МІНІСТЕРМТВО ОСВІТИ І НАУКИ УКРАЇНИ НАЦІОНАЛЬНИЙ УНІВЕРСИТЕТ «ЛЬВІВСЬКА ПОЛІТЕХНІКА» ПОБУДОВА МНОЖИНИ ДЕСТАБІЛІЗУЮЧИХ ФАКТОРІВ ОБ’ЄКТА ЗАХИСТУ ІНСТРУКЦІЯ до виконання лабораторної роботи з курсу «Комплексні системи санкціонованого доступу» для студентів стаціонарної та заочної форм навчання за спеціальностями 7.160103, 7.160104, 7.160105 Затверджено на засіданні кафедри захисту інформації. Протокол № 21 від 14.06.2007 р. Львів – 2007 Побудова множини дестабілізуючих факторів об’єкта захисту: Інструкція до виконання лабораторної роботи з курсу «Комплексні системи санкціонованого доступу» для студентів стаціонарної та заочної форм навчання за спеціальностями 7.160103, 7.160104, 7.160105 /Укл.: В.О. Ромака, О.І. Гарасимчук, Б.Д. Буз. – Львів: видано згідно з розпорядженням № 39 від 12.10.1999 р. кафедрою захисту інформації Національного університету «Львівська політехніка», 2007. – 10 с. Укладачі Ромака В.О., канд. фіз..-мат. наук, доц., Гарасимчук О.І., асист., Будз Б.Д., асист. Відповідальний за випуск Ромака В.О., канд. фіз.-мат. наук, доц. Рецензенти Стрілецький З.М., канд. техн. наук, доц., Лагун А.Е., канд. техн. наук, доц. I. Тема роботи «Побудова множини дестабілізуючих факторів об’єкта захисту» Завдання II. Теоретичні відомості та деякі рекомендації для виконання роботи 2.1. Поняття загрози інформації. Загроза інформації є основним поняттям інформаційної безпеки. З усієї множини способів класифікації загроз найбільш придатною для аналізу є класифікація загроз за результатами їх впливу на інформацію. Як відомо, основними властивостями інформації, що визначають її цінність, є конфіденційність, цілісність, доступність і спостереженість. Отже, з цього погляду в автоматизованій системі (АС) розрізняються такі класи загроз інформації: порушення конфіденційності (ПК); порушення цілісності (логічної - ПЛЦ чи фізичної - ПФЦ); порушення доступності чи відмовлення в обслуговуванні (ПД); порушення спостереженості чи керованості (ПС). Зафіксовано, що для забезпечення кожної з виділених основних властивостей захищеної інформації встановлено певний набір послуг. Це дозволяє ввести наступний рівень загроз, трактуючи реалізацію яких-небудь послуг у неповному обсязі чи взагалі їх невиконання (можливо, навмисне) як деякі загрози. Аналіз нормативних документів показує, що цей рівень може включати такі загрози: • порушення конфіденційності: а) загрози при керуванні потоками інформації (ПКП); б) загрози існування безконтрольних потоків інформації (наявність схованих каналів) (ПКБ); в) порушення конфіденційності при обміні - загрози при експорті/імпорті інформації через незахищене середовище (ПКО); • порушення цілісності: а) загрози при керуванні потоками інформації (ПЛЦП, ПФЦП); б) неможливість відкату - повернення захищеного об'єкта у вихідний стан (ПЛЦВ, ПФЦВ); в) порушення цілісності при обміні - загрози при експорті/імпорті інформації через незахищене середовище (ПЛЦО, ПФЦО); • порушення доступності чи відмова в обслуговуванні: а) порушення при керуванні послугами і ресурсами користувача(ПДК); б) порушення стійкості до відмов (ПДС); в) порушення при гарячій заміні (ПДГ); г) порушення при відновленні після збоїв (ПДВ); • порушення спостереженості чи керованості: а) порушення при реєстрації небезпечних дій (ПСР); б) порушення при ідентифікації та автентифікації (ПСІ); • несанкціоноване використання інформаційних ресурсів (НВ). Таким чином, при переході до рівня послуг отримано новий рівень загроз - розширений і більш конкретний. Якщо рухатися в цьому напрямку далі, тобто перейти, наприклад, на рівень реалізації кожної з послуг, то можна одержати ще конкретніший набір загроз, оскільки, відповідно до [17], для реалізації кожної з послуг необхідно здійснити ще більш конкретні умови і дії. Тобто, фактично вийде повний перелік послуг. Відзначимо деякі важливі особливості наведеної класифікації загроз: • вона