Вопросы для самоконтроля

1. На каких методах основывается оценка и управление рисков ИБ беспроводных ТКС в России?

2. В чем заключается специфика Стандарта NIST 800-30?

3. Перечислите концепции, опубликованные национальным институтом стандартов США (NIST).

4. Поясните схему, представленную в концепции управления рисками NIST 800-30.

5. Каким образом производится оценка рисков ИБ по методу CRAMM.

6. Опишите представленную методику оценки рисков ИБ беспроводных ТКС.

7. Проведите расчет риска отказа в обслуживании абонентов базовой станции беспроводной системы связи.

8. Поясните на примере оценки риска отказа в обслуживании работу концепции OCTAVE.

9. Проведите сравнительный анализ концепций оценки рисков ИБ OCTAVE и CRAMM.

10. Опишите инструментарий управления рисками ИБ беспроводных ТКС.

11. Перечислите и обоснуйте основные методы и средства снижения рисков беспроводных систем связи.

12. В чем заключаются преимущества и недостатки открытой аутентификации?

13. Проанализируйте механизм аутентификации с совместно используемым ключом.

14. Опишите процесс аутентификации в беспроводных ТКС на примере использования MAC-адресов.

15. Опишите особенности процесса шифрования данных с применением статических WEP-ключей.

16. Проведите сравнительный анализ алгоритмов шифрования WEP и TKIP.

17. Обоснуйте криптостойкость алгоритма шифрования данных AES.

18. На примере атаки отказа в обслуживании абонентов беспроводной ТКС поясните работу виртуальной частной сети (VPN), развернутой внутри беспроводной ТКС.

19. Перечислите топологии VPN с точки зрения беспроводной связи.

20. Проведите анализ уязвимостей протокола IPSec.

21. Обоснуйте архитектуру защищенной сети передачи данных стандарта IEEE 802.11 построенной на базе VPN (рис. 3.18).

ЗАКЛЮЧЕНИЕ

Результатом работы является разработанная методика оценки и минимизации рисков ИБ беспроводных ТКС стандарта IEEE 802.11, а также политика безопасности и положения об организации группы рискоанализа при операторе беспроводной связи.

В ходе выполнения работы были выявлены типы нарушителей, которые могут нанести деструктивное воздействие функционированию беспроводных ТКС, построенных на базе стандарта IEEE 802.11. Для каждого типа нарушителей был определен потенциал нападения.

Определен полный спектр угроз, классифицированный в соответствии с документами международных организации по стандартизации и спектр уязвимостей, которые могут быть использованы нарушителем.

Построены опросные листы, и проведено анкетирование сотрудников регионального оператора связи построенного на базе стандарта IEEE 802.11.

Определены вероятности реализации угроз информационной безопасности и вероятности использования уязвимостей.

Для получения качественных и количественных значений риска от угроз информационной безопасности был разработан метод, основанный на экспертных оценках. Обоснованием данного решения является - отсутствия статистических данных о вероятностях реализации угроз и использования уязвимостей информационной безопасности. На основании разработанного метода оценки получены значения рисков от каждого вида угроз информационной безопасности и рассчитан интегральный риск системы при условии их независимости. Оценена эффективность комплекса контрмер, направленных на снижение и минимизацию рисков ИБ беспроводных ТКС стандарта IEEE 802.11, предложена оптимальная система контрмер, имеющая лучший показатель стоимость/эффективность, полученный путем применения метода анализа иерархий.

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1. Покровский П. Оценка информационных рисков / П. Покровский // Журнал сетевых решений LAN.- 2004.– № 10.- С. 91 – 95.

2. Витте Ш. Беспроводной доступ отовсюду / Ш. Витте // Журнал сетевых решений LAN.- 2004.- №6.- С. 48-51.

3. Мучлер Ш. Беспроводные сети как часть инфраструктуры ИТ / Ш. Мучлер // Журнал сетевых решений LAN.- 06.2004. – С.42 - 47.

4. Мойзер П. Современный стандарт безопасности для беспроводных сетей / П. Мойзер // Журнал сетевых решений LAN.- 05.2005. – С.104 - 107.

5. Лукацкий А. В. Обнаружение атак / А. В. Лукацкий.- СПб.: БХВ-Петербург, 2001.- 350 с.

