно реализованных атак. Для систем в которых есть статистика по таким атакам проблем не возникнет, а вот если такой статистики нет или система  вновь создаваемая - что тогда? Ответа я не нашел :(.

4. Определение взаимосвязи между атаками и их отношения к видам ущерба.
Некоторые атаки могут быть одним из звеньев в крупномасштабной атаке, пример от авторов, сканирование портов не является атакой наносящей ущерб, но является важнейшей составляющей в реализации различных удаленных атак.

5. Определение вероятности реализации атак.
Вероятность реализации атаки зависит от интенсивности ее возникновения, т.е. среднего количества атак на интервале времени. Если есть статистика по атакам, то все рассчитывается хорошо, если нет статистики, то видимо, надо привлекать экспертов для оценки возможного количества атак данного типа в единицу времени (это мои соображения :), так как авторы об этом умолчали). Конечное значение интенсивности атаки авторы предлагают рассчитывать с учетом некого коэффициента активности злоумышленника, который определяется на основании таких характеристик как: опыт, навыки, знание об объекте и т.д. Шкалу такой активности я не нашел, видимо авторы оставляют ее разработку на усмотрение конкретной организации. В тех случаях когда атаки взаимосвязаны между собой, то итоговая интенсивность считается как интенсивность реализации атаки + сумма интенсивностей взаимосвязанных атак. 
Подводя итог, по формуле представленной в разделе 5 рассчитываем вероятность реализации атак на определенном временном интервале + авторы определяют закон распределения вероятности реализации атак и строят графики плотности распределения атак для различных примеров.

6. Расчет рисков реализации угроз непосредственного и удаленного доступа к элементам информационно-телекоммуникационной системы.
Представлены функции распределения ущерба для различных классов атак и в целом по угрозам нарушения конфиденциальности целостности и доступности. Смотрите графики и делайте выводы. Единственное, что меня смущает, что эта оценка для ИТКС без учета существующих средств защиты, а на практике таких к сожалению практически не бывает ;). Да и шкалы оценки полученных результатов риска нет, например риск 1,7 - количество успешно реализованных атак несанкционированного входа в систему с правами легального пользователя - 18. Возникает вопрос - это хорошо или плохо? А если количество успешных атак 5 или 10 или 30?! Все эти вопросы остаются за кадром.

7. Расчет рисков реализации угроз, наносящих различный ущерб.
Расчет рисков по этапу 7 основан на математическом подходе моделирования процессов сетей Петри-Маркова. Основной смысл закладываемый авторами в том, что существует три состояния атаки: действие атаки не началось, действие атаки началось и действие атаки закончилось. Далее, применяя теорию сетей, происходит моделирование и расчет рисков нарушения ИБ в ИТКС. 

Преимущества:
- приведена актуальная классификация угроз удаленного и непосредственного доступа;
- в процессе оценки рисков учитывается взаимосвязь между атаками;
- введен коэффициент активности нарушителя;
- используются математические методы моделирования процессов сетей Петри-Маркова.

Недостатки:
- оценка интенсивностей возникновения угроз, в случае отсутствия накопленной статистики невозможна, что делает настоящий подход не более чем грамотный теоретический материал;
- отсутствие шкалы для оценки коэффициента активности возлагает дополнительные требования к знаниям специалиста, работающего с настоящей методикой;
- хотелось бы увидеть настоящий подход в действие на реальном объекте и посмотреть на полученные результаты, это я к вопросу об адекватности модели :) (войти несанкционированно в систему 30 раз - это конечно сильно :));
- отсутствие автоматизированной системы, реализующей настоящий подход, существенно затрудняет его использование на практике;
- ущерб - это количество успешно реализованных атак!? Как-то это не вписывается в классическое понимание :).

PS: книга интересная и помимо подхода к оценки рисков включает довольно большое количество интересного материала с иллюстрациями и практическими примерами различных атак. Так же в книге есть раздел по выбору и оценки средств защиты, который заслуживает отдельного внимания ;). 

пятница, 8 июля 2011 г.

Ну что тут сказать, в ответ на письмо Вихорева С.В.

Открытое письмо Вихорева С.В. - тут. Для того, что бы понимать, кто это, нашел его краткую автобиографию тут.

В ответ на его письмо хочу сказать: "Пока мы будем применять методы и способы защиты информации, с характерными признаками "совка", то мы будем защищать непонятно что, непонятно от чего и непонятно как".