однаково застосовна до кожного з відомих класів АС; до кожної із загроз не прив'язуються які-небудь конкретні фізичні причини їх виникнення; вона залишається відкритою, тобто кожну із загроз можна конкретизувати далі, одержавши більш докладну і розширену їх множину на новому рівні. Поставимо тепер питання про практичну реалізацію цих загроз і причини їх виникнення. Як неважко помітити, дані в такий спосіб визначення загроз враховують лише деякі абстрактні небажані впливи на інформацію, що захищається, і фактично не містять ніяких конструктивних аспектів, що істотно утруднює їх практичне використання. З іншого боку, загрози неявно визначаються в такий спосіб: «Загрози оброблюваної в АС інформації залежать від характеристик КС, фізичного середовища, персоналу й оброблюваної інформації. Загрози можуть мати або об'єктивну природу, наприклад зміна умов фізичного середовища (пожежі, повені і т. п.) чи відмова елементів обчислювальної системи, або суб'єктивну, наприклад помилки персоналу чи дії ЗЛ. Загрози, що мають суб'єктивну природу, можуть бути випадковими або навмисними». Отже, доходимо висновку, що на будь-якому об'єкті будь-якої АС можуть здійснюватися певні обставини, події чи фактори, що будуть перешкоджати реалізації конкретних захисних механізмів і заходів, створюючи тим самим відзначені вище загрози. При цьому вони будуть безпосередньо пов'язані з цими загрозами і будуть, власне кажучи, їхніми причинами. Ці обставини, події чи фактори можна охарактеризувати в такий спосіб: вони об'єктивно існують і можуть реалізуватися в будь-який момент часу на будь-якому об'єкті АС, де обробляється інформація, що підлягає захисту; вони не зводяться до загроз; один і той самий процес чи подія в одному випадку призводить до загроз, а в іншому не являє собою ніякої небезпеки для інформації; їх можна явно описати і класифікувати; для кожного такого фактора існує можливість явно установити, з якими видами загроз він пов'язаний; для кожного такого фактора існує можливість визначити канали витоку інформації; виникає можливість здійснювати конкретні дії з метою протидії загрозам. Таким чином, виявляється, що загрози виникають унаслідок реалізації цих факторів, тобто є їх результатом. Надалі ці фактори будемо називати дестабілізуючими (ДФ). Як показує подальший аналіз, уведення поняття ДФ цілком логічно виправдане і допомагає одержати дуже просту, зрозумілу і наочну схему для створення моделі загроз. 2.2. Методологія побудови матриці загроз ДФ - це такі явища чи події, що можуть з'являтися на будь-якому етапі життєвого циклу (ЖЦ) АС і наслідком яких можуть бути загрози інформації. Упродовж ЖЦ АС може виникати багато ДФ різноманітної природи. Тому, на основі аналізу архітектури, технології й умов функціонування АС і всіх можливих у принципі ДФ зручно ввести поняття типу ДФ, що дає підставу класифікувати ДФ за способами їх реалізації. Вважаючи, що ця класифікація ДФ є вичерпною, виділимо такі типи ДФ: кількісна недостатність - фізична недостача компонентів АС для забезпечення необхідного рівня захищеності оброблюваної інформації; якісна недостатність - недосконалість конструкції чи організації компонентів АС, унаслідок чого не забезпечується необхідний рівень захищеності оброблюваної інформації; відмова елементів АС - порушення працездатності елементів, що призводить до неможливості виконання ними своїх функцій; збій елементів АС - тимчасове порушення працездатності елементів, що призводить до неправильного виконання ними в цей момент своїх функцій; помилки елементів АС - неправильне (одноразове чи систематичне) виконання елементами своїх функцій унаслідок специфічного (постійного і/або тимчасового) їхнього стану; стихійні лиха - випадкові неконтрольовані явища, що призводять до фізичних руйнувань; злочинні дії - дії людей, що спеціально спрямовані на порушення захищеності інформації; побічні явища - явища, що