|
Axborot xavfsizligi tahdidlarini amalga oshirishdagi maqsadlari (motivatsiya)
|
| bet | 6/6 | | Sana | 21.05.2024 | | Hajmi | 39,21 Kb. | | #249083 |
Bog'liq 10 мавзу узб (2)Axborot xavfsizligi tahdidlarini amalga oshirishdagi maqsadlari (motivatsiya).
|
Xorijiy davlatlarning maxsus xizmatlari (davlatlar bloklari)
|
Tashqi, ichki
|
Davlatga, uning alohida faoliyat sohalariga yoki iqtisodiyot tarmoqlariga zarar yetkazish. Davlat organlari va tashkilotlari faoliyatini obro‘sizlantirish yoki beqarorlashtirish
|
|
Terroristik, ekstremistik guruhlar
|
Tashqi
|
Davlatga, uning alohida faoliyat sohalariga yoki iqtisodiyot tarmoqlariga zarar yetkazish. Terroristik harakatlarni sodir etish. Mafkuraviy yoki siyosiy motivlar. Davlat organlari, tashkilotlar faoliyatini beqarorlashtirish
|
|
Jinoiy guruhlar (jinoiy tuzilmalar)
|
Tashqi
|
Firibgarlik yoki boshqa jinoiy usullar bilan mulkiy zarar yetkazish. Keyinchalik sotish va moliyaviy foyda olish maqsadida zaifliklarni aniqlash
|
|
Tashqi sub’yektlar (jismoniy shaxslar)
|
Tashqi
|
Mafkuraviy yoki siyosiy motiv. Firibgarlik yoki boshqa jinoiy usullar bilan mulkiy zarar yetkazish. Qiziqish yoki o‘zini o‘zi anglash istagi (malakasini tasdiqlash). Keyinchalik sotish va moliyaviy foyda olish maqsadida zaifliklarni aniqlash
|
|
Raqobatchi tashkilotlar
|
Tashqi
|
Raqobat ustunliklarini qo‘lga kiritish. Aldash yoki ishonchni buzish orqali mulkiy zarar yetkazish
|
|
Dasturiy ta’minot, apparat va dasturiy ta’minot va apparat vositalarini ishlab chiquvchilar, yaratuvchilar, yetkazib beruvchilar
|
Tashqi
|
Ishlab chiqish bosqichida dasturiy ta’minot yoki dasturiy ta’minot va apparat vositalariga qo‘shimcha funktsiyalarni kiritish. Aldash yoki ishonchni buzish orqali mulkiy zarar yetkazish. Qasddan, ehtiyotsiz yoki malakasiz harakatlar
|
|
O‘rnatish, sozlash, yig‘ish, ishga tushirish va boshqa turdagi ishlarga jalb qilingan shaxslar
|
Ichki
|
Aldash yoki ishonchni buzish orqali mulkiy zarar yetkazish. Qasddan, ehtiyotsiz yoki malakasiz harakatlar
|
|
Axborot tizimlarining ishlashini ta’minlovchi yoki operator infratuzilmasini ta’minlovchi shaxslar (ma’muriyat, xavfsizlik, tozalash vositalari va boshqalar).
|
Ichki
|
Aldash yoki ishonchni buzish orqali mulkiy zarar yetkazish. Qasddan, ehtiyotsiz yoki malakasiz harakatlar
|
|
Axborot tizimi foydalanuvchilari
|
Ichki
|
Firibgarlik yoki boshqa jinoiy usullar bilan mulkiy zarar yetkazish. Qiziqish yoki o‘z-o‘zini anglash istagi (malakasini tasdiqlash). Ilgari qilingan harakatlar uchun qasos. Qasddan, ehtiyotsiz yoki malakasiz harakatlar
|
|
Axborot tizimi administratorlari va xavfsizlik xodimlari
|
Ichki
|
Firibgarlik yoki boshqa jinoiy usullar bilan mulkiy zarar yetkazish. Qiziqish yoki o‘z-o‘zini anglash istagi (malakasini tasdiqlash). Ilgari qilingan harakatlar uchun qasos. Keyinchalik sotish va moliyaviy foyda olish maqsadida zaifliklarni aniqlash. Qasddan, ehtiyotsiz yoki malakasiz harakatlar
|
|
Sobiq xodimlar (foydalanuvchilar)
|
Tashqi
|
Firibgarlik yoki boshqa jinoiy usullar bilan mulkiy zarar yetkazish. Ilgari qilingan harakatlar uchun qasos
|
Buzg‘unchilarning imkoniyatlarini baholashda, ularning imkoniyatlarini oshirish uchun ichki buzg‘unchilar 3, 4, 6, 7, 8, 9 va 10-toifali buzg‘unchilar bilan til biriktirishlari mumkin bo‘lgan shartlardan kelib chiqish kerak. Tashqi buzg‘unchilar 4, 7, 8, 9 va 10-toifali buzg‘unchilar bilan til biriktirishlari mumkin. Ham tashqi ham ichki buzg‘unchilar 4, 7, 8, 9 va 10-toifali buzg‘unchilar bilan til biriktirishlari mumkin. Agar bunday taxminlar qabul qilinsa, buzg‘unchilarning maqsadlari (motivatsiyasi) va imkoniyatlari birlashtiriladi.
