CC BY
682
В.С. Дунин,
Дальневосточный юридический институт МВД России
Н.С. Хохлов,
доктор технических наук, профессор
МОДЕЛЬ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ КОМПЛЕКСНОЙ АВТОМАТИЗИРОВАННОЙ ИНТЕЛЛЕКТУАЛЬНОЙ СИСТЕМЫ «БЕЗОПАСНЫЙ ГОРОД»
THE MODEL OF INFORMATION SECURITY THREATS OF THE INTEGRATED AUTOMATED INTELLECTUAL SYSTEM
“SAFE CITY”
Рассматривается модель угроз информационной безопасности комплексной автоматизированной интеллектуальной системы «Безопасный город» с позиции теории множеств, учитывая внутрисегментные и межсегментные вторжения злоумышленников.
The article deals with description of the model of information security threats of integrated automated intellectual system «Safe city»from the position of set theory, given the inside-and inter-segment intrusion of attack ers.
Комплексная автоматизированная интеллектуальная система (КАИС) «Безопасный город» представляет собой территориально-распределенную систему безопасности, состоящую из множества необходимых подсистем функционирования, объединенных единой транспортной средой — интегрированной мультисервисной транспортной средой (ИМТС) ОВД [1]. Некоторые подсистемы отличаются своей внутренней инфраструктурой, наличием собственных СУБД, интеллектуальными средствами поддержки и распознавания образов. Многие из них являются самостоятельными информационными системами, автоматизирующими процессы обработки, хранения и передачи данных как через открытые информационные сегменты единой информационнотелекоммуникационной системы (ЕИТКС) ОВД, так и через сегменты ограниченного распространения (конфиденциальный и секретный контур), доступ к которым осуществляется посредством удаленного подключения субъектов (пользователи или процессы подсистем КАИС) к выделенным им информационным ресурсам.
Разнородность программно-аппаратного обеспечения подсистем КАИС, огромное количество неоднозначно классифицируемых данных (признаков атак), получаемых от сетевых и хостовых сенсоров, сложность оценки событий информационной безопасности, возможные реализации угроз безопасности информации через обнаруживаемые злоумышленником уязвимости указывают на необходимость создания требуемой системы защиты информации.
Описание угроз безопасности, построение их модели позволяет адекватно оценить уровень опасности и предложить необходимую архитектуру подсистемы защиты информации КАИС «Безопасный город» [2]. В данной статье для построения такой модели проведем анализ угроз, направленных на информационные ресурсы подсистем КАИС, учитывая данные, получаемые сенсорами маршрутизаторов, коммутаторов, межсетевых экранов (МСЭ), систем обнаружения аномалий (СОА) и вторжений (СОВ).
В настоящее время подавляющее число угроз информационной безопасности принципиально могут быть реализованы только в процессе функционирования информационных систем [3], при этом логическое вторжение является наиболее результатив-
ным для злоумышленника. Логическое вторжение обычно делится на внутрисистемное и удаленное. При внутрисистемном вторжении предполагается, что нарушитель уже имеет учетную запись в системе как пользователь с невысокими привилегиями и совершает атаку на систему для получения дополнительных привилегий. Удаленное вторжение заключается в попытке проникновения в систему с удаленной машины (хоста) участников информационного обмена сети ЕИТКС ОВД. Это атаки, выполняемые при постоянном участии человека, и атаки, выполняемые специальными программами: атаки на информацию, хранящуюся на внешних запоминающих устройствах, атаки на информацию, передаваемую по линиям связи, атаки на информацию, обрабатываемую в памяти компьютера [4].
Основная цель практически любой атаки при реализации угрозы — получение несанкционированного доступа к информации.
Для описания угрозы, представляющей собой канал несанкционированного доступа (реализация сетевой атаки, деструктивные воздействия вредоносных программ, инсайдерские атаки), необходимо указать субъект доступа, путь распространения угрозы и информационный объект, к которому осуществляется несанкционированный доступ, нарушающий правила разграничения. Такая угроза может быть описана кортежем [4]:
и ={б, К, Б с, Б х, П, ИО (С)), (1)
где £ — источник угрозы, т.е. субъект доступа (пользователь (инсайдер), внешний злоумышленник или запущенные ими процессы); К — оборудование в канале связи (коммутаторы, маршрутизаторы и др.); Бс, Бх — сервисы безопасности на пути распространения угрозы, соответственно, сетевые и хостовые (МСЭ, СОА, журналы регистрации аномальных сетевых соединений, журналы регистрации операционных систем и др.); П — протоколы и пакеты; ИО — информационный объект доступа (в конкретном сетевом сегменте ограничения С).
