Стандарты безопасности Банка России

Системы электронной торговли

Контрольные вопросы по предмету

0


Подпишитесь на бесплатную рассылку видео-курсов:

Текст видеолекции

Добрый день! Продолжаем лекцию посвященной информационной безопасности банковской деятельности.

Итак, к основным внешним факторам влияющих на банковскую индустрию в Европе специалисты в этой области относят следующие. Записываем.

Первое - глобализация рынка услуг. С развитием новых технологий исчезают ограничения, связанные с национальными барьерами, и рынок услуг становится доступным 24 часа в сутки.

 Второе - это изменения в законодательстве. Изменения в законодательстве поощряют небанковские организации оказывать финансовые услуги в прямом соперничестве с банками. Многие из таких организаций созданы недавно, их деятельность не регулируется так, как банковская, и они не нуждаются в дорогостоящей инфраструктуре для этой цели. Они используют существующие сети распределения и продаж для оказания услуг, стоимость которых оказывается меньше, чем у банков. Многие банки считают слишком обременительным для себя переориентацию на другие банки, другую категорию услуг. Небанковские организации используют расширяющуюся сеть клиентов и увеличение продаж в тех областях, которые были исключительной вотчиной банков. Так например, английская фирма Marks & Spencer успешно внедрилась на финансовый рынок с помощью создания собственного инвестиционного фонда и карточек для обслуживания в магазинах.

Итак, какие же изменения происходят в банковской системе? Первое - это увеличение требовательности клиентов. Информированность клиентов о доступности услуг банка и их стоимости приводит к увеличению требований к качеству и стоимости предлагаемых услуг. Особенно это касается крупнейших универсальных банков, которые становятся все менее привлекательны для клиентов, объединенных каким-либо одним общим интересом или проживающих в одном регионе. Клиенты также прекрасно осведомлены о риске, связанном с банковской деятельностью, и становятся более осторожными при вкладывании денег в ненадежные банки.

Итак, следующий пункт - это обработка транзакций. Обработка транзакций остается наиболее трудоемким элементом цепи приоритетов банка; она должна быть безошибочной и обеспечивать точную и своевременную информацию. Однако клиенты не желают оплачивать «невидимые» услуги и поэтому не считают обработку транзакций прибыльным элементом для банка. Банки не в состоянии оказывать высококачественные услуги без значительных затрат в этой области. Но они стараются компенсировать их с помощью прогрессивно возрастающих тарифов. Конкуренты стремятся использовать более дешевые технологии, которые дают преимущество в конкурентной борьбе.

Третий пункт - технологии. Итак, технологии. За последнее десятилетие развитие технологий, средств обработки и передачи информации помогли увеличить производительность и уменьшить стоимость банковских операций. Современные технологии позволяют практически моментально получить и использовать информацию о клиентах, продуктах и рисках, что, несомненно, оказывает влияние на конкурентоспособность банков. Однако пока очень немногие банки в полной мере используют эти возможности. Средства телекоммуникаций вместе с новыми информационными технологиями становятся инструментом при разработке новых программных продуктов и механизмов их распространения, что расширяет сферу деятельности банков. Электронные платежи и средства расчета в точке продажи — это примеры использования новых технологий, которые  коренным образом меняющих банковскую индустрию. Тем не менее, информационные технологии и поддерживающие их организационные структуры могут стать барьером на пути развития. Вложив большие средства в определенную технологию, очень сложно переориентироваться на какую-либо другую. Этого недостатка лишены новые конкуренты, которые будут сразу приобретать перспективные технологии.

Использование современных технологий создало новый рынок, где технологии становятся товаром в таких областях как обмен электронными данными, системы электронных платежей в точке продажи и т.д. Прежде всего, это касается улучшения обслуживания клиентов и оказания более специфических услуг.

 Идя навстречу требованиям клиентов, и в соответствии с другими факторами конкурентной борьбы, банки должны будут выбрать один из следующих путей развития. Итак, давайте запишем. Пути развития банков.

 Первое -оказывать все виды услуг в большинстве своих отделений, включая, возможно, и небанковские услуги —универсальный банк;

И второй путь развития - предоставлять узкому кругу клиентов небольшой, но специфичный перечень услуг в определенном регионе — это специализированный банк.