Har bir buzg‘unchi turining axborot xavfsizligiga tahdidlarni amalga oshirish imkoniyatlari uning salohiyati bilan tavsiflanadi. Buzg‘unchining potentsiali berilgan tarkibiy va funktsional xususiyatlarga va operatsion xususiyatlarga ega bo‘lgan axborot tizimida axborot xavfsizligiga tahdidlarni amalga oshirish uchun zarur bo‘lgan vakolat, resurslar va motivatsiya bilan belgilanadi.
Buzg‘unchilarning salohiyati va ularning imkoniyatlari 10.2-jadvalda keltirilgan.
№
|
Buzg‘unchi-larning potentsiali
|
Buzg‘unchilarning turlari
|
Axborot xavfsizligi tahdidlarini amalga oshirish imkoniyatlari
|
1
|
Bazaviy (past) potentsialga ega buzg‘unchilar
|
Tashqi sub’yektlar (jismoniy shaxslar), axborot tizimlarining ishlashini ta’minlovchi yoki operator infratuzilmasini ta’minlovchi shaxslar, axborot tizimidan foydalanuvchilar, sobiq xodimlar, o‘rnatish, ishga tushirish, montaj qilish, ishga tushirish va boshqa ishlarni bajarishda ishtirok etgan shaxslar
|
Ular axborot tizimining alohida komponentlarining zaif tomonlari to‘g‘risidagi, ochiq manbalarda e’lon qilingan ma’lumotlarni olish imkoniyatiga ega.
Axborot xavfsizligiga tahdidlarni amalga oshirish usullari va vositalari (kompyuter hujumlari) haqida hammaga ochiq manbalarda e’lon qilingan ma’lumotlarni olish va (yoki) axborot tizimiga hujumlarni amalga oshirish va hujumlarni amalga oshirish usullari va vositalarini mustaqil ravishda yaratish imkoniyatiga ega.
|
2
|
Bazaviydan yuqori (o‘rtacha) salohiyatga ega bo‘lgan buzg‘unchilar
|
Terroristik, ekstremistik guruhlar, jinoiy guruhlar (jinoiy tuzilmalar), raqobatlashuvchi tashkilotlar, dasturiy ta’minot, apparat va dasturiy ta’minot vositalarini ishlab chiquvchilar, yaratuvchilar, yetkazib beruvchilar, axborot tizimlari ma’murlari va xavfsizlik ma’murlari.
|
Ular bazaviy salohiyatga ega bo‘lgan buzg‘unchilarning barcha imkoniyatlariga ega.
Ushbu turdagi axborot tizimida qo‘llaniladigan axborot xavfsizligi choralaridan xabardor bo‘lishadi.
Ular tahlil qilish, erkin foydalanish mumkin bo‘lgan dasturiy ta’minotdan foydalanish, amaliy dasturiy ta’minotning kod tahlili va umumiy tizim dasturiy ta’minotining alohida dasturiy komponentlarini tahlil qilish orqali axborot tizimining alohida komponentlarining zaif tomonlari haqida ma’lumot olish imkoniyatiga ega.
Axborot tizimining strukturaviy-funktsional xarakteristikalari va faoliyati xususiyatlari to‘g‘risidagi ma’lumotlarga ega bo‘lish
|
3
|
Yuqori potentsialli buzg‘unchilar
|
Xorijiy davlatlarning maxsus xizmatlari (davlatlar bloklari)
|
Ular bazaviy va bazaviydan yuqori potentsialga ega bo‘lgan buzg‘unchilarning barcha imkoniyatlariga ega.