В соответствии с рекомендуемыми в [5] основными принципами построения архитектуры безопасности сети зададим три категории ограничения информации: открытая, конфиденциальная и секретная. Тогда множество информационных объектов ИО (информационные ресурсы конфиденциального, секретного и открытого контуров) в сети ЕИТКС представляет собой объединение множеств:
ИО = ИО^ ИОТз ИОс, (2)
где ИОо — множество информационных объектов категории «открыто»; ИОк — множество информационных объектов категории «конфиденциально»; ИОс — множество информационных объектов категории «секретно».
Множество сегментов сети С также представляет собой объединение множеств:
С = С Тя Сс, (3)
где С°, Ск , Сс — подмножества сегментов, в которых хранится и обрабатывается информация, соответственно, с открытым, конфиденциальным и секретным уровнем ограничения;
Со ={с0 ,к Гё [1,К ]}, (4)
где К — число сегментов, в которых хранится и обрабатывается информация категории «открыто»;
Ск ={ск ,1 Гё [1,4, (5)
где Ь — число сегментов, в которых хранится и обрабатывается информация категории «конфиденциально»;
Сс = {с ст,ш Гё [1,М ]}, (6)
где М — число сегментов, в которых хранится и обрабатывается информация категории «секретно».
На хостах хранится и обрабатывается информация с определенным для сегмента уровнем ограничения. Зададим множество хостов в каждом сегменте через характеристические предикаты [6]:
Хк = {х‘к; : - Офаё а паашоа 1 ^ё[1,1к]; (7)
Хк = {Хк : Хк - узел в сегменте Ск} ] Гё [1, Jl]; (8)
Хст = {хст : хст - узел в сегменте Ст}кГё[1,Кт].
(9) к к
Множество субъектов доступа, внешних или внутренних, можно рассматривать как источники угроз, под которыми понимается атакующая программа или пользователь, непосредственно осуществляющий воздействие на сетевой сегмент информационной инфраструктуры КАИС «Безопасный город».
По расположению субъекта доступа относительно атакуемого объекта угрозы подразделяются на внешние и внутренние (внутрисегментные и межсегментные) [4].
Внешние угрозы — это потенциально возможные действия, заключающиеся в поиске и использовании той или иной уязвимости, предпринимаемые: злоумышленником в целях проникновения с удаленного хоста в защищаемую систему, получения прав на удаленный доступ к ресурсам подсистем КАИС и хищения данных; удаленным пользователем, имеющим легальные права, пытающимся превысить уровень своих полномочий.
Внутренние угрозы связаны с нарушением принятой политики безопасности: нелегальным поведением пользователя на хосте (ПК или сервере), попытками доступа пользователя к информационным ресурсам, уровень ограничения которых превышает его уровень доступа (попытки сетевых соединений, запуска приложений, реализации запросов к СУБД).
Множество угроз включает в себя подмножества внешних и внутренних угроз:
и = иея ииеяш. (10)
В свою очередь, подмножество внутренних угроз включает в себя подмножества
ит(1)вЯ и ит1(к)вЯ, где
ит,п“ = (з\К,Е„Е„П.ИО (с”| . (11)
Здесь ил(^1)в% — угроза информационным объектам категории ограничения «секретно»
(ИОс) в случае, когда нарушитель имеет учетную запись в системе как пользователь с
правами доступа к информации с уровнем ограничения «конфиденциально» (Бк), обрабатываемой в сегментах с ограничением «конфиденциально» или «открыто» и пытается превысить свои привилегии ;
ит^Г = (г, К, Б„Б,, П,ИОк (Ск Ь ИОс (Сс | — (12)
угроза информационным объектам категории ограничения «секретно» (ИОс) и «конфиденциально» (ИОк) в случае, когда нарушитель имеет учетную запись в системе как
пользователь с правами доступа к «открытой» информации (Б0), обрабатываемой в сегментах сети с «открытым» доступом и пытается превысить свои привилегии.
Внешняя угроза связана с внешним субъектом доступа и описывается кортежем
и вши £еши, К, Бс, Б х, П, И0(С) .
(13)
Таким образом, получено описание угроз безопасности исследуемого объекта, при этом источниками внутренних угроз являются субъекты и процессы, описываемые
множествами £к, Б0, источниками внешних угроз — субъекты и процессы, описывае-
0внш
мые множеством £ .
Множество внешних субъектов доступа — это объединение множеств
Бввш = Sп^вwшfs , г Гё [1,К ], (14)
где £П'внш — внешние пользователи, обладающие правами доступа (авторизованные удаленные участники информационного обмена); БГЛШ — внешние пользователи, обладающие возможностью несанкционированного доступа (неавторизованные участники информационного обмена других сегментов ЕИТКС ОВД); К — число точек доступа через периметр сети КАИС (совокупность инфокоммуникационного оборудования, заключенная в единое кольцо информационного обмена локальной сети и имеющая доступ во внешние сети — к другим контурам ЕИТКС ОВД).
Введем множество функциональных индикаторов И — значений контролируемых параметров, с помощью которых фиксируются отдельные события информационной безопасности. Функциональные индикаторы отражают результаты контроля : изменений правил МСЭ; соответствия настроек других сервисов безопасности политике безопасности; изменений привилегий пользователей; системных вызовов; попыток доступа; состояния соединений.
