Модель анализа угроз и уязвимостей

Лабораторная работа № 1

по дисциплине

УПРАВЛЕНИЕ РИСКАМИ

Модель анализа угроз и уязвимостей

Теоретический материал

Для оценки рисков информационной системы организации защищенность каждого ценного ресурса определяется при помощи анализа угроз, действующих на конкретный ресурс, и уязвимостей, через которые данные угрозы могут быть реализованы. Оценивая вероятность реализации актуальных для ценного ресурса угроз и степень влияния реализации угрозы на ресурсы, анализируются информационные риски ресурсов организации.

В результате работы алгоритма представляются следующие данные:

1. Инвентаризацию ресурсов;

2. Значения риска для каждого ценного ресурса организации;

3. Значения риска для ресурсов после задания контрмер (остаточный риск);

4. Эффективность контрмер.

 

Введение в модель

Даная модель основана на построении модели угроз и уязвимостей.

Для того чтобы оценить риск информации, необходимо проанализировать все угрозы, действующие на информационную систему, и уязвимости, через которые возможна реализация угроз.

Исходя из введенных владельцем информационной системы данных, можно построить модель угроз и уязвимостей, актуальных для информационной системы компании. На основе полученной модели будет проведен анализ вероятности реализации угроз информационной безопасности на каждый ресурс и, исходя из этого, рассчитаны риски.

 

Основные понятия и допущения модели

Базовые угрозы информационной безопасности – нарушение конфиденциальности, нарушение целостности и отказ в обслуживании.

 

Ресурс – любой контейнер, предназначенный для хранения информации, подверженный угрозам информационной безопасности (сервер, рабочая станция, переносной компьютер). Свойствами ресурса являются: перечень угроз, воздействующих на него, и критичность ресурса.

 

Угроза – действие, которое потенциально может привести к нарушению безопасности. Свойством угрозы является перечень уязвимостей, при помощи которых может быть реализована угроза.

 

Уязвимость – это слабое место в информационной системе, которое может привести к нарушению безопасности путем реализации некоторой угрозы. Свойствами уязвимости являются: вероятность (простота) реализации угрозы через данную уязвимость и критичность реализации угрозы через данную уязвимость.

 

Критичность ресурса (АС)– степень значимости ресурса для информационной системы, т.е. как сильно реализация угроз информационной безопасности на ресурс повлияет на работу информационной системы. Задается в уровнях (количество уровней может быть в диапазоне от 2 до 100) или в деньгах. В зависимости от выбранного режима работы, может состоять из критичности ресурса по конфиденциальности, целостности и доступности (АСс, АCi, ACa).

 

Критичность реализации угрозы (ER) – степень влияния реализации угрозы на ресурс, т.е. как сильно реализация угрозы повлияет на работу ресурса. Задается в процентах. Состоит из критичности реализации угрозы по конфиденциальности, целостности и доступности (ERc, ERi, ERa).

 

Вероятность реализации угрозы через данную уязвимость в течение года (P(V)) – степень возможности реализации угрозы через данную уязвимость в тех или иных условиях. Указывается в процентах.

 

Максимальное критичное время простоя (Tmax) – значение времени простоя, которое является критичным для организации. Т.е. ущерб, нанесенный организации при простаивании ресурса в течение критичного времени простоя, максимальный. При простаивании ресурса в течение времени, превышающего критичное, ущерб, нанесенный организации, не

увеличивается.

 

Принцип работы алгоритма

Входные данные:

· Ресурсы;

· Критичность ресурса;

· Отделы, к которым относятся ресурсы;

· Угрозы, действующие на ресурсы;

· Уязвимости, через которые реализуются угрозы;

· Вероятность реализации угрозы через данную уязвимость;

· Критичность реализации угрозы через данную уязвимость.

 

С точки зрения базовых угроз информационной безопасности существует два режима работы алгоритма:

· Одна базовая угроза (суммарная);

· Три базовые угрозы.

Задание контрмер

Для расчета эффективности введенной контрмеры необходимо пройти последовательно по всему алгоритму с учетом заданной контрмеры. Т.е. на выходе пользователь получает значение двух рисков – риска без учета контрмеры (R_old) и риск с учетом заданной контрмеры (R_new) (или с учетом того, что уязвимость закрыта). Эффективность введения контрмеры рассчитывается по следующей формуле (E):

В результате работы алгоритма пользователь системы получает следующие данные:

· Риск реализации по трем базовым угрозам (или по одной суммарной угрозе) для ресурса;

· Риск реализации суммарно по всем угрозам для ресурса;

· Риск реализации по трем базовым угрозам (или по одной суммарной угрозе) для информационной системы;

· Риск реализации по всем угрозам для информационной системы;

· Риск реализации по всем угрозам для информационной системы после задания контрмер;

· Эффективность контрмеры;

· Эффективность комплекса контрмер.

