ГОСТ Р 56205-2014/IEC/TS 62443-1-1:2009. Национальный стандарт Российской Федерации. Сети коммуникационные промышленные. Защищенность (кибербезопасность) сети и системы. Часть 1-1. Терминология, концептуальные положения и модели
5.6. Оценка угроз и рисков
5.6.1 Общие положения
В контексте оценки угроз и рисков имущественные объекты подвержены рискам. Эти риски в свою очередь минимизируются применением контрмер, устраняющих уязвимости, которые используются сами или позволяют использовать другие уязвимости различными угрозами. Каждый из этих элементов описан подробнее в 5.6.2 - 5.6.6.
5.6.2 Имущественные объекты
5.6.2.1 Общие положения
В центре внимания программы безопасности - имущественные объекты. Это то, что защищается. Чтобы в полной мере осознать риск для среды IACS, необходимо сначала составить опись имущественных объектов, нуждающихся в защите. Объекты имущества можно подразделить на физические и логические, а также кадровые ресурсы.
a) физические объекты: включают в себя любой физический компонент или группу компонентов, принадлежащих организации. В промышленной среде такие объекты могут включать в себя системы управления, физические компоненты сетей и среды прохождения сигналов, системы транспортировки, стены, помещения, здания, грунт или любые другие физические объекты, которые так или иначе участвуют в управлении, мониторинге или анализе производственных процессов или поддержании основной коммерческой деятельности. Наиболее значимые физические объекты составляют оборудование, которое управляется системой автоматизации;
b) логические объекты: носят информативный характер. Они могут включать в себя интеллектуальную собственность, алгоритмы, внутрифирменные методики, специализированную информацию или другие информационные элементы, которые воплощают способность организации функционировать или осуществлять нововведения. Кроме того, объекты такого типа могут включать в себя репутацию в глазах общественности, доверие покупателей или другие показатели, снижение которых непосредственно отражается на бизнесе. Логические объекты могут быть в форме человеческой памяти, документов, информации, содержащейся на материальных носителях, или электронных записей, относящихся к информационному объекту. Логические объекты могут включать в себя также результаты испытаний, данные соответствия нормативным документам или любую другую информацию, которая считается важной или проприетарной, или может либо дать, либо обеспечить конкурентное преимущество. Утрата логических объектов часто чревата весьма длительными и вредоносными последствиями для организации.
Процессы управления являются особой формой логических объектов. Они содержат логику автоматизации, применяемую при осуществлении промышленного процесса. Такие процессы сильно зависят от цикличной или непрерывной реализации точно определенных событий. Нарушение безопасности технологических объектов может осуществляться как физическими (например, разрушение носителей), так и нефизическими (например, несанкционированное изменение) средствами и приводить к некоторой потере целостности или доступности самого процесса;
c) кадровые ресурсы: включают в себя работников, а также их знания и навыки, соответствующие их производственной деятельности. Последняя может включать в себя необходимые процедуры сертификации, опыт работы с оборудованием, или другую деятельность, которая не затрагивает процессы автоматизированного производства, или важные навыки, необходимые в чрезвычайных ситуациях. Технологическое оборудование редко бывает полностью автоматизированным, и сбои в операциях, производимых сотрудниками, могут существенно отразиться на производстве, несмотря на относительную сохранность физических и логических систем. Например, из-за ошибочного срабатывания заводской сигнализации персонал может предпринять останов и эвакуацию с завода, хотя в системах промышленной автоматики и контроля ничего не было нарушено ни на физическом, ни на логическом уровне. Любое происшествие или атака, приводящие к травмированию сотрудника, будут рассматриваться как затрагивающие кадровый ресурс.
5.6.2.2 Оценка имущественных объектов
Чтобы соответствовать категории физического или логического объекта имущества, этот объект должен принадлежать организации или относиться к ней иным способом. Он должен также представлять ценность для организации. Ценность объекта может быть выражена, либо в количественном, либо в качественном отношениях. Некоторые организации могут считать качественную оценку достаточным критерием для выражения имущественного ущерба в ходе анализа рисков.
a) количественная оценка объектов: объекту, которому дана количественная оценка, соответствует точный потенциальный финансовый ущерб. Он может выражаться в стоимости замены, стоимости потерянного сбыта или других финансовых показателях. Количественная оценка требует скрупулезного анализа стоимости для получения точной цифры, зато дает организации намного более ясную картину потенциальных последствий ущерба;
b) качественная оценка объектов: качественный ущерб обычно выражает более абстрактный уровень ущерба, например, его процентную или относительную величину, которая соответствует, например, незначительным последствиям, значительным последствиям или отсутствию последствий. Многие объекты можно проанализировать лишь с точки зрения качественного ущерба. Процедуру оценки рисков можно начинать с качественной оценки объектов для документирования больших рисков и обоснования проекта по расходованию денег на ликвидацию последствий с целью снижения риска, а затем подкрепить количественным анализом для получения детальной картины подверженности риску.