При всем моем уважении к господину Вихореву, хочу еще добавить:
1. Почувствуйте разницу - защищать информацию и защищать информацию сертифицированными средствами. По моему господин Вихорев не совсем понимает разницу и откровенно говоря лукавит когда говорит о том, что у большинства уже все защищено. Защищено, но не сертифицированными средствами. А сертифицированные средства - это финансовые затраты независимо от того что и чем вы там защищали ;).

2. Когда господин Вихорев говорит о том, что те кто подписался не хотят работать, видимо он совсем не знаком с этой группой специалистов, пусть посмотрит их блоги и подумает над тем, что все эти специалисты (каждый в соей области финансы, производство, социальная сфера) не просто группа взбунтовавшихся студентов, а уважаемые люди, среди которых есть и CISA и CISSP и CISM и специалисты с ученой степенью, которые по мимо своей текущей работы, стараются предлагать новые подходы к вопросам ИБ и в целом, ставить направление ИБ на инновационные рельсы.

3. По ст. 19 - надо ждать соответствующих ПП и тогда разговаривать, но если получиться так, что Правительство РФ поручит установить уровни защищенности ФСТЭК России, то документы останутся прежние, а про уровни защищенности по документам ФСТЭК России я уже писал тут и тут. Коротко: если мы будем оценивать защищенность ИСПДн по наличию многопользовательского режима доступа к ней, а не по существующей системе разграничения прав доступа и контроля действий пользователей, то извините меня, по меньшей мере это не корректно.

4. По п. 18-1 давайте не выделять жирным, а дочитывать до конца: ",если иное не предусмотрено настоящим Федеральным законом или другими Федеральными законами". Как раз в ФЗ № 152 и предусмотрено другое в следующем абзаце ;). Я буду очень рад, если при проверки Вашей организации регуляторы будут выделять жирным те же вырванные из контекста фразы.

Далее судите сами.

PS: Это на сколько нужно не уважать своих коллег по цеху, что бы писать "вы" с маленькой буквы ;).

Интересный подход к оценки рисков на химических объектах США

Однажды по каналу одной из рассылки (сейчас и не вспомню какой) мне пришло приглашение на обсуждения следующего документа: "Специальный отчет. Методы выявления уязвимости химических объектов США. Министерство юстиции США. 2002г.". Время было совсем мало и решил отложить изучение данного документа. Но как это потом бывает - совсем про него забыл. И вот на днях, я его обнаружил в своих архивах и приступил к его изучению. Подход к оценки рисков оказался довольно интересным и отличающимся от тех подходов которые я видел. Именно этому документу и его подходу я хочу посвятить сегодняшний пост, несмотря на то, что метод, направлен на химические объекты США ;).

Основные этапы, которые необходимо выполнить для оценки рисков:
1. Отбор необходимых объектов для оценки уязвимостей.
Отбор основан на определении следующих критериев: количестве химикатов на объекте; значимости объекта для государства и на количестве людских потерь при реализации худшего сценария развития угрозы. Есть даже шкала для предварительной оценки количества возможно пострадавших людей, например уровень 1 - более 100 000. Критерии вполне адекватные для объектов такой важности.

2. Определение проекта.
Определение проекта или создание рабочей группы. Вполне классические мероприятия, которые включают в себя процессы по выбору руководителя рабочей группы, состава, количества и компетентности специалистов, входящих в рабочую группу.

3. Характеристика объекта.
Описание характеристик объекта также является вполне понятным этапом, на котором собирается информация об его инфраструктуре, технологических процессах, количестве и качестве обрабатываемых химикатов. Есть пара таблиц, которая позволяет систематизировать процесс описания. Особое внимание хочу обратить на рекомендации по описанию технологического процесса и его контроля.

4. Установление уровней серьезности опасности.
Серьезность опасности определяется для каждого варианта чрезвычайной ситуации или реализации угрозы. Уровень серьезности определяется по качественной шкале, которая содержит четыре уровня. 1-уровень - смерть рабочих, смерть населения, сильное повреждение собственности, не способность объекта к производству более чем 1 месяц. 4-уровень - без ущерба к прилегающим территориям.

5. Оценка угроз.
Понравился подход, который четко говорит о том, чтобы определить угрозы необходимо описать предполагаемых нарушителей. Для нарушителей определяют 4-е параметра: тип, мотивация, действия и способности. Для примера есть табличка, в которой, например: тип - преступники, кол-во - 2, экипировка - бронежилеты, транспорт - грузовик либо 4 на 4, мотивация - шантаж, ограбление. В качестве угрозы выступает мотивация нарушителя. Далее при оценки угроз определяется вероятность атаки в соответствии с качественно шкалой, например, уровень 1 - угроза существует, допускается, имеет намерение или историю и нацелена на объект, уровень 2 - угроза существует, допускается, имеет намерение или историю, но не нацелена на объект и т.д.

