CC BY
172
4. Статистические методы обработки результатов наблюдений / Под ред. Р. М. Юсупова. Л.: Изд-во МО СССР, 1984. 563 с.
5. Юсупов Р. М., Заболотский В. П. Научно-методологические основы информатизации. СПб: Наука, 2000. 455 с.
Вадим Петрович Заболотский Рафаэль Мидхатович Юсупов Александр Алексеевич Демидов
Сведения об авторах Санкт-Петербургский институт информатики и автоматизации РАН; E-mail: lai@iias.spb.su
Санкт-Петербургский институт информатики и автоматизации РАН; E-mail: spiiran@iias.spb.su
Комитет по работе с исполнительными органами государственной власти и взаимодействию с органами местного самоуправления Администрации губернатора Санкт-Петербурга
Рекомендована институтом
Поступила в редакцию 16.11.07 г.
УДК 621.322
А. В. Суханов, А. И. Крылов АДАПТИВНАЯ ЗАЩИТА ИНФОРМАЦИОННЫХ СИСТЕМ
Для построения перспективных информационных систем (ИС), прежде всего глобальных компьютерных, ориентированных на использование в институтах государственной власти, финансовых структурах, предприятиях военно-промышленного комплекса, необходимы эволюционирующие адаптивные средства мониторинга безопасности в составе ИС. Рассматриваются архитектурные решения средств интеллектуальной защиты ИС и основы методологии мониторинга безопасности ИС, ориентированные на принцип биосистемной аналогии.
Ключевые слова: биосистемная аналогия, мониторинг безопасности, адаптивные средства, средства интеллектуальной защиты.
Актуальность принципа биосистемной аналогии в современных информационных технологиях (ИТ) обусловлена высокой защищенностью жизненно важных информационных процессов в биосистемах, следовательно необходимо анализировать механизмы защиты биосистем и разрабатывать основы методологии мониторинга информационных систем (ИС) на основе биосистемной аналогии.
В качестве информационной среды существующие ИС, как правило, используют глобальные телекоммуникационные сети (например, Интернет), объединяющие информационные сети локального и корпоративного уровня [1, Олифер В. Г., Олифер Н. А. Основы сетей передачи данных. Интернет-университет информационных технологий. ИНТУИТ.ру, 2003. 248 с. <www.INTUIT.ru>]. Аналогия в архитектуре ИС наиболее полно проявляется в наличии иерархической организации уровней глобальных информационных сред.
Биосистемная аналогия в структуре защиты ИС базируется на иерархии средств обеспечения информационной безопасности (ИБ), встроенных механизмах иммунной защиты с накоплением опыта.
Известные средства защиты, как правило, ограничиваются реализацией функций нижнего уровня системы информационной безопасности (СИБ) и антивирусной направленностью средств иммунной защиты. Согласно [3], около 70 % вирусных атак осуществляется извне через точку входа в защищаемую сеть и только около 30 % — изнутри. Первые можно отнести к внешним угрозам жизнеобеспечению системы, вторые — к внутренним. В обоих случаях задействуется иерархия механизмов иммунной защиты:
— уровень почтовых шлюзов и межсетевых экранов,
— серверный уровень (файл-серверы, серверы групповой работы и пр.),
— уровень рабочих станций.
Реализация идеи иммунной защиты [2] связана со следующим процессом: обнаружение в ИС признаков заражения, отправление образца нового вируса в антивирусный центр, получение обновленной антивирусной базы.
Идея иммунной защиты входит в противоречие с принципом биосистемной аналогии, в частности, с внутрисистемной реализацией иммунной защиты, так как в рассмотренной системе антивирусной защиты (в отличие от биосистемы) большая часть механизмов иммунной защиты находится в антивирусном центре, расположенном за пределами корпоративной сети.
