Методики и программные продукты для оценки рисков (CRAMM, FRAP, OCTAVE, RiskWatch).

методик анализа рисков можно разделить на:

· методики, использующие оценку риска на качественномуровн. К таким методикам, в частности, относится FRAP;

· количественные методики (риск оценивается через числовое значение). К этому классу относится методика RiskWatch;

· методики, использующие смешанные оценки (такой подход используется в CRAMM, методике Microsoft и т.д.).

Методика CRAMM

В основе метода CRAMM лежит комплексный подход к оценке рисков, сочетающий количественные и качественные методы анализа. Метод является универсальным и подходит как для крупных, так и для малых организаций, как правительственного, так и коммерческого сектора. Версии программного обеспечения CRAMM, ориентированные на разные типы организаций, отличаются друг от друга своими базами знаний (profiles).

Исследование ИБ системы с помощью СRAMM проводится в три стадии.

На первой стадии анализируется все, что касается идентификации и определения ценности ресурсов системы.

На второй стадии рассматривается все, что относится к идентификации и оценке уровней угроз для групп ресурсов и их уязвимостей. В конце стадии заказчик получает идентифицированные и оцененные уровни рисков для своей системы.

Третья стадия исследования заключается в поиске адекватных контрмер. По существу, это поиск варианта системы безопасности, наилучшим образом удовлетворяющей требованиям заказчика.

Методика "Facilitated RiskAnalysis Process (FRAP)" В методике, обеспечение ИБ ИС предлагается рассматривать в рамках процесса управления рисками. Управление рисками в сфере ИБ - процесс, позволяющий компаниям найти баланс между затратами средств и сил на средства защиты и получаемым эффектом.

Управление рисками должно начинаться с оценки рисков: должным образом оформленные результаты оценки станут основой для принятия решений в области повышения безопасности системы.

После завершения оценки, проводится анализ соотношения затрат и получаемого эффекта, который позволяет определить те средства защиты, которые нужны, для снижения риска до приемлемого уровня.

Проведение оценки рисков в соответствии с методикой Microsoft

Процесс управления рисками, предлагаемый корпорацией Майкрософт разбивает этап оценки рисков на следующие три шага.

1. Планирование. Разработка основы для успешной оценки рисков.

2. Координированный сбор данных. Операции тематического сбора данных представляют собой основную часть операций взаимодействия и совместной работы различных групп на этапе оценки рисков. Сбор информации о рисках в ходе координированных обсуждений рисков. На этом шаге собираются следующие основные данные.

• Активы организации. Вся информация о важных для организации активах.

• Описание актива. Краткое описание каждого актива, его ценность и его владелец для облегчения общего понимания актива на этапе оценки рисков.

• Угрозы безопасности. Причины и события, которые могут оказывать на актив негативное влияние и приводить к потере конфиденциальности, целостности или доступности актива.

• Уязвимости. Слабости или отсутствие элементов контроля, которые могут использоваться для влияния на актив.

• Текущая среда контроля. Описание используемых в настоящее время элементов контроля и их эффективности в рамках организации.

• Предлагаемые элементы контроля. Предложения по снижения риска.

3. Приоритизация рисков. Ранжирование выявленных рисков на основе непротиворечивого и повторяемого процесса. Процесс управления рисками безопасности, предлагаемый корпорацией Майкрософт, предоставляет рекомендации по выявлению и приоритизации рисков на основе непротиворечивого и повторяемого подхода. Открытый и повторяемый подход помогает группе управления рисками быстро найти удовлетворяющее всех решение, уменьшив потенциальные задержки, вызываемые субъективным характером процесса приоритизации рисков. Задачи и рекомендации, относящиеся к приоритизации рисков, подробно описаны в четвертом разделе данной главы.

100. Технические мероприятия по снижению уровня риска

Протокол Kerberos

Протокол Kerberos предлагает механизм взаимной аутентификации клиента и сервера перед установлением связи между ними, в протоколе учтён тот факт, что начальный обмен информацией между клиентом и сервером происходит в незащищённой среде, а передаваемые пакеты могут быть перехвачены и модифицированы. Таким образом, протокол идеально подходит для применения в Internet.

Основная концепция протокола Kerberos заключается в возможности взаимного удостоверения взаимодействующих сторон при помощи разделяемого между ними общего секрета.

Для обмена информацией, содержащей общий секрет, Kerberos использует методы симметричной криптографии, в которой для шифрования и дешифрования данных используется один и тот же секретный ключ, знание которого подтверждает личность собеседника.

Для решения проблемы управления ключами Kerberos использует дополнительное звено-посредник – центр распределения ключей (KeyDistributionCenter, KDC). KDC представляет собой службу, работающую на физически защищённом сервере. Она ведёт базу данных с информацией об учётных записях всех главных абонентов безопасности своей области. Вместе с информацией о каждом абоненте безопасности в базе данных KDC сохраняется криптографический ключ, известный только этому абоненту и службе KDC. Этот ключ, который называют долговременным, используется для связи пользователя системы безопасности с центром распределения ключей. В большинстве практических реализаций протокола Kerberos долговременные ключи генерируются на основе пароля пользователя, указываемого при входе в систему.

Протокол Kerberos обеспечивает высокий уровень безопасности, обладает повышенной гибкостью и эффективностью, что способствует его широкому распространению в корпоративных сетях, особенно после принятия корпорацией Microsoft данного протокола в качестве основного протокола аутентификации в операционной системе Windows.