CC BY
11
Ч ЗАЩИТА ИНФОРМАЦИИ
удк 519.718 Научные статьи
doi:10.31799/1684-8853-2022-3-31-44 Articles
Оценивание эффективности процесса функционирования системы обеспечения информационной безопасности на основе теории стохастической индикации
А. М. Сухова, канд. техн. наук, докторант, orcid.org/0000-0003-2233-811Х, 19am87@mail.ru аКраснодарское высшее военное училище им. генерала армии С. М. Штеменко, Красина ул., 4, Краснодар, 350065, РФ
Введение: постоянный рост деструктивных воздействий, направленных на критические информационные системы в условиях несовершенства методов и средств обнаружения и реагирования на компьютерные атаки, вызывает необходимость разработки научно-методического аппарата своевременного предупреждения систем обеспечения информационной безопасности о возможной реализации сценариев деструктивных воздействий. Одним из эффективных путей решения данной проблемы является использование методов теории стохастической индикации. Цель: разработка инструмента для оценивания эффективности процесса функционирования системы обеспечения информационной безопасности. Результаты: описаны детерминированная, случайная и неопределенная составляющие процесса функционирования системы обеспечения информационной безопасности. Построены константные и функциональные индикаторы, раскрыты их отличительные особенности. Построены стохастические супериндикаторы для решения задачи оценивания эффективности рассматриваемого процесса. На основе теории эффективности целенаправленных процессов и целеустремленных систем описаны особенности построения стохастических индикаторов различного ранга. Практическая значимость: благодаря разработанным стохастическим временным индикаторам оцениваются вероятностно-временные характеристики деструктивного воздействия с учетом интервалов и моментов времени процесса его реализации, что позволяет своевременно информировать систему о возможном выполнении сценария деструктивного воздействия на элементы критической информационной инфраструктуры.
Ключевые слова — система обеспечения информационной безопасности, атомарное событие информационной безопасности, деструктивное воздействие, эффективность, качество, теория стохастической индикации.
Для цитирования: Сухов А. М. Оценивание эффективности процесса функционирования системы обеспечения информационной безопасности на основе теории стохастической индикации. Информационно-управляющие системы, 2022, № 3, с. 31-44. doi:10.31799/1684-8853-2022-3-31-44
For citation: Sukhov A. М. Evaluating the effectiveness of the information security system process based on the theory of stochastic indicators. Informatsionno-upravliaiushchie sistemy [Information and Control Systems], 2022, no. 3, pp. 31-44 (In Russian). doi:10.31799/1684-8853-2022-3-31-44
Введение
Проблемы оценивания эффективности информационных систем начинаются с неоднозначности исходных определений. В отечественной и зарубежной литературе [1-6] даны различные по своей сути определения эффективности. Так, Г. Б. Петуховым был введен показатель эффективности, рассматриваемый как вероятностная мера соответствия характеристик случайных эффектов целенаправленного процесса требуемым (директивно заданным) значениям этих характеристик [7].
Нередко эффективность функционирования систем оценивалась методами, тесно связанными с функционированием современного рынка [8-10]. Исследования операционной системы приведены в работах [11-14].
В отличие от зарубежных подходов, оценивание различных операционных свойств систем в рамках российской школы исследования реализуется количественно.
Под эффективностью будем понимать комплексное операционное свойство целенаправлен-
ного процесса применения системы, характеризующее его приспособленность к достижению цели проводимой операции [7, 15, 16]. К наиболее полной характеристике степени достижения цели операции, которую проводит система обеспечения информационной безопасности (СОИБ), относится показатель пригодности (на основе семейства временных индикаторов). Им может служить вер°ятн°сть Рд ц =Р (тн <х <тд) = ^ ()- ^ (тн), где тн — минимально необходимые технологические затраты операционного времени для выполнения задачи с требуемым качеством; тд — директивное операционное время выполнения задачи.
При исследовании эффективности операции (целенаправленного процесса функционирования) наиболее типичной является ситуация, когда основные характеристики системы и параметры условий ее применения подвержены воздействию случайных факторов. Высокая стоимость СОИБ, сложность и масштабность решаемых задач, а также большие потери из-за ошибок в процессе их производства и испытаний стимулируют исследования эффективности использования систем данного рода.
