CC BY
34ПРИКАСПИЙСКИЙ ЖУРНАЛ: управление и высокие технологии № 1 (25) 2014 СИСТЕМНЫЙ АНАЛИЗ, МОДЕЛИ И МЕТОДЫ ПРИНЯТИЯ РЕШЕНИЙ, УПРАВЛЕНИЕ В ЧЕТКИХ И НЕЧЕТКИХ УСЛОВИЯХ
7. Shkurina G. L. Ispolzovanie protsedur vybora dlya postroeniya ocheredey remonta oborudovaniya [Use of choice procedure for creation turns of equipment repair], Nauchno-tekhnicheskiy vestnik informatsionnykh tekhnologiy, mekhaniki i optiki [Scientific and Technical Bulletin of Information Technologies, Mechanics and Optics], 2011, no. 3 (73), pp. 74-78.
8. Kandyrin Y. W., Rörs G. Interaktive und automatische Recherche von Invormationen für den Konstrukteur. Wissenschaftliche Zeitschrift der Technische Universität Dresden, 1984, h. 2, no. 33, s. 147-151.
9. Levitin A., Anany V. Introduction to the Design & Analysis of Algorithms. M., Vilyams, 2006, p. 1296. ISBN 0-07-013151-1.
10. Tanino N., Sawaragi Y. Stability of nondominated solutions in multicriteria decision-making. J. Opt. Theory andAppl., 1980, vol. 30, no. 2, pp. 229-253.
УДК 004.056
МЕТОДИКА ОЦЕНКИ УРОВНЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ВУЗА И ЕЕ АПРОБАЦИЯ НА ПРИМЕРЕ АСТРАХАНСКОГО ГОСУДАРСТВЕННОГО ТЕХНИЧЕСКОГО УНИВЕРСИТЕТА
Статья поступила в редакцию 27.12.2013, в окончательном варианте 14.01.2014.
Ажмухамедов Искандар Маратович, кандидат технических наук, доцент, Астраханский государственный технический университет, 414025, Российская Федерация, г. Астрахань, ул. Татищева, 16, e-mail: [email protected]
Учаев Дмитрий Юрьевич, ведущий программист, Астраханский государственный технический университет, 414025, Российская Федерация, г. Астрахань, ул. Татищева, 16, e-mail: [email protected]
Ажмухамедов Альберт Искандарович, аспирант, Астраханский государственный технический университет, 414025, Российская Федерация, г. Астрахань, ул. Татищева, 16, e-mail: [email protected]
Авторами построена нечеткая когнитивная модель оценки уровня информационной безопасности (ИБ) вуза, которая позволяет связать данные по составу угроз, уязвимостей, средств защиты между собой и рассмотреть влияние потенциально возможных атак на основные сервисы безопасности информационных активов учебного заведения. Нечеткая когнитивная модель не только обеспечивает оценку уровня информационной безопасности, но и дает возможность выработать рекомендации по его повышению, более целенаправленно проводить поиск уязвимостей системы защиты информации, а также аккумулировать полученные при этом знания. Проверка адекватности разработанной модели была осуществлена на примере Астраханского государственного технического университета. Проверка показала достаточно хорошее соответствие между теоретическими результатами и данными реального тестирования системы обеспечения информационной безопасности, проведенного специально подобранной командой. Разработанная авторами методика может быть применена для оценки уровня ИБ высших учебных заведений.
Ключевые слова: информационная безопасность, нечеткая когнитивная модель, атака на информационные ресурсы, защита информации, информационный актив, безопасность вуза, свертка векторного критерия, нечеткий классификатор
PRIKASPIYSKIY ZHURNAL: Upravlenie i Vysokie Tekhnologii (CASPIAN JOURNAL: Management and High Technologies), 2014, 1 (25) SYSTEM ANALYSIS, MODELS AND METHODS OF DECISION-MAKING, MANAGEMENT IN CLEAR AND FUZZY TERMS
EVALUATION OF THE LEVEL OF UNIVERSITY INFORMATION SECURITY AND ITS APPROBATION BY THE EXAMPLE OF ASTRAKHAN STATE TECHNICAL UNIVERSITY
Azhmukhamedov Iskandar M., Ph.D. (Engineering), Associate Professor, Astrakhan State Technical University, 16 Tatishchev St., Astrakhan, 414025, Russian Federation, e-mail: aim_agtu@mail. ru
Uchaev Dmitriy Yu., Leading Programmer, Astrakhan State Technical University, 16 Tatishchev St., Astrakhan, 414025, Russian Federation, e-mail: [email protected]
Azhmukhamedov Albert /., post-graduate student, Astrakhan State Technical University, 16 Tatishchev St., Astrakhan, 414025, Russian Federation, e-mail: [email protected]
The authors constructed a fuzzy cognitive model (FCM) assess the information security level (IS), which allows you to link data on the composition of threats, vulnerabilities, means of protection between themselves and consider the impact of potential attacks on basic security services institution's information assets. FCM not only provides an assessment of the level of information security, but also gives the opportunity to develop recommendations for improved, more targeted search for information security vulnerabilities, as well as accumulate this knowledge. Assesses the adequacy of the developed model was implemented on the example of the Astrakhan State Technical University and showed good correspondence between the theoretical results and data of real test information security University, conducted by a specially selected team.
