एक धमकी मॉडल लेखन

सभी को नमस्कार, हम अपने लेखों की श्रृंखला "कागजी सुरक्षा" पर जारी रखते हैं। आज हम खतरे के मॉडल को विकसित करने के बारे में बात करेंगे। यदि इस लेख को पढ़ने का उद्देश्य व्यावहारिक कौशल हासिल करना है, तो हमारे दस्तावेज़ टेम्पलेट्स को तुरंत डाउनलोड करना बेहतर है, जिसमें एक खतरा मॉडल टेम्पलेट भी है। लेकिन हाथ में एक टेम्पलेट के बिना भी, लेख शैक्षिक उद्देश्यों के लिए भी पाया जा सकता है।

हमें खतरे वाले मॉडल की आवश्यकता क्यों है?

खतरे के मॉडल को विकसित करने की आवश्यकता को कई नियामक दस्तावेजों द्वारा विनियमित किया जाता है। यहाँ उनमें से कुछ हैं।

कानून नंबर 152-एफजेड "व्यक्तिगत डेटा पर" के अनुच्छेद 19 का भाग 2:

2. विशेष रूप से व्यक्तिगत डेटा की सुरक्षा हासिल की जाती है:

1) व्यक्तिगत डेटा सूचना प्रणाली में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा के लिए खतरों का निर्धारण ;

व्यक्तिगत डेटा सूचना प्रणालियों में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए संगठनात्मक और तकनीकी उपायों की संरचना और सामग्री (रूस के FSTEC के आदेश द्वारा अनुमोदित 18 फरवरी, 2013 नंबर 21):

4. व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के उपाय, सूचना प्रणाली में सूचना सुरक्षा उपकरणों के उपयोग के माध्यम से, अन्य बातों के साथ, उन मामलों में निर्धारित तरीके से अनुरूपता मूल्यांकन प्रक्रिया पारित कर चुके हैं, जहां व्यक्तिगत डेटा की सुरक्षा के लिए वर्तमान खतरों को बेअसर करने के लिए आवश्यक है।

राज्य सूचना प्रणाली में निहित राज़ रहस्यों की जानकारी के संरक्षण के लिए आवश्यकताएँ (11 फरवरी, 2013 को रूस के FSTEC द्वारा अनुमोदित) सं।

सूचना सुरक्षा आवश्यकताओं का गठन ... सहित:
...
सूचना सुरक्षा खतरों की पहचान , जिसके कार्यान्वयन से सूचना प्रणाली में सूचना सुरक्षा का उल्लंघन हो सकता है, और सूचना सुरक्षा खतरों के एक मॉडल के आधार पर विकास हो सकता है;
...

महत्वपूर्ण सुविधाओं, संभावित खतरनाक सुविधाओं के साथ-साथ उत्पादन और तकनीकी प्रक्रियाओं के लिए स्वचालित नियंत्रण प्रणालियों में सूचना सुरक्षा के लिए आवश्यकताएं, साथ ही ऐसी सुविधाएं जो मानव जीवन और स्वास्थ्य और पर्यावरण के लिए एक बढ़ा खतरा पैदा करती हैं (14 मार्च, 2014 को रूस के एफएसटीईसी के आदेश द्वारा अनुमोदित) नहीं। 31):

एक स्वचालित नियंत्रण प्रणाली में सूचना सुरक्षा के लिए आवश्यकताओं का गठन ... शामिल हैं:
...
सूचना सुरक्षा खतरों की पहचान, जिसके कार्यान्वयन से स्वचालित नियंत्रण प्रणाली के सामान्य कामकाज का उल्लंघन हो सकता है, और उनके आधार पर सूचना सुरक्षा खतरों के एक मॉडल का विकास हो सकता है;

रूसी संघ के महत्वपूर्ण सूचना बुनियादी ढांचे की महत्वपूर्ण वस्तुओं की सुरक्षा सुनिश्चित करने के लिए आवश्यकताएं (रूस के एफएसटीईसी के आदेश द्वारा अनुमोदित 25 दिसंबर, 2017 नंबर 239):

