Основные факторы, подлежащие учету при оценке эффективности защиты информации
Оценка эффективности ТЗИ чаще всего проводится на основе сравнения защищенности информации без применения и с применением мер защиты. Кроме того, оценка защищенности информации необходима:
при выявлении угроз безопасности информации, оценке их актуальности, возможности предупреждения, обнаружения и нейтрализации угроз, при выявлении уязвимостей программного и программно-аппаратного обеспечения ИС;
при принятии решений на проведение мероприятий по ТЗИ;
при обосновании требований по защите информации к средствам вычислительной техники и ИС в защищенном исполнении
при обосновании требований к средствам, комплексам и системам ТЗИ;
при сравнении между собой и выборе существующих способов, мер и средств ТЗИ в ИС, изыскании и разработке новых способов ТЗИ, оптимизации распределения ресурса мер и средств защиты информации в ИС;
при проверке соответствия ИС установленным требованиям и аттестации ИС, при решении задач сертификации средств и комплексов защиты информации и т.д.
При этом имеют место множество факторов, влияющих в той или иной мере на результаты оценки, основные из которых приведены.
Суть влияния этих факторов на результаты оценки защищенности информации и эффективности ТЗИ сводится к следующему.
Фактор относительности понятия защищенности информации и эффективности защиты обусловливает то, что результаты оценки защищенности информации должны быть «привязаны» к определенному документу или совокупности документов, на соответствие требованиям которых оценивается защищенность информации в ИС, к установленному для этой ИС классу (уровню) защищенности, а результаты оценки эффективности ТЗИ - к достигаемой цели защиты информации.
При различии целей защиты информации даже в весьма незначительно отличающихся друг от друга ИС (по назначению, составу аппаратного и программного обеспечения и т.д.) результаты оценки эффективности ТЗИ в них оказываются несопоставимыми, что весьма затрудняет регулирование деятельности организаций (предприятий) в этой области со стороны уполномоченных органов исполнительной власти.
Во многом именно из-за этого указанное регулирование пока ограничивается только проверкой защищенности информации на соответствие требованиям нормативных документов и не затрагивают вопросы оценки эффективности ТЗИ.
Факторы неопределенности сведений о возможностях источника угрозы касаются оснащенности, компетенций и мотиваций нарушителя, реализующего угрозы безопасности информации [6, 13, 21], а также типа и функций применяемых вредоносных программ, которыми могут быть инфицированы ИС. Учет этих факторов обусловливает два варианта проведения оценки:
^применительно к наилучшей оснащенности, наивысшим компетенциям нарушителей и наиболее опасным их мотивациям, а также ко всем возможным функциям вредоносных программ (в том числе программных или программно-аппаратных закладок);
2) с градацией компетенций и мотиваций нарушителя, градацией функциональных возможностей вредоносных программ, что сегодня фактически отсутствует.
Поэтому сегодня применяется только первый из указанных вариантов оценки.
Факторы неопределенности, случайной направленности и содержания несанкционированных действий при реализации угроз безопасности информации обусловлены тем, что, во-первых, несанкционированные (в том числе деструктивные) действия (копирование, уничтожение, перемещение, модификация и др.) при реализации угрозы могут быть направлены на разные блоки защищаемой информации (файлы, каталоги, директории), при этом не известно, какой из блоков представляет первоочередной интерес для нарушителя, будут ли такие действия осуществляться относительно всех блоков защищаемой информации и в какой последовательности и т.д. Во-вторых, сами несанкционированные действия или их совокупность (например, копирование и уничтожение, модификация и перемещение) относительного защищаемого блока информации при оценке неизвестны, поскольку могут выбираться нарушителем в зависимости от цели реализации угрозы заблаговременно. Для парирования такой неопределенности и случайности может быть использовано несколько подходов:
Аранжирование угроз по вероятности выполнения возможных несанкционированных действий относительно каждого блока защищаемой информации в ИС. Обоснование возможности применения такого подхода связано с набором соответствующей статистики реализации угроз в различных ИС;
