ГОСТ Р ИСО/МЭК 27033-3—2014
6 Обзор
Руководства, представленные в настоящем стандарте для каждого из определенных типовых
сетевых сценариев, основаны на нижеперечисленных подходах:
- проверка вводной информации и рамок сценария;
- описание угроз, соответствующих сценарию;
- проведение анализа риска относительно обнаруженных уязвимостей:
- анализ влияния на бизнес рассматриваемых уязвимостей:
- определение рекомендаций по реализации обеспечения безопасности сети.
В целях решения вопросов безопасности любой сети, желательным является систематическое и
всеобъемлющее оценивание. Сложность подобного анализа зависит от характера и размера сети в
области действия. Тем не менее, последовательная методика очень важна для менеджмента без
опасности. особенно в связи с развивающимся характером технологий.
Первым рассмотрением при оценке безопасности является определение активов, нуждающихся
в защите. Они могут быть в значительной степени категоризированы на активы инфраструктуры,
услуг или приложений. Предприятие может выбрать и определить свои собственные категории, но
такое различие важно, поскольку подверженность угрозам и атакам является уникальной для
каждой категории или типа активов. Например, если маршрутизатор относится к категории активов
инфра структуры. а передача голоса по IP рассматривается как услуга конечного пользователя, то
атака «от каз в обслуживании» (DoS) в каждом случае потребует различного рассмотрения. В
частности, марш рутизатор нуждается в защите от лавинного распространения фиктивных пакетов на
физический порт маршрутизатора, которые могут помешать или воспрепятствовать прохождению
легитимного трафи ка. Аналогично, услуга передачи голоса no IP (VoIP) нуждается в защите
информации учетной записи абонентаУуслуги от удаления или повреждения, исходя из условия, что
доступ к услуге для законного пользователя не был предотвращен.
Безопасность сети также предполагает защиту различных деятельностей, поддерживаемых о
сети, таких как, управленческая деятельность, а также сигналы улравления/оповещения, и данные
(резидентные и передаваемые) конечных пользователей. Например, управление GUI1’ может быть
предметом раскрытия в результате несанкционированного доступа (простой для отгадывания пароль
и идентификатор администратора). Управление трафиком само является предметом искажения в ре
зультате ложных команд ОА&М2’ с ложными IP адресами операционных систем, или раскрытия путем
пассивного прослушивания сети или прерывания в результате атаки лавинного распространения па
кетов.
Такой подход к определению активов и деятельностей делает возможным модульное и систе
матическое рассмотрение угроз. Каждый типовой сетевой сценарий исследуется в отношении извест
ного набора угроз для выяснения того, какие угрозы являются применимыми. В приложении В приве
ден перечень известных отраслевых угроз. Хотя этот перечень не следует рассматривать как исчер
пывающий. он служит отправной точкой для любого анализа. Как только выводится профиль угрозы
сети, анализируются уязвимости, чтобы определить, каким образом угрозы могут быть реализованы в
контексте конкретного рассматриваемого актива. Такой анализ поможет определить, какие ограниче
ния отсутствуют, и какие контрмеры требуется применить для достижения целей защиты. Контрмеры
снизят вероятность того, что угроза будет успешной и (или) ослабят ее воздействие. При анализе
риска исследуется риск, соответствующий обнаруженным уязвимостям. Анализ влияния на бизнес
заключается в принятии решения о том. какие меры принимать по каждой уязвимости; меры по ис
правлению. принятию риска или переносу риска.
Проектирование контрмер и реализация мер и средств контроля и управления, защищающих
слабые места активов от угроз, является частью любой методики оценки безопасности. В соответ
ствии с требованиями стандартов серии ИСОУМЭК 27000 отбор и реализация соответствующих мер и
средств контроля и управления имеет решающее значение для защиты активов/имформации. Стан
дарт требует сохранения конфиденциальности, целостности и доступности информации, и дополни
тельно он затрагивает и другие свойства, такие как подлинность, неотхазуемость и достоверность.
GUI (Graphical User Interface) - Графический интерфейс пользователя.
2>ОА&М (operations, administration and management) - Пакет прикладных программ по эксплуатации, адми
нистрированию и управлению сети.
4