 Существующий круг клиентов — это ключевой ресурс банка, который необходимо сохранить и попытаться увеличить. С этой целью многие банки приспосабливают свои технологии для продажи новой продукции. Более того, они переопределяют назначение традиционных механизмов распределения (т.е. единые филиальные и корпоративные банковские сети) и вводят в эксплуатацию новые (телекоммуникационные средства связи с другими банками и корпоративными клиентами).

Итак, самое важное запишем. Существующий круг клиентов — это ключевой ресурс банка, который стремятся все  увеличить. С этой целью многие банки приспосабливают свои технологии для продажи новой продукции. Более того, они переопределяют назначение традиционных механизмов распределения и вводят в эксплуатацию новые.

Растет необходимость жесткого контроля за расходами, особенно в условиях увеличения затрат на регулирование деятельности и появления на рынке новых дешевых товаров и услуг, производимых и оказываемых небанковскими организациями. Такой контроль может быть осуществлен с помощью централизованной обработки информации и совершенствования управлением. Эти меры, безусловно, оказывают воздействие на штат банка.

Возрастает необходимость обработки постоянно растущего потока информации о состоянии рынка для более точного определения места специфической продукции на расширяющемся рынке.

Возможность доступа клиента к банку с помощью существующих филиальных сетей теперь уже не является ключевым фактором успеха. Изменение требований клиентов, новые технологии и фиксировано высокая стоимость содержания таких сетей заставляют искать альтернативные стратегии. Предлагаются следующие подходы. Перечислим их.

Первый - мобильные пункты продажи товаров и услуг; механизмы прямой продажи товаров и услуг; технологии расчета в точке продажи; и последнее, электронное и телефонное банковское обслуживание и др.

Применение новых технологий оказывает влияние на стратегические направления и направления бизнеса в деятельности банка.

Современные технологии дают банкам огромные преимущества в организации систем доставки товаров и услуг. Использование электронных средств связи позволяет реализовать следующие цели: первый пункт - электронные платежи и расчеты в точке продажи; следующий пункт - это клиентские терминалы, осуществляющие прямую связь с банком; следующий пункт - это домашнее банковское обслуживание с помощью персонального компьютера или телефона;  следующий пункт - это обмен электронными данными в сети с расширенным набором услуг;  технологии электронных банковских карт - следующий пункт - включая магнитные пластиковые и интеллектуальные карты.

Запишем следующий раздел. Название следующего раздела: "Угрозы информационной безопасности банка со стороны персонала".

 Преступления, в том числе в информационной сфере, совершаются людьми. Большинство систем не может нормально функционировать безучастия человека. Пользователь системы, с одной стороны, — ее необходимый элемент, а с другой стороны — он же является причиной и движущей силой нарушения или преступления. Вопросы безопасности систем (компьютерных в том числе), таким образом, большей частью есть вопросы человеческих отношений и человеческого поведения. Существует также термин -человеческий фактор. Особенно это актуально в сфере информационной безопасности, т.к. утечка информации в подавляющем большинстве случаев происходит по вине сотрудников банков. 

Неотъемлемым составляющим элементом любой планируемой преступной акции является сбор информации. С этого пункта давайте подробнее запишем. Итак. Неотъемлемым составляющим элементом любой планируемой преступной акции является сбор информации. Представляется возможным выделить следующие основные методы, которые используются злоумышленниками в настоящее время для добывания сведений о коммерческих структурах:

Итак, первое - наблюдение, в том числе с помощью мобильных и стационарных оптико-технических средств, скрытое фотографирование, видеозапись; выведывание информации;

Второй пункт - это проведение опросов, интервьюирования, анкетирования, «направленных» бесед и т.п.;

Следующий пункт - это хищение, скрытое копирование, подделка каких-либо внутренних документов лицами, внедренными или приобретенными в коммерческих структурах, которые согласились или оказались вынужденными осуществлять указанные действия по корыстным побуждениям, в результате угроз, по физическому принуждению либо иным причинам;

Следующий пункт - это перехват информации на различных частотных каналах внутренней и внешней радио- и телевизионной связи коммерческих структур;

Итак, следующий пункт - это получение информации техническими средствами путем использования различных источников сигналов в помещениях коммерческих структур как связанных с функционирующей аппаратурой, так и через специально внедренную технику.

