Что такое хеш и для чего он нужен?

Что такое хеш? Хеш-функцией называется математическое преобразование информации в короткую, определенной длины строку.

Зачем это нужно? Анализ при помощи хеш-функций часто используют для контроля целостности важных файлов операционной системы, важных программ,  важных данных.  Контроль может производиться как по необходимости, так и на регулярной основе.

Как это делается? Вначале определяют, целостность каких файлов нужно контролировать. Для каждого файла производится вычисления значения его хеша по специальному алгоритму с сохранением результата. Через необходимое время производится аналогичный расчет и сравниваются результаты. Если значения отличаются, значит информация содержащаяся в файле была изменена.

Какими характеристиками должна обладать хеш-функция?

•  должна уметь выполнять преобразования данных произвольной длины в фиксированную;
• должна иметь открытый алгоритм, чтобы можно было исследовать её криптостойкость;
• должна быть односторонней, то есть не должно быть математической возможности по результату определить исходные данные;
• должна «сопротивляться» коллизиям, то есть не должна выдавать одинаковых значений при разных входных данных;
• не должна требовать больших вычислительных ресурсов;
• при малейшем изменении входных данных результат должен существенно изменяться.

Какие популярные алгоритмы хеширования? В настоящее время используются следующие хеш-функции:

• CRC – циклический избыточный код или контрольная сумма. Алгоритм весьма прост, имеет большое количество вариаций в зависимости от необходимой выходной длины. Не является криптографическим!
• MD5 – очень популярный алгоритм. Как и его предыдущая версия MD4 является криптографической функцией. Размер хеша 128 бит.
• SHA-1 – также очень популярная криптографическаяфункция. Размер хеша 160 бит.
• ГОСТ Р 34.11-94 – российский криптографический стандарт вычисления хеш-функции. Размер хеша 256 бит.

Когда эти алгоритмы может использовать системный администратор? Часто при скачивании какого-либо контента, например программ с сайта производителя, музыки, фильмов или другой информации присутствует значение контрольных сумм, вычисленных по определенному алгоритму. Из соображений безопасности после скачивания необходимо провести самостоятельное вычисление хеш-функции и сравнить значение с тем, что указано на сайте или в приложении к файлу. Делали ли вы когда-нибудь такое?

Чем удобнее рассчитывать хеш? Сейчас существует большое количество подобных утилит как платных, так и свободных для использования. Мне лично понравилась HashTab. Во-первых, утилита при установке встраивается в виде вкладки в свойства файлов, во-вторых, позволяет выбирать большое количество алгоритмов хеширования, а в третьих является бесплатной для частного некоммерческого использования.

Что есть российского? Как было сказано выше в России есть стандарт хеширования ГОСТ Р 34.11-94, который повсеместно используется многими производителями средств защиты информации. Одним из таких средств является программа фиксации и контроля исходного состояния программного комплекса «ФИКС». Эта программа является средством контроля эффективности применения СЗИ.

Производитель - Центр безопасности информации. Привожу краткое описание возможностей программы.

ФИКС (версия 2.0.1) для Windows 9x/NT/2000/XP

• Вычисление контрольных сумм заданных файлов по одному из 5 реализованных алгоритмов.
• Фиксация и последующий контроль исходного состояния программного комплекса.
• Сравнение версий программного комплекса.
• Фиксация и контроль каталогов.
• Контроль изменений в заданных файлах (каталогах).
• Формирование отчетов в форматах TXT, HTML, SV.
• Изделие имеет сертификат ФСТЭК по НДВ 3 № 913 до 01 июня 2013 г.

А как на счет ЭЦП? Результат вычисления хеш-функции вместе с секретным ключом пользователя попадает на вход криптографического алгоритма, где и рассчитывается электронно-цифровая подпись. Строго говоря, хеш-функция не является частью алгоритма ЭЦП, но часто это делается специально, для того, чтобы исключить атаку с использованием открытого ключа.

В настоящее время многие приложения электронной коммерции позволяют хранить секретный ключ пользователя в закрытой области токена (ruToken, eToken) без технической возможности извлечения его оттуда. Сам токен имеет весьма ограниченную область памяти, измеряемую в килобайтах. Для подписания документа нет никакой возможности передать документ в сам токен, а вот передать хеш документа в токен и на выходе получить ЭЦП очень просто.

Что делать с паролями?

