脅威モデリングについて

国家情報システムの情報セキュリティを確保する問題は、その関連性を失うだけでなく、電子政府の概念の発展と電子サービスの数の増加により、より重要になります。 そのため、約1か月前、 「そして、それで...または1400万人のロシア人のデータがどのように私の手の中にあったか」という記事が Habrahabrに大きな共鳴を引き起こしました。



ドラフト文書 「IPの情報セキュリティに対する脅威を特定する方法」の用語を使用すると、この状況は次のように説明できます。

• ロシア連邦の法律に従って、情報の所有者、顧客、および（または）情報システムの運営者である州当局、地方自治体、および組織：教育および科学の監督のための連邦サービス。
• ISDNのNSD脅威のソース：外部エンティティ（個人）
• 情報システム内の情報のセキュリティに対する脅威の違反者による実装の可能な目標（動機）は、次のとおりです。自己実現への好奇心または欲求。 さらなる販売および金銭的利益を目的とした脆弱性の特定。
• 違反者は、目標を達成するために、情報システムで最も弱いリンクを選択します。「教育に関するドキュメントに関する情報を取得するには、フォームに記入し、スライダーを動かしてボタンをクリックします。」
• アクセス権の分析は、少なくとも、情報システムの次のコンポーネントに関連して実行されます。ソフトウェア、ソフトウェアとハ​​ードウェア、および情報処理ツール。 制御ゾーンを超える通信チャネル：この場合、SQLインジェクションが特定されました。
• 経済的、社会的、政治的などを含む脅威の実装の結果も評価の対象になります。たとえば、社会的結果に適用されるものを見てみましょう。 ソーシャルサービス（サービス）の提供の不可能（中断）。 社会の社会的緊張の増大につながるその他の結果。
• 情報セキュリティの脅威の改訂（再評価）は、少なくとも次の場合に実行されます。新しい情報セキュリティの脅威の出現につながる脆弱性の特定、または既存の脅威の実装能力の向上。 違反者の新しい能力に関する情報と事実の出現。 脆弱性は閉じられ、サービスは一時的に機能しませんでした。

ご存知のように、国家情報システム（GIS）の保護の要件は、2013年2月11日N 17「国家情報システムに含まれる国家機密を構成しない情報の保護要件の承認について」のFSTECの命令によって規制されています。



この順序には、情報セキュリティの要件が含まれており、情報セキュリティを作成する作業の段階が定義されています。 以下は、そのような手順の簡単な要約です。

情報システムに含まれる情報の保護を確保するために、次のアクティビティが実行されます。

• 情報システムに含まれる情報の保護に関する要件の形成。
• 情報システム情報セキュリティシステムの開発。
• 情報セキュリティシステム情報システムの実装。
• 情報セキュリティの要件に応じた情報システムの認証（以下、情報システムの認証）およびその実装。
• 認定情報システムの運用中に情報の保護を確保する。
• 認定情報システムの廃止中、または情報処理を終了する決定が下された後、情報の保護を確保する。

この記事の文脈では、保護要件の形成段階に主に関心があります。



情報システムに含まれる情報の保護に関する要件の形成は、GOST R 51583「情報保護。 安全な実行で自動システムを作成する手順。 一般規定「およびGOST R 51624」情報保護。 安全な設計の自動システム。 以下を含む一般要件」

• 情報システムに含まれる情報を保護する必要性についての決定。
• 情報セキュリティの要件に応じた情報システムの分類（以下、情報システムの分類）;
• 情報システムにおける情報セキュリティの侵害につながる可能性のある情報セキュリティ脅威の識別、および情報セキュリティ脅威のモデルに基づく開発。
• 情報システムの情報セキュリティシステムの要件の定義。

ご覧のとおり、注文番号17はセキュリティ脅威の定義を個別に発行し、検査機関は検査中に「脅威モデル」と呼ばれる文書を要求しています。



それでは、このドキュメントを扱ってみましょう。



脅威モデルの直接開発は、FSTECの以下のドキュメントに基づいている必要があります。

• 「個人データ情報システムで処理される場合の個人データセキュリティ脅威の基本モデル」、連邦政府技術輸出管理サービス、2008
• 「個人データ情報システムでの処理中に個人データのセキュリティに対する実際の脅威を判断するための方法論」、連邦技術サービス輸出管理局、2008年。