11. महत्वपूर्ण सूचना बुनियादी ढांचे के विषय द्वारा महत्वपूर्ण वस्तु की सुरक्षा सुनिश्चित करने के लिए संगठनात्मक और तकनीकी उपायों का विकास ... और इसमें शामिल होना चाहिए:

क) सूचना सुरक्षा खतरों का विश्लेषण और सूचना सुरक्षा खतरों या इसके शोधन (यदि कोई हो) के मॉडल का विकास;

तो, इससे निष्कर्ष सरल है: किसी भी सूचना प्रणाली के लिए जिसे किसी तरह कानून के अनुसार संरक्षित किया जाना है, इसके लिए एक खतरा मॉडल विकसित करना आवश्यक है।

खतरा मॉडल सामग्री

हमने एक दस्तावेज बनाने की आवश्यकता का पता लगाया है, आइए देखते हैं कि कानून अपनी सामग्री के लिए क्या निर्धारित करता है। यहाँ, विचित्र रूप से पर्याप्त, सब कुछ बल्कि दुर्लभ है।

एक धमकी मॉडल की सामग्री का वर्णन करने के एक पाठ्यपुस्तक उदाहरण के रूप में, हम FSTEC के 17 आदेशों का हवाला दे सकते हैं:

सूचना सुरक्षा खतरों के मॉडल में सूचना प्रणाली और इसकी संरचनात्मक और कार्यात्मक विशेषताओं के विवरण के साथ-साथ सूचना सुरक्षा खतरों का विवरण शामिल होना चाहिए, जिसमें उल्लंघनकर्ताओं की क्षमता (उल्लंघनकर्ता का मॉडल), सूचना प्रणाली की संभावित कमजोरियों, सूचना सुरक्षा खतरों को लागू करने के तरीके और सूचना सुरक्षा गुणों के उल्लंघन के परिणामों का विवरण शामिल होना चाहिए।

आप इस पर विश्वास नहीं करते, लेकिन यह सब है। लेकिन दूसरी ओर, हालांकि बहुत अधिक पाठ नहीं है, यह काफी जानकारीपूर्ण है। आइए फिर से पढ़ें और लिखें कि हमारे खतरे के मॉडल में क्या होना चाहिए:

• सूचना प्रणाली का वर्णन;
• संरचनात्मक और कार्यात्मक विशेषताएं;
• सुरक्षा खतरों का वर्णन
• घुसपैठिया मॉडल;
• संभावित कमजोरियाँ;
• खतरों को लागू करने के तरीके;
• सूचना सुरक्षा गुणों के उल्लंघन के परिणाम।

यह कानून के तहत है, जिसे FSTEC की आवश्यकता है। एफएसबी की अतिरिक्त आवश्यकताएं (उनके बारे में थोड़ी देर बाद) और एफएसटीईसी से कुछ अनौपचारिक आवश्यकताएं-इच्छाएं हैं, जिन्हें हमने राज्य सूचना प्रणालियों के खतरे के मॉडल के समन्वय की प्रक्रिया में सामना किया था।

धमकी मॉडल का परिचयात्मक हिस्सा

ठीक है, चलो दस्तावेज़ की सामग्री के लिए नीचे उतरें।

मैं शीर्षक पृष्ठ के बारे में सोचता हूं, संक्षिप्त रूप, नियमों और परिभाषाओं की सूची, सब कुछ स्पष्ट है। हालांकि, शायद, यह विस्तृत ... अचानक शीर्षक पृष्ठ के लिए सार्थक है।

टेम्पलेट में यह सूचना प्रणाली के मालिक के प्रमुख द्वारा हस्ताक्षरित है। यह सिर्फ इतना ही नहीं है।

11 मई, 2017 को रूसी संघ की सरकार का निर्णय नंबर 555:

4. सिस्टम के निर्माण के लिए संदर्भ की शर्तों और सूचना सुरक्षा खतरों के मॉडल को कार्यकारी प्राधिकरण के अधिकारी द्वारा अनुमोदित किया जाता है, जिसे संबंधित शक्तियों के साथ सौंपा गया है।