Понятие стохастического супериндикатора
Современный уровень зависимости общества от информационных технологий обусловливает появление новых типов деструктивных воздействий (ДВ) и построения надежной СОИБ единого информационного пространства (ЕИП) [17-19]. В работе под деструктивным воздействием понимается целенаправленное, скоординированное воздействие либо на информационный ресурс, либо на информационную систему или на средства получения, передачи, обработки, хранения и воспроизведения информации в ее составе с целью вызвать заданные структурные и (или) функциональные изменения. Большинство, а в ряде случаев все средства защиты информации (СЗИ), входящие в состав СОИБ ЕИП, используют в своем арсенале датчики обнаружения (ДО), распознавания (ДР) и предупреждения (ДП) [20, 21]. Для краткости излагаемого материала ограничимся приведенными типами датчиков, которые в зависимости от реализуемой ими функции направлены на обнаружение ^(г), распознавание fр(r) и предупреждение /п(г) ДВ (рис. 1) и построены на основе индикаторов обнаружения 1о, распознавания 1р и предупреждения 1п. Допустим, что СОИБ проводит операцию распознавания ДВ типа «Отказ в обслуживании» в ЕИП, тогда ДВ необходимо представить в виде множества J с различными г-ми типами возможных ДВ, направленных на снижение требуемого уровня защищенности ЕИП, где ^ = {, /2 ,13 , • • •, /т }, г = 1(1)Я, т = 1(1)М.
Отсюда следует, что СОИБ распознает г-й тип из множества J ДВ, если индикатор 1р распознавания, по значению которого датчик просигнализирует СОИБ, примет вид
_ _ ( <= Г1, г е ^ ** = 1р (Г) = 10, г г ^
(1)
Множеству J г-х типов ДВ соответствует его индикатор, и, наоборот, каждая функция, принимающая лишь одно из двух значений {0, 1}, может интерпретироваться как индикатор некоторого множества и может быть задана линейным выражением
Ь (г )х Г (г ) =
/(г), г е J; 0, г г J.
(2)
Пусть теперь Б — пересечение, а В — объединение двух подмножеств /{ и /2 множества J г-х типов ДВ, т. е. Б = /{ п /2, В = /{ и /2. Очевидно, что тогда
1П = Ш
{{ , 1.г } = ш1п{/^, 1.г }; (3)
(.71 ¡2 ) (.Л ¡2 )
1в =
вир{, / }=шах{, /}, (4)
т. е. значение индикатора 1Б или 1В множества Б
или В равно соответственно наименьшему или
наибольшему из значений индикаторов I г и
I г. Поэтому для обозначения наименьшего или ¡2
наибольшего из значений двух функций f(r) и g(r) используем теоретико-множественные обозначения:
ае£
щф (г ), а (г)} = Г п а (г );
ае£
вир{/(г), а (г)} = f и а (г).
(5)
(6)
Любой воздействующий на ЕИП г-й тип ДВ протекает в течение определенного интервала тр времени его реализации. Для уточнения структуры г-го типа ДВ необходимо произвести декомпозицию /т ДВ на атомарные события информационной безопасности (АСИБ) С = {, с2, с3з, •.., е[ >, I = 1(1)Ь и построить индикатор реализации /1т ДВ. Впоследствии уточним из С АСИБ реализованный сценарий
/т ={АСИБ1, АСИБ2, АСИБ3, • .., АСИБг} =
{г г г г)
с1 , с2 , с3 , с1 )
ДВ с учетом тр, равного хр = х1 + т'(-
, + Т9 + х'„
+
+ Т3 + Т'(3,й+1)
... + Т
'к+1'
где тр осуществляется
+1' '1 \
только на интервале [£[, ^ ), что наглядно представлено на рис. 2.