Keywords: information security, fuzzy cognitive model, attack on information resources, information protection, information asse, university security, folding vector criterion, fuzzy classifier
Введение. Российская высшая школа в настоящее время переживает период адаптации к новым социально-экономическим условиям с разноплановыми проявлениями конкурентной борьбы. Такая адаптация требует создания эффективных механизмов управления информационными ресурсами системы высшего образования, научного обоснования и практической реализации сбалансированной политики информационной безопасности (ИБ) [5].
Специфика защиты информации (ЗИ) в вузе связана с многопрофильным характером его деятельности, обилием форм и методов учебной и научной работы, пространственной распределенностью инфраструктуры (корпуса, филиалы, представительства). Сюда же можно отнести и многообразие источников финансирования, наличие большого количества вспомогательных подразделений и служб, необходимость адаптации к меняющемуся рынку образовательных услуг, отсутствие общепринятой формализации деловых процессов, необходимость электронного взаимодействия с вышестоящими организациями, частое изменение статуса сотрудников и обучаемых. Кроме того, вуз - это публичное заведение с непостоянной аудиторией, а также место повышенной активности «начинающих кибер-преступников» [10].
Таким образом, высшие учебные заведения обладают рядом особенностей, которые необходимо учесть при построении комплексной системы обеспечения информационной безопасности (КОИБ).
Под термином «информационная безопасность» вуза в соответствии с [7] мы будем понимать состояние защищенности интересов организации в условиях угроз в информационной сфере. Защищенность достигается обеспечением совокупности свойств (сервисов) ИБ -конфиденциальностью, целостностью, доступностью информационных активов организации.
Информационные активы - это «информационные ресурсы, в том числе различные виды информации, циркулирующие в информационной системе (служебная, управляющая, аналитическая, деловая и т.д.) на всех этапах жизненного цикла (генерация, хранение, обработка, передача, уничтожение) или средства обработки информации» [7, 13].
ПРИКАСПИЙСКИЙ ЖУРНАЛ: управление и высокие технологии № 1 (25) 2014 СИСТЕМНЫЙ АНАЛИЗ, МОДЕЛИ И МЕТОДЫ ПРИНЯТИЯ РЕШЕНИЙ, УПРАВЛЕНИЕ В ЧЕТКИХ И НЕЧЕТКИХ УСЛОВИЯХ
Постановка задачи. Исходя из вышеизложенного, для оценки уровня ИБ вуза необходимо связать данные по составу угроз, уязвимостей, средств защиты друг с другом и рассмотреть влияние потенциально возможных атак на основные сервисы безопасности информационных активов.
Анализ состава угроз, уязвимостей и средств защиты. Информационные активы учебного заведения подвержены следующим типам угроз:
• непреднамеренные субъективные угрозы (неумышленное повреждение или отключение оборудования; неумышленное удаление или искажение файлов с важной информацией; неумышленное удаление программ; порча носителей информации, ввод ошибочных данных и т.п.);
• преднамеренные субъективные угрозы (преднамеренное физическое разрушение системы; вывод из строя наиболее важных компонентов информационной системы (ИС), отключение подсистем инженерного обеспечения, преднамеренное нарушение режимов эксплуатации устройств или режимов использования программного обеспечения (ПО), хищение носителей информации и т.п.);
• техногенные угрозы (сбой или отказ технических средств обработки информации, вспомогательных технических средств, систем электроснабжения, климат-контроля и т.п.);
• стихийные угрозы (пожар, наводнение, землетрясение, пыльные бури, экстремально высокая/низкая температура и т.п.).
Перечисленные угрозы (обозначим их совокупность как {170^где 3 — общее количество видов угроз) имеют априорные вероятности возникновения, зависящие от различных параметров: привлекательности информационного актива для злоумышленника, уровня его квалификации (для субъективных угроз); состояния внешней инфраструктуры, окружающей объект информатизации, его расположения, климатических условий и т.д. Любая из угроз множества {11(}:\] | может реализоваться в виде атаки на информационные активы при наличии соответствующей уязвимости [8].
К основным уязвимостям систем обеспечения ИБ образовательных учре-
ждений можно отнести: отсутствие утверждённой концепции ИБ; низкую надежность основных и вспомогательных технических средств (ТС); наличие ошибок в программном обеспечении; несоблюдение режима охраны; нештатные режимы использования ПО и эксплуатации ТС и т.д.
В качестве средств защиты информации, образующих множество мер противодействия {Д}!=1 обычно используют: эффективную организацию процедуры хранения документов; разработку мер оперативного реагирования на инциденты; административные и технические средства контроля за работой пользователей; использование только сертифицированного лицензионного ПО; разграничение прав доступа к ПО; периодическое резервное копирование информации; обучение сотрудников основам ИБ; формирование культуры безопасного поведения в информационном пространстве и т.д.
Структура нечеткой когнитивной модели оценки уровня информационной безопасности вуза. Поскольку большинство задач, возникающих в процессе обеспечения ИБ, представляют собой ярко выраженные плохо формализуемые проблемы, то для их описания и анализа целесообразно применение аппарата нечеткого когнитивного моделирования, который по сравнению с другими методами дает возможность формализации численно неизмеримых факторов, позволяет использовать неполную, нечеткую и даже противоречивую информацию [9, 16].