Размещение антивирусного центра вне защищаемой ИС позволяет злоумышленникам: 1) под видом обновления антивирусной базы сформировать канал для загрузки вирусов и „троянских коней", 2) в случае отправки на анализ потенциально инфицированных файлов получить доступ к конфиденциальной информации.
Время реакции подобной иммунной защиты измеряется часами [2], что неприемлемо для большинства критических приложений ИС и ограничивает сферу применения подхода только задачами восстановления корпоративной сети (аналог — процесс реанимации).
В биосистемах функции иммунной защиты реализуются через:
— внутренние механизмы оперативной реакции на угрозы и дестабилизирующие воздействия, распределенные по уровням иерархии средств защиты,
— долговременные процессы накопления жизненного опыта, носящие эволюционный характер [3, 4].
Биосистемная аналогия в эволюционных процессах основана на реализации в ИС совокупности механизмов наследования, развития, адаптации и отбора, свойственных биосистемам, в то время как при построении перспективных средств защиты основное внимание уделяется лишь свойству адаптивности разрабатываемых интеллектуальных средств выявления атак и несанкционированных информационных процессов в корпоративной сети [5—7].
Средства защиты уровня почтовых шлюзов и межсетевых экранов в большей мере ориентированы на выявление внешних атак, а средства защиты серверного уровня — на нейтрализацию внутренних угроз в корпоративной системе. Известные интеллектуальные средства защиты, как правило, реализуют только механизмы оперативной реакции и нейтрализации угроз, практически не уделяя внимания координирующей роли, которую играет нервная система — верхний уровень иерархии защиты биологических систем в реализации эволюционного процесса накопления жизненного опыта системы (долговременного запоминания системной информации). В биосистемах имеют место процессы постепенной адаптации иерархической системы жизнеобеспечения и защиты с использованием всего арсенала средств эволюционных процессов.
В ИС помимо иммунного уровня средств защиты необходимо наличие иерархии уровней защиты, и прежде всего — верхних (например, рецепторного уровня защиты), выполняющих функции нервной системы организма по накоплению жизненного опыта, координации и установлению ассоциативных (долговременных) связей между процессами, происходящими на нижних уровнях средств защиты, — атаками и изменением множества угроз. Таким образом, необходим иерархический уровень накопления жизненного опыта по нейтрализации атак, представленного в форме структурированных информационных полей, удобных для наследования в последующих реализациях системы.
Биосистемная аналогия в представлении информации в форме структурированного информационного поля нейронной сети (НС) позволяет решить комплекс задач повышения информационной безопасности ИС за счет распределенного избыточного представления знаний, избыточного пространственного представления информационных процессов, функцио-
нально устойчивой параллельной обработки данных при распределенной реализации программируемых информационных процессов.
Биосистемная аналогия в программировании ИС реализуется путем формирования и коррекции распределенных избыточных информационных полей НС, относящихся к иерархической системе средств защиты. Структурированная программа, подобно потоковым машинам [8] описывающая топологию взаимосвязанных компонентов, обеспечивает:
— универсальный характер описания взаимосвязи множества известных угроз и используемых механизмов защиты (МЗ) в виде системы предикатных правил и информационных полей НС;
— автоматическую коррекцию информационных полей НС в процессе адаптации ИС к изменению множества угроз или условий эксплуатации;
— наследование опыта по нейтрализации угроз путем переноса структурированных информационных полей НС в последующие модификации ИС.
Мониторинг безопасности ИС. Метод проектирования адаптивных средств защиты ИС базируется на основных свойствах НС и нечетких систем, связанных с адаптивностью, возможностью представления опыта специалистов ИБ в виде системы нечетких правил.
