Потенційні загрози безпеці інформації АС. Типова модель потенційного зловмисника ТЗІ

3. 
   зміна потоку повідомлень, що може призвести до порушення режиму роботи будь-якого об’єкту, який керується з віддаленої ПЕОМ (робочої станції);
   

1. 
   неправомірна відмова у наданні послуг
   

1.2 Інформаційно-аналітична модель з оцінки базового первинного захисту АС від загроз НСД

п і Р_обх = 0. (1.1)
Р_обх, що дорівнює нулю, відображає необхідність замкнення перешкоди навколо об’єкта захисту. Якщо t_ж >t_п, а Р_обх = 0, тоді
Р_сзі = (1 – Р_под), (1.2)
де Р_под – імовірність подолання перешкоди порушником за термін, менший t_ж.

Для реального випадку, коли t_ж>t_п і Р_обх = 0, стійкість захисту можна надати у вигляді:
Р_сзі = (1 – Р_под)(1 – Р_обх), (1.3)
де Р_под = 0, якщо t_жп; Р_под>0, якщо t_ж>t_п.
Однак ця формула справедлива для випадку, коли порушників двоє, тобто коли один переборює перешкоду, а другий її обходить. Але в вихідній моделі поведінки потенційного порушника допускаємо, що розглядається поодинокий порушник і йому відома стійкість перешкоди та складність шляхів її обходу. Оскільки одночасно по двом шляхам він долати перешкоду не зможе, він вибере один з них – найбільш простіший, тобто по схемі “або”. Тоді формульне вираження стійкості захисту в цілому для даного випадку буде відповідати формулі:
Р_сзі = (1 – Р_под) U (1 – Р_обх), (1.4)
де U – знак “або”.
Таким чином, стійкість перешкоди після визначення і порівняння величин (1 – Р_под) і (1 – Р_обх) буде дорівнюватись найменшому значенню однієї із них.

В якості прикладу первинного захисту, що вираховується по формулі (1.4), може бути кріптографічний захист інформації, де величина Р_под може визначатись шляхом оцінки імовірності підбору коду ключа, з допомогою якого можна дешифрувати закриту даним способом інформацію. Цю величину можна визначити по формулі:
Р_под = n/A^s, (1.5)
де n – кількість спроб підбору коду;

А - кількість символів у вибраному алфавіті коду ключа;

S - довжина коду ключа в кількості символів.

Величина Р_обх буде залежить від відібраного метода шифрування, способу застосування, повноти перекриття змісту інформації, існуючих методів кріптоаналізу, а також способу зберігання дійсного значення коду ключа та періодичності його зміни на нове значення, якщо інформація, закрита даним способом, постійно зберігається у її власника. Можливі і інші обставини, що впливають на імовірність обходу кріптографічного захисту.

Вибір та визначення конкретної величини Р_обх спочатку можна проводити експертним шляхом на основі досвіду фахівців. Величина Р_обх повинна приймати значення від 0 до 1. При Р_обх = 1 захист втрачає усякий зміст.

Можливо також, що у однієї перешкоди можуть бути декілька шляхів обходу. Тоді формула (1.5) приймає вид:
Р_сзі = (1 – Р_под) U (1 – Р_обх1) U (1 – Р_обх2)U... U(1 – Р_обх-к), (1.6)
де к – кількість шляхів обходу перешкоди, тобто стійкість перешкоди дорівнюється найменшому значенню, що одержано після визначення та порівняння величин:
(1 – Р_под), (1 – Р_обх1), (1 – Р_обх2), (1 – Р_обх-к). (1.7)
При масованих атаках ТЗІ, тобто при можливій одночасності подолання первинної перешкоди ТЗІ і використання усіх каналів її обходу, формулу (1.6) можна подати у вигляді (максимальна загроза НСД через первинну перешкоду ТЗІ):
Р_сзі = 1- Рпод Р_обх-к, (1.8)
де Р_сзі оцінюється ймовірністю неподолання та необходу перешкоди ТЗІ ні по одному із каналів НСД.

В тому разі, коли інформація, що підлягає захисту, не старіє або періодично оновлюється, тобто коли виконується нерівність t_ж>t_п постійно або ж коли забезпечити t_п>t_ж по якимсь причинам неможливо, звичайно використовується постійно діюча перешкода ТЗІ, яка володіє властивостями виявлення та блокування доступу порушника ТЗІ до об’єкту захисту. В якості такого захисту можуть бути використані людина або спеціальна автоматизована система виявлення під управлінням адміністратора безпеки (автоматизована перепона ТЗІ).



3
1 1

2

3

.


Рис.1. Інформаційно-аналітична модель первинного базового захисту АС від загроз НСД. 1 - об`єкт захисту від загроз НСД; 2 - перешкода ТЗІ; 3 - стійкість перешкоди ТЗІ


Т Т Т t


tп
tспр

tвм
tбл

Твбл

Рис. 2. Почасова діаграма контролю загроз НСД.

Очевидно, що параметри цієї перепони будуть впливати на її стійкість.