Для описания индикатора I .г процесса реализации сценария /2 = ((, с2^ ДВ, представленного на рис. 3, будем использовать кусочно-единичные («селектирующие») функции: - «селектор луча»
ае£|1, /т ^ о; |о, /т < о;
(7)
«селектор интервала»
. def
П((2; сг, с2) = д(( - с[ )-д(/г - с^ ±
± д(( - с[ )хд( - /2); (8)
«селектор точки»
е(/2; а) = д(( - а )х д(а - /£).
(9)
Нетрудно видеть, что реализация С АСИБ, входящих в структуру сценария 2г ДВ, осущест-
«
л M я H Ен
и >>
ft tH
i
e о "0
s >
с s
0
1 i
о
-к g
m
5 E
n
л M я H EH
и >>
ft
ï
_______■_.
ш
g
E
s $
S I
e о
XI >
с
uu ш
Рис. 1. Структура процесса функционирования СОИБ в ЕИП
Fig. 1. The structure of the process of functioning of the information security system in a single information space
АСИБ, * - т'—• х2—♦ АСИБ, — Tf* АСИБ. * Т 4- Т "Г* ... АСИБ,
Т
■ Рис. 2. Индикатор реализации j'm ДВ
■ Fig. 2. Indicator of the implementation j1m of destructive impact
■ Рис. 3. Индикатор реализации I .r ДВ
j2
■ Fig. 3. Indicator of the implementation I.r of destructive impact j2
вляется только на интервале [, ], т. е. «селектор луча» («единичная функция Хевисайда») — суть индикатор полубесконечного интервала [0, »):
д(( ) = ^ ((). (10)
По аналогии с (10)
I' ((; с[, с2)=1В ((2), с=с[ п с2,
4 =[1, ¿1 ], с2 =[¿2, ¿2], (11)
т. е. «селектор интервала» («единичный прямоугольный импульс») — индикатор интервала [¿1, ¿2 ].
Таким образом, «селектор точки» («функция эквивалентности») — индикатор одноточечного множества {а}, который запишем в виде
Е(; а)= !{а} ((2 ), {а} = а. (12)
Если воспользоваться обозначением (5), то
П((; с[, сг )= f п/2), (13)
где f () = д(/2-сг); а((2) = д( -/2).
И,соответственно:
; а ) = f ((2 )п а (), (14)
где f () = д( - сг); а((2) = д(с2 -/2).
Установлено, что кусочно-единичные («селектирующие») функции являются одним из немногих инструментов, позволяющих с высокой степенью детализации строить индикаторы I.r ,
показывающие множество J = {{2, /2, /3, •••, /т} реализующихся сценариев ДВ г-х типов с учетом как самих интервалов времени [£ ', ¿к) реализации /т сценариев ДВ г-х типов, так и интервалов времени [¿1, ], [¿2, ¿2], •••, [4г, ) реализации множества С = {, с2, с3, • .., сгг| АСИБ.
В современных условиях функционирования СОИБ наибольший для исследователей интерес представляют сценарии /1т ДВ г-х типов с вероятностной структурой. Предположим, что ДВ состоит из С АСИБ, С с X является случайным, так как заранее неизвестна структура ДВ (где X — универсальное множество, Н — множество логических возможностей по обнаружению, распознаванию и предупреждению деструктивных возможностей злоумышленника, С — множество АСИБ). Введем допущение, что число АСИБ, составляющих сценарий /т ДВ, является случайным. Временной интервал, на котором реализуются все АСИБ, входящие в состав сценария /гт ДВ, примем равным 1, достоверное событие (обнаружение реализации сценария /гт ДВ в ЕИП СОИБ) примем равным 1. Тогда индикатор обнаружения всего множества С АСИБ, входящих в состав сценария /т ДВ, IJ будет представлять собой случайную величину юJ со следующими свойствами:
def
IJ = ® j =
1, если J произойдет; 0, если J не произойдет (произойдет —1 J).
(15)
В отличие от индикаторов IJ множеств сценариев /т ДВ г-го типа, индикаторы юJ обнаружения на неопределенном интервале ((, {ц+1) времени их реализации носят случайный характер и называются стохастическими. В работе [7] авторы оперируют не случайными событиями, а предлагают переходить к случайным величинам, для которых в теории вероятностей разработан более гибкий и универсальный математический
аппарат. Таким образом, плотность распределения ф£ (со) и функция распределения (со) стохастического индикатора ССJ обнаружения сценариев ]П ДВ будут описываться следующими выражениями:
ФСС3 (ю) = д8(со) + р8(ю -1); (16)
Fс3 (со) = дД(со) + рД(ю-1), (17)
где р = Р(3); q = 1 - р = Р(- 3).
