Что такое целевая система

Целевая система — это объект в информационной инфраструктуре, в результате воздействия злоумышленника на который может непосредственно произойти недопустимое для организации событие. Эти системы являются конечной целью злоумышленника при реализации недопустимого события.

Зачем определять целевые системы

Целевые системы определяются для того, чтобы ограничить круг ресурсов, требующих усиленной защиты и мониторинга событий кибербезопасности в контексте недопустимого события. Выяснив, воздействие на какие системы может повлечь реализацию недопустимого события, и понимая, что это за воздействие, можно обеспечить более узконаправленную защиту вместо того, чтобы защищать все системы от всевозможных угроз на одинаковом уровне.

Какая информация необходима для описания целевых систем

Для каждой целевой системы должны быть определены:

наименование;
IP-адрес и доменное имя (при наличии);
действие в системе или воздействие на систему, которое приводит к реализации недопустимого события (оно должно быть конкретизировано применительно к целевой системе).

Как определить целевые системы

К работе по определению целевых систем рекомендуется привлекать:

владельцев бизнес-процессов, в рамках которых возможна реализация недопустимых событий (целевых бизнес-процессов);
специалистов подразделения информационных технологий;
специалистов по кибербезопасности и тестированию на проникновение;
представителей профильных подразделений, участвующих в целевых бизнес-процессах;
других специалистов, чьи компетенции могут быть полезны рабочей группе для решения задач в рамках данной методологии.

Исходными данными для определения целевых систем являются:

информация о недопустимых событиях и сценариях их реализации;
описание бизнес-процессов организации;
результаты инвентаризации информационных ресурсов;
документация на сети и системы (включая схемы сетей);
результаты тестирования на проникновение или верификации недопустимых событий;
другая информация об объектах информационной инфраструктуры.

На этапе создания IT-инфраструктур целевые системы определяются на основе предполагаемых архитектуры и условий функционирования. В ходе эксплуатации IT-инфраструктур, в том числе при их модернизации, целевые системы определяются для реальных архитектуры и условий функционирования.

Определение целевых систем проводится в два этапа:

Этап 1

Основой для определения целевых систем служат . Так как каждый из сценариев связан с одним или несколькими целевыми бизнес-процессами, к определению целевых систем обязательно должны быть привлечены владельцы таких бизнес-процессов. Как правило, это функциональные (операционные) руководители ключевых подразделений.

Определить целевые бизнес-процессы можно еще на этапе формирования сценариев, но, если это не было сделано, необходимо выбрать те направления деятельности организации, в которых определены недопустимые события, провести интервью с руководителями ключевых функциональных подразделений в этих направлениях и выяснить, в чьей зоне ответственности находятся утвержденные сценарии реализации недопустимых событий.

Если сценарий реализуется в рамках бизнес-процесса проведения платежей контрагентам, то владельцем бизнес-процесса может быть директор финансово-экономического департамента. Если сценарий связан с выводом из строя производственного конвейера в цехе, то владельцем бизнес-процесса может быть главный инженер или главный технолог предприятия.

Определение целевых систем проводится в рамках рабочего совещания (или серии совещаний) с каждым владельцем целевых бизнес-процессов в отдельности. На таком совещании формируются гипотезы о целевых системах, которые впоследствии проверяются на практике. Гипотезы формулируются на основе определения конечной точки кибератаки — той системы и того действия злоумышленника в системе, которые вызывают наступление недопустимого события (реализацию соответствующего сценария). Как основу для подготовки плана совещания можно использовать примеры вопросов, приведенные в конце статьи в приложении А.

Для эффективного проведения совещания воспользуйтесь следующими рекомендациями:

Шаг	Описание
1. Предварительно подготовьте план встречи	- План проведения совещания должен однозначно отражать цели и предполагаемые результаты обсуждения. - Встреча может включать презентационную часть для тех руководителей функциональных направлений, которые не осведомлены о подходе результативной кибербезопасности. Презентационная часть представляет собой вступительную беседу, в которой разъясняется суть предлагаемого подхода и образ результата решения задачи по определению целевых систем. - Основой встречи должна стать совещательная часть. Она предполагает интервью с владельцами целевых бизнес-процессов. В рамках интервью важно задать вопросы, которые помогут определить перечень систем, на которых может быть реализовано недопустимое событие, а также те действия нарушителя в системе, которые повлекут за собой такое событие.
2. Подготовьте презентационные материалы	Материалы должны отражать вводную информацию, описывающую концепцию определения целевых систем, их место в обеспечении кибербезопасности организации и подготовленные общие примеры с гипотезами о целевых системах.
3. В ходе проведения совещания	- Важно получить информацию о том, какие системы задействованы в обеспечении целевого бизнес-процесса и определить те системы, которые являются конечной точкой в векторе атаки злоумышленника (целевые системы). - Также важно понять, какое действие должен выполнить нарушитель в таких системах (или какое воздействие должен на них оказать), чтобы наступило недопустимое событие. При необходимости к совещанию могут привлекаться представители профильных подразделений, участвующих в целевом бизнес-процессе. - К совещанию рекомендуется привлекать специалистов по кибербезопасности и тестированию на проникновение, которые обладают опытом взлома систем: они помогут дополнить перечень целевых систем теми, которые не могут быть определены без опыта тестирования на проникновение, а также сформулируют способы воздействия нарушителя на целевые системы.

Этап 2

Для целевых систем, наименования которых сформулированы руководителями функциональных направлений на первом этапе, необходимо указать адреса и доменные имена (при наличии). Такая информация может быть получена в подразделении информационных технологий.

