CC BY
35
М. А. Поляничко, К. В. Пунанова,
кандидат технических наук, Петербургский государственный
Петербургский государственный университет путей сообщения
университет путей сообщения Императора Александра I Императора Александра I
ОЦЕНИВАНИЕ АКТУАЛЬНОСТИ ИНСАЙДЕРСКИХ УГРОЗ НА ОСНОВЕ НЕЧЕТКОГО МЕТОДА АНАЛИЗА ИЕРАРХИЙ
INSIDER THREATS EVALUATION BASED ON THE FUZZY ANALYTIC HIERARCHY PROCESS
В работе рассматривается методика оценивания актуальности инсайдерских угроз в организации на основе нечеткого метода анализа иерархий. Предложены поведенческие и контекстные показатели, характеризующие наличие внешних проявлений склонности к нарушениям, а также наличие обстоятельств, которые создают мотивацию к совершению злонамеренных действий. Приведены примеры опросных листов для работы методики и численный пример ее использования.
The paper deals with the method of insider threats assessing in the organization based on the fuzzy analytic hierarchy process. Behavioral and contextual indicators characterizing the tendency to violations, as well as the presence of circumstances that create motivation to commit malicious acts are proposed. Examples of questionnaires for the method and a numerical example of its use are given.
Введение. Российские и международные статистические отчеты демонстрируют стабильный рост инцидентов информационной безопасности, связанных с реализацией внутренних угроз, вызванных деятельностью инсайдеров [2, 8]. Исследования в области противодействия инсайдерам показывают, что угрозы, исходящие от инсайдеров, плохо поддаются анализу и прогнозированию [6], их обнаружение затрудняется множеством факторов, а меры, принимаемые для нейтрализации угроз могут носить индивидуальный характер и зависеть от конкретного случая. В различных подходах к обнаружению ин-
сайдерских угроз анализируются различные критерии и показатели, характерные для инсайдеров [1], в том числе поведенческие, психологические, коммуникативные, скринин-говые (проверка на полиграфе) и другие [5]. В связи с вышесказанным обеспечение информационной безопасности в современных условиях требует построения комплексной и сбалансированной системы защиты информации, способной противодействовать не только внешним, но и внутренним угрозам, включающей в себя организационные и технические меры [7]. Так как многие аспекты деятельности инсайдеров связанны с субъективными данными, то повышается актуальность развития подходов и методик обнаружения инсайдеров, основанных на экспертных оценках.
Методика оценивания актуальности инсайдерских угроз. В данной статье рассматривается возможность использования нечеткого метода анализа иерархий для получения оценки актуальности инсайдерских угроз по поведенческим и контекстным показателям. Поведенческие показатели характеризуют наличие внешних проявлений склонности к злонамеренным действиям у работников. Контекстные показатели характеризуют наличие обстоятельств, которые создают дополнительную мотивацию к совершению нарушений. Перечисленные показатели риска могут быть не связаны с трудовой деятельностью и могут быть вызваны фобиями, проблемами в личной жизни, депрессией, финансовыми обязательствами или иметь медицинские причины. Для оценки показателей можно использовать мнения экспертов, в качестве которых могут выступать сотрудники службы управления персоналом, отдела информационной безопасности, руководитель оцениваемого работника и другие лица, которые могут быть привлечены к данной работе. Учитывая особенности оцениваемых данных, предпочтительнее использовать нечеткую разновидность метода анализа иерархий, так как она предъявляет меньшие требования к точности оценок, выставляемых экспертами [4]. В статье предлагается методика применения нечеткого метода анализа иерархий для получения оценки предис-позиции к инсайдерской деятельности, которая состоит из следующих шагов:
- Выбор поведенческих показателей (индикаторов);
- Выбор контекстных показателей (индикаторов);
- Построение опросных листов;
- Получение оценки веса вопроса;
- Получение оценки веса ответа для каждого вопроса;
- Вычисление общей оценки за тест.