2) использование нечетких оценок (с применением аппарата нечетких множеств) возможного состава несанкционированных действий относительно каждого блока защищаемой информации в ИС. Такой подход вполне приемлем, но в результате его применения оценка становится нечеткой, зависящей от установленных для каждого действия функций принадлежности [22-25], что приводит к необходимости или интерпретации нечетких выводов, или корректной дефаззификации (перехода от нечетких к четким показателям оценки);
3) ранжирование угроз по опасности выполнения возможных несанкционированных действий относительно каждого блока защищаемой информации в ИС и выбора наиболее опасных угроз для рассматриваемых блоков (или блока) информации. Данный подход связан с необходимостью оценки и сравнения ущерба от реализации угроз относительно разных блоков защищаемой информации, однако, во-первых, методики количественной оценки прогнозируемого ущерба от копирования, уничтожения, блокирования и т.д. какой-либо информации в ИС сегодня отсутствуют, во-вторых, ущербы могут быть разнородными, что весьма существенно затрудняет их сравнение (см. раздел 3);
4) разделение всего множества угроз безопасности информации, которые могут иметь место в ИС, на следующие группы:
а) угрозы, связанные с проникновением в операционную среду хоста ИС и к файловой системе, то есть к командам (операциям, функциям) операционной системы с последующим их выполнением относительно файлов системной или пользовательской информации (в том числе файлов баз данных, вплоть до полей записей и самих записей) [26]. После такого проникновения могут выполняться любые действия с файлами - уничтожение, модификация, копирование, запись на съемные носители информации, несанкционированная передача во внешние сети, повышение привилегий доступа путем изменения учетных записей, подбора паролей доступа или изменения записей в системном реестре, нарушения доступности файлов путем модификации дескрипторных таблиц или записей в реестре, создание «черных входов», инфицирование вредоносными программами, в том числе для создания скрытых каналов передачи данных и т.д.;
б) угрозы, связанные с перехватом пакетов информации при их передаче по сетям общего пользования. Такие угрозы могут реализовываться путем, во- первых, несанкционированного изменения маршрутов (таблиц маршрутизации) передачи пакетов с прохождением их через нужные нарушителю хосты, во-вторых, копирования и передачи пакетов (даже без распаковки) на нужный нарушителю адрес, в-третьих, подмены сетевого адреса («ІР-spoofing», «DNS-spoofing»), подмены физического адреса сетевой карты («MAC-spoofing») и др.
Далее для угроз, входящих в группу а), оценивается возможность реализации угроз проникновения и выбирается угроза с наибольшей вероятностью проникновения и наиболее опасное с точки зрения наносимого ущерба обладателю информации несанкционированное действие, которое может быть выполнено в результате проникновения в операционную среду хоста ИС. Такой подход позволяет существенно сократить трудоемкость проводимого анализа возможных угроз.
Аналогично для угроз, входящих в группу б), выбирается угроза с наибольшей вероятностью перехвата сообщений и наибольшим ущербом, который может иметь место в результате перехвата. Тем самым парируется сложность анализа, связанная с огромным разнообразием возможных угроз и неопределенностью выбираемого нарушителем способа реализации угроз перехвата.
Факторы неопределенности и случайности последствий реализации угроз безопасности информации обусловлены не только отмеченными неопределенностями и случайностями состава несанкционированных действий при реализации угроз, но и тем, что, во-первых, разными обладателями одной и той же информации результаты несанкционированных действий относительно нее оцениваются по-разному, поскольку последствия для них, как правило, различны. Например, если для одного обладателя информации уничтожение файла и нарушение нормальной работы компьютера оказывается весьма критичным (срыв сроков выполнения заказа, снижение деловой репутации и т.п.), то для другого уничтожение такого же файла будет сведено лишь к необходимости затраты (возможно даже не существенной) времени на восстановление файла или нормальной работы компьютера. Во-вторых, даже для одного и того же обладателя размеры ущерба от такого воздействия могут оказаться весьма различными в разные периоды времени. Кроме того, размер наносимого ущерба часто является случайным, то есть непредсказуемой точно величиной. При этом для учета такой случайности могут быть использованы как методы теории вероятностей, так и методы теории нечетких чисел. Для парирования сложностей, связанных с данным фактором, чаще всего рассматриваются только самые опасные несанкционированные действия.
