정보 보안에 위협이 될 수 있습니다. 정보 보안 위협의 유형. 정보 보안 및 데이터 접근 위반의 구체적인 예
현대 사회에서는 정보 기술그리고 다음 장소에 보관하세요 전자 미디어거대한 데이터베이스, 정보와 종의 보안 보장 문제 정보 위협게으름이 없지 않습니다. 정보 소유자 또는 사용자에게 피해를 입힐 수 있는 자연적 또는 인공적 우발적 및 의도적 행위가 이 기사의 주제입니다.
정보 영역의 보안 보장 원칙
정보 보안의 주요 원칙, 안전과 무결성을 보장하는 시스템은 다음과 같습니다.
- 정보 데이터의 무결성. 이 원칙은 정보가 전송되고 저장될 때 내용과 구조를 유지한다는 것을 의미합니다. 데이터를 생성, 변경 또는 파기할 수 있는 권리는 해당 접근 권한을 가진 사용자에게만 부여됩니다.
- 데이터 개인정보 보호. 데이터 배열에 대한 액세스는 이 시스템에서 승인된 사용자 범위가 명확하게 제한되어 있으므로 정보에 대한 무단 액세스로부터 보호할 수 있다는 것이 이해됩니다.
- 데이터 세트의 가용성. 이 원칙에 따라 승인된 사용자는 적시에 방해받지 않고 액세스할 수 있습니다.
- 정보의 신뢰성. 이 원칙은 정보가 해당 정보를 받은 주체와 출처인 주체에게만 속한다는 사실로 표현됩니다.
보안 문제
정보 보안 문제는 컴퓨터 시스템의 중단 및 오류로 인해 심각한 결과가 발생할 수 있을 때 가장 먼저 부각됩니다. 그리고 정보 보안 시스템의 임무는 다각적이고 포괄적인 조치를 의미합니다. 여기에는 정보의 오용, 손상, 왜곡, 복사 및 차단 방지가 포함됩니다. 여기에는 적절한 수준의 승인 없이 사람의 무단 접근을 모니터링 및 방지하고, 정보 유출을 방지하고, 정보의 무결성과 기밀성에 대한 모든 가능한 위협을 방지하는 것이 포함됩니다. ~에 현대 개발데이터베이스 보안 문제는 소규모 개인 사용자뿐만 아니라 금융기관에게도 중요해지고 있으며, 대기업.
정보보안 위협 유형 분류
이 맥락에서 "위협"이란 잠재적인 의미를 의미합니다. 가능한 조치, 운영 체제나 여기에 저장된 정보에 바람직하지 않은 결과나 영향을 미칠 수 있는 현상 및 프로세스. 안에 현대 세계이러한 정보 위협은 상당히 많으며 그 유형은 기준 중 하나에 따라 분류됩니다.
따라서 발생의 성격에 따라 다음을 구별합니다.
- 자연의 위협. 이는 물리적 영향이나 자연 현상의 결과로 발생한 것입니다.
- 인간이 만든 위협. 에게 이 종정보 위협에는 인간의 행동과 관련된 모든 것이 포함됩니다.
위협은 의도성의 정도에 따라 우발적인 위협과 의도적인 위협으로 구분됩니다.
정보 보안에 대한 위협의 직접적인 원인에 따라 자연(예: 자연 현상), 인간(공개로 인한 정보 기밀 침해), 소프트웨어 및 하드웨어가 될 수 있습니다. 후자 유형은 승인된 위협(운영 체제 작동 오류)과 승인되지 않은 위협(웹사이트 해킹 및 바이러스 감염)으로 나눌 수 있습니다.
소스 거리에 따른 분류
소스 위치에 따라 정보 위협에는 3가지 주요 유형이 있습니다.
- 컴퓨터 외부 소스로부터의 위협 운영 체제. 예를 들어, 통신 채널을 통해 정보가 전송될 때 정보를 가로채는 것입니다.
- 소스가 제어된 운영 체제 내에 있는 위협입니다. 예를 들어 데이터 도난이나 정보 유출 등이 있습니다.
- 시스템 자체 내에서 발생하는 위협. 예를 들어 리소스의 잘못된 전송 또는 복사가 있습니다.
기타 분류
소스가 멀리 떨어져 있는지에 관계없이 정보 위협의 유형은 수동적(영향이 데이터 구조의 변경을 수반하지 않음)일 수도 있고 능동적(영향이 데이터 구조, 컴퓨터 시스템의 내용을 변경함)일 수도 있습니다.
또한 정보 위협은 컴퓨터에 액세스하는 단계에서 나타날 수 있으며 승인된 액세스(예: 데이터의 무단 사용) 후에 감지될 수 있습니다.
위치에 따라 위협은 세 가지 유형이 될 수 있습니다. 외부 장치기억, 안으로 랜덤 액세스 메모리그리고 통신 회선을 따라 순환하는 것입니다.
일부 위협(예: 정보 도난)은 시스템 활동에 의존하지 않고 다른 위협(바이러스)은 데이터 처리 중에만 감지됩니다.
의도하지 않은(자연적) 위협
이러한 유형의 정보 위협을 구현하기 위한 메커니즘과 이를 방지하는 방법이 상당히 잘 연구되었습니다.
다음에 대한 특별한 위험 컴퓨터 시스템사고와 자연(자연) 현상을 나타냅니다. 이러한 영향으로 인해 정보에 접근할 수 없게 되고(전체 또는 일부) 정보가 왜곡되거나 완전히 파기될 수 있습니다. 정보 보안 시스템은 이러한 위협을 완전히 제거하거나 예방할 수 없습니다.
또 다른 위험은 컴퓨터 시스템을 개발할 때 저지르는 실수입니다. 예를 들어 잘못된 운영 알고리즘, 잘못된 소프트웨어 등이 있습니다. 공격자가 자주 사용하는 오류 유형은 다음과 같습니다.
의도하지 않았지만 중요한 유형의 정보 보안 위협의 또 다른 유형은 사용자의 무능, 과실 또는 부주의입니다. 시스템 정보 보안이 약화되는 사례 중 65%는 사용자의 기능적 책임 위반으로 인해 정보 손실, 기밀성 및 무결성 위반이 발생했습니다.
고의적인 정보 위협
이러한 유형의 위협은 동적 특성과 위반자의 표적 행동에 대한 새로운 유형 및 방법이 지속적으로 추가되는 것이 특징입니다.
이 영역에서 공격자는 특수 프로그램을 사용합니다.
- 바이러스는 시스템 전체에 독립적으로 복사되어 확산되는 작은 프로그램입니다.
- 웜은 컴퓨터가 부팅될 때마다 활성화되는 유틸리티입니다. 바이러스와 마찬가지로 시스템에 복사되어 독립적으로 확산되므로 과부하가 발생하고 작업이 차단됩니다.
- 트로이 목마 - 유용한 애플리케이션 아래에 숨겨져 있음 악성 코드. 그들은 공격자에게 정보 파일을 보내고 시스템 소프트웨어를 파괴할 수 있습니다.
그러나 맬웨어가 유일한 고의적 침입 도구는 아닙니다. 도청, 프로그램 및 보안 속성 도용, 해킹, 문서 도용 등 다양한 간첩 방법도 사용됩니다. 비밀번호 가로채기는 다음을 사용하여 가장 자주 수행됩니다. 특별 프로그램.