Пример применения методики. Ниже рассмотрен пример применения методики с использованием двух опросных листов и мнений трех экспертов (М1,М2 и М3). Для оценки поведенческих индикаторов РгЬеъ предлагается использование следующих частных показателей [3]:
Таблица 1
Основные поведенческие индикаторы
№ Название показателя
1 Нарушение установленных правил и процедур
2 Преднамеренное вредительство
3 Нарушение трудового распорядка
4 Добровольная работа, дающая дополнительный доступ к данным
5 Сверхурочная работа
6 Резкие высказывания, шутки или хвастовство
7 Плохое социальное взаимодействие
8 Проявление агрессии
Для оценки поведенческих индикаторов инсайдерской деятельности предлагается использовать опросный лист:
Таблица 2
Пример опросного листа для оценки поведенческих показателей предиспозиции
№ Вопрос Обозначение Ответы
1 Нарушения установленных правил и процедур Сх Отсутствуют
Эпизодические
С истематические
2 Преднамеренное вредительство & Отсутствует
Эпизодическое
С истематическое
3 Нарушения трудового распорядка Сз Отсутствуют
Эпизодические
С истематические
4 Добровольчество, дающее доступ к конфиденциальным данным Отсутствует
Эпизодическое
С истематическое
5 Сверхурочная работа & Отсутствует
Эпизодическая
Систематическая
6 Резкие высказывания, шутки или хвастовство Сб Отсутствуют
Эпизодические
С истематические
7 Плохое социальное взаимодействие Отсутствует
Эпизодическое
С истематическое
8 Проявление агрессии Св Отсутствует
Эпизодическое
С истематическое
Экспертом заполняется нечеткая матрица парных сравнений Мх.
Сх ^2 Qъ ^4 Qs ^б ^7 Св
Сх 1 2 3 3 7 7 3 3
2-х 1 4 3 3 9 3 3
Сз 7-х 4-х 1 2 3 3 5 3
Мх = ^4 7-х 33-х 23-х 1 3 5 3 3
Св 7-х 33-х 3-х 3-х 1-1 2 3 3
Сб 7-х 9-х 3-х 7-х 2-х 1-1 3 3
7-х 33-х 7-х 3-х 3-х 3-х - 2
Св 7-х 33-х 3-х 33-х 3-х 3-х 2- 1 1
Далее требуется вычислить среднее геометрическое г^ , где гп = ,
где Щ=1 Л = Л 0 ¿2 0 ■■■ 0 и 0 = т^ щ) 0 (/2, Ш2, М2) = (^ * /2, *
01 02 03 04 05 06 07 08
01 1 2 3 3 7 7 3 3 (1.93,2.76,3.54)
02 2-1 1 4 3 3 9 3 3 (1.86,2.49,3.22)
03 3-1 4-1 1 2 3 3 5 3 (1.06,1.48,1.93)
04 3-1 3-1 2-1 1-1 3 5 3 3 (0.95,1.29,1.77)
05 7-1 3-1 3-1 3-1 1 2 3 3 (0.55,0.75,1.00)
06 7-1 9-1 3-1 5-1 2-1 1-1 3 3 (0.45,0.57,0.76)
07 7-1 33-1 5-1 3-1 3-1 3-1 1 2 (0.34,0.45,0.63)
08 33-1 3-1 33-1 3-1 3-1 3-1 2-1 1-1 (0.31,0.40,0.59)
На основании среднего геометрического необходимо вычислить нечеткий вес вопроса = Г£ 0 (т^ © г2 © ■ 0 гп )-1.
