06. Источники угроз, нарушители и основные сценарии атак

Введение

Компьютерная сеть может подвергаться воздействию со стороны различных источников.

Это может быть: - внешний злоумышленник; - сотрудник организации; - администратор; - подрядчик; - пользователь, допустивший ошибку; - вредоносная программа; - техническая неисправность; - природное или иное чрезвычайное воздействие.

При этом один и тот же источник может создавать разные угрозы.

Например, сотрудник может: - случайно удалить файл; - передать пароль другому человеку; - подключить заражённую флешку; - намеренно украсть информацию.

Поэтому при анализе безопасности важно рассматривать не только саму угрозу, но и источник её возникновения, возможности нарушителя и возможный сценарий атаки.

Источник угрозы

Источник угрозы — это объект, явление или субъект, способный создать условия для возникновения угрозы информационной безопасности.

Источником может быть: - человек; - группа людей; - программное обеспечение; - техническое устройство; - природное явление; - авария; - ошибка пользователя или администратора.

Например:

Источник угрозы
       ↓
Злоумышленник
       ↓
Попытка получить доступ
       ↓
Угроза информационной безопасности

Но источник угрозы не всегда является злоумышленником.

Например:

Источник угрозы
       ↓
Отказ оборудования
       ↓
Сервер перестаёт работать
       ↓
Нарушение доступности

Здесь нет человека, который специально атаковал систему.

Основные группы источников угроз

Источники угроз можно условно разделить на несколько больших групп: 1. Человеческие. 2. Программные. 3. Технические. 4. Природные и физические. 5. Организационные.

Человеческие источники угроз

Человек является одним из наиболее распространённых источников угроз.

Это могут быть: - внешние злоумышленники; - сотрудники; - администраторы; - подрядчики; - посетители; - пользователи; - бывшие сотрудники.

Человеческие действия могут быть: - умышленными; - случайными.

Например:

Пользователь
    ↓
Ошибка при настройке
    ↓
Неверное сетевое правило
    ↓
Потеря доступа к серверу

Или:

Злоумышленник
    ↓
Целенаправленные действия
    ↓
Получение доступа
    ↓
Нарушение безопасности

Программные источники угроз

Источником угрозы может быть программное обеспечение.

Например: - компьютерный вирус; - червь; - троянская программа; - шпионское ПО; - программа-вымогатель; - бот; - вредоносный скрипт.

Вредоносная программа может самостоятельно выполнять действия после заражения компьютера.

Например:

Заражённый компьютер
        ↓
Вредоносная программа
        ↓
Получение данных
        ↓
Передача данных злоумышленнику

Другой вариант:

Заражение
   ↓
Распространение по сети
   ↓
Заражение других компьютеров
   ↓
Нарушение работы сети

Таким образом, программная угроза может быстро распространиться на большое количество устройств.

Технические источники угроз

Не все проблемы возникают из-за действий человека или вредоносного ПО.

Источником угрозы может стать неисправность оборудования.

Например: - отказ маршрутизатора; - отказ коммутатора; - повреждение сетевой карты; - перегрев оборудования; - отказ накопителя; - неисправность источника питания.

Например:

Отказ коммутатора
       ↓
Потеря связи с рабочими станциями
       ↓
Сотрудники не могут работать
       ↓
Нарушение доступности

Поэтому резервирование оборудования и наличие запасных компонентов также относятся к мерам обеспечения безопасности.

Природные и физические источники угроз

На информационную инфраструктуру могут влиять и внешние физические факторы: - пожар; - затопление; - высокая температура; - отключение электроэнергии; - стихийные бедствия; - физическое повреждение оборудования.

Например:

Отключение электричества
        ↓
Оборудование выключается
        ↓
Сетевые сервисы становятся недоступны

Для уменьшения последствий могут применяться: - источники бесперебойного питания; - резервные системы электропитания; - системы охлаждения; - пожарная защита; - резервные серверы; - резервные каналы связи.

Организационные источники угроз

Проблемы безопасности могут возникать из-за неправильной организации работы.

Например: - отсутствие правил доступа; - слишком широкие права пользователей; - отсутствие резервного копирования; - отсутствие контроля изменений; - использование общих учетных записей; - отсутствие процедуры увольнения сотрудников; - отсутствие мониторинга; - неправильная настройка ответственности.

Например:

Сотрудник увольняется
        ↓
Учетная запись не отключена
        ↓
Доступ сохраняется
        ↓
Потенциальная угроза безопасности

Таким образом, безопасность зависит не только от технологий, но и от правильной организации работы.