Следующий пункт - это добывание информации о коммерческих структурах посредством применения системы аналитических методов (структурный анализ, финансовый анализ, анализ себестоимости продукции, анализ научно-технических образцов, оценка квалификационных особенностей рабочих и служащих, изучение основных материальных фондов и т.п.).

При всем многообразии и несомненных достоинствах вышеперечисленных методов в настоящее время все же использование сотрудников коммерческих структур в качестве источников внутренней информации рассматривается как наиболее надежный, быстрый и эффективных способ получения конфиденциальных данных. Т.е. человеческий фактор здесь - самое слабое звено.

Можно выделять четыре основные причины нарушений: безответственность, самоутверждение, месть и корыстный интерес.

При нарушениях, вызванных безответственностью, пользователь целенаправленно или случайно производит какие-либо разрушающие действия, не связанные, тем не менее, со злым умыслом. В большинстве случаев это следствие некомпетентности или небрежности.

Некоторые пользователи считают получение доступа к системным наборам данных крупным успехом, затевая своего рода игру «пользователь против системы» ради самоутверждения либо в собственных глазах, либо в глазах коллег. Хотя намерения могут быть и безвредными, эксплуатация ресурсов информационной безопасности банков считается нарушением политики безопасности банка.

Нарушение безопасности банка может быть вызвано и корыстным интересом пользователя системы. В этом случае он будет целенаправленно пытаться преодолеть систему защиты для доступа к хранимой, передаваемой и обрабатываемой информации. Даже если будет иметься, какая либо защита, то защититься от такого проникновения достаточно сложно. Полностью защитить от проникновения - практически невозможно. Проникновение — это наиболее редкий вид нарушений, но наиболее опасный. Отличительной чертой проникновения обычно является определенная цель. Доступ (чтение, модификация, уничтожение) к определенной информации, влияние на работоспособность системы, слежение за действиями других пользователей и др.

Для выполнения подобных действий нарушитель должен обладать такими же качествами, что и для зондирования системы, только в усиленном варианте, а также уметь точно сформулированную цель. В силу этих обстоятельств ущерб от проникновении может оказаться в принципе невосполнимым. Например, для банков это может быть полная или частичная модификация счетов с уничтожением журнала транзакций.

Таким образом, для организации надежной защиты необходимо четко отдавать себе отчет, от каких именно нарушений важнее всего избавиться, Для защиты от нарушений, вызванных халатностью нужна минимальная защита, для защиты от зондирования системы — более жесткая и самая жесткая вместе с постоянным контролем — от проникновении.

Ниже, мы с Вами рассмотрим примерный список персонала типичный информационной банковской системы и соответствующую степень риска каждого из них. Этот список Вы можете посмотреть в приложении.

Каждый из перечисленных пользователей в соответствии со своей категорией риска может нанести больший или меньший ущерб системе. Однако пользователи различных категорий различаются не только по степени риска, но и по тому, какому элементу системы они угрожают больше. Понятно, что операционист вряд ли сможет вывести систему  защиты банка, но зато способен послать платеж не по адресу и  тем самым нанести серьезный финансовый ущерб.

Безопасность  автоматизированных систем обработки в банках - это сложный механизм. Давайте с Вами запишем. Современная система обработки информации в банках- это сложный механизм, состоящий из большого количества компонентов различной степени автономности, связанных между собой и обменивающихся данными. Практически каждый из них может выйти из строя или подвергнуться внешнему воздействию.

Под угрозой безопасности понимается потенциально возможное воздействие на автоматическую систему банка, которое может прямо или косвенно нанести урон пользователям или владельцам данной системы.