Возможность обучения рассматривается как одно из наиболее важных качеств нейросе-тевых систем, которое позволяет адаптироваться к изменению входной информации. Обучающими факторами являются избыточность информации и скрытые закономерности, которые видоизменяют информационное поле НС в процессе адаптации. НС, уменьшая степень избыточности входной информации, позволяет выделять в данных существенные признаки, а соревновательные методы обучения — классифицировать поступающую информацию с помощью механизма кластеризации: подобные векторы входных данных группируются нейронной сетью в отдельный кластер и представляются конкретным формальным нейроном. НС, осуществляя кластеризацию данных, находит такие усредненные по кластеру значения функциональных параметров, которые минимизируют ошибку представления сгруппированных в кластер данных.
Согласно подходу проектирования адаптивных средств защиты, необходимо:
— формирование матриц адаптируемых экспертных оценок и на их основе — создание исходных систем нечетких правил и классификаторов (на нижних уровнях защиты — классификаторов „признаки атаки—угрозы", на верхних уровнях защиты — классификаторов „угрозы—МЗ");
— идентификация выявленной угрозы и при расширении множества известных угроз — кластеризация угроз с последующей адаптацией информационных полей путем обучения НС уровней защиты;
— кластеризация вследствие изменения множества угроз сопровождается коррекцией, или расширением системы нечетких правил;
— изменение множества угроз приводит к коррекции систем нечетких правил и матриц экспертных оценок в результате обучения иерархии классификаторов;
— при расширении системы нечетких правил формируется описание нового (отсутствующего) механизма защиты;
— „прозрачность" системы нечетких правил позволяет сформулировать спецификацию на создание отсутствующего МЗ;
— на основании анализа комплекса оценок защищенности ИС (в случае экономической целесообразности) включается новый МЗ в состав средств защиты.
Таким образом, мониторинг безопасности ИС на базе адаптивной модели мониторинга безопасности ИС включает следующие этапы [9]:
1) формирование структурной модели систем ИБ в виде иерархии уровней механизмов защиты в соответствии с техническим заданием на проектирование средств мониторинга безопасности ИС;
2) решение задачи классификации угроз по вектору признаков атак и механизмов защиты по вектору угроз; соотнесение посылок (на нижних уровнях защиты — нечеткого вектора признаков атак, на верхних — нечеткого вектора угроз) с классификационными заключениями экспертов (на нижних уровнях — выявленными угрозами, на верхних — механизмами защиты, необходимыми для нейтрализации множества известных угроз);
3) формирование матриц экспертных оценок для определения степени соответствия угроз признакам атаки (на нижних уровнях защиты) и механизмов защиты полю угроз (на верхних);
4) представление в виде систем нечетких правил результатов, полученных в процессе нечеткого логического вывода классификационных заключений по нечетким посылкам (на нижних уровнях защиты — соотношения „признаки атаки—угрозы", на верхних — „угрозы—МЗ");
5) реализация систем нечетких правил в виде специализированных нейросетевых структур (на нижних уровнях защиты — классификаторов „признаки атаки—угрозы", на верхних — „угрозы—МЗ");
6) решение задачи кластеризации угроз по признакам атак и МЗ по вектору угроз как саморазвитие классификации при расширении множества угроз; разбиение входных векторов на группы (на нижних уровнях защиты — векторов признаков атак, на верхних — векторов угроз) и отнесение вновь поступающего входного вектора к одной из групп либо формирование новой группы (на нижних уровнях — группы угроз, на верхних — группы механизмов защиты, необходимых для нейтрализации множества известных угроз);
7) реализация результатов п. 2 в виде четких классификаторов на основе самообучающейся НС (на нижних уровнях защиты — классификаторов „признаки атаки—угрозы", на верхних — „угрозы—МЗ");
8) наследование опыта адаптивных средств защиты по обеспечению ИБ, приобретенного в процессе эксплуатации подобной ИС, в проектируемые средства защиты путем перенесения информационных полей четких и нейро-нечетких классификаторов (на нижних уровнях защиты — классификаторов „признаки атаки—угрозы", на верхних — „угрозы—МЗ");