Г1 и/;
01
(1.93,2.76,3.54) (1.93,2.76,3.54)^(__1__,__11_,_1_) = (О.14,0.27, 0.48) ^ (1.86,2.49,3.22) (1.86,2^,3.22)® ^^^ = (0.14,0.24,0^)
/1 1 1 \
О, (1.06,1.48,1.93) (1.06,1.47,1.93)® (——,——,——) = (0.08,0.15,0.26)
3 13.44 10.18 7.44
/1 1 1 \ (0.95,1.29,1.77) (0.95,1.28,1.77)® (—, — ,—) = (0.07,0.13,0.24)
/1 1 1 \
& (0.55, 0.75,1.00) (0.54,0.74,1.00)® (13-44,10-18,7-44) = (0.04,0.07,0.13)
/1 1 1 \ (0.44,0.57,0.76) (0.44,0.57,0.76)® (т3-44,Т0-Т8,7-44) = (°.03,0.06,°.10)
/1 1 1 \
^ (0.34,0.45,0.63) (0.33,0.45,0.62)® (щ^щ^^) = (0.03,0.04,0.08)
/1 1 1 \
<28 (0.31,0.40,0.59) (0.31,0.40, 0.59)® (13:44,10:18,714) = (0.02,0.04,0.08)
Дефаззификация нечетких весов производится по формуле и^ = (г+^+ц). и так
как сумма всех весов составляет ^ш^ = 1.12, то необходимо нормализовать веса
_ ^^ ^ = .
1М1,
О1 (1.93,2.76,3.54) (0.14,0.27,0.48) 0.30 0.27
О2 (1.86,2.48,3.22) (0.14,0.24,0.43) 0.27 0.24
Оз (1.06,1.47,1.93) (0.08,0.14,0.26) 0.16 0.14
О4 (0.95,1.28,1.77) (0.07,0.13,0.24) 0.15 0.13
Об (0.54, 0.74,1.00) (0.04,0.07,0.13) 0.08 0.07
Об (0.44, 0.57, 0.76) (0.03,0.06,0.10) 0.06 0.06
О7 (0.33,0.45,0.62) (0.02,0.04,0.08) 0.05 0.05
(0.31,0.40,0.59) (0.02,0.04,0.08) 0.05 0.04
Аналогичные действия повторяются для получения весов по матрицам парных сравнений М2 и М3, составленных на основе мнений других экспертов.
0х 02 Оз 04 Об Об 07 08
О1 1 2 з 2 8 з 3 3
02 2-1 1 4 з з 8 3 3
Оз з-1 4-1 1 2 з з 4 3
^2 = ^4 2-1 з-1 2-1 1 з 5 3 3
8-1 з-1 3з-1 з-1 1 2 3 3
Об з-1 8-1 3з-1 5-1 2-1 1-1 3 3
07 з-1 з-1 4-1 з-1 з-1 3-1 1 2
08 3з-1 з-1 3з-1 з-1 з-1 3-1 2-1 1
1М1,
01 (1.80,2.67,3.46) (0.14,0.27,0.48) 0.29 0.26
02 (1.80,2.45,3.22) (0.14,0.24,0.43) 0.27 0.24
Оз (1.02,1.44,1.89) (0.08,0.14,0.26) 0.16 0.14
04 (0.99,1.35,1.93) (0.07,0.13,0.24) 0.16 0.14
Об (0.54,0.73,0.98) (0.04,0.07,0.13) 0.08 0.07
Об (0.45,0.58,0.78) (0.03,0.06,0.10) 0.07 0.06
07 (0.34, 0.46, 0.65) (0.02,0.04,0.08) 0.05 0.05
08 (0.31,0.40,0.59) (0.02,0.04,0.08) 0.05 0.04
Мз =
01 02 Оз 04 Об Об 07 08
01 1 2 з 2 8 з 3 4
02 2з-1 1 4 з з 8 3 3
Оз 3з-1 4-1 1 2 з 3 4 3
04 2з-1 з-1 2-1 1 з 5 3 3
Об 8з-1 з-1 3з-1 з-1 1 2 3 4
Об 3з-1 8-1 3з-1 5-1 2-1 1-1 3 3
07 3з-1 3з-1 4-1 з-1 з-1 3-1 1 2
08 4з-1 3з-1 3з-1 з-1 4-1 3-1 2-1 1
II
01
02
03
04
Об
06
07
08
(1.90,2.77,3.56) (1.80,2.45,3.22) (1.02,1.44,1.89) (0.99,1.35,1.93) (0.57,0.76,1.01) (0.45,0.58,0.78) (0.34, 0.46, 0.65) (0.29,0.37,0.50)
(0.14,0.27,0.48) 0.30 0.27
(0.13,0.24,0.43) 0.27 0.24
(0.08,0.14,0.25) 0.16 0.14
(0.07,0.13,0.26) 0.16 0.14
(0.04,0.07,0.14) 0.08 0.08
(0.03,0.06,0.11) 0.07 0.06
(0.03,0.04,0.09) 0.05 0.05
(0.02,0.04,0.07) 0.04 0.04
Далее требуется получить усредненные оценки весов, IV1 =
_
где к — коли-
чество экспертов.