Угрозы безопасности информационной системы обработки данных банка можно классифицировать по следующим признакам:

Итак, первый признак - по цели реализации угрозы. Реализация той или иной угрозы безопасности может преследовать следующие цели:

Первая цель - это нарушение конфиденциальности информации. Информация, хранимая и обрабатываемая в банке, может иметь большую ценность для ее владельца. Ее использование другими лицами наносит значительный ущерб интересам владельца;

Второе - это нарушение целостности информации. Потеря целостности информации (полная или частичная, компрометация, дезинформация) -угроза близкая к ее раскрытию. Ущерб от таких действий может быть много больше, чем при нарушении конфиденциальности,

Следующий пункт - это нарушение (частичное или полное) работоспособности самой системы безопасности банка. Вывод из строя или некорректное изменение режимов работы компонентов системы, их модификация или подмена могут привести к получению неверных результатов, отказу работы самой системы , от потока информации или отказам при обслуживании. Отказ от потока информации означает непризнание одной из взаимодействующих сторон факта передачи или приема сообщений. Имея в виду, что такие сообщения могут содержать важные донесения, заказы, финансовые согласования и т.п., ущерб в этом случае может быть весьма значительным. Так как диапазон услуг, предоставляемых современной защитой безопасности банка, весьма широк, отказ в обслуживании может существенно повлиять на работу пользователя.

Итак, т.е. первая угроза у нас была по цели реализации угрозы, вторая - по принципу воздействия на саму систему.

Итак, здесь есть несколько пунктов. Первый  - это с использованием доступа субъекта системы (пользователя, процесса) к объекту (файлу данных, каналу связи и т.п.); и второй пункт - с использованием скрытых каналов.

Итак, под скрытым каналом понимается путь передачи информации, позволяющий двум взаимодействующим процессам обмениваться информацией таким способом, который нарушает системную политику безопасности.

Скрытые каналы бывают двух видов: первое - это крытые каналы с памятью, позволяющие осуществлять чтение или запись другого процесса непосредственно или с помощью промежуточных объектов для хранения информации (временной памяти); Скрытые каналы бывают еще, как скрытые временные каналы, при которых один процесс может получать информацию о действиях другого, используя интервалы между какими-либо событиями (например, анализ временного интервала между запросом на ввод-вывод и сообщением об окончании операции позволяет судить о размере вводимой или выводимой информации).

Итак, третий вид угроз - это по характеру воздействия на саму систему безопасности. По этому критерию различают активное и пассивное воздействие.

Активное воздействие всегда связано с выполнением пользователем каких-либо действий, выходящих за рамки его обязанностей и нарушающих существующую политику безопасности. Это может быть доступ к определенным наборам данных, программам, вскрытие пароля и т.п. Активное воздействие ведет к изменению состояния системы и может осуществляться либо с использованием доступа (например, к наборам данных), либо с использованием скрытых каналов.

Пассивное воздействие осуществляется путем наблюдения пользователем каких-либо побочных эффектов (от работы программы, например) и их анализе. На основе такого рода анализа можно иногда получить довольно интересную информацию. Примером пассивного воздействия может служить прослушивание линии связи между двумя узлами сети. Пассивное воздействие всегда связано только с нарушением конфиденциальности информации, так как при нем никаких действий с объектами и субъектами не производится. Пассивное воздействие не ведет к изменению состояния системы.

Четвертый вид угроз - это по причине появления используемой ошибки защиты.

Реализация любой угрозы возможна только в том случае, если в данной конкретной системе есть какая-либо ошибка или брешь защиты. Итак, пятый пункт - по способу воздействия на объект атаки.

Итак, их подразделяют на: непосредственное воздействие на объект атаки (в том числе с использованием привилегий), например, непосредственный доступ к набору данных, программе, службе, каналу и т.д., воспользовавшись какой-либо ошибкой. Такие действия обычно легко предотвратить с помощью средств контроля доступа.

Следующий - это воздействие на систему разрешений (в том числе захват привилегий). При этом способе несанкционированные действия выполняются относительно прав пользователей на объект атаки, а сам доступ к объекту осуществляется потом законным образом. Примером может служить захват привилегий, что позволяет затем беспрепятственно получить доступ к любому набору данных или  же программе.

Шестой пункт - по способу воздействия на систему обработки и защиты информации:  в интерактивном режиме или же в пакетном режиме. А сейчас, мы с Вами ненадолго прервемся.

