- •Построение модели информационной системы на основе модели угроз и уязвимостей
- •Ход работы
- •Раздел 1. Физическое воздействие человека, направленное на ис.
- •II Воздействие на канал связи
- •Раздел 2. Физические угрозы, направленные на ис.
- •Глобальное воздействие на ис.
- •Локальное воздействие на ис.
- •Угрозы, связанные с отказом оборудования.
- •Раздел 3. Локальные программные угрозы, направленные на ресурс.
- •На операционную систему.
- •На программное обеспечение.
- •На информацию, хранимую и обрабатываемую на ресурсе.
- •Раздел 4. Удаленные программы (логические ) угрозы, направленные на ресурс
- •Раздел 5. Программные(логические) угрозы, направленные на канал связи.
- •Раздел 6. Угрозы персонала.
- •Физическое воздействие на человека.
- •Психологическое воздействие на человека.
- •Шпионаж.
- •Неумышленные действия.
- •Построение модели информационной системы на основе модели угроз и уязвимостей
-
На программное обеспечение.
-
Открытие файлов, содержащих макровирусы (вирусы интерпретируемых сред)
-
Не установлено антивирусное ПО.
-
Не производится регулярное обновление антивирусного ПО.
-
Отсутствие инструкций для персонала по антивирусной защите информационных ресурсов.
-
Типовые ошибки в конфигурации интерпретаторов
-
Эскалация привилегий пользователей при запуске эксплоитов, использующих уязвимости прикладного программного обеспечения
-
Локальные уязвимости прикладного программного обеспечения, не требующие запуска эксплоитов для реализации угрозы.
-
Модификация (подмена) прикладного программного обеспечения.
-
Отказ в обслуживании прикладного программного обеспечения.
Но т.к. антивирусное ПО установлено в ИС компании, то этой уязвимости на ресурсе нет.
-
На информацию, хранимую и обрабатываемую на ресурсе.
-
Неавторизованная модификация информации в базе данных, хранящейся на ресурсе
-
Отсутствие систем резервирования.
-
Отсутствие инструкций для персонала по работе с ИС.
-
Отсутствие настроек СУБД, обеспечивающих безопасность транзакций.
-
Отсутствие журнала протокола транзакций.
-
Отсутствие авторизации для внесения изменений в СУБД
-
Отсутствие системы контроля целостности данных и СУБД.
-
Не используется блокирование рабочей станции (терминала) при простое
Но т.к. система криптографической защиты присутствует в ИС, то этой уязвимости на ресурсе нет.
-
Неавторизованная модификация электронных документов, содержащих ценную информацию
-
Отсутствие систем резервирования.
-
Отсутствие инструкций для персонала по работе с информационной системой.
-
Не используется блокирование рабочей станции (терминала) при простое.
-
Не используется ЭЦП при пересылке электронной корреспонденции.
-
Отсутствие в компании защищенного документооборота.
-
Не используется система криптографической защиты данных.
-
Отсутствие регламента работы с системой криптографической защиты данных.
Но т.к. система криптографической защиты присутствует в ИС, то этой уязвимости на ресурсе нет.
-
Неавторизованное чтение конфиденциальной информации в базе данных, хранящейся на ресурсе
-
Не используется блокирование рабочей станции (терминала) при простое.
-
Отсутствие авторизации при доступе к СУБД.
-
Отсутствие инструкций для персонала по работе с конфиденциальной информацией
Но т.к. система криптографической защиты присутствует в ИС, то этой уязвимости на ресурсе нет.
-
Неавторизованное чтение конфиденциальной информации в электронных документах, хранящихся на ресурсе
-
Не используется блокирование рабочей станции (терминала) при простое.
-
Отсутствие в компании защищенного документооборота.
-
Не используется система криптографической защиты данных
-
Отсутствие регламента работы с системой криптографической защиты данных.
-
Отсутствие инструкций для персонала по работе с конфиденциальной информацией
Но т.к. система криптографической защиты присутствует в ИС, то этой уязвимости на ресурсе нет.
-
Потеря или нарушение целостности информации, хранящейся на ресурсе, в результате неправильного функционирования программного обеспечения
-
Отсутствие систем резервирования.
-
Отсутствие системы контроля целостности данных.
-
Не производится тестирование ПО перед внедрением.
-
Не проводится регулярная проверка правильной работы ПО
-
Низкая квалификация системных администраторов
Но т.к. система криптографической защиты присутствует в ИС, то этой уязвимости на ресурсе нет.
-
Неавторизированное умышленное использование электронной почты нарушителем от имени легального пользователя
-
Не используется блокирование рабочей станции (терминала) при простое.
-
Отсутствие инструкций для персонала по работе с электронной почтой
-
Удаление нарушителем ценной информации, хранящейся в базе данных
-
Отсутствие систем резервирования.
-
Отсутствие журнала протокола транзакций.
-
Не используется блокирование рабочей станции (терминала) при простое.
-
Отсутствие авторизации при доступе к СУБД.
-
Отсутствие инструкций для персонала по работе с конфиденциальной информацией.
-
Удаление нарушителем сообщений электронной почты
-
Отсутствие систем резервирования.
-
Не используется блокирование рабочей станции (терминала) при простое.
-
Отсутствие инструкций для персонала по работе с электронной почтой.
-
Удаление нарушителем электронных документов, содержащих ценную информацию
-
Не используется блокирование рабочей станции (терминала) при простое.
-
Отсутствие в компании защищенного документооборота.
-
Отсутствие инструкций для персонала по работе с конфиденциальной информацией.
-
Отсутствие авторизации при доступе к ресурсу.