МЕТОДИКА OCTAVE

OCTAVE (англ. «Operationally Critical Threat, Asset, and Vulnerability Evaluation») - методика поведінки оцінки ризиків в організації, що розробляється інститутом Software Engineering Institute (SEI) при університеті Карнегі Меллон (Carnegie Mellon University). Повний опис методики є в Інтернет на сайті www.cert.org/octave. Їй також присвячено багато наукових і науково-технічних статей [26, 27].

Особливість даної методики полягає в тому, що весь процес аналізу проводиться силами співробітників організації, без залучення зовнішніх консультантів. Для цього створюється змішана група, що включає як технічних фахівців, так і керівників різного рівня, що дозволяє всебічно оцінити наслідки для бізнесу можливих інцидентів в області безпеки і розробити контрзаходи.

OCTAVE передбачає три фази аналізу:

  • 1. Розробка профілю загроз, пов'язаних з активом.
  • 2. Ідентифікація інфраструктурних вразливостей.
  • 3. Розробка стратегії і планів безпеки.

Профіль загрози включає в себе вказівки на актив (англ, «asset»), тип доступу до активу (англ, «access»), джерело загрози (англ, «actor»), тип порушення або мотив (англ, «motive»), результат (англ, «outcome») і посилання на опису загрози в загальнодоступних каталогах. За типом джерела загрози в OCTAVE діляться на:

  • - загрози, які виходять від людини-порушника, який діє через мережу передачі даних;
  • - yipo3bi, які виходять від людини-порушника, який використовує фізичний доступ;
  • - загрози, пов'язані зі збоями в роботі системи;
  • - інші.

Результатом може бути розкриття (англ, «disclosure»), зміна (англ, «modification»), втрата або руйнування (англ, «loss / destruction») інформаційного ресурсу або розрив підключення, відмова в обслуговуванні (англ, «interruption»).

Методика OCTAVE пропонує при описі профілю використовувати «дерева варіантів», приклад подібного дерева для погроз класу 1 (загрози, які виходять від людини-порушника, який діє через мережу передачі даних) наведено на рис. 4.10. При створенні профілю загроз рекомендується уникати великої кількості технічних деталей - це завдання другого етапу дослідження. Головне завдання першої стадії - стандартизованим чином описати поєднання загрози і ресурсу.

Дерево варіантів, що використовується при описі профілю

Мал. 4.10. Дерево варіантів, що використовується при описі профілю

Припустимо, що на підприємстві є інформаційний ресурс (актив) - база даних (БД) відділу кадрів (англ. «HR Database»). Профіль, відповідний загрозу крадіжки інформації співробітником, підприємства представлений в табл. 4.10.

Приклад профілю загрози

Таблиця 4.10

Ресурс (Asset)

БД відділу кадрів (HR Database)

Тип доступу (Access)

Через мережу передачі даних (Network)

Джерело загрози (Actor)

Внутрішній (Inside)

Тип порушення (Motive)

Навмисне (Deliberate)

Уразливість (Vulnerability)

-

Результат (Outcome)

Розкриття даних (Disclosure)

Посилання на каталог вразливостей (Catalog reference)

-

Друга фаза дослідження системи відповідно до методики - ідентифікація інфраструктурних вразливостей. В ході цієї фази визначається інфраструктура, що підтримує існування виділеного раніше акгіва (наприклад, якщо це БД відділу кадрів, то нам для роботи з нею потрібен сервер, на якому база розміщена, робоча станція службовця відділу кадрів і т. Д.), І то оточення , яке може дозволити отримати до неї доступ (наприклад, відповідний сегмент локальної мережі). Розглядаються компоненти наступних класів: сервери; мережеве обладнання; СЗІ; персональні комп'ютери; домашні персональні комп'ютери «надомних» користувачів, що працюють віддалено, але мають доступ в мережу організації; мобільні комп'ютери; системи зберігання; бездротові пристрої; інше.

Група, яка проводить аналіз для кожного сегмента мережі, зазначає, які компоненти в ньому перевіряються на наявність вразливостей. Уразливості перевіряються сканерами безпеки рівня операційної системи, мережевими сканерами безпеки, спеціалізованими сканерами (для конкретних web-серверів, СУБД та ін.), З помощио списків вразливостей (англ, «checklists»), тестових скриптів. Для кожного компонента визначається:

  • - список вразливостей «високого ступеня важливості» (англ, «high- severity vulnerabilities»), які треба усунути негайно;
  • - список вразливостей «середнього ступеня важливості» (англ, «middle- severity vulnerabilities»), які треба усунути найближчим часом;
  • - список вразливостей «низького ступеня важливості» (low-severity vulnerabilities), щодо яких не потрібно негайних дій.

За результатами стадії готується звіт, в якому вказується, які уразливості виявлені, який вплив вони можуть надати на виділені раніше активи, які заходи треба вжити для усунення вразливостей.

Розробка стратегії і планів безпеки - третя стадія дослідження системи. Вона починається з оцінки ризиків, яка проводиться на базі звітів по двом попереднім етапам. У OCTAVE при оцінці ризику дається тільки оцінка очікуваного збитку, без оцінки ймовірності. Шкала: «високий», «середній», «низький». Оцінюється фінансовий збиток, збиток репутації компанії, життю та здоров'ю клієнтів і співробітників, збиток, який може викликати судове переслідування в результаті того чи іншого інциденту. Описуються значення, відповідні кожної градації шкали (наприклад, для малого підприємства фінансових збитків в $ 10000 - високий, для більшого - середній).

Далі розробляють плани зниження ризиків декількох типів:

  • - довготривалі;
  • - на середню перспективу;
  • - списки завдань на найближчий час.

Для визначення заходів протидії загрозам в методиці пропонуються каталоги засобів.

Хотілося б ще раз підкреслити, що на відміну від інших методик OCTAVE не передбачає залучення для дослідження безпеки ІС сторонніх експертів, а вся документація по OCTAVE загальнодоступна і безкоштовна, що робить методику особливо привабливою для підприємств з жорстко обмеженим бюджетом, виділеним на цілі забезпечення ІБ.

 
Переглянути оригінал
< Попер   ЗМІСТ   ОРИГІНАЛ   Наст >