04. Угрозы, уязвимости и риски информационных систем

Введение

Любая информационная система может содержать слабые места.

Например: - устаревшее программное обеспечение; - неправильно настроенное сетевое оборудование; - слабые пароли; - избыточные права пользователей; - открытые сетевые сервисы; - отсутствие резервного копирования; - ошибки администраторов; - недостаточную физическую защиту.

Такие слабые места могут быть использованы для реализации различных угроз.

Поэтому специалисту недостаточно знать, что существует «кибератака». Необходимо понимать:

что является объектом атаки → какая существует уязвимость → кто может её использовать → каким образом это может произойти → какие последствия возникнут.

Угроза

Угроза — это потенциальная возможность причинения ущерба информационной системе, информации или её пользователям.

Угроза сама по себе ещё не означает, что инцидент обязательно произойдёт.

Например, наличие сервера, доступного из Интернета, создаёт потенциальную возможность атаки.

Это является угрозой.

Однако для успешной атаки злоумышленнику может потребоваться найти конкретную уязвимость или получить учётные данные.

Таким образом, угроза показывает, что опасное событие может произойти.

Примеры угроз: - несанкционированный доступ; - утечка информации; - уничтожение данных; - изменение данных; - заражение вредоносным ПО; - отказ информационной системы; - перехват сетевого трафика; - нарушение работы сетевых сервисов.

Источник угрозы

Для возникновения угрозы должен существовать определённый источник.

Источник угрозы — это субъект, объект или обстоятельство, способные привести к возникновению опасного события.

Источниками угроз могут быть: - злоумышленники; - сотрудники организации; - пользователи; - вредоносное программное обеспечение; - неисправности оборудования; - ошибки программного обеспечения; - природные явления; - перебои электропитания.

Например, злоумышленник может быть источником преднамеренной атаки.

А неисправный блок питания сервера может стать источником угрозы доступности системы, хотя никакого злоумышленника при этом нет.

Преднамеренные и случайные угрозы

По характеру возникновения угрозы можно разделить на преднамеренные и случайные.

Преднамеренные угрозы

Преднамеренная угроза возникает в результате целенаправленных действий.

Например: - попытка взлома сервера; - кража пароля; - установка вредоносной программы; - DDoS-атака; - кража конфиденциальной информации; - изменение конфигурации сетевого оборудования.

Злоумышленник сознательно совершает действия, направленные на достижение определённого результата.

Случайные угрозы

Случайные угрозы возникают без намерения причинить ущерб.

Например: - администратор удалил нужный файл; - пользователь случайно изменил настройки; - произошёл сбой оборудования; - программное обеспечение завершилось с ошибкой; - был неправильно настроен firewall; - произошло отключение электропитания.

Несмотря на отсутствие злого умысла, последствия могут быть серьёзными.

Внешние и внутренние источники угроз

Источники угроз также можно разделить на внешние и внутренние.

Внешние источники

Внешний источник не имеет непосредственного физического или штатного доступа к информационной системе организации.

Например: - внешний злоумышленник; - ботнет; - вредоносное программное обеспечение; - атакующий из Интернета.

Пример:

Злоумышленник из Интернета пытается подобрать пароль администратора сервера.

Внутренние источники

Внутренний источник находится внутри организации или уже имеет определённый доступ к её инфраструктуре.

Например: - сотрудник; - администратор; - подрядчик; - пользователь с скомпрометированной учётной записью.

Внутренние угрозы особенно опасны тем, что такой источник уже может обладать определёнными правами доступа.

Уязвимость

Уязвимость — это слабое место информационной системы, которое может быть использовано для реализации угрозы.

Уязвимость не обязательно является ошибкой программного обеспечения.

Она может возникнуть из-за: - неправильной настройки; - слабого пароля; - устаревшего ПО; - отсутствия обновлений; - неправильного разграничения доступа; - конструктивных особенностей системы; - ошибок пользователей; - недостатков организационных процессов.

Например:

Сервер использует устаревшее программное обеспечение.

Это уязвимость.

Если злоумышленник может использовать эту уязвимость для получения доступа к серверу, возникает реальная угроза безопасности.

Примеры уязвимостей

Рассмотрим несколько распространённых вариантов.

Слабые пароли

Пароль:

123456

является очевидным примером слабого пароля.