Ценность можно классифицировать по типу причиняемого ущерба, который может быть прямым или косвенным;
c) прямой ущерб: отражает стоимость замены объекта. Применительно к физическому объекту эта стоимость может включать в себя стоимость замены самого устройства. Логическим объектам соответствует относительно малый прямой ущерб по сравнению с их полезностью, поскольку носитель, используемый для хранения такого объекта, обычно дешевый;
d) косвенный ущерб: отражает любой ущерб, вызванный выходом объекта из строя, за который несет ответственность сама организация. Такой ущерб может включать в себя убытки, связанные с технологическими простоями, доработкой, или другие производственные расходы, обусловленные выходом объекта из строя. Косвенный ущерб применительно к физическим объектам обычно включает в себя последствия спада производства из-за выхода из строя компонента. Косвенный ущерб применительно к логическим объектам часто значителен. Он включает в себя потерю доверия общественности, утрату лицензии на эксплуатацию из-за нарушения нормативных предписаний, и потерю конкурентного преимущества, достигнутого благодаря реализации интеллектуальной собственности (например, конфиденциальной технологии).
5.6.2.3 Классификация ущерба
Объединив информацию о типах объектов и оценке, можно показать типы ущерба для каждого типа объекта, как показано в таблице 1.
Таблица 1
Типы ущерба в зависимости от типов объектов
Тип объекта | Прямой ущерб | Косвенный ущерб | Качественная или количественная оценка |
Физический | Может быть значительным, отражая стоимость замены объекта. Прямой ущерб является следствием неисправности физических объектов по причине утраты их целостности или доступности, и нарушения точной последовательности операций или стабильного характера процесса | Последствия спада производства, вызванного выходом объекта из строя, включая потерю управления, выход из строя или повреждение других объектов, и убытки из-за простоев | Качественная или количественная, может быть сначала качественной для высоких уровней риска, а затем - количественной для большей точности |
Логический | Низкий, т.к. носители информации часто дешевы и легко заменимы | Значителен, часто из-за утраты интеллектуальной собственности, раскрытия проприетарных методик или нарушения нормативно-правового соответствия. Косвенный ущерб от повреждения оборудования или разглашения данных может побудить к приостановке процессов, доработкам, модификациям или другим действиям по восстановлению контроля над производственным процессом | Чаще всего качественная, однако некоторые последствия спада производства могут иметь количественный характер |
Кадровый ресурс | От низкого до среднего в зависимости от тяжести травмы работника. Незначительные травмы при коротком периоде реабилитации могут обернуться низким прямым ущербом для организации, хотя сама травма может иметь длительные последствия для травмированного работника | От низкого до значительного в зависимости от тяжести травмы и роли работника в осуществлении процесса. Затраты на сверхурочную работу и расходы на временную замену работника могут значительно варьироваться в зависимости от длительности периода реабилитации работника. Травмы, приводящие к бессрочной потере работоспособности, или смерть могут повлечь значительные расходы из-за косвенного ущерба, если при его оценке принимаются в расчет социальная ответственность, потенциальные судебные издержки и компенсации | Непосредственный качественный ущерб производству, за которым следует количественный ущерб, обусловленный расходами на восстановление трудоспособности или замену работника |
5.6.3 Уязвимости
Уязвимости представляют собой слабые места в системах, компонентах или организациях.
Уязвимости могут быть результатом намеренных проектных решений или быть случайными и являться следствием непонимания функциональной среды. Они могут возникать и по мере старения оборудования, приводящего к его непригодности, если это случается быстрее, чем заканчивается типичный срок функционирования основного процесса или управляемого оборудования. Уязвимости не сводятся только к электронным или сетевым системам. Понимание взаимосвязи между физическими (в том числе человеческими) и электронными уязвимостями крайне важно для определения эффективной безопасности систем промышленной автоматики и контроля.
Система промышленной автоматики и контроля, изначально имеющая ограниченную уязвимость, может стать более уязвимой в таких условиях как изменение среды, изменение технологий, отказ компонентов системы, невозможность замены компонентов, текучесть кадров и раскрытие информации об существующих уязвимостях.
