5. Уязвимость информации в информационных системах.

5.1 Понятие уязвимости информации в информационных системах. Причины возникновения уязвимости информации.

 Уязвимость - это любая характеристика информационной системы, использование которой нарушителем может привести к реализации угрозы.

В компьютерной безопасности термин «уязвимость» (англ. vulnerability) используется для обозначения недостатка в системе, используя который, можно намеренно нарушить её целостность и вызвать неправильную работу. Уязвимость может быть результатом ошибок программирования, недостатков, допущенных при проектировании системы, ненадежных паролей, вирусов и других вредоносных программ, скриптовых и SQL-инъекций. Некоторые уязвимости известны только теоретически, другие же активно используются и имеют известные эксплойты.

короч уязвимости могут быть допущены случайно и заложены специально, но как правило  уязвимость является результатом человеческой халатности и\или невнимательности.

5.2 Классификация уязвимостей информации.

из башки:Могут быть организационными, уязвимости СКУД, документы, отсутствие видеонаблюдения, противопожарной охраны, дырявое ПО и тд

• уязвимости уровня сети —  уязвимости сетевых протоколов;

• уязвимости уровня операционной системы;

• уязвимости уровня баз данных — уязвимости конкретных СУБД ;

• уязвимости уровня приложений  — относятся уязвимости программного обеспечения.

• уязвимость со стороны персонала

Кадровые:

1. Недостаточное обучение

2. неосведомленность персонала

3. немотивированность персонала

4. отсутствие мониторинга

Физическая безопасность:

1. небрежное использование механизмов физического контроля доступа

2. отсутствие дверей/окон и пр.

3. Подверженность оборудования затоплению/температурам/пыли/перепадам напряжения

Управление коммуникациями и операциями:

1. Сложный интерфейс, приводящий к ошибкам при использовании

2. Плохой контроль изменений

3. Плохое управление сетью

4. отсутствие резервного копирования

5. Отсутствие обновлений ПО

6. Отсутстви разграничение прав/обязанностей

7. Отсутствие разделения тестового и боевого оборудования

8. Неконтроллируемое копирование

Контроль доступа:

1. плохое разделение доступа в сетях

2. отсутствие меанизмов аутентификации/идентификации

3. Плохая политики контроля доступа

4. Отсутствие выхода из системы при уходе от компа

5. нет или мало тестирования ПО

6. нет контроля прав доступа

7. Плохой контроль паролей

ИС:

1. Плохие криптоключи

2. отсутствие контроля входных/выходных данных

3. отсутствие проверки обрабатываемых данных

4. нет или мало тестирования ПО

5. неконтроллируемая загрузка и использование ПО

6. использование бесплатных ПО

5.3 Понятие «утечка информации». Общая характеристика каналов утечки информации из информационных систем.

Утечку информации в общем плане можно рассматривать как неправомерный выход конфиденциальных сведений за пределы организации или круга лиц, которым эти сведения были доверены.

Утечка информации по своей сущности всегда предполагает противоправное (тайное или явное, осознанное или случайное) овладение конфиденциальной информацией, независимо от того, каким путем это достигается.

Утечку охраняемой информации, может произойти при наличии ряда обстоятельств. Если есть злоумышленник, который такой информацией интересуется и затрачивает определенные силы и средства для ее получения. И если есть условия, при которых он может рассчитывать на овладение интересующую его информацию (затратив на это меньше сил, чем если бы он добывал ее сам).

Все каналы утечки данных можно разделить на косвенные и прямые. Косвенные каналы не требуют непосредственного доступа к техническим средствам информационной системы. Прямые соответственно требуют доступа к аппаратному обеспечению и данным информационной системы.

Примеры косвенных каналов утечки:

• Кража или утеря носителей информации, исследование не уничтоженного мусора;

• Дистанционное фотографирование, прослушивание;

• Перехват электромагнитных излучений.

Примеры прямых каналов утечки:

• Инсайдеры (человеческий фактор). Утечка информации вследствие несоблюдения коммерческой тайны;

• Прямое копирование.

Каналы утечки информации можно также разделить по физическим свойствам и принципам функционирования:

• акустические — запись звука, подслушивание и прослушивание;

• акустоэлектрические - получение информации через звуковые волны с дальнейшей передачей ее через сети электропитания;

• виброакустические - сигналы, возникающие посредством преобразования информативного акустического сигнала при воздействии его на строительные конструкции и инженерно-технические коммуникации защищаемых помещений;

• оптические — визуальные методы, фотографирование, видео съемка, наблюдение;

• электромагнитные — копирование полей путем снятия индуктивных наводок;

• радиоизлучения или электрические сигналы от внедренных в технические средства и защищаемые помещения специальных электронных устройств съема речевой информации “закладных устройств”, модулированные информативным сигналом;

• материальные — информация на бумаге или других физических носителях информации