МИНИСТЕРСТВО связи и МАССОВЫх КОММУНИКАЦИЙ РОССИЙСКОЙ ФЕДЕРАЦИИгосударственное образовательное учреждениевысшего профессионального образования«САНКТ-ПЕТЕРБУГРСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ ТЕЛЕКОММУНИКАЦИЙ им. проф. М.А. БОНЧ-БРУЕВИЧА»Факультет Информационных систем и технологийКафедра Информационных управляющих системРАБОТА ЗАЩИЩЕНА С ОЦЕНКОЙПРЕПОДАВАТЕЛЬ

проф., д.т.н.				Н.Н. Мошак
должность, уч. степень, звание		подпись, дата		инициалы, фамилия
ПРАКТИЧЕСКАЯ РАБОТА № 1
«Оценка риска информационной безопасности корпоративной информационной системы на основе модели угроз и уязвимостей»
по курсу: Безопасность информационных технологий и систем

РАБОТУ ВЫПОЛНИЛ(А)

СТУДЕНТ(КА) ГР.	ИСТ-114				С.Г. Медведева
			подпись, дата		инициалы, фамилия

Санкт-Петербург 2023ЦЕЛЬ РАБОТЫРассчитать риск информационной безопасности корпоративной информационной системы (ИС) на основе модели угроз и уязвимостей. Оценить эффективность предложенных контрмер.ОСНОВНЫЕ ПОНЯТИЯ И ДОПУЩЕНИЯ МОДЕЛИБазовые угрозы информационной безопасности – нарушениеконфиденциальности, нарушение целостности и отказ вобслуживании.Ресурс – любой контейнер, предназначенный для хранения информации,подверженный угрозам информационной безопасности (сервер, рабочаястанция, переноснойкомпьютер).Свойствами ресурса являются: перечень угроз, воздействующих на него, икритичность

---

ресурса.Угроза–действие,котороепотенциальноможетпривестикнарушениюбезопасности.Свойством угрозы является перечень уязвимостей, при помощи которыхможет быть реализованаугроза.Уязвимость – это слабое место в информационной системе, котороеможет привести к нарушению безопасности путем реализации некоторой угрозы. Свойствами уязвимости являются: вероятность (простота) реализацииугрозы через данную уязвимость и критичность реализации угрозы через даннуюуязвимость.Критичностьресурса(D)–ущерб,которыйпонесеткомпанияотпотериресурса. Критичность реализации угрозы (ER) – степень влияния реализацииугрозы на ресурс, т.е. как сильно реализация угрозы повлияет на работу ресурса.Задается в процентах. Состоит из критичности реализации угрозы поконфиденциальности, целостности и доступности (ERc, ERi,ERa).Вероятность реализации угрозы через данную уязвимость в течениегода(P(V)) – степень возможности реализации угрозы через данную уязвимостьв тех или иных условиях. Указывается впроцентах.Максимальное критичное время простоя (Tmax) – значение временипростоя, которое является критичным для организации. Т.е. ущерб, нанесенныйорганизации при простаивании ресурса в течение критичного временипростоя, максимальный. При простаивании ресурса в течение времени,превышающего критичное, ущерб, нанесенный организации, неувеличивается.РАСЧЁТ РИСКОВ ПО УГРОЗЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИНа первом этапе рассчитывается уровень угрозы по уязвимости Thна основе критичности и вероятности реализации угрозы через даннуюуязвимость. Уровень угрозы показывает, насколько критичным являетсявоздействие данной угрозы на ресурс с учетом вероятности еереализацииВычисляетсяодноилитризначениявзависимостиотколичествабазовыхугроз. Получается значение уровня угрозы по уязвимости в интервале от 0 до

---

1.

Для расчета уровня угрозы по всем уязвимостям CTh, через которые возможна реализация данной угрозы на ресурсе, суммируются полученные уровни угроз через конкретные уязвимости по следующей формуле:

Для режима с одной базовой угрозой:



Для режима с тремя базовыми угрозами:



Значения уровня угрозы по всем уязвимостям получаются в интервале от 0 до 1.

Аналогично рассчитывается общий уровень угроз по ресурсу CThR (учитывая все угрозы, действующие на ресурс):

Для режима с одной базовой угрозой:



Для режима с тремя базовыми угрозами:



Риск по ресурсу R рассчитывается следующим образом:



где D – критичность ресурса. Задается в деньгах или уровнях.

В случае угрозы доступность (отказ в обслуживании) критичность ресурса в год вычисляется по следующей формуле:



Для остальных угроз критичность ресурса задается в год. Для режима с тремя базовыми угрозами:



Риск по информационной системе CR рассчитывается по формуле:

Для режима с одной базовой угрозой (в деньгах):



Для режима с одной базовой угрозой (в уровнях):





Для режима работы в уровнях:



Задание контрмер

---

Для расчета эффективности введенной контрмеры необходимо пройтипоследовательно по всему алгоритму с учетом заданной контрмеры. Т.е. навыходе пользователь получает значение двух рисков – риска без учетаконтрмеры (Rold) и риск с учетом заданной контрмеры (Rnew) (или с учетом того, чтоуязвимостьзакрыта).Эффективность введения контрмеры рассчитывается по следующейформуле (E):ХОД РАБОТЫДля начала изобразим структурно-функциональную ИС организации с указанием оборудования и функциональных связей «закрытого» и «открытого» контуров.Рис. 1 Структура ИСВ нашей системе будут следующие защищаемые ресурсы. Аппаратные ресурсы для закрытого контура: сервер БД, СКЗИ, однонаправленный МЭ, оборудование ЛВС, АРМ пользователей. Аппаратные ресурсы для открытого контура: сервер БД, Proxy-сервер, внешний МЭ, оборудование ЛВС, АРМ пользователей.Информационные ресурсы для открытого и закрытого контура не отличаются – БД.Программные ресурсы для закрытого и открытого контура – ОС, СУБД, прикладное ПО.Людские ресурсы.ЗАДАДИМ КРИТИЧНОСТЬ ДЛЯ АППАРАТНЫХ РЕСУРСОВ.Уровень приемлемого риска принимаем равным 10% от предполагаемого ущерба по ресурсу.

• 
  Веб-сервер открытого контура – 50 у.е.
  
• 
  База данных открытого контура - 30 у.е.
  
• 
  Сервер приложений закрытого контура – 25 у.е.
  
• 
  Сервер безопасности закрытого контура – 15 у.е.
  
• 
  База данных закрытого контура - 20 у.е.
  
• 
  СКЗИ закрытого контура – 25 у.е.
  
• 
  Однонаправленный МЭ – 15 у.е.
  
• 
  Оборудование ЛВС открытого контура – 20 у.е.
  
• 
  Оборудование ЛВС закрытого контура – 10 у.е.
  

ОПИШЕМ ВСЕ УГРОЗЫ И УЯЗВИМОСТИ И ПРОВЕДЕМ РАСЧЕТЫ.Веб-сервер открытого контура.Угрозы:

• 
  Нападения на протоколы передачи данных, такие как TCP/IP или HTTP, могут привести к нарушению целостности данных или их перехвату.
  

Уязвимости:

• 
  Недостаточная авторизация и аутентификация представляют уязвимость, когда сервер не требует достаточного подтверждения подлинности и разрешения доступа пользователя, что может привести к несанкционированному доступу к конфиденциальным данным.
  
• 
  Серверные атаки - взлом сервера, угроза заражения вирусами, DDoS-атаки, SQL-инъекции, кросс-сайт-скриптинг (XSS) и многие другие.
  

---

Вероятность реализации угрозы через данную уязвимость в течение года, P(V) – 95% и 75%Критичность реализации угрозы через уязвимость, ER – 70% и 50%Уровень угрозы, Th - 0,665% и 0,375%Уровень угрозы по всем уязвимостям, через которые реализуется данная угроза, CTh – 0,791%Общий уровень угроз по ресурсу, CThR – 0,791%Риск ресурса для режима с одной общей угрозой, Rold - 0,791x50=39,55%База данных открытого контураУгрозы:

• 
  Несанкционированный доступ к критической информации о системе
  

Уязвимости:

• 
  SQL-инъекции
  
• 
  Уязвимости аутентификации
  

Вероятность реализации угрозы через данную уязвимость в течение года, P(V) – 50% и 80%Критичность реализации угрозы через уязвимость, ER – 50% и 70%Уровень угрозы, Th - 0,25% и 0,56 %Уровень угрозы по всем уязвимостям, через которые реализуется данная угроза, CTh – 0,67%Общий уровень угроз по ресурсу, CThR – 0,67%Риск ресурса для режима с одной общей угрозой, Rold - 0,67x30=39,55%Сервер приложения закрытого контураУгрозы:

• 
  Атака на приложение, направлена на получение несанкционированного доступа к данным или функционалу приложения.
  

Уязвимости:

• 
  Некорректная обработка пользовательского ввода, отсутствие валидации данных и т.д.
  
• 
  Недостаточно обновленная операционная система, отсутствие МЭ или антивирусного ПО.
  

Вероятность реализации угрозы через данную уязвимость в течение года, P(V) – 30% и 90%Критичность реализации угрозы через уязвимость, ER – 20% и 70%Уровень угрозы, Th - 0,06% и 0,63%Уровень угрозы по всем уязвимостям, через которые реализуется данная угроза, CTh – 0,652%Общий уровень угроз по ресурсу, CThR – 0,652%Риск ресурса для режима с одной общей угрозой, Rold - 0,652х25=15,625%Сервер безопасности закрытого контураУгрозы:

• 
  Атака на систему аутентификации и авторизации путем перехвата и подделки учетных данных пользователей
  

Уязвимости:

• 
  Уязвимости в механизме хранения паролей
  
• 
  Уязвимости в процедуре аутентификации
  

---

Смотрите также файлы

• Коллоквиум физика.docx

• Первая помощь.docx

• Содержание Пожарная безопасность 1 Пожары 2 Классификация пожаров и горючих веществ 4 Методы противопожарной защиты 8 Способы и средства тушения пожаров 10 Выводы 16 Пожарная безопасность Пожарная безопасность.doc

• Правонарушение теоретикоправовая характеристика.docx

• Фальсифицированный и контрафактный препарат студент группы оС222в самбуев бд. С.pptx