Если такой пароль используется для административной учётной записи, злоумышленнику может быть проще получить доступ к системе.

Устаревшее программное обеспечение

Производители регулярно исправляют обнаруженные ошибки и уязвимости.

Если организация не устанавливает обновления, известная уязвимость может оставаться доступной для эксплуатации.

Открытые сетевые сервисы

Если на сервере запущено большое количество сервисов, доступных из сети, увеличивается количество потенциальных точек атаки.

Например, организации может быть не нужен определённый сервис, но он продолжает работать и принимать соединения.

Избыточные права

Если обычному пользователю предоставлены административные права, компрометация его учётной записи может привести к более серьёзным последствиям.

Неправильная настройка сетевого оборудования

Ошибки конфигурации маршрутизатора или коммутатора могут привести к: - несанкционированному доступу; - неправильной маршрутизации; - обходу механизмов защиты; - доступу между сегментами сети; - раскрытию сетевой информации.

Связь между угрозой и уязвимостью

Угроза и уязвимость — разные понятия.

Угроза показывает, какое опасное событие может произойти.

Уязвимость показывает, какая слабость может позволить этому событию произойти.

Например:

Угроза: злоумышленник получит доступ к серверу. Уязвимость: на сервере используется слабый пароль администратора.

Ещё один пример:

Угроза: злоумышленник изменит настройки маршрутизатора. Уязвимость: административный интерфейс доступен из ненадёжной сети.

Можно представить взаимосвязь следующим образом: Источник угрозы
↓
Уязвимость
↓
Реализация угрозы
↓
Инцидент
↓
Последствия

Атака

Атака — это целенаправленное действие, направленное на нарушение безопасности информационной системы или получение несанкционированного доступа.

Атака может быть направлена на: - конфиденциальность; - целостность; - доступность; - учётные записи; - сетевые сервисы; - сетевое оборудование; - информационные ресурсы.

Например, злоумышленник может отправить большое количество запросов на сервер, чтобы сделать его недоступным.

В этом случае целью атаки является нарушение доступности.

Инцидент информационной безопасности

Инцидент информационной безопасности — это событие или совокупность событий, которые привели или могут привести к нарушению безопасности информационной системы.

Примеры инцидентов: - обнаружение вредоносного ПО; - успешный несанкционированный вход; - утечка конфиденциальной информации; - изменение важных данных; - взлом учётной записи; - нарушение работы сервера; - подозрительная активность в сети.

Важно отличать угрозу от инцидента.

Например:

Возможность DDoS-атаки — угроза. Фактически начавшаяся DDoS-атака — инцидент.

Последствия нарушения безопасности

Реализация угрозы может привести к различным последствиям.

Нарушение конфиденциальности

Информация становится доступной лицам, которые не должны её видеть.

Например: - утечка персональных данных; - кража паролей; - раскрытие коммерческой информации.

Нарушение целостности

Информация изменяется или уничтожается без разрешения.

Например: - изменение данных в базе; - удаление документов; - изменение конфигурации оборудования.

Нарушение доступности

Пользователи не могут получить доступ к необходимым ресурсам.

Например: - отказ сервера; - DDoS-атака; - повреждение сетевого оборудования.

Один инцидент может одновременно нарушить несколько свойств CIA.

Например, успешная атака на сервер может привести одновременно к: - краже данных; - изменению файлов; - остановке сервиса.

Риск

Для принятия решений недостаточно просто перечислить угрозы.

Необходимо определить, насколько опасна каждая из них.

Для этого используется понятие риска.

Риск — это возможность возникновения негативного события с учётом вероятности его возникновения и тяжести возможных последствий.

Упрощённо:

Риск = вероятность события × величина возможного ущерба

Это не строгая математическая формула для всех случаев оценки безопасности, а удобное представление принципа оценки риска.

Например, организация имеет два потенциальных события.

Событие №1: Сбой обычного офисного компьютера. Последствия ограничены одним рабочим местом.

Событие №2: Отказ основного сервера организации. Последствия могут затронуть десятки или сотни пользователей.

Даже если вероятность обоих событий одинакова, второй случай имеет значительно более высокий потенциальный ущерб.

Уровень риска

В практической работе риск часто оценивают качественно.

Например: - низкий; - средний; - высокий; - критический.