При построении нечеткой когнитивной модели (НКМ) оценки уровня информационной безопасности необходимо связать основные концепты рассматриваемой проблемы в рамках нечеткого графа О [1].
PRIKASPIYSKIY ZHURNAL: Upravlenie i Vysokie Tekhnologii (CASPIAN JOURNAL: Management and High Technologies), 2014, 1 (25) SYSTEM ANALYSIS, MODELS AND METHODS OF DECISION-MAKING, MANAGEMENT IN CLEAR AND FUZZY TERMS
При этом на нижнем уровне иерархии располагаются средства и механизмы защиты Z, действия которых уменьшают вероятности возникновения угроз и ослабляют степени уязвимостей UZ, расположенных на уровень выше. Угрозы и уязвимости, в свою очередь, определяют вероятность возникновения атак А, которые негативно влияют на сервисы безопасности БЯУ (конфиденциальность, целостность, доступность).
Эти сервисы в совокупности определяют интегральный показатель комплексной ИБ учебного заведения К и влияют на репутацию вуза, его материально-техническое состояние, финансовую устойчивость, качество образовательного процесса, эффективность научных исследований и т.п.
В построенной таким образом НКМ все значения концептов, входящих в нечеткий граф С, задаются с помощью лингвистической переменной «Уровень фактора» с терм-множеством:
<2Ь = {Низкий (Н), Ниже среднего (НС), Средний (С),
Выше среднего (ВС), Высокий (В)} (1)
В качестве семейства функций принадлежности выступает стандартный пятиуровневый 01-классификатор, где функции принадлежности /иР - трапецеидальные нечеткие числа (НЧ)[11, 12, 15]:
Н (0; 0; 0,15; 0,25); НС (0,15; 0,25; 0,35; 0,45); С (0,35; 0,45; 0,55; 0,65);
ВС (0,55; 0,65; 0,75; 0,85); В (0,75; 0,85; 1; 1), (2)
где в нечетком числе Х(аь а2, а3, я4): а\ и а4- абсциссы нижнего основания; а2 и а3 - абсциссы верхнего основания трапеции (рис. 1).
Рис. 1. Система трапецеидальных функций принадлежности на 01-носителе (пятиуровневый 01-классификатор) Для осуществления вычислений с нечеткими числами используется принцип расширения арифметических операций, предложенный Л. Заде [6].
Значения концептов НКМ находятся по следующим формулам:
uzT = uz™ ■ WjtMZ'rr
-тп т—г /-упп
UZ = Im> Y] liiv((IZj )
,тп
7
UGnn = UGmn -Х\1т(ЪТ)У
(3)
(4)
(5)
ПРИКАСПИЙСКИЙ ЖУРНАЛ: управление и высокие технологии № 1 (25) 2014 СИСТЕМНЫЙ АНАЛИЗ, МОДЕЛИ И МЕТОДЫ ПРИНЯТИЯ РЕШЕНИЙ, УПРАВЛЕНИЕ В ЧЕТКИХ И НЕЧЕТКИХ УСЛОВИЯХ
где 1пу(Р} = 1 - ¡иР - инверсия фактора 1< (///.■ - функция принадлежности для фактора 1<):
-тп
112 ] - остаточный (после применения средств защиты) уровень /-и уязвимости я?-го актива относительно п-ой угрозы; 117.'"" - исходный (до применения средств защиты) уровень /-и
-- гу тп ■ ■■> ч
уязвимости т-то актива относительно п-и угрозы; /( - уровень 7-ои защитной меры по отношению к п-й угрозе т-му активу; г™п - весовой коэффициент, отражающий «вклад» 7-й
-тп
защитной меры в снижение уровня п-ой угрозы т-у активу; 112; - интегральный уровень уязвимости т-то актива по отношению к п-й угрозе; s""' - весовой коэффициент, отражаю-
-тп -тп -т
щий «вклад» 112; в 112 ; I К} „ - остаточная вероятность существования угрозы IIСп
7тп т т/~< т
I и^п ~ исходная вероятность существования угрозы 1Юп для я?-го актива; V™" - весовой коэффициент, от-
-- гу тп т т/~< т
ражающии «вклад» элемента защиты /( в уменьшение угрозы (/(,гп .
Результат нахождения сверток векторного критерия в иерархии (7 является нечетким числом, которое необходимо лингвистически распознать, чтобы выработать суждение о качественном уровне показателей. Для этого вычисляется индекс схожести П. характеризующий степень соответствия значения фактора той или иной качественной оценке из терм-множества лингвистической переменной 01. (1):
0 = (1 + р)/2 (6)
Р = (Ргп - Рош)1(Ргп + РоиХ (7)
где
Ргп = Г4 (т1п[ Ив О); ^с РоШ =
Г4 Рп
(8)
(Ром представляет собой площадь НЧ В(Ь\. Ь2, Ь3, Ь4), характеризующего результат, лежащую вне эталонного нечеткого числа С(сь с2, с3, с4), ар- площадь, лежащую внутри этого
т
же НЧ; ¡ив(х) и иг(х) - функции принадлежности соответствующих нечетких чисел).
Определенный таким образом индекс схожести, изменяясь в диапазоне от 0 до 1, характеризует близость найденной свертки к тому или иному нечеткому числу, которое, в свою очередь, соответствует элементу эталонного терм-множества.
