2014-02-02
786
ПОСТРОЕНИЕ МОДЕЛИ УГРОЗ БЕЗОПАСНОСТИ
ВОЗМОЖНЫЕ ВИДЫ УГРОЗ
1. Угроза нарушения конфиденциальности заключается в том, что информация становится известной тому, кто не располагает полномочиями доступа к ней: хищение информации, утрата информации, средств ее обработки, носителей; несанкционированое ознакомление и распространение, перехват данных, злоупотребление служебными полномочиями.
Модель угроз безопасности информации – это документ, в котором описаны все возможные уязвимости и угрозы безопасности информации. В модели угроз приводятся качественные и количественные характеристики угроз, а также методы и меры противоборства этим угрозам.
- Угрозы, связанные с использованием методов социотехники (к ним относятся: сетевые атаки, телефонные атаки, поиск информации в мусоре, персональные подходы и обратная социотехника).
- Угрозы, связанные с электронной почтой (фишинг – поддельная гиперссылка в электронном письме) – сетевые атаки, связанные с использованием электронной почты: кража корпоративной информации, кража финансовой информации, загрузка вредоносного ПО, загрузка ПО злоумышленника.
- Угрозы, связанные с всплыванием приложений и диалоговых окон, сетевые атаки – кража личной информации сотрудников, загрузка вредоносного ПО, загрузка ПО злоумышленника.
- Угрозы, связанные с использованием служб мгновенного обмена сообщениями.
- Угрозы, связанные с утилизацией мусора.
| Цель атаки | Описание | Ущерб |
| Бумажный мусор в мусорных корзинах, расположенных вне организации | Изучая документы, извлеченные из внешних мусорных контейнеров, злоумышленник узнает важную корпоративную информацию | Утечка конфиденциальной информации, урон репутации компании |
| Бумажный мусор в мусорных корзинах, расположенных внутри организации | Обходя принятые в организации принципы управления внешним мусором, злоумышленник ворует документы из внутренних мусорных корзин | Утечка конфиденциальной информации, урон репутации компании |
| Выброшенные электронные носители | Злоумышленник ворует данные и приложения, хранящиеся на выброшенных электронных носителях и сами носители | Утечка конфиденциальной информации, урон репутации компании + трата ресурсов |
- Угрозы, связанные с персональными подходами:
¾ Запугивание (злоумышленники, выбравшие эту стратегию часто заставляют жертву выполнить запрос, выдавая себя за лиц, обличенных властью)
|
|
|
¾ Убеждение
¾ Вызов доверия
¾ помощь
- Угрозы, связанные с обратной социотехникой. Об обратной социотехнике говорят тогда, когда жертва сама предлагает злоумышленнику нужную ему информацию. Например, сотрудники службы поддержки никогда не спрашивают у пользователей идентификатор или пароль для решения общих проблем, однако, многие пользователи ради скорейшего устранения проблемы добровольно сообщают эти конфиденциальные сведения.