9) обучение классификаторов на обучающей выборке — подмножестве входных векторов (на нижних уровнях защиты — векторов признаков атак, на верхних — векторов угроз) с целью формирования информационных полей четких и нейро-нечетких классификаторов;
10) адаптация в процессе эксплуатации ИС информационных полей четких и нейро-нечетких классификаторов (на нижних уровнях защиты — классификаторов „признаки атаки—угрозы", на верхних — „угрозы—МЗ");
11) коррекция адаптируемых матриц экспертных оценок (п. 3) и систем нечетких правил (п. 4) по результатам адаптации;
12) формулирование новых нечетких правил в случае расширения классификации (на нижних уровнях защиты — классификации „признаки атаки—угрозы", на верхних уровнях — классификации „угрозы—МЗ");
13) формирование комплекса оценок защищенности ИС исходя из результатов п. 10 и распределения механизмов защиты по иерархии средств защиты;
14) анализ структуры связей нейро-нечетких классификаторов, „прозрачной" системы нечетких правил и комплекса оценок защищенности по п. 12 для выявления наиболее используемых или отсутствующих в ИС механизмов защиты;
15) формирование спецификации на разработку отсутствующих МЗ;
16) коррекция структуры системы информационной безопасности за счет расширения перечня используемых МЗ и их размещения в иерархии адаптивных средств защиты.
Модель адаптивной защиты и этапы жизненного цикла ИС. Целью этапов проектирования с учетом жизненного цикла ИС является формирование корректной (без несанкционированных возможностей) безопасной ИС. На начальном этапе жизненного цикла в соответствии с требованиями спецификации на проектирование ИС осуществляется формирование ИС и средств защиты с заданной совокупностью свойств.
Для реализации функций средств защиты, соответствующих системе нечетких предикатных правил (например, для классификации механизмов защиты), формируются адаптивные информационные поля адаптивных уровней защиты прикладной ИС. Производится предэксплуатационное обучение нейро-нечетких классификаторов и нейросетевых кластери-заторов с применением корректных алгоритмов, т. е. выполняется адаптация информационных полей НС под задачи информационной защиты.
Процессы настройки (обучения) происходят в режиме адаптации системы при непосредственном участии и под контролем доверенных лиц, в частности, администратора ИС. Процесс настройки завершается блокировкой режима адаптации и переводом сформированной системы в режим работы.
Многоуровневая модель информационной безопасности системы на первом этапе соответствует минимальной активации потенциальных механизмов защиты и полноте информационного множества известных угроз.
Целью этапа эксплуатации жизненного цикла системы является корректное исполнение системой заданных функций. Предусмотрен режим адаптации функций системы защиты информации, который использует механизм адаптации для реагирования на изменение внешних факторов — происходят дальнейший рост, самообучение системы и изменение информационных полей средств защиты. Как и на предыдущем этапе, процессы коррекции функций средств защиты происходят в режиме адаптации системы при непосредственном участии администратора ИС. Процесс настройки завершается блокировкой режима адаптации и переводом системы в режим работы.
Многоуровневая модель адаптивной средств защиты на втором этапе динамически пополняется путем перевода механизмов защиты из статуса „потенциальный" в статус „активированный" и привязки активированного механизма к соответствующему эшелону модели средств защиты. Увеличивается число элементов в подмножестве заданных угроз как за счет включения элементов из множества известных угроз, так и за счет пополнения самого множества известных угроз ранее неизвестными угрозами. В последнем случае возможно расширение множества потенциальных механизмов защиты за счет описания в виде нечетких предикатных правил и последующей реализации ранее отсутствовавших МЗ.
Целью этапа вывода системы из эксплуатации является постепенное сворачивание прикладных функций системы при корректной работе средств защиты и сохранении основных системных функций.
Многоуровневой модели информационной безопасности ИС присущи наличие максимального количества механизмов защиты и полнота информационного поля известных угроз. Накопленный опыт средств защиты подлежит анализу и использованию (наследованию) в создаваемых прикладных системах.