При этом обеспечивается семантическое соответствие: чем больше индекс схожести, тем выше степень соответствия вычисленного значения одному из элементов терм-множества 01*.
Разница индексов схожести качественных оценок, полученных экспериментальным и теоретическим путем, может быть использована в качестве метрической характеристики степени адекватности нечеткой когнитивной модели.
-т -тп
Реализация п-ой угрозы т-му активу I К}„ через имеющиеся уязвимости 112 соответствует атаке А™ , вероятная результативность которой может быть оценена по формуле:
. -— т -тп
А™ = исп-т (9)
PRIKASPIYSKIY ZHURNAL: Upravlenie i Vysokie Tekhnologii (CASPIAN JOURNAL: Management and High Technologies), 2014, 1 (25) SYSTEM ANALYSIS, MODELS AND METHODS OF DECISION-MAKING, MANAGEMENT IN CLEAR AND FUZZY TERMS
Если данная величина отлична от нуля, т.е. несмотря на предпринятые защитные ме-
и. тп А УУ1
роприятия, в некоторый момент времени г атака Ап все же возникла, то задеиствуются
меры { 2™п } по снижению уровня нарушений безопасности (инцидентов).
Данные меры могут быть активизированы не сразу, а спустя некоторое время (¿™")нач, необходимое для идентификации атаки и принятия решения о реагировании на нее.
При достижении времени )кон действие этих мер прекращается - либо в связи с окончанием инцидента, либо в связи с исчерпанием ресурсов, обеспечивающих сдерживание атаки.
Во время действия данных мер результативность п-ой атаки на т-ый ресурс А"' может быть найдена по формуле:
= (ю)
., тп 1 1 ч гу тп
где у ■ - весовой коэффициент, отражающий вклад меры / , в снижение уровня п-го инцидента (атаки) по отношению к т-му активу.
Инциденты ИБ при условии, что их уровень выше некоторого критического порога
(А™)крит и продолжительность больше некоторого критического интервала времени
тп \
(/ ■ ) крIп . могут порождать новые или усиливать уже имеющиеся уязвимости системы, что должно найти отражение при оценке их уровня на следующем шаге по времени:
—„ 8"
UZ'"n(t + At) = UZ'"n(t)-Inv
П^'К")
>тп
' ]
(П)
Совокупность атак на т-ый информационный актив, в свою очередь, определяет уровень обеспеченности сервисов безопасности данного актива SRV™
_ тк
SRVkm =Ц1пу(АптУ" . (12)
п
Если уровень какого-либо сервиса падает ниже критического значения, то необходимо предпринять меры по его восстановлению, т.е. реализовать мероприятия блока ликвидации последствий [2]. Результат действий на этом шаге формализуется с помощью следующей формулы:
_т Qmk
SRVк = SRV" -Inv П lnv(Zr"k) 1
(13)
где SRV к - уровень к-то сервиса m-то актива после реализации мер ликвидации последствий Z™*1; в"'к - весовой коэффициент, отражающий вклад меры Z"'k в повышение уровня
к-то сервиса безопасности я?-го актива.
Так же как и в случае с мерами по снижению уровня инцидентов, до активизации
данных мер проходит некоторое время (tjk)нач, необходимое для идентификации уровня сервисов безопасности и принятия решения о необходимости их повышения. Действие этих мер прекращается в некоторый момент времени (tjk )кон либо в связи с достижением нужного уровня сервиса безопасности, либо в связи с исчерпанием ресурсов для его повышения.
ПРИКАСПИЙСКИЙ ЖУРНАЛ: управление и высокие технологии № 1 (25) 2014 СИСТЕМНЫЙ АНАЛИЗ, МОДЕЛИ И МЕТОДЫ ПРИНЯТИЯ РЕШЕНИЙ, УПРАВЛЕНИЕ В ЧЕТКИХ И НЕЧЕТКИХ УСЛОВИЯХ
-т
Основываясь на значениях сервисов безопасности SRV к для т-то актива, определяется интегральный уровень его безопасности К"1:
Кт =\\к{5К¥тк)а", (14)
где а™ - весовой коэффициент, отражающий «вклад» ¿-го сервиса в интегральную оценку уровня безопасности т-то актива.
Обобщенный показатель К комплексной безопасности всего учебного заведения находится по формуле:
K = Y\m(Km)ßm, (15)
где ßm - весовой коэффициент, отражающий значимость я?-го информационного актива в
обобщенной оценке комплексного уровня безопасности образовательного учреждения.
Применение мультипликативной свертки в формуле (15) обусловлено тем, что каждый из частных критериев К"1 критично значим при определении обобщенного показателя К и взаимная компенсация низких значений одних критериев за счет высоких значений других (как это имеет место, например, при аддитивной свертке) не допускается. Значение мультипликативного критерия, в отличие от аддитивного, резко уменьшается при малых значениях отдельных критериев, что позволяет лучше учесть их влияние.
Тестирование уровня информационной безопасности АГТУ. Проверка адекватности предложенной модели была осуществлена в рамках решения задачи комплексной оценки уровня информационной безопасности ФГБОУ ВПО «Астраханский государственный технический университет (АГТУ)».
Для этого были выделены и проранжированы по степени значимости информационные активы, которые могут быть подвержены атакам.