स्वाभाविक रूप से, यदि सूचना प्रणाली राज्य के स्वामित्व वाली नहीं है और सिस्टम ऑपरेटर कार्यकारी प्राधिकरण नहीं है, तो कोई भी एक खतरे के मॉडल पर हस्ताक्षर कर सकता है। यह सिर्फ इतना है कि हम बार-बार सामने आए हैं, जब उपरोक्त शर्तों (कार्यकारी प्राधिकरण की राज्य सूचना प्रणाली) से मुलाकात की गई थी, ग्राहक ने हमें कवर पेज बदलने के लिए कहा ताकि लाइसेंसधारी कंपनी के प्रतिनिधियों (यानी, हमारे) ने वहां हस्ताक्षर किए। मुझे यह बताना था कि FSTEC संशोधन के लिए खतरों का ऐसा मॉडल क्यों लौटाएगा।

धारा "सामान्य और पद्धति संबंधी समर्थन"

यहां मैं यह याद रखना चाहूंगा कि ISDN से KII तक खतरे के मॉडल को बहुत भिन्न प्रणालियों के लिए विकसित किया जा सकता है। इसलिए, नियामक दस्तावेजों की सूची भिन्न हो सकती है। उदाहरण के लिए, यदि हम एक स्वचालित प्रक्रिया नियंत्रण प्रणाली के लिए खतरा मॉडल विकसित कर रहे हैं, तो हमें टेम्पलेट से FSTEC के 21 और 17 आदेशों को हटाने और 31 वें जोड़ने की आवश्यकता है।

संक्षिप्त नाम "SKZI" के साथ चिह्नित दस्तावेज़ एफएसबी के विनियामक दस्तावेज हैं जो एन्क्रिप्शन उपकरणों की हैंडलिंग को नियंत्रित करते हैं। यदि सूचना प्रणाली में क्रिप्टोकरेंसी का उपयोग नहीं किया जाता है (अब यह एक दुर्लभ वस्तु है, लेकिन फिर भी), तो इन नियामक दस्तावेजों को सूची से हटा दिया जाना चाहिए।

यहां एक सामान्य गलती विभिन्न GOST और अन्य विनियामक दस्तावेजों के अलावा है (वे यहां STR-K में प्रवेश करना बहुत पसंद करते हैं), जो किसी भी तरह से धमकी मॉडलिंग से नहीं जुड़े हैं। या रद्द किए गए दस्तावेज़। उदाहरण के लिए, अक्सर खतरे वाले मॉडल में, एफएसबी तथाकथित विनियामक दस्तावेजों की सूची में "विधि संबंधी सिफारिशें ..." और "विशिष्ट आवश्यकताएं ..." पा सकते हैं, जो लंबे समय से प्रासंगिक नहीं हैं ।

सामान्य प्रावधान

यहां, टेम्पलेट मानक पानी प्रस्तुत करता है - हमें एक खतरे के मॉडल की आवश्यकता क्यों है, आदि हमें यहां ध्यान देने की आवश्यकता है कि विचाराधीन जानकारी के प्रकार के बारे में एक टिप्पणी है। डिफ़ॉल्ट रूप से, टेम्पलेट में सबसे आम विकल्प प्रस्तुत किया जाता है - व्यक्तिगत डेटा (पीडी)। लेकिन सिस्टम में व्यक्तिगत डेटा नहीं हो सकता है, लेकिन अन्य गोपनीय जानकारी (CI) हो सकती है, और जानकारी अन्य विशेषताओं के अनुसार गोपनीय नहीं हो सकती है, लेकिन संरक्षित (CI) - अखंडता और पहुंच है।

सूचना प्रणाली विवरण

यहां आप सूचना प्रणाली के बारे में सामान्य जानकारी पा सकते हैं - यह कहाँ स्थित है, जैसा कि यह कहा जाता है, कौन सा डेटा और कौन सा वर्ग (सुरक्षा स्तर, श्रेणी) संसाधित किया जाता है। यहां, निश्चित रूप से, कई लोग रुचि रखते हैं कि सूचना प्रणाली का वर्णन करना कितना आवश्यक है।