 

Пример расчета риска информационной безопасности на основе модели угроз и уязвимостей

Рассмотрим расчет рисков для одной угрозы информационной безопасности, т.к. для остальных угроз риск рассчитывается аналогично.

Входные данные

Ресурс	Угрозы	Уязвимости
Сервер (критичность ресурса 100 у.е.)	Угроза 1   Неавторизованное проникновение нарушителя внутрь охраняемого периметра (одного из периметров)	Уязвимость 1 Отсутствие регламента доступа в помещения с ресурсами, содержащими ценную информацию
Уязвимость 2 Отсутствие системы Наблюдения (видеонаблюдение, сенсоры и т.д.) за объектом (или существующая система наблюдения охватывает не все важные объекты)
Угроза 2   Неавторизованная модификация информации в системе электронной почты, хранящейся на ресурсе	Уязвимость 1 Отсутствие авторизации для внесения изменений в систему электронной почты
Уязвимость 2 Отсутствие регламента работы с системой криптографической защиты электронной корреспонденции
Угроза 3   Разглашение конфиденциальной информации сотрудниками компании	Уязвимость 1 Отсутствие соглашений о конфиденциальности
Уязвимость 2 Распределение атрибутов безопасности (ключи доступа, шифрования) между несколькими доверенными сотрудниками

 

Угроза/Уязвимость	Вероятность реализации угрозы через данную уязвимость в течение года (%), P(V)	Критичность реализации угрозы через уязвимость (%), ER
Угроза 1/Уязвимость 1
Угроза 1/Уязвимость 2
Угроза 2/Уязвимость 1
Угроза 2/Уязвимость 2
Угроза 3/Уязвимость 1
Угроза 3/Уязвимость 2

 

Уровень угрозы

Угроза/Уязвимость	Уровень угрозы (%), Th	Уровень угрозы по всем уязвимостям, через которые реализуется данная угроза (%), СTh
Угроза 1/Уязвимость 1	0,3	0,384
Угроза 1/Уязвимость 2	0,12
Угроза 2/Уязвимость 1	0,24	0,270
Угроза 2/Уязвимость 2	0,04
Угроза 3/Уязвимость 1	0,08	0,669
Угроза 3/Уязвимость 2	0,64

 

 

Риск ресурса

Критичность ресурса (ущерб, который понесет Компания от потери ресурса) – 100 у.е.

Для угрозы доступность, критичность ресурса задается в час (а не в год, как для остальных угроз). Поэтому, чтобы получить критичность ресурса в год, необходимо умножить критичность ресурса в час на максимально критичное время простоя ресурса за год.

 

Угроза/Уязвимость	Общий уровень угроз по ресурсу (%), CThR	Риск ресурса (у.е.), R R = CThR × D
Угроза 1/Уязвимость 1	0,8511	85,11
Угроза 1/Уязвимость 2
Угроза 2/Уязвимость 1
Угроза 2/Уязвимость 2
Угроза 3/Уязвимость 1
Угроза 3/Уязвимость 2

 

Таким образом, получим риск ресурса, рассчитанный по модели угроз и уязвимостей.

Задание на лабораторную работу.

Задание 1.

1. Выберете информационный ресурс. Разработайте модель угроз и уязвимостей ресурса. Выберете количество 3 угрозы и по 2 уязвимости на каждую угрозу. Заполненную таблицу внесите в отчет.

Ресурс	Угрозы	Уязвимости
	Угроза 1	Уязвимость 1
Уязвимость 2
Угроза 2	Уязвимость 1
Уязвимость 2
Угроза 3	Уязвимость 1
Уязвимость 2

 

2. Задайте P(V) и ER (значения не должны совпадать с данными примера). Заполненную таблицу внесите в отчет.

Угроза/Уязвимость	Вероятность реализации угрозы через данную уязвимость в течение года (%), P(V)	Критичность реализации угрозы через уязвимость (%), ER
Угроза 1/Уязвимость 1
Угроза 1/Уязвимость 2
Угроза 2/Уязвимость 1
Угроза 2/Уязвимость 2
Угроза 3/Уязвимость 1
Угроза 3/Уязвимость 2

 

Задание 2.