5.6.4 Риск
5.6.4.1 Общие положения
Риск определяют как ожидание ущерба, выраженное вероятностью того, что определенный источник угрозы воспользуется определенной уязвимостью объекта, что приведет к отрицательным последствиям. Риск зависит от угрозы, уязвимости и последствия, где последствие - это отрицательное воздействие на организацию, которое обусловлено конкретным вредом имущественному объекту или объектам внутри организации, причиняемым конкретной угрозой или уязвимостью. Угроза и уязвимость могут быть выражены через вероятность возникновения. Вероятность возникновения - это вероятность того, что конкретное действие произойдет.
Собственникам имущественных объектов следует ранжировать стоимость смягчения последствий или стоимость ремонта и включать их в оценку риска. Собственникам следует также назначать соответствующие контрмеры для максимального смягчения рисков нарушения безопасности при минимальных финансовых затратах.
Любая полноценная методика оценки риска предполагает поэтапный анализ всех задействованных систем, начиная с систем непосредственно доступных для угрозы, и далее к системам менее доступным. Базовый метод оценки риска состоит из следующих трех этапов:
1) оценка исходного риска;
2) реализация контрмер по смягчению риска;
3) оценка остаточного риска.
При необходимости этапы 2 и 3 данного метода повторяют для снижения остаточного риска до допустимого уровня. В частности, второй этап включает в себя оценку существующих мер защиты и реализацию планов по добавлению корректирующих или дополнительных контрмер. В последующей части МЭК 62443 будет представлено более детальное описание метода определения риска.
Типичные риски, принимаемые во внимание, включают в себя:
a) риски для безопасности персонала, такие как смерть или травмы;
b) риски для технологической безопасности, такие как повреждения оборудования или сбои в коммерческой деятельности;
c) риски для информационной безопасности, такие как финансовые, правовые нарушения или потеря репутации торговой марки;
d) экологический риск, такой как уведомление о нарушении, правовые нарушения или значительный ущерб;
e) риски для бизнеса, такие как сбои коммерческой деятельности.
5.6.4.2 Уровень допустимости риска
Выходными данными качественного анализа риска является перечень объектов или сценариев со сводной вероятностью возникновения и градацией последствий. В обязанности руководства входит определение соответствующих мер воздействия по пунктам на основе таких градаций. Некоторые организации приемлют относительно высокие уровни риска (в частности, динамично развивающиеся компании), а некоторые консервативны и являются противниками риска. А значит, определенный уровень остаточного риска может быть приемлем для одной организации и неприемлем для другой. Даже в пределах одной организации отдельные предприятия могут иметь разные пожелания относительно рисков или их допустимости. Руководству следует четко определять и осознавать, каковы его пожелания относительно рисков или их допустимости, чтобы лучше продумывать уровень своих ответных действий по отношению к выявленным остаточным рискам.
Решение проблем, связанных с безопасностью систем промышленной автоматики и контроля, в целом не привносит новых рисков, но может способствовать новому восприятию уже существующих рисков. Например, в контексте промышленной автоматизации рискам, связанным с безопасностью, обычно уделяют больше внимания.
Безопасность систем промышленной автоматики и контроля не требует переосмысления способа определения уровня допустимости рисков; этот способ заимствуют из других методик управления рисками в организации.
5.6.4.3 Меры воздействия на риск
Существует несколько возможных мер воздействия на риск. В зависимости от обстоятельств организации могут прибегать к той или иной комбинации мер в каждой ситуации:
a) исключение риска из проекта: одна из форм смягчения риска - изменить проект системы таким образом, чтобы исключить этот риск. Некоторые риски существуют просто потому, что возможен доступ к чему-то, несмотря на то, что доступ никогда не потребуется. Смягчить риск можно путем полной отмены ненужной функции или блокирования к ней доступа. Организации могут принимать соответствующие бизнес-решения, чтобы исключить риск. Такая мера воздействия может включать в себя сознательный отказ от чего-либо, будь то новый продукт поставщика, система или заключение договоренности;
b) снижение риска: риск можно снизить до допустимого уровня путем реализации контрмер, которые уменьшают вероятность атаки или ограничивают ее последствия. Принципиальный момент в данном случае - достичь достаточного уровня безопасности, но не исключить риск полностью;
c) принятие риска: всегда есть вариант принять риск, рассматривая его как часть издержек эксплуатации предприятия. Организации должны брать на себя некоторые риски, и их не всегда удается смягчить или передать при оптимальных затратах;
d) передача или распределение риска: возможно заключить какой-либо договор страхования или соглашение по передаче всего риска или его части стороннему субъекту. Типичный пример - субподряд на определенные операции или услуги. Такое решение может быть не всегда эффективно, поскольку может распространяться не на все имущественные объекты. Страховой договор кибербезопасности может компенсировать некоторые типы ущерба, но не ущерб, относящийся к логическим объектам, например, потерю доверия со стороны потребителей;
e) исключение или пересмотр избыточных или неэффективных мер защиты: в рамках эффективной оценки рисков выявляют и приводят в соответствие подобные меры защиты, чтобы можно было уделять больше внимания мерам защиты, которые эффективны и результативны.