6. Первоочередность угроз.
Фактически это процесс ранжирования вероятности реализации атаки и серьезности. В документе приведена таблица ранжирования. Естественно, что все возможные комбинации вероятности и серьезности с уровнем 1 необходимо оценивать в первую очередь :). Процесс вполне известный.

7. Подготовка к анализу физической безопасности объекта.
На этом этапе анализируется вся собранная информация на этапе 1 по функционированию системы физической безопасности объекта. Далее, существующей системе физической защиты присваивается один из четырех уровней защищенности (вероятность успеха в реализации атаки злоумышленником). Пример шкалы, уровень 1 - СФЗ неэффективная или нет защитных мер, ожидается чрезвычайная ситуация, уровень 3 - значительные защитные меры, чрезвычайная ситуация возможна и т.д. И в конечном итоге оценивается и ранжируется риск исходя из вероятности успеха противника и вероятности и серьезности атаки.  Оценка и ранжирование рисков проводится по таблице аналогичной в п.5. 

8. Осмотр объекта.
Для меня, наличие этого этапа в конце процедуры оценки является немного странным, но видимо для данной категории объектов лучше "сто раз проверить". Собственно комментарии к этапу складываются в два предложения, суть которых сводится к тому, что необходимо еще раз проверить всю информацию о критических местах объекта и ознакомить с ней всю рабочую группу.

9. Анализирование эффективности системы.
На мой взгляд, самый интересный этап. Необходимо составить возможные сценарии реализации атаки и определить вероятность успеха в их реализации с учетом п.6., например, противник перелезает через ограждение, входит в здание через поднятые шлюзовые двери, проходит к критическому объекту и уничтожает оборудование. Логично учитывать п.6. в таком анализе, так как на объекте уже существует система защиты которая снижает вероятность успеха в реализации атаки по приведенному сценарию. На выходе мы получаем только актуальные сценарии реализации атаки, с которым нам и предстоит в дальнейшем работ (формировать защитные меры). 

10. Анализирование рисков.
Как итог всего выше сделанного - это риск. Риск в данном методе определяется как функция от следующих переменных: а) серьезность последствий атаки; б) вероятность атаки противника; в) вероятность атаки противника и последствия; г) вероятность успеха противника в реализации атаки. В документе приведена блок схема анализа рисков и таблица для удобства формирования обобщенного уровня риска.

Преимущества:
- по каждому из этапов прописаны исчерпывающие рекомендации с конкретными шаблонами;
- присутствует этап по созданию сценариев атаки;
- риск учитывает четыре различных фактора влияющих на безопасность объекта;
- угрозы определяются, исходя из различных параметров нарушителя.

Недостатки:
- узконаправленный подход (физическая безопасность химических объектов), для применения в области ИБ необходимо дорабатывать;
- проскакивают качественные показатели оценки, типа "незначительные", "значительные" и т.д., для меня лично эти термины не понятны;
- последовательность этапов, на мой взгляд, не совсем логичная (я бы поменял местами этап 8 и 7, так как сначала строим сценарии, а потом уже оцениваем риски ;)).

Несмотря ни на что мне подход очень понравился, взял его на вооружение :). И естественно, данный документ появляется в колонке "нормативка ИБ" с названием Report NCJ195171.

среда, 6 июля 2011 г.

По обращению к Президенту

Уважаемые эксперты!

Чтобы повысить эффективность данного письма, ОЧЕНЬ ЖЕЛАТЕЛЬНО направить его ЛИЧНО от своего имени в адрес Президента через сайт kremlin.ru. Там необходимо ввести свои фамилию, имя и адрес электронной почты, и приложить файл с обращением в формате RTF - забирайте, замените "подписантов" на свое имя и отправляйте! Чем больше запросов будет в адрес Президента, тем больше шансов, что на письмо обратят внимание.

Я уже отправил такое обращение ;).

