---

Задание 2. Вычисление показателей угроз для туристического агентства

Формула показателя опасности: P = Р × Y, где Р — вероятность реализации, Y — возможность реализации.

Шкала опасности:

· 0 – 0,15: низкая
· 0,15 – 0,5: средняя
· 0,5 – 1: высокая

УБИ.004. Аппаратный сброс пароля BIOS
Потенциал нарушителя: низкий
Вероятность реализации (Р): 0,15
Возможность реализации (Y): 0,15
Степень ущерба (Х): высокая
Показатель опасности: P = 0,15 × 0,15 = 0,0225 (низкая)
Актуальность: актуальная

УБИ.005. Внедрение вредоносного кода в BIOS
Потенциал нарушителя: высокий
Вероятность реализации (Р): 0,15
Возможность реализации (Y): 0,25
Степень ущерба (Х): высокая
Показатель опасности: P = 0,15 × 0,25 = 0,0375 (низкая)
Актуальность: актуальная

УБИ.008. Восстановление и повторное использование аутентификационной информации
Потенциал нарушителя: средний
Вероятность реализации (Р): 0,5
Возможность реализации (Y): 0,5
Степень ущерба (Х): высокая
Показатель опасности: P = 0,5 × 0,5 = 0,25 (средняя)
Актуальность: актуальная

УБИ.015. Доступ к защищаемым файлам с использованием обходного пути
Потенциал нарушителя: средний
Вероятность реализации (Р): 0,5
Возможность реализации (Y): 0,5
Степень ущерба (Х): высокая
Показатель опасности: P = 0,5 × 0,5 = 0,25 (средняя)
Актуальность: актуальная

УБИ.017. Загрузка нештатной операционной системы
Потенциал нарушителя: низкий
Вероятность реализации (Р): 0,15
Возможность реализации (Y): 0,15
Степень ущерба (Х): высокая
Показатель опасности: P = 0,15 × 0,15 = 0,0225 (низкая)
Актуальность: актуальная

УБИ.030. Использование паролей по умолчанию
Потенциал нарушителя: низкий
Вероятность реализации (Р): 0,75
Возможность реализации (Y): 0,9
Степень ущерба (Х): высокая
Показатель опасности: P = 0,75 × 0,9 = 0,675 (высокая)
Актуальность: актуальная

УБИ.031. Использование механизмов авторизации для повышения привилегий
Потенциал нарушителя: средний
Вероятность реализации (Р): 0,6
Возможность реализации (Y): 0,5
Степень ущерба (Х): высокая
Показатель опасности: P = 0,6 × 0,5 = 0,3 (средняя)
Актуальность: актуальная

УБИ.033. Использование слабостей кодирования входных данных
Потенциал нарушителя: средний
Вероятность реализации (Р): 0,6
Возможность реализации (Y): 0,7
Степень ущерба (Х): высокая
Показатель опасности: P = 0,6 × 0,7 = 0,42 (средняя)
Актуальность: актуальная

УБИ.034. Использование слабостей протоколов сетевого обмена данными
Потенциал нарушителя: средний
Вероятность реализации (Р): 0,5
Возможность реализации (Y): 0,5
Степень ущерба (Х): средняя
Показатель опасности: P = 0,5 × 0,5 = 0,25 (средняя)
Актуальность: актуальная

УБИ.041. Межсайтовый скриптинг (XSS)
Потенциал нарушителя: средний
Вероятность реализации (Р): 0,5
Возможность реализации (Y): 0,5
Степень ущерба (Х): средняя
Показатель опасности: P = 0,5 × 0,5 = 0,25 (средняя)
Актуальность: актуальная

---

Задание 3. Модель угроз безопасности туристического агентства

Угроза Вероятность реализации угрозы Возможность реализации угрозы Показатель опасности угрозы Актуальность угрозы
УБИ.004. Аппаратный сброс пароля BIOS 0,15 (маловероятно) 0,15 (низкая) 0,0225 (низкая) Актуальная
УБИ.005. Внедрение вредоносного кода в BIOS 0,15 (маловероятно) 0,25 (низкая) 0,0375 (низкая) Актуальная
УБИ.008. Восстановление и повторное использование аутентификационной информации 0,5 (средняя) 0,5 (средняя) 0,25 (средняя) Актуальная
УБИ.015. Доступ к защищаемым файлам с использованием обходного пути 0,5 (средняя) 0,5 (средняя) 0,25 (средняя) Актуальная
УБИ.017. Загрузка нештатной операционной системы 0,15 (маловероятно) 0,15 (низкая) 0,0225 (низкая) Актуальная
УБИ.030. Использование паролей по умолчанию 0,75 (более вероятно) 0,9 (очень высокая) 0,675 (высокая) Актуальная
УБИ.031. Использование механизмов авторизации для повышения привилегий 0,6 (средняя) 0,5 (средняя) 0,3 (средняя) Актуальная
УБИ.033. Использование слабостей кодирования входных данных 0,6 (средняя) 0,7 (высокая) 0,42 (средняя) Актуальная
УБИ.034. Использование слабостей протоколов сетевого обмена данными 0,5 (средняя) 0,5 (средняя) 0,25 (средняя) Актуальная
УБИ.041. Межсайтовый скриптинг (XSS) 0,5 (средняя) 0,5 (средняя) 0,25 (средняя) Актуальная