Итак, продолжим. Работая с системой, пользователь всегда имеет дело с какой-либо его программой. Но одни программы составлены так, что пользователь может оперативно воздействовать на ход их выполнения, вводя различные команды или данные, а другие так, что всю информацию приходилось задавать заранее. К первым (интерактивным) относятся, например, интерпретаторы командных языков, некоторые утилиты, управляющие программы баз данных. В основном это программы, ориентированные на работу с пользователем. Ко вторым (пакетным) относятся в основном системные или прикладные программы, ориентированные на выполнение каких-либо строго определенных действий без участия пользователя.

Итак, давайте с Вами запишем еще седьмой пункт - это классификация угроз  по объекту атаки. Одной из самых главных составляющих нарушения функционирования системы безопасности банка является объект атаки, то есть компонент самой системы, который подвергается воздействию со стороны злоумышленника. Определение объекта атаки позволяет принять меры по ликвидации последствий нарушения, восстановлению этого компонента, установку контроля по предупреждению повторных нарушений.

Воздействию могут подвергаться следующие компоненты банковской системы: сама система в целом - злоумышленник пытается проникнуть в систему для последующего выполнения каких-либо несанкционированных действий. Для этого обычно используются метод «маскарада», перехват или подделка пароля, взлом или доступ к самой системе через сеть.

Следующий пункт - это объекты системы - данные или программы в оперативной памяти или на внешних носителях, сами устройства системы, как внешние, так и внутренние, каналы передачи данных. Воздействие на объекты системы обычно имеет целью доступ к их содержимому (нарушение конфиденциальности или целостности обрабатываемой или хранимой информации) или нарушение их функциональности, например, заполнение всей оперативной памяти компьютера бессмысленной информацией или загрузка процессора компьютера задачей с неограниченным временем исполнения.

Следующий пункт, который может быть подвергнутся атаки - это субъекты самой банковской системы — это процессы и подпроцессы пользователей. Целью таких атак является либо прямое воздействие на работу процесса — его приостановка, изменение привилегий или характеристик, либо обратное воздействие — использование злоумышленником привилегий, характеристик и т.д. другого процесса в своих целях. Частным случаем такого воздействия является внедрение злоумышленником вируса в среду другого процесса и его выполнение от имени этого процесса. Воздействие может осуществляться на процессы пользователей, системы или же сети.

Следующий пункт - это каналы передачи данных — это пакеты данных, передаваемые по каналу связи и сами каналы. Воздействие на пакеты данных может рассматриваться как атака на объекты сети, воздействие на каналы — специфический род атак, характерный для сети. К нему относятся: прослушивание канала и анализ трафика (потока сообщений) — нарушение конфиденциальности передаваемой информации; подмена или модификация сообщений в каналах связи и на узлах ретрансляторах — нарушение целостности передаваемой информации; изменение топологии и характеристик сети, правил коммутации и адресации, и последнее - это нарушение доступности сети.

Итак, восьмой пункт - по используемым средствам атаки. Для воздействия на систему злоумышленник может использовать стандартное программное обеспечение или специально разработанные программы. В первом случае результаты воздействия обычно предсказуемы, так как большинство стандартных программ хорошо уже изучены. Использование специально разработанных программ связано с большими трудностями, но может быть более опасным, поэтому злоумышленник чаще использует второй вариант.

Девятый пункт - по состоянию объекта атаки. Состояние объекта в момент атаки может оказать существенное влияние на результаты и на работу по ликвидации ее последствий. Объект атаки может находиться в одном из трех состояний:

Первое - это хранения — на диске, магнитной ленте, в оперативной памяти компьютера или любом другом месте. Но находится, будет в пассивном состоянии. При этом воздействие на объект обычно осуществляется с использованием доступа;

Второй вид состояния - это передачи — по линии связи между узлами сети или внутри узла. Воздействие предполагает либо доступ к фрагментам передаваемой информации, либо просто прослушивание с использованием скрытых каналов;

И последний - это в состоянии обработки — в тех ситуациях, когда объектом атаки является процесс пользователя.

Подобная классификация показывает сложность определения возможных угроз и способов их реализации. Итак, следующее, с чем мы познакомимся - это "Несанкционированный доступ к данным".