Внешние и внутренние источники угроз

Одно из основных разделений — на внешние и внутренние источники.

Внешние

Источник находится за пределами защищаемой организации или сети.

Например:

Интернет
   ↓
Внешний злоумышленник
   ↓
Попытка доступа
   ↓
Сеть организации

Внутренние

Источник находится внутри организации или уже имеет определённый доступ к её ресурсам.

Например:

Сотрудник
   ↓
Внутренняя сеть
   ↓
Доступ к ресурсам

При этом внутренний источник не обязательно является злоумышленником.

Сотрудник может случайно совершить действие, которое приведёт к инциденту.

Внешние нарушители

Внешний нарушитель — нарушитель, который изначально не имеет разрешённого доступа к внутренним ресурсам организации.

Примеры: - неизвестный злоумышленник из Интернета; - организованная группа; - атакующий, использующий скомпрометированные устройства; - автоматизированная система; - злоумышленник, находящийся за пределами организации.

Внешний нарушитель обычно должен сначала найти способ взаимодействия с инфраструктурой.

Например:

Интернет
   ↓
Публичный IP-адрес
   ↓
Доступный сервис
   ↓
Поиск уязвимости
   ↓
Попытка атаки

Поэтому для администратора важны: - фильтрация сетевого трафика; - ACL; - firewall; - защищённые протоколы; - контроль открытых портов; - обновление сервисов; - мониторинг.

Внутренние нарушители

Внутренний нарушитель — человек, который уже имеет определённый законный доступ к информационной системе или физически находится внутри защищаемой инфраструктуры.

К внутренним нарушителям могут относиться: - сотрудники; - администраторы; - подрядчики; - временные работники; - бывшие сотрудники с сохранившимся доступом.

Внутренний нарушитель может обладать преимуществом перед внешним.

Например:

Внешний нарушитель
       ↓
Интернет
       ↓
Поиск точки входа
       ↓
Получение доступа

Внутренний:

Внутренняя сеть
       ↓
Существующая учетная запись
       ↓
Доступ к ресурсам
       ↓
Попытка расширить доступ

Поэтому внутренняя сеть также должна рассматриваться как потенциально недоверенная среда.

Внутренний пользователь не всегда является злоумышленником

Это важное различие.

Сотрудник может иметь доступ к системе, но не иметь намерения причинить вред.

Например:

Сотрудник
   ↓
Получил письмо
   ↓
Открыл вложение
   ↓
Запустил вредоносную программу
   ↓
Заражение компьютера

Сотрудник в этом случае не ставил целью атаковать организацию.

Однако его действия стали частью сценария атаки.

Поэтому необходимо защищаться не только от намеренных действий, но и от ошибок.

Умышленный и случайный нарушитель

Нарушителей можно разделить по характеру действий.

Умышленный нарушитель

Осознанно пытается нарушить безопасность.

Например: - пытается украсть информацию; - получает чужие учетные данные; - изменяет конфигурацию; - выводит сервис из строя.

Случайный нарушитель

Не ставит целью нарушение безопасности.

Например: - удаляет важный файл; - ошибается при настройке маршрутизатора; - передаёт пароль; - подключает неизвестное устройство.

Оба варианта могут привести к серьёзным последствиям.

Модель нарушителя

Чтобы оценить возможные действия нарушителя, используется модель нарушителя.

Модель нарушителя — описание предполагаемого нарушителя, его целей, знаний, возможностей, ресурсов и уровня доступа.

При построении модели необходимо определить: - кто является нарушителем; - где он находится; - какие у него цели; - какие знания он имеет; - каким оборудованием располагает; - какой доступ имеет; - какие ресурсы может использовать; - какие действия способен выполнить.

Упрощённо:

Кто?
 ↓
Где находится?
 ↓
Что хочет получить?
 ↓
Что знает?
 ↓
Какие возможности имеет?
 ↓
К чему имеет доступ?
 ↓
Что может сделать?

Цели нарушителя

Цели могут быть различными.

Финансовая выгода

Например: - кража денег; - кража платежной информации; - вымогательство.

Кража информации

Например: - документы; - базы данных; - данные клиентов; - коммерческая информация.

Нарушение работы

Например: - остановка сервера; - нарушение работы сети; - блокировка сервисов.

Получение доступа

Иногда основной целью является не информация, а получение контроля над системой.