산업 스파이
FBI와 미국 컴퓨터 보안 연구소(Computer Security Institute, USA)의 통계에 따르면 침입의 50%가 회사 직원이나 기업 자체에 의해 수행되는 것으로 나타났습니다. 이 외에도 정보위협 대상에는 경쟁업체, 채권자, 매매업체, 범죄요소 등이 포함된다.
해커와 기술 쥐가 특히 우려됩니다. 이들은 웹사이트를 해킹하고 해킹하는 자격을 갖춘 사용자 및 프로그래머입니다. 컴퓨터 네트워크이익을 목적으로 하거나 스포츠에 관심을 갖기 위해.
정보를 보호하는 방법은 무엇입니까?
다양한 유형의 정보 위협이 지속적으로 증가하고 역동적으로 발전하고 있음에도 불구하고 여전히 보호 방법이 있습니다.
- 물리적 보호- 정보보안의 첫 번째 단계입니다. 여기에는 무단 사용자에 대한 접근 제한과 접근 시스템, 특히 서버 부서에 대한 접근이 포함됩니다.
- 정보보호의 기본수준은 차단하는 프로그램입니다. 컴퓨터 바이러스그리고 바이러스 백신 프로그램, 모호한 성격의 서신을 필터링하는 시스템.
- 개발자가 제공하는 DDoS 공격으로부터 보호 소프트웨어.
- 창조 백업 복사본, 다른 외부 미디어 또는 소위 "클라우드"에 저장됩니다.
- 재해 및 데이터 복구 계획. 이 방법은 다음과 같은 경우에 중요합니다. 대기업장애 발생 시 자신을 보호하고 가동 중지 시간을 줄이고 싶은 사람
- 전자 매체를 사용하여 데이터를 전송할 때 데이터를 암호화합니다.
정보 보호에는 통합적인 접근 방식이 필요합니다. 그리고 더 많은 방법을 사용할수록 무단 액세스, 데이터 파괴 또는 손상 위협, 도난으로부터 보호하는 것이 더 효과적입니다.
생각하게 만드는 몇 가지 사실
2016년에는 은행의 26%가 DDoS 공격을 경험했습니다.
가장 큰 개인 데이터 유출 중 하나는 2017년 7월 미국 Equifax 신용 기록 조사국에서 발생했습니다. 1억 4,300만 명의 개인 데이터와 209,000개의 신용카드 번호가 공격자의 손에 넘어갔습니다.
“정보를 소유한 사람이 세상을 소유합니다.” 이 진술은 관련성을 잃지 않았습니다. 특히 다음과 같은 경우에는 더욱 그렇습니다. 우리 얘기 중이야경쟁에 대해. 그래서 2010년에 망했어요 아이폰 프레젠테이션직원 중 한 명이 술집에서 스마트폰 시제품을 잊어버렸고, 이를 발견한 학생이 시제품을 기자들에게 팔았기 때문이다. 그 결과, 스마트폰이 공식 발표되기 몇 달 전에 언론에 독점 리뷰가 게재되었습니다.
컴퓨터 시스템의 정보 보안에 대한 전체 잠재적 위협 세트는 2개의 주요 클래스로 나눌 수 있습니다(그림 1).
그림 1
공격자의 고의적인 행동과 관련이 없고 무작위로 실행되는 위협을 위협이라고 합니다. 무작위의 아니면 의도치 않게. 무작위 위협을 구현하는 메커니즘은 일반적으로 꽤 잘 연구되었으며 이러한 위협에 대응하는 데 상당한 경험이 축적되었습니다.
자연재해 및 사고 CS에 대한 가장 파괴적인 결과로 가득 차 있습니다. 후자는 물리적으로 파괴되기 때문에 정보가 손실되거나 액세스가 불가능해지기 때문입니다.
실패와 실패 복잡한 시스템은 불가피합니다. 실패와 실패로 인해 성능이 저하됩니다. 기술적 수단, 데이터 및 프로그램이 파괴되고 왜곡되며 장치 작동 알고리즘이 중단됩니다.
CS, 알고리즘 및 소프트웨어 개발 오류 오류는 기술 장비의 고장 및 고장의 결과와 유사한 결과를 초래합니다. 또한 이러한 오류는 공격자가 CS 리소스에 영향을 미치는 데 사용될 수 있습니다.
결과적으로 사용자 및 유지보수 담당자의 실수 보안 위반은 65%의 경우에서 발생합니다. 직원이 무능하거나 부주의하거나 부주의하게 직무를 수행하면 정보의 무결성 및 기밀성이 파괴되고 위반됩니다.
고의적인 위협 범죄자의 표적 행동과 관련이 있습니다. 이러한 종류의 위협은 충분히 연구되지 않았으며 매우 동적이며 지속적으로 새로운 위협으로 업데이트됩니다.
간첩 및 방해 행위의 방법 및 수단 CS 침투 및 도난, 파기 등을 목적으로 보안시스템에 관한 정보를 얻는 데 가장 많이 사용됩니다. 정보 자원. 이러한 방법에는 도청, 육안 감시, 문서 및 컴퓨터 저장 매체의 도난, 프로그램 및 보안 시스템 속성의 도난, 컴퓨터 저장 매체 폐기물의 수집 및 분석, 방화 등이 포함됩니다.
정보에 대한 무단 액세스(UAI) 일반적으로 컴퓨터 시스템의 표준 하드웨어 및 소프트웨어를 사용할 때 발생하며, 그 결과 정보 자원에 대한 사용자 또는 프로세스의 액세스를 제한하기 위해 확립된 규칙을 위반합니다. 접근 제어 규칙은 정보 단위에 대한 개인 또는 프로세스의 접근 권한을 규제하는 일련의 조항으로 이해됩니다. 가장 일반적인 위반 사항은 다음과 같습니다.
비밀번호 차단은 특별히 고안된 방법으로 수행됩니다.
프로그램들;
-- "가장 무도회" - 다른 사용자를 대신하여 한 사용자가 작업을 수행합니다.
불법적인 권한 사용은 침입자가 합법적인 사용자의 권한을 강탈하는 것입니다.
컴퓨터 시스템의 기술적 수단으로 정보를 처리하고 전송하는 과정에는 주변 공간으로의 전자기 복사와 통신 회선의 전기 신호 유도가 수반됩니다. 이름이 있네 가짜 전자기 복사 및 간섭(PEMIN). 특수 장비의 도움으로 신호를 수신, 분리, 증폭하고 저장 장치(메모리 장치)에서 보거나 기록할 수 있습니다. 전자기 방사선공격자는 정보를 얻는 것뿐만 아니라 정보를 파괴하는 데도 사용됩니다.
CS 분야의 정보보안에 대한 가장 큰 위협은 시스템의 알고리즘, 소프트웨어 및 기술 구조를 무단으로 수정하는 행위 , 이를 '북마크'라고 합니다. 일반적으로 "북마크"는 특수 시스템에 내장되어 컴퓨터 시스템에 직접적인 유해한 영향을 미치거나 시스템에 대한 통제되지 않은 진입을 제공하는 데 사용됩니다.
보안 위협의 주요 원인 중 하나는 통칭하여 특수 프로그램을 사용하는 것입니다. “사보타주 프로그램” . 이러한 프로그램에는 다음이 포함됩니다.
-- "컴퓨터 바이러스" - 컴퓨터에 유입된 후 스스로 복사본을 생성하여 독립적으로 확산되고, 특정 조건이 충족되면 컴퓨터 시스템에 부정적인 영향을 미치는 작은 프로그램입니다.