Часто ли вы используете сложные пароли? Используете ли вы у себя в организациях парольные политики? Используете ли для каждого ресурса уникальные пароли? Клеят ли ваши пользователи цветные стикеры с написанными паролями на свои мониторы? Думаю, можно не отвечать на эти вопросы.

 В настоящее время для раскрытия паролей существуют следующие технологии.

Атака по словарю (Dictionary attack). Из слов, содержащихся в словаре, используя необходимый алгоритм (LM, NTLM, MD5, SHA-1), вычисляется хеш-функция. Вычисленное значение сравнивается с оригиналом. Это очень быстрый метод, но он позволяет подобрать пароль, только если он присутствует в словарях. Этим методом можно выявить, например, пароль – Wizard.

Полный перебор (Brute Force attack). Выбирается максимальная длина предполагаемого пароля, определяются символы, регистр символов, цифры, специальные символы из которых может состоять пароль и производится полный перебор всех возможных значений. Это метод наиболее долгий (речь может идти о тысячах лет), зато он позволяет гарантированно подобрать любой пароль. Этим методом можно выявить, например, пароль – 1WiuRhn@.

Смешанная атака (Hybrid attack). Для подбора используются слова из словарей, но к ним добавляются по совершенно «немыслимым» алгоритмам дополнительные символы или же в словах производится замена некоторых букв, например «A» на «@», «O» на «0» и т.д. Этот метод относится к быстрым, длительность же перебора определяется фантазиями, заложенными в алгоритм изменений и дополнений словарных слов. Этим методом можно выявить, например, пароль – Wiz@rd555.

Радужные таблицы (Rainbow Tables attack). Процесс хеширования занимает 99.9% машинного времени, тогда как операция сравнения занимает всего 0.1%. В настоящее время уже существуют вычисленные значения всех вариантов комбинаций вплоть до 14 символов для любых хеш-функций. Занимать такие таблицы могут десятки и сотни гигабайт, но зато они позволяют крайне быстро подобрать любой пароль вида – wH7Ui@$kjH40%b.

Что новенького? Соль в студию! Для того, чтобы защититься от полного перебора, который уже не представляет никакой сложности, при условии что длина пароля не велика, используется соль.  Соль представляет из себя дополнительный набор символов, который добавляется к основному паролю для того, чтобы увеличить длину и тем самым усложнить его. Для каждой системы алгоритм вычисления соли уникальный, но в пределах одной системы он одинаковый для всех учетных записей. Это позволяет не хранить соль для каждого пароля, а хранить только сам алгоритм. После того как соль добавлена к паролю производится вычисление хеша. Хочу заметить, что хеш можно рассчитывать дважды, вначале для пароля, а потом для хеша с солью. Получается следующая функция: Хеш=Function(Function(пароль)+соль).

Меры

Длина пароля. Пароль должен быть как можно длиннее. Оптимально использовать пароль более 15 символов. Для того, чтобы запомнить такой пароль можно использовать целые фразы или предложения из книг. Предположу, что скоро со всей мировой литературы будут сделаны радужные таблицы, но это уже ближе к юмору, чем к правде.

Сложные пароли. Используем большие, маленькие буквы, цифры, а также специальные символы. Если использовать большее число различных символов, то количество возможных комбинаций существенно возрастает. Есть метод создания и запоминания сложного пароля по первым нескольким символам слов входящих в фразу. Например, фраза «Зимний лес вырастил нам Ёлочку» может быть превращена в пароль «ЗимлесвырнамЁло», что с учетом транслитерации даст нам пароль «Pbvktcdshyfv~kj». Как раз 15 символов. В неё же можно добавить цифр и специальных символов по вкусу.

Время действия паролей. Пароли необходимо периодически менять. Для этого используется максимальный срок действия пароля. Однако пользователь может тут же вернуться к своему прежнему паролю, поэтому для исключения такой возможности устанавливается минимальный срок действия пароля.

           История паролей. Для того, чтобы новый пароль не повторял ранее использовавшийся существует архив хешей, с которыми сравнивается хеш нового пароля.

Отличие пароля. Чтобы последующий пароль не был очень похож на предыдущий определяется количество символов, на которые должен отличаться новый пароль от старого. Если бы его не было, можно было бы менять пароли примерно так: Password1, Password2, Password3 и т.д. Также не следует использовать одинаковые пароли для разных ресурсов.

Замечание. Данный метод совершенно не безопасен, так как для того, чтобы контролировать такие отличия, пароли нужно хранить в открытом виде, что сводит на нет всю безопасность! Похоже, что этим грешит, например, компания Конфидент в своем продукте DallasLock!