Например:

Получение учетной записи
        ↓
Доступ к серверу
        ↓
Получение повышенных прав
        ↓
Контроль над ресурсами

Любопытство или желание проверить свои навыки

Некоторые действия могут выполняться без очевидной финансовой выгоды.

Однако отсутствие корыстной цели не делает такие действия безопасными.

Уровень знаний нарушителя

Не все нарушители обладают одинаковыми техническими навыками.

Условно можно выделить:

Низкий уровень

Используются: - готовые программы; - готовые инструкции; - автоматизированные инструменты.

Средний уровень

Нарушитель способен: - самостоятельно анализировать сеть; - искать уязвимости; - настраивать инструменты; - комбинировать различные методы.

Высокий уровень

Нарушитель может обладать глубокими знаниями: - сетевых технологий; - операционных систем; - программирования; - криптографии; - архитектуры информационных систем.

Это условная классификация, необходимая прежде всего для понимания модели нарушителя.

Уровень доступа нарушителя

Необходимо определить, какой доступ потенциально может иметь нарушитель.

Возможны различные варианты:

Нет доступа
     ↓
Доступ из Интернета
     ↓
Доступ к Wi-Fi
     ↓
Обычная учетная запись
     ↓
Расширенные права
     ↓
Административный доступ
     ↓
Физический доступ

Чем больше возможностей имеет нарушитель, тем выше потенциальный уровень воздействия на систему.

Например, человек с доступом только к публичному сайту и человек с административным доступом к маршрутизатору представляют совершенно разные уровни риска.

Компрометированная учетная запись

Особый случай — скомпрометированная учетная запись.

Пользователь может быть законным, но его учетные данные могут попасть к злоумышленнику.

Например:

Пользователь
     ↓
Вводит пароль на поддельном сайте
     ↓
Злоумышленник получает пароль
     ↓
Использует учетную запись
     ↓
Получает доступ к системе

С точки зрения системы подключение может выглядеть как обычная работа пользователя.

Поэтому необходимо учитывать не только вопрос:

«Кто является владельцем учетной записи?»

но и:

«Кто фактически использует эту учетную запись?»

Для защиты применяются: - MFA; - контроль входов; - журналирование; - ограничение прав; - анализ необычной активности; - блокировка подозрительных подключений.

Основные элементы модели нарушителя

Для удобства модель можно представить в виде таблицы.

Характеристика	Что необходимо определить
Тип	Внешний или внутренний
Цель	Что хочет получить нарушитель
Мотивация	Почему он это делает
Знания	Насколько хорошо знает систему
Навыки	Что умеет технически
Доступ	Какие ресурсы доступны
Средства	Какие инструменты может использовать
Время	Сколько времени может потратить
Ресурсы	Какими техническими и организационными ресурсами располагает
Возможности	Какие действия способен выполнить

Такая модель помогает перейти от общего понятия «существует угроза» к конкретному сценарию.

Сценарий атаки

Сценарий атаки — последовательность действий, с помощью которых нарушитель пытается достичь своей цели.

Обобщённо сценарий можно представить так:

Нарушитель
    ↓
Определяет цель
    ↓
Выбирает точку входа
    ↓
Получает первоначальный доступ
    ↓
Закрепляет доступ
    ↓
Расширяет возможности
    ↓
Получает доступ к нужному ресурсу
    ↓
Выполняет основное действие
    ↓
Возникают последствия

Не каждый реальный инцидент проходит все эти этапы.

Но такая схема позволяет системному администратору понять логику развития атаки.

Сценарий 1. Компрометация учетной записи

Один из распространённых сценариев:

Злоумышленник
      ↓
Получение учетных данных
      ↓
Попытка входа
      ↓
Успешная аутентификация
      ↓
Доступ к ресурсам
      ↓
Попытка получить дополнительные права
      ↓
Доступ к важной информации

Причинами получения учетных данных могут быть: - слабый пароль; - повторное использование пароля; - фишинг; - утечка данных; - вредоносное ПО.

В следующей лекции конкретные методы получения доступа будут рассмотрены подробнее.

Сценарий 2. Заражение рабочей станции

Другой распространённый сценарий:

Пользователь
      ↓
Получает вредоносный файл
      ↓
Запускает его
      ↓
Компьютер заражается
      ↓
Вредоносная программа получает доступ
      ↓
Попытка распространения
      ↓
Атака на другие ресурсы

Рабочая станция в таком случае становится промежуточным звеном для дальнейшей атаки.

Сценарий 3. Атака через доступный сетевой сервис

Если организация предоставляет сервис через Интернет, он может стать точкой входа.