---

Задание 4. Контрольные вопросы

Вопрос 1 Дать определение понятия «угроза физической безопасности», «нарушитель физической безопасности».
Угроза физической безопасности это совокупность условий и факторов которые создают опасность для персонала материальных ценностей или носителей информации в результате физического воздействия. Нарушитель физической безопасности это лицо имеющее физический доступ к объекту или способное его получить с целью реализации угрозы.

Вопрос 2 Назвать и дать характеристику типичных угроз физической безопасности объектов информатизации.
Типичные угрозы это несанкционированное проникновение в помещение кража оборудования и носителей установка подслушивающих устройств повреждение систем охраны вандализм поджог социальная инженерия и нападение на сотрудников.

Вопрос 3 Назвать типичные объекты воздействия угроз безопасности.
Типичные объекты воздействия это серверное и компьютерное оборудование бумажные и электронные носители информации система контроля доступа видеонаблюдение охранная сигнализация сотрудники и клиенты организации.

Вопрос 4 Назвать и охарактеризовать типы и категории нарушителей.
Нарушители делятся на внутренних имеющих легальный доступ в информационную систему и внешних не имеющих такого доступа. По категориям бывают случайные нарушители недобросовестные сотрудники злоумышленники конкуренты террористические группы и специальные службы иностранных государств.

Вопрос 5 Какой тип нарушителя считается самым опасным, привести обоснование ответа.
Самым опасным считается внутренний нарушитель с высоким потенциалом например администратор системы. Он имеет легальный доступ знает структуру защиты может долго действовать незаметно и его сложнее выявить чем внешнего нарушителя.

Вопрос 6 Дать определение понятия «модель нарушителя». Назвать и описать основные характеристики нарушителя безопасности.
Модель нарушителя это формализованное описание его возможностей целей уровня знаний ресурсов и способов действий. Основные характеристики это тип нарушителя внутренний или внешний потенциал низкий средний высокий мотивация цели и способы реализации угроз.

Вопрос 7 Дать определение понятия «формализованная модель нарушителя». Привести методы построения формализованной модели нарушителя.
Формализованная модель нарушителя это математическое или табличное описание его поведения и возможностей. Методы построения это экспертный метод вероятностный метод ролевой метод и графовый метод.

Вопрос 8 Перечислить основные действия которые может совершить внешний нарушитель.
Внешний нарушитель может сканировать сеть проводить атаки через интернет перехватывать трафик применять социальную инженерию физически проникнуть на объект подключиться к локальной сети через свободный порт или загрузиться с внешнего носителя.

Вопрос 9 Дать определение понятия «модель угроз безопасности». Назвать основные показатели определяющие актуальность угроз.
Модель угроз безопасности это систематизированный перечень угроз с оценкой их актуальности для конкретной информационной системы. Основные показатели это вероятность или возможность реализации угрозы и степень возможного ущерба.

Вопрос 10 Что подразумевают под частотой (вероятностью) реализации угрозы? Назовите вербальные градации этого показателя.
Частота реализации угрозы это показатель характеризующий насколько вероятно возникновение угрозы в информационной системе. Градации бывают низкая вероятность реже одного раза в пять лет средняя вероятность не чаще одного раза в год и высокая вероятность чаще одного раза в год.

Вопрос 11 За счет чего могут быть реализованы угрозы безопасности.
Угрозы безопасности реализуются за счет уязвимостей программного и аппаратного обеспечения ошибок персонала недостатков физической защиты отсутствия политик безопасности и использования нарушителями своих возможностей.

Вопрос 12 По какой формуле определяется коэффициент реализуемости угрозы, какова вербальная интерпретация реализуемости угрозы.
Коэффициент реализуемости угрозы определяется как соотношение потенциала нарушителя к уровню защищенности системы. Вербальная интерпретация бывает низкая средняя или высокая реализуемость.

Вопрос 13 Каким образом оценивается опасность каждой угрозы.
Опасность каждой угрозы оценивается как произведение вероятности или возможности реализации угрозы на степень возможного ущерба. Результат может быть низким средним или высоким.

Вопрос 14 Как используют в дальнейшем список актуальных угроз безопасности.
Список актуальных угроз используют для выбора и обоснования средств защиты информации разработки политики безопасности аттестации объекта информатизации и получения лицензии ФСТЭК.