5.6.5 Угрозы
5.6.5.1 Общие положения
Угрозы характеризуют возможные действия, которые могут быть предприняты в отношении системы. Они проявляются в самых различных формах, но наиболее распространенные формы следующие:
a) случайные: лицо, не знакомое с соответствующим регламентом и политикой, или по недосмотру, создает случайный риск. Возможно также, что организация не знает обо всех рисках и обнаруживает их случайно в ходе эксплуатации сложных систем промышленной автоматики и контроля;
b) несанкционированные изменения: обновления, исправления и другие изменения в операционных системах, программных приложениях, конфигурациях, возможностях взаимодействия и оборудовании могут создать неожиданную угрозу безопасности систем промышленной автоматики и контроля или соответствующего производственного процесса.
Фактор угрозы - понятие, используемое для описания субъекта, представляющего собой угрозу. Факторы угрозы известны и как злоумышленники или нарушители. Они представлены во множестве различных форм. Примеры таких факторов включают в себя:
c) инсайдер: доверенное лицо, сотрудник, подрядчик или поставщик, владеющие информацией, которая, как правило, не известна общественности. Инсайдер может представлять собой угрозу даже при отсутствии неблаговидных намерений. Например, угроза может возникнуть в результате обхождения инсайдером элементов управления безопасностью для выполнения своей работы;
d) аутсайдер: лицо или группа, не наделенные правом внутреннего доступа, известное или не известное целевой организации. Аутсайдеры могли когда-то быть инсайдерами;
e) природные события: включают в себя ураганы, землетрясения, наводнения и торнадо, которые обычно считаются физической угрозой.
Угрозы, перешедшие в действие, известны как атаки (иногда обозначаются как несанкционированные проникновения). Как при разработке компонентов и систем, так и при реализации программы безопасности в пределах производственного объекта или организации, можно моделировать атаки, чтобы удостоверяться, что контрмеры действуют и способны выявлять и сдерживать их. Моделирование сценариев и схемы атак - это примеры методов, которые можно использовать.
Угрозы могут быть пассивными или активными. Каждый тип угроз описан в нижеследующих подпунктах.
5.6.5.2 Пассивные угрозы
Сбор пассивной информации может дать потенциальному злоумышленнику много ценных сведений. Факторы угрозы обычно включают в себя пассивную информацию при случайных вербальных коммуникациях с сотрудниками и подрядчиками. Однако лица, находящиеся на территории или за территорией производственных объектов, могут также получать пассивную информацию посредством визуальных наблюдений. Сбор пассивной информации может включать в себя сбор данных о пересменах, функционировании оборудования, материально-техническом снабжении, графиках патрулирования и прочих уязвимостях. Сбор пассивной информации иногда трудно обнаружить, особенно если информацию собирают малыми частями и из нескольких источников. Постоянное наблюдение над необычайно любопытными посетителями, фотографами и персоналом (зачастую за пределами мест исполнения их служебных обязанностей) может помочь организациям выявить сбор пассивной информации, особенно если при этом тщательно проверяются их биографические данные.
Примером пассивной угрозы является сниффинг. Сниффинг - это отслеживание данных в потоке информации. Самыми известным способом сниффинга является перехват данных в потоке информации. Сниффинг может быть весьма изощренным. Инструменты сниффинга общедоступны и позволяют перехватывать данные в различных коммуникационных сетях. Такие устройства обычно используются для управления конфигурациями, поиска и устранения неисправностей в сетях и анализа трафика данных, однако их можно также использовать для сбора специальных данных о любом взаимодействии в пределах сети. Например, при сниффинге пакетов данных и паролей злоумышленник тайно подключается к сети через удаленную станцию или компьютер. Инструмент сниффинга затем пассивно отслеживает информацию, пересылаемую внутри сети, и фиксирует информацию на дисковом запоминающем устройстве, причем эту информацию можно в дальнейшем загрузить и анализировать для получения идентификационной информации и паролей пользователя.