राज्य सूचना प्रणाली के लिए खतरे के मॉडल के कई अनुमोदन की प्रक्रिया में, हमने इस बारे में एक समाधान विकसित किया है - एक मध्य जमीन होनी चाहिए। यह तकनीकी उपकरणों के सीरियल नंबर का संकेत देने वाले तकनीकी पासपोर्ट से कॉपी पेस्ट नहीं होना चाहिए। लेकिन दूसरी तरफ, एक व्यक्ति जो सिस्टम से परिचित नहीं है, जो खतरे के मॉडल में इसके विवरण को पढ़ता है, मोटे तौर पर समझना चाहिए कि यह सिस्टम कैसे काम करता है।

एक उदाहरण:

निपल सूचना प्रणाली का सर्वर हिस्सा भौतिक सर्वरों का एक समूह है जिस पर ESXi 6.x हाइपरविजर तैनात है। ऑपरेटिंग सिस्टम (OS सूची) के नियंत्रण में वर्चुअल सर्वर (सर्वर नाम) द्वारा सूचना प्रणाली की मुख्य सेवाओं का सर्वर हिस्सा प्रदान किया जाता है। प्रसंस्करण प्रक्रियाओं को लागू करने वाला मुख्य सॉफ्टवेयर (सॉफ्टवेयर नाम) है। एप्लीकेशन सॉफ्टवेयर एक क्लाइंट-सर्वर एप्लीकेशन है। क्लाइंट भाग ऑपरेटिंग सिस्टम (ओएस सूची) चलाने वाले उपयोगकर्ता वर्कस्टेशन पर एक मोटी क्लाइंट के रूप में काम करता है। उपयोगकर्ता स्थानीय नेटवर्क और सुरक्षित संचार माध्यमों का उपयोग करके इंटरनेट के माध्यम से सूचना प्रणाली तक पहुँच प्राप्त करते हैं। सामान्य तौर पर, सूचना प्रणाली कार्य करती है जैसा कि आरेख में दिखाया गया है।

सूचना प्रणाली की कार्यात्मक (सामयिक नहीं!) योजना लागू की जाती है।

यह इस बारे में है कि यह आमतौर पर कैसा दिखता है। शैली और अन्य विवरण, निश्चित रूप से, बहुत भिन्न हो सकते हैं, मुख्य बात यह है कि जानकारी को विवरण से खींचा जा सकता है।

एक खंड "परिसर की सुरक्षा" भी है। यहां हम यह वर्णन करते हैं कि काम करने के दौरान और बाहर घंटों के दौरान परिसर की सुरक्षा कैसे की जाती है - वीडियो निगरानी, ​​एसीएस, सुरक्षा गार्ड, चौकीदार, अलार्म और वह सब।

FSB अनुभाग "व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए क्रिप्टोग्राफ़िक सूचना संरक्षण के उपयोग की प्रासंगिकता का निर्धारण" और "सुरक्षा के अतिरिक्त ऑब्जेक्ट" भी खतरे के मॉडल टेम्पलेट में शामिल हैं। यदि क्रिप्टोग्राफी का उपयोग नहीं किया जाता है, तो इन वर्गों को बस हटा दिया जाता है, यदि उपयोग किया जाता है, तो सामान्य रूप से बदलने के लिए कुछ भी विशेष नहीं है, और आपको सूचना प्रणाली का नाम दर्ज करने की आवश्यकता नहीं है।

अनुभाग "खतरे के मॉडल के सिद्धांत" को भी नहीं बदला जा सकता है। बस ध्यान दें कि ऐसे मामलों के लिए एक विकल्प है जब सिस्टम में क्रिप्टोकरेंसी का उपयोग किया जाता है, और जब नहीं। अपनी जरूरत के अनुसार चुनें और आगे बढ़ें।

घुसपैठिए मॉडल

यहां आप इस भाग को क्लासिक और नए में विभाजित कर सकते हैं। शास्त्रीय वह है जहां श्रेणियों 1, 2 और उसके बाद के संभावित उल्लंघनकर्ताओं का वर्णन किया गया है। वास्तव में, घुसपैठिए मॉडल का यह हिस्सा केवल टेम्पलेट में छोड़ दिया जाता है क्योंकि नियामक इसे पसंद करते हैं। व्यावहारिक मूल्य अनुभाग "रूस के FSTEC के खतरों के डेटा बैंक के अनुसार उल्लंघनकर्ताओं" द्वारा दर्शाया गया है।

