Автор работы: Пользователь скрыл имя, 05 Января 2012 в 15:25, лабораторная работа
Рассмотрим расчет рисков только для одного ресурса ИС – сервера, т.к. для остальных ресурсов риск рассчитывается аналогично
Пример расчета рисков ИБ на основе модели угроз и уязвимостей Рассмотрим расчет рисков только для одного ресурса ИС – сервера, т.к. для остальных ресурсов риск рассчитывается аналогично. 1. Входные данные по всем ресурсам ИС.
| Ресурс | Угрозы | Уязвимости |
|
АРМ Директора
(Критичность ресурса D = 1000 у.е.) |
Угроза 1.
Не санкционированные доступ злоумышленника |
Уязвимость 1.
Не контролируемый вход в помещение |
| Уязвимость 2.
Отсутствия межсетевого экрана | ||
| Угроза 2.
Вирусная атака |
Уязвимость 1.
Не обновляется антивирусное ПО | |
| Уязвимость 2.
Не контролируется подключение носителей | ||
| Угроза 3.
Отказ работы. |
Уязвимость 1.
Отсутствие планового осмотра АРМ | |
| Уязвимость 2.
Отсутствие ИБП |
2. Входные данные по парам ресурс/угроза для каждого ресурса ИС.
| Ресурс 1. Сервер | ||
| Угроза/уязвимость | Вероятность
реализации угрозы через
данную уязвимость в
течении года
%, P(V) |
Критичность
реализации угрозы через
данную уязвимость
%, ER |
| Угроза 1/уязвимость 1 | 50 | 80 |
| Угроза 1/уязвимость 2 | 60 | 80 |
| Угроза 2/уязвимость 1 | 70 | 70 |
| Угроза 2/уязвимость 2 | 90 | 70 |
| Угроза 3/уязвимость 1 | 40 | 50 |
| Угроза 3/уязвимость 2 | 75 | 50 |
3. Расчет уровней угрозы по каждой (Th) и по всем (CTh) уязвимостям для каждого ресурса ИС.
| Ресурс 1. Сервер | ||
| Угроза/уязвимость | Уровень
угрозы по каждой уязвимости
%, Th |
Уровень
угрозы по всем уязвимостям,
через которые
она может быть
реализована
%, CTh |
| Угроза 1/уязвимость 1 | 0.4 | 0.6880 |
| Угроза 1/уязвимость 2 | 0.48 | |
| Угроза 2/уязвимость 1 | 0.49 | 0.8113 |
| Угроза 2/уязвимость 2 | 0.63 | |
| Угроза 3/уязвимость 1 | 0.2 | 0.5000 |
| Угроза 3/уязвимость 2 | 0.375 | |
4. Расчет общего уровня угроз (CThR) действующего на ресурс для каждого ресурса ИС.
| Ресурс 1. Сервер | ||
| Угроза/уязвимость | Уровень
угрозы по всем уязвимостям
%, CTh |
Общий
уровень угроз
по ресурсу
%, CThR |
| Угроза 1/уязвимость 1 | 0.6880 | 0.9705 |
| Угроза 1/уязвимость 2 | ||
| Угроза 2/уязвимость 1 | 0.8113 | |
| Угроза 2/уязвимость 2 | ||
| Угроза 3/уязвимость 1 | 0.5000 | |
| Угроза 3/уязвимость 2 | ||
5. Расчет итогового риска по ресурсу (R) для всех ресурсов ИС.
| Ресурс 1. Сервер | ||
| Угроза/уязвимость | Общий
уровень угроз
по ресурсу
%, CThR |
Риск
по ресурсу
у.е., R |
| Угроза 1/уязвимость 1 | 0.9705 | 970.5 |
| Угроза 1/уязвимость 2 | ||
| Угроза 2/уязвимость 1 | ||
| Угроза 2/уязвимость 2 | ||
| Угроза 3/уязвимость 1 | ||
| Угроза 3/уязвимость 2 | ||
6. Расчет общего риска по информационной системе (CR).
Для нашего примера (режима с одной базовой угрозой и случая оценки в деньгах) необходимо просуммировать все риски (R) по каждому ресурсу ИС:
.
Но так как мы описали здесь лишь один ресурс, то CR = 970.5 у.е.
7. Данные по парам ресурс/угроза для каждого ресурса ИС после введения контрмер.
| Ресурс 1. Сервер | ||
| Угроза/уязвимость | Вероятность
реализации угрозы через
данную уязвимость в
течении года
%, P(V) |
Критичность
реализации угрозы через
данную уязвимость
%, ER |
| Угроза 1/уязвимость 1 | 10 | 80 |
| Угроза 1/уязвимость 2 | 30 | 80 |
| Угроза 2/уязвимость 1 | 10 | 70 |
| Угроза 2/уязвимость 2 | 20 | 70 |
| Угроза 3/уязвимость 1 | 30 | 50 |
| Угроза 3/уязвимость 2 | 15 | 50 |
8. Расчет уровней угрозы по каждой (Th) и по всем (CTh) уязвимостям для каждого ресурса ИС после введения контрмер.
| Ресурс 1. Сервер | |||
| Угроза/уязвимость | Уровень
угрозы по каждой уязвимости
%, Th |
Уровень
угрозы по всем уязвимостям,
через которые
она может быть
реализована
%, CTh |
Общий
уровень угроз
по ресурсу
%, CThR |
| Угроза 1/уязвимость 1 | 0.08 | 0.3008 | 0,5603 |
| Угроза 1/уязвимость 2 | 0.24 | ||
| Угроза 2/уязвимость 1 | 0.07 | 0.2002 | |
| Угроза 2/уязвимость 2 | 0.14 | ||
| Угроза 3/уязвимость 1 | 0.15 | 0.2137 | |
| Угроза 3/уязвимость 2 | 0.075 | ||
9. Расчет
итоговой эффективности контрмер:
Информация о работе Пример расчета рисков ИБ на основе модели угроз и уязвимостей