Файл: 1. Теоретические основы рисков информационной безопасности 1 Сущность и способы оценки информационной безопасности.rtf

- вероятность реализации угрозы доступности, %.

Значения уровня угрозы по уязвимости находятся в интервале от 0 до 1.

Чтобы рассчитать уровень угрозы по нескольким уязвимостям, через которые возможна реализация данной угрозы на ресурсе, нужно просуммировать полученные уровни угроз через конкретные уязвимости.

Для режима с одной базовой угрозой используется формула:
, (5)

где - уровень угрозы по нескольким уязвимостям;

- уровень угрозы по уязвимости.

Значения уровня угрозы по нескольким уязвимостям находятся в интервале от 0 до 1.

Для режима с тремя базовыми угрозами:
, (6)
где - уровень угрозы по нескольким уязвимостям по критерию угрозы конфиденциальности;

- уровень угрозы по уязвимости конфиденциальности.
, (7)
где - уровень угрозы по нескольким уязвимостям по критерию угрозы целостности;

- уровень угрозы по уязвимости целостности.

---

, (8)
где - уровень угрозы по нескольким уязвимостям по критерию угрозы доступности;

- уровень угрозы по уязвимости доступности;

Значения уровня угрозы по всем уязвимостям находятся в интервале от 0 до 1.

Аналогично рассчитывается общий уровень угроз по ресурсу (учитывая все угрозы, действующие на ресурс):

Для режима с одной базовой угрозой:
, (9)
где - уровень угрозы по ресурсу;

- уровень угрозы по уязвимости.

Значение общего уровня угрозы находятся в интервале от 0 до 1.

Для режима с тремя базовыми угрозами используются следующие формулы:
, (10)
где - уровень угрозы по уязвимости конфиденциальности;

уровень угрозы конфиденциальности по всем угрозам ресурса.
, (11)
где - уровень угрозы по уязвимости целостности;

---

уровень угрозы целостности по всем угрозам ресурса.
, (12)

где - уровень угрозы по уязвимости доступности;

уровень угрозы доступности по всем угрозам ресурса.

Значение общего уровня угрозы находится в интервале от 0 до 1.

Риск по ресурсу R рассчитывается следующим образом:

Для режима с одной базовой угрозой:
, (13)
где D - критичность ресурса (задается в деньгах или уровнях);

- общий уровень угроз по ресурсу.

Если риск задается в уровнях, то в качестве значения критичности берется оценка уровня.

В случае угрозы доступности (отказ в обслуживании) критичность ресурса в год вычисляется по следующей формуле:
, (14)
где - критичность ресурса по угрозе доступности в год;

- критичность ресурса по угрозе доступности в час;

- максимальное критическое время простоя ресурса в год.

Для остальных угроз критичность ресурса задается в год.

В результате работы алгоритма просчета угроз пользователь системы получает следующие данные:

---

¾ риск реализации по трем базовым угрозам (или по одной суммарной угрозе) для ресурса;

¾ риск реализации суммарно по всем угрозам для ресурса;

¾ риск реализации по трем базовым угрозам (или по одной суммарной угрозе) для информационной системы;

¾ риск реализации по всем угрозам для информационной системы;

¾ риск реализации по всем угрозам для информационной системы после задания контрмер;

¾ эффективность контрмер;

¾ эффективность комплекса контрмер. [6]

2. Расчет информационных рисков на примере сервера Web торговой компании
Расчет качественных значений информационных рисков проводится на примере сервера Web торговой компании, занимающейся продажей компьютерной техники через собственный Internet-магазин. Можно предположить, что годовой торговый оборот составляет 100 тыс. долл. США в год. В качестве сервера Web используется ПО Microsoft IIS и СУБД Microsoft SQL Server.

Для упрощения расчета принимается две модели нарушителей: внешний легальный пользователь и внешний хакер.

Первый обознается как A1, второй - A2.

Для категории А1 свойственны следующие черты нарушителя:

¾ достаточная квалификация для эксплуатации возможностей Internet- магазина;

¾ отсутствие цели нанести ущерб компании;

Для категории А2 свойственны следующие черты нарушителя:

¾ необходимые технические познания для эксплуатации возможностей Internet-магазина;

¾ навыки и опыт использования уязвимостей и недекларированных возможностей ОС, распространенного прикладного ПО;

¾ опыт взлома подобных систем;

¾ намерение нанести ущерб компании. [4]

В отношении сервера Web могут быть идентифицированы следующие угрозы:

¾ нарушение целостности информации, хранящейся в СУБД Internet-магазина;

¾ нарушение доступности сервера Web;

¾ нарушение конфиденциальности информации, хранящейся в СУБД Internet-магазина.

Каждая из названных угроз может возникнуть в результате проведения атак SQL Injection и Cross-Site Scripting и эскалации привилегий злоумышленника в системе в результате переполнения буфера ОС или СУБД.

---

Атака наподобие SQL Injection может быть намеренно осуществлена злоумышленником категории A2, но не может быть проведена ни при каких обстоятельствах злоумышленником категории A1.

Атака Cross-Site Scripting может быть предпринята злоумышленником категории A2, но ни в коем случае не злоумышленником категории A1.

Эскалация привилегий прав злоумышленника в системе может произойти в результате намеренных действий злоумышленника категории A2 и ненамеренных действий злоумышленника категории А1.

Создание шторма сетевых пакетов, направленных на сервер Web, может стать следствием намеренных действий злоумышленника категории A2 и ненамеренных действий злоумышленника категории А1 (например, вследствие частого нажатия кнопки «Обновить» обозревателя Internet).

Формирование некорректных пакетов, направленных на сервер Web, влекущих за собой крах службы, может произойти в результате намеренных действий злоумышленника категории A2, но ни при каких обстоятельствах не случится в результате действий злоумышленника категории A1.

Ресурс сервера Web является критичным для функционирования компании, поэтому ему присвоено значение AV = 3. Мере уязвимости ресурса к угрозе нарушения целостности) тоже назначено максимальное значение (3), так как нарушение целостности хранимых в СУБД данных влечет за собой срыв поставок, если, например, удалены данные об оформленных, но еще не проведенных заказах. Вероятность реализации угрозы нарушения целостности оценена как средняя ввиду того, что не исключается эксплуатация широко известных уязвимостей и недостатков программирования (SQL). Параметры в отношении угроз нарушения конфиденциальности и доступности рассчитывались аналогично. Большинство параметров принимались исходя из экспертного мнения аудитора. Все идентифицированные риски являются высокими, поскольку реализация порождающих эти риски угроз неизбежно нанесет существенный ущерб компании. Таким образом, дальнейшие меры подразумевают снижение идентифицированных рисков. [3]

Для снижения меры уязвимости в части реализации угрозы нарушения доступности рекомендуется пересмотреть исходный код сценариев Internet-магазина и добавить в него функции фильтрации запросов SQL с целью предотвращения внедрения запросов SQL в запросы http GET. Сходные меры могут быть предприняты в отношении атаки Cross-Site Scripting.

Что касается эскалации привилегий злоумышленника, то на этот случай могут быть приняты такие меры, как установка недавно вышедших обновлений безопасности службы сервера Web, а также постоянный аудит и периодический пересмотр учетных записей пользователей и прав доступа на системном уровне. В результате этих действий автоматически снижается параметр доступности, установка обновлений безопасности уменьшает вероятность реализации описанных угроз. Снижение степени уязвимости и вероятности реализации угрозы в части нарушения конфиденциальности достигается аналогично.

---