यह खंड व्यावहारिक मूल्य का है क्योंकि FSTEC खतरे के डेटा बैंक (इसके बाद BDU के रूप में संदर्भित) से खतरे कम, मध्यम और उच्च क्षमता वाले उल्लंघनकर्ताओं से बंधे हैं। यह खंड अपने आप में कम, मध्यम और उच्च क्षमता वाले उल्लंघनकर्ताओं की विशेषताओं के विवरण का कॉपी-पेस्ट है। निम्नलिखित हमारे पसंदीदा "विशेषज्ञ" तरीके का निष्कर्ष है - कौन सा अपराधी हमारे लिए प्रासंगिक है। यही है, वास्तव में, कंपाइलर "आंख से" घुसपैठिए का चयन करता है, क्योंकि अपराधी को चुनने के लिए बस कोई तरीके नहीं हैं।
हम यहां इन विवरणों को पूर्ण रूप से नहीं देंगे, हम संक्षेप में यह बताने की कोशिश करेंगे कि उल्लंघन करने वालों की क्षमता अलग-अलग कैसे है। संभावित में अंतर करने के अलावा, उल्लंघनकर्ता अभी भी बाहरी और आंतरिक हैं।

दुनिया में सबसे प्रतिभाशाली हैकर जो मौजूदा उपकरणों का पूरी तरह से उपयोग करता है और अपने स्वयं के उपकरण बना सकता है अचानक कम क्षमता वाला घुसपैठिया है। समान क्षमताओं वाला एक घुसपैठिया, लेकिन सिस्टम के बारे में कुछ अंदरूनी जानकारी होना पहले से ही एक औसत क्षमता है। मुख्य वाक्यांश जो मध्यम क्षमता को निम्न से अलग करता है: "उनके पास सूचना प्रणाली के कामकाज की संरचनात्मक और कार्यात्मक विशेषताओं और विशेषताओं के बारे में जानकारी है।" यहां आपको इस बारे में ध्यान से सोचने की जरूरत है कि ऐसी जानकारी लीक होने की कितनी संभावना है। उच्च संभावित अपराधी, संक्षेप में, मुख्य रूप से खुफिया एजेंसियां ​​हैं। यहां हमारे पास विशिष्ट वैज्ञानिक संगठनों को आकर्षित करने और भौतिक क्षेत्रों से जानकारी प्राप्त करने का अवसर है, और यह सब कुछ है।

यथार्थवादी स्थितियों में, घुसपैठिए की क्षमता कम या मध्यम है।

"एफएसबी" अनुभाग

अगला भाग "हमले के स्रोतों की सामान्यीकृत क्षमताएं" और "हमले के स्रोतों की क्षमताओं द्वारा पहचानी गई सूचना सुरक्षा खतरों का कार्यान्वयन" हैं। यदि क्रिप्टोकरेंसी का उपयोग नहीं किया जाता है तो इन वर्गों की आवश्यकता नहीं है। यदि वे अभी भी उपयोग किए जाते हैं, तो प्रारंभिक डेटा, और आम तौर पर इन वर्गों के लिए टेबल का आविष्कार करने की आवश्यकता नहीं होती है, उन्हें एफएसबी मानक दस्तावेज़ से लिया जाता है "नियामक कानूनी कृत्यों के विकास पर कार्यप्रणाली की सिफारिशें जो व्यक्तिगत डेटा की सुरक्षा के लिए प्रासंगिक व्यक्तिगत सुरक्षा के लिए खतरों को परिभाषित करती हैं। व्यक्तिगत डेटा सिस्टम संबंधित गतिविधियों के दौरान संचालित होते हैं ”(31 मार्च, 2015 को रूस के संघीय सुरक्षा सेवा के 8 वें केंद्र के प्रबंधन द्वारा अनुमोदित, नंबर 149/7/2 / 6-432)।

टेम्पलेट में हमारी सच्चाई, परिणाम डिफ़ॉल्ट से कुछ अलग है, जो उपरोक्त एफएसबी दस्तावेज़ में दिया गया है।

