सूचना सुरक्षा में मॉडल

शुभ दोपहर, खाबरोवस्क!

1. ज्वाइन करने के बजाय

मानसिक सूचना सुरक्षा मॉडल के हाल ही में प्रकाशित अनुवाद ने मुझे न केवल सामान्य संदेश (विशेष रूप से, प्रशिक्षण में मॉडल का उपयोग मेरे लिए एक गंभीर सवाल है, क्योंकि सीखने की एक निरंतर प्रक्रिया है), लेकिन यह भी मॉडल के लिंक की एक सूची के साथ रुचि रखता है। वह इतना महत्वपूर्ण क्यों है? हम लेख के पाठ्यक्रम में समझेंगे।

पाठ में सूचीबद्ध कुछ मॉडलों को कार्य प्रक्रिया के ढांचे में सामना करना पड़ता है (निगरानी और प्रतिक्रिया MITER ATT & CK और किल चेन के साथ जोड़ा जा सकता है)। मुझे दूसरों के बारे में एक सामान्य विचार था, लेकिन उन्हें कैसे लागू किया जाए, या इस प्रक्रिया की दक्षता बढ़ाने के लिए क्या प्रमुख विशेषताएं संभव हैं, यह पर्दे के पीछे रहा। ईमानदारी से, मैंने पहली बार कुछ मॉडलों के नाम सुने।

लिंक और खाली समय के साथ सशस्त्र, मैंने विषय का अध्ययन करना शुरू किया। मेरा मानना ​​है कि यह सामग्री दर्शनीय स्थलों की यात्रा या विषय पर एक संक्षिप्त सारांश के रूप में उपयोगी हो सकती है। आगे देखते हुए, मैं कहूंगा कि कुछ मॉडलों के वर्णन ने मुझे निराश किया। लेकिन पहले बातें पहले।

सबसे पहले, अपने बारे में कुछ शब्द। मेरा नाम अलेक्जेंडर नोसेरेव है, और मैं आईबी इंटीग्रेटर में काम करता हूं। मेरा ध्यान निगरानी और प्रतिक्रिया प्रणालियों पर है। सेवा के कर्तव्य के अनुसार, गतिविधि के मुख्य क्षेत्र सूचना सुरक्षा के संदर्भ में लॉग संग्रह और विश्लेषण प्रक्रियाओं के संगठन और स्वचालन हैं, साथ ही विश्लेषण के परिणामों द्वारा पहचाने गए उल्लंघन और घटनाओं के लिए प्रतिक्रिया प्रक्रियाएं हैं।

केवल प्रत्यक्ष नौकरी कर्तव्यों पर काम करना, निश्चित रूप से, अच्छा है। लेकिन आप इतनी दूर तक चले गए - भले ही कुछ हद तक, लेकिन मुझे उद्यम में आईएस के निर्माण के पूरे जीवन चक्र के परिणामों से निपटना होगा, जो मेरे स्वयं के काम से अधिक अंतिम परिणाम को प्रभावित करते हैं।

लेकिन वापस हमारे मॉडल के लिए। मैंने अपने आप को एक एकीकृत दृष्टिकोण विकसित करने का कार्य निर्धारित किया है जो हमें अध्ययन के तहत वस्तुओं की प्रमुख विशेषताओं को निर्धारित करने और निम्नलिखित सवालों के जवाब देने की अनुमति देगा: कब और क्या एक या किसी अन्य मॉडल को लागू किया जाना चाहिए, यह किस पद पर आधारित है, क्या परिणाम प्राप्त किया जा सकता है, आदि।

ऐसा करने के लिए, यह एक सैद्धांतिक भाग के साथ शुरू करने का निर्णय लिया गया था, मूल प्रकाशन और हमारे अपने शोध और अनुभव पर दोनों का निर्माण किया गया था। हो सकता है वह लेख में हमारे साथ हो।