В свете вышеизложенного и с учетом (16), (17) из соотношения (15) следует
Р (3) = р = Р (СС з = 1) = М [СС ^ ] = . (18)
Раскроем равенство (18), для чего воспользуемся содержательной трактовкой понятия случайного события 3. Допустим, что СОИБ выполняет функцию fо(r) обнаружения возможно реализующихся сценариев 3 ДВ, тогда под целенаправленным процессом ее функционирования стоит рассматривать операцию обнаружения признака C АСИБ, по которому СОИБ будет реализовывать функцию ^(г) распознавания сценария ]П ДВ г-го типа, тогда под 3 понимается исход операции обнаружения сценария п ДВ г-го типа, состоящей в реализации условий B', B", где B' — условия функционирования СОИБ, а B" — условия применения СОИБ, при которых СОИБ хочет обнаружить сценарии ]'П ДВ г-го типа. Тогда случайное событие 3 есть не что иное, как исход операции обнаружения сценария ]'П ДВ г-го типа, проходящей при воздействии на B', B" не поддающихся учету случайных факторов, т. е. в условиях Б', Б" некоторой неопределенности, приводящей к тому, что обнаружение сценария ]'П ДВ г-го типа происходит не при каждой реализации условий B', B". Следовательно, связь между обнаружением признака C АСИБ, принадлежащего одному из сценариев ]'П ДВ г-го типа, и предопределяющими Б', Б" условиями носит случайный характер. Количественное оценивание проводимой СОИБ в ЕИП операции обнаружения сценария ]П ДВ г-го типа будем выполнять при помощи вероятности Р(3) обнаружения случайного С АСИБ, которая характеризует степень объективной возможности обнаружения сценария ]П ДВ г-го типа в условиях Б', Б" .
Проведем аналогию высказывания относительно обнаружения сценария ]П ДВ г-го типа и условий B' функционирования СОИБ и B" применения, в которой оно истинно. Действительно, при решении конкретных прикладных задач информационной безопасности описание любого из исследуемых событий дается в форме некоторого высказывания (предположения,
гипотезы). Истинность высказывания обнаружения сценария ]П ДВ г-го типа адекватна достоверности его обнаружения СОИБ в процессе выполнения функции ^(г). Аналогом множества 3 = |/[, ]2, ]3, ..., ]П} ДВ г-го типа, нарушающих установленную администратором информационной безопасности политику, является множество логических возможностей Н = |й-Г, Ь2, ИЗ, ..., И^} (при которых высказывание J истинно), называемое множеством истинности высказывания J. Основываясь на описанном выше, получаем возможность вести содержательное описание функции fо(r) обнаружения вероятно реализующихся сценариев 3 ДВ СОИБ в терминах алгебры высказываний, что применительно к возложенным функциям по обнаружению ^(г), распознаванию ^(г) и предупреждению ^(г) ДВ в ЕИП на СОИБ обладает большей наглядностью, чем описание на языке алгебры событий, т. е.
3 (' ) =
1, г е 3, 3 с X; 0, г г 3, 3 с X.
(19)
Необходимо отметить, что истинность и ложность высказывания по обнаружению сценария ]гт ДВ г-го типа эквивалентны соответственно достоверности и невозможности обнаружения сценария ]' ДВ г-го типа, а стохастичность ситуации Б', Б", в которой высказывание истинно, эквивалентна неопределенности условий Б', Б" , определяющих случайный эксперимент (единичную операцию обнаружения сценария ]' ДВ г-го типа при неопределенных условиях B' функционирования СОИБ и B" применения соответственно). При такой трактовке очевидно, что каждая из алгебр (высказываний и событий) является булевой и изоморфна алгебре их индикаторов //г). Следовательно, эти алгебры изоморфны между собой и неопределенная ситуация на языке любой из них адекватна и применима для построения индикаторов обнаружения 1о, распознавания 1р и предупреждения 1п, на основе которых построены ДО, ДР и ДП (см. рис. 1).