Поскольку одним из эффективных способов идентифицировать угрозу (атаку) является анализ комбинаций поведений, предлагается сопоставить множеству возможных путей распространения атаки множество индикаторов. Тогда признак того, что подозрительная активность является угрозой, может быть оценен числом индикаторов на пути распространения атаки. Для идентификации внутренних атак предлагается использовать два типа индикаторов: системные и сетевые (хостовые), для идентификации внешних вторжений дополнительно использовать индикаторы, отображающие аномальные события на периметре сети КАИС.
Зададим множество путей распространения атак с помощью характеристического предиката [6]:
Р = {Р1: Р1 - юои башбтоба шеу аоаее },1 Гё[1,1р ]; (15)
1Р = <2° + <2к + <2с, (16)
где е°, ек, ес — число путей распространения атак к узлам в сегментах, в которых
хранится и обрабатывается информация с уровнем ограничения, соответственно «открытая», «конфиденциальная», «секретная».
Множество индикаторов является объединением подмножеств:
И = И Г-5 И Г-5 Г-5 Ишр, (17)
где И’О — подмножество индикаторов, фиксирующих попытки доступа субъекта с «открытым» уровнем доступа к объекту с уровнем ограничения «конфиденциально»; И^ — подмножество индикаторов, фиксирующих попытку доступа субъекта с «открытым» уровнем доступа к объекту с уровнем ограничения «секретно»; Ипер — подмножество
индикаторов, фиксирующих попытки проникновения на периметре.
Заданное множество индикаторов и путей распространения атак позволяет внести дополнительные экспертные знания о количестве событий информационной безопасности в систему построения нечетких продукционных правил [7].
Предложенное описание модели угроз показывает основные элементы канала несанкционированного доступа (субъект доступа, путь распространения атаки и информационный объект) к информации, циркулирующей на разных уровнях сетевого инфокоммуникационного взаимодействия (контуры безопасности, хосты сегмента, периметр сети) КАИС и ЕИТКС ОВД, учитывающего показания индикаторов событий информационной безопасности от маршрутизаторов, межсетевых экранов, систем обнаружения аномалий и вторжений. Обозначается подход для создания модели системы защиты информации КАИС «Безопасный город».
Таким образом, приведено формализованное построение угроз безопасности КАИС «Безопасный город» с позиции теории множеств с учетом сложности, неоднозначности (нечеткости), неопределенности оценки событий информационной безопасности в условиях информационного противоборства. Такое описание является математической основой построения моделей трудно формализуемых процессов информационного противоборства. Сама модель строится на основе использования интеллектуальных методов, учитывающих суждения специалистов и предоставляющих окончательный результат в виде простых операций над неопределенностью, неточностью и размытостью событий информационной безопасности (теория нечетких множеств, лингвистическая неопределенность, нечеткая логика).
ЛИТЕРАТУРА
1. Дунин В.С. Состояние и перспективы развития функциональных подсистем комплексной автоматизированной интеллектуальной системы «Безопасный город» // Общественная безопасность, законность и правопорядок в III тысячелетии: сборник материалов Международной научно-практической конференции. — Ч. 3. Естественные, математические и технические науки. — Воронеж: Воронежский институт МВД России, 2010. — С. 33—40.
2. Дунин В. С. К вопросу о построении модели управления подсистемы защиты информации комплексной автоматизированной интеллектуальной системы «Безопасный город» // Актуальные вопросы эксплуатации систем охраны и защищенных телекоммуникационных систем: сб. материалов Всероссийской научно-практической конференции курсантов, слушателей, студентов, адъюнктов и молодых специалистов. — Воронеж: Воронежский институт МВД России, 2011. — С. 91 — 92.
3. Информационная безопасность открытых систем: учебник для вузов: в 2 т. Том 1. Угрозы, уязвимости, атаки и подходы к защите / С.В. Запечников [и др.]. — М.: Горячая линия-Телеком, 2006. — 536 с.: ил.
4. Машкина И.В., Гузаиров М.Б. Интеллектуальная поддержка принятия решений по управлению защитой информации в критически важных сегментах информационных систем // Приложение к журналу «Информационные технологии». — 2008. — №7. — С. 32.
5. Национальный стандарт Российской Федерации. Информационная технология. Практические правила управления информационной безопасностью: ГОСТ ИСО/МЭК 17799 — 2005 г.
6. Куликов В.В. Дискретная математика: учеб. пособ. — М.: РИОР, 2007. — 174 с.
7. Дунин В.С., Бокова О.И., Хохлов Н.С. Построение модели интеллектуальной системы управления безопасностью объекта информатизации ОВД на основе нечеткой нейронной продукционной сети // Вестник Воронежского института МВД России. — 2011. — №2. — С. 48—58.
