В.Б. Щербаков

А.В. Гармонов

О.А. Остапенко

ОЦЕНКА И УПРАВЛЕНИЕ РИСКАМИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

БЕСПРОВОДНЫХ

ТЕЛЕКОММУНИКАЦИОННЫХ

СИСТЕМ

Учебное пособие

Воронеж 2007

ГОУВПО

«Воронежский государственный технический

университет»

В.Б. Щербаков

А.В. Гармонов

О.А. Остапенко

ОЦЕНКА И УПРАВЛЕНИЕ РИСКАМИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ БЕСПРОВОДНЫХ

ТЕЛЕКОММУНИКАЦИОННЫХ СИСТЕМ

Утверждено Редакционно-издательским советом

Университета в качестве учебного пособия

Воронеж 2007

УДК 002.001; 002:001.8

Щербаков В.Б. Оценка и управление рисками информационной безопасности беспроводных телекоммуникационных систем: учеб. пособие / В.Б. Щербаков, А.В. Гармонов, О.А. Остапенко. - Воронеж: ГОУВПО «Воронежский государственный технический университет», 2007. - 117 с.

Работа посвящена исследованию и разработке методики оценки и управления рисками для беспроводных телекоммуникационных систем. Основу рассматриваемой методики составляет аппарат теории вероятностей, теории риска, а также теории нечетких множеств. Рассмотрены общепринятые концепции управления, а также меры и средства снижения рисков: различные методы аутентификации и шифрования. В работе также уделено особое внимание описанию принципов функционирования виртуальных частных сетей как механизма защиты от вредоносных воздействий в беспроводных системах связи.

Издание соответствует требованиям Государственного образовательного стандарта высшего профессионального образования по направлению 090100 «Информационная безопасность», специальностям 090102 «Компьютерная безопасность», 090105 «Комплексное обеспечение информационной безопасности автоматизированных систем» и 090106 «Информационная безопасность телекоммуникационных систем», дисциплинам «Защита программного обеспечения от несанкционированного использования», «Проектирование систем защиты информации в мобильных телекоммуникационных системах общего пользования» и «Основы технической эксплуатации защищенных телекоммуникационных систем».

Издание предназначено студентам и аспирантам.

Учебное пособие подготовлено в электронном виде в текстовом редакторе MS WORD и содержится в файле кафедра СИБ1.document.

Табл. 20. Ил. 29. Библиогр.: 53 назв.

Научный редактор д-р техн. наук, проф. А.Г. Остапенко

Рецензенты: кафедра информационной безопасности Воронежского института МВД России (канд. техн. наук, доц. О.С. Овсентьев);

д-р техн. наук, проф. Г.С. Остапенко

© Щербаков В.Б., Гармонов А.В., Остапенко О.А., 2007

© Оформление. ГОУВПО "Воронежский государственный технический университет", 2007

ОГЛАВЛЕНИЕ

ВВЕДЕНИЕ 6

1. ОЦЕНКА РИСКОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ДЛЯ БЕСПРОВОДНЫХ ТЕЛЕКОММУНИКАЦИОННЫХ СЕТЕЙ 7

1.1. Оценка рисков и международные стандарты 7

1.1.1. Стандарт ISO/IEC 17799:2000(E), ISO/IEC TR 13335-2 7

1.1.2. Стандарт NIST 800-30 11

1.1.3. Стандарт СоbiТ 14

1.1.4. Стандарт SCORE 15

1.1.5. Метод CRAMM 17

1.1.6. Стандарт SysTrust 22

1.2. Методика оценки рисков информационной безопасности беспроводных телекоммуникационных систем 23

1.3. Расчет риска отказа в обслуживании абонентов базовой станции беспроводной системы связи 48

2. УПРАВЛЕНИЕ РИСКАМИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ДЛЯ БЕСПРОВОДНЫХ СИСТЕМ СВЯЗИ 58

2.1. Методика управления рисками информационной безопасности 59

2.2. Основные концепции управления рисками информационной безопасности 61

2.2.1. Концепция управления рисками OCTAVE 62

2.2.2. Концепция управления рисками СRAMM 64

2.2.3. Концепция управления рисками MITRE 65

2.3. Инструментарий для управления рисками информационной безопасности 66

3. МЕТОДЫ И СРЕДСТВА СНИЖЕНИЯ РИСКОВ БЕСПРОВОДНЫХ СИСТЕМ СВЯЗИ 67

3.1. Аутентификация 68

3.1.1. Открытая аутентификация 68

3.1.2. Аутентификация с совместно используемым ключом 69

3.1.3. Аутентификация с использованием МАС-адресов 72

3.2. Шифрование данных 74

3.2.1. Шифрование с применением статических WEP-ключей 74

3.2.2. Шифрование с использованием протокола целостности временных ключей (TKIP) 80