Количественные характеристики неопределенности стохастической ситуации при исследовании процессов функционирования СОИБ
В целях определения количественных характеристик необходимо описать детерминированную, случайную и неопределенную составляющие процесса функционирования СОИБ.
Детерминированными подразумеваем процессы, вызванные действием полностью известных
условий В', В". Такие процессы практически не встречаются в современных условиях (только лишь на этапах проектирования СОИБ, в моделях, не учитывающих Jm ДВ злоумышленника).
Случайные процессы (ошибки операторов, запуск вредоносного программного обеспечения, превышенное количество обращений легитимных пользователей и др.) возникают при воздействии не поддающихся учету В" условий применения, на известные причины В условий функционирования СОИБ, делающих причины В = В' и В", и основные свойства процесса случайными.
В связи с недостаточностью (не в полной мере учтены возможности возмущающей среды) или отсутствием наблюдений (число опытов таких систем на практике невелико, так как реализуемые злоумышленниками J ДВ в современных условиях носят уникальный, единичный характер), необходимых для определения вероятностных свойств исследуемого процесса обнаружения сценариев /тг ДВ г-го типа, неопределенным становится и сам процесс обнаружения сценариев /¡п ДВ г-го типа СОИБ в условиях В' , В " .
Не вдаваясь в сравнительный анализ понятий «случайность» и «неопределенность», а также связанных с ними понятий «объективная» и «субъективная» вероятности, отметим, что в принципе различия между ними чисто условны. С одной стороны, при наблюдении реальных процессов функционирования СОИБ их случайность и неопределенность проявляются одинаково — как невозможность точного прогнозирования момента ¿обн обнаружения С АСИБ, входящих в состав сценария /т ДВ г-го типа, на интервале ^н, гк) времени; с другой стороны, «объективные» вероятностные характеристики случайных процессов не могут быть полностью свободными от «субъективных» взглядов их исследователей. Даже задаваемые экспертами «субъективные» вероятности в значительной мере являются «объективными», поскольку основаны на опыте изучения экспертами случаев применения СОИБ.
Таким образом, степень случайности вышеупомянутого высказывания охарактеризуем его вероятностью Р (с/) = р. В случае обнаружения сценария /гт ДВ г-го типа СОИБ высказывание J окажется истинным, и его вероятность станет равной 1, а если СОИБ не справится с обнаружением сценария /т ДВ г-го типа, высказывание J окажется ложным, и его вероятность, соответственно, будет равна 0. Поскольку априори неизвестно, истинным или ложным окажется высказывание /, следовательно, неизвестно, какое из значений (1 или 0) примет его вероятность, которая, таким образом, является случайной величиной, подчиненной закону распределения Бернулли с параметром р. Именно так и распределен стохастический индикатор ю / обнаруже-
ния сценария /тг ДВ г-го типа на неопределенном интервале ((, времени его реализации [см. (16), (17)], и, следовательно, он приобретает смысл условной вероятности высказывания / относительно ситуации В. В этом случае неопределенность ситуации В характеризуется набором {0, 1} возможных значений стохастического индикатора ю/, а случайность высказывания / характеризуется его вероятностью р.
Формализация стохастической ситуации
Количественные характеристики при исследовании процессов функционирования СОИБ относительно ситуации В в значительной мере носят качественный характер, затрудняющий применение математических методов исследования. Для получения возможности количественного анализа таких ситуаций необходима их формализация, т. е. построение адекватных им математических моделей.
Предположим, что СОИБ производит наблюдение за реализацией сценария /тг ДВ г-го типа, который состоит из С АСИБ, где С = {, с2 }. Интервал времени реализации сценария /тг ДВ г-го типа обозначим тр с. С учетом С = {, с2},
Тр.с = Т1 + То + ^ где Т1 = (¿Ъ ¿1'), а Т2 = (¿2, 4). Временной интервал между реализацией АСИБ обозначим то: т0 = (¿1, ¿2). Иллюстрирует сказанное рис. 4.