Открытое письмо Президенту по внесению поправок в ФЗ 152

Уважаемые читатели моего блога, хоть я и взял за принцип не обсуждать в своем блоге вопросы 152-ФЗ, но тем не менее "резкое" принятие необдуманных поправок в этом ФЗ не может меня оставить равнодушным. В связи с этим я подписываюсь под посланием сообщества экспертов по ИБ под открытым письмом Президенту. Хочу Вас попросить о том же. Сделать это можно оставив в блогах тут, тут, тут или тут комментарий со своим ФИО.


Текст открытого письма Президенту Российской Федерации Д.А. Медведеву

Уважаемый Дмитрий Анатольевич!

Мы, представители экспертного сообщества в области информационной безопасности, обращаем Ваше внимание на невыполнение вашего поручения №5, опубликованного 2 июня 2011 года на сайте kremlin.ru, а именно:5. Ускорить приведение законодательства Российской Федерации в соответствие с требованиями Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных», предусмотрев устранение необоснованных обременений для операторов персональных данных.Ответственные: Щёголев И.О., Бортников А.В., Нургалиев Р.Г.Срок – 1 августа 2011 г.Обладая определенным опытом работы в области защиты информации и в частности защиты персональных данных, а также являясь экспертами различных рабочих групп, занимающихся вопросами гармонизации российского законодательства в области персональных данных, мы заявляем, что вследствие принятия 5 июля 2011 года в третьем чтении Государственной Думой законопроекта № 282499-5 "О внесении изменений в Федеральный закон "О персональных данных" (далее - Законопроект) все существовавшие серьезные обременения для операторов не только сохранились, но и приумножились.Частью 1 статьи 20 Конвенции Совета Европы “О защите физических лиц при автоматизированной обработке персональных данных”, подписанной от имени РФ 07.11.2001 в г. Страссбург (далее - Конвенция) предусмотрена норма, согласно которой оператор персональных данных самостоятельно принимает решение о составе защитных мер, исходя из предполагаемого ущерба субъекту от их неправомерного использования. В случае утечки, ответственность ложится на оператора по всей строгости закона. Указанные в Законопроекте требования по защите данных носят обязательный характер, их состав жестко регламентирован и не зависит от предполагаемого ущерба субъекту. В тоже время, ответственность операторов за утечки Законопроектом не предусмотрена. Другими словами, Законопроект не соответствует духу Конвенции.Российским операторам персональных данных (почти всем юридическим лицам) Законопроект навязывает требования по защите данных, ранее содержавшиеся в подзаконных и ведомственных нормативных актах ФСТЭК и ФСБ, которые абсолютно не учитывают современные тенденции развития информационного общества. Слегка “подкорректированные” методы и способы защиты государственной тайны 20-летней давности стали обязательными для 7 миллионов операторов персональных данных. А среди них не только «богатые» банки или нефтяные компании, но и фермерские хозяйства, школы, поликлиники и даже индивидуальные предприниматели - все они обрабатывают персональные данные, как минимум, своих работников.Как следствие, принятый Законопроект обязывает операторов персональных данных тратить ресурсы на выполнение морально устаревших требований и покупку несоответствующих современным реалиям технических средств защиты информации. По оценкам Парламентских слушаний 20 октября 2009 года, на реализацию этих, неэффективных в деле защиты прав субъектов персональных данных, мероприятий, всеми хозяйствующими субъектами должна быть единовременно потрачена сумма около 6% ВВП РФ. Учитывая объемы затрат операторы, с очень большой вероятностью, переложат указанные расходы на субъектов - потребителей своих услуг, что неизбежно приведет к эскалации инфляционных процессов.Особо отмечаем, что Законопроект не проходил антикоррупционную экспертизу, а большие обременения, заложенные в Законопроекте, могут весьма существенным образом сказаться на развитии ИТ-инноваций в РФ, поскольку инвестиционный бюджет ИТ-стартапов весьма ограничен. Учитывая объемы затрат, наиболее востребованный экономикой инновационный вид бизнеса в РФ будет заведомо обречен на провал.Эти и другие факторы создают предпосылки для вывода существующих и создаваемых информационных систем за пределы России в страны Евросоюза, где требования к защите персональных данных учитывают современные тенденции и обеспечивают баланс интересов оператора и субъекта. Такие действия, по понятным причинам, могут нанести значительный ущерб безопасности России, и не способствуют соблюдению прав субъектов персональных данных, являющихся гражданами РФ.Просим Вас, принимая во внимание изложенные доводы, отклонить законопроект в существующем виде, и направить его на общественные слушания и соответствующую доработку с привлечением экспертного сообщества в области информационной безопасности и, в частности, защиты персональных данных.06.07.2011

Письмо подписали: