Сташко
І. В., Хоменко Д.Ю.
Віницький торговельно-економічний інститут КТЕУ
Питаннями обґрунтування й формування рівня оцінювання
захищеності інформаційно – телекомунікаційної системи від методів
несанкціонованого доступу до інформації на сьогодні займаються багато
вітчизняних та зарубіжних науковців,
серед яких Яциковська У.О., Трембач Р.Б., Тискина Е.О., Орленко В.С., Касянчук
М.М., Баранов В.Л., Сердюк В.М.,та ін. Вивчення й аналіз наукових праць
переконує, що в основному увага науковців зосереджена на визначенні сутності рівня
захищеності будь якої інформації, дискусіях на тему методики оцінювання
гарантованого рівня захищеності хоча ця проблема набагато ширша.
На різних етапах життєвого циклу
інформаційно-телекомунікаційної системи (ІТС) неминуче постає задача оцінювання
її рівня захищеності (РЗ) від методів несанкціонованого доступу до інформації
[1]. Реалізація процедури оцінювання РЗ завжди пов’язана із вибором
відповідного методу або методики оцінювання. Значна кількість таких методів і
методик [2-3] потребує їх детального наукового дослідження щодо адаптації до
конкретної конфігурації ІТС. Тому, тема дослідження є актуальною, а визначений
напрям наукових досліджень пріоритетним.
Метою дослідження є рівень
оцінювання захищеності інформаційно – телекомунікаційної системи від методів несанкціонованого
доступу до інформації.
Детально розглянемо процедуру
оцінювання РЗ, яка базується на основі методів аналізу ризиків, які поділяються
на дві групи [3].
Перша група методів дозволяє оцінювати РЗ шляхом визначення
ступеня відповідності поточного рівня ризику певному набору вимог, що
висуваються до забезпечення інформаційної безпеки. В якості джерела таких вимог
як правило, виступають [3]:
- рекомендації міжнародних стандартів - ISO 17799, ISO 15408 та
ін.;
- вимоги
чинного законодавства ‑ керівні документи Служби спеціального зв’язку та
захисту інформації України та ін.;
- нормативно-правові документи
підприємства, що стосуються питань інформаційної безпеки;
- рекомендації
компаній-виробників програмного і апаратного забезпечення тощо.
Методи даної групи базуються на
принципі системності, що закладено в стандарти безпеки. Даний принцип полягає в
номінально-ранговому (якісному) підході до багатовимірної оцінки параметрів,
властивостей і функцій, що реалізують механізми захисту інформації в ІТС.
Друга група методів базується на
визначенні ймовірності реалізації атак, а також рівня збитку, який завдається
ними. У даному випадку значення ризику обчислюється окремо для кожної атаки і,
в загальному випадку, представляється добутком ймовірності проведення атаки на
величину можливого збитку від цієї атаки. Значення збитку визначається власником
інформаційного ресурсу, а ймовірність атаки обчислюється групою експертів, що
здійснюють оцінювання. Таким чином, чим більший ризик – тим менший РЗ ІТС.
Методи як першої, так і другої
групи зводяться до процедури управління ризиками, які і визначають відповідний
РЗ ІТС.
Найбільш
відомими системами аналізу ризиків є: Riskwatch (США), CRAMM (Великобританія),
ГРИФ та Авангард (Росія) [4-6].
Riskwatch ‑
система аналізу ризиків, що передбачає можливість вибору необхідного
рівня захищеності на основі вимог стандарту США [4].
Перевагою Riskwatch є
можливість введення нових категорій оцінювання та порівняльна простота в
експлуатації.
Система CRAMM - потужний
та універсальний інструмент, який ґрунтується на методі комплексування
кількісних та якісних методик оцінювання [5]. Перевагами CRAMM, порівняно з
аналогами, є можливість її застосування для оцінювання РЗ ІТС довільного рівня
складності та призначення, що зумовлено обширною базою знань. Основним
недоліком, що обмежує практичне використання CRAMM є низька оперативність оцінювання.
При низькій кваліфікації експерта з інформаційної безпеки отримувані оцінки не
відповідатимуть істинним, що в цілому знижує їх достовірність.
Застосування
системи аналізу захищеності ГРИФ дозволяє провести певне абстрагування системи,
РЗ якої оцінюється
[6]. У
результаті ІТС поділяються на визначену експертом множину ситуацій, кожна з
яких аналізується і впроваджується окремо. Принциповим недоліком ГРИФу , що істотно обмежує область
його практичного застосування, є статична природа переліку засобів захисту, що використовується
в ІТС.
Аналіз
літератури [7] показав, що найбільш відомими системами пасивного аналізу РЗ ІТС
на етапі експлуатації є: CIS Windows
2000 Level 1 Scoring Tool, Microsoft Baseline Security Analyzer (MBSA) для
продуктів корпорації Microsoft
(ОС Windows, Office, Exchange server, SQL server), Automated Security Enhancement Tool (ASET) для ОС Solaris, Symantec Enterprise Security Manager.
Порівняння
методів активного і пасивного аналізу РЗ, дозволяє виявити їх основну відмінність,
яка полягає в тому, що системи пасивного аналізу
захищеності використовуються для виявлення існуючих вразливостей
(наприклад, помилка в конфігурації мережевого сервісу), тоді як системи
активного аналізу РЗ дозволяють не просто виявити уразливості, але і визначити
до яких ресурсів порушник може здійснити несанкціонований доступ, і
яку інформацію зможе отримати.
Висновки
Детальний науково-технічний
аналіз відомих методів оцінювання РЗ ІТС дає змогу зробити наступні висновки.
На етапі проектування і експлуатації застосування відомих методів і систем аналізу
ризиків має такі недоліки:
- отримані оцінки РЗ носять
якісну суб’єктивну природу;
- значна трудомісткість методів,
що впливає на оперативність оцінювання, а відповідно і на достовірність
отримуваних оцінок;
- статична абстрактна природа
математичних моделей, що не дозволяє гнучно адаптуватися до нових загроз;
- неможливість одночасного
застосування одного з методів на визначених етапах, тобто методи не є
універсальними;
- жоден з відомих методів
виключає можливість надання гарантованих оцінок РЗ.
З проведеного аналізу зрозуміло,
що перспективним напрямом подальших досліджень може бути розробка методики
оцінювання гарантованого рівня захищеності, що дозволить у реальному і
прискореному часі здійснювати процедуру оцінювання з урахуванням динаміки
процесів, що протікають в ІТС.
Розроблена методика повинна мати
максимально просту структуру, володіти низькою трудомісткістю та по мінімуму
залучати до процедури оцінювання експерта.
Список використаних джерел
1. Ленков С.В. Методы и средства защиты
информации: в 2-х т / С.В. Ленков, Д.А. Перегудов, В.А. Хорошко – К. :
Арий, 2008. – 464 с
2. Lye, K. Game Strategies in
Network Security / K. Lye, J. Wing // International Journal of Information Security. — [S. 1.], 2005 (Feb).
3. Сердюк В. Аудит
информационной безопасности / В.Сердюк // BYTE/Россия №4(92), 2006
4. Official RiskWatch site. http://www.riskwatch.com
5. How CRAMM works. http://www.cramm.com
6 . Медведовский
И. Особенности систем анализа информационных рисков на примере алгоритма ГРИФ
http://dsec.ru/
7.Степашкин
М. В. Модели и методика анализа защищенности компьютерных сетей на
основе построения деревьев атак: дис. . кандидата технических наук: 05.13.11,
05.13.19 / М. В. Степашкин; -Санкт-Петербург, 2007, -196 с.