6. Кобзарь М. Методология оценки безопасности информационных тенологий по общим критериям / М. Кобзарь, А, Сидак.-СПб.: БВХ, 1999.- 244 с.

7. Зелевич Е.П. Вопросы обеспечения защиты доступа в Интернет в системах мобильной связи / Е.П. Зелевич, В.И. Каледин //Мобильные системы.-2005. – С. 39-42.

8. Симонов С. Анализ рисков, управление рисками / С. Симонов // Jet Info.- 1999.- №1.

9. Ахметов К. Практика управления проектами / К. Ахметов.– М.: Русская Редакция, 2004. – 272 с.

10. Буянов В.П. Рискология (управление рисками): учеб. пособие / В.П. Буянов, К.А. Кирсанов, Л.М. Михайлов.– М.: Издательство «Экзамен», 2003. – 384 с.

11. Зражевский В.В. Основные направления совершенствования системы управления рисками / В.В. Зражевский. – М.: Феникс, 1999. – 465 с.

12. Медведовский И.Д. Атака через Internet / И.Д. Медведовский, П.В. Семьянов, В.В. Платонов. – М.: НПО "Мир и семья-95", 1997. – 374 с.

13. Новиков А.А. Уязвимость и информационная безопасность телекоммуникационных технологий: учеб. пособие для вузов. / А.А. Новиков, Г.Н. Устинов. – М.: Радио и связь, 2003.- 296 с.

14. Хохлов Н.В. Управление риском: учеб. пособие для вузов / Н.В. Хохлов. – М.: ЮНИТИ-ДАНА, 1999. – 239 с.

15. Смид М.Э. Стандарт шифрования данных: прошлое и будущее: пер. с англ. / М.Э. Смид, Д.К. Бранстед.- М.: Мир, ТИИЭР,1988.– 405 с.

16. Стенг Д. Секреты безопасности сетей / Д. Стенг. - К.: Диалектика, 1995. – 370 с.

17. Алексеенко В.Н. Система защиты коммерческих объектов. Технические средства защиты / В.Н. Алексеенко.- М.: Мир, 1992. 347 с.

18. Альгин А.П. Риск и его роль в общественной жизни / А.П. Альгин. – М.: Мысль, 1989. – 378 с.

19. Грушо А.А. Теоретические основы защиты информации / А.А. Грушо, Е.Е. Тимонина. - М.: Яхтсмен, 1966. – 235 с

20. Зорин В.А. Элементы теории процессов риска / В.А. Зорин, В.И. Мухин. – Н. Новгород: ННГУ, 2003. – 25 с.

21. Петров Ю.П. Новые главы теории управления и компьютерных вычислений / Ю.П. Петров. – СПб: БХВ – Петербург, 2004. – 192 с.

22. Дэвис Д. Создание защищенных беспроводных сетей 802.11 в Microsoft Windows Server 2003 / Д. Дэвис. – СПб: Изд-во ЭКОМ, 2006. - 400 с.

23. Молта Д. Функционирование устройств Wi-Fi на физическом уровне / Д. Молта // Сети и системы связи.- 2004.- №12(118).- С.12-40.

24. Астахов A. COBIT для ИТ аудиторов / A. Астахов //Директор информационной службы.- №7- 9.

25. Симонов С. Методы и средства анализа рисков и управление ими в ИС / С. Симонов // Безопасность.- 2005.- №12.- С. 12-25.

26. Симонов С. Анализ рисков, управление рисками / С. Симонов // JetInfo.- 1999.- N1(68).- С.45-47.

27. Гузик C. Стандарт CobiT Управление и аудит информационных технологий. Особенности проведения внешнего аудита ИТ / C. Гузик // JetInfo.- 2003.- №1(116).- С.5-7.

28. Петренко С.А. Системы обнаружения аномалий: новые идеи в защите информации / С.А. Петренко // Экспресс-Электроника.- 2004.- №2.- С.15-17.

29. Максим М. Безопасность беспроводных сетей / М. Максим.- Минск: ДМК Пресс, 2004.- 288 с.

30. Млинарски Ф. Как тестировать продукты Wi-Fi? / Ф. Млинарски //Computerworld.- 2006.-№ 26. С.15-16.