Предположим, сервер организации доступен из Интернета.

Если: - используется современное ПО; - установлены обновления; - применяется многофакторная аутентификация; - сетевой доступ ограничен; - ведётся мониторинг; - имеются резервные копии,

то риск может быть значительно ниже.

Если же: - используется устаревшее ПО; - пароль администратора слабый; - открыты ненужные сервисы; - отсутствует мониторинг; - резервное копирование не выполняется,

уровень риска значительно увеличивается.

Поверхность атаки

При анализе безопасности важно понимать, какие элементы системы потенциально доступны для атаки.

Для этого используется понятие поверхности атаки.

Поверхность атаки — совокупность точек и компонентов информационной системы, через которые потенциально может быть осуществлено воздействие.

К ней могут относиться: - открытые сетевые порты; - доступные сетевые сервисы; - веб-приложения; - удалённый доступ; - учётные записи; - беспроводные сети; - сетевое оборудование; - внешние интерфейсы.

Например, если сервер имеет десять доступных извне сервисов, потенциальных точек воздействия больше, чем при наличии только двух необходимых сервисов.

Поэтому один из подходов к защите заключается в уменьшении поверхности атаки.

Для этого: - отключают ненужные сервисы; - закрывают неиспользуемые порты; - ограничивают удалённый доступ; - удаляют ненужные учётные записи; - ограничивают права пользователей; - сегментируют сеть.

Почему уязвимости возникают

Уязвимости могут появляться по разным причинам.

Ошибки разработки

Программное обеспечение может содержать ошибки, позволяющие нарушить его безопасность.

Ошибки настройки

Даже безопасное программное обеспечение может стать уязвимым из-за неправильной конфигурации.

Например, администратор случайно открыл доступ к сервису для всех пользователей Интернета.

Человеческий фактор

Пользователь может: - использовать слабый пароль; - открыть вредоносный файл; - передать свои учётные данные; - подключить неизвестное устройство.

Устаревшее программное обеспечение

Если обновления безопасности не устанавливаются, известные уязвимости остаются неисправленными.

Недостатки организации защиты

Например: - отсутствует резервное копирование; - не ведутся журналы; - нет контроля доступа; - отсутствует план реагирования на инциденты.

Управление уязвимостями

Обнаружение уязвимости — только первый этап.

Для снижения риска необходимо регулярно выполнять управление уязвимостями.

Упрощённый процесс выглядит следующим образом: 1. Обнаружение уязвимости
↓
2. Оценка её опасности
↓
3. Определение затронутых систем
↓
4. Устранение или снижение уязвимости
↓
5. Проверка результата
↓
6. Повторный анализ

Например, администратор обнаружил, что на сервере используется устаревшая версия программного обеспечения.

Он должен: 1. определить, какие системы используют эту версию; 2. проверить наличие обновления; 3. оценить возможные последствия обновления; 4. установить исправление; 5. проверить работоспособность системы; 6. убедиться, что уязвимость устранена.

Что делать, если уязвимость невозможно устранить

Иногда уязвимость невозможно сразу устранить.

Например: - обновление ещё не выпущено; - старое оборудование невозможно быстро заменить; - система используется для критически важного процесса; - обновление требует длительного тестирования.

В этом случае необходимо снизить риск другими мерами.

Например: - ограничить сетевой доступ; - закрыть ненужные порты; - изолировать систему; - усилить контроль доступа; - установить дополнительные средства защиты; - усилить мониторинг.

Такой подход называется компенсирующими мерами защиты.

Пример анализа информационной системы

Рассмотрим сервер организации.

Сервер содержит важную базу данных и подключён к локальной сети.

Обнаружены следующие проблемы: - используется устаревшее ПО; - административный доступ разрешён из всей сети; - используется одна общая учётная запись администратора; - резервное копирование выполняется нерегулярно.

Уязвимости

Устаревшее ПО.
Слишком широкий сетевой доступ.
Отсутствие индивидуальных административных учётных записей.
Недостаточное резервное копирование.

Возможные угрозы

эксплуатация уязвимости ПО;
получение административного доступа;
изменение данных;
удаление данных;
нарушение работы сервера.

Возможные последствия

утечка информации;
изменение данных;
потеря данных;
остановка работы сервисов;
финансовый ущерб.