Ular jismoniy kirish mumkin bo‘lgan (tashkiliy choralar bilan himoyalanmagan) ajratilgan (idoraviy, korporativ) aloqa tarmoqlaridan ruxsatsiz kirishni amalga oshirish imkoniyatiga ega.
Ular chipset dasturiy ta’minoti (proshivka), tizim va amaliy dasturiy ta’minot, telekommunikatsiya uskunalari va axborot tizimining boshqa dasturiy ta’minot va texnik vositalariga zaifliklarni yoki dasturiy ta’minotni buzishni ataylab kiritish uchun foydalanish imkoniyatiga ega.
Axborot tizimida qo‘llaniladigan axborot xavfsizligi chora-tadbirlari, axborot tizimida qo‘llaniladigan algoritmlar, texnik va dasturiy ta’minot haqida yaxshi bilimga ega bo‘lish.
Ular maxsus tadqiqotlar (jumladan, ixtisoslashtirilgan ilmiy tashkilotlarni jalb qilgan holda) va dasturiy tahlil uchun maxsus ishlab chiqilgan vositalardan foydalangan holda zaifliklar haqida ma’lumot olish imkoniyatiga ega.
Ular ixtisoslashgan ilmiy tashkilotlarni jalb qilgan holda axborot xavfsizligiga tahdidlarni amalga oshirish usullari va vositalarini yaratish va maxsus ishlab chiqilgan vositalardan foydalangan holda tahdidlarni amalga oshirish, shu jumladan axborot tizimiga yashirin kirib borish va unga ta’sir ko‘rsatishni ta’minlaydigan vositalarni yaratish qobiliyatiga ega.
Jismoniy maydonlar yoki hodisalar ko‘rinishida tarqatilgan ma’lumotni (ma’lumotga ta’sir etuvchi yoki texnik vositalar) olish uchun maxsus texnik vositalarni yaratish va ulardan foydalanish qobiliyatiga ega.
|
Axborot xavfsizligiga tahdidlarni amalga oshirishda buzg‘unchining harakatlariga, uning potentsialiga qarab, axborot tizimida ishlatiladigan dasturiy ta'minot, tizim va dasturiy ta'minot, tarmoq uskunalarida, shuningdek axborotni himoya qilish va axborot tizimining konfiguratsiyasini tashkil etishda zaifliklarni aniqlash va ulardan foydalanish ko'zda tutilgan. Axborot xavfsizligiga tahdidlarni amalga oshirish usulini aniqlashda, axborot xavfsizligiga tahdidlar to'g'ridan-to'g'ri axborot tizimining tarkibiy qismlariga va (yoki) ma'lumotlarga kirish orqali yoki bilvosita bunday kirishni ta'minlaydigan sharoitlar (xizmat ko'rsatuvchi infratuzilmaga kirish yoki ta'sir qilish orqali, buning uchun operator javobgar emas) va (yoki) vositalarni yaratish orqali amalga oshirilishi mumkinligini hisobga olish kerak. Bunday holda, axborot tizimining tarkibiy qismlariga va (yoki) ma'lumotlarga kirish huquqiga (foydalanish huquqiga) ega bo'lmagan buzg‘unchining mahalliy maqsadi, qoida tariqasida, axborot tizimiga (shu jumladan tashqi umumiy aloqa tarmoqlari orqali) kirish huquqini olish va bunday kirish bilan maksimal huquq va imtiyozlarni olishdir.
Buzg‘unchilar qasddan (axborot xavfsizligiga qasddan tahdidlar) yoki tasodifan (axborot xavfsizligiga qasddan tahdidlar) axborot xavfsizligining buzilishiga olib keladigan harakatlarni sodir etishlari mumkin.
Buzg‘unchilarning qasddan qilingan harakatlari axborot xavfsizligiga maqsadli yoki maqsadsiz tahdidlarni amalga oshirishni o‘z ichiga olishi mumkin.