31. Бельфер Р.А. Цели, принципы и требования к безопасности мобильных систем связи 3G (по материалам ITU-T и ETSI) / Р.А. Бельфер // Вестник связи. - 2001. - № 12.-С. 58-60.

32. Филюшин Ю.И. Концепция и принципы построения интеллектуальных сетей связи / Ю.И. Филюшин. - М.: Информсвязь, 1995.- 305 с.

33. Ченнинг И. Борьба с мошенничеством продолжается // Мобильные телекоммуникации / И. Ченнинг. - 2001. - № 6. - С. 56-58.

34. Зорин В.А. Элементы теории процессов риска / В.А. Зорин, В.И. Мухин. – Н. Новгород: ННГУ, 2003. – 25 с.

35. Гутман Б. Политика безопасности при работе в Интернет: техн. рук / Б. Гутман, Р. Бэгвилл; пер. с англ. В. Н. Казенова // NIST Special Publication 800.- 2000.- С.12 - 42.

36. Разработка систем информационно-компьютерной безопасности / В.М. Котухов, М. Зима, А. Г. Ломако, А. С. Марков, А. А. Молдовян.- СПб: ВКА им. А. Ф. Можайского, 2003. - 327 с.

37. Гейер Д. Беспроводные сети: Первый шаг / Д. Гейер.- М: Вильямс, 2005. – 191 с.

38. РД. Концепция защиты средств вычислительной техники и автоматизированных систем от НСД к информации.- М.: Гостехкомиссия России, 1992.

39. РД. Защита от несанкционированного доступа к информации. Термины и определения. -М.: Гостехкомиссия России, 1992.

40. РД. Безопасность информационных технологий — Руководство по разработке профилей защиты и заданий по безопасности.- М.: Гостехкомиссия России, 2003.

41. РД. Безопасность информационных технологий. Критерии оценки безопасности информационных технологий: в 3 ч.- М.: Гостехкомиссия России, 2002.

42. Vladimirov A.A. WI-F00: The secrets of wireless hacking, 1st Edition / A.A. Vladimirov, K. Gavrilenko, A. Mikhailovskyю.- Pearson Education, 2004. 182 c.

43. Roshan P. 802.11 Wireless LAN Fundamentals / P. Roshan, О. Liary// Indianapolis, USA. Cisco press.- 2004. С. 131-161.

44. Common Evaluation Methodology for Information Technology Security Evaluation. Part 1: Introduction and general model // version 0.6, 19 January 1997.

45. Common Evaluation Methodology for Information Technology Security Evaluation. Part 2: Evaluation Methodology // version 1.0.- August 1999.

46. Risk Management Guide for Information Technology Systems //NIST, Special Publication 800-30.

47. IEEE std. 802.11 - 97 Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) specifications

48. IEEE Std 802.11a - 1999 Part 11: Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) specifications High-speed Physical Layer in the 5 GHz Band

49. IEEE Std 802.11b-1999/Cor 1-2001 Part 11: Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) specifications Amendment 2: Higher-speed Physical Layer (PHY) extension in the 2.4 GHz band – Corrigendum

50. IEEE Std 802.11 Part 11: Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) specifications Amendment 3: Specification for operation in additional regulatory domains

51. IEEE std. 802.11-97 Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) specifications

52. Гост Р 50922-96 «Защита информации основные термины и определения». - М. Изд. стандартов, 1996.

53. Комментарии к Российскому стандарту ГОСТ Р ИСО/МЭК 15408-2002 «Критерии оценки безопасности информационных технологий» / М.Ю. Долинин, М.Т. Кобзарь, В.А. Лыков и др. - М.: ФГУП «ЦНИИАТОМИН-ФОРМ», 2003. - 38 с.

Учебное издание

Щербаков Владимир Борисович

Гармонов Алексей Васильевич

Остапенко Ольга Александровна

ОЦЕНКА И УПРАВЛЕНИЕ РИСКАМИ

ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

БЕСПРОВОДНЫХ

ТЕЛЕКОММУНИКАЦИОННЫХ СИСТЕМ

В авторской редакции

Компьютерный набор В.А. Новикова

Подписано к изданию 25.05.2007

Уч.-изд. л. 5,9.

ГОУВПО «Воронежский государственный технический

университет»