Про модели угроз ИБ и сайт www.threat-model.com

 

Недавно запустил сайт www.threat-model.com, посвященный разработке моделей угроз. Написать об этом все не хватало времени. Но сервис заметили коллеги и начали присылать вопросы. А затем и Алексей Лукацкий упомянул его в своей статье об обязательном (!) согласовании моделей угроз ГИС (согласно ПП-555). В общем, тема разработки моделей угроз становится актуальной, поэтому расскажу пару слов о данном сайте.

Для чего это нужно и как это работает

Сервис позволяет достаточно просто и быстро создать модель угроз, удовлетворяющую проекту методики ФСТЭК. Чтобы создать модель нужно перейти на сайт и заполнить небольшую анкету. Регистрация, СМС и тому подобное не требуется. Если формулировки каких-то вопросов не понятны, можно воспользоваться всплывающей подсказкой. После заполнения анкеты, модель угроз можно  будет скачать в виде excel-таблички. 

Используемые методики

Сервис использует Банк угроз безопасности информации ФСТЭК России. В качестве методики расчета используется документ "Методика определения угроз безопасности в информационных системах". Данный документ ориентирован на государственные информационные системы (ГИС), но может использоваться и для других систем. 

В настоящее время методика находится в стадии проекта, рассматривать ее как итоговый вариант не стоит. Когда документ будет опубликован, методика расчета угроз на сайте также изменится. 

Кстати, помимо модели угроз сервис формирует и небольшую модель нарушителя (на втором листе excel-файла), с описанием базовых возможностей и соответствующим классом СКЗИ. Модель нарушителя формируется с учетом Методических рекомендаций ФСБ.

Порядок определения актуальных угроз

1) Вначале из общего перечня угроз исключаются угрозы, характерные для технологий, которые не используются в системе. Например, если пользователь отметил, что средства визуализации не используются, то соответствующие угрозы помечаются как "не рассматриваемые". Затем, по каждой угрозе проверяется соответствующий ей тип и потенциал нарушителя (информация о нем есть в Банке данных угроз). Если среди нарушителей, отмеченных пользователем, нет нарушителей с необходимым потенциалом, то такие угрозы также помечаются как не рассматриваемые.

2) Далее, для оставшихся угроз вычисляется возможность реализации, зависящая от уровня проектной защищенности и потенциала нарушителя. 

Обратите внимание, что в методике ФСТЭК допускается и альтернативный подход, основанный на определении вероятности реализации угроз. Но формализовать "вероятность" согласно текущему варианту методики довольно сложно, поэтому на сайте она не учитывается.

3) На последнем этапе определяется актуальность угроз. Актуальность угрозы зависит от возможности ее реализации, а также от степени потенциального ущерба.

Почему нет рекомендаций по нейтрализации угроз?

Получил сразу несколько таких вопросов. Предоставить рекомендации по нейтрализации угроз - хорошая идея. Но проблема в том, что большинство угроз можно "закрыть" сразу несколькими способами. Способы нейтрализации угроз - вопрос технического проекта и раздавать такие рекомендации в онлайн-сервисе - большая ответственность. Кроме того, можно ненароком начать holy war с апологетами различных решений и вендоров, что автору совершенно не нужно. Хотя, возможно, когда-нибудь, рекомендации в том или ином виде я добавлю. 

Может ли сайт заменить аудит ИБ?

Конечно, нет.  Чтобы составить полноценную модель угроз нужно проводить обследование системы с привлечением специалистов по ИБ. Но сайт может использоваться как инструмент для ознакомления с методикой моделирования угроз, а также в качестве шаблона для дальнейшей разработки.

Будет ли сервис платным?

Нет, извлекать финансовую выгоду из сервиса не планируется. Да это было бы и неправильно с учетом пункта выше. 

Планы развития

Во-первых, как уже говорилось, после утверждения методики ФСТЭК, методику на сайте также придется пересмотреть. Во-вторых, в том или ином виде, возможно появится описание способов нейтрализации угроз. Если смотреть шире, то было бы интересно добавить функции моделирования угроз по другим методикам (по методике NIST, например). Но, с учетом того, что проект некоммерческий, все это очень зависит от свободного времени автора.  

На этом, пожалуй, все. Выражаю благодарность коллегам, в частности Алексею Лукацкому и Сергею Сторчаку, за отзывы. Спасибо всем, кто прислал мне рекомендации и замечания по работе сайта. 

Любые замечания и предложения приветствуются. Вся контактная информация есть на самом сайте.

 

Слово "четыре" заменить словом "три": проект изменений в 17 Приказе

Опубликован проект изменений, которые планируется внести в 17 Приказ ФСТЭК. 

Коротко пройдусь по основным пунктам.

1) Как и ожидалось, от 4 класса защищенности собираются отказаться. Останутся 3 класса. Состав защитных мер при этом не меняется.