Из множеств U(i и UZ были отобраны угрозы и уязвимости, характерные для каждого из видов активов. Затем был составлен перечень имеющихся в вузе средств обеспечения ИБ и проанализировано влияние использования этих средств на угрозы и уязвимости, выявленные на предыдущем этапе.
При имеющихся в АГТУ средствах ЗИ интегральный уровень ИБ К0 при помощи приведенной выше нечеткой когнитивной модели был оценен как «средний» с индексом схожести Q = 0,78.
С целью проверки адекватности полученной оценки из общего перечня субъективных угроз, содержащего 45 пунктов [14], были выбраны 13 угроз, направленных на основные сервисы безопасности (конфиденциальность, целостность, доступность) наиболее значимых информационных активов АГТУ:
• UG23 - вывод из строя наиболее важных компонентов ИС;
• UG24 - отключение подсистем обеспечения ИС;
• UG26 - преднамеренное нарушение режимов эксплуатации устройств или режимов использования ПО;
• UG32 - перехват информации в каналах связи и их анализ;
• UG33 - осуществление «маскарада» (выполнения действий под видом другого пользователя или другой системы);
• UG34 - хищение носителей информации;
• UG35 - несанкционированное копирование информации;
• £/G38 - чтение остаточной информации с внешних ЗУ;
• UGyj - незаконное получение реквизитов разграничения доступа;
PRIKASPIYSKIY ZHURNAL: Upravlenie i Vysokie Tekhnologii (CASPIAN JOURNAL: Management and High Technologies), 2014, 1 (25) SYSTEM ANALYSIS, MODELS AND METHODS OF DECISION-MAKING, MANAGEMENT IN CLEAR AND FUZZY TERMS
• UG40 - вскрытие шифров криптозащиты информации;
• UG42 - внедрение программных «закладок» и «вирусов»;
• UG44 - навязывание ложных сообщений (фальсификация);
• UG45 - модификация потока данных.
Для каждой из отобранных угроз экспертной группой, в состав которой вошли преподаватели кафедры ИБ АГТУ, представители ФСТЭК по Астраханской области и представитель ФГУП «ЦентрИнформ», были выявлены необходимые для их реализации компетенции «злоумышленника»:
• Ki - навыки использования специального ПО для перехвата и модификации потока данных;
• К2 - знание протоколов обмена данными МЕЖДУ ЧЕМ И ЧЕМ;
• К3 - знание теории кодирования;
• К4 - знание топологии сетей передачи данных;
• К5 - навыки программирования;
• К6 - навыки социальной инженерии;
• К7 - знание криптографических методов защиты информации;
• Kg — знание систем управления базами данных;
• К9 - навыки использования специального ПО для маскировки;
• Кю - знание особенности функционирования различных сетей;
• Кц - знание механизмов взаимной аутентификации в сети;
• К12 - навыки в написании и отладке «вирусов» и «закладок»;
• К13 - знание особенностей функционирования операционных систем;
• К14 - навыки использования специального ПО по внедрению «вирусов» и «закладок»;
• К15 - знание основ криптоанализа;
• Ki6 - умение работать со специальным ПО для криптоанализа;
• К17 - знание основ электротехники и навыки работы с электрооборудованием и электрическими сетями;
• Ki8-знание основ схемотехники, умение «читать» схемы;
• К19 - навыки конфигурирования устройств КАКИХ;
• К2о - навыки конфигурирования ПО;
• К21 - навыки работы со штатными утилитами для копирования информации;
• К22 - умение работать со специальным ПО для несанкционированного копирования информации;
• К2з - навыки работы со штатными утилитами восстановления информации;
• К24 - умение работать со специальным ПО для восстановления информации;
• К25 - навыки работы со специальным ПО для «взлома» паролей;
• К26 - знание технологий формирования ключевой информации;
• К27 - умение применять приемы социальной инженерии для доступа к конфиденциальной информации;
• К28 - умение преодолевать механизмы инженерно-технической защиты.
Далее экспертами были определены необходимые пороговые (минимальные) уровни этих компетенций (табл. 1).
ПРИКАСПИЙСКИЙ ЖУРНАЛ: управление и высокие технологии № 1 (25) 2014 СИСТЕМНЫЙ АНАЛИЗ, МОДЕЛИ И МЕТОДЫ ПРИНЯТИЯ РЕШЕНИЙ, УПРАВЛЕНИЕ В ЧЕТКИХ И НЕЧЕТКИХ УСЛОВИЯХ
Таблица 1
Минимальные уровни компетенций, необходимые для реализации угроз
ио23 ио24 ш26 ио32 Шзз Ш34 Ш35 ш38 Ш39 ио40 ио42 ио 44 Ш45 к*
К! ВС в в
к2 ВС с ВС ВС ВС
К3 НС с с
К4 НС с с
К5 в ВС в
Кб с в с с в ВС в
к7 с в ВС в
К8 с с
к9 ВС ВС ВС
Кю ВС ВС
К„ в в в
К12 в в
К13 в в в
Км ВС ВС
К15 в в
К16 ВС ВС
К17 с с
К18 ВС ВС
К19 ВС ВС
Кго ВС ВС
К21 с с
к22 ВС ВС
Кгз ВС ВС
К24 ВС ВС
К25 ВС ВС
К26 в в
К27 с ВС ВС ВС ВС ВС
К28 ВС с с с с ВС ВС
В табл. 1 через К* обозначен пороговый уровень 7-ой компетенции, необходимой для выполнения общей задачи (реализация антропогенных угроз по отношению к информационным активам АГТУ).