Общая схема:

Интернет
    ↓
Доступный сервис
    ↓
Поиск слабого места
    ↓
Использование уязвимости
    ↓
Получение доступа
    ↓
Дальнейшие действия

Поэтому принцип:

Чем больше ненужных сервисов доступно извне, тем больше потенциальных точек входа.

Администратор должен регулярно проверять, какие службы действительно должны быть доступны.

Сценарий 4. Проникновение во внутреннюю сеть

Иногда первоначальный доступ к одному компьютеру используется для дальнейшего продвижения.

Например:

Интернет
   ↓
Рабочая станция
   ↓
Внутренняя сеть
   ↓
Другие устройства
   ↓
Сервер
   ↓
Целевые данные

Этот процесс называют перемещением внутри сети.

Сегментация сети и ограничение прав позволяют усложнить такое продвижение.

Например:

Рабочие станции
       ↓
VLAN 10
       X
VLAN 20
       ↓
Серверы

Если между сегментами разрешены только необходимые соединения, компрометация одного компьютера не обязательно означает компрометацию всей сети.

Сценарий 5. Атака на сетевое оборудование

Сетевое оборудование также может быть целью.

Например:

Нарушитель
    ↓
Получение доступа
    ↓
Маршрутизатор
    ↓
Изменение конфигурации
    ↓
Изменение работы сети

Возможные последствия: - нарушение маршрутизации; - блокировка трафика; - изменение правил доступа; - изменение параметров интерфейсов; - создание нежелательных подключений.

Поэтому административный доступ к маршрутизаторам и коммутаторам должен быть особенно хорошо защищён.

Сценарий 6. Нарушение доступности

Целью атаки может быть не получение данных, а прекращение работы сервиса.

Общая схема:

Нарушитель
     ↓
Воздействие на сервис
     ↓
Ресурс перегружается
     ↓
Сервис перестаёт отвечать
     ↓
Пользователи не могут работать

Такой сценарий направлен прежде всего на нарушение доступности.

Подобные атаки будут подробно рассмотрены в следующей лекции.

Сценарий 7. Внутреннее нарушение

Рассмотрим ситуацию, когда сотрудник уже имеет доступ к внутренней сети.

Например:

Сотрудник
     ↓
Имеет обычную учетную запись
     ↓
Получает доступ к внутренним ресурсам
     ↓
Пытается получить дополнительные права
     ↓
Получает доступ к запрещённым данным

Защита от такого сценария включает: - минимальные привилегии; - разделение ролей; - сегментацию сети; - контроль действий; - журналирование; - периодический пересмотр прав.

Сценарий 8. Случайная ошибка администратора

Не все инциденты являются атаками.

Например:

Администратор
      ↓
Изменяет конфигурацию
      ↓
Допускает ошибку
      ↓
Неверное правило ACL
      ↓
Блокировка необходимого трафика
      ↓
Сервис недоступен

Поэтому защита должна учитывать и человеческие ошибки.

Помочь могут: - резервные копии конфигураций; - контроль изменений; - тестирование; - документирование; - разграничение полномочий; - возможность быстрого восстановления.

Сценарий 9. Компрометация через подрядчика

Подрядчики могут иметь доступ к ресурсам организации.

Например:

Подрядчик
     ↓
Удалённый доступ
     ↓
Внутренняя система
     ↓
Учетная запись с определёнными правами
     ↓
Доступ к ресурсам

Если учетная запись подрядчика будет скомпрометирована, злоумышленник может попытаться использовать её как точку входа.

Поэтому временный доступ должен: - предоставляться только при необходимости; - иметь минимально необходимые права; - контролироваться; - отключаться после окончания работ.

Общая модель сценария атаки

Различные сценарии можно объединить в одну общую модель:

                  НАРУШИТЕЛЬ
                       ↓
                    ЦЕЛЬ
                       ↓
                 ВОЗМОЖНОСТИ
                       ↓
                  ТОЧКА ВХОДА
                       ↓
             ПОЛУЧЕНИЕ ДОСТУПА
                       ↓
               РАЗВИТИЕ АТАКИ
                       ↓
              ДОСТУП К РЕСУРСУ
                       ↓
                 ОСНОВНОЕ
                  ДЕЙСТВИЕ
                       ↓
                  ПОСЛЕДСТВИЯ

На каждом этапе можно установить защитные механизмы.

