17. Угрозы безопасности информации. Угрозы конфиденциальности, целостности доступности АС. Понятие политики безопасности. Дискреционная политика безопасности. Мандатная политика безопасности. Мандатная политика целостности.

Угрозы безопасности информации. Угрозы конфиденциальности, целостности доступности АС.

Под угрозой (вообще) обычно понимают потенциально возможное событие, действие (воздействие), процесс или явление, которое может привести к нанесению ущерба чьим-либо интересам. Угроза информационной безопасности  АС  - возможность реализации воздействия на информацию, обрабатываемую в АС, приводящего к искажению, уничтожению, копированию, блокировании доступа к информации, а также возможность воздействия на компоненты АС, приводящего к утрате, уничтожению или сбою функционирования  носителя информации, средства взаимодействия с носителем или средств его управления. В настоящее время рассматривается достаточно обширный перечень угроз информационной безопасности АС, насчитывающий сотни пунктов. Наиболее характерные и часто реализуемые из них перечислены ниже:

·         несанкционированное копирование носителей информации;

·         неосторожные действия, приводящие к разглашению конфиденциальной информации, или делающие ее общедоступной;

·         игнорирование организационных ограничений (установленных правил) при определении ранга системы.

Задание возможных угроз информационной безопасности проводится с целью определения полного перечня требований к разрабатываемой системе защиты. Перечень угроз, оценки вероятностей их реализации, а также модель нарушителя служат основой для анализа риска реализации угроз и формулирования требований к системе защиты АС. Кроме выяв­ления возможных угроз должен быть проведен анализ этих угроз на основе их классификации по ряду признаков. Каждый из признаков классификации отражает одно из обобщенных требований к системе защиты. При этом угрозы, соответствующие каждому признаку классификации, позво­ляют детализировать отражаемое этим признаком требование.

Необходимость классификации угроз информационной безопасности АС обусловлена тем, что архитектура современных средств автоматизи­рованной обработки информации, организационное, структурное и функ­циональное построение информационно-вычислительных систем и сетей, технологии и условия автоматизированной обработки информации такие, что накапливаемая, хранимая и обрабатываемая информация подверже­на случайным влияниям чрезвычайно большого числа факторов, в силу чего становится невозможным формализовать задачу описания полного множества угроз. Как следствие, для защищаемой системы определяют не полный перечень угроз, а перечень классов угроз.

Вне зависимости от конкретных видов угроз или их проблемно-ориентированной классификации АС удовлетворяет потребности эксплуатирующих ее лиц, если обеспечиваются следующие свойства информации и систем ее обработки.

• Конфиденциальность информации - субъективно определяемая (при­писываемая) характеристика (свойство) информации, указывающая на необходимость введения ограничений на круг субъектов, имеющих доступ к данной информации, и обеспечиваемая способностью систе­мы (среды) сохранять указанную информацию в тайне от субъектов, не имеющих полномочий доступа к ней. Объективные предпосылки подобного ограничения доступности информации для одних субъектов заключены в необходимости защиты их законных интересов от других субъектов информационных отношений.

• Целостность информации - существование информации  в неиска­женном виде (неизменном по отношению к некоторому фиксированно­му ее состоянию). Точнее говоря, субъектов интересует обеспечение более широкого свойства - достоверности информации, которое скла­дывается из адекватности (полноты и точности) отображения состоя­ния предметной области и непосредственно целостности информации, т.е. ее не искаженности.

 • Доступность информации - свойство системы (среды, средств и тех­нологии обработки), в которой циркулирует информация, характери­зующееся способностью обеспечивать своевременный беспрепятст­венный доступ субъектов к интересующей их информации и готовность соответствующих автоматизированных служб к обслуживанию посту­пающих от субъектов запросов всегда, когда в обращении к ним возни­кает необходимость.

Таким образом, в соответствии с существующими подходами, приня­то считать, что информационная безопасность АС обеспечена в случае, если для любых информационных ресурсов в системе поддерживается определенный уровень конфиденциальности (невозможности несанкцио­нированного получения какой-либо информации), целостности (невозмож­ности несанкционированной или случайной ее модификации) и доступно­сти (возможности за разумное время получить требуемую информацию). Соответственно для автоматизированных систем было предложено рас­сматривать три основных вида угроз.

