Ахборот коммуникация технологияларида ахборот хавфсизлигини баҳолашга ёндашувлар таҳлили



Ушбу мақолада ахборот хавфсизлигига нисбатан қилинган хужумлар статистикаси ва ахборот коммуникация технологияларида ахборот хавфсизлигини баҳолашга ёндашувлар таҳлили келтирилган.

В данной статье представлено статистика атак на информационную безопасность и анализ подходов к оценке информационной безопасности в информационно коммуникационных системах.

This article presents statistics of attacks on information security and analysis of approaches to assessing information security in information communication systems

Ахборот хавфсизлиги — кўп қиррали фаолият соҳаси бўлиб, унга фақат тизимли, комплекс ёндашув муваффақият келтириши мумкин. Ушбу муаммони ҳал этишда ҳуқуқий, маъмурий, процедурали ва дастурий — техник чоралар қўлланилади.

Ахборот хавфсизлигининг замонавий концепцияси — ахборот хавфсизлигини таъминловчи мақсадлар, вазифалар, тамойиллар ва асосий йўналишлар бўйича расмий нуқтаи назарлар мажмуини билдиради [3].

O‘z DSt ISO/IEC 15408 [1, 2] га кўра, ахборот ҳимояси деганда ахборот хавфсизлигининг бузилиши потенциал ёки реал мавжуд хавфларни яратувчи шароит ва омиллар йиғиндиси тушинилади. Ахборот ҳимояси ўз вақтида, яъни унинг конфиденциаллиги, бутунлиги ва фойдаланувчанлиги тушунарлилигига боғлиқдир.

Ахборот хавфсизлигига таҳдидларни учта асосий турга ажратиш мумкин:

– Тармоқ муҳитига тахдид;

– Ташқи омил;

– Мўлжалланмаган омил.

Дастурий объектларга таҳдид. АКТ дастурий объектлари (иловалар, ОТ, сервис жараёнлари ва бошқалар)га хавф солувчи омилларга қуйидагилар киради:

– дастурни тасодифий ёки айнан йўқолиши;

– дастурдан нусха кўчириш йўли билан ўғирлаш;

– дастурларни вируслар ёки нотўғри кириш маълумоти билан зарарланиши;

– дастурлар ёки маълумотларни зарарловчи дастурий хатоларни юзага келтириш.

— Ахборот объектларига таҳдид. Ахборот хавфсизлигига қуйидаги омиллар таҳдид солади:

– маълумотлар базасини тасодифий ёки мўлжалланган ҳолатда йўқолиши;

– сўров параметрларини алмаштириш, унинг оқибатлари дарҳол кўзга ташланмайди;

– махсус аппаратлар ва бошқа қурилмаларга сақланувчи ахборотни ўғирлаш;

– тармоқдаги бузилишлар ёки дастурий объектларнинг ўзидаги хатолар натижасида маълумотларни йўқолиши;

– тармоқдан маълумотларни узатиш йўлида бошқа ахборот билан алмаштириб қўйилиши натижасида вужудга келади.

Сўнги 20 йил ичида АКТнинг ахборот ресурсларига ҳужумларнинг сони кескин ошиши кузатилмоқда(1. 1-расм).

1.1 Расм. Ахборот коммуникация тизимларига (АКТ) бўлган ҳужумлар статистикасининг графиги (http://book.itep.ru маълумотларига асосан)

Ахборот хавфсизлигини таъминлаш маркази компьютер ҳодисалари бўйича ахборотни йиғиш ва таҳлил қилиш, ахборот хавфсизлигини таъминлашга техник ва консультатив ёрдам бериш бўйича Ўзбекистонда ягона давлат муассасаси ҳисобланади. Марказнинг таҳлиллари асосида 2016 йил бўйича қуйидагиларни баён қилиш мумкин.

1.2-расм. 2016 йилнинг январь-декабрь ойларида Интернет тармоғининг миллий сегментидаги ахборот хавфсизлиги ҳодисаларининг (285) сони

Бундан ташқари Positive Technologies компанияси ўтказган Web-сайтларда ахборот ҳимояланганлиги таҳлил қилиб кўрилади, натижада мавжуд Web-сайтларнинг 81 % ахборот хавфсизлигининг стандартларига мос келмаслиги аниқланган (1. 2-расм).

Локал тизимларда АКТни самарали шакллантириш учун, бир қатор босқичли комплекс ёндашувдан фойдаланиш зарур. Бу босқичдан бири АКТда ахборот ҳимояси омиллар тизимини шакллантириш ва баҳолаш моделларини ишлаб чиқишдир [4, 5].