Axborot xavfsizligiga maqsadli tahdid buzg‘unchini qiziqtiradigan, unga oldindan ma’lum bo‘lgan tizimli va funktsional xususiyatlarga va operatsion xususiyatlarga ega bo‘lgan axborot tizimiga qaratilgan. Axborot xavfsizligiga maqsadli tahdid axborot tizimining tarkibiy va funksional xususiyatlariga moslashtirilgan. Axborot xavfsizligiga maqsadli tahdidlarni tayyorlash va amalga oshirishda buzg‘unchi foydalanuvchilarning xatti-harakatlarini va ular tomonidan olingan tashqi ma’lumotlarga bo‘lgan munosabatini o‘rganishga imkon beradigan ijtimoiy muhandislik usullaridan foydalanishi mumkin.
Axborot xavfsizligiga maqsadsiz tahdid muayyan axborot tizimiga qaratilmagan. Bunday tahdidning maqsadlari ruxsatsiz kirish, nazoratni ushlab turish yoki iloji boricha ko‘proq axborot tizimlariga ta’sir qilish bo‘lishi mumkin. Bunda buzg‘unchi axborot tizimining tarkibiy-funktsional xarakteristikalari va ish sharoitlarini oldindan bilmaydi.
Axborot xavfsizligiga qasddan tahdidlarni amalga oshirish odatda quyidagilarni o‘z ichiga oladi:
axborot tizimi, uning strukturaviy-funksional xarakteristikalari, ish sharoitlari to‘g‘risidagi ma’lumotlarni to‘plash;
berilgan tarkibiy-funktsional xarakteristikalar va ish sharoitlari bilan axborot tizimida axborot xavfsizligiga tahdidlarni amalga oshirish uchun foydalaniladigan usul va vositalarni tanlash (ishlab chiqish, olish);
axborot tizimida axborot xavfsizligiga tahdidlarni bevosita amalga oshirish (axborot tizimiga kirib borish, axborot tizimida birlashtirish, noqonuniy harakatlarni amalga oshirish);
axborot tizimidagi noqonuniy xatti-harakatlarning belgilari va izlarini bartaraf etish.
Buzg‘unchining maqsadlari va salohiyatiga qarab, har bir bosqichda bir yoki bir nechta axborot tizimining zaifliklaridan foydalanish mumkin. Axborot xavfsizligiga tahdidlarni amalga oshirishning mumkin bo‘lgan usullarini aniqlashda quyidagi shartlardan kelib chiqish kerak:
buzg‘unchi yolg‘iz o‘zi yoki buzg‘unchilar guruhi tarkibida harakat qilishi mumkin;
axborot tizimiga nisbatan tashqi buzg‘unchi ichki buzg‘unchi bilan birgalikda harakat qilishi mumkin;
tahdidlar istalgan vaqtda va axborot tizimining istalgan joyida (har qanday tugun yoki xostda) amalga oshirilishi mumkin;
o‘z maqsadiga erishish uchun buzg‘unchi axborot tizimining eng zaif bo‘g‘inini tanlaydi.
Xulosa
Buzg‘unchilikning sabablari quyidagicha bo‘lishi mumkin:
- Xavfsizlik sohasida yetarli ta’lim va tajribaga ega bo‘lmagan xodimlar;
- Xavfsizlik sohasidagi yangiliklarni kuzatish va ularga mos keluvchi ta’lim va tajribaga ega bo‘lmagan xodimlar;
- Xavfsizlik sohasidagi risklarni tushunish va ularni oldini olish uchun kerakli texnikalar va vositalardan foydalanmagan xodimlar;
- Xavfsizlik sohasidagi zararli dasturlar va hujumlar bilan kurashish uchun kerakli bilim va tajribaga ega bo‘lmagan xodimlar.
Buzg‘unchilikning sabablari o‘rganilganligi, xavfsizlik sohasidagi risklarni tushunish va ularni oldini olish uchun kerakli ta’lim va tajribaga ega bo‘lish, xavfsizlik sohasidagi yangiliklarni kuzatish va ularga mos keluvchi ta’lim va tajribaga ega bo‘lish, kerakli texnikalar va vositalardan foydalanishni o‘rganish, zararli dasturlar va hujumlar bilan kurashish uchun kerakli bilim va tajribaga ega bo‘lish kabi muhim jarayonlarga aloqador bo‘lishi kerak. Bu sabablarni tushunib, ularni bartaraf etish uchun kerakli chora-tadbirlar olib borish muhimdir.
|
| |