• Угроза нарушения конфиденциальности заключается в том, что ин­формация становится известной тому, кто не располагает полномо­чиями доступа к ней. В терминах компьютерной безопасности угроза нарушения конфиденциальности имеет место всякий раз, когда полу­чен доступ к некоторой секретной информации, хранящейся в вычис­лительной системе или передаваемой от одной системы к другой. Ино­гда, в связи с угрозой нарушения конфиденциальности, используется термин "утечка".

• Угроза нарушения целостности включает в себя любое умышленное изменение информации, хранящейся в вычислительной системе или передаваемой из одной системы в другую. Когда злоумышленники преднамеренно изменяют информацию, говорится, что целостность информации нарушена. Целостность также будет нарушена, если к не­санкционированному  изменению  приводит  случайная  ошибка  про­граммного или аппаратного обеспечения. Санкционированными изме­нениями являются те, которые сделаны уполномоченными лицами с обоснованной целью (например, санкционированным изменением яв­ляется периодическая запланированная коррекция некоторой базы данных).

• Угроза отказа служб возникает всякий раз, когда в результате преднамеренных действий, предпринимаемых другим пользователем или злоумышленником, блокируется доступ к некоторому ресурсу вычислительной системы. Реально блокирование может быть постоянным - запрашиваемый ресурс никогда не будет получен, или оно может вызывать только задержку запрашиваемого ресурса, достаточно долгую для того, чтобы он стал бесполезным. В этих случаях говорят, что ресурс исчерпан.

Данные виды угроз можно считать первичными или непосредственными, так как если рассматривать понятие угрозы как некоторой потенциальной опасности, реализация которой наносит ущерб информационной системе, то реализация вышеперечисленных угроз приведет к непосредственному воздействию на защищаемую информацию. В то же время не посредственное воздействие на информацию возможно для атакующей стороны в том случае, если система, в которой циркулирует информация, для нее "прозрачна", т. е. не существует никаких систем защиты или других препятствий. Описанные выше угрозы были сформулированы в 60-х годах для открытых UNIX - подобных систем, где не предпринимались меры по защите информации.       
 На современном этапе развития информационных технологий подсистемы или функции защиты являются неотъемлемой частью комплексов по обработке информации. Информация не представляется "в чистом виде", на пути к ней имеется хотя бы какая-нибудь система защиты, и поэтому, чтобы угрожать, скажем, нарушением конфиденциальности, атакующая сторона должна преодолеть эту систему. Однако не существует абсолют­но стойкой системы защиты, вопрос лишь во времени и средствах, тре­бующихся на ее преодоление. Исходя из данных условий, примем следующую модель: защита информационной системы считается преодолен­ной, если в ходе ее исследования определены все уязвимости системы. Поскольку преодоление защиты также представляет собой угрозу, для защищенных систем будем рассматривать ее четвертый вид - угрозу раскрытия параметров АС, включающей в себя систему защиты. С точки зрения практики любое проводимое мероприятие предваряется этапом разведки, в ходе которого определяются основные параметры системы, ее характеристики и т. п. Результатом этого этапа является уточнение поставленной задачи, а также выбор наиболее оптимального технического средства.

Угрозу раскрытия можно рассматривать как опосредованную. По­следствия ее реализации не причиняют какой-либо ущерб обрабатывае­мой информации, но дают возможность реализоваться первичным или непосредственным угрозам, перечисленным выше. Введение данного вида угроз позволяет описывать с научно-методологической точки зрения отличия защищенных информационных систем от открытых. Для послед­них угроза разведки параметров системы считается реализованной.

Понятие политики безопасности

Политика безопасности – совокупность норм и правил, регламентирующих процесс обработки информации, обеспечивающих эффективную защиту системы обработки информации от заданного множества угроз. Политика безопасности составляет необходимое, а иногда и достаточное условие безопасности системы. Формальное выражение политики безопасности, называется моделью безопасности. Существуют два типа политики безопасности: дискреционная и ман­датная.

Дискреционная политика безопасности

Дискреционная политика безопасности – политика безопасности осуществляемая на основании заданного администратором множества разрешенных отношений доступа.

Основой дискреционной (дискретной) политики безопасности яв­ляется дискреционное управление доступом (Discretionary Access Control -DAC), которое определяется двумя свойствами:

·         все субъекты и объекты должны быть идентифицированы;

·         права доступа субъекта к объекту системы определяются на основа­нии некоторого внешнего по отношению к системе правила (заранее не закладывается в систему).