-- "웜"은 시스템이 부팅될 때마다 실행되는 프로그램으로, 컴퓨터 시스템이나 네트워크로 이동하여 복사본을 자체 복제할 수 있습니다. 프로그램의 눈사태와 같은 확산은 통신 채널, 메모리의 과부하를 초래하고 시스템 차단을 초래합니다.
-- "트로이 목마" - 다음과 같은 프로그램 유용한 응용, 그러나 실제로는 유해한 기능(소프트웨어 파괴, 기밀 정보가 포함된 파일을 공격자에게 복사 및 전송 등)을 수행합니다.
위에서 언급한 보안 위협 외에도 정보 유출 위협도 있어 해마다 점점 더 중요한 보안 문제로 대두되고 있습니다. 누출을 효과적으로 처리하려면 누출이 어떻게 발생하는지 알아야 합니다(그림 2).
그림 2
4가지 주요 유출 유형이 사건의 대다수(84%)를 차지하며, 이 중 절반(40%)이 가장 널리 퍼진 위협인 미디어 절도에 해당합니다. 15%는 내부 정보입니다. 이 범주에는 정보에 합법적으로 접근할 수 있는 직원의 행동으로 인해 발생한 사건이 포함됩니다. 예를 들어, 직원은 정보에 대한 접근 권한이 없었지만 보안 시스템을 우회했습니다. 또는 내부자가 정보에 접근하여 조직 외부로 가져갔습니다. ~에 해커 공격또한 위협의 15%를 차지합니다. 이 광범위한 사고 그룹에는 외부 침입으로 인해 발생한 모든 유출이 포함됩니다. 해커 침입의 비율이 그리 높지 않은 이유는 침입 자체가 눈에 덜 띄게 되었기 때문입니다. 14%는 웹 유출이었습니다. 이 범주에는 공공 장소(예: 글로벌 네트워크. 9%는 종이 누출입니다. 정의에 따르면, 용지 누출은 기밀 정보를 종이에 인쇄한 결과로 발생하는 모든 누출입니다. 7%는 기타 가능한 위협입니다. 여기에는 정확한 원인을 알 수 없는 사건, 개인정보가 불법적인 목적으로 이용된 후 사후에 알려지게 된 사건 등이 포함됩니다.
또한, 현재 활발하게 개발 중입니다. 피싱 - 접속 비밀번호, 신용카드 번호, 은행 계좌, 기타 개인정보 등 개인 기밀 데이터를 도용하는 인터넷 사기 기술입니다. 피싱(영어 낚시 - 낚시)은 암호 낚시를 의미하며 컴퓨터 시스템의 기술적인 단점이 아니라 인터넷 사용자의 속기 쉬움을 이용합니다. 공격자는 인터넷에 미끼를 던지고 미끼에 빠지는 사용자인 "모든 물고기를 잡아냅니다".
특정 유형의 위협에 관계없이 정보 보안은 무결성, 기밀성 및 가용성을 유지해야 합니다. 무결성, 기밀성 및 가용성에 대한 위협이 가장 중요합니다. 무결성 위반에는 컴퓨터 시스템에 저장되어 있거나 한 시스템에서 다른 시스템으로 전송되는 정보를 고의적으로 수정하는 것이 포함됩니다. 기밀 유지 위반으로 인해 정보에 접근할 권한이 없는 사람에게 정보가 알려지는 상황이 발생할 수 있습니다. 정보 접근 불가능 위협은 다른 사용자나 공격자의 고의적인 행동으로 인해 일부 CS 리소스에 대한 접근이 차단될 때마다 발생합니다.
정보보안 위협의 또 다른 유형은 CS 매개변수 공개 위협이다. 구현 결과 CS에서 처리되는 정보에는 아무런 피해가 발생하지 않지만 동시에 주요 위협이 발현될 가능성은 크게 향상됩니다.
위협은 경제적 이익의 상충으로 인해 발생합니다. 다양한 요소, 정보 영역을 포함하여 사회 경제 시스템 내부와 외부에서 상호 작용합니다. 일반 및 정보 보안을 보장하기 위한 활동의 내용과 방향을 결정합니다. 경제 안보 문제에 대한 분석은 위협 실행으로 인해 발생할 수 있는 경제적 모순, 위협 및 손실의 상호 관계를 고려하여 수행되어야 한다는 점에 유의해야 합니다. 이 분석은 다음 체인으로 이어집니다.
< источник угрозы (внешняя и/или внутренняя среда предприятия)>
<зона риска (сфера экономической деятельности предприятия, способы её реализации, материальные и информационные ресурсы)>
<фактор (степень уязвимости данных, информации, программного обеспечения, компьютерных и телекоммуникационных устройств, материальных и финансовых ресурсов, персонала)>
< угроза (вид, величина, направление)>
<возможность её реализации (предпосылки, объект , способ действия, скорость и временной интервал действия)>
<последствия (материальный ущерб , моральный вред, размер ущерба и вреда, возможность компенсации)>.
위협은 일반적으로 물질적 대상에 대한 불안정화 효과의 성격(유형, 방법)으로 식별됩니다. 소프트웨어또는 정보, 또는 그러한 영향의 결과(결과).
법적 관점에서 볼 때 위협의 개념은 러시아 연방 민법(1부, 15조)에서 "위반의 결과로 대상에게 발생하는 실제 비용"으로 정의하는 법적 손해 범주와 엄격하게 관련되어 있습니다. 자신의 권리(예: 위반자의 기밀 정보의 도난, 공개 또는 사용), 재산의 손실 또는 손해, 침해된 권리와 손해 또는 손실된 가치를 회복하기 위해 지불해야 하는 비용 재산."
위협 출현 및 구현의 부정적인 결과를 분석하려면 가능한 위협 소스, 위협 발현에 기여하는 취약점 및 구현 방법을 의무적으로 식별해야 합니다. 이와 관련하여 식별을 가장 완전하고 적절하게 수행하려면 경제 및 정보 보안에 대한 위협을 분류해야 합니다. 위협의 출처, 발생 성격, 실행 가능성, 유형에 따라 분류해야 합니다. 인간 활동, 공격 대상, 결과, 예측 능력을 기준으로 합니다.
위협은 여러 기준에 따라 분류될 수 있습니다.
- 위협이 주로 발생하는 정보 보안의 가장 중요한 구성 요소(가용성, 무결성, 기밀성)
- 위협의 직접적인 표적이 되는 정보 시스템 및 기술의 구성 요소(데이터, 하드웨어 및 소프트웨어 시스템, 네트워크, 지원 인프라)
- 구현 방법(우연한 또는 고의적인 행동, 인공 또는 자연 규모의 사건)
- 위협의 근원지(정보 기술 또는 시스템 외부 또는 내부)를 파악합니다.
가능한 위협 분류 모델 중 하나가 그림 1에 나와 있습니다. 2.1 [Vikhorev, S., Kobtsev R., 2002].
쌀. 2.1.
분석 중에는 위협과 취약점의 가능한 소스 대부분을 식별하여 서로 비교하고, 식별된 모든 위협과 취약점 소스를 무력화 및 제거 방법과 비교해야 합니다.
이 분류는 특정 위협의 관련성을 평가하기 위한 방법론을 개발하는 기초가 될 수 있습니다. 현재 위협이를 방지하거나 무력화하기 위한 방법과 수단을 선택하기 위한 조치를 취할 수 있습니다.
현재 위협을 식별할 때 전문가 분석 방법은 특정 위협에 노출되는 보호 대상, 이러한 위협의 특징적인 소스 및 위협 구현에 기여하는 취약성을 결정합니다.
