Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти
 
Страницы: Пред. 1 2
RSS
ИТ-безопасность: никто не готов к новым угрозам. Так ли все серьезно и
 
Цитата
Под «отказом» средства защиты понимается обнаружение уязвимости системного средства (например, это могут быть ошибки в реализации ОС, либоприложений), которая потенциально может привести к несанкционированному доступу к информации.

Под интенсивностью отказов средства защиты (интенсивностью обнаружения уязвимостей средства защиты) понимаем интенсивность обнаружения в нем уязвимостей в единицу времени.

Ну давайте перейдем к сути тогда. Здесь как-то было уже попытка доказать, что количество уязвимостей определяет защищенность системы. И вновь я повторю, что количество дыр говорит только о количестве дыр. Сама по себе дыра - это просто факт. Ей можно пользоваться, а можно не пользоваться, а можно совсем не найти.

И я категорически не согласен, когда под отказом понимается обнаружение уязвимости. Наличие уязвимости - это факт и все. А отказ - это совершенно другое. Если обратиться к теории надежности (коль скоро мы говорим об академичности), то отказ - это нарушение работоспособности. Переводя это в плоскость ИБ - отказ - это результат проведения успешной атаки вследствие найденной уязвимости. Т.е. наличие только уязвимости не говорит ни об отказе, ни об атаке. Это просто наличие неких условий, при которых может произоти отказ. Но не факт, что он произойдет. А вот когда эта уязвимость ИСПОЛЬЗУЕТСЯ, вот тогда может быть отказ.

Ну с интенсивностью тоже все ясно.
Luka
 
"никто не готов к новым угрозам"
я готов :) обращайтесь ;-)
 
2Luka

Давайте усугубим.
Система, имеющая уязвимость, запросто может быть не только не атакована, но и вообще... безопасна. Если у атаки приемлемый ущерб.

Как пример.
Скажем, есть уязвимость, угрожающая доступности (а подавляющее их большинство конфиденциальности и целостности как раз-таки не угрожает).
И наличие (неустранение админом) этой уязвимости очевидно сулит сбой функционирования некоторой продолжительности: когда гром грянет, то найти патч или рецепт действий - перегрузиться - выполнить - перегрузиться.
Бог бы с тем, что вероятность атаки через эту дырку не 100%, как Вы отметили, так еще и подобный способ ее обработки очень даже может укладываться в допустимые рамки.
Если требования к доступности, диктуемые бизнес-процессом или sla с хозяином информации достаточно либеральны, чтобы реагирование по факту наступления недоступности из них не вылезло, то уязвимая система безопасна.
Вот радио есть, а счастья нет. (с) Ильф
 
Цитата
Ригель пишет:
Система, имеющая уязвимость, запросто может быть не только не атакована, но и вообще... безопасна. Если у атаки приемлемый ущерб

Ну это вообще заведет нас в дебри ;-) И так-то к статье много претензий, а тут еще ты со своей идеей, которая кстати не нова. Я года 4-5 назад написал статью как раз про это и там было вкратце так: если в процедуре перемножения у одного из трех параметров - вероятность атаки, наличие уязвимости для данной атаки и ущерб от данной атаки, равен нулю, то заниматься такой атакой вообще нет смысла. Умножение на ноль дает в итоге ноль.

Но я не согласен, что система, где для атак ущерб приемлем - безопасна. Скорее у такой системы низкий риск. Совсем безопасной ее не назовешь, если и дыры есть и атаки реализуются.
Luka
 
Цитата
Алексей Лукацкий пишет:
я не согласен, что система, где для атак ущерб приемлем - безопасна.
Не следует говорить, что такая система неуязвима, но вот насчет безопасной...

Хорошо бы определиться, относительно какого объекта признается безопасность/небезопасность системы - ее самой или ее содержимого. Что рассматривать в качестве объекта защиты, по старинке говоря.
Вы, к примеру, какой жилет называете пуленепробиваемым: который не получает повреждений сам (никаких) или который не допускает повреждений организму (тяжелых) - только первый?
Вот радио есть, а счастья нет. (с) Ильф
 
Коллеги, вы почему-то не хотите меня "слышать" и давно уже обсуждаете свои вопросы, а не статью.
Еще раз, я говорю о системном средстве (ОС, СЗИ и т.д.) и оцениваю его уровень эксплуатационной безопасности, а не безопасность какого-либо объекта - компьютера, обрабатывающего то-то и там-то, данныйх и т.д.. Это совсем иная задача анализа.
Безопасность - это характеристика способности защищать, как, надежность -это характеристика работоспособности (замечу, аналогия есть, но не полная).
Наличие уязвимости в системном средстве (не о каких атаках я не говорю, это совсем иной вопрос) - это "отказ" системы защиты - неспособность защищать (будет атака - будет взлом, т.к. есть уязвимость). "Восстановление после отказа" - это устранение уязвимости. Как она (уязвимость) будет использована, кем, с какой целью, при каких условиях - вот здесь пошли столь любимые вами риски и прочее (кстати,о затронутых вами перемножениях критериев - это классика теории многокритериальной оптимизации, связанная с недостатками использования мультипликативной свертки, правильнее использовать аддитивную свертку, но это отдельный вопрос).
Говоря же о безопасности - она в этому случае отсутствует (т.к. система содержит уязвимость), а систему защиты можно считать отказавшей (атака, использующая данный отказ системного средства - это совмсем иной вопрос).
 