2. सामान्य सिद्धांत

3. मॉडल

मॉडल की सूची मूल लेख से ली गई है। यह जोड़ा गया है CVSS3 मॉडल, सूचना सुरक्षा में व्यापक उपयोग के साथ एक निम्न-स्तरीय अमूर्त मॉडल प्रदर्शित करने के लिए।

• जांच प्रक्रिया।
• हीरा घुसपैठ विश्लेषण।
• MITER ATT और CK।
• गहन रक्षा (गहराई में रक्षा)।
• दर्द का पिरामिड।
• साइबर किल चैन
• साक्ष्य इरादा
• PICERL घटना प्रतिक्रिया प्रक्रिया।
• CVSS3।

यदि आप पूरा लेख आलस्य पढ़ते हैं, तो यहां मॉडल के लिए एक छोटा नेविगेटर है जो उनके आवेदन के मुख्य दायरे का संकेत देता है। मैं इसे पाठकों के लिए एक निष्कर्ष पर क्रम में उद्धृत करूंगा।

3.1। जांच प्रक्रिया मॉडल

अमूर्त स्तर: उच्च।

स्कोप: किसी भी शोध प्रक्रिया।

मुख्य बिंदु और सिद्धांत:

• दृश्यम वास्तविकता नहीं है। हमारे पास केवल सीमित जानकारी है और मान्यताओं के साथ रिक्त स्थान को पूरा करें या उन्हें पूरी तरह से छोड़ दें।
• ज्ञान प्रश्नों से बनता है।
• धारणा की प्रक्रिया में, हम विकृतियों (संज्ञानात्मक और व्यक्तिगत अनुभव से) का परिचय देते हैं।

मुख्य संस्थाएं:

• अवलोकन - सूचना सुरक्षा (SZI) या किसी विश्लेषक की धारणा के साक्ष्य, किसी चीज़ की पुष्टि।
• प्रश्न। सत्यापन योग्य होना चाहिए, आमतौर पर वस्तुओं के बीच निहित संबंधों को संदर्भित करता है।
• हाइपोथीसिस। इसमें एक धारणा और इसकी धारणा के कारण शामिल हैं।
• इसका उत्तर वह साक्ष्य है जो इस परिकल्पना की पुष्टि करता है या उसे रोकता है (जो कि बेहतर है, क्योंकि यह शोध प्रक्रिया को गति देता है)। अन्य प्रश्न उठा सकते हैं।
• एक निष्कर्ष जो आपको होने वाली घटना का वर्णन करने की अनुमति देता है।

हल किए जाने वाले कार्य:

• समझौता के तथ्यों की खोज करें।
• एसओसी विश्लेषक प्रशिक्षण।

उच्च स्तर की अमूर्तता वाले सभी मॉडल सरल लगते हैं। लेकिन, सबसे पहले, सभी महसूस-टिप पेन समान नहीं होते हैं (पीला अधिक कड़वा होता है)। और दूसरी बात, इनमें से अधिकांश मॉडल कुछ विवरण खोजने में कामयाब रहे, जो उनके आवेदन की दक्षता को बढ़ाते हैं। विशेष रूप से, इस मॉडल के लिए यह है:

• "अवलोकन" के लिए दृष्टिकोण। लॉग की शुरुआत या पीड़ित के पीसी पर एनक्रिप्ट से फिरौती की मांग करने वाली खिड़की से SZI की जांच या चयन शुरू करना आवश्यक नहीं है। लेकिन आपको हमेशा यह समझाने में सक्षम होना चाहिए कि आपने प्रक्रिया क्यों शुरू की है। आपकी राय में सूचना सुरक्षा के रुझान ने कुछ जोखिमों में वृद्धि की है। हमलावरों के लिए यह सुविधाजनक है कि आप अपनी संपत्ति की कमजोरियों के आधार पर उस पर हमला करें जो आपको ज्ञात है। तिब्बत में विरोध प्रदर्शन चीन से तिब्बत के आपके उपयोगकर्ताओं द्वारा बड़े पैमाने पर हमले का कारण बन सकता है। कुछ भी।
• परिकल्पना की रचना। परिकल्पना को स्पष्ट करने के कारण की पुष्टि किए बिना, आपके पास परिकल्पना के परीक्षण के लिए औपचारिक मानदंड नहीं होंगे।
• निष्कर्ष का औपचारिककरण। परिणाम विवरण योजना तय की जानी चाहिए। अन्यथा, ऐसे परिणामों का सामान्यीकरण और उस पर आधारित रणनीतिक निर्णयों को अपनाना असंभव हो सकता है। या आप बस अपने शोध के परिणामस्वरूप कुछ याद करते हैं।