इन वर्गों का अंतिम लक्ष्य क्रिप्टोग्राफिक सूचना संरक्षण (CPSI) के साधनों के एक वर्ग की स्थापना करना है, जिसका उपयोग प्रणाली में विचाराधीन किया जा सकता है। यह वर्ग सीधे उल्लंघनकर्ता की क्षमताओं पर निर्भर करता है और इसे एफएसबी के 378 आदेश (व्यक्तिगत डेटा के लिए, लेकिन अन्य प्रकार की जानकारी के लिए बस ऐसी कोई आवश्यकता नहीं है) के अनुसार निर्धारित किया जाता है।

सबसे अधिक बार, क्रिप्टोकरेंसी का लागू वर्ग KC3 है। अब आपको बताते हैं कि क्यों।

सामान्य तौर पर, दस्तावेज़ में "व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए संगठनात्मक और तकनीकी उपायों की सामग्री और सामग्री जब वे क्रिप्टोग्राफिक सूचना सुरक्षा का उपयोग करते हुए व्यक्तिगत डेटा सूचना प्रणाली में संसाधित होते हैं, तो सुरक्षा के प्रत्येक स्तर पर रूसी संघ की सरकार द्वारा स्थापित व्यक्तिगत डेटा सुरक्षा की आवश्यकताओं को पूरा करने के लिए आवश्यक है" ( रूस की संघीय सुरक्षा सेवा के आदेश द्वारा अनुमोदित 10 जुलाई, 2014 नंबर 378) प्रश्न में प्रणाली के लिए क्रिप्टोग्राफिक सूचना संरक्षण वर्ग स्थापित किया गया है, सबसे पहले, इसके आधार पर और खतरों, और दूसरी संभव उल्लंघन करने वालों के आधार पर।

हम खतरों के प्रकारों पर विस्तार से ध्यान नहीं देंगे; इंटरनेट पर बहुत सी जानकारी है। हमें इस तथ्य पर ध्यान देना चाहिए कि 3 प्रकार के खतरे हैं और हुक या बदमाश द्वारा, यदि आप क्रिप्टोग्राफी का उपयोग करने की योजना बनाते हैं, तो आपको 3 प्रकार के खतरे (आवेदन और सिस्टम-वाइड सॉफ़्टवेयर में अघोषित क्षमताओं से जुड़े अप्रासंगिक खतरे) करने की आवश्यकता है। क्यों?

क्योंकि 378 FSB आदेश:

• CPS वर्ग केए मामलों में जब टाइप 1 की धमकियां सूचना प्रणाली के लिए प्रासंगिक होती हैं;
• वर्ग केवी का सीआईपीएफ और उन मामलों में उच्चतर जहां टाइप 2 के खतरे सूचना प्रणाली के लिए प्रासंगिक हैं;
• वर्ग KS1 का CIPF और ऐसे मामलों में जहां टाइप 3 के खतरे सूचना प्रणाली के लिए प्रासंगिक हैं।

यह स्पष्ट लगता है, लेकिन समस्या क्या है? समस्या यह है कि आप केए 1, केवी 1 और केवी 2 जैसी कक्षाओं के सीपीएस नहीं खरीद सकते, भले ही आपके पास बहुत सारा पैसा हो जो उनकी लागत है।