Меры защиты

Администратор может: 1. обновить программное обеспечение; 2. ограничить административный доступ; 3. создать индивидуальные учётные записи; 4. использовать многофакторную аутентификацию; 5. настроить резервное копирование; 6. вести журналы событий; 7. контролировать сетевые соединения.

В результате вероятность реализации угроз и возможный ущерб уменьшаются.

Принцип минимизации риска

Полностью исключить все угрозы практически невозможно.

Любая информационная система может столкнуться: - с новой уязвимостью; - с неизвестной атакой; - с ошибкой пользователя; - с отказом оборудования; - с чрезвычайной ситуацией.

Поэтому задача специалиста заключается не в создании абсолютно неуязвимой системы, а в снижении риска до приемлемого уровня.

Для этого необходимо: - уменьшать количество уязвимостей; - ограничивать доступ; - уменьшать поверхность атаки; - контролировать изменения; - обнаруживать инциденты; - своевременно устранять последствия; - обеспечивать возможность восстановления.

Связь с безопасностью компьютерных сетей

Для специалиста по сетевому и системному администрированию особенно важно анализировать уязвимости именно сетевой инфраструктуры.

Например, необходимо проверить: - какие устройства подключены к сети; - какие порты открыты; - какие сервисы доступны; - кто имеет административный доступ; - какие протоколы используются; - разделены ли различные категории пользователей; - разрешён ли ненужный сетевой трафик; - защищён ли удалённый доступ; - ведётся ли регистрация событий.

После анализа можно определить:

Угроза → уязвимость → риск → мера защиты.

Например:

Угроза: несанкционированный доступ к маршрутизатору. Уязвимость: используется слабый пароль администратора. Риск: злоумышленник может получить контроль над сетевым оборудованием. Мера защиты: сложная аутентификация, ограничение административного доступа и использование защищённого протокола управления.

Именно такой подход в дальнейшем будет использоваться при изучении защиты сетевого оборудования и настройке безопасности компьютерных сетей.

Выводы

Безопасность информационной системы зависит не только от используемых средств защиты, но и от наличия уязвимостей, характера угроз и возможных последствий.

Основные понятия: Источник угрозы — то, откуда может исходить опасное воздействие. Угроза — возможность возникновения опасного события. Уязвимость — слабое место системы, которое может быть использовано. Атака — целенаправленное воздействие на систему. Инцидент — событие, связанное с нарушением или возможным нарушением безопасности. Риск — оценка вероятности негативного события и тяжести его последствий. Поверхность атаки — совокупность потенциальных точек воздействия на систему.

Важной задачей специалиста является постоянное выявление и устранение уязвимостей.

Если уязвимость невозможно сразу устранить, применяются дополнительные или компенсирующие меры защиты.

Таким образом, обеспечение информационной безопасности строится не на попытке полностью исключить все угрозы, а на систематическом управлении рисками и снижении вероятности и последствий инцидентов.

В следующих темах будут подробно рассмотрены модели нарушителей и основные виды атак на компьютерные сети.

Контрольные вопросы

Что такое угроза информационной безопасности?
Что называется источником угрозы?
Чем преднамеренная угроза отличается от случайной?
Чем внешние источники угроз отличаются от внутренних?
Что такое уязвимость?
Какие причины возникновения уязвимостей вы знаете?
Чем угроза отличается от уязвимости?
Что такое атака?
Что такое инцидент информационной безопасности?
Чем угроза отличается от инцидента?
Какие последствия может иметь нарушение конфиденциальности?
Какие последствия может иметь нарушение целостности?
Какие последствия может иметь нарушение доступности?
Что такое риск информационной безопасности?
Как в упрощённом виде можно представить зависимость риска от вероятности и ущерба?
Что такое поверхность атаки?
Почему уменьшение поверхности атаки повышает безопасность системы?
Какие меры позволяют уменьшить поверхность атаки?
Что такое управление уязвимостями?
Что делать, если обнаруженную уязвимость невозможно сразу устранить?
Что такое компенсирующие меры защиты?
Почему невозможно полностью исключить все угрозы информационной безопасности?
В чём заключается задача специалиста по сетевому и системному администрированию при управлении рисками?
Приведите пример связи «угроза → уязвимость → риск → мера защиты».