Для имитации антропогенных (субъективных) угроз была подобрана команда, состоящая из студентов старших курсов специальности «Комплексное обеспечение информационной безопасности автоматизированных систем», преподавателей кафедры «Информационная безопасность» и специалистов отдела «Информационная безопасность» АГТУ.
Формирование команды было осуществлено с помощью процедуры, предусматривающей два этапа [3]. На первом - оценивался уровень компетенций каждого из претендентов. На втором - на основе полученных данных отбирался наиболее подходящий состав исполнителей. ЧТО БЫЛО КРИТЕРИЕМ ОПТИМАЛЬНОСТИ И ОГРАНИЧЕНИЯМИ. В ЧАСТНОСТИ, СТАВИЛАСЬ ЛИ ЦЕЛЬ, ЧТОБЫ ЛЮДИ БЫЛИ ИЗ ВСЕХ ТРЕХ ГРУПП.
С использованием описанной методики путем тестирования и анализа достижений 22 претендентов в различных областях были определены уровни их компетенций и сформирована команда из 8-ми участников (двое преподавателей кафедры, представитель отдела ИБ, пятеро студентов), которая всесторонне протестировала систему комплексного обеспечения ИБ АГТУ.
PRIKASPIYSKIY ZHURNAL: Upravlenie i Vysokie Tekhnologii (CASPIAN JOURNAL: Management and High Technologies), 2014, 1 (25) SYSTEM ANALYSIS, MODELS AND METHODS OF DECISION-MAKING, MANAGEMENT IN CLEAR AND FUZZY TERMS
В силу ограниченных размеров статьи ниже в качестве примера приведено краткое описание только одной из успешных атак на электронные информационные активы университета.
Атака была основана на получении доступа к информационным ресурсам вуза с компьютера, находящегося в локальной сети учебного заведения.
С этой целью в одной из компьютерных аудиторий АГТУ было установлено необходимое программное обеспечение для осуществления атаки и произведено сканирование хостов локальной сети для выявления перспективных для дальнейшей «разработки» IP адресов.
Взлом отобранных на первом этапе информационных активов, размещенных по этим адресам, осуществлялся путем реализации атаки «ARP Poison Routing» («отравление ARP»). Это одна из разновидностей атаки типа «man-in-the-middle» («человек посередине»). Ее реализация позволяет «прослушивать коммутируемые сети и перехватывать IP-трафик между хостами». Описание подобного рода атак (а часто и готовые программные продукты для их реализации) можно достаточно легко найти в сети Интернет.
Атаки такого рода основаны на манипуляции с кэшем ARP хостов. В IP сетях, когда два хоста хотят обменяться информацией, они должны знать MAC-адреса друг друга. Хост источник проверяет свою таблицу ARP, чтобы узнать, есть ли MAC-адрес, соответствующий IP-адресу хоста назначения. Если нет, то он транслирует ARP запрос ко всей сети, запрашивая MAC-адрес хоста адресата. Поэтому пакет, отправленный в сеть, достигнет каждого хоста в подсети. Однако только хост с IP-адресом, указанным в запросе, отправит свой MAC исходному хосту. Компьютер «инсайдер» выполняет подмену кэша ARP таблицы, выдавая себя за легитимного участника обмена информацией. Таким образом, через этот компьютер проходит вся информация, которой обмениваются выбранные «компьютеры-жертвы». С использованием описанного выше типа атаки был получен пароль для удаленного административного доступа на один из серверов АГТУ.
После имитации «взлома» этого сервера обнаруженные уязвимости были оперативно ликвидированы службой ИБ.
Как показывает практика, сложность борьбы с подобными атаками в высшем учебном заведении в основном связана со следующими факторами:
• трудностью контроля за выполнением всеми структурными подразделениями правил ИБ;
• недостаточным уровнем подготовки персонала в области информационных технологий вообще и в области ИБ в частности, а также с невысокой степенью лояльности сотрудников;
• невозможностью использования «жестких» санкций за нарушения режима безопасности (как, например, это практикуется в частных компаниях);
• применением бесплатных утилит, использующих «небезопасные» протоколы удаленного администрирования (таких как telnet, rlogin и т.п.);
• большим количеством информационных систем, которые потенциально могут содержать конфиденциальную информацию, но при этом администрируются непосредственно пользователями, а не профильными службами вуза;
• недостаточным уровнем финансирования мероприятий, направленных на обеспечение ИБ.
Кроме того, особенности функционирования вуза делают проблематичным, а часто и невозможным, применение некоторых типовых и весьма эффективных средств обеспечения ИБ. Например, затруднительно обеспечить полноценный пропускной режим, невозможно полностью ограничить физический доступ в помещения, в которых обрабатывается конфиденциальная информация, сложно физически разграничить различные автоматизированные подсистемы, функционирующие в рамках общей автоматизированной системы управления вузом и т.д.