1. Выберете другой информационный ресурс (отличный от выбранного в задании 1). Разработайте модель угроз и уязвимостей ресурса. Выберете 4 угрозы, для угрозы_1 и угрозы_3 определите по 2 уязвимости, для угрозы_2 одну уязвимость, для угрозы_4 определите 3 уязвимости.

2. Задайте значение вероятностей реализации угрозы через данную уязвимость в течение года (%) и критичность реализации угроз через уязвимости в денежном эквиваленте.

3. Произведите расчет риска ресурса, рассчитанный по модели угроз и уязвимостей.

4. Введите контрмеры и рассчитайте их эффективность.

5. Оформите проделанную работу в виде отчета.

 

 

Лабораторная работа № 1

по дисциплине

УПРАВЛЕНИЕ РИСКАМИ

Модель анализа угроз и уязвимостей

Теоретический материал

Для оценки рисков информационной системы организации защищенность каждого ценного ресурса определяется при помощи анализа угроз, действующих на конкретный ресурс, и уязвимостей, через которые данные угрозы могут быть реализованы. Оценивая вероятность реализации актуальных для ценного ресурса угроз и степень влияния реализации угрозы на ресурсы, анализируются информационные риски ресурсов организации.

В результате работы алгоритма представляются следующие данные:

1. Инвентаризацию ресурсов;

2. Значения риска для каждого ценного ресурса организации;

3. Значения риска для ресурсов после задания контрмер (остаточный риск);

4. Эффективность контрмер.

 

Введение в модель

Даная модель основана на построении модели угроз и уязвимостей.

Для того чтобы оценить риск информации, необходимо проанализировать все угрозы, действующие на информационную систему, и уязвимости, через которые возможна реализация угроз.

Исходя из введенных владельцем информационной системы данных, можно построить модель угроз и уязвимостей, актуальных для информационной системы компании. На основе полученной модели будет проведен анализ вероятности реализации угроз информационной безопасности на каждый ресурс и, исходя из этого, рассчитаны риски.

 

Основные понятия и допущения модели

Базовые угрозы информационной безопасности – нарушение конфиденциальности, нарушение целостности и отказ в обслуживании.

 

Ресурс – любой контейнер, предназначенный для хранения информации, подверженный угрозам информационной безопасности (сервер, рабочая станция, переносной компьютер). Свойствами ресурса являются: перечень угроз, воздействующих на него, и критичность ресурса.

 

Угроза – действие, которое потенциально может привести к нарушению безопасности. Свойством угрозы является перечень уязвимостей, при помощи которых может быть реализована угроза.

 

Уязвимость – это слабое место в информационной системе, которое может привести к нарушению безопасности путем реализации некоторой угрозы. Свойствами уязвимости являются: вероятность (простота) реализации угрозы через данную уязвимость и критичность реализации угрозы через данную уязвимость.

 

Критичность ресурса (АС)– степень значимости ресурса для информационной системы, т.е. как сильно реализация угроз информационной безопасности на ресурс повлияет на работу информационной системы. Задается в уровнях (количество уровней может быть в диапазоне от 2 до 100) или в деньгах. В зависимости от выбранного режима работы, может состоять из критичности ресурса по конфиденциальности, целостности и доступности (АСс, АCi, ACa).

 

Критичность реализации угрозы (ER) – степень влияния реализации угрозы на ресурс, т.е. как сильно реализация угрозы повлияет на работу ресурса. Задается в процентах. Состоит из критичности реализации угрозы по конфиденциальности, целостности и доступности (ERc, ERi, ERa).

 

Вероятность реализации угрозы через данную уязвимость в течение года (P(V)) – степень возможности реализации угрозы через данную уязвимость в тех или иных условиях. Указывается в процентах.

 

Максимальное критичное время простоя (Tmax) – значение времени простоя, которое является критичным для организации. Т.е. ущерб, нанесенный организации при простаивании ресурса в течение критичного времени простоя, максимальный. При простаивании ресурса в течение времени, превышающего критичное, ущерб, нанесенный организации, не

увеличивается.

 

Принцип работы алгоритма

Входные данные:

· Ресурсы;

· Критичность ресурса;

· Отделы, к которым относятся ресурсы;

· Угрозы, действующие на ресурсы;

· Уязвимости, через которые реализуются угрозы;

· Вероятность реализации угрозы через данную уязвимость;

· Критичность реализации угрозы через данную уязвимость.

 

С точки зрения базовых угроз информационной безопасности существует два режима работы алгоритма:

· Одна базовая угроза (суммарная);

· Три базовые угрозы.