「基本モデル」には、個人データが個人データ情報システムで処理される際の個人データのセキュリティに対する脅威の体系的なリストが含まれています。 情報セキュリティの専門家の多くは、このドキュメントについて非常に懐疑的です。 基本モデルで提示される脅威は時代遅れであり、包括的なものとはほど遠いものです。 ただし、より良いものが必要な場合は、ドキュメントの現在のエディションに満足する必要があります。 FSTECには文書の新しいバージョンもあり、記事の冒頭でケースが部分的に説明されていましたが、 新しいバージョンはかなり長い間建設中であり、承認されていません。 したがって、認証機関は上記のドキュメントに基づいた脅威モデルを必要とします。



ドラフト文書「IPの情報セキュリティに対する脅威を特定するための方法論」の詳細は、Habrの記事「 彼らが待っていた文書 」で読むことができます。



ただし、17次に戻ると、次のようになります。

情報セキュリティに対する脅威は、外部および内部違反者の能力（潜在的）を評価し、情報システムの潜在的な脆弱性を分析し、情報セキュリティに対する脅威を実装する可能な方法と、情報セキュリティプロパティ（機密性、整合性、アクセシビリティ）に違反する結果によって決定されます。

情報セキュリティの脅威を判断するためのデータのソースとして、データセキュリティの脅威データバンク（bdu.fstec.ru）と、情報セキュリティに対する脆弱性と脅威に関する情報を含む他のソースが使用されます。

そして、ここに問題があり、データバンクが作成され、このバンクに従ってセキュリティ分析を自動化するソフトウェア製品がありますが、「基本モデル」および「現在の脅威を決定するための方法」の現在のドキュメントにはこのバンクに関する言及はありません。



一般的に、状況は議員にとって非常に典型的なものであり、通常は議員によって修正されますが、正確な場合は明確ではありません。 したがって、両方のアプローチをコンパイルすることで創造的なモデリングにアプローチします。これは禁止されておらず、実際のセキュリティにより関連する情報を提供します。



順序に従って決定し、考慮する必要があるもの：

• システムの構造的および機能的特性。
• 情報システムのセグメント間、他の情報システムおよび情報および通信ネットワークとの物理的、論理的、機能的および技術的関係。
• 情報システムおよび個々のセグメントの情報処理モード。
• 情報システムの他の特性、応用情報技術およびその機能の特徴。

もう1つの重要なポイントは、シミュレーションの結果として、必要に応じて、システムを調整するための推奨事項を発行できることです。 その構造および/または特性。



「セキュリティの脅威のモデル」というドキュメントの内容については、17件の注文を引用します。注文には次のものが必要です。

「情報セキュリティ脅威のモデルには、情報システムとその構造的および機能的特性の説明、ならびに違反者の能力の説明（違反者のモデル）、情報システムの潜在的な脆弱性、情報セキュリティ脅威の実装方法、情報セキュリティプロパティの違反の結果を含む情報セキュリティ脅威の説明を含める必要があります」

このポイントのリストは、究極の真実であると主張していませんが、そのようなポイントの内容に応じて、その完全性をチェックすることによって示されるように、もちろん十分です。 これらの点を正しく記入するには、セキュリティスペシャリストは、システムに関する情報を十分に掘り下げ、どのアプリケーションが、どのような目的で、どの目的で使用されているかを理解する必要があります。



当然、セキュリティ機能がシステム管理者に割り当てられていない場合、そのような専門家はほとんどの場合、このシステムを知っている人々の助けを必要とします。 しかし、ほとんどの場合、システム管理者は、情報システムを法律に準拠させるためのすべての段階に対処しなければならないという現実があります。 もちろん、大部分の組織では、ほとんどの場合、セキュリティを担当するスタッフユニットが対応しています。 また、予算が許せば、対応する活動の種類のライセンスを持つ専門組織が雇われます。