ПРИКАСПИЙСКИЙ ЖУРНАЛ: управление и высокие технологии № 1 (25) 2014 СИСТЕМНЫЙ АНАЛИЗ, МОДЕЛИ И МЕТОДЫ ПРИНЯТИЯ РЕШЕНИЙ, УПРАВЛЕНИЕ В ЧЕТКИХ И НЕЧЕТКИХ УСЛОВИЯХ
Оценка адекватности разработанной НКМ. Оценка уровня повреждений сервисов безопасности после реализации совокупности техногенных, природных и антропогенных угроз была произведена по методике, изложенной в [4]. Данные по оценке уровня сервисов ИБ в результате тестирования вместе с полученными с помощью предложенной модели теоретическими значениями приведены в табл. 2.
Таблица 2
Оценка уровня сервисов безопасности АГТУ
Сервис безопасности Экспериментальная оценка / И-, Расчетная оценка / Ор Отклонение О (Оэ-Рр)
Конфиденциальность ВС /1 ВС / 0,79 0,21
Целостность НС /1 НС/0,81 0,19
Доступность НС /1 НС / 0,94 0,06
Отклонения индексов схожести теоретически рассчитанных и полученных в результате тестирования результатов не превышают 0,21 (среднее отклонение 0,15), что для данного типа моделей, описывающих плохо формализуемые слабо структурированные процессы, можно считать вполне допустимым. Иными словами, предложенная НКМ достаточно адекватно отражает действительность.
В результате проведенного на основе данной модели анализа были выявлены факторы, оказывающие наибольшее влияние на снижение безопасности информационных активов вуза, и даны рекомендации по повышению уровня ИБ.
Реализация указанных мер позволила поднять оценку сервиса безопасности «Доступность» до уровня «Средний», а сервиса «Целостность» до уровня «Выше среднего».
Заключение. На основании всего вышеизложенного можно сделать следующие выводы.
1. Предложенная нечеткая когнитивная модель дает возможность, последовательно пройдя все уровни ее иерархии и применяя для свертки параметров приведенные в работе формулы, оценить уровень безопасности информационных активов вуза и выработать рекомендации по его повышению. При этом использование модели позволяет более целенаправленно проводить поиск возможных уязвимостей системы ЗИ, а также аккумулировать полученные при этом знания. Данная модель применима для оценки уровня ИБ любого вуза.
2. Проверка адекватности разработанной модели показала достаточно хорошее соответствие между теоретическими результатами и данными, полученными в результате тестирования реальной системы обеспечения информационной безопасности ФГБОУ ВПО АГТУ.
Список литературы
1. Ажмухамедов И. М. Анализ и управление комплексной безопасностью на основе когнитивного моделирования / И. М. Ажмухамедов // Управление большими системами. - Москва : ИПУ РАН, 2010. -Вып. 29.-С. 5-15.
2. Ажмухамедов И. М. Динамическая нечеткая когнитивная модель влияния угроз на информационную безопасность системы / И. М. Ажмухамедов // Безопасность информационных технологий. -2010,-№2.-С. 68-72.
3. Ажмухамедов И. М. Методика формирования команды для реализации 1Т-проектов на основе нечеткой когнитивной модели оценки компетенций / И. М. Ажмухамедов, А. И. Ажмухамедов // Прикладная информатика. - 2011. - № 4 (34). - С. 70-76.
4. Ажмухамедов И. М. Оценка повреждений безопасности информационной системы на основе нечетко-когнитивного подхода / И. М. Ажмухамедов // Вопросы защиты информации. - 2012. -№ 1. - С. 57-60.
5. Брумштейн Ю. М. Безопасность среды пребывания в вузах - анализ влияющих факторов и состава затрат на управление ими / Ю. М. Брумштейн, Г. Н. Бобровская, А. М. Сизов // Прикаспийский журнал: управление и высокие технологии. - 2010. - № 1 (9). - С. 83-88.
PRIKASPIYSKIY ZHURNAL: Upravlenie i Vysokie Tekhnologii (CASPIAN JOURNAL: Management and High Technologies), 2014, 1 (25) SYSTEM ANALYSIS, MODELS AND METHODS OF DECISION-MAKING, MANAGEMENT IN CLEAR AND FUZZY TERMS
6. Заде Jl. Понятие лингвистической переменной и его применение к принятию приближенных решений / Л. Заде. - Москва : Мир, 1976. - 165 с.
7. Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения. ГОСТ Р53114-2008. - Москва : Стандартинформ, 2009.
8. Защита информации. Основные термины и определения. ГОСТ Р 50922-2006. - Москва : Стандартинформ, 2006.
9. Максимов В. И. Аналитические основы применения когнитивного подхода при решении слабоструктурированных задач / В. И. Максимов, Е. К. Корноушенко // Труды ИПУ РАН. - Москва, 1999.-Т. 2,- С. 95-109.
10. Минзов А. С. Особенности комплексной информационной безопасности корпоративных сетей ВУЗов / А. С. Минзов. - Режим доступа: http://tolerance.mubiu.ru/base/Minzov(2).htm#top (дата обращения 25.12.2013). - Заглавие с экрана. - Яз. рус.
11. Недосекин А. О. Нечеткий финансовый менеджмент / А. О. Недосекин. - Москва : Аудит и финансовый анализ, 2003.
12. Поспелов Д. С. «Серые» и/или «черно-белые» [шкалы] / Д. С. Поспелов // Прикладная эргономика. Специальный выпуск «Рефлексивные процессы». - 1994. - № 1. - С. 26-39.