По результатам выполнения двух шагов составляется перечень целевых систем, в котором указываются:

недопустимое событие;
сценарии реализации недопустимого события;
целевые системы (с привязкой к соответствующим сценариям);
IP-адреса и доменные имена целевых систем;
действия в целевой системе (или воздействие на систему), которые приведут к реализации недопустимого события.

Пример того, как может быть оформлен перечень целевых систем, приведен в конце статьи в приложении Б.

От чего зависит количество целевых систем

Количество целевых систем зависит от:

количества недопустимых событий;
количества сценариев реализации недопустимых событий;
сложности целевых-бизнес-процессов.

Для каждого сценария реализации недопустимого события должна быть определена как минимум одна целевая система. Чем больше недопустимых событий и сценариев их реализации, тем больше целевых систем потребуется определить.

Сложность целевого бизнес-процесса может приводить к увеличению числа целевых систем: чем сложнее процесс, тем больше в нем может быть точек отказа.

Как убедиться, что целевые системы определены правильно

Убедиться в правильности выбора целевых систем можно по результатам практической верификации недопустимых событий или . При организации таких работ одной из задач исполнителя должно стать выявление возможных неучтенных ранее сценариев реализации недопустимых событий и целевых систем, не вошедших в перечень недопустимых событий. При выявлении новых целевых систем и (или) сценариев реализации недопустимых событий, соответствующие перечни должны быть актуализированы.

До проведения практической верификации или киберучений определить правильность выбора целевых систем можно оценочно, используя критерии. Целевой может быть признана система, отвечающая следующим критериям:

система задействована в целевом бизнес-процессе;
существует такое действие в системе или воздействие на систему, которое приводит к реализации недопустимого события (непосредственно либо при условии связанной цепочки воздействий на другие системы).

Как использовать перечень целевых систем

Наименования целевых систем добавляются в перечень (реестр) недопустимых событий.

На этапе «приземления» недопустимых событий на IT-инфраструктуру .

На этапе целевые системы указываются в качестве конечных целей кибератаки для исполнителя работ.

При составлении программы кибертрансформации целевые системы становятся приоритетными точками приложения усилий по защите IT-инфраструктуры от кибератак.

В итоге перечень целевых систем позволяет перейти от недопустимых событий, сформулированных на языке бизнеса, к конкретным объектам в информационной инфраструктуре организации, сузить круг тех систем, которые требуют усиленной защиты и мониторинга в контексте реализации недопустимых событий.

ПРИЛОЖЕНИЕ А. Пример анкеты для определения целевых систем

№	Вопрос	Ответ	Комментарий
1	Какие сценарии реализации недопустимых событий (из перечня недопустимых событий, утвержденного руководством организации), могут произойти в рамках тех направлений деятельности, которые входят в вашу зону ответственности?	Перечисление сценариев недопустимых событий.	Если не было выбрано ни одного сценария, вероятно, кандидат для интервью был выбран неверно и следует задать вопрос 6
2	В рамках каких бизнес-процессов могут быть реализованы такие сценарии? Эти бизнес-процессы являются целевыми.	Перечисление целевых бизнес-процессов с привязкой к сценариям реализации недопустимых событий	В рамках одного сценария могут быть указаны несколько целевых бизнес-процессов. Для каждого сценария должен быть назван как минимум один целевой бизнес-процесс
3	Выделите самые значимые системы в рамках целевых бизнес-процессов и укажите, какие задачи они решают.	Перечисление наименований систем и задач, которые они решают в рамках соответствующего целевого бизнес-процесса	Для каждого целевого бизнес-процесса должна быть указана как минимум одна значимая система
4

ПРИЛОЖЕНИЕ Б. Пример оформления перечня целевых систем

Недопустимое событие	Сценарий реализации недопустимого события	Целевой бизнес-процесс	Целевая система (наименование)	IP-адрес и доменное имя целевой системы	Действие (воздействие)
Кража денежных средств со счета организации в размере более 10% чистой прибыли	Создание и отправка в банк платежного поручения с измененными суммой и реквизитами получателя	Проведение платежей контрагентам	Система «банк —клиент»	10.7.10.17 (Server17) 10.7.10.18 (Server18) 10.7.10.19 (Server19)	Изменение реквизитов и суммы в платежном поручении, подтверждение и отправка поручения в банк
Остановка производственного конвейера на срок более 5 часов	Вывод из строя программируемого логического контроллера, управляющего механизмом конвейера	Производство продукции	Программируемый логический контроллер	10.0.5.34 (plc34)	Модификация прошивки программируемого логического контроллера. Эксплуатация уязвимости программируемого логического контроллера, приводящей к отказу в обслуживании без возможности оперативного восстановления штатной работы устройства

Что такое целевая система

Зачем определять целевые системы

Какая информация необходима для описания целевых систем

Как определить целевые системы

Этап 1

Этап 2

От чего зависит количество целевых систем

Как убедиться, что целевые системы определены правильно

Как использовать перечень целевых систем

ПРИЛОЖЕНИЕ А. Пример анкеты для определения целевых систем

ПРИЛОЖЕНИЕ Б. Пример оформления перечня целевых систем

Следующие статьи

Что такое целевая система

Зачем определять целевые системы

Какая информация необходима для описания целевых систем

Как определить целевые системы

Этап 1

Этап 2

От чего зависит количество целевых систем

Как убедиться, что целевые системы определены правильно

Как использовать перечень целевых систем

ПРИЛОЖЕНИЕ А. Пример анкеты для определения целевых систем

ПРИЛОЖЕНИЕ Б. Пример оформления перечня целевых систем