Например:

Точка входа
     ↓
Firewall / ACL

Аутентификация
     ↓
Пароль + MFA

Доступ
     ↓
Разграничение прав

Перемещение
     ↓
VLAN / сегментация

Подозрительные действия
     ↓
Мониторинг / логи

Потеря данных
     ↓
Резервное копирование

Таким образом, безопасность строится не вокруг одной защиты, а вокруг нескольких уровней.

Как администратор использует модель нарушителя

Модель нарушителя помогает принимать практические решения.

Например, если наиболее вероятен внешний нарушитель, необходимо уделить особое внимание: - Интернет-соединению; - firewall; - ACL; - публичным сервисам; - VPN; - удалённому доступу.

Если существует риск внутреннего нарушителя: - разграничиваются права; - применяется сегментация; - контролируются учетные записи; - ведутся журналы; - ограничивается административный доступ.

Если наиболее вероятна ошибка пользователя: - вводятся ограничения; - проводится обучение; - используются резервные копии; - автоматизируются опасные операции.

Получается:

Модель нарушителя
        ↓
Понимание вероятных действий
        ↓
Определение слабых мест
        ↓
Выбор защитных мер

Почему невозможно создать абсолютную защиту

Невозможно построить систему, которая будет защищена от абсолютно любого возможного сценария.

Причины: - ограниченные ресурсы; - большое количество устройств; - ошибки пользователей; - появление новых уязвимостей; - изменение инфраструктуры; - новые способы атак.

Поэтому задача администратора заключается не в создании «абсолютно защищённой» сети, а в снижении вероятности и последствий инцидентов.

Например:

Компрометация одного ПК
        ↓
Сегментация сети
        ↓
Ограниченный доступ
        ↓
Атака не распространяется на всю сеть

Даже если полностью предотвратить первоначальный инцидент невозможно, можно уменьшить его последствия.

Основные принципы защиты от нарушителей

Для уменьшения риска применяются несколько основных принципов.

Минимальные привилегии

Пользователь получает только необходимые права.

Сегментация

Сеть разделяется на отдельные зоны.

Многофакторная аутентификация

Для доступа используются несколько факторов проверки.

Защищённые протоколы

Для управления и передачи данных применяются защищённые протоколы.

Контроль доступа

Определяется, кто и к каким ресурсам может обращаться.

Мониторинг

Подозрительные действия должны обнаруживаться.

Журналирование

Важные события должны записываться.

Резервное копирование

После инцидента должна существовать возможность восстановления.

Заключение

Источники угроз в компьютерных сетях могут иметь различную природу.

К ним относятся: - люди; - вредоносное программное обеспечение; - технические неисправности; - физические воздействия; - природные факторы; - организационные недостатки.

Особое значение имеют внешние и внутренние нарушители.

Внешний нарушитель обычно начинает с поиска точки входа в организацию.

Внутренний нарушитель уже может обладать определённым уровнем доступа.

При этом внутренний пользователь не обязательно действует злонамеренно. Его ошибка также может привести к инциденту.

Для оценки возможностей потенциального нарушителя используется модель нарушителя, которая учитывает: - цели; - мотивацию; - знания; - навыки; - доступ; - ресурсы; - технические возможности.

На основе модели можно определить возможные сценарии атак.

Общая последовательность выглядит следующим образом:

Источник угрозы
      ↓
Нарушитель
      ↓
Цель
      ↓
Возможности
      ↓
Точка входа
      ↓
Получение доступа
      ↓
Развитие атаки
      ↓
Воздействие на объект
      ↓
Последствия

Главная задача администратора — не просто знать, что существуют злоумышленники, а понимать:

кто может атаковать систему, что он может сделать, через какой объект получить доступ и какие последствия это вызовет.

Это позволяет выбирать защитные меры не случайно, а исходя из реальных сценариев угроз.

Контрольные вопросы

Что такое источник угрозы информационной безопасности?
Какие основные группы источников угроз существуют?
Почему человек может являться источником угрозы даже без злого умысла?
Какие программные средства могут выступать источниками угроз?
Какие технические неисправности могут привести к нарушению безопасности сети?
Чем внешний источник угрозы отличается от внутреннего?
Кто такой внешний нарушитель?
Кто может выступать внутренним нарушителем?
Почему внутренний пользователь не обязательно является злоумышленником?
Чем умышленный нарушитель отличается от случайного?
Что такое модель нарушителя?
Какие характеристики необходимо учитывать при построении модели нарушителя?
Что такое скомпрометированная учетная запись и чем она опасна?
Что понимается под сценарием атаки?
Как связаны источник угрозы, нарушитель, точка входа, атака и последствия?