Блокировки учетных записей. Чтобы исключить возможность атак методом перебора при работающей ОС используется блокировка учетных записей, после определяемого числа неверных попыток.  Учетная запись может разблокироваться автоматически или же разблокировать ее может только администратор.

Журнал. Все попытки входа, особенно неудачного должны протоколироваться. В журнал можно записывать предлагаемое имя и предлагаемый пароль.

Дополнительные меры к ОС от Microsoft

Как отключить LM? Отключение LM-хеширования необходимо всегда, если только в сети не используются старые версии Windows 9x. Эта политика доступна в разделе «Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности». Нужно установить для политики «Сетевая безопасность: не хранить хэш-значения LAN Manager при следующей смене пароля» значение «Включено». Эта настройка присутствует  как в локальной политики безопасности, так и в доменной.

Шифрование базы данных паролей. База данных паролей SAM (Security Account Manager), начиная с Windows 2000, шифруется 128-битным ключом при помощи утилиты Syskey. По умолчанию пароль для генерации ключа создается автоматически, ключ хранится в файле System в той же папке, что и база данных SAM. При необходимости можно изменять пароль и указывать на дискету при выборе местоположения.

Права доступа. В ОС Windows база данных, в которой содержатся хеши паролей учетных записей называется SAM. По умолчанию путь к этой базе находится в «C:\WINDOWS\system32\config». Доступ к данной папке должен быть обязательно ограничен на уровне NTFS.

Блокировка загрузки другой ОС. Для того, чтобы усложнить копирование файлов SAM и System из ОС, необходимо запретить загрузку с других диском и/или носителей в BIOS, а также не использовать мультизагрузку. На BIOS лучше поставить пароль, а корпус системного блока опечатать.

Российский compliance

Особенно хотелось бы кинуть камень в огород ФСТЭК России по поводу того, что в каждом третьем их документе повторяется требование о длине пароля не менее 6 буквенно-цифровых символов. Стойкость такого пароля, даже при всей возможной сложности оставляет желать лучшего.

В среде виртуализации, при использовании среднего по мощности компьютера, атака методом Brute Force пароля в 6 символов, при максимальном наборе символов была оценена в 1.3 суток. Стоит ли говорить о мощной и распределенной вычислительной сети с использованием графических сопроцессоров? Ответ очевиден.

Где хранить пароли?

Все рано или поздно задаются этим вопросом. Я предложу лишь несколько вариантов:

·         в голове

·         в программах для хранения паролей

·         в зашифрованном архиве

·         в почтовом ящике типа gmail.com

Мобильная безопасность

В настоящее время мобильные устройства набирают популярность и становятся необходимыми для широкого круга пользователей. Многие компании приветствуют свободный подход к трудовому распорядку в течение рабочего дня, отдавая приоритет эффективности своих сотрудников. Вспоминается фраза «бойтесь эффективных менеджеров».

Популярность новых мобильных устройств с операционной системой Android стремительно набирает обороты. Основа ОС - Linux с ядром 2.6. В настоящее время ОС Android купила Google и продолжает его развивать. ОС Android стала популярной, прежде всего благодаря удобству использования. Вообще в мире свободного ПО, особенно среди ОС Linux, вопросы удобства всегда оставались на втором, если не на третьем плане. Это связано с тем, что данное ПО использовали лишь «продвинутые» пользователи, а они уж рано или поздно точно разберутся и найдут способ настроить свой компьютер.

ОС Android имеет много разных приложений,  как платных, так и бесплатных, доступных как для покупки, так и просто для скачивания. Имеются инструменты для разработки собственных приложений. На рынке уже присутствует достаточное количество ноутбуков, нетбуков,  коммуникаторов, планшетов, работающих под управлением ОС Android.

Что нужно мобильным пользователям? Доступ в сеть Интернет, доступ к корпоративной почте, доступ к корпоративным ресурсам, где бы они ни находились. На разных приложениях/играх/прочем я останавливаться не буду, так как это не предмет данного рассмотрения.

Что нужно корпорациям? Получение прибыли. Эффективность работы персонала. Некоторым нужна информационная безопасность.

Риски ИБ

Расширение горизонта атак. Мобильные пользователи часто имеют доступ к корпоративным ресурсам, а значит, имеют возможность хранить на них конфиденциальную информацию.