 

2) Теперь официально при разработке модели угроз должен использоваться банк данных угроз ФСТЭК (bdu.fstec.ru). Прощай, полюбившийся многим копи-паст из Базовой модели угроз 2008 года. Правда необходимой методики для использования банка угроз нет. Придется его адаптировать под старую методику.

3) Для 1 и 2 классов защищенности ГИС теперь должны будут проводиться пентесты!

 

4) В явном виде прописана возможность размещения систем в аттестованных ЦОДах.

 

5) Теперь интеграторам в проектах по аттестации потребуется как минимум два человека ;) 

Вот такие изменения ждут нас в ближайшее время. Самое интересное, на мой взгляд - появление пентестов. С одной стороны, сдвиг требований регулятора в сторону практической безопасности можно только приветствовать. С другой стороны, аттестация и пентест, мягко говоря, немного отличаются. Аттестация сейчас (к сожалению) частенько представляет собой формальное копирование шаблонных документов, с единственной целью - получение заветного аттестата. Пентест - совсем другой уровень, требующий совсем иных трудозатрат и компетенций. Хватит ли компаниям, специализирующимся на аттестации, ресурсов для проведения пентестов? И не превратится ли пентест, вслед за аттестацией, в формальность? Поживем-увидим. В любом случае рынок аттестации немного встряхнется.

Провожая 2016 ИБ-год

2016 год подходит к концу. Теперь уже можно подвести некоторые итоги и вспомнить наиболее резонансные события, происходившие в сфере ИБ и вокруг нее.

Регулируй меня полностью 

Тенденция, связанная с расширением роли государства в области регулирования Интернета набрала в 2016 году немалые обороты. 

Летом был принят известный всем «пакет Яровой», включающий в себя два «антитеррористических» закона. Эти законы обязывают операторов связи и Интернет-сервисы хранить сообщения пользователей в течение 6 месяцев, а также раскрывать их по требованию уполномоченных органов. Закон предусматривает также передачу уполномоченным органам ключей шифрования, необходимых для расшифровки сообщений.

Буквально на днях «пакет Яровой» был дополнен новыми проектами документов. Согласно ним, во-первых, предусматривается обеспечение «круглосуточного доступа» (в том числе удаленного) уполномоченных органов к содержанию сообщений». 

Во-вторых, определены объемы хранилища данных: 1 Пбайт на каждый Гбит/с пропускной способности  узла связи - с 1 июля 2018 года и 2 Пбайт - с 2019 года. 

В-третьих, проблемы индейцев шерифа не волнуют: оператор связи должен хранить сообщения на своем собственном оборудовании (или оборудовании другого оператора связи по договору аренды). 

Зато производители СХД останутся довольны.

 

Но уже принятым «пакетом Яровой» дело далеко не ограничивается. Так, недавно появился еще один законопроект «О внесении изменений в Федеральный закон «О связи». В своей текущей редакции, данный законопроект предусматривает создание централизованной системы для хранения информации о «критических элементах» рунета, контроль над точками обмена трафиком, и обязательную регистрацию юридическими лицами и ИП своих публичных IP-адресов (!).

Блокировки ресурсов

В сентябре Роскомнадзор заблокировал Pornhub (думаю, причины блокировки всем примерно понятны). Pornhub не растерялся и предложил сотрудникам РКН премиум-аккаунты, в обмен на отмену блокировки.

Получив вежливый отказ, сайт объявил акцию по раздаче премиум-аккаунтов жителям РФ.

В ноябре пользователи лишились соцсети LinkedIn. Профессиональную соцсеть обвинили в «нарушении прав и законных интересов граждан РФ», посредством сбора, использования и передачи персональных данных без соответствующего согласия, да еще и за пределами территории РФ. В результате LinkedIn была внесена в реестр нарушителей прав субъектов ПДн и заблокирована. Таким образом, Linkedin стала первой крупной «жертвой» закона о хранении ПДн на территории России.

 

Пока общественность прощалась с LinkedIn и качала Tor, появилась еще одна интересная новость: в список запрещенных сайтов попал анонимайзер HideMe.ru. Правда уже немного по другой причине: на основании того, что «http://hideme.ru», "позволяет пользователям получать доступ ко всем запрещенным сайтам путем анонимного доступа и подмены адресов", суд признал его "содержащим информацию, распространение которой в Российской Федерации запрещено". То есть одновременно с блокировкой сайтов, началась и блокировка средств обхода блокировки (что, впрочем, логично).

В данный момент HideMe.ru доступен, но веб-форма анонимайзера «удалена с российской версии сайта по требованию Роскомнадзора».

Кстати, помимо бесплатного анонимного веб-прокси, HideMe.ru предоставляет также услуги VPN. Такими темпами, следующим шагом в части регулирования Интернета вполне может оказаться запрет VPN (или требование по переносу VPN-серверов на территорию РФ). Блокировка VPN и Tor уже применяется в других странах. Вот, например, в Белоруссии уже начали блокировать Tor.