Здатність перепони виявляти та блокувати загрози НСД повинна враховуватись при експертній оцінці її стійкості шляхом введення в формулу (1.6) замість (1 – Р_под) величини Р_вбл – імовірності виявлення та блокування загроз НСД.

Принцип роботи автоматизованої перепони ТЗІ заснований на тому, що в ній блоком управління здійснюється періодичний контроль датчиків виявлення порушника ТЗІ. Результати контролю спостерігаються адміністратором безпеки. Періодичність опитування датчиків автоматом може досягати тисячних долей секунди та менше. В цьому випадку очікуваний час подолання перешкоди порушником значно перевищує період опитування датчиків. Саме тому такий контроль часто вважають постійним. Але для виявлення порушника адміністратором безпеки, що керує автоматом контролю, тільки малого періоду опитування датчиків недостатньо. Необхідний ще й термін на виробку сигналу тривожної сигналізації, тобто термін спрацювання автоматизованої перешкоди, оскільки він часто значно перевищує період опитування датчиків і, тим самим, збільшує термін виявлення порушника ТЗІ. Практика показує, що звичайно сигналу такої тривожної сигналізації достатньо для призупинення дій порушника ТЗІ, якщо цей сигнал до нього дійшов. Але оскільки фізичний або логічний доступ до об’єкту захисту поки що відкритий, подальші дії адміністратора безпеки (охорони) зводяться до визначення місця та організації блокування доступу порушника ТЗІ, на що також потрібний час.

Таким чином, умову стійкості перешкоди ТЗІ з автоматизованим виявленням та блокуванням загроз НСД можна формалізувати співвідношенням:
(Т_од + t_спр + t_вм + t_бл) / t_п < 1, (1.9)
де Т_од - період опитування датчиків авоматизованої перешкоди ТЗІ;

t_спр - термін спрацювання тривожної сигналізації;

t_вм - термін визначення місця загрози НСД;

t_бл - термін блокування загрози НСД;

t_п - термін подолання перешкоди порушником ТЗІ.
Якщо означимо суму (Т_од + t_спр + t_вм + t_бл) через T_вбл, одержимо співвідношення:
T_вбл / t_п < 1, (1.10)
де T_вбл - термін виявлення і блокування загрози НСД.

Процес контролю НСД та несанкціонованих дій порушника ТЗІ щодо його терміну наведено на мал. 1.4. З аналізу діаграми слідує, що порушник ТЗІ може бути невиявленим у двох випадках:

а) коли t_п < Т;

б) коли Т < t_п < T_{вбл .}

В першому разі потребується додаткова умова попадання інтервалу часу t_п в інтервал Т, тобто необхідна синхронізація дій порушника ТЗІ з частотою опитування датчиків виявлення загроз НСД. Для вирішення цієї задачі порушнику ТЗІ потрібно потайно підключити вимірювальну апаратуру в момент виконування НСД до інформації, що являє собою досить складну задачу для стороннього порушника. Саме тому вважаємо, що свої дії з частотою опитування датчиків автоматизованої перешкоди ТЗІ він синхронізувати не зможе і може розраховувати лише на деяку імовірність успіху, яка визначається в імовірності попадання відрізка часу t_п в проміжок часу між моментами (запитами, імпульсами) опитування датчиків ТЗІ, рівний Т.

Згідно визначенню геометричної імовірності одержимо формулу для визначення імовірності успіху порушника ТЗІ в наступному вигляді:
Р_под = (Т - t_п) / Т = 1 - t_п /Т (1.11)
Тоді імовірність виявлення несанкціонованих дій порушника буде визначатися:
Р_вбл = 1 - Р_под, (1.12)
або Р_вбл = t_п /Т. (1.13)
При t_п >Т порушник ТЗІ буде виявленим достеменно, тобто Р_вбл = 1.

В другому разі, коли Т < t_п < Т_вбл, імовірність успіху порушника буде визначатись по аналогії з попереднім співвідношенням:
Р_под= 1 - t_п / Т_вбл. (1.14)
Імовірність виявлення та блокування несанкціонованих дій порушника ТЗІ:

Р_вбл = (1 - Р_под), (1.15)

Р_вбл = t_п / Т_вбл. (1.16)

При t_п >Т_вбл спроба НСД не має сенсу, оскільки вона буде виявлена достеменно. В цьому разі Р_вбл = 1.

Таким чином, розрахунок стійкості базової первинної перешкоди ТЗІ з властивостями виявлення та блокування загроз НСД можна виконати за формулою:
Р_сзі = Р_вбл U (1 – Р_обх1) U (1 – Р_обх2) U (1 – Р_обхj), (1.17)
де j – кількість шляхів обходу цієї перешкоди;

U – знак “або”.

Слід відмітити, що ця формула справедлива також і для організаційного заходу захисту у вигляді періодичного контролю заданого об’єкта адміністратором безпеки. При цьому вважаємо, що виявлення, визначення місця НСД та його блокування відбувається одночасно – в момент контролю об’єкта адміністратором безпеки, тобто t_спр = t_вм = t_бл = 0, Т_вбл = Т, де Т – період контролю адміністратором безпеки об’єкта захисту. Імовірність виявлення та блокування дій порушника буде визначатись формулою (1.13).

