Обзор 4 методологий моделирования угроз: ФСТЭК, NIST, ISO, БР ИБ НФО

Обзор четырех ключевых методологий моделирования угроз и оценки рисков

Детальное руководство по встроенным движкам анализа рисков и сценарного моделирования угроз в системе QR Consult.

Для надежного построения системы управления информационной безопасностью (СУИБ) и успешного прохождения проверок государственных регуляторов и аудиторов в системе QR Consult реализованы 4 расчетных движка моделирования угроз: ФСТЭК России (2021), NIST SP 800-30, ISO/IEC 27005 и БР ИБ НФО (Банк России / ГОСТ 57580). Они рассчитывают актуальность угроз, используя различные подходы, базы данных и математические модели.

1. Методология ФСТЭК России (Методика 2021 года)

Официальный российский государственный стандарт для оценки угроз безопасности информации. Является обязательным при создании моделей угроз для государственных информационных систем (ГИС), информационных систем персональных данных (ИСПДн) и объектов критической информационной инфраструктуры (КИИ).

На чем основана методология

Методология базируется на «Методике оценки угроз безопасности информации», утвержденной ФСТЭК России 5 февраля 2021 г. В качестве базы угроз используется государственный Банк данных угроз безопасности информации (БДУ ФСТЭК России), содержащий описание более 220 видов угроз безопасности информации (УБИ).

Как работает движок в системе

1. Граф инфраструктуры: Система строит топологическую схему ваших ИТ-активов (серверы, базы данных, рабочие станции, каналы связи).
2. Профилирование нарушителя: Определяется применимый тип нарушителя (внутренний / внешний) и его потенциал (выделяются 4 уровня возможностей (потенциала) нарушителя согласно Методике ФСТЭК 2021 года).
3. Анализ уязвимых интерфейсов: Система сопоставляет ПО на активах с открытыми портами, внешними сетевыми интерфейсами и уязвимостями.
4. Сценарное моделирование: Формируется цепочка (сценарий) реализации угрозы от точки входа нарушителя до целевого актива.

Алгоритм и математическая модель расчета

Актуальность угрозы (А) определяется как функция от возможности её реализации (В) и тяжести последствий (Т):

1. Возможность реализации (В) определяется на основе потенциала нарушителя (Н1-Н4) и уровня защищенности интерфейса:

2. Итоговая актуальность угрозы (А) вычисляется по результирующей матрице ФСТЭК:

2. Методология NIST SP 800-30 Rev. 1

Ведущий международный стандарт оценки рисков информационной безопасности, разработанный Национальным институтом стандартов и технологий США (NIST).

На чем основана методология

NIST SP 800-30 Rev. 1 использует классификаторы уязвимостей ПО (базы CVE, CWE) и паттернов атак CAPEC.

Как работает движок в системе

1. Идентификация источников угроз: делятся на антагонистические (Adversarial) и не-антагонистические (Non-Adversarial).
2. Определение вероятности (Likelihood): вычисляется по шкале от 1 до 10.
3. Определение уровня воздействия (Impact): оценивается ущерб для триады CIA (FIPS 199).

Алгоритм и математическая модель расчета

Likelihood = f(Initiation, Resulting Impact), где Initiation учитывает возможности, мотивацию и ресурсы нарушителя, а Resulting Impact = Vulnerability Severity - Existing Controls.

3. Методология ISO/IEC 27005:2022

Международная процессная методология управления рисками ИБ, интегрированная с ISO 27001 и каталогом мер ISO 27002.

1. Инвентаризация и оценка активов: активам присваивается ценность (Asset Value).
2. Идентификация рисков: сопоставление угроз с уязвимостями активов.
3. Обработка рисков: Modify, Retain, Avoid, Share.

4. Методология БР ИБ НФО (ГОСТ Р 57580.1)

Специализированная методология Банка России для некредитных финансовых организаций.

Методология выделяет 8 процессов: УПД, ИАФ, УПС, АВЗ, АНЗ, РСБ, ЗТС, ЗНИ.

Формула оценки соответствия:

Практический пример: Оценка угроз для 1С:Документооборот

Ниже приведен пример оценки 10 типовых угроз безопасности для системы 1С:Документооборот по всем 4 методологиям.

Перечень анализируемых угроз

Сводная карта сравнения оценок по методологиям