3.2.3. Улучшенный алгоритм шифрования (AES) 85

3.3. Виртуальные частные сети (VPN) как механизм защиты беспроводных систем связи 87

3.3.1. Топологии VPN с точки зрения беспроводной связи 88

3.3.2. Туннельные протоколы в VPN 94

3.3.3. Альтернативные реализации VPN 97

3.3.3.1. Протокол cIPe 97

3.3.3.2. Пакет OpenVPN 97

3.3.3.3. Пакет VTun 98

3.3.3.4. Обзор протокола IPSec 99

3.4. Системы обнаружения атак (IDS) 110

ВОПРОСЫ ДЛЯ САМОКОНТРОЛЯ 114

ЗАКЛЮЧЕНИЕ 116

БИБЛИОГРАФИЧЕСКИЙ СПИСОК 118

ВВЕДЕНИЕ

В настоящее время в Российской Федерации не разрабатывались единые методики оценки и управления рисками информационной безопасности беспроводных телекоммуникационных систем. Анализ рисков выполняется в соответствии с международным стандартом NIST 800-30. Методика оценки риска основывается на методе CRAMM.

В этой связи в работе:

- был проведен анализ базового стандарта беспроводных систем связи IEEE 802.11, определен спектр угроз и уязвимостей, присущих ему.

- разработан общий алгоритм анализа рисков нарушения безопасности информации, отличающийся от известных введением количественных алгоритмов оценки ущербов и возможностей реализации угроз безопасности информации.

- разработана система новых опросных листов для проведения экспертного опроса в ходе анализа рисков беспроводных ТКС и порядок их обработки в интересах расчета вероятности наличия нарушителя и уязвимости информационной безопасности.

1. Оценка рисков информационной безопасности для беспроводных телекоммуникационных сетей

1.1. Оценка рисков и международные стандарты

Проведем анализ существующих стандартов и методов оценки рисков информационной безопасности.

1.1.1. Стандарт iso/iec 17799:2000(e), iso/iec tr 13335-2

Стандарт ISO 17799 является основой для проведения любых работ в области информационной безопасности, в том числе и анализа рисков ИБ.

Международный Стандарт ISO/IEC 17799 был подготовлен Британским Институтом Стандартов (как BS 7799), и был принят в рамках «процедуры ускоренного рассмотрения» Объединенным Техническим Комитетом ISO/IEC JTC 1, Информационная технология, параллельно с его одобрением организациями ISO и IEC. Согласно этому стандарту оценка риска – это систематическое рассмотрение:

- ущерба бизнесу, который, предположительно, может явиться результатом нарушения безопасности, принимая во внимание возможные последствия потери конфиденциальности, целостности или доступности информации и других активов;

- реальной вероятности такого нарушения, проявляющегося в свете превалирующих угроз, уязвимостей и средств управления, применяемых в настоящее время.

Результаты оценки рисков помогут направить и определить соответствующее действие по управлению и приоритеты по управлению рисками информационной безопасности, и по реализации выбранных средств управления, для защиты от этих рисков. Может потребоваться, чтобы процесс оценки рисков и выбор средств управления выполнялся неоднократно для того, чтобы охватить различные части организации или части отдельных информационных систем.

Стратегии анализа рисков основываются на следующих подходах [53]. Базовый подход. Метод заключается в выборе некоторого набора защитных мер, с целью достижения базового уровня защиты для всех систем. Отметим положительные качества этого метода:

- Сокращение ресурсов для анализа рисков. Необходимо рассмотреть стандартный набор распространенных угроз безопасности без оценки вероятностей этих угроз;

- Уменьшение времени, затраченное на анализ рисков;

- Базовые защитные меры могут быть адаптированы для многих систем без большого усилия. Если большое количество систем организации действует в общей среде и если потребности бизнеса сопоставимы, то базовые защитные меры могут дать рентабельное решение;

Базовый подход анализа рисков ИБ имеет свои недостатки. Отметим их:

- Если базовый уровень установлен слишком высоко, то безопасность для систем может оказаться слишком дорогой или слишком ограниченной, а если базовый уровень слишком низок, то может быть недостаток безопасности для некоторых систем.