к
НИ1М1 Ммз IV
0,27 0,26 0,27 0,27
0,24 0,24 0,24 0,24
0,14 0,14 0,14 0,14
0,13 0,14 0,14 0,14
0,07 0,07 0,08 0,07
0,06 0,06 0,06 0,06
0,05 0,05 0,05 0,05
0,04 0,04 0,04 0,04
С помощью данных весов вычисляется количество баллов, начисляемых за данный вопрос. Например, если тест 100-балльный, то на вопрос отводится 27 баллов.
Заключительным шагом построения оценки поведенческих индикаторов является вычисление баллов за каждый вариант ответа в рамках каждого вопроса. В данном примере примем, что на каждый вопрос можно дать один из трех ответов: «Отсутствуют»,
«Эпизодические» и «Систематические». На основе применения нечеткого метода анализа иерархий описанного выше, получаются следующие веса:
М«2 Ммз XV
1/5 0,19 0,20 0,20
1/3 0,31 0,32 0,31
1/2 0,50 0,47 0,49
Умножая общий вес вопроса на вес ответа, получаем следующее распределение баллов:
Таблица 3
Баллы опросного листа для оценки поведенческих показателей предиспозиции
№ Вопрос Вес Балл Ответы Балл ответа
1 Нарушения уста- 0,27 27 Отсутствуют 5
новленных правил и процедур Эпизодические 9
С истематические 13
2 Преднамеренное 0,24 24 Отсутствует 5
вредительство Эпизодическое 8
С истематическое 12
3 Нарушения трудо- 0,14 14 Отсутствуют 3
вого распорядка Эпизодические 4
С истематические 7
4 Добровольчество, 0,14 14 Отсутствует 3
дающее доступ к конфиденциальным данным Эпизодическое 4
С истематическое 7
5 Сверхурочная 0,07 7 Отсутствует 1
работа Эпизодическая 2
Систематическая 4
6 Резкие высказыва- 0,06 6 Отсутствуют 1
ния, шутки или хвастовство Эпизодические 2
С истематические 3
7 Плохое социальное 0,05 5 Отсутствует 1
взаимодействие Эпизодическое 2
С истематическое 2
8 Проявление 0,04 4 Отсутствует 1
агрессии Эпизодическое 1
С истематическое 2
Следовательно, максимально и минимально возможные баллы за прохождение теста будут равны Ртах = 50 и = 20. Общая оценка за тест вычисляется по формуле:
(1)
где п — количество вопросов; а^ — вес ответа, данного на вопрос; — минимальное количество баллов за тест; Ртах — максимальное количество баллов за тест.
Аналогичным образом на основе нечеткого метода анализа иерархий вычисляются баллы для опросного листа, позволяющего оценить контекстную предиспозицию.
Таблица 4
Баллы опросного листа для оценки контекстных показателей предиспозиции
№ Вопрос Вес Балл Ответы Балл ответа
1 Наличие финансовых обяза- 0,25 25 Нет 3
тельств Обязательства ниже дохода 10
Обязательства превы- 12
шают уровень дохода
2 Владеет ли акциями или лю- 0,08 8 Нет 2
быми другими финансовыми Да 6
интересами в другой компа-
нии, находящейся в деловых
отношениях с организацией (контрагенте, подрядчике,
консультанте, клиенте и т.п.)?