हम एक छोटी "जांच" करेंगे। क्रिप्टोग्राफिक सूचना सुरक्षा उपकरणों की नई रजिस्ट्री डाउनलोड करें, हम क्रिप्टोग्राफिक सूचना सुरक्षा वर्ग केए 1 के लिए देख रहे हैं। पहली खोज "हार्डवेयर-सॉफ़्टवेयर एनकोडर M-543K" पर आई। हम Google पर जाते हैं, हम लिखते हैं "खरीदें हार्डवेयर-सॉफ्टवेयर एनकोडर M-543K" - एक विफलता। अगली क्रिप्टोकरेंसी को "खरीदने" की कोशिश - फिर से, विफलता। हम बस "KA1 क्रिप्टोक्यूरेंसी खरीदने के लिए" - एक विफलता। हमें अन्य क्रिप्टोक्यूरेंसी कक्षाओं केएस 1-केसी 3 या उन मंचों के लिए केवल लिंक मिलते हैं जहां क्रिप्टोग्राफी पर चर्चा की जाती है। लेकिन तथ्य यह है कि, जैसा कि पहले ही उल्लेख किया गया है, आप केवल विशेष सैन्य इकाइयों के माध्यम से, केवल अंतरिक्ष यान और अंतरिक्ष यान की SCZI कक्षाएं नहीं खरीद सकते हैं। इन क्रिप्टोकरेंसी को आम तौर पर व्यक्तिगत डेटा पर दस्तावेज़ में क्यों उल्लेख किया गया था अभी भी स्पष्ट नहीं है। इसलिए, साधारण आईएसडीएन में, यह केवल तीसरे प्रकार का खतरा है।

केए और केवी के साथ पता चला, लेकिन केसी 3, और केएस 2 और केएस 1 क्यों नहीं? यहां दूसरी शर्त पहले से ही दोषी है - अपराधी।

378 FSB आदेश:

12. क्रिप्टोग्राफिक सूचना सुरक्षा वर्ग KS3 का उपयोग हमलों को बेअसर करने के लिए किया जाता है, जब इस पद्धति के पैराग्राफ 10 और 11 में सूचीबद्ध संख्या से क्षमताओं का उपयोग करते हुए तैयारी और संचालन करते हैं, और निम्न अतिरिक्त विशेषताओं में से कम से कम एक:

क) सीबीटी के लिए भौतिक पहुंच, जिस पर सीआईपीएफ और एसएफ को लागू किया जाता है ;
ख) क्रिप्टोग्राफिक सूचना संरक्षण प्रणाली और एसएफ के हार्डवेयर घटकों का पता लगाने की क्षमता, सूचना प्रणाली में लागू किए गए उपायों द्वारा सीमित है जिसमें क्रिप्टोग्राफिक सूचना सुरक्षा प्रणाली का उपयोग किया जाता है, और इसका उद्देश्य अनधिकृत कार्यों को रोकने और दबाने के लिए है।

यहाँ तर्क यह है:

• इस तरह के आम क्रिप्टोग्राफिक सूचना सुरक्षा उपकरण, उदाहरण के लिए, उपयोगकर्ता कार्यस्थानों पर ViPNet क्लाइंट या CryptoPRO CSP को लागू किया जाता है;
• उपयोगकर्ता संभावित उल्लंघनकर्ता हैं;
• एक संभावित घुसपैठिए के पास कंप्यूटर सुविधाओं तक भौतिक पहुंच होती है, जिस पर उनके क्रिप्टोग्राफिक सूचना संरक्षण और ऑपरेटिंग वातावरण को लागू किया जाता है।

, , (), , , , , , .

, . , , .

: ? . , , .

-, , , - - . .

, – . , – . , . , ? .

-, (, ) . .

. CVE CVSS, . , , 56546-2015 « . . ». . , - . !

.
2008 . , – , . , , .

. 213 .

. – , , . – .

. . , , - . , , BIOS/UEFI - , . , , , , -.

, -, , 213 , , , .

– . , - . , , .

.

, – . , .

( Y1) , .

.



, . . – , . «» «» 70% , (Y1 = 5), , – (Y1 = 10).

« ( )». , , , , , , « » – .

, , , , .

— – . , . – , .

, . , - , – SQL- ( - !). « », , . , . , .

«»

, – .

:

• , -, ;
• , ;
• , ;
• , ;
• ;
• , ;
• , .

:

• , , ;
• , ;
• , .

, . , , « », . , .

– . « » « » — . « ...». – . , « ». .



. , 1, 2 3. , .

« » — .

« » — , , , – , .

– «» « ». – Y2, , .



, . . , , , , .

, - . , . , , . - , .

, . , , , , .

:

• Y1 – , ;
• – , , .

. – .

« » — «» , (, — «», ). : ; , ; (+, +-, — ).

, (Y2), – .

– Y. Y = (Y1+Y2)/20.

– Y. :



– , . .

– . :



हुर्रे! .