1.3 Расм. Тахлил қилинган Web-сайтларнинг ахборот хавфсизлиги талабларига мослик даражалари

АКТда ахборот хафсизлигини баҳолаш тизимларида баҳолаш усуллари бўйича умумий қабул қилинган стандартлар ва ҳужжатларнинг тўлиқ эмаслигига қарамасдан, бу соҳада кенг тарқалган усулбий таҳлиллари мавжуд. АКТда ахборот хафсизлигини баҳолаш тизимларида баҳолашнинг учта асосий усули мавжуд бўлиб улар:

– таҳлилий;

– статистик;

– синфлаш каби усулларни ажратишга имкон беради.

АКТда ахборот хавфсизлигини баҳолаш тизимларида баҳолашнинг амалий ёндашуви — бу хавф-хатар ва ҳимоя механизмларида калит тушунчалари билан боғлиқ жиддий қийинчиликлар борлиги сабабли кенг тарқалмаган.

Ўз вақтида, статистик ёндашув ахборот хавфсизлигини баҳолаш тизимларида у ёки бу ҳолатларнинг юзага келиши частотаси ҳақида статистик ахборотни йиғиш ва улар асосида мос таҳдидларнинг юзага келишини статистик эҳтимоллик қийматларини ҳисоблашларни кўзда тутади. Эҳтимоли жуда кичик бўлган ҳодисалар ҳақида реал маълумотлар олиш ва АКТ га ҳар йили қўйилувчи янги ускуналар ва дастурий воситалар бўйича реал статистикаларни йиғиш амалда мумкин эмас. Бу эса нима сабабдан АКТ ахборот хавфсизлиги тизимларини баҳолашда статистик ёндашувдан амалиётда қисман фойдаланишни тушунилади, ундан ёндашувчи восита ва статистик маълумотлар ишончлилигини жиддий исботлашда фойдаланилади.

Амалиётда ноформал ҳимоя моделларидан фойдаланувчи ноформал синфларга бўлинувчи ёндашув кенг тарқалган, унда объектлар характеристикалари қийматлари сифатида аниқ категорияларга тегишлилигидан фойдаланилади. Ушбу ёндашув ҳимояланганлик кўрсаткичларининг аниқ қийматларини белгилаб бермайди, лекин АКТ ни ҳимоя даражаси бўйича синфларга бўлиш ва таққослаш имконини беради.

Хавфсизлик регуляторларини қўллаш даражасини баҳолаш учун, ахборот ҳимоя тизимини тестлашнинг фаол ва пассив усулларидан фойдаланилади, яъни потенциалли зараркунанданинг ҳимоя механизмларини алдаш бўйича ҳаракатларини имитациялайди ёки текширув ва сўровномалар ёрдамида ускуналар, операцион тизимлар ва иловалар конфигурациясини таҳлил қилади. Тест ўтказиш қўлда ёки махсус дастурий воситаларни қўллаш билан амалга оширилади.

Кўрсатилган дастурий воситалар мисоли — бу қуйидаги тизимларни ўз ичига олувчи Internet Security Systems компанияси маҳсулотлари оиласидир:

– АКТ даражадаги ҳимоя таҳлили-Internet Scanner, ОТ даражадаги ҳимоя таҳлили — System Scanner;

– ММБТ даражасидаги ҳимоя тахлили — Database Scanner;

– Симсиз тармоқлари даражасидаги ҳимоя таҳлили — Wireless Scanner.

Бундай дастурий маҳсулотлар турли компаниялар (Network Asseociates, Cisco Systems, Symantec, “Информ зашита” ва бошқалар) ва мустақил дастурчилар гуруҳи билан бирга ишлаб чиқилган.

Ахборот хавфсизлигини баҳолашнинг барча мавжуд усуллари маълумотлар базаси технологияларига асосланган автоматлаширилган шахсий воситалардан фойдаланилади ва сифат, миқдорий усулларга бўлинади.

Сўнги 15 йил мобайнида, оддийлиги билан ажралиб турувчи ҳимоянинг усули кенг тарқалди. Турли автоматлаштирилган воситалардан кўп сонли услубиётлар ишлаб чиқилди. Уларнинг ичида энг машҳурлари қуйидагилардан иборат:

Англиянинг GOBRA, Германиянинг RA software Tool ва Австралиянинг Method Warc усуллари. Ушбу методикалар ташкилот ҳимоя тизимининг халқаро стандартлар, яъни ISO 17799–2002 га ёки миллий стандартларга мос равишда баҳолаш имконини беради. Баҳолаш бошланғич маълумотлар асосида, сифатли шкалалардан фойдаланилиб амалга оширилади.