5.6.5.3 Активные угрозы
5.6.5.3.1 Общие положения
Активные угрозы бывают нескольких видов:
- коммуникационная атака;
- вторжение в базу данных;
- воспроизведение;
- фиктивная авторизация и маскировка под законного пользователя;
- социальная инженерия;
- фишинг;
- вредоносный код;
- отказ в обслуживании;
- расширение привилегий;
- физическое повреждение.
5.6.5.3.2 Коммуникационная атака
Коммуникационная атака имеет целью нарушить коммуникацию с системой промышленной автоматики и контроля. Коммуникационные атаки бывают нескольких видов. Данные атаки могут осуществляться на нескольких уровнях внутри системы, начиная с уровня процессора компьютера и далее - по восходящей, и инициироваться за пределами предприятия, как в случае атаки вида "отказ в обслуживании" (DoS) для коммуникационных систем.
5.6.5.3.3 Вторжение в базу данных
Вторжение в базу данных - форма атаки на веб-сайт, управляемый базой данных, в ходе которой злоумышленник реализует неавторизованные команды, пользуясь ненадежным кодом в системе, соединенной с Интернетом, и действуя в обход межсетевого экрана. Атаки с вторжением в базу данных применяют для похищения информации из базы данных, которые, в нормальном режиме недоступны, и/или получения доступа к хост-компьютерам организации через компьютер, содержащий базу данных.
5.6.5.3.4 Воспроизведение
Из коммуникационных путей систем управления могут быть скопированы сигналы, которые впоследствии могут быть воспроизведены для обеспечения доступа к защищенным системам или фальсификации данных в системе промышленной автоматики и контроля. Потенциальные злоумышленники могут воспроизводить сигналы управления доступом, биометрические сигналы и другие сигналы системы для получения несанкционированного доступа к защищенным участкам или системам, сокрытия незаконной деятельности или выполнения ложных отвлекающих маневров. Система может реализовывать в себе серию путей для сбора данных, оповещения и контроля, что позволит предотвратить сбор всей информации (с целью ее дальнейшего воспроизведения) через единичное подключение, для всей подсистемы, узла оборудования, приложения или базы данных.
5.6.5.3.5 Фиктивная авторизация и маскировка под законного пользователя
В контексте вычислительных сетей понятия "фиктивная авторизация и маскировка под законного пользователя" используются для описания разнообразных способов, которыми можно обмануть аппаратное или программное обеспечение. Злоумышленники могут подделать заголовок электронного письма, чтобы сообщение выглядело как поступившее от какого-либо источника или адресата, отличных от подлинного. IP-спуфинг, например, задействует обманный трюк, благодаря которому сообщение выглядит как поступившее с авторизованного IP-адреса.
5.6.5.3.6 Социальная инженерия
К факторам угрозы относятся также получение или попытки получения конфиденциальных данных, обманом заставляя человека раскрыть конфиденциальную информацию. Социальная инженерия эффективна потому, что ее жертвы по своей сущности хотят доверять другим людям и готовы прийти на помощь. Жертвы социальной инженерии раскрывают информацию, не ведая о том, что она будет использована для атак на компьютерную сеть.
5.6.5.3.7 Фишинг
Разновидность посягательств на безопасность, когда жертву провоцируют на разглашение информации, посылая ей фальсифицированное электронное письмо с приглашением посетить веб-сайт, который на первый взгляд связан с законным источником. Фишинг основан на социальной инженерии, т.к. человек склонен верить в надежность брендов, связывая их с авторитетностью.
5.6.5.3.8 Вредоносный код
Назначением вредоносного кода может быть сбор информации о системах или пользователях, уничтожение системных данных, создание закладки для дальнейшего несанкционированного проникновения в систему, фальсификация системных данных и отчетов, или внесение путаницы в системные процессы и создание сложностей обслуживающему персоналу. Вредоносные коды, используемые в ходе атак, могут принимать форму вирусов, червей, автоматических эксплойтов или троянских коней.
Вирус - это программа или часть кода внутри другой программы, которая загружается в компьютер без ведома пользователя и функционирует против его воли. Вирусы могут также самотиражироваться. Все компьютерные вирусы создаются человеком. Простой вирус, способный производить копию самого себя снова и снова, может быть создан относительно легко. Такой простой вирус уже опасен, поскольку он быстро завладеет всей доступной памятью и будет препятствовать работе системы. Еще более опасная разновидность вируса - это вирус, способный передаваться по сетям в обход систем безопасности.