Волосы встают дыбом!!!
Безопасность дает только призерватив!!!:)
Хотя только 99%:):):)
Это как минимум 1%, КАЖДЫЙ РАЗ, мы находимся в ОПАСНОСТИ:)
 
Сочуствую - "знание - сила"! ;)
 
У меня на работе несколько сертифицированных компьютеров. Это значит, что их обклеили наклейками ФСБ-ки, втавили в PCI slot SicretNet 5.0, поставили два генератора шума, и убрали все предметы, которые находяться в зоне R0.
Вроде все класс, да не всё...
По их словам: "Он не работает, а только глючит", вот...:(
так и есть!
Не говоря уже о человеческом факторе:(
 
Цитата
А Щеглов пишет:
Коллеги, вы почему-то не хотите меня "слышать" и давно уже обсуждаете свои вопросы, а не статью.

Ну, во-первых, на любом форуме это нормально, когда дискуссия вообще уходит от первоначальной темы.

А во-вторых, я не вижу смысла разбирать статью, которая даже при беглом просмотре вызывают у меня такое количество нареканий. Если мы с терминами не можем определиться, то как можно к сути переходить?

Если вы по-прежнему стоите на своем и уверяете, что отказ = уязвимость, то я не вижу смысла дальше обсуждать что-то. У нас значит фундаментальные расхождения в понимании безопасности.
Luka
 
Цитата
А Щеглов пишет:
наличие уязвимости - это "отказ" системы защиты - неспособность защищать
Ну, уговорили: автомобильные шины постоянно уязвимы к гвоздям и осколкам, поэтому 100% времени находятся в состоянии отказа или, иначе говоря, в любой момент спущены с вероятностью 1.
Вот радио есть, а счастья нет. (с) Ильф
 
А ларчик просто открывался.. За нагромождением наукообразных выкладок и рассуждений скрывается стремление окучить бюджетные организации софтом, по сути дублирующим функционал ОС, ну разве что в 95\98 его нет напрямую.. Главное, запаститсь патентами и поддержко фэсэбэ (изветсная кормуха, не так много крупы, но зато гарантированно). Кто не верит, почитайте материалы тут
 
еще одна ссылка - окученые грядки и вспаханые поля
вопросы есть?
 
Александру. Системы (СЗИ от НСД) очень разные и по функционалу и по эксплуатационным свойствам. На мой взгляд, Ваш неудачный пример не следует обобщать на иные средства (одну из недавно появившихся на рынке СЗИ мы запустили с отладчиком драйверов - четыре синих экрана за 20 минут - это характеризует конкретного разработчика, не более того).

Г-ну Лукацкому. Да, видимо наши точки зрения кардинально расходятся. Ну это же очень хорошо (всегда хорошо, когда несколько мнений). В противном случае, и обсуждать-то нечего. Сейчас существуют РД, всеми ему следуют, не задумываясь, что же изменилось с 1992 года. Вы сами об этом писали. И мало, кто пытается обсуждать и рассуждать - результат, см. реплику г-на Кулакова.

Г-ну Ригелю. Вы совсем не о том. Можно поговорить о компьютерах и пожарах, наводнениях. Если о колесах, то следует говорить о новом и полностью стертом колесе и оценивать их уязвимость.

Г-ну Кулакову. Откуда такая недоброжелательность? "За нагромождением наукообразных выкладок и рассуждений скрывается стремление окучить бюджетные организации софтом, по сути дублирующим функционал ОС, ну разве что в 95\98 его нет напрямую..". Это совсем не так. Вы даже не знаете, что мы делаем, а уже такая ирония (лучше же вообще ничего не делать и рассуждать про безопасность - так проще, на этом - на пустой болтовне -сейчас зарабатываются куда большие деньги, чем на разработках). В данной статье автор не рассматривал технические вопросы построения средств защиты (непонятно, почему Вы поднимаете этот вопрос). Надеюсь, что скоро на сайте появится статья, посвященная этим вопросам, тогда и обсудим, что умеет Windows (а эта ОС мало, что может для корпоративных приложений), а что могут наши средства защиты. Каким функционалом должны обладать средства защиты в современных условиях, как строитьсяи т.д. Но тогда будет о чем говорить, будет материал для обсуждения.
 
Цитата
Вы даже не знаете, что мы делаем, а уже такая ирония
Ну почему не знаю, я почитал некоторые материалы на вашем сайте. и даже дал ссылку. впрочем, я не настаиваю, может быть вы и в правду делаете нечто уникальное, только что-то все-таки настораживает
 
Г-ну Кулакову.
Статья, которую мы обсуждаем не затрагивает функций, речь идет об эксплуатационной безопасности (параметры - уязвимости и восстановление). В том-то и инитерес. На сайт я отправил другую статью, как раз и посвященную функциями. Если опубликуют, с удовольствиемм с Вами обсужу.
И еще, если Вы внимательно прочтете информацию на сайте, то мы не работает на рынке гостайны (это относительно поддержек..... и всего остального). Наш рынок - это конфиденциалка и персональные данные.
Не знаю, как на том рынке, но здесь к фунционалу потребитель относится очень серьезно.
Страницы: Пред. 1 2
Читают тему