С учетом вышеизложенного пусть:
и — действительная прямая;
и = и х и — действительная плоскость;
с2, с2 — константы;
т1, Т2 — переменные;
<, >, <, > — отношения порядка.
Тогда:
с-Т < с2, с{ > с2, с{ < с2, с1 > с2 — высказывания;
Т2 < с[, Т2 > с[, Т2 < с2, Т2 > с2 — одноместные предикаты;
х2 < Т1, х2 > Т1, х2 < Т1, х2 > Т1 — двухместные предикаты.
i s.---X-----» p.c
A
» T(l.2) ' ' T,
<
. 7-'
■ Рис. 4. Индикатор IJ сценария j'm ДВ г-го типа
■ Fig. 4. The indicator IJ of the j1m scenario is of destructive impact of the г-th type
Константы с[, с2 фиксируют ситуацию реализации С АСИБ сценария }гт ДВ г-го типа на интервале , ¿2) (см. рис. 4), в которой высказывание с{ < с2 либо истинно (если с1 < с^ ), либо ложно (если с[ > с^). Практически всегда переменная Т2 является случайной величиной, тогда для определения вероятности высказывания 1x2 < с[ достаточно знать закон распределения (т2) случайной величины Т2: а
р = Р (]) = Р ( < с[ ) = I (Т2 ) = *Х2 (). (20)
—да
Когда I] (^2 ) = &] является стохастическим индикатором множества ] = (—да, с{ I, то из выражений (18), (20) следует, что Р(] = 1) = .РХ2 (с[), и выражения (16), (17) примут вид
Ф&] (ю) = (с1)X5(ю) + *Х2 ()х5(со — 1); (21) ¥&] (ю) = Щ2 ( ) хА(ю) + ¥Хг (с1) хА(ю — 1). (22)
Найдем числовые характеристики индикатора Ю], который в дальнейшем будем называть константным. Начальный момент 1-го порядка распределения индикатора Ю] определяется соотношением
^ Г ь! 7 ь
ик [ Ю] ] = М [ю] \ = ю] = I (ю) =
—да
= (), [к = 1(1)*], (23)
и, следовательно:
MC CJ (24)
= CJ - — CJ =Fx2 (f ) — % (cf) =
= Fx x2 ( ) Ri2 ( ). (25)
Таким образом, как видно из равенства (24), вероятность случайного события ] равна математическому ожиданию его индикатора &].
Поскольку возможными значениями стохастического индикатора служат возможные степени достоверности случайного события ], т. е. степени истинности неопределенного высказывания Х2 < с[, являющиеся значениями его апостериорной вероятности, то в рассматриваемом случае дисперсия Лю характеризует степень неопределенности предиката 1x2 < с|)- (] = 1). При этом, как нетрудно понять, максимальная неопределенность будет иметь место при с[ = Ме^.
Рассмотрим неопределенный предикат Х2 <Х1 и Х2 <Х1.
1. Переменная Х2 случайна, тогда р = Р (Х1 ) = Р (] ) = Р ( <Х1 ) =
Х1
= I (Х2) = ^ (Х1 ) = Р[ю] (Х1 ) = 1], (26)
—да
где &] (х1 ) — стохастический индикатор множества ]Х =(—да, Х1).
Из выражения (26) видно, что в данном случае ю] =<В] (Х1 ) = А(х1 — Х2) (рис. 5),^ т. е. формально индикатор случайного события ]Х представляет собой случайную функцию, законы распределения которой имеют следующие выражения:
Фю] (ю; Х1 ) = Ях2 (Х1 )х5(ю) + ¥хг (Х1 )х5(ю—1); (27) Х1
¥&] (ю; Х1 ) = Ях2 (Х1 )хА(ю) + ^ (Х1 )хА(ю—1). (28)
Х1
Стохастический индикатор юА (х1 ) называется функциональным [7] с характеристиками
M
CJ (i )\=4 (Т1 ) =
= J®kdFj (со; xi ) = F^ ();
—да
M[fflj (xi )\ = cj (xi ) = Fx2 (xi);
D [C j (xi )