1.3 Статистические характеристики уязвимостей информационно-телекоммуникационных систем в контексте обеспечения их безопасности
Для исследования статистических характеристик уязвимостей ИТКС были использованы сведения из Национальной базы данных уязвимостей США (англ. National Vulnerability Database, NVD) [181], являющейся репозиторием правительства США и содержащей сведения обо всех обнаруженных уязвимостях программного обеспечения и аппаратных устройств, а так же вызванных ошибками при их настройке и конфигурации.
Для классификации и оценивания уровня опасности уязвимостей в NVD используются специальные метрики [176]:
«Вектор доступа» (англ. Access Vector, AV), определяющая к какому структурно-функциональному уровню ИТКС у злоумышленника есть доступ. Возможные значения: локальный доступ, доступ из смежной ИТКС, доступ изнутри ИТКС.
«Сложность доступа» (англ. Access Complexity, AC), определяющая сложность эксплуатации уязвимости и необходимость наличия специальных условий для её использования. Возможные значения: низкая сложность доступа, характеризующаяся отсутствием специализированных условий или особых послабляющих обстоятельств, средняя сложность доступа, определяющаяся наличием нескольких специализированных условий и (или) особых послабляющих обстоятельств, высокая сложность, требующая специальных трудно достигаемых условий для реализации.
«Аутентификация» (англ. Authentication, AU), измеряющая количество процедур аутентификации, которые должен пройти или обойти злоумышленник, чтобы получить возможность эксплуатировать уязвимость. Возможные значения: отсутствует, одиночная, множественная.
Степень нарушения базовых атрибутов ИБ ИТКС – конфиденциальности, целостности, доступности определяется значением соответствующей метрики из совокупности нечетких понятий «отсутствует», «частичное», «полное». Эти базовые показатели описывают стационарные характеристики уязвимостей, которые не изменяются со временем и не зависят от пользовательской среды [127].
Для изучения статистических характеристик, было выбрано сетевое оборудование, выпускаемое корпорацией Cisco Systems. Такой выбор обусловлен тем, что устройства под брендом Cisco составляют 64% от объема мирового производства, во-вторых, 52% обнаруженных в 2011 году уязвимостей сетевого оборудования девяти крупнейших производителей относятся к продукции Cisco Systems (36% у продукции компании HP Networking) [125], что обусловлено востребованностью у потребителей и привлекательностью для злоумышленников.
Обобщенный результат проведенного анализа статистических характеристик уязвимостей ИТКС представлен на рис. 1.2 [47].
Как видно из рисунка, последствия от реализации уязвимостей для базовых атрибутов ИБ ИТКС, - конфиденциальности, целостности и доступности, - практически полностью сконцентрированы на каждом из них в отдельности, либо на всех трех одновременно. В совокупности количество подобных уязвимостей составляет 97,51% от общего числа обнаруженных уязвимостей (учитывались значения соответствующих метрик: частичное нарушение и полное нарушение, причем реализация угроз считалась независимой). При этом 82,32% уязвимостей могут привести, в том числе к нарушению доступности. Совокупная доля уязвимостей, последствиями от которых могут стать нарушения сразу двух атрибутов ИБ ИТКС, составляет всего лишь 2,49%, что объясняется принципиальными различиями технических особенностей нарушения конфиденциальности, целостности и доступности. При этом некоторая общность методов, используемых для обеспечения конфиденциальности и целостности (например, методы криптографической защиты информации), обуславливает большую относительную долю уязвимостей, потенциально способных повлиять и на конфиденциальность, и на целостность.
Рис. 1.2. Характеристики уязвимостей сетевого оборудования, выпускаемого корпорацией Cisco Systems
Для реализации 91,37% всех «одинарных» и «тройных» уязвимостей злоумышленнику достаточно доступа к самой ИТКС, при этом для уязвимостей, связанных с нарушением доступности, этот показатель еще выше и составляет 95,9%. Особенности процесса нарушения конфиденциальности и целостности информации и информационных процессов в ИТКС делают необходимым злоумышленнику локальный доступ к элементам ИТКС. Для уязвимостей, как-либо связанных с нарушением этих атрибутов ИБ ИТКС, доля требующих локального доступа в среднем составляет 11,15%, что выше среднего значения для всех уязвимостей, требующих локального доступа, на 4,66%.
Значения метрики «сложность доступа» разнятся сильнее остальных. Низкой сложностью доступа характеризуются 75,56% всех уязвимостей, средней – 21,31%, высокой – 3,13%. Статистика этого показателя для «тройной» уязвимости дает примерно равные величины, тогда как у «одинарных» и «двойных» значения различаются: для уязвимостей, влияющих на доступность, на конфиденциальность доля с низкой сложностью превышает среднее значение на 7,14% и 8,64% соответственно. Уязвимости нарушения целостности в большинстве характеризуются средней сложность доступа, количество которых превышает среднее значение на 35,39%.
Лишь 10,26% всех уязвимостей требуют одного или нескольких этапов аутентификации для получения возможности их реализации, при этом ни одна «двойная» – аутентификации не требует. Уязвимости, нарушающие либо доступность, либо все три атрибута ИБ ИТКС одновременно, составляющие в сумме 81,28% от общего количества уязвимостей, в 99,99% случаев требуют не более одной процедуры аутентификации.
Исследование статистических характеристик уязвимостей ИТКС показывает, что атака, использующая среднестатистическую уязвимость, будет проведена изнутри ИТКС и нарушит доступность информации и ресурсов в ИТКС. Характерным и нетривиальным примером таких деструктивных воздействий являются атаки типа «сетевой шторм», когда сетевые устройства коммутации и маршрутизации из-за некорректной настройки или умышленного деструктивного информационного воздействия на них, превращаются в источники вредоносного трафика, способного вывести из строя отдельные компоненты ИТКС.