분석을 기반으로 위협 소스와 취약점 간의 관계 매트릭스가 작성되어 위협(공격) 구현의 가능한 결과가 결정되고 이러한 공격의 중요 계수(위험 정도)가 다음과 같이 계산됩니다. 해당 위협의 위험 계수와 앞서 식별한 위협의 소스.
쉽게 형식화하고 알고리즘화할 수 있는 이러한 분석을 수행하기 위한 가능한 알고리즘 중 하나가 그림 1에 나와 있습니다. 2.2.
쌀. 2.2.
이 접근 방식 덕분에 다음이 가능합니다.
- 관계 주제에 대한 보안 목표의 우선순위를 설정합니다.
- 현재 위협 소스의 목록을 결정합니다.
- 현재 취약점 목록을 확인합니다.
- 취약점, 위협 소스 및 구현 가능성 간의 관계를 평가합니다.
- 시설에 대한 가능한 공격 목록을 결정합니다.
- 가능한 공격에 대한 시나리오를 개발합니다.
- 위협 구현으로 인해 발생할 수 있는 결과를 설명합니다.
- 기업의 경제 및 정보 보안을 위한 일련의 보호 조치와 관리 시스템을 개발합니다.
가장 빈번하고 가장 위험한(피해량 측면에서) 것은 일반 사용자, 운영자, 시스템 관리자그리고 다른 사람들이 봉사하는 정보 시스템. 이러한 오류는 실제로 위협(잘못 입력된 데이터 또는 시스템 충돌을 일으킨 프로그램 오류)인 경우도 있고 공격자가 악용할 수 있는 취약점을 만드는 경우도 있습니다(일반적으로 관리 오류). 일부 추정에 따르면 손실의 최대 65%는 부주의, 부주의 또는 직원의 부적절한 교육으로 인한 의도하지 않은 오류로 인해 발생합니다.
일반적으로 사용자는 다음 위협의 소스가 될 수 있습니다.
- 의도적(결국 소프트웨어 코어 또는 응용 프로그램을 파괴하는 논리 폭탄 내장) 또는 의도하지 않은 데이터 및 정보의 손실 또는 왜곡, 관리 시스템의 "해킹", 데이터 및 비밀번호 도용, 권한 없는 사람에게 전송 등
- 정보 시스템 작업을 꺼리는 사용자(새로운 기능을 습득해야 할 때 또는 사용자 요청과 실제 기능 사이에 불일치가 있을 때 가장 자주 나타남) 기술적 인 특성) 하드웨어 및 소프트웨어 장치를 의도적으로 비활성화하는 행위
- 적절한 교육 부족으로 인해 시스템을 사용할 수 없음(일반적인 컴퓨터 사용 능력 부족, 진단 메시지 해석 불능, 문서 작업 불능 등).
그것은 분명하다 효과적인 방법의도하지 않은 오류 방지 - 최대 자동화 및 표준화, 정보 프로세스, 바보 방지 장치의 사용, 사용자 행동에 대한 규제 및 엄격한 통제. 또한 직원이 퇴사할 때 정보 자원에 대한 그의 접근 권한(논리적 및 물리적)이 취소되도록 보장해야 합니다.
내부 시스템 오류의 주요 원인은 다음과 같습니다.
- 시스템 부족으로 인해 작업할 수 없음 기술적 지원(불완전한 문서, 참조 정보 부족 등)
- 이탈(우발적 또는 고의적) 정해진 규칙작업;
- 사용자 또는 유지 관리 담당자의 우발적 또는 의도적 작업(예상 요청 수 초과, 처리된 정보의 과도한 양 등)으로 인해 시스템이 정상 작동 모드에서 종료되는 경우
- 시스템 구성 오류;
- 소프트웨어 및 하드웨어 오류;
- 데이터 파괴;
- 장비의 파괴 또는 손상.
지원 인프라와 관련하여 다음 위협을 고려하는 것이 좋습니다.
- 통신 시스템, 전원 공급 장치, 물 및/또는 열 공급 장치, 에어컨의 중단(우발적 또는 의도적)
- 건물의 파괴 또는 손상;
- 서비스 직원 및/또는 사용자가 자신의 의무를 수행할 수 없거나 수행할 의사가 없음(시민 불안, 교통 사고, 테러 공격 또는 이에 대한 위협, 파업 등).
물론 위험해요 자연 재해(홍수, 지진, 허리케인) 및 인재로 인한 사건(화재, 폭발, 건물 붕괴 등). 통계에 따르면 화재, 물 및 이와 유사한 "공격자"(가장 위험한 것은 정전)가 생산 정보 시스템 및 자원으로 인한 손실의 13-15%를 차지합니다.
평가 및 분석 결과는 위협을 방어하기 위한 적절한 최적 방법을 선택할 때뿐만 아니라 객체의 정보 보안의 실제 상태를 감사할 때에도 사용될 수 있습니다.
생성을 위해 최적의 시스템기업의 정보 보안을 위해서는 상황을 유능하게 평가하고, 가능한 위험을 식별하고, 시스템 모델을 구축하고 적절한 구현 및 운영 메커니즘을 개발하는 기반으로 개념 및 보안 정책을 개발해야 합니다.
제2장 정보위협의 개념과 유형
2.1 정보 위협
80년대 후반과 90년대 초반부터 정보 보안과 관련된 문제는 해당 분야의 전문가 모두를 걱정하게 했습니다. 컴퓨터 보안, 뿐만 아니라 수많은 일반 사용자들 개인용 컴퓨터. 이는 컴퓨터 기술이 우리 삶에 가져오는 엄청난 변화 때문입니다.
경제학에서 현대의 자동화 정보 시스템(AIS)은 다양한 수준의 자율성, 상호 연결 및 데이터 교환을 갖춘 수많은 구성 요소로 구성된 복잡한 메커니즘입니다. 거의 각각 실패하거나 외부 영향에 노출될 수 있습니다.
비용이 많이 드는 방법을 사용했음에도 불구하고 컴퓨터 정보 시스템의 기능은 정보 보안에 약점이 있음을 드러냈습니다. 이에 따라 정보를 보호하기 위한 비용과 노력이 계속해서 증가했습니다. 그러나 취해진 조치가 효과적이려면 정보 보안에 대한 위협이 무엇인지 판단하고, 정보 유출의 가능한 경로와 보호된 데이터에 대한 무단 접근 방법을 식별하는 것이 필요합니다.
정보보안 위협(정보위협)을 받고 있는 경우저장, 전송 및 처리된 정보는 물론 소프트웨어 및 하드웨어를 포함한 정보 자원의 파괴, 왜곡 또는 무단 사용으로 이어질 수 있는 행위 또는 사건을 의미합니다. 정보의 저장 및/또는 배포 과정에서 정보의 가치가 상실된 경우 위반 위협정보의 기밀성. 정보가 변경되거나 파괴되어 가치가 상실되면 그 정보는 실현됩니다. 정보 무결성에 대한 위협. 정보가 합법적인 사용자에게 적시에 도달하지 못하면 그 가치는 감소하고 시간이 지남에 따라 완전히 가치가 떨어지게 되어 정보의 사용 효율성이나 가용성이 위협받게 됩니다.