К достоинствам дискреционной политики безопасности можно отне­сти относительно простую реализацию соответствующих механизмов за­щиты. Этим обусловлен тот факт, что большинство распространенных в настоящее время АС обеспечивают выполнение положений именно дан­ной политики безопасности.

Недостаток – статическая система.

В качестве примера реализаций дискреционной политики безопасно­сти в АС можно привести матрицу доступов, строки которой соответствуют субъектам системы, а столбцы - объектам; элементы матрицы характеризуют права доступа. К недостаткам относится статичность модели. Это означает, что данная политика безопасности не учитывает динамику из­менений состояния АС, не накладывает ограничений на состояния системы.

Кроме этого, при использовании дискреционной политики безопасно­сти возникает вопрос определения правил распространения прав доступа и анализа их влияния на безопасность АС. В общем случае при использо­вании данной политики безопасности перед МБО (монитором безопасности объектов), который при санкциони­ровании доступа субъекта к объекту руководствуется некоторым набором правил, стоит алгоритмически неразрешимая задача: проверить приведут ли его действия к нарушению безопасности или нет.

В то же время имеются модели АС, реализующих дискреционную по­литику безопасности (например, модель Take-Grant), которые предоставляют алгоритмы проверки безопасности.

Так или иначе, матрица доступов не является тем механизмом, кото­рый бы позволил реализовать ясную и четкую систему защиты информа­ции в АС. Этим обуславливается поиск других более совершенных поли­тик безопасности.

Мандатная политика безопасности

Мандатная политика безопасности – политика безопасности основанная на совокупности предоставления доступа, определенного на множестве атрибутов безопасности субъекта и объекта.

Основу мандатной (полномочной) политики безопасности состав­ляет мандатное управление доступом (Mandatory Access Control - MAC), которое подразумевает, что:

·         все субъекты и объекты системы должны быть однозначно идентифи­цированы;

·         задан линейно упорядоченный набор меток секретности;

·         каждому объекту системы присвоена метка секретности, определяю­щая ценность содержащейся в нем информации - его уровень секрет­ности в АС;

·         каждому субъекту системы присвоена метка секретности, определяю­щая уровень доверия к нему в АС - максимальное значение метки сек­ретности объектов, к которым субъект имеет доступ; метка секретности субъекта называется его уровнем доступа.

Основная цель мандатной политики безопасности - предотвращение утечки информации от объектов с высоким уровнем доступа к объектам с низким уровнем доступа, т.е. противодействие возникновению в АС ин­формационных каналов сверху вниз.

Достоинство МПБ – более высокая степень надежности, правила ясны и понятны.

Это связано с тем, что МБО такой системы должен отслеживать не только правила доступа субъектов системы к объектам, но и состояния самой АС. Таким образом, каналы утечки в системах данного типа не заложены в нее непосредст­венно (что мы наблюдаем в положениях предыдущей политики безопас­ности), а могут появиться только при практической реализации системы вследствие ошибок разработчика. В дополнении к этому правила мандат­ной политики безопасности более ясны и просты для понимания разра­ботчиками и пользователями АС, что также является фактором, положи­тельно влияющим на уровень безопасности системы.

Недостатки – реализация систем с политикой безопасности данного типа довольно сложна и требует значительных ресурсов вычислительной системы.

В качестве примера модели АС, реализующих мандатную по­литику безопасности  можно привести - модель Белла-Лапалуда. В рамках данной модели доказывается важное утверждение, указывающее на принципиальное отличие систем, реали­зующих мандатную защиту, от систем с дискреционной защитой: если на­чальное состояние системы безопасно, и все переходы системы из со­стояния в состояние не нарушают ограничений, сформулированных политикой безопасности, то любое состояние системы безопасно.

Мандатная политика целостности (Абстрактная модель защиты информации)

Одной из первых моделей была опубликована в 1977 модель Биба. Согласно ей все субъекты и объекты предварительно разделяются по нескольким уровням доступа, а затем на их взаимодействия накладываются следующие ограничения:

1) субъект не может вызывать на исполнение субъекты с более низким уровнем доступа;

2) субъект не может модифицировать объекты с более высоким уровнем доступа.

 Как видим, эта модель очень напоминает ограничения, введенные в защищенном режиме микропроцессоров в INTEL 80386+ относительно уровней привилегий.