3.2। मॉडल "डायमंड"

अमूर्त स्तर: उच्च।

स्कोप: सूचना सुरक्षा घटनाओं के साथ काम के ढांचे में कोई शोध प्रक्रिया।

मुख्य बिंदु और सिद्धांत:

• प्रत्येक समझौता कार्यक्रम के लिए, एक हमलावर होता है जो अपनी समस्या को हल करने के लिए एक क्रिया करता है। यह बुनियादी ढांचे द्वारा प्रदान किए गए अवसरों का लाभ उठाता है। ये अवसर पीड़ित के खिलाफ निर्देशित होते हैं और हमलावर के लक्ष्य को प्राप्त करने के लिए काम करते हैं।
• ऐसे हमलावर हैं जो अपने इरादों में आगे बढ़ने और अपनी जरूरतों को पूरा करने के लिए मेजबानों और नेटवर्क से समझौता करने के तरीकों की तलाश कर रहे हैं।
• किसी भी प्रणाली, और इसलिए किसी भी लक्ष्य संपत्ति, कमजोरियों और कमजोरियों है।
• प्रत्येक दुर्भावनापूर्ण गतिविधि में चरण होते हैं, जिसके सफल क्रियान्वयन से संपूर्ण रूप से गतिविधि की सफलता होती है।
• प्रत्येक आक्रमण की घटना को सफल होने के लिए एक या अधिक स्थितियों की आवश्यकता होती है।
• हमलावर और पीड़ित के बीच हमेशा एक संबंध होता है, भले ही वे अंतर्निहित या अप्रत्यक्ष हों।
• प्रेरणा, संसाधन और समय की एक विस्तारित अवधि में दुर्भावनापूर्ण उपस्थिति बनाए रखने की क्षमता वाले साइबर अपराधी हैं। यह दुर्भावनापूर्ण गतिविधि एक या एक से अधिक पीड़ितों में हो सकती है और इसमें आने वाले काउंटरमेशर्स शामिल हैं।

मुख्य संस्थाएं:

• एक हमलावर एक कलाकार और एक ग्राहक होता है, जो क्रमशः TTP और हमले के अंतिम लक्ष्य को प्राप्त करता है।
• हमलावर द्वारा उपयोग किया जाने वाला इन्फ्रास्ट्रक्चर।
• अवसर। गुणवत्ता और मात्रा द्वारा विशेषता।
• पीडि़त। हमलावरों के कार्यों के लिए "संवेदनशीलता" के साथ संपत्ति और एक व्यक्ति।

हीरा मॉडल मुझे कॉलेज के बाद से ज्ञात है, लेकिन इसे आमतौर पर एक ही हीरे के रूप में चित्रित किया जाता है, और मुझे गहरी खुदाई करने के लिए नहीं हुआ था। इसलिए, मेरे दिमाग में यह सवाल हमेशा उठता है: यह मेरी समस्या को कैसे हल करेगा? इसका कोई जवाब नहीं था। विवरण पढ़ने के बाद, मुझे निम्नलिखित दिलचस्प विवरण मिले।

इकाई संबंध:

• घटना - विशिष्ट तकनीकों का उपयोग करके एक विशिष्ट चरण में एक हमलावर की कार्रवाई। यह रूपक के एक सेट की विशेषता है। यह वह घटना है जो हीरे के रूप में प्रदर्शित होती है।
• गतिविधि प्रवाह - घटनाएँ, मेटा-फ़ील्ड्स के आधार पर एकजुट होती हैं।
• गतिविधि समूह - मेटा-फ़ील्ड्स के आधार पर गतिविधि स्ट्रीम का एक समूह।

इन संस्थाओं के सभी तत्वों को एक विश्वास रेटिंग दी गई है।

इस प्रकार, एक हीरे का मॉडल आक्रमण प्रक्रिया के चरणबद्धता के साथ, उदाहरण के लिए, किल चेन मॉडल के अनुसार, हमले की प्रक्रिया का वर्णन करने के लिए एक उत्कृष्ट रूपरेखा प्रदान करता है। निम्नलिखित सिद्धांत के अनुसार चेनिंग होता है: एक घटना में एक पीड़ित या अवसर के रूप में जो दिखाई दिया, वह निम्नलिखित में बुनियादी ढाँचा बन सकता है। घटनाक्रम भी एक चरण से संबंधित हो सकता है और क्रमिक रूप से या समानांतर में जा सकता है। इसके अलावा, एक कनेक्शन के उद्भव के लिए, घटनाओं को एक गतिविधि स्ट्रीम से संबंधित नहीं होना चाहिए। ये निर्भर प्रवाह हो सकते हैं, उदाहरण के लिए, एक ठेकेदार के माध्यम से हैकिंग। अतिरिक्त मेटा-फ़ील्ड हमले के विवरण का वर्णन करने की अनुमति देते हैं।


इसके अलावा, लेखक संस्थाओं और वैक्टर के साथ उनके संबंधों का वर्णन करते हैं (तत्वों का एक संख्यात्मक या निश्चित मौखिक अर्थ है)। यह किसी प्रश्न के उत्तर खोजने के लिए क्लस्टर घटनाओं को संभव बनाता है। उदाहरण के लिए, हमलावरों के एक समूह की स्थापना, जांच के दौरान अगली या लापता कार्रवाई की भविष्यवाणी करने का प्रयास, हमलावरों की सबसे लोकप्रिय क्षमताओं को बंद करने के लिए SZI का विकल्प, आदि। इस पहलू पर, विवरण पर महत्वपूर्ण जोर दिया गया है।


मॉडल एक्स्टेंसिबल है, खासकर मेटा-फील्ड के संदर्भ में। उदाहरण के लिए, लेखक इस तरह के विकल्प का प्रस्ताव करते हैं।


अतिरिक्त इकाइयाँ:

• सामाजिक-राजनीतिक पहलू (मकसद)।
• तकनीकी पहलू।

इस दृष्टिकोण में गैर-तकनीकी प्रतिरूपों का उपयोग भी शामिल है। हमलावरों की मंशा और प्रेरणा को प्रभावित करके इन तरीकों को लागू किया जाता है। मॉडल के वर्णन में दिया गया एक उदाहरण: वास्तविक हैकर हमलों में से एक को प्रदर्शनकारियों की माताओं को सक्षम कॉमरेडों द्वारा कॉल के बाद रोक दिया गया था। जैसा कि कहावत है, युद्ध में सभी साधन अच्छे होते हैं।

हल किए जाने वाले कार्य:

• डेटा विश्लेषण, जांच, रोकथाम और घटनाओं के कारणों के उन्मूलन के दौरान क्रियाओं का व्यवस्थितकरण और समन्वय।
• रेखांकन के आधार पर घटनाओं के कारणों की जांच, रोकथाम और उन्मूलन के विश्लेषणात्मक मुद्दों का गणितीय गलत अनुमान
• न केवल तकनीकी countermeasures का उपयोग। उदाहरण के लिए, गैर-तकनीकी साधनों द्वारा हमले के वैक्टर का बहिष्करण, संरक्षित जानकारी के संचलन सर्किट की सीमा आदि।