3 Владеет ли акциями или лю- 0,06 6 Нет 1
быми другими финансовыми Да 5
интересами в компании или
организации, которая может
быть заинтересована или
ищет возможность построить
деловые отношения с органи-
зацией или ведет с ней переговоры?
4 Владеет ли акциями или лю- 0,10 10 Нет 2
быми другими финансовыми Да 8
интересами в компании-конкуренте или физическом лице — конкуренте организации?
5 Владеет ли акциями или лю- 0,10 10 Нет 2
быми другими финансовыми Да 8
интересами в компании или
организации, выступающей стороной в судебном или арбитражном разбирательстве с организацией?
6 Имеет ли собственный бизнес? 0,08 8 Нет 1
Является индивидуальным предпринимателем 3
Имеет бизнес в другой организационной форме 4
7 Имеет ли сотрудник судимости? 0,15 15 Нет 2
Погашенная административная судимость 5
Погашенная уголовная судимость 8
8 Предстоящее окончание срока трудового договора 0,18 18 Нет 1
Да, руководство продлевает договор 5
Да, руководство договор не продлевает 12
Следовательно, максимальные и минимальные баллы за прохождение теста будут равны Ртах = 63 и Рт;п = 14. Общая оценка за тест вычисляется по формуле:
бсп^М = (2)
где п — количество вопросов; — вес ответа, данного на вопрос; Рт£П — минимальное количество баллов за тест; Ртах — максимальное количество баллов за тест.
Обобщенная оценка по двум группам показателей 5 вычисляется по формуле:
5 = тах(5Ье^5сп(:). (3)
Заключение. Нечеткий метод анализа иерархий является простым в применении и гибким инструментом для оценивания актуальности инсайдерских угроз, так как может быть легко адаптирован под особенности конкретной организации с учетом мнений всех заинтересованных в оценке сторон, как в части корректировки используемых для оценивания опросников, так и в части изменения весов на этапе формирования матриц парных сравнений. В рамках дальнейших исследований предлагаемая методика оценивания может быть расширена для реализации возможности учета ситуаций, в которых мнения экспертов не является равнозначным.
ЛИТЕРАТУРА
1. Insight into Insiders / I. Homoliak [et al.] // A Survey of Insider Threat Taxonomies, Analysis, Modeling, and Countermeasures. — 2018. — № 99 (99).
2. Insider Threat Report: 2018 — CA Technologies // CA Technologies. — URL: https://www.ca.com/content/dam/ca/us/files/ebook/insider-threat-report.pdf (дата обращения: 18.07.2018).
3. Insider threat detection study — 2015. / M. Kont [et al.]. — C. 1—59.
4. A fuzzy multicriteria aggregation method for data analytics: Application to insider threat monitoring / Palomares I. [и др.]. // IFSA-SCIS 2017 — Joint 17th World Congress of International Fuzzy Systems Association and 9th International Conference on Soft Computing and Intelligent Systems. 2017.
5. Корниенко А. А., Поляничко М. А. Метод обнаружения инсайдерской деятельности в организации // Программные системы и вычислительные методы. —
2019. — № 1. — С. 30—41. — DOI: 10.7256/2454-0714.2019.1.29048. — URL: https:// nbpublish.com/library_read_article.php?id=29048.
6. Поляничко М. А., Хазбиев А. О. О возможностях применения имитационного моделирования для обнаружения инсайдерских угроз // Естественные и технические науки. — 2019. — № 1. — Вып. (129). — С. 155—158.
7. Поляничко М. А. Использование технических индикаторов для выявления инсайдерских угроз // Кибернетика и программирование. — 2018. — № 6. — С. 40—47. — DOI: 10.25136/2306-4196.2018.6.27970. — URL: http://e-notabene.ru/kp/artic-le_27970.html.