Под конец года произошла анекдотичная попытка блокировки локалхоста. Хотя летняя история, связанная с блокировкой центра сертификации Comodo, была все-таки изящнее

Новости нормативки по ИБ

Весной ФСТЭК утвердила новые требования к межсетевым экранам.  Вместо 5 классов МЭ, их стало  6. Кроме того, МЭ теперь разделяются на типы: А, Б, В, Г, Д (периметровый, персональный, промышленный, WAF).

По состоянию на конец года, в реестре ФСТЭК МЭ, сертифицированные по новым требованиям, отсутствуют. А большинство вендоров, на вопрос о сроках получения сертификатов, пожимают плечами.

Летом было принято ПП РФ N541, которое внесло изменения в положение о лицензировании деятельности по ТЗКИ. Добавился новый вид лицензируемой деятельности: «услуги по мониторингу информационной безопасности средств и систем информатизации». А «сертификационные испытания на соответствие требованиям по безопасности информации», наоборот, покинули список. Однозначной трактовки данных нововведений в ИБ-сообществе пока нет.

Были еще интересные документы от Банка России – по сбору и анализу технических данных при реагированиина инциденты и рекомендации по предотвращению утечек информации.

Под конец года появилась обновленная Доктрина информационной безопасности Российской Федерации. Документ, как и следует из названия, очень общий. Так что о его влиянии на отрасль ИБ судить не возьмусь.

К сожалению, в 2016 году я так и не дождался интересных лично для меня документов. Методика определения актуальных угроз безопасности от ФСТЭК так и не была утверждена. Разработчикам моделей угроз остается или использовать методику 8-летней давности (каким-то образом совмещая ее с БД угроз) или же пытаться использовать проект новой методики. Обновлённый Приказ №17 также не появился. Но хотя бы появилась ясность, на кого он будет распространяться.

Кибервойны

Большая политика не обошла стороной сферу ИБ. Накал страстей достиг апогея во время американских выборов. Началось все с обвинений России в атаках на серверы демократической партии и попытках вмешательства в ход голосования. За этим последовали угрозы ответных действий со стороны США, а также информация о проникновении  американских хакеров в российские энергосистемы и даже в «систему управления Кремля».

 

Под конец года ФСБ выступило с предупреждением об атаках на российские финансовые системы. Атаки должны были включать рассылку «провокационных SMS-сообщений» и соответствующие «вбросы» в социальных сетях.

Однако, сведений о попытках претворить угрозы в жизнь не появилось. Правда, у нас, в Татарстане, на волне кое-каких событий, кое-кто начал действительно рассылать SMS, с целью посеять панику среди вкладчиков. Но масштабы этой атаки оказались весьма ограниченными.

Бунт роутеров и криптовымогатели

Еще одной интересной новинкой прошедшего года стали DDOS-атаки, в которых, по утверждению экспертов, принимали участие устройства из «Интернета вещей» (IoT). От подобных атак успели пострадать как зарубежные компании, так и несколько российских банков.Несмотря на громкие заголовки, в большинстве своем в атаке участвовали не взбунтовавшиеся холодильники и тостеры, а Wi-Fi роутеры и IP-камеры.

Наибольшую известность завоевал вредонос «Mirai», который обнаруживал и заражал IoT-устройства со стандартными логином и паролем. Ботнет на основе «Mirai» уже успел продемонстрировать DDOS-атаки с впечатляющей мощностью в 1Тб/с, жертвами которых стали крупные Интернет-ресурсы. В октябре на специализированном форуме был опубликован исходный код «Mirai». Правда потом, учитывая ущерб и широкую огласку, администрация форума сочла за благо прикрыть соответствующий раздел форума. 
Эффективность IoT-ботнетов, а также публикация исходных кодов в открытом доступе, по-видимому, вызовет продолжение таких атак и в следующем году.

Помимо IoT, ИБ-напастью стали вирусы-вымогатели. Согласно отчету Лаборатории Касперского, за прошедший год число модификаций вирусов-вымогателей выросло в 11 раз. Объем вымогаемых злоумышленниками средств в среднем составлял от 200 до 500 долларов. Но были зафиксированы и случаи попыток вымогательства сумм более $10000. Хакеры активно эксплуатируют пристрастие пользователям к соцсетям и методы социальной инженерии. В качестве путей заражения отмечалось использование изображений SVG и фейковых плагинов для браузеров. Примечательно, что вирусами-вымогателями заражаются не только стационарные компьютеры, но и смартфоны.

Заключение

На этом наш небольшой обзор можно и завершить. Но он был бы неполным без прогноза. Если коротко, то от следующего года я жду усиления контроля над Интернетом, выхода новых и обновления старых версий старых НПА, новых громких DDOS-атак, а также дальнейший перевод вопросов ИБ в сферу политики. Но, поживем-увидим, а сейчас пора отдыхать. 

Всем добра, здоровья и хорошего настроения в наступающем 2017 году!