घटना का वर्णन करने में, हम रक्षक से दृश्य से हमलावर की तरफ से आगे बढ़ सकते हैं। तब हमें संभावित हमले के विकल्पों का एक ग्राफ मिलता है, जिससे हम सूचना सुरक्षा प्रणाली के निर्माण पर निर्माण कर सकते हैं।

3.3। मॉडल MITER ATT और CK

अमूर्त स्तर: मध्यम।

स्कोप:

• एक ही संगठन MITER CAPEC के पड़ोसी परियोजना में कंप्यूटर नेटवर्क (एप्लिकेशन सुरक्षा, डेटाबेस सुरक्षा, आदि के लिए) की सूचना सुरक्षा।
• निरंतर निगरानी (स्नैपशॉट नहीं) प्रदान करते हुए, अंतिम उपकरणों पर सेंसर को संगठन में तैनात किया जाना चाहिए। मैट्रिक्स को कई बार अपडेट किया गया है, इसलिए डेटा पूरी तरह से प्रासंगिक नहीं है। लेकिन सेंसर के बिना क्या पता लगाया जा सकता है इसका एक अनुमानित विचार मॉडल के पिछले पुनरावृत्तियों में से एक के हरे ब्लॉकों द्वारा प्रदर्शित किया जाता है (स्पॉयलर: कोई नहीं)।

ऐसी प्रणालियाँ जिनके लिए मैट्रिक्स मौजूद है:

• एंटरप्राइज: विंडोज, लिनक्स, मैकओएस।
• मोबाइल: Android, iOS

मुख्य बिंदु:

• मॉडल को हमलावर के दृष्टिकोण से बनाया गया है। इसलिए, हम इस सवाल पर आगे बढ़ सकते हैं "क्या हुआ?" "क्या हो सकता है?" यानी प्रतिक्रियाशील से सक्रिय क्रियाओं तक।
• ( ). , . यानी , . , .. .
• . , , , RedCanary Atomic Threat Coverage . .
• «?».
• «?».

।
:

• . . , – .
• , , . , . , , . , .
• . , .
• . , , , , .
• . .

:

• .
• .
• .
• .

:

• , .
• Red Team.
• .
• .
• SOC ( ).
• TI. , .. TI .
• . .
• . .
• .

:

• .
• / .
• .
• .
• .

Kill Chain, .

3.4. « »

: .

: .

:

• .
• .

: ( ) , .

.

3.5. « »

: .

: IOC.

: IOC , IOC.

: IOC.

: IOC , .

TI, . . , , TTP, , MITRE ATT&CK.

3.6. «Cyber Kill Chain»

: .

: .

:

• .
• , , .

: , : , , , , , , .

: ( ) .

. .

. MITRE ATT&CK «Diamond».

3.7. « »

: .

: .

:

• , .
• , ..

: (, ).

: .

:

• – .
• – .
• – by design, .. .

«» . , , , . , . – .

3.8. « PICERL»

: .

: .

: .

: : , , , , , .

: .

, «Kill Chain», . , play book-. – , – .

3.9. CVSS3

: .

: .

: :

• .
• ( ).
• ( ).

( ):
:
, :

• AV (NALP), .
• AC (LH), .
• / PR (HLN).
• UI (NR).
• S (UC), .

( ):

• , C, I, A (NMH).

:

• E (ND/XHF POC/PU).
• RL (ND/XUW TF/T OF/O).
• RC (XURC).

:

• CR, IR, AR (ND/XHML).
• MAV, MAC, MPR, MUI, MS, MC, MI, MA, I- .

: ( + ) .

, , . CVSS2 CVSS3, . CVSS3.1.

, , . , .

3.10

, :

• CIA
• DREAD
• STRIDE
• Joint Intelligence Preparation of the Operational Environment (JIOPE)
• ADAM
• Attack Trees
• The Analysis of Competing Hypotheses (ACH)

4. .