따라서 정보 보안에 대한 위협의 구현은 정보의 기밀성, 무결성 및 가용성을 위반하는 것으로 구성됩니다. 공격자는 기밀 정보를 보거나 수정하거나 파기할 수 있을 뿐만 아니라 합법적인 사용자의 정보 액세스를 제한하거나 차단할 수도 있습니다. 이 경우 공격자는 조직의 직원일 수도 있고 외부인일 수도 있습니다. 그러나 이 외에도 직원의 우발적이고 의도하지 않은 오류와 때로는 자연 자체에서 나타나는 놀라움으로 인해 정보의 가치가 감소할 수 있습니다.
정보 위협은 다음과 같은 이유로 발생할 수 있습니다.
자연 요인(자연 재해 - 화재, 홍수, 허리케인, 번개 및 기타 원인)
인적 요소. 후자는 다음과 같이 나뉩니다.
– 무작위적이고 의도하지 않은 위협입니다. 이는 정보(과학, 기술, 상업, 금전 및 금융 문서)를 준비, 처리 및 전송하는 과정의 오류와 관련된 위협입니다. 목표가 불분명한 "두뇌 유출", 지식, 정보(예: 인구 이주, 다른 국가로의 여행, 가족과의 재회 등과 관련하여) 이는 시스템의 설계, 개발 및 제조 프로세스의 오류와 관련된 위협이며 제조 품질이 좋지 않아 장비 작동에 오류가 있는 구성 요소(건물, 구조물, 건물, 컴퓨터, 통신 장비, 운영 체제, 응용 프로그램 등) 정보 준비 및 처리 과정의 오류(자격 부족 및 서비스 품질 저하로 인한 프로그래머 및 사용자의 오류, 데이터 준비, 입력 및 출력, 정보 수정 및 처리의 운영자 오류)
– 사람들의 고의적이고 고의적인 행동으로 인한 위협. 이는 과학적 발견, 생산 비밀의 발명, 이기적이고 기타 반사회적인 이유로 신기술(문서, 도면, 발견 및 발명에 대한 설명 및 기타 자료)의 이전, 왜곡 및 파괴와 관련된 위협입니다. 공식 및 기타 과학적, 기술적, 상업적 대화를 도청하고 전송하는 행위, 목표로 삼은 "두뇌 유출", 지식 및 정보(예: 이기적인 이유로 다른 시민권 취득과 관련하여). 이는 자동화된 정보 시스템의 리소스에 대한 무단 액세스와 관련된 위협입니다(수단에 대한 기술적 변경 컴퓨터 기술통신, 컴퓨터 장비 및 통신 채널 연결, 정보 매체 도난(플로피 디스크, 설명, 인쇄물 등).
고의적인 위협은 AIS 사용자에게 피해를 입히는 것을 목표로 하며, 능동적 위협과 수동적 위협으로 구분됩니다.
수동적 위협, 원칙적으로 정보 자원의 기능에 영향을 주지 않고 무단으로 사용하는 것을 목표로 합니다. 예를 들어 소극적 위협은 통신 채널을 통해 정보를 청취하여 이를 얻으려는 시도입니다.
활성 위협하드웨어, 소프트웨어 및 정보 자원에 대한 표적 영향을 통해 시스템의 정상적인 기능을 방해하려는 목표를 가지고 있습니다. 적극적인 위협에는 통신 회선의 파괴 또는 전자 방해, PC 또는 운영 체제의 비활성화, 데이터베이스 또는 시스템 정보의 정보 왜곡 등이 포함됩니다. 활성 위협의 원인은 공격자, 소프트웨어 바이러스 등의 직접적인 행동일 수 있습니다.
고의적인 위협은 다음과 같이 구분됩니다. 내부 관리되는 조직 내에서 발생하는 외부 .
내부 위협은 대부분 사회적 긴장과 어려운 도덕적 분위기에 의해 결정됩니다.
외부 위협은 경쟁사의 악의적 행위, 경제 상황 및 기타 이유(예: 자연재해)에 따라 결정될 수 있습니다. 해외 소식통에 따르면 널리 퍼졌다. 산업 스파이 - 소유자의 승인을 받지 않은 사람이 영업비밀을 구성하는 정보를 불법적으로 수집, 도용, 이전하는 것은 영업비밀 소유자에게 해를 끼치는 행위입니다.
주요 보안 위협은 다음과 같습니다.
기밀 정보 공개;
정보의 손상;
정보 자원의 무단 사용;
자원의 오용; 무단 정보 교환;
정보 거부;
서비스 거부.
위협 구현 수단 기밀 정보 공개데이터베이스에 대한 무단 접근, 채널 도청 등이 있을 수 있습니다. 어떤 경우에도 특정 개인(그룹)의 재산인 정보를 획득하면 정보의 가치가 감소하거나 심지어 손실될 수도 있습니다.
위협 구현은 다음 작업 및 이벤트 중 하나의 결과입니다. 공개기밀 정보, 기밀 정보 유출 및 승인되지 않은 접근보호된 정보(106)에. 공개되거나 유출되면 접근이 제한된 정보의 기밀성이 침해됩니다(그림 2).
쌀. 2 정보보안을 침해하는 행위 및 사건
기밀정보 유출 - 이는 IP 경계 또는 서비스를 통해 위임되었거나 업무 과정에서 알려졌던 사람들의 범위를 넘어 기밀 정보를 통제되지 않게 공개하는 것입니다. 이 누출은 다음으로 인해 발생할 수 있습니다.
기밀 정보 공개;
주로 기술적인 다양한 채널을 통한 정보의 흐름
다양한 방법으로 기밀 정보에 대한 무단 접근.
정보 공개 그 소유자 또는 보유자는 자신의 서비스 또는 업무를 통해 관련 정보를 규정된 방식으로 위탁받은 공무원 및 이용자의 고의적이거나 부주의한 행위로 인해 해당 정보에 접근할 수 없는 사람이 해당 정보에 익숙해지게 된 것입니다. .
사용 가능 기밀 정보의 통제되지 않은 제거 시각 광학, 음향, 전자기 및 기타 채널을 통해.
물리적 특성으로 인해 다음과 같은 정보 전송 수단이 가능합니다.
광선.
음파.
전자파.
재료 및 물질.
정보 유출 채널이란 기밀 정보 소스에서 공격자까지의 물리적 경로를 의미하며, 이를 통해 보호된 정보의 유출 또는 무단 수신이 가능합니다. 정보 유출 채널의 출현(형성, 구축)을 위해서는 일정한 공간적, 에너지적, 시간적 조건이 필요하며, 공격자 측에서 정보를 인지하고 기록할 수 있는 적절한 수단이 필요합니다.
실무와 관련하여 교육의 물리적 특성을 고려하면 정보 유출 경로는 다음 그룹으로 나눌 수 있습니다.
시각-광학;
음향(음향 변환 포함);
전자기(자기 및 전기 포함);
유형(종이, 사진, 자기매체, 산업폐기물) 다양한 방식– 고체, 액체, 기체).
시각적 광학 채널– 이는 원칙적으로 직접 또는 원격(텔레비전 포함) 관찰입니다. 정보 전달자는 기밀 정보 소스에서 방출되거나 가시광선, 적외선 및 자외선 범위에서 반사되는 빛입니다.
음향 채널.사람에게 청각은 시력 다음으로 두 번째로 많은 정보를 제공합니다. 따라서 정보 유출의 가장 일반적인 채널 중 하나는 음향 채널입니다. 음향 채널에서 정보 전달자는 초(20,000Hz 이상), 가청 및 초저주파 범위에 있는 소리입니다. 범위 오디오 주파수인간이 듣는 범위는 16~20,000Hz이고 인간의 음성에는 100~6,000Hz가 포함됩니다.