Хавфларни баҳолаш ва бошқариш маълум миқдорий методлари тизими таҳлилининг объектга йўналтирилган усулларга асосланган нозик томонлар маълумотлар базасидан ва махсус ишлаб чиқилган мураккаб ускунавий воситалардан фойдаланилади. Кўрсатилган методларга биринчи навбатда, Англянинг CRAMM [7], Американинг Risk Watch [8] ва Россиянинг “Гриф” ва “АванГард” [6] ларни мисол қилиш мумкин. Аммо, таҳлилидан кўринадики, бу методлар миқдорий деб фақат шартли равишда номланиши мумкин. Чунки унда қўлланилувчи балли баҳо субъективлигининг йирик қисмларига эга сифат шкалаларидан яхши эмас.

АКТ ахборот хавфсизлиги тизимларини баҳолаш учун асосий усул — бу синфларга ёндашув деб таъкидлаш мумкин. Бу усулда интерваллар шкаласидан фойдаланилади ва асосий параметрларни синфлаш йўли билан балли баҳолашга имкон беради. Олинган сифат катигорияларида чизиқли функциялардан фойдаланилиб, мос равишда айрим миқдорий катталикларга қўйилади. Таҳлилдан кўринадики, АКТ ахборот хавфсизлиги тизимларини баҳолашда лингвистик шкалалардан фойдаланиш мақсадга мувофиқдир. Мажмуавий баҳолашда эса, лингвистик шкалалар базасида тўлиқ ортоганал семантик фазони қуриш зарур бўлади. Бугунги кунда, ноаниқ баҳоларнинг мақсадга мувофиқлиги шубҳа уйғотмайди.

АКТ ахборот хавфсизлиги тизимларини баҳолашнинг замонавий усулларининг жиддий камчиликларига экспертлар билимидан самарали фойдаланилмаганликни киритиш мумкин. Қоида бўйича, нисбатан муҳим кўрсаткичлар ва уларнинг нуқтали қийматлари баҳосини олиш билан чегараланади. Мавжуд ишларда мезонлар туридаги асослашлар деярли йўқ. Унда чизиқли белгини танлаш яхши усул ҳисобланади, бунда нисбатан муҳим кўрсаткичларнинг амалда доимий бўлмаганлиги муҳокама қилинмайди. АКТ ахборот хавфсизлиги тизимларини баҳолашнинг замонавий методлари камчилиги — бу чегараланган меъёрий услубий базани қўллаб олинган мажмуавийликнинг йўқлигидир. Деярли барча АКТ ахборот хавфсизлиги тизимларини баҳолашда замонавий усуллар кўп меҳнат сарфлашни талаб қилади ва ишларда лингвистик шкала белгилари градацияси сони етарлича асосланмаган.

Шундай қилиб, АКТ ахборот хавфсизлиги тизимларини баҳолашнинг замонавий усуллари бир қатор аҳамиятли камчиликларга эга. Буларга, улардан амалий фойдаланишнинг қийинчилиги ва олинган натижалар қийматларини пасайтиради. Ўтказилган таҳлиллардан кўринадики, ҳозирги вақтда баҳонинг объективлиги, мажмуавийлиги ва меҳнат сарфи замонавий талабларни қондирувчи АКТ ахборот хавфсизлиги тизимларини баҳолаш усул ва услубиятлари мавжуд эмас.

Адабиётлар:

1. “Ишончли Тизимларнинг Ҳимояланганлигини Баҳолаш Мезонлари” 1999 йил.
2. ISO 17799/IEC «Code of practice for Information security management».
3. Common Evaluation Methodology for Information Technology Security Evaluation. Part 2: Evaluation Methodology, version 1. 0, August 1999.
4. Evaluation Methodology for the Common Criteria for Information Technology Security Evaluation, version 1. 1a, 19 April 2002.
5. Галатенко В. А. Современная трактовка сервисов безопасности. Jet Info, Информационный бюллетень, № 5, 2004.
6. Андрианов Ю. М., Субетто Д. И. Квалиметрия в приборостроении и машиностроении. Л., 1990.
7. Ганиев С. К. Халмуратов О. У., Detection weighty coefficient of functional requirements classes of standard “security techniques evaluation criteria for IT security”. Кимёвий технология. Назорат ва бошқарув», Халқаро илмий журнал, 2014 № 2
8. https://infosec.uz/uz/useful/insident-statistika/