Возможное распространение конфиденциальной информации, так как эти устройства почти всегда подключены к сети Интернет, часто подключаются к другим сетям, например домашним.

Возможная утечка конфиденциальной информации, например в случае кражи устройства.

По мере становления популярности будут возрастать риски антивирусного заражения ОС и данных.

По мере становления популярности будут возрастать риски атак на саму операционную систему.

Методы ИБ

Удаленный доступ. На рынке присутствуют несколько решений для создания безопасных VPN подключения. Есть поддержка L2TP, L2TP/IPSec в следующих продуктах: 1 VPN, 5 VPN, Cisco VPN Android. По некоторым данным, российская компания Инфотекс ведет разработку клиента VipNet Client под ОС Android.

Антивирус. На рынке уже присутствуют бесплатные версии Anti-Virus Free, Dr.Web, Lookout Antivirus, Norton Mobile Security Super Security. Я считаю, что бесплатность антивирусов явление временное.

Шифрование данных. На рынке присутствуют специальные программы, позволяющие создавать защищенные области для хранения данных – криптоконтейнеры. Примерами таких программ являются: B-Folders 2, gbaSafe, Keeper Password & Data Vault. Все эти программы поддерживают американский стандарт симметричного шифрования AES.

Стандартные меры: регулярное обновление ОС и приложений, работа без административных прав (root), предотвращение несанкционированного использования устройства.

Компрометация устройства

Компрометацией, в общем случае, называется ситуация, при которой данные могли куда-нибудь утечь или данные остались без присмотра хоть на какое-то время. Самым понятным для конечного пользователя случаем компрометации является кража оборудования. Что можно сделать в данной ситуации? Варианты мне видятся следующие:

• ничего не делать. Данные и так хранятся в зашифрованном виде в криптоконтейнере, ключ к которому защищен паролем.
• удалить находившиеся данные. Это можно сделать при помощи специального кода, специального электронного письма, специальной SMS.

Как правило, штатный функционал по дистанционному удалению данных вряд ли найдется, для этой цели лучше всего написать скрипт, благо ОС Android поддерживает скриптовые языки программирования.

Хочу заметить, что удалять все данные из устройства вовсе не обязательно, достаточно затереть ключ шифрования.

Как защититься от DDOS-атак

DDoS-атакой (Distributed Deny of Service Attack) называется распределенная атака типа отказа в обслуживании. Целью подобных атак, как правило, является остановка легитимных сервисов в организации.

Упрощенно говоря, атака происходит следующим образом: на большое количество компьютеров, используя самые разные способы, например, используя уязвимости ОС и ПО, вирусы, включая спам и троянское ПО, распространяется специальный код. Код должен уметь незаметно проникать в систему, уметь незаметно находиться в системе, желательно уметь незаметно осуществлять взаимодействие с управляющей программой и уметь производить атаку. С помощью специальной программы злоумышленник даёт указание осуществить атаку определенного адреса в определенное время. Происходит заполнение канала связи между сервисом, на который проводится атака, и Интернет-провайдером (ISP). Если на стороне организации был web-сервер с Интернет-Банком, торговой системой или Интернет-магазином, то во время проведения атаки эти сервисы перестают работать, что может привести как к финансовым, так и к репутационным убыткам.

Какие меры могут быть использованы для противодействия DDoS-атак? Я выделяю три направления, по которым нужно работать: обновление и конфигурирование сетевого оборудования на стороне организации, заключение соглашений между организацией и Интернет-провайдером и создание избыточной сетевой инфраструктуры на стороне организации.

Обновление и конфигурирование

Самой простой мерой для противодействия DDoS-атакам является обновление программного обеспечения сетевого оборудования. Это могут быть программные или программно-аппаратные межсетевые экраны, маршрутизаторы. В Интернете выложено большое количество статей и инструкций для конкретных устройств, общими же являются методы фильтрации по отдельным адресам, по группам адресов, по подсетям, по сетям, по спискам сетей, относящихся к конкретным провайдерам или даже государствам.