자유 공기 공간에서는 문, 창문 및 통풍구가 열린 경우 협상 중에 방에 음향 채널이 형성됩니다. 또한 이러한 채널은 건물의 공기 환기 시스템에 의해 형성됩니다. 이 경우 채널의 형성은 공기 덕트의 기하학적 치수 및 모양, 밸브 모양 요소의 음향 특성, 공기 분배기 및 유사한 요소에 따라 크게 달라집니다.
전자기 채널.정보 전달자는 파장 10,000m(주파수 30Hz 미만)의 초장파장에서 파장 1~0.1mm로 승화되는 범위의 전자기파입니다. (300~3000GHz의 주파수). 이러한 유형은 각각 전자파범위와 공간 모두에서 특정한 전파 특성을 가지고 있습니다. 예를 들어, 장파는 매우 먼 거리에 걸쳐 전파되는 반면, 밀리미터파는 반대로 몇 킬로미터 또는 수십 킬로미터 내의 가시선까지만 확장됩니다. 또한, 각종 전화 및 기타 전선과 통신 케이블은 주변에 자기장과 전기장을 생성하며, 이는 해당 위치 근처의 다른 전선 및 장비 요소와의 간섭으로 인해 정보 유출의 요소로도 작용합니다.
재료 및 재료 채널정보 유출에는 고체, 액체, 기체 또는 미립자(방사성 원소) 형태의 다양한 물질이 포함됩니다. 이는 다양한 생산 폐기물, 결함이 있는 제품, 거친 재료 등인 경우가 많습니다.
분명히 각 기밀 정보 소스에는 어느 정도 정보 유출 채널이 있을 수 있습니다. 누출의 원인은 일반적으로 정보 저장에 대한 불완전한 표준뿐만 아니라 이러한 표준 위반(불완전한 표준 포함), 관련 문서 처리 규칙 위반, 기술적 수단, 제품 샘플 및 기밀 정보가 포함된 기타 자료와 관련됩니다.
누출 요인에는 다음이 포함될 수 있습니다.
정보 보안 규칙에 대한 기업 직원의 지식 부족 및 신중한 준수 필요성에 대한 이해 부족(또는 이해 부족)
법적, 조직적, 공학적 조치에 의한 정보 보호 규칙 준수에 대한 통제력이 약합니다.
무단 액세스(UNA)
가장 일반적인 유형의 정보 위협은 사용자가 조직의 보안 정책에 따라 권한이 없는 개체에 액세스하는 것과 관련됩니다. 가장 큰 과제는 일반적으로 누가 어떤 데이터 세트에 액세스해야 하고 누가 액세스해서는 안 되는지 결정하는 것입니다. 즉, “무허가”라는 용어를 정의해야 합니다.
NSD의 영향은 본질적으로 시스템 오류를 이용한 적극적인 영향이다. NSD는 일반적으로 필요한 데이터 세트에 직접 액세스하거나 NSD를 합법화하기 위해 승인된 액세스에 대한 정보에 영향을 미칩니다. 모든 시스템 객체는 NSD의 대상이 될 수 있습니다. NSD는 표준 및 특수 설계를 모두 사용하여 수행할 수 있습니다. 소프트웨어객체에.
무단 액세스에는 매우 원시적인 방법도 있습니다.
저장 매체 및 기록 폐기물 도난;
적극적인 협력;
강도 측의 협조 유도;
프로빙;
도청;
관찰 및 기타 방법.
기밀 정보를 유출하는 모든 방법은 정보 시스템을 운영하는 조직과 사용자 모두에게 심각한 물질적, 도덕적 피해를 초래할 수 있습니다.
관리자는 기밀 정보의 불법 취득 가능성과 전제 조건을 만드는 이유와 조건의 상당 부분이 조직 리더와 직원의 기본적인 결점으로 인해 발생한다는 점을 기억해야 합니다. 예를 들어 영업비밀 유출의 전제조건이 되는 이유와 조건은 다음과 같습니다.
조직 직원의 기밀 정보 보호 규칙에 대한 지식이 부족하고 신중한 준수의 필요성에 대한 이해가 부족합니다.
기밀 정보 처리를 위해 인증되지 않은 기술적 수단을 사용하는 행위
법적 조직 및 엔지니어링 조치 등에 의한 정보 보호 규칙 준수에 대한 약한 통제
사례 1 (M. Nakamoto “일본은 누출과 싸우고 있습니다”, 2004년 3월 2일자 “월요일”)
일본 기업들은 오랫동안 산업 스파이 스캔들과 분쟁의 피고였으며, 가장 유명한 사례 중 하나는 1982년 IBM의 지적 재산을 훔친 혐의로 기소된 히타치 직원 사건입니다. 그러나 이제 전통적으로 일본이 지배해왔던 지역에서 국제 경쟁이 심화되면서 그들 자신도 점점 더 산업 스파이의 희생자가 되고 있습니다.
자체 기술 개발을 신중하게 관리하는 Sharp Corporation은 눈에 띄지 않는 외딴 산간 지역인 카메야마 마을에 액정 패널 생산을 위한 초현대식 공장을 설립했습니다. 그러나 여기에서도 전자업계의 거대 기업은 마음이 편하지 않다. 완전한 안전: 한동안 샤프 직원들은 한 달에 한 번씩 회사의 비밀 시설을 돌아다니는 의문의 자동차에 경악하기 시작했습니다. Sharp 대변인에 따르면 의심스러운 자동차는 다른 사람의 노하우에 대한 중요한 세부 사항을 알아내기를 희망하는 경쟁 회사의 대리인의 것일 수 있습니다.
경제산업성(METI) 지적재산권 보호청 고미야 요시노리 국장은 “일본의 기술 유출은 국가 경쟁력을 저하시키고 고용 감소로 이어진다”고 말했다. 우리는 일부 기술이 해외 이전 대상임을 인정합니다. 하지만 이제는 회사 리더들이 비밀을 유지하려고 하는 기술이 이전되는 경우가 많습니다.”
이 문제는 떠오르는 태양의 땅 이웃 국가들이 하이테크 시장에서 큰 성공을 거둔 지금 일본 정부에게 특히 고통스럽습니다. 가장 크고 가장 강력한 일본 기업조차도 이제 방어적인 자세를 취하고 지적 재산을 주의 깊게 보호해야 합니다.
METI에 따르면, 산업 스파이의 피해자가 된 많은 기업은 스캔들을 일으키지 않으려고 노력합니다. 왜냐하면 외부 대리인이 아닌 자사 직원이 절도 행위에 책임이 있기 때문입니다. 마쓰시타의 소토쿠 요키오(Yokio Sotoku) 부사장이 인정한 것처럼 직원이 주말에 경쟁 회사에서 일하는 등 다섯 번째 칼럼니스트의 위반 행위는 일본 기업에서 여전히 흔한 일입니다.
METP 연구에 따르면 상업 정보 유출 경로 중 하나는 다른 아시아 국가에서 일자리를 얻고 이전 고용주의 노하우를 전수하는 일본 기업의 전직 직원인 것으로 나타났습니다. METP는 근무 외 시간에 직원이 데이터를 복사하는 것을 포함하여 일본 기업의 경쟁업체에 기밀 정보가 유출되는 주요 경로를 식별했습니다. 직원이 경쟁 회사에서 시간제 근무(예: 주말) 정보 보안 정책이 충분히 개발되지 않은 외국 회사와 합작 회사를 설립하는 행위 협력업체-장비 공급업체 등의 비밀유지 계약 위반
METI는 노하우 유출과 관련된 위험을 제때 깨닫지 못한 많은 기업이 이로 인해 상당한 손실을 입지만, 그러한 경우 법원은 과실과 부주의에 대해 이야기하고 있기 때문에 동정 없이 그들을 대우한다고 지적합니다. 일본 기업이 지적재산권 침해로 인한 손해배상을 청구한 48건의 법원 소송 중 타당성이 인정된 사건은 16건에 불과했다.