супроводжують виконання елементом АС своїх функцій. Звідси видно, що ДФ можуть мати об'єктивну природу (наприклад, відмови, збої і т. д.) чи суб'єктивну (наприклад, дії ЗЛ). В останньому випадку ДФ можуть бути випадковими чи навмисними. Зауважимо, що характеристика випадковості чи навмисності може бути відносною. Наприклад, іноді свідомо додані в програмне забезпечення функції можуть заздалегідь визначати можливість ненавмисних дій (приміром, при дистанційному налагодженні чи настроюванні систем). Подальший аналіз ДФ показує, що важливо класифікувати ДФ за джерелами їх виникнення. Очевидно, що джерелами ДФ можуть бути як компоненти АС, так і зовнішнє середовище. Виділяються такі джерела ДФ: персонал - люди, що мають яке-небудь відношення до функціонування АС; технічні засоби; моделі, алгоритми, програми; технологія функціонування - сукупність засобів, прийомів, правил, заходів і угод, що використовуються в процесі обробки інформації; зовнішнє середовище - сукупність елементів, що не входять до складу АС, але здатні впливати на захищеність інформації в АС. Спільний розгляд типів ДФ і їхніх джерел показує, що формально може бути 40 різних сполучень «тип-джерело» ДФ. Однак фактично їх може бути менше, оскільки, звичайно, деякі з таких сполучень не мають практичного змісту. Справді, наприклад, на якісну недостат ністькомпонентів АС для захисту Таблиця 1 інформації аж ніяк не може прямо вплинути зовнішнє середовище. Перераховані типи і джерела ДФ зручно звести у таблицю, кожна клітинка якої відповідає ДФ певного типу з певного джерела (див. табл. 1). У кожній клітинці таблиці 1 проставлено номери рядка і стовпця. Відсутність чисел означає, що таке сполучення принципово не може реалізуватися (отже, усього можливих сполучень - 32). Варто особливо звернути увагу на те, що в дійсності кожна клітинка містить не один ДФ певного типу з певного джерела, а цілу їх множину. Зауважимо також, що перший стовпець і сьомий рядок табл. 1 містять множину ДФ, що пов'язані з діяльністю людини. Опис дій (помилкових чи злочинних) людини є змістом моделі порушника. Цей тип ДФ принципово відрізняється від усіх інших. Якщо всі інші ДФ в основному реалізуються випадково, то злочинні дії реалізуються з участю людини. Останні відрізняються як своїми характеристиками і можливостями реалізації, так і труднощами їх формалізації. Варто також враховувати можливість імітації порушником випадкових ДФ. Тепер залишається для кожної конкретної задачі побудови СЗІ формувати повні множини ДФ по кожному типу і кожному джерелу. Звернемо увагу на те, що повнота кожного з множини ДФ має абсолютний характер: хоча б один невстановлений ДФ може виявитися катастрофічним для всієї інформації в АС. Отже, процес побудови кожної множини ДФ повинен бути винятково ретельним і детальним. Для подальшої класифікації ДФ в окремих множинах (клітинках табл. 1) необхідно використовувати додаткові їхні особливості і характеристики. Наприклад, ДФ можуть бути активними і пасивними. III. Хід виконання роботи Визначення переліку об’єктів, які підлягають захисту. Визначення джерел дестабілізуючих факторів. Визначення типів дестабілізуючих факторів. Побудова матриці загроз. IV. Оформлення результатів лабораторної роботи НАВЧАЛЬНЕ ВИДАННЯ ПОБУДОВА МНОЖИНИ ДЕСТАБІЛІЗУЮЧИХ ФАКТОРІВ ОБ’ЄКТА ЗАХИСТУ ІНСТРУКЦІЯ до виконання лабораторної роботи з курсу «Комплексні системи санкціонованого доступу» для студентів стаціонарної та заочної форм навчання за спеціальностями 7.160103, 7.160104, 7.160105 Укладачі [ім’я автора приховано] [ім’я автора приховано] [ім’я автора приховано] Комп’ютерне верстання [ім’я автора приховано] Видано кафедрою захисту інформації Національного університету «Львівська політехніка» згідно з розпорядженням № 39 від 12.10.1999 р., протокол засідання кафедри № 21 від 14.06.2007 р. Реєстраційний № 1314 від 19.06.2007 р. Наклад 15 примірників.