Соглашение о предоставлении услуг

Следующей мерой является заключение соглашений с Интернет-провайдером. Соглашение об уровне сервиса SLA (Service Level Agreement) – документ, регламентирующий отношения между сервис-провайдером и его клиентом, содержащий описание услуги, права и обязанности сторон и, самое главное, согласованный уровень качества предоставления услуги. В таком соглашении может содержаться детальное описание предоставляемого сервиса, в том числе перечень параметров качества, методов и средств их контроля, времени отклика поставщика на запрос от потребителя, а также штрафные санкции за нарушение этого соглашения. Данное соглашение должно рассматриваться как делегирование ответственности на сторону провайдера и в теории должно заставить провайдера выполнять технические мероприятия на своей стороне. Цель подписания подобного соглашения - обеспечение как пропускной способности в канале связи, так и доступности канала связи для сервисов клиента.

Доступность сервиса определяется как время, в течение которого ресурс или система доступны для использования. Для примера привожу возможные уровни доступности до "пяти девяток".

Создание избыточной инфраструктуры

Обычная схема.

Обычная схема имеет единственный канал связи между провайдером и организацией. Если происходит DDoS-атака на сетевой ресурс организации с большой долей вероятности можно сказать, что произойдет отказ доступности сервисов на этом ресурсе.

Избыточная схема с единственным провайдером.

Для того, чтобы снизить возможные последствия в результате DDoS-атак имеет смысл установить два независимых канала связи до провайдера. Основной канал должен иметь необходимую пропускную способность, а резервный - минимально допустимую. Если  ограничиться единственным каналом связи, но установить маршрутизатор провайдера на территории организации, то фактически у организации будет 2 внешних IP-адреса, которые и будут использоваться для коммутации и маршрутизации. Маршрутизатор должен обладать функциями обнаружения вторжений.

Что дает данная схема? В случая DDoS-атаки маршрутизатор мгновенно переключается с основного канала на резервный канал. Основанием для переключения будет замеченная встроенным анализатором DDoS-атака или недоступность конечной точки маршрутизации.

Если злоумышленник обладает информацией, что у организации 2 канала связи до провайдера, а ему известен только один IP-адрес, то он может организовать атаку на все адреса, входящие в подсеть. Для этого нужно рассчитать минимальную подсеть, содержащую известный IP-адрес, после чего станут известны все остальные адреса, на которые и проводится атака.

Избыточная схема с разными провайдерами.

Для дальнейшего снижения вероятности потери доступности сервисов при проведении DDoS-атак, является организация независимых каналов связи с разными Интернет-провайдерами. В этом случае в организации будет также 2 IP-адреса, но они гарантированно будут из разных сетей. В этом случае у злоумышленника пропадает возможность предугадать другие IP-адреса, которые также могут предоставлять сервисы.

Дополнительным достоинством такой схемы будет являться полное резервирование доступа в Интернет и минимальная зависимость от сбоев в работе Интернет-провайдера. В англоязычной литературе это называется Redundant ISP.

Просто об оценке рисков

Для оценки рисков в организации необходимо провести следующие мероприятия:

• Идентифицировать  активы
• Оценить активы
• Определить угрозы безопасности
• Оценить угрозы безопасности
• Оценить риски
• Обработать риски
• Принять оставшиеся риски

Идентификация активов

К активам организации могут относиться:

• Конфиденциальная информация
• Базы данных с конфиденциальной информацией
• Программные средства с базами данных с конфиденциальной информацией
• Технические средства с программными средствами с базами данных с конфиденциальной информацией

Очень напоминает инкапсуляцию в модели OSI или же… вот два петуха,

Которые будят того пастуха,

Который бранится с коровницей строгою,

Которая доит корову безрогую,

Лягнувшую старого пса без хвоста,

Который за шиворот треплет кота,

Который пугает и ловит синицу,

Которая часто ворует пшеницу,

Которая в темном чулане хранится

В доме, который построил Джек. 

К активам организации также может относиться персонал, информационная и сетевая инфраструктура, здания и сооружения, в которых происходит хранение и обработка информации.

Оценка активов

    Существует два вида оценки активов: качественная и количественная. Чаще всего вначале используется качественная оценка, состоящая из относительных определений ценности активов: низкая, средняя и высокая. Но так как для оценки рисков важнее знать «сколько нужно грамм», то на выходе риски должны быть оценены количественно. Следует соотнести качественную оценку с деньгами. Процесс перевода оценок из качественных единиц в количественные называется калибровкой шкалы рисков. Таким образом, могут получиться следующие соответствия: низкая – до $10 000, средняя – от $10 000 до $100 000, высокая – от $100 000 и выше. Количественные величины напрямую будут зависеть от величины организации. Количество делений в шкале выбирается экспертным путем.