예 2(B. Gossage "Chatterbox - 경쟁사를 위한 신의 선물", 2004년 2월 16일자 "월요일")
미국 IT 컨설팅 회사 Everynetwork의 창립자이자 대표인 Phil Sipowicz는 자신이 말이 많다거나 무분별한 발언을 하는 경향이 있다고 생각한 적이 없습니다. 경쟁사 중 한 명과 가능한 파트너십을 협상할 때 Sipovich는 자신의 카드를 공개하지 않으려고 노력했으며 거래를 진행하는 데 정말로 필요하다고 생각되는 내용만 말했습니다.
협상 후 낙관적인 Sipovich는 변호사와 함께 비공개 계약 초안을 작성하여 파트너에게 팩스로 보냈습니다. 답변은 불과 몇 주 후에 나왔고 예상치 못한 일이었습니다. 파트너는 합병, 동맹 또는 기타 사항에 관심이 없다고 말했습니다... 그리고 한 달 후 Sipovich의 고객 중 한 명이 전화를 걸어 연락을 받았다고 말했습니다. 다른 컨설턴트의 제안으로. 결과적으로 그 동일한 실패한 파트너! 그런 다음에야 Sipovich는 협상 중에 실수로 주요 고객 세 명을 언급했다는 사실을 기억했습니다. 그의 의심은 정당화되었습니다. 곧 다른 두 명의 고객도 대체 컨설턴트로부터 제안을 받았습니다. Sipovich는 "이것은 대규모 마케팅 캠페인이 아니었고 그들은 내가 직접 언급한 고객에게만 접근 방식을 찾고 있었습니다. 내가 직접 콩을 쏟았기 때문에 아무것도 할 수 없었습니다."라고 말했습니다.
공개 및 유출은 다음과 같은 경우에 기밀 정보에 대한 무단 접근으로 이어집니다. 최소 비용공격자의 노력. 이는 그림 3에 제시된 회사 직원의 개인적, 직업적 특성과 행동이 좋지 않은 것에 의해 촉진됩니다.
쌀. 3 정보 보안 위협 구현에 기여하는 직원의 개인적, 직업적 특성과 행동
그리고 직원이 공격자가 아니더라도 피로, 질병 등으로 인해 의도치 않게 실수를 저지를 수도 있습니다.
정보자원의 잘못된 사용, 그럼에도 불구하고 제재를 받는 경우 파기 및 공개로 이어질 수 있습니다. 또는 특정 자원의 손상. 이 위협은 대부분 AIS 소프트웨어의 오류로 인해 발생합니다.
컴퓨터정보의 파기- 이는 컴퓨터 메모리에서 삭제, 물리적 미디어에서 삭제, 구성 데이터의 무단 변경, 콘텐츠의 급격한 변경(예: 허위 정보 도입, 기록 추가, 변경, 삭제)입니다. 정보를 다른 컴퓨터 매체로 동시에 전송하는 것은 이러한 행위의 결과로 합법적인 사용자의 정보 접근이 크게 방해되거나 배제되지 않은 경우에만 형법의 맥락에서 컴퓨터 정보의 파기로 간주되지 않습니다.
사용자는 소프트웨어를 사용하여 파괴된 정보를 복원하거나 이 정보다른 사용자로부터 범인의 책임이 면제되지는 않습니다.
정보를 파기한다고 해서 해당 정보가 포함된 파일의 이름을 바꾸거나 자동으로 "제거"하는 것은 아닙니다. 이전 버전의 파일이 최신 버전입니다.
컴퓨터 정보 차단– 이는 사용자가 컴퓨터 정보에 접근하는 데 있어 인위적인 어려움이며, 파기와 관련이 없습니다. 즉, 이는 정보를 사용한 조치의 수행이며, 그 결과 정보 자체의 완전한 안전을 유지하면서 의도한 목적으로 정보를 얻거나 사용할 수 없게 됩니다.
정보의 손상, 일반적으로 데이터베이스를 무단으로 변경하여 구현되며, 그 결과 소비자는 데이터베이스를 포기하거나 변경 사항을 식별하고 실제 정보를 복원하기 위해 추가 노력을 기울여야 합니다. 손상된 정보가 사용되면 소비자는 그에 따른 모든 결과와 함께 잘못된 결정을 내릴 위험에 노출됩니다.
정보 거부, 특히 거래(은행 운영)의 비인식은 정보 수신자 또는 발신자가 정보 수신 또는 전송 사실을 인식하지 못하는 것으로 구성됩니다. 특히 마케팅 활동의 맥락에서 이는 당사자 중 일방이 체결된 금융 계약을 "기술적으로" 종료할 수 있도록 허용합니다. 방식으로 이를 공식적으로 포기하여 상대방에게 심각한 손해를 끼치지 않는 방식으로 진행됩니다.
컴퓨터 정보의 수정- 이것은 컴퓨터 프로그램이나 데이터베이스의 적응과 관련된 변경 사항을 제외하고 변경 사항을 도입하는 것입니다. 컴퓨터 프로그램 또는 데이터베이스의 개작이란 "사용자의 특정 기술적 수단 또는 특정 사용자 프로그램의 제어 하에 컴퓨터 프로그램 또는 데이터베이스의 기능을 보장할 목적으로만 수행되는 변경의 도입"입니다(조항 1부). 1992년 9월 23일자 러시아 연방 법률 1항 "전자 컴퓨터 및 데이터베이스용 프로그램의 법적 보호에 관한";). 즉, 이는 소유자 또는 법적 사용자가 처음에(행위가 발생하기 전) 처분할 수 있었던 정보와 비교하여 해당 내용의 변경을 의미합니다.
컴퓨터 정보 복사– 데이터베이스의 두 번째 및 후속 사본, 모든 자료 형태의 파일 및 컴퓨터 매체, 컴퓨터 메모리에 대한 기록의 생성 및 영구 기록.
서비스 거부매우 심각하고 광범위한 위협을 나타내며 그 출처는 AIS 자체입니다. 이러한 거부는 가입자에게 리소스 제공이 지연되어 심각한 결과를 초래할 수 있는 상황에서 특히 위험합니다. 따라서 사용자가 결정을 효과적으로 실행할 수 있는 기간 동안 결정을 내리는 데 필요한 데이터가 부족하면 사용자가 비합리적인 행동을 하게 될 수 있습니다.
정보에 대한 무단 액세스의 주요 일반적인 방법은 다음과 같습니다.
문서... 정보 제공보안. 8.2.9. 일반 담보 요건 정보 제공보안은행업 정보 기술 프로세스 8.2.9.1. 체계공급 정보 제공보안은행업 정보 제공 ... -간결한 ...
정보 보안
지도 시간조항에 따라 정보 제공보안 RF; 불충분하다 간결한국가의 힘; 효율성 감소 시스템교육과 양육...
기업가 활동 교육 및 방법론 복합체의 정보 보안
훈련 및 방법론 복합체수학, 컴퓨터 과학, 간결한이론, 통계, ... 정보 제공보안. B. 암호학적 보증 방법 정보 제공보안. 나. 담보요건 정보 제공보안기업 정보 제공시스템 ...