СПИСОК ЛИТЕРАТУРЫ
1. Минаев В. А. Перспективы развития IT-security в России // Межотраслевой тематический каталог „Системы безопасности — 2003". 2003. С. 218—221.
2. Касперски К. Атака на Windows NT // Журнал сетевых решений. „Обзор антивирусных средств от AIDSTEST до информационной иммунной системы". 2000. № 12. С. 88—95.
22 А. Г. Коробейников, Хоанг Зянг, С. Н. Кузнецова, И. Б. Троников, В. А. Семенов
3. Яковлев Н. Н. Жизнь и среда: Молекулярные и функциональные основы приспособления организма к условиям среды. Л.: Наука, 1986.
4. Мелик-Гайназян И. В. Информационные процессы и реальность. М.: Наука, 1998. 192 с.
5. Корнеев В. В., Маслович А. И. и др. Распознавание программных модулей и обнаружение несанкционированных действий с применением аппарата нейросетей // Информационные технологии. 1997. № 10.
6. Котенко И. В. Модели противоборства команд агентов по реализации и защите от распределенных атак „Отказ в обслуживании" // Тр. междунар. конф. IEEE AIS'03 и CAD—2003. М.: Физматлит, 2003. Т. 1. С. 422—428.
7. Гриняев С. Н. Интеллектуальное противодействие информационному оружию. М.: СИНТЕГ, 1999.
8. Mayers G. J. Advances in computer architecture. 2nd ed. NY: Jonh Willey & Sons, 1982.
9. Нестерук Г. Ф., Осовецкий Л. Г., Нестерук Ф. Г. О применении нейро-нечетких сетей в адаптивных системах информационной защиты // „Нейроинформатика — 2005": Мат. VII Всерос. науч.-техн. конф. М.: МИФИ (ТУ), 2005. Ч. 1. С. 163—171.
Сведения об авторах Андрей Вячеславович Суханов — ЗАО „ЭВРИКА", Санкт-Петербург;
E-mail: avsuhanov@eureca.ru Александр Изотович Крылов — ЗАО „ЭВРИКА", Санкт-Петербург;
E-mail: a_krylov@eureca.ru
Рекомендована кафедрой Поступила в редакцию
безопасных информационных технологий 13.05.08 г.
УДК 004.932
А. Г. Коробейников, Хоанг Зянг, С. Н. Кузнецова, И. Б. Троников, В. А. Семенов
МЕТОД СЕГМЕНТАЦИИ ИЗОБРАЖЕНИЯ ДЛЯ РАСПОЗНАВАНИЯ ПЕЧАТНЫХ ДОКУМЕНТОВ
Представлены существующие методы распознавания печатных документов, указаны их основные недостатки. Разработан метод многошкальной сегментации на базе динамической локальной карты связи изображения для получения иерархического дерева блоков документов, имеющих сложную структуру.
Ключевые слова: обработка изображений, печатный документ, сегментация изображения, анализ страницы.
Процесс преобразования документов, хранимых в традиционной форме (на бумажных носителях), в цифровой вид включает следующие этапы: распознавание, извлечение строк и символов, дискретизацию, бинаризацию, подавление шумов, блок-сегментацию.
Цель настоящей работы состоит в решении одной из задач, возникающих при обработке изображения для последующего распознавания, — сегментации изображения. В настоящее время большинство исследований в области распознавания текста ориентируется на поиск алгоритмов для распознавания элементов букв и диакритических знаков. Процесс сегментации исследован мало и поэтому методы сегментации, описанные в литературе [1—9], не в полной мере удовлетворяют потребностям разработчиков программного обеспечения распознавания текста.
Сегментация изображения (разделение текстовой и графической информации) — одна из важных составляющих оптического распознавания текста. Сегментация включает в себя геометрический и логический анализ обрабатываемого компьютером изображения страницы.