Для більш повного представлення стійкості перешкоди у вигляді автоматизованої системи виявлення та блокування загроз НСД необхідно враховувати надійність її функціонування та шляхи можливого обходу її порушником ТЗІ.

Імовірність відмови системи визначається за звісною формулою:
Р_відм (t) = е^-t, (1.18)
де  - інтенсивність відмов групи технічних засобів, що складають систему виявлення та блокування загроз НСД;

t - розглядуваний інтервал терміну функціонування системи виявлення та блокування НСД.

З врахуванням можливої відмови автоматизованої системи контролю стійкість такої перешкоди ТЗІ буде визначатись за формулою:
Р_сзі-к= Р_вбл (1 -Р_відм) U (1 – Р_обх1) U (1 – Р_обх2)U... U(1 – Р_обхj), (1.19)
де Р_вбл і Р_відм визначаються відповідно за формулами (1.16) і (1.18).

Величина Р_обх і кількість шляхів обходу визначаються експертним шляхом на основі аналізу принципів побудови автоматизованої системи контролю та блокування загроз НСД.

Одним із можливих шляхів обходу автоматизованої системи виявлення та блокування загроз НСД може бути можливість потайного відключення порушником цієї системи (наприклад, шляхом обривання або замкнення контрольних ланок, підключення імітатора контрольного сигналу, зміни програми збору сигналів і т.і.) Імовірність такого роду подій визначається у межах від 0 до 1 методом експертних оцінок на основі аналізу принципів створення і роботи системи. При відсутності можливості несанкціонованого відключення системи величина його імовірності дорівнює нулю.

На основі викладеного підводимо деякі підсумки і робимо концептуальний висновок про те, що первинні захисні перепони доцільно використовувати двох видів: контрольовані і неконтрольовані адміністратором безпеки (оператором). Стійкість неконтрольованої перешкоди оцінюється за формулою (1.6), контрольованої – за формулою (1.19). Аналіз даних формул дозволяє сформулювати таке узагальнене концептуальне правило захисту будь-якого об’єкту ТЗІ від загроз НСД: стійкість захисної перепони ТЗІ від загроз НСД є достатньою, якщо очікуваний термін подолання її порушником ТЗІ є тривалішим за термін життєвого циклу (старіння, обмеженості, цінності) захищуваної інформації або триваліший терміну виявлення та блокування несанкціонованого доступу до неї та її носіїв при відсутності шляхів потайного обходу цієї перешкоди.

В більшості випадків на практиці захисна оболонка об’єкта ТЗІ складається із декількох "з`єднаних" між собою первинних перешкод ТЗІ з різною стійкістю та декількох рівнів або контурів ТЗІ. В більшості випадків на практиці захисний контур (оболонка) складається із декількох "з`єднаних" між собою перепон з різною стійкістю. Модель такого багатоланкового захисту з декількох ланок наведено на рис. 3.

3 2

1 1

4

5

Рис. 3. Інформаційно-аналітична модель багатоланкового захисту АС від загроз НСД; 1 - об`єкт захисту від загроз НСД; 2,3, - ланки перепони ТЗІ; 5 - стійкість перепони ТЗІ.

Прикладом такого виду захисту може бути приміщення, в якому знаходиться апаратура АС.

Перепонами з різною стійкістю тут можуть бути кодовий замок на вхідній двері, вікна, стіни, стеля, підлога і т. ін.

Для АС "з`єднання" перешкод ТЗІ (замкнення контуру захисту) має той же зміст, але іншу реалізацію. Наприклад, система контролю розкриття апаратури і система розпізнання та розмежування доступу, що контролюють доступ до периметру ІС, на перший погляд, є замкненим захисним контуром, але доступ до засобів відбиття і документування, до носіїв інформації і інших можливих каналів НСД вони не перекривають. Тобто, в контур захисту, як його ланки, ввійдуть ще система контролю доступу до приміщення, засоби захисту від ПЕМВН, шифрування і т. д. Це не означає, що система контролю доступу в приміщення не може бути замкненим захисним контуром для іншого об`єкту захисту (наприклад, для тієї ж ІС). Тут є важливою точка відліку, в даному випадку, стосовно об`єкту захисту, тобто контур ТЗІ даного об’єкту захисту не буде замкненим до тих пір, поки існує можливість будь-якої загрози НСД до нього.

Формальний опис стійкості багатоланкового захисту практично збігається з формулами (1.4) і (1.19), оскільки наявність декількох шляхів обходу однієї перешкоди ТЗІ, що не задовольняють заданим вимогам, потребує їх перекриття відповідними перешкодами. Тоді співвідношення для оцінки стійкості багатоланкового захисту при неконтрольованих перешкодах ТЗІ може бути представлене у вигляді:
Рсзі=Рсзі1UPсзі2UРсзі3U...UРсзііU(1-Робх1)U(1-Робх2)U...U(1-Робхк), (1.20)

де Рсзі-і - стійкість і-ї неконтрольованої перепони.

скачати