Кафедра системотехніки
ЗВІТ
З практичної роботи №2
З дисципліни: «Технології захисту інформації»
| Виконал: ст. гр. КНТ-20-4 Хамзін Т.Є. Макушин Я.В. | | Прийняв: Кальницька А.Ю. |
Харків 2021
2.1 Мета заняття
Аналіз загроз і каналів витоку інформації. Аналіз можливостей, якими може володіти порушник, побудова моделі порушника.
2.2 Контрольні завдання
1. Для обраного програмного продукту скласти модель загроз ІБ (зробити опис інформаційної системи, загроз безпеці, методів боротьби, провести оцінку ризику, обчислити ступінь збитку та визначити актуальність загроз).
2. Для обраного програмного продукту скласти модель порушників ІБ.
2.3 Обраний програмний продукт
Програмна система «Аптека»
2.4 Виконання завдання
1. Опис ПС:
1. ПС – Програмна система. Підключення до системи відбувається, локально користувачем програми(Аптекарем). Підключення відбувається завдяки персональному комп’ютеру. Всередині програми встановлений відсортований список даних, який підключений локально.
2. Захисні функції не реалізовані. Не мае можливості врахувати засоби захисту і провести оцінку захисту від несанкціонованого вторгнення.
3. Перелік активів програмної системи.
Таблиця 2.2 – Активи
| Актив | Значущість | Ідентифікатор |
| Система зберігання даних | Висока | СЗД |
| Система виведення даних | Висока | СВД |
| Система внесення даних | Висока | СВД |
Загрози безпеці:
У даному розділі описуються результати моделювання загроз. До опису входить:
– актуальність зовнішніх або внутрішніх загроз;
– перелік актуальних порушників;
– перелік актуальних загроз інформаційної безпеки.
Перелік актуальних загроз зручно оформляти у вигляді таблиці
Таблиця 2.3 – Загрози та активи
| № | Загроза | Активи |
| 1 | Неавторизоване проникнення порушника всередину КЗ | АРМ, ТК, ПТК |
| 2 | Крадіжка відпрацьованих матеріалів (сміття, знищені документи, списані носії) | НІ |
| 3 | Внесення несправностей в код програми | ТК,НІ |
| 4 | Відхилення від інструкцій експлуатації | ПТК |
Для класифікації загроз безпеки може бути використана класифікація, яка зветься STRIDE:
Загальні привілеї (Common privilege). Всі користувачі програми мають однакові права в її використані що сприяє прочитання та редагування користувачем який не повинен мати до цього доступ.
На даному етапі слід визначити методи захисту від загроз безпеки для своєї програмної системи.
Таблиця 2.4 – Основні методи боротьби з небезпекою
| Тип небезпеки | Засоби боротьби |
| Загальні привілеї (E) | – Закриття даних від користувача; |
оцінка ризику:
Перший етап оцінювання ризику
Другий етап оцінювання ризику завдяки системі DREAD:
Потенційний збиток (Damage potential) – його майже не має, все що можна втратити при поломці або взломі програми, це лише її код та дані які зберігаються локально.
Ймовірність виникнення – вона максимально, бо ця програмна система не має реалізації захисту від взлому.
Відтворюваність (Reproducibility) – міра можливості реалізації небезпеки. Проломи доступні постійно оскільки програмна система не реалізує захисну функцію, з цього виходить що будь яка атака буде успішною. – 10.
Схильність до зламу (Exploitability) – міра зусиль і кваліфікації, необхідної для атаки. Будь який користувач може зламати програмну систему або пошкодити дані, які зберігаються в ній. – 10.
Коло користувачів, які потрапляють під удар (Affected users) – частка користувачів, робота яких порушується через успішну атаку – 1. Ймовірність виявлення (Discoverability) – 10.
Сумарна DREAD-оцінка – 7
Третій етап вибір технологій захисту.
| Засоби боротьби з небезпекою | Технологія захисту |
| Аутентифікація | – Базова аутентифікація; |
| Авторизація | – Привілеї; |
| Технології захисту від несанкціонованого доступу | – Файлова система з шифруванням EFS; |
Ступінь збитку:
Втрачений прибуток – 20% (оскільки програма не створена для використання у комерційних цілях).
Вартість заміни, відновлення й ремонту обчислювальної техніки – 100% (оскільки програма не створена для використання у комерційних цілях).
Втрата продуктивності – 100% (оскільки програма не створена для використання у комерційних цілях).
Конфіденційність – низька, Цілісність – середня, Доступність – висока, Класс – Sensitive. X = max (X = 1)
Визначення актуальності загроз:
Аj = [ймовірність (можливість) реалізації загрози (Рj) + ступінь шкоди (Хj)]/16.
Aj = [10 + 1]/16 = 0.6875. З цього слідує що загроза безпеці є актуальною
2. Модель порушника ПС
2.1 Таблиця можливих порушників
| Номер | Види порушників | Типи порушників | Можлива мета (мотивація) реалізації загроз безпеці інформації |
| 1 | Зовнішні суб'єкти (фізичні особи) | Зовнішні | Нанесення майнового збитку шляхом внутрішнього втручання або виконання некваліфікованих дій. Ідеологічні мотиви. |
| 2 | Користувачі інформаційної системи | Зовнішні | Ненавмисні, необачні або некваліфіковані дії. |
| 3 | Колишні працівники (користувачі) | Зовнішні | Нанесення майнового збитку для своєї фінансової цілі |
Потенціали кожного з видів порушників:
2.2.1 Зовнішні суб'єкти (фізичні особи), Користувачі інформаційної системи, Колишні працівники (користувачі), мають можливість відредагувати дані комп’ютерної системи також можуть дізнатися про методи реалізації цієї системи тому потенціал загрози є низьким.
Значення характеристик потенціалу кожного порушника: Зовнішні суб'єкти (фізичні особи) - Витрачений час - < 0,5 годин(0;0), Технічна компетентність порушника – непрофесіонал (0;0), Знання проекту та інформаційної системи – обмеження знань (2;2), Можливість доступу до інформаційної системи - < 0,5 години або доступ, який не можливо виявити(0;0), Устаткування порушника - Стандартне обладнання (1 , 2), Загальна характеристика - 7. Діапазон значень: <10 - Потенціалу недостатньо для реалізації загрози безпеці
2.2.2 Користувачі інформаційної системи – Витрачений час - < 0,5 годин(0;0),
Технічна компетентність порушника – непрофесіонал(0;0), Знання проекту та інформаційної системи – відсутність знань(0;0), Можливість доступу до інформаційної системи - < 0,5 години або доступ, який не можливо виявити(0;0), Устаткування порушника - Відсутнє(0;0), Загальна характеристика – 0. Діапазон значень: <10 - Потенціалу недостатньо для реалізації загрози безпеці.
2.2.3 Колишні працівники (користувачі) - Витрачений час - < 0,5 годин(0;0), Технічна компетентність порушника – Професіонал(5;4), Знання проекту та інформаційної системи - Знання чуттєвої інформації(5;4), Можливість доступу до інформаційної системи - < 0,5 години або доступ, який не можливо виявити(0;0), Устаткування порушника - Обладнання, зроблене на замовлення(5;6). Загальна характеристика – 29. >24 Потенціалу достатньо для реалізації загрози високого рівня для безпеки.