6.3. Модели нарушителей безопасности ас

Согласно ГОСТ РВ 51987 — 2002, под нарушителем безопас­ности информации понимается субъект, случайно или преднаме­ренно совершивший действие, следствием которого является воз­никновение и/или реализация угроз нарушения безопасности ин­формации.

В контексте АС под нарушителем понимается субъект, имею­щий доступ к работе со штатными средствами автоматизирован-

ной системы и средствами вычислительной техники как части автоматизированной системы. Нарушители АС классифицируются по уровню возможностей, предоставляемых им штатными средствами АС. Выделяется четыре уровня этих возможностей. Классификация является иерархической, т.е. каждый следующий уровень включает функциональные возможности предыдущего.

Первый уровень определяет самый низкий уровень возможностей ведения диалога в АС — запуск задач (программ) из фиксич рованного набора, реализующих заранее предусмотренные фуни ции по обработке информации.

Второй уровень определяется возможностью создания и запуска собственных программ с новыми функциями по обработке информации.

Третий уровень определяется возможностью управления функционированием АС, т.е. воздействием на базовое программное обео печение системы и на состав и конфигурацию ее оборудования.

Четвертый уровень определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в ее состав собствен­ных технических средств с новыми функциями по обработке ин­формации.

В своем уровне нарушитель является специалистом высшей квалификации, знает все об АС и, в частности, о системе и средствах ее защиты [26]. Нарушитель может осуществлять атаку случайно или преднамеренно. В последнем случае он называется злоумышленником.

Система защиты АС строится на основе модели нарушители в каждом конкретном случае, исходя из применяемой технология обработки информации, условий функционирования и расположения АС, определяется модель нарушителя, которая должна быть адекватна реальному нарушителю. Под моделью нарушителя понимается его абстрактное (формализованное или неформализованное) описание. Мы будем рассматривать далее только неформализованное описание.

Неформальная модель нарушителя отражает его практические и теоретические возможности, время и место действия и т.п. Дл! достижения своих целей нарушитель должен приложить некоторые усилия, затратить определенные ресурсы. Исследовав причины нарушений, можно либо повлиять на сами эти причины, либои точнее определить требования к системе защиты от данного видя нарушений или преступлений.

При разработке модели нарушителя определяются:

• предположения о категориях лиц, к которым может принадлежать нарушитель;

• предположения о мотивах действий нарушителя (преследуемых нарушителем целях);

• предположения о квалификации нарушителя и его технической оснащенности (об используемых для совершения наруше­нии методах и средствах);

• ограничения и предположения о характере возможных действий нарушителя.

По отношению к АС нарушители могут быть внутренними (из числа персонала системы) или внешними (посторонними лица­ми). Внутренним нарушителем может быть лицо из следующих мисгорий персонала:

• пользователи (операторы) системы;

• персонал, обслуживающий технические средства (инженеры,техники);

• сотрудники отделов разработки и сопровождения ПО (при-малные и системные программисты);

• технический персонал, обслуживающий здания (уборщики, псктрики, сантехники и другие сотрудники, имеющие доступ в шлния и помещения, где расположены компоненты АС);

• сотрудники службы безопасности АС;

• руководители различных уровней должностной иерархии. Посторонние лица, которые могут быть нарушителями:

• клиенты (представители организаций, граждане);

• посетители (приглашенные по какому-либо поводу);

• представители организаций, взаимодействующих по вопро­сим обеспечения жизнедеятельности организации (энерго-, водо- теплоснабжения и т.п.);

• представители конкурирующих организаций (иностранных спецслужб) или лица, действующие по их заданию;

• лица, случайно или умышленно нарушившие пропускной ре­жим (без цели нарушить безопасность АС);

• любые лица за пределами контролируемой территории.

Весьма опасны так называемые обиженные сотрудники — ны­нешние и бывшие. Как правило, их действиями руководит жела­ние нанести вред организации-обидчику, например:

• повредить оборудование;

• встроить логическую бомбу, которая со временем разрушит программы и/или данные;

• ввести неверные данные;

• удалить данные;

• изменить данные и т.д.

Обиженные сотрудники, даже бывшие, знакомы с порядками в организации и способны вредить весьма эффективно. Необходи­мо следить за тем, чтобы при увольнении сотрудника его права моступа к информационным ресурсам аннулировались.

Используя классификацию нарушителей АС по уровню возможностей, получим следующую классификацию нарушителе безопасности предприятия:

• применяющий чисто агентурные методы получения свеш ний;

• применяющий пассивные средства (технические средства перехвата без модификации компонентов АС);

• использующий только штатные средства и недостатки систЯ зашиты для ее преодоления (несанкционированные действия использованием разрешенных средств), а также компактные магнитные носители информации, которые могут быть скрытно пронесены через посты охраны;

• применяющий методы и средства активного воздействия (модификация и подключение дополнительных технических средств подключение к каналам передачи данных, внедрение програм» ных закладок и использование

Кроме того, возможны и другие критерии классификации. Например, классификация нарушителей по времени действии выглядит так:

• в процессе функционирования АС (во время работы компонентов системы);

• в период неактивности компонентов системы (в нерабочее время, во время плановых перерывов в ее работе, перерывов д обслуживания и ремонта и т.п.);

• как в процессе функционирования АС, так и в период неактивности компонентов системы.

Классификация по месту действия нарушителей:

• без доступа на контролируемую территорию организации;

• с контролируемой территории без доступа в здания и сооружения;

• внутри помещений, но без доступа к техническим средствам АС;

• с рабочих мест конечных пользователей (операторов) АС;

• с доступом в зону данных (баз данных, архивов и т.п.);

• с доступом в зону управления средствами обеспечения опасности АС.

В ГОСТ 15408 — 2002 значительное внимание уделяется предположениям безопасности, которые должен сделать разработчик продукиа ИТ. В отношении возможных нарушителей могут учи­тываться следующие предположения:

• работа по подбору кадров и специальные мероприятия затрудняют возможность создания коалиций нарушителей, т.е. объединения (сговора) и целенаправленных действий по преодоле­нию подсистемы защиты двух и более нарушителей;

• нарушитель, планируя попытки НСД, скрывает свои несанкционированные действия от других сотрудников;

• НСД может быть следствием ошибок пользователей, адмистраторов, эксплуатирующего и обслуживающего персонала, а также недостатков принятой технологии обработки информации и т.д.

Определение конкретных значений характеристик возможных нарушителей в значительной степени субъективно. Модель нарушителя, построенная с учетом особенностей конкретной предметнонй области и технологии обработки информации, может быть представлена перечислением нескольких вариантов его облика. Каждый вид нарушителя должен быть охарактеризован значения­ми члрактеристик, приведенных выше.