Факторы неопределенности, нечеткости сведений, которые предположительно используют источники угроз при попытке их реализации (об операционной среде, о реализуемых мерах ТЗИ и др.), во- первых, обусловливают случайный характер процесса реализации угроз безопасности информации в ИС для защищающейся стороны, во-вторых, вынуждают моделировать процессы реализации угроз, в том числе, возможно, с учетом вариантов осведомленности атакующего об атакуемой ИС и применяемых в ней мерах ТЗИ, в-третьих, приводят к необходимости использовать для учета таких факторов аппараты теории вероятностей и теории нечетких множеств при оценке защищенности информации и оценке эффективности ТЗИ.
Факторы неопределенности, связанные с типизацией ИС, их программных и аппаратных элементов, обусловлены тем, что часто при оценке защищенности информации и оценке эффективности ТЗИ некоторые сведения об установленном программном и аппаратном обеспечении ИС являются или ориентировочными (например, без указания версии операционной системы или прикладной программы), или обобщенными для класса, к которому относится данная ИС, или отсутствуют вообще. В этом случае проводится типизация ИС (см. раздел 1.4), при которой всегда имеются некоторые характеристики ИС, несколько отличающиеся от характеристик оцениваемой ИС. При правильной типизации отклонения в оценке защищенности и тем более в оценке эффективности ТЗИ, как правило, минимальны, а в ряде случаев и несущественны. Некоторые аспекты методологии типизации ИС рассмотрены в разделе 1.4.
Фактор стратегии защиты информации, реализуемой в ИС, нельзя не учитывать при оценке защищенности информации и оценке эффективности ТЗИ. Это обусловлено следующим.
Защита информации в ИС сегодня может осуществляться с использованием разных стратегий. Классификация известных сегодня стратегий.
Краткая их характеристика сводится к следующему.
Стратегия «периметровой» защиты заключается в том, что информация в ИС защищается по периметру от внешних угроз, а также от угроз несанкционированной передачи ее из ИС в сети общего пользования. Это достигается установкой соответствующих программных и программно-аппаратных средств (типа «межсетевой экран», шлюз и т.п.), контролирующих по определенным правилам входящий и выходящий трафик ИС.
Стратегия эшелонированной защиты заключается в том, что, наряду с защитой информации в ИС по периметру, принимаются меры защиты на уровне серверов сети, рабочих станций, операционной системы каждого хоста, прикладной программы (например, на уровне системы управления сетевой или локальной базы данных), на уровне архитектуры программно-аппаратной среды каждого компьютера и даже на уровне команд процессора. Состав эшелонов защиты определяется содержанием требований защиты.
Стратегия «ключевых элементов» или выборочная стратегия заключается в том, что защита осуществляется только на наиболее важных элементах (программных или программно-аппаратных) защищаемой ИС. Такая стратегия применяется в случае наличия ограничений на состав применяемых мер и средств защиты.
Стратегия тотального контроля заключается в том, что осуществляется контроль любых действий, операций, команд в хостах ИС. При этом такая стратегия может быть реализована в нескольких вариантах. Первый вариант заключается в том, что осуществляется проверка действий, операций, команд специально выделенным программным (программноаппаратным) средством - монитором безопасности. Такой контроль может осуществляться или на прикладном уровне (при этом контроль, как правило, не обеспечивает в полной мере выявление возможных нарушений и защита может быть дискредитирована), или на уровне модулей (программных функций), или на уровне команд процессора. В двух последних случаях сложность применения такой стратегии состоит в громоздкости конфигурирования системы защиты. Второй вариант тотального контроля заключается в том, что по всей ИС устанавливаются программные или программно-аппаратные «агенты», осуществляющие выявление любых аномалий (аномалий трафика по периметру сети, нарушений установленных правил разграничения доступа в каждом компьютере сети, сигнатур вредоносных программ и т.п.). При этом «агенты» могут перепрограммироваться, перенастраиваться, перемещаться по сети в зависимости от складывающейся обстановки. Применение такой стратегии рассматривается для перспективных многоагентных систем защиты информации. В настоящее время системы защиты, основанные на такой стратегии, только начинают разрабатываться [27-29].
Стратегия дифференцированного контроля и реакции заключается в том, что выбираются в соответствии с некоторыми установленными правилами элементы ПС, подлежащие контролю, и определяются дифференцированно применительно к каждому элементу меры защиты в случае выявления нарушений безопасности информации.
