Анализ тактики действий нарушителя


Есть ли разница между действиями нарушителя и проектировщика системы безопасности? Несомненно. Нарушитель знает (или может узнать) о системе защиты все (или почти все), а проектировщик не знает о нарушителе практически ничего…

Кто победит?

Нарушитель (или сотрудник объекта) решил совершить преступление: похитить один из охраняемых предметов защиты. Он взвешивает все «за» и «против». Оценивает уровень системы безопасности, свои умения и возможности. Возможный срок в тюрьме. Надежность партнеров. Прогнозируемую материальную выгоду. Выбирает самую эффективную тактику действий. И лишь после этого принимает решение.

Проектировщик защитной системы соблюдает требования по проектированию. Операционная система должна быть Windows NT. Дверь в хранилища материальных ценностей – 10-го класса защиты и оборудована двумя замками класса В. При входе в здание – шлюзовая кабина не ниже 3-го класса. На компьютерах необходимо установить систему защиты информации Secret-Net. Дисководы у пользователей должны быть сняты…

Вот здесь-то и начинается дуэль с человеком-невидимкой. Проектировщик не знает, когда нарушитель начнет свою акцию, какую тактику применит, как будет заметать следы. Он действует в рамках априори неполной информации. Поэтому составляет модель нарушителя, которая носит в основном описательный характер и служит лишь для систематизации действий проектировщика – надо хотя бы примерно представлять, от кого защищаемся. Моделей проектировщик делает несколько. Если их будет 100 или 200, систему защиты построить будет просто невозможно.

Кроме того, при этом часто не учитывается возможность сговора внешнего нарушителя с персоналом – внутренний нарушитель по модели проектировщика обычно действует один. Да и достаточно сложно анализировать сговор сотрудников при построении системы защиты. В то же время проведенный экспертный опрос ряда сотрудников банков показал, что обычно в преступной акции участвует несколько сотрудников объекта либо сотрудники действуют в сговоре с внешними нарушителями.

Действительно, одному сотруднику чаще всего невозможно похитить материальные или информационные ресурсы объекта. От этого надежно защищает система многоуровневого учета (каждый ответственен только за часть операции, например по выносу материальных ценностей: часовой, материально-ответственное лицо, бухгалтер). Однако, если все элементы цепи учета вовлечены в преступную деятельность, система безопасности оказывается бессильна. Здесь может помочь только аудит, но он проходит 1 раз в 2–3 года, что зачастую оказывается недостаточным.

Внешний или внутренний нарушитель в настоящее время не склонен к геройским поступкам, например к вооруженным нападениям. Такие действия являются достаточно рискованными, кроме того, они строго уголовно наказуемы. Гораздо проще договориться с сотрудником объекта, который «случайно» не заметит несанкционированные действия нарушителя.

Все это говорит о том, что проектирование системы защиты должно учитывать тактику действий нарушителя.

Секреты анализа

Тактических приемов в действиях нарушителя существует великое множество, и разрабатывать систему защиты или методику действий от каждого из них весьма проблематично. Даже технически совершенная система защиты (правильно расположенные датчики, телекамеры и пр.) не всегда способна обеспечить безопасность объекта на все 100%. Сотрудник, отвечающий за определенный участок технических средств охраны (ТСО), может их отключить на время действия нарушителя, специалист из отдела ТСО может «неправильно» откалибровать детектор металла – и на объект будет пронесено оружие и т.д. Построить систему защиту, спрогнозировав все тактические ухищрения, также невозможно, поскольку универсальной системы не существует. Что же делать?

Очевидно, что необходимо проанализировать возможные последовательности действий нарушителя, приводящие к успешной реализации преступной акции. Нарушитель старается минимизировать риск акции – следовательно, он попытается вывести из строя (нейтрализовать) те элементы защиты, которые препятствуют ему «незаметно» совершить акцию. К таким элементам можно отнести сотрудников, технические средства защиты, физические барьеры, алгоритмы работы системы контроля и управления доступом и просто любую информацию о системе защиты, которая поможет злоумышленникам снизить защищенность охраняемых ценностей при нападении. На какие-либо из этих элементов будут направлены действия нарушителей. Но защищать все элементы экономически невыгодно. Как же определить те из них, на которые в первую очередь будут направлены действия нарушителей?

Критические элементы системы защиты

Введем понятие критического элемента системы защиты (КЭ). Это – информация, техническое устройство, человек, физический барьер, знания о которых (или о слабых местах которых) позволят нарушителю снизить защищенность охраняемых ценностей при реализации акции.
С точки зрения нарушителя можно выделить несколько категорий КЭ:

1. Информация о возможных КЭ и их слабых местах, полученная технических путем, – взлом баз данных, наблюдение и т.д.
2. Информация, полученная от сотрудников – об объекте, местах хранения охраняемых ценностей, графике выдвижения сил охраны, информация о слабых местах сотрудников отдела безопасности.
3. Технические средства доступа, настройки которых можно изменить, что приведет к снижению их функциональных возможностей по обеспечению защиты.
4. Слабые физические барьеры.
5. Сотрудники, которые могут оказать техническую помощь внешнему нарушителю при совершении акции.
6. Сотрудники, которые в силу своих служебных полномочий могут в сговоре совершить «незаметное» хищение.
7. Недостаточно продуманные организационные меры, что позволяет «незаметно» вынести ценности с объекта.

Нарушитель совершает акцию, когда он знает (или уверен, что знает) все о системе защиты и у него есть тактика действий, позволяющая реализовать преступный замысел. Для того чтобы обеспечить противодействие его планам и выбрать оптимальную стратегию защиты, необходимо анализировать (предугадывать) возможные действия нарушителя.