8. Kessel P. Van Is cybersecurity about more than protection? // EY Global Information Security Survey 2018-19 [Электронный ресурс]. — URL: https://www.ey.com/Pub-lication/vwLUAssets/ey-la-cybersecurite-est-elle-seulement-une-affaire-de-protection-en/$FI-LE/ey-giss-2018-en.pdf.
REFERENCES
1. Insight into Insiders / I. Homoliak [et al.] // A Survey of Insider Threat Taxonomies, Analysis, Modeling, and Countermeasures. — 2018. — # 99 (99).
2. Insider Threat Report: 2018 - CA Technologies // CA Technologies. — URL: https://www.ca.com/content/dam/ca/us/files/ebook/insider-threat-report.pdf (data obrasche-niya: 18.07.2018).
3. Insider threat detection study — 2015. / M. Kont [et al.]. — C. 1—59.
4. A fuzzy multicriteria aggregation method for data analytics: Application to insider threat monitoring / Palomares I. [i dr.]. // IFSA-SCIS 2017 - Joint 17th World Congress of International Fuzzy Systems Association and 9th International Conference on Soft Computing and Intelligent Systems. 2017.
5. Kornienko A. A., Polyanichko M. A. Metod obnaruzheniya insayderskoy deyatelnosti v organizatsii // Programmnyie sistemyi i vyichislitelnyie metodyi. — 2019. — # 1. — S. 30—41.
— DOI: 10.7256/2454-0714.2019.1.29048 URL: https:// nbpublish.com/library_read_arti-cle.php?id=29048.
6. Polyanichko M. A., Hazbiev A. O. O vozmozhnostyah primeneniya imitatsionnogo modelirovaniya dlya obnaruzheniya insayderskih ugroz // Estestvennyie i tehnicheskie nauki.
— 2019. — # 1. — Vyip. (129). — S. 155—158.
7. Polyanichko M. A. Ispolzovanie tehnicheskih indikatorov dlya vyiyavleniya insayderskih ugroz // Kibernetika i programmirovanie. — 2018. — # 6. — S. 40—47. — DOI: 10.25136/2306-4196.2018.6.27970. — URL: http://e-notabe-ne.ru/kp/artic-le_27970.html.
8. Kessel P. Van Is cybersecurity about more than protection? // EY Global Information Security Survey 2018-19 [Elektronnyiy resurs]. — URL: https://www.ey.com/Publi-cation/vwLUAssets/ey-la-cybersecurite-est-elle-seulement-une-affaire-de-protection-en/$FI-LE/ey-giss-2018-en.pdf.
СВЕДЕНИЯ ОБ АВТОРАХ
Поляничко Марк Александрович. Доцент кафедры «Информатика и информационная безопасность». Кандидат технических наук.
Петербургский государственный университет путей сообщения Императора Александра I. E-mail: [email protected]
Россия, 190031, Санкт-Петербург, Московский пр., д. 9. Тел. (812) 315-26-21.
Пунанова Ксения Васильевна. Аспирант кафедры «Информатика и информационная безопасность».
Петербургский государственный университет путей сообщения Императора Александра I. E-mail: [email protected]
Россия, 190031, Санкт-Петербург, Московский пр., д. 9, Тел. (812) 315-26-21.
Polyanichko Mark Aleksandrovich. Associate Professor of the chair "Informatics and Information Security". Candidate of Technical Sciences.
Emperor Alexander I St. Petersburg State University of Railway Engineering. E-mail: [email protected]
Work address: Russia, 190031, St. Petersburg, Moskovskiy Prospect, 9. Tel. (812) 315-26-21.
Punanova Ksenia Vasilyevna. Post-graduate student of the chair "Informatics and Information Security". Emperor Alexander I St. Petersburg State University of Railway Engineering. E-mail: [email protected]
Work address: Russia, 190031, St. Petersburg, Moskovskiy Prosper, 9. Tel. (812) 315-26-21.
Ключевые слова: внутренние угрозы информационной безопасности; инсайдер; нечеткий метод анализа иерархий.
Key words: internal information security threats; insider; fuzzy analytic hierarchy process. УДК 004