Стратегии «периметровой» защиты и тотального контроля относятся к доминантным стратегиям, направленным на защиту любой информации в сети независимо от ее содержания и важности. Все стратегии, разделенные по признаку организации защиты, определяют, по сути, структуру соответствующей системы защиты информации в ПС.
Важным для оценки эффективности ТЗИ является разделение стратегий по направленности действий по защите. При этом действия могут быть направлены на пресечение нарушений, на обман или отвлечение нарушителя на ложные информационные ресурсы ПС, игнорирование последствий (когда пользователь считает, например, экономически более целесообразным восстанавливать информацию, а не применять комплекс дорогостоящих для него мер защиты), а также смешанные стратегии (как правило, в смешанных стратегиях имеются элементы как пресечения, так и введения нарушителя в заблуждение).
Стратегия пресечения является сегодня основной, широко применяемой на практике. Как альтернатива к стратегии пресечения сегодня разрабатываются программные средства защиты, реализующие стратегию обмана (введения в заблуждение) или отвлечения нарушителя на ложные информационные и аппаратные ресурсы. Такая стратегия в отечественной практике пока не используется, однако уже предусмотрена в нормативных документах [13] и может привести к серьезному развитию методологии оценки эффективности ТЗИ в ИС. Эта стратегия может быть как «периметровой» (в этом случае уже по периметру ИС устанавливаются средства отвлечения), так и эшелонированной (когда средства отвлечения устанавливаются в нескольких эшелонах защиты) или стратегией ключевых элементов (когда таким образом защищаются только наиболее важные элементы системы).
Стратегия игнорирования последствий и резервирования информации является, как правило, ущербной и ориентация на нее нецелесообразна.
Рассматривая разделение возможных стратегий по признаку адаптивности применяемых мер и средств защиты, необходимо отметить следующее. Элементы адаптивного (ситуационного) управления защитой имеются в любой системе защиты ИС. В современных системах это, как правило, реализуется в виде возможных, заранее предусмотренных вариантов действий. Например, такие системы могут включать в себя подсистемы обнаружения сетевых атак или вредоносных программ с заранее предусмотренными мерами по блокированию действий нарушителя. В перспективных защищенных ИС могут создаваться специальные системы поддержки принятия решений по обеспечению безопасности информации в ИС в случае развития нештатных ситуаций с выбором необходимых адекватных мер защиты.
Если смотреть стратегии с точки зрения их разделения по признаку организации защиты, то существенным в данном случае является, наряду с сочетанием реализуемых мер защиты, влияние этих мер на защищенность рассматриваемого блока защищаемой информации. Для доминантных стратегий любая мера защиты влияет на защищенность любого блока защищаемой информации. Для остальных стратегий необходимо оценивать указанное влияние.
Принципиально новой является стратегия введения в заблуждение нарушителя (обмана, отвлечения). Эффективность защиты в этом случае, во многом, определяется эффективностью введения нарушителя в заблуждение относительно атакуемого ресурса, в том числе с отвлечением его на ложный информационный ресурс. В данной работе вопросы методологии оценки эффективности защиты информации для данной стратегии не рассматривается.
Факторы неопределенности, нечеткости оценки влияния мер защиты информации на реализацию угроз безопасности информации и снижение возможного ущерба обусловлены тем, что, во-первых, некоторые сведения о характеристиках применяемых программных или программноаппаратных средств защиты, реализующих ту или иную техническую меру защиты, их настройках и т.п. сегодня, являются или ориентировочными, или обобщенными для класса средств защиты, или отсутствуют вообще. Во- вторых, практически для всех известных мер и средств защиты сегодня отсутствуют количественные оценки их влияния на защищенность информации в ИС (если не считать количественной мерой указанного влияния установленный для средства защиты класс защиты). Как правило, «снижение» возможного ущерба в результате применения той или иной меры защиты оценивается бинарным показателем «да - нет», то есть ущерб есть или его нет, так как размер возможного ущерба не является монотонной функцией от каких-либо характеристик средства защиты, влияющих лишь на возможности реализации угроз, а не на размер наносимого ущерба.
Фактор времени (динамики реализации угроз и динамики применения мер защиты информации) весьма существенно влияет на выводы о возможности реализации той или иной угрозы. Без учета фактора времени оценки возможностей реализации угроз и применения некоторых мер защиты (направленных, например, на опережение процесса реализации угрозы) оказываются или некорректными, или вообще несостоятельными.