Автоматический код-эксплойт вносится в систему для сбора информации или оповещения кого-либо или других систем о конкретных событиях или взаимодействиях. Относительно простой код-эксплойт способен собирать информацию для предстоящих несанкционированных проникновений, получения финансовой выгоды или статистических данных (маркетинг). Автоматический код-эксплойт может использовать другие ресурсы или приложения, которые находятся уже в самой системе, для умножения своих возможностей по сбору информации или уничтожению данных. Полностью автоматический код-эксплойт обычно называют червем. Червь представляет собой автономную программу или алгоритм, который самотиражируется в пределах компьютерной сети и обычно выполняет вредоносные действия, такие как расходование компьютерных ресурсов и, возможно, остановка работы системы.
Троянский конь - это вредоносная программа, которая маскируется под полезное приложение. В отличие от вирусов, троянские кони (также известны как "трояны") не самотиражируются, но могут быть такими же вредоносными. Одна из наиболее коварных разновидностей троянских коней - это программа, которая предлагает очистить компьютер от вирусов, но вместо этого вносит в него новые вирусы.
Вредоносный код может быть внесен с созданием ботнета, т.е. совокупности машин с нарушенной безопасностью, которые реализуют программы в рамках общей инфраструктуры контроля и управления. Создатель ботнета может управлять группой компьютеров дистанционно, как правило в неблаговидных целях.
5.6.5.3.9 Отказ в обслуживании
Атаки типа "отказ в обслуживании" (DoS) или ухудшение его качества воздействуют на работоспособность сети, операционной системы или прикладных ресурсов. Распространенной формой атаки с целью сетевого отказа в обслуживании является распределенная атака типа "DDoS", которая использует множественные устройства с нарушенной безопасностью для причинения значительного ущерба сети, устройству или приложению.
5.6.5.3.10 Расширение привилегий
Чтобы спланировать и осуществить эффективную атаку на систему, факторы угрозы должны во многих случаях сначала получить привилегированный доступ. Благодаря расширенным привилегиям злоумышленник может совершать действия, которые в противном случае будут запрещены.
5.6.5.3.11 Физическое повреждение
Атаки с физическим повреждением имеют целью разрушение или выведение из строя физических компонентов (т.е. аппаратного обеспечения, устройств хранения программного обеспечения, соединительных элементов, датчиков и контроллеров), которые являются частью системы промышленной автоматики и контроля. Такие атаки могут принимать форму физических атак непосредственно на компоненты или физических атак посредством кибератак, которые инициируют действия системы, ведущие к физическому ущербу, повреждению или выходу из строя компонента.
5.6.6 Контрмеры
Контрмеры - это предпринимаемые действия или принимаемые меры предосторожности для снижения риска до допустимого уровня или соответствия политике безопасности. Как правило, они не устраняют риск. Характер применяемых контрмер зависит от характера рассматриваемой угрозы.
Возможны различные контрмеры для отражения внешних угроз. Примеры таких мер включают в себя:
a) аутентификацию пользователей и/или компьютеров;
b) меры управления доступом;
c) выявление несанкционированных проникновений;
d) шифрование;
e) использование цифровых подписей;
f) изоляцию или разделение ресурсов;
g) сканирование на предмет обнаружения вредоносного программного обеспечения;
h) мониторинг активности системы;
i) обеспечение физической безопасности.
В случае внутренних угроз может потребоваться другой подход, поскольку злоумышленник имеет возможность обойти некоторые из стандартных контрмер управления доступом. Это заставляет уделять больше внимания таким контрмерам как служебные инструкции, разделение обязанностей, мониторинг активности, аудит систем и шифрование.
Пассивные угрозы типа сниффинга очень трудно обнаружить, поскольку инструмент сниффинга только считывает информацию, передаваемую от одного средства коммуникации к другому, и не распространяет собственных сигналов в канал передачи сигнала. Сниффинг с использованием механического подсоединения можно обнаружить с помощью современных устройств управления связью, таких как коммутатор передачи, но беспроводной сниффинг практически невозможно обнаружить даже с помощью очень сложного и дорогого оборудования радиосвязи. Доступность сниффинга можно ограничить управлением и перекрыванием неиспользуемых голосовых портов и портов передачи данных на предприятии и повышением осведомленности об оборудовании управления связью.
Подписаться на обновления