औपचारिकता के विभिन्न डिग्री के मॉडल, साथ ही साथ विभिन्न घरेलू और विदेशी मानकों के उपयोग के आधार पर सुरक्षा के लिए एक व्यवस्थित दृष्टिकोण, हमें काफी कुछ गलतियों से बचने की अनुमति देता है। यह न केवल सिस्टम के सफल निर्माण के लिए आवश्यक शर्तों और कारकों को नहीं भूलना चाहिए (जैसा कि यह ISIS है या किसी विशिष्ट घटना की जांच)। लेकिन यह आपको अनावश्यक मापदंडों को छोड़ने की भी अनुमति देता है, जो केवल तस्वीर को जटिल करता है।

यह याद रखना महत्वपूर्ण है कि मॉडल, साथ ही साथ मानक, अंतिम सत्य नहीं हैं। केवल इसलिए नहीं कि उन्हें समय-समय पर समीक्षा के अधीन होना चाहिए ताकि वे हल किए गए कार्य के हिस्से के रूप में एक वास्तविक वस्तु को अधिकतम रूप से प्रदर्शित कर सकें। लेकिन यह भी क्योंकि, कुल मिलाकर, उन्हें आपके द्वारा स्वीकार किए गए कार्य, सीमाओं और मान्यताओं के आधार पर चुना जाना चाहिए, जो निश्चित रूप से समय के साथ बदलते हैं। किसी विशेष मॉडल का उपयोग करने का निर्णय भी बाहरी प्रक्रियाओं की आवश्यकताओं के अधीन है जो आपके कार्यों के लिए जानकारी की आपूर्ति करते हैं या डेटा को स्वीकार करते हैं जो आपके काम का परिणाम है। मेरी राय में, यह लेख सबसे उपयुक्त मॉडल चुनने के लक्ष्य में योगदान कर सकता है। अगला आप पर निर्भर है।

संक्षेप में, मैं उनके आवेदन के मुख्य क्षेत्र को इंगित करके मॉडल द्वारा एक छोटे नाविक की नकल करूँगा।

यूनिवर्सल मॉडल:

• जांच प्रक्रिया - जांच और प्रशिक्षण के दौरान सवालों के जवाब खोजने की एक तकनीक; अधिक सामान्य अध्ययनों पर लागू किया जा सकता है।

सूचना सुरक्षा घटनाओं के साथ काम करने के लिए मॉडल:

• हीरा - खोज और दस्तावेज़ की घटनाएं, जांच परिणामों को टीआई में परिवर्तित करें
• MITER ATT & CK - घटना खोज, व्यवहार विश्लेषण।
• प्रमाण का आशय फोरेंसिक है।
• PICERL - घटना प्रतिक्रिया।

सूचना सुरक्षा प्रणाली के निर्माण के लिए मॉडल:

• गहराई में रक्षा - एसपीआई के सापेक्ष रक्षा प्रणाली को अलग करना।
• साइबर किल चेन - हमले के चरणों के बारे में रक्षा प्रणाली को अलग करना।
• दर्द के पिरामिड - आईओसी के साथ काम करते हैं।
• MITER ATT & CK - निगरानी प्रणाली और इसके मूल्यांकन के लिए सामग्री तैयार करना।
• साक्ष्य का आशय विशेष निगरानी उपकरणों की शुरूआत है।
• PICERL - घटना प्रतिक्रिया तैयारी।
• CVSS3 - भेद्यता प्रबंधन प्रणाली का निर्माण।

यह याद रखने योग्य है कि इन मॉडलों को अन्य उद्देश्यों के लिए लागू किया जा सकता है। इसके अलावा, वे आसन्न क्षेत्रों के लिए आवश्यकताओं को निर्दिष्ट कर सकते हैं। उदाहरण के लिए, संबंधित प्रक्रियाओं के इनपुट या आउटपुट में उन डेटा की संरचना और प्रारूप का उपयोग करें जो उनका उपयोग करेंगे।