전자 방사선 차단;
정보 시스템 보안에 대한 주요 위협 유형은 다음과 같습니다.
위반자 및 공격자(공격자, 범죄자, 스파이, 파괴 행위자 등)의 고의적인 행동.
보안 위협은 다양한 기준에 따라 분류될 수 있습니다.
1. 조치 결과에 따라:
1) 누출 위협;
2) 수정 위협;
3) 손실 위협.
2. 기준:
· 의도하지 않은 일;
· 고의의.
다음과 같은 결과로 무작위(의도하지 않은) 위협이 발생할 수 있습니다.:
자연재해 및 사고(홍수, 허리케인, 지진, 화재 등)
AITU 장비(기술적 수단)의 고장 및 고장;
AIS 구성 요소(하드웨어, 정보 처리 기술, 프로그램, 데이터 구조 등)의 설계 및 개발 오류로 인한 결과
작동 오류(사용자, 운영자 및 기타 직원에 의한)
주요 이유 의도치 않은 인간이 만든 위협 AIS:
· 부주의;
· 규정을 위반하고 시스템에 설정된 제한 사항을 무시합니다.
· 무능력;
· 과실.
위협의 예:
1) 의도하지 않은 행동,시스템의 부분적 또는 전체적 오류 또는 시스템의 하드웨어, 소프트웨어, 정보 자원의 파괴(의도하지 않은 장비 손상, 삭제, 파일 왜곡)로 이어지는 경우 중요한 정보또는 시스템 프로그램 등을 포함한 프로그램)
2) 장비의 불법적인 스위치 켜기 또는 장치 및 프로그램의 작동 모드 변경;
3) 의도하지 않은 미디어 손상정보;
4) 불법 반입 및 설명되지 않은 프로그램(게임, 교육, 기술 등) 사용., 범죄자가 공무를 수행하는 데 필요하지 않음) 이후의 불합리한 리소스 소비(프로세서 로드, 외부 미디어의 RAM 및 메모리 캡처)
6) 컴퓨터 감염 바이러스;
7) 부주의한 행동으로 인해 기밀 정보 공개또는 공개적으로 사용할 수 있도록 하는 것입니다.
8) 공개, 양도 또는 액세스 제어 속성의 손실(p비밀번호, 암호화 키, 신분증, 패스 등)
9) 조직의 제약을 무시(정립된 규칙) 시스템 내 순위;
10) 보안 조치를 우회하여 시스템에 로그인(이동식 자기 매체 등에서 외국 운영 체제 로딩)
11) 무능한 사용, 설정 또는 무단 종료 보호용 장비보안 요원;
12) 가입자(장치)의 잘못된 주소로 데이터를 보내는 경우
13) 잘못된 데이터 입력;
14) 통신 채널에 대한 의도하지 않은 손상.
고의적인 위협 - 이는 인간 활동으로 인해 발생하고 인간(공격자)의 이기적인 열망과 관련된 AIS 위협입니다.
위협의 출처 정보 시스템외부일 수도 있고 내부일 수도 있습니다.
안타깝게도 두 위협을 모두 실행하면 정보 손실, 기밀성 위반, 정보 수정 등 동일한 결과가 발생합니다.
기초적인 의도적인 의도적 위협 일반적으로 다음을 목표로 합니다.
· 시스템 운영의 고의적인 무질서 및 실패,
· 시스템 침투 및 정보에 대한 무단 접근 및 개인적인 이익을 위해 사용하는 목적.
고의적인 위협은 다음과 같이 나눌 수 있습니다.
1. 능동 및 수동 .
수동적 위협 - 주로 정보의 손상이나 파괴를 수반하지 않는 정보 자원의 무단 사용을 목표로 합니다.
이를 위해 다양한 구현 방법이 사용됩니다. :
ㅏ) 청취 장치 사용, 원격 사진 및 비디오 촬영, 미디어 도난 등;
b) 저장 매체(자기 디스크, 테이프, 메모리 칩, 저장 장치 및 개인용 컴퓨터)의 도난
c) 교환 프로토콜, 통신 시작 규칙, 사용자 인증 및 이를 모방하여 시스템에 침투하려는 후속 시도를 결정하기 위해 통신 채널을 통해 전송된 데이터를 가로채고 그 분석을 수행합니다.
G) RAM 및 외부 저장 장치(프린터 메모리 버퍼)에서 남은 정보를 읽습니다.
d) 다음에서 정보를 읽는다. RAM 영역, 운영 체제(보안 하위 시스템 포함)에서 사용됩니다.
이자형) 불법적으로 비밀번호를 취득하는 행위및 기타 액세스 제어 세부 사항(정보, 사용자 부주의 사용, 시스템 인터페이스 선택, 모방 등을 통해 등록된 사용자로 위장("가장"))
활성 위협 - 위반 정상적인 기능구성요소에 대한 표적화된 영향을 통해 시스템.
구현 방법:
A) PC 또는 운영 체제의 오류;
B) 의사소통 채널의 중단;
C) 보안 시스템을 해킹하는 행위
라) 소프트웨어 바이러스 등의 사용
2. 내부 및 외부 위협 .
내부 위반자다음 범주의 직원이 될 수 있습니다.
§ 시스템의 지원 및 유지 관리 인력(운영자, 전기 기술자, 기술자)
§ 소프트웨어 개발 및 유지 관리 부서 직원(응용 프로그램 및 시스템 프로그래머)
§ AITU 보안 담당자;
§ 공식 계층의 다양한 수준에 있는 관리자.
BIS에서 실시한 연구에 따르면 위반의 80% 이상이 은행 직원에 의해 저질러집니다.
외부인일 수도 있는 사람 외부 위반자 .
§ 고객(조직 대표, 시민)
§ 방문자(어떤 이유로든 초대됨)
§ 조직의 수명 보장 문제(에너지, 물, 열 공급 등)에 대해 상호 작용하는 조직 대표
경쟁 조직(외국 정보 기관)의 대표 또는 이들의 지시에 따라 행동하는 사람
2. 보호방법 및 수단
보호 시스템 - 이는 법적 (입법적) (행정적 성격, 조직적 조치, 물리적 및 기술적 (하드웨어 및 소프트웨어) 보호 수단, 정보, 정보 기술의 보안을 보장하기 위해 고안된 특수 인력의 특별 조치 세트 (복합)입니다. 그리고 자동화된 시스템 전체.
국제 및 러시아 관행에서는 컴퓨터 시스템의 보안 수준을 평가하는 데 표준이 사용됩니다. 미국에서는 이러한 표준이 포함된 문서를 Orange Book이라고 합니다. (1985). 이는 다음과 같은 수준의 시스템 보안을 제공합니다.
· 최고 등급 - A;
· 중급 –B;
· 낮은 수준 – C;
· 테스트를 통과하지 못한 시스템 클래스 – D.
러시아에서는 러시아 연방 대통령 산하 국가 기술 위원회가 전자 장비에 대한 무단 접근으로부터 7가지 보안 등급을 설정하는 지침 문서를 개발했습니다. 이 경우 보호 조치는 다음 하위 시스템에 적용됩니다.
· 액세스 제어;
· 등록 및 회계;
· 암호화;
· 무결성 보장;
· 입법적 조치;
· 물리적 조치.
정보 보안을 보장하는 방법과 수단은 그림 2에 나와 있습니다. 보안 메커니즘의 기초를 형성하는 제시된 정보 보안 방법의 주요 내용을 고려해 보겠습니다.
