2. Анализ рисков информационной безопасности беспроводных сетей стандарта ieee 802.11

   1. Общая методика оценки рисков информационной безопасности

      1. Особенности оценки рисков информационной безопасности беспроводных сетей стандарта ieee 802.11

Оценка рисков является элементом анализа, при котором риски ранжируются, и делается вывод о допусти­мом их уровне, первоочередных мероприятиях по повы­шению защиты, выбираются средства, обеспечивающие оптимальный режим ИБ.

Анализ рисков предоставляет необходимую информацию системе управления рисками, в которой определяются контрмеры в зависимо­сти от опасности. При выработке предложений по противодействию угро­зам, в первую очередь, ставится задача обеспечения максимальной безопасности штатными средствами сети с привлечением при необходимости дополни­тельных средств [61].

Целью анализа является оценка величин отдельных рисков, угрожающих безопасности сети, определение наиболее значимых из них и формулировка приоритетов в реализации системы защиты.

Риск определяется исходя из двух факторов: вероятность реализации угрозы и ущерб, нанесенный владельцу информации от реализации угроз [62, 63]:

R = P_р.у * U, (2.1)

где R – риск;

P_р.у – вероятность реализации угрозы;

U – ущерб от реализации деструктивного действия.

В общем случае «*» является оператором. В табличных методах оценки рисков этот оператор заменяется операцией умножения, но необходимо иметь в виду, что операция умножения обладает свойством комму­тативности, т.е. в некоторых случаях, различные комбинации вероятностей реализации угрозы и ущерба будут соответствовать одинаковым значениям рисков информационной безопасности, что является неприемлемым для задачи ранжирования.

Так, например, при оценке некоторого риска веро­ятность угрозы может играть большую роль, в связи с тем, что часто повторяющиеся атаки данного типа могут привести к потере доверия партнеров или к санкциям контролирующих органов, тогда как ущерб от единичных атак может быть не очень значительным. Напротив, для другой угрозы при таком же ущербе от еди­ничной атаки эффект усиления негативного последствия атак может отсутствовать [63].

Операция нечеткого вывода, являющаяся основой теории нечеткой логики, не обладает свойством коммутативности [65], в отличие от операции умножения. Таким образом, использование аппарата нечетких множеств и теории нечеткой логики является более целесообразным для анализа и последующего ранжирования рисков информационной безопасности беспроводных сетей стандарта IEEE 802.11.

Для измерения рисков не существует единой шкалы. Риски можно оценивать по объективным либо субъективным критериям [66, 67].

Под объективной (иногда называемой физической) вероятностью понимается относительная частота появления какого-либо события в общем объеме наблюдений или отношение числа благоприятных исходов к общему их количеству. Объективная вероятность возникает при анализе результатов большого числа наблюдений, имевших место в прошлом, а также как следствия из моделей, описывающих некоторые процессы.

Под субъективной вероятностью понимается мера уверенности некоторого человека или группы людей в том, что данное событие в действительности будет иметь место. Как мера уверенности человека в возможности наступления события субъективная вероятность может быть формально представлена различными способами: вероятностным распределением на множестве событий, бинарным отношением на множестве событий, не полностью заданным вероятностным распределением или бинарным отношением и другими способами. Наиболее часто субъективная вероятность представляет собой вероятностную меру, полученную экспертным путем.

В настоящее время в Российской Федерации для сетей стандарта IEEE 802.11 не принято отдельной методики анализа и управления рисками информационной безопасности. Специфика таких сетей отражается в используемых подходах к анализу рисков. Особенностью ИБ сети, построенной на базе стандарта IEEE 802.11, является то, что в результате атак, выполняемых через ее уязвимости, ущерб наносится как ресурсам самой беспроводной сети, так и активам организации в целом.

При этом многие активы не имеют четкого денеж­ного выражения, например, потеря репутации. Это затрудняет, а в большинстве случаев делает невозможным более или менее точную количественную оценку ущерба. Тот факт, что статистические данные о вероятностях реализации угроз и ущербах от них в беспроводных сетях стандарта IEEE 802.11 в настоящее время отсутствуют, свидетельствует о невозможности получения объективной вероятности этих параметров.

Таким образом, единственной возможностью оценить вероятность реализации угроз и ущерб от них является получение субъективной вероятности по уровневым значениям этих показателей путем опроса экспертов. Это является еще одним основанием для использования аппарата нечетких множеств и нечеткой логики, которые позволят заменить при­ближенные табличные методы гру­бой оценки рисков современным математическим методом, адекват­ным рассматриваемой задаче [18, 65].

Процесс получения субъективной вероятности принято разделять на три этапа [66, 67]:

– подготовительный этап;

– получение оценок;

– этап анализа полученных оценок.

Первый этап. Во время этого этапа формируется объект исследования - множество событий, проводится предварительный анализ свойств этого множества (устанавливается зависимость или независимость событий, дискретность или непрерывность случайной величины, порождающей данное множество событий). На основе такого анализа выбирается один из подходящих методов получения субъективной вероятности. На этом же этапе производится подготовка эксперта или группы экспертов, ознакомление их с методом и проверка понимания поставленной задачи экспертами.

Второй этап состоит в применении метода, выбранного на первом этапе. Результатом этого этапа является набор чисел, который отражает субъективный взгляд эксперта или группы экспертов на вероятность того или иного события, однако далеко не всегда может считаться окончательно полученным распределением, поскольку может быть противоречивым.

Третий этап состоит в исследовании результатов опроса. Если вероятности, полученные от экспертов, не согласуются с аксиомами вероятности, то на это обращается внимание экспертов и производится уточнение ответов с целью их соответствия аксиомам. Для некоторых методов получения субъективной вероятности третий этап не проводится, поскольку сам метод состоит в выборе вероятного распределения, подчиняющегося аксиомам вероятности, которое в том или другом смысле наиболее близко к оценкам экспертов. Особую важность третий этап приобретает при агрегировании оценок, полученных от группы экспертов.

Таким образом, для анализа и последующего ранжирования рисков, а также принятия решения о перво­очередных мероприятиях по защите, необходимо оценить субъективные вероятности реализации угроз информационной безопасности и нанесения ущерба от их реализации.

При этом надо иметь в виду, что один и тот же ущерб может достигаться разными путями, т. е. исходить от нарушителей разного типа с использова­нием различных уязвимостей и разных путей достижения цели. Поэтому при оценке рисков каждая из угроз должна рассматриваться во всех аспектах ее осу­ществления.