Введем два понятия: локальная тактика и конечная тактика.

Под локальной тактикой понимается единичное действие нарушителя по блокированию, нейтрализации некоего КЭ, направленное на достижение основной цели, т.е. хищение охраняемых ценностей или причинение ущерба объекту и персоналу.

Конечной тактикой назовем совокупность локальных тактик, позволяющих совершить преступную акцию.

Рассмотрим возможные стратегии защиты на основе анализа тактик нарушителя:

1. Метод частотного анализа тактик нарушителя. Определить наиболее вероятные тактики действий нарушителей. Выделить КЭ, наиболее часто встречающиеся в тактиках. Проранжировать их по частоте. Обеспечить адекватную защиту наиболее часто встречающихся КЭ, снизив тем самым вероятность преступной акции.
2. Ранговый метод выделения основных КЭ. Определить локальные тактики нарушителя. Выделить КЭ, воздействие на которые может наибольшим образом снизить защищенность объекта. Проранжировать их по степени потенциальной уязвимости. Обеспечить защиту наиболее уязвимых мест.
3. Частотный метод выделения совокупности КЭ. Определить конечные тактики нарушителя. Выделить минимальные совокупности КЭ, снижающие до нуля эффективность защиты. Проранжировать КЭ по частоте и степени потенциальной уязвимости. Обеспечить защиту в соответствии с рангами.

Первый метод является достаточно трудоемким и требует длительных вычислений. Кроме того, без наличия специального программного обеспечения он может даже привести к лишним экономическим затратам, поскольку не будут проанализированы все тактики нарушителя и в системе безопасности объекта останутся уязвимые места.

Однако остальные методы можно применить без использования специального программного обеспечения. Рассмотрим эти методы более подробно.

Ранговый метод выделения основных КЭ

Для выделения КЭ необходимо определить локальные тактики действия нарушителя.

Большинство локальных тактик можно получить из анализа нормативных и руководящих документов (требования МВД к оснащению объектов, ведомственная инструкция по эксплуатации ИТСО, требования к проверке персонала и т.д.).


Некоторые из локальных тактик представлены в табл. 1.

Таблица 1. Локальные тактики действия нарушителей и способы защиты от них

Помимо анализа документов, для составления такой таблицы необходимо привлекать сотрудников службы безопасности, хорошо знающих специфику объекта.

После составления перечня КЭ проводится их ранжирование. Критерием ранжирования могут быть текущая защищенность данного КЭ, его важность в плане обеспечения защиты.

Для комплексного определения ранга можно использовать метод свертки. Данный метод используется, когда есть несколько показателей и необходимо получить интегральный показатель. Введем два показателя: важность элемента (что даст нарушителю данный КЭ) и его защищенность. В табл. 2 и 3 приводятся примеры рангов по оценке КЭ по 5-балльной шкале.

Таблица 3. Пример ранжирования защищенности КЭ

Оценить общую защиту каждого элемента можно, разделив важность на защищенность. Если интегральный коэффициент составляет от 0,7 до 1, можно считать этот элемент некритическим, если ниже 0,7 – незначимым для нарушителя, если выше 1 – критическим.

Составив перечень локальных тактик и определив для них ранги, можно получить их интегральные показатели и отсортировать их по возрастанию.

После ранжирования определяется последовательность модернизации КЭ. Очередность модернизации определяется рангом, стоимостью модернизации и наличием необходимых средств. Ранг не всегда является определяющим фактором. Например, в настоящее время на объекте может не быть необходимых средств для защиты самого важного КЭ. Тогда необходимо защищать следующие по важности элементы. Существуют и такие элементы, защитить которые практически невозможно – например, время выдвижения сил охраны. А вот защитить пароли можно достаточно просто: менять их 1 раз в 2 недели, учитывая при этом, что пароль должен состоять из случайной последовательности символов, а компьютеры должны располагаться в закрытых помещениях.

Метод выделения совокупности КЭ (на примере сговора)

При организации защиты от различных тактик нарушителя более целесообразным, хотя и более сложным, является анализ последовательности действий нарушителя или совокупности КЭ, «отказ» которых позволит беспрепятственно совершить преступление. Примеры приведены в табл. 4.

Таблица 4. Примеры совокупности КЭ для совершения преступного действия

После определения последовательности или перечня КЭ определяются наиболее часто используемые из них. Например, известно, что разработчик АБС может участвовать во многих операциях по снятию электронных денег. В связи с этим необходимо предусмотреть ряд мер защиты: запретить модификацию кода программы, замену файлов без наблюдения и записи изменений, проверять текст программы на возможные закладки (наличие явных дат в тексте программы – для срабатывания по таймеру, текстовых переменных в виде фамилий – для создания счета балластного клиента и т.д.).

Чем чаще встречается один КЭ в различных преступных действиях, тем больше необходимо предпринимать мер по его защите от неадекватных действий.

Рассмотренный анализ при создании систем защиты необходимо проводить несколько раз: при первичном проектировании, составлении списка должностных полномочий сотрудников, правил работ, переконфигурации системы защиты и ее элементов, изменении проектных угроз (например, появляются новые средства взлома, новые средства копирования информации).

При применении такого анализа желательно несколько раз вручную (на компьютере) рассчитать рассмотренные группы событий (классификация, ранжирование, оптимизация затрат на каждый вид защиты и т.п.). С приобретением опыта КЭ и их совокупности уже будут видны «невооруженным глазом», что даст возможность без применения математических методов оценочно предлагать меры по защите КЭ и их совокупностей.

Обновлено: 11.03.2015