- Возможны трудности в управлении изменениями, связанными с безопасностью. Например, если система модернизирована, то может быть трудно, оценить, являются ли первоначальные базовые защитные меры все еще достаточными.

Неформальный подход. Метод состоит в проведении неформального, прагматического анализа рисков для всех систем. Неформальный подход не основан на структурных методах, а использует знание и опыт личностей. Если внутренняя экспертиза безопасности недоступна, то внешние консультанты могут сделать этот анализ. Отметим его преимущества:

- Никакие дополнительные навыки не нужно иметь, чтобы делать этот неформальный анализ, и это выполняется более быстро, чем детальный анализ рисков. Следовательно, этот подход мог бы быть по стоимости эффективным и подходящим для небольших организаций.

Имеются несколько недостатков:

- Без структурного подхода возрастает вероятность упущения некоторых рисков и близких к ним проблем.

- Из-за неформальности этого подхода на результаты могут повлиять субъективные представления и предубеждения исследователя;

- Имеется очень небольшое обоснование для выбранных защитных мер, следовательно, расходы на соответствующие защитные средства будет трудно оправдать;

- Может оказаться трудным управлять изменениями, связанными с безопасностью, без повторных пересмотров состояния безопасности.

Детальный анализ рисков. Третий вариант состоит в проведении детального анализа рисков для всех систем. Детальный анализ рисков включает определение и оценку активов, оценки уровней угроз для этих активов и уязвимости этих активов. Эти входные данные используются для оценки рисков. Делая это, анализ рисков поддерживает определение, выбор и принятие защитных мер, обоснованных определенными рисками для активов, и приводит эти риски к приемлемому уровню, определенному управлением. Детальный анализ рисков может быть процессом с очень большим потреблением ресурсов, и поэтому нуждается в осторожном установлении границ и постоянном внимании управления.

Преимущества этого варианта состоят в следующем:

- Уровень безопасности определяется соответствующими потребностями безопасности каждой системы;

- Управление изменениями, связанными с безопасностью, может извлекать выгоду из дополнительной информации, полученной от детального анализа рисков;

Главный недостаток этого варианта состоит в следующем - он требует значительного количества времени, усилий и опыта для получения жизнеспособных результатов.

Смешанный подход. Четвертый вариант заключается в том, что он сначала определяет те системы, которые находятся в высокой степени риска или являются критичными для функционирования бизнеса, используя подход анализа рисков высокого уровня. На основе этих результатов системы делятся на такие, которые требуют детального анализа рисков для достижения соответствующей защиты, и такие, для которых базовая защита является достаточной. Этот метод – комбинация лучших вариантов, описанных выше. Следовательно, он обеспечивает хороший баланс между уменьшением времени и усилий, потраченных на определение защитных мер, при обеспечении соответствующей защиты всех систем.

Преимущества этого варианта состоят в следующем:

- Использование простого подхода высокого уровня для сбора необходимой информации прежде, чем задействованы существенные ресурсы, более подходит, чтобы быть принятым в программе управления риском.

- Возможно формирование непосредственного стратегического образа программы безопасности организации, который может использоваться как хорошая помощь планированию.

- Ресурсы и деньги могут применяться там, где наиболее выгодно, а системы, которые, вероятно, имеют высокой степени риски, могут быть рассмотрены в первую очередь.

Недостаток этого варианта состоит в следующем - если анализ рисков высокого уровня ведет к неточным результатам, то некоторые системы, для которых необходим детальный анализ рисков, могут быть упущены из рассмотрения. Это маловероятно, если результаты анализа рисков высокого уровня проверены соответственно, но в любом случае такие системы должны быть закрыты базовыми защитными мерами.

В большинстве обстоятельств этот вариант предлагает наиболее эффективный по стоимости подход и может быть настоятельно рекомендуемым вариантом анализа рисков для большей части организаций.