Это наиболее распространенный вид компьютерных нарушений. Он заключается в получении пользователем доступа к объекту, на который у него нет разрешения в соответствии с принятой в организации политикой безопасности. Обычно самая главная проблема определить, кто и к каким наборам данных должен иметь доступ, а кто нет. Другими словами, необходимо определить термин «несанкционированный».

По характеру воздействия несанкционированного воздействия к данным  является активным воздействием, использующим ошибки системы. Несанкционированный доступ обращается обычно непосредственно к требуемому набору данных, либо воздействует на информацию о санкционированном доступе с целью легализации доступа.

Несанкционированный доступ может быть подвержен любой объект системы. Несанкционированный доступ может быть осуществлен как стандартными, так и специально разработанными программными средствами к объектам в любом состоянии.

Методика реализации несанкционированного доступа в значительной мере зависит от организации обработки информации в самой системе банка ,  разработанной для политики безопасности, возможностей установленных средств защиты, а также добросовестности администратора и оператора. Для реализации несанкционированного доступа существует два способа:

Во-первых, можно преодолеть систему защиты, то есть путем различных воздействий на нее прекратить ее действия в отношении себя или своих программ. Это сложно, трудоемко и не всегда возможно, но зато эффективно;

Во-вторых, можно понаблюдать за тем, что «плохо лежит», то есть какие наборы данных, представляющие интерес для злоумышленника, открыты для доступа по недосмотру или умыслу администратора. Такой доступ, хотя и с некоторой натяжкой, тоже можно назвать несанкционированным, его легко осуществить, но от него легко и защититься. К этому же типу относится и несанкционированный доступ с подбором пароля, поскольку осуществить такой подбор возможно лишь в случае нарушения правил составления паролей и использования в качестве пароля человеческих имен, повторяющихся символов и т.п.

В подавляющем большинстве случаев несанкционированный доступ становится возможным из-за непродуманного выбора средств защиты, а также при небрежном отношении к защите своих собственных данных.

Давайте с Вами запишем небольшой подзаголовок. Незаконное использование привилегий.

Злоумышленники, применяющие данный способ атаки, обычно используют штатное программное обеспечение (системное или прикладное), функционирующее в нештатном режиме. Практически любая защищенная система содержит средства, используемые в чрезвычайных ситуациях, при сбоях оборудования или средства, которые способны функционировать с нарушением существующей политики безопасности. В некоторых случаях пользователь должен иметь возможность доступа ко всем наборам системы (например, при внезапной проверке).

 Такие средства необходимы, но они могут быть чрезвычайно опасными. Однако эти средства используются администраторами, операторами, системными программистами и другими пользователями, выполняющими специальные функции.

Для того, чтобы уменьшить риск от применения таких средств большинство систем защиты реализует такие функции с помощью набора привилегий — для выполнения определенной функции требуется определенная привилегия. В этом случае каждый пользователь получает свой набор привилегий, обычные пользователи — минимальный, администраторы — максимальный (в соответствии с принципом минимума привилегий). Наборы привилегий каждого пользователя являются его атрибутами и охраняются системой защиты. Несанкционированный захват привилегий приведет, таким образом, к возможности несанкционированного выполнения определенной функции. Это может быть несанкционированный доступ к данным, запуск определенных программ и даже реконфигурация системы (т.е. изменение ее конфигурации).

Естественно, при таких условиях расширенный набор привилегий - заветная мечта любого злоумышленника. Он позволит ему совершать практически любые действия, причем, возможно, даже в обход всех мер контроля. Нарушения, совершаемые с помощью незаконного использования привилегий, являются активным воздействием, совершаемым с целью доступа к какому-либо объекту или системе в целом.

Незаконный захват привилегий возможен либо при наличии ошибок в самой системе защиты (что, например, оказалось возможным в одной из версий операционной системы UNIX), либо в случае халатности при управлении системой и привилегиями в частности (например, при назначении расширенного набора привилегий всем подряд). Строгое соблюдение правил управления системой защиты, соблюдение принципа минимума привилегий позволят избежать таких нарушений.

Итак, на следующей лекции мы с Вами познакомимся с разновидностями атак. А сейчас я прощаюсь с Вами.