Определение угроз безопасности

    Угрозы безопасности могут присутствовать на любом уровне иерархии, начиная от физической безопасности и заканчивая любым логическим доступом к информации. Для определения угроз безопасности рассматриваются все уровни, на которых может быть получен доступ к активам. Неспроста процессы обеспечения информационной безопасности рассматриваются как противоборство собственника и злоумышленника за контроль над информационными активами. На этом этапе разрабатывается модель угроз и нарушителей, в которой и описываются все виды угроз.

Оценка угроз безопасности

    Оценка угроз безопасности производится экспертным путем в зависимости от текущего уровня информационной безопасности и вероятности реализации угроз. Результаты оценки угроз также документируются в модели угроз и нарушителей безопасности.

Оценка рисков

    Существует много определений понятия риска информационной безопасности. В общем случае уровнем риска называют произведение ущерба на вероятность атаки.

Риск = ущерб * вероятность атаки            

    Вероятность атаки рассчитывается в зависимости от величины уязвимости, которая если присутствует, то является постоянной величиной, не подлежащей расчету и вероятности возможной угрозы.

Вероятность атаки = величина уязвимости * вероятность угрозы

Из этого следует, что:

Риск = ущерб * величина уязвимости * вероятность угрозы

    Также рассчитываются специальные показатели:

EF (exposure factor) - процент потерь, которые возникнут вследствие реализации характерной угрозы для определенного актива.

SLE (single loss expectance) - потенциальная сумма (в деньгах) ущерба для компании в результате единичного факта реализации соответствующей угрозы.

SLE = EF * стоимость актива

ARO (annualized rate of ocurrence) – среднегодовая частота возникновения инцидентов. Величина, представляющая собой ожидаемую частоту реализации соответствующей угрозы в год.

ALE (annual loss expectance) – ожидаемые среднегодовые потери.

ALE = SLE * ARO

Обработка рисков

    Для обработки рисков используются следующие методы:

Уход от риска – например, отказ от незаконного вида деятельности.

Уменьшение риска – внедрение организационных и / или технических мероприятий, уменьшающих риск.

Передача риска – например, заключение договора со страховой компанией с передачей части ответственности на нее.

Принятие риска – принятие исходного или уменьшенного до приемлемой величины  в результате мероприятий риска.

Принятие остаточных рисков

    Стоит лишь отметить, что принятие остаточных рисков должен осуществить менеджмент организации, так как именно менеджмент, а вовсе не ИБ отвечает за возможные финансовые и прочие потери. Ведь, как известно, информационная безопасность не может увеличить прибыть организации, но зато может и должна снижать возможные убытки.

Привожу перевод упражнений из книги Security +

    Как профессионал в информационной безопасности, вы должны знать, как рассчитывать SLE, ALE и ARO. Даны любые 2 значения, нужно рассчитать третье.

1.      Вы работаете администратором web-сервера, прибыль от работы которого составляет  $25 000 в час. Вероятность того, что web-сервер выйдет из строя оценивается как 25 %. Сервер будет восстанавливаться в течение 3-х часов. Стоимость восстановления составит $5 000. Требуется рассчитать ALE?

SLE = $25 000 * 3 + $5 000 = $80 000

ALE = $80 000 * 0.25 = $20 000

2.      Вы администратор исследовательской фирмы и работаете только а одном проекте по сбору данных и размещении их на единственном web-сервере. Оценка каждого исследовательского проекта составляет приблизительно $100 000. В любе время нарушитель может похитить не более 90 % данных. Средняя вероятность подобных инцидентов в индустрии оценивается как 33 %. Требуется рассчитать ALE?

SLE = $100 000 * 0.9 = $90 000

ALE = $90 000 * 0.33 = $27 900

3.      Вы работаете в технической поддержке в маленькой компании. Один из наиболее частых инцидентов заключается в помощи восстановления пользователям случайно удаленных ими файлов. В среднем это случается раз в неделю. Если пользователь создает файл на сервере, а потом стирает его (около 60 % инцидентов), то это можно восстановить моментально при помощи теневой копии и редко когда данные пропадают. Если пользователь создает файл на своей рабочей станции, а потом стирает его (около 40 % инцидентов), то файл никак не может быть восстановлен и пользователю требуется приблизительно 2 часа, чтобы создать файл заново. Создание файла оценивается в $12 в час. Каким будет ALE?

SLE = $12 * 2 = $24

ARO = 52 недели * 0.4 = 20.8

ALE = $24 * 20.8 = $ 499.20