13. Финансовые услуги. Рекомендации по информационной безопасности. ГОСТ Р ИСО ТО 13569-2007. - Москва : Стандартинформ, 2008.
14. Egan М. The executive guide to information security,: threats, challenges, and solutions / M. Egan, T. Mather. - Symantec Press, 2005. - 288 p.
15. Kaufmann A. Introduction to Fuzzy Arithmetic: Theory and Applications / A. Kaufmann, M. Gupta. - Van Nostrand Reinhold, 1991. - 350 p.
16. Kosko B. Fuzzy cognitive maps / B. Kosko // International Journal of Man-Machine Studies. -1986.-Vol. l.-P. 65-75.
References
1. Azhmukhamedov I. M. Analiz i upravlenie kompleksnoy bezopasnostyu na osnove kognitivnogo modelirovaniya [Analysis and complex security management based on cognitive modeling], Upravlenie bolshimi sistemami [Large systems control]. Moscow, Institute of Control Sciences of RAS, 2010, no. 29, pp. 5-15.
2. Azhmukhamedov I. M. Dinamicheskaya nechetkaya kognitivnaya model vliyaniya ugroz na in-formatsionnuyu bezopasnost sistemy [Dynamic fuzzy cognitive model of the effect of threats on system information security]. Bezopasnost informatsionnykh tekhnologiy [Information Technology Safety], 2010, no. 2, pp. 68-72.
3. Azhmukhamedov I. M., Azhmukhamedov A. I. Metodika formirovaniya komandy dlya realizatsii IT-proektov na osnove nechetkoy kognitivnoy modeli otsenki kompetentsiy [Technique of forming a team for the implementation of IT projects based on fuzzy cognitive model of competence assessment]. Priklad-naya informatika. [Applied Informatics], 2011, no. 4 (34), pp. 70-76.
4. Azhmukhamedov I. M. Otsenka povrezhdeniy bezopasnosti informatsionnoy sistemy na osnove nechetko-kognitivnogo podkhoda [Damage assessment information system security based on fuzzy cognitive approach], Voprosy zashchity informatsii [Journal of Data Protection], 2012, no. 1, pp. 57-60.
5. Brumshteyn Yu. M., Bobrovskaya G. N., Sizov A. M. Bezopasnost sredy prebyvaniya v vuzakh -analiz vliyayushchikh faktorov i sostava zatrat na upravlenie imi [Security of stay environment in universities -analysis of influencing factors and costs of their management]. Prikaspiyskiy zhurnal: upravlenie i vysokie tekhnologii. [Caspian Journal: Management and High Technologies], 2010, no. 1 (9), pp. 83-88.
6. Zade L. Ponyatie lingvisticheskoy peremennoy i ego primenenie к prinyatiyu priblizhennykh resheniy [Concept of linguistic variable and its application to the adoption of approximate solutions]. Moscow, Mir, 1976. 165 p.
7. Data protection. Ensuring information security in the organization. Basic terms and definitions. GOST R53114-2008. Moscow, Standartinform, 2009. (In Russ.)
8. Data protection. Basic terms and definitions. GOST R 50922-2006. Moscow, Standartinform, 2006. (In Russ.)
9. Maksimov V. I., Kornoushenko Ye. K. Analiticheskie osnovy primeneniya kognitivnogo podkhoda pri reshenii slabostrukturirovannykh zadach [Analytical bases for the use of the cognitive approach
ПРИКАСПИЙСКИЙ ЖУРНАЛ: управление и высокие технологии № 1 (25) 2014 СИСТЕМНЫЙ АНАЛИЗ, МОДЕЛИ И МЕТОДЫ ПРИНЯТИЯ РЕШЕНИЙ, УПРАВЛЕНИЕ В ЧЕТКИХ И НЕЧЕТКИХ УСЛОВИЯХ
in solving semistructured problems]. Trudy Instituía problem upravleniya RAN [Proceedings of Institute of Control Sciences of RAS], Moscow, 1999, no. 2, pp. 95-109.
10. Minzov A. S. Osobennosti kompleksnoy informatsionnoy bezopasnosti korporativnykh setey VUZov [Features of complex information security of corporate networks of universities]. Available at: http://tolerance.mubiu.ru/base/Minzov(2).htm#top (accessed 25 December 2013).
11. Nedosekin A. O. Nechetkiy finansovyy menedzhment [Fuzzy financial management]. Moscow, Audit and Financial Analysis, 2003.
12. Pospelov D. S. «Serye» i/ili «cherno-belye» [shkaly] ["Grey" and/or "black and white" scales]. Prikladnaya ergonomika. Spetsialnyy vypusk «Refleksivnye protsessy» [Applied Ergonomics. Special Issue "Reflexive Processes"], 1994, no. 1, pp. 26-39.
13. Financial services. Recommendations for information security. GOST R ISO TO 13569-2007. Moscow, Standartinform, 2008.
14. Egan M., Mather T. Executive guide to information security, the: threats, challenges, and solutions. Symantec Press, 2005. 288 p.
15. Kaufmann A., Gupta M. Introduction to Fuzzy Arithmetic: Theory and Applications. Van Nostrand Reinhold, 1991. 350 p.
16. Kosko B. Fuzzy cognitive maps. International Journal of Man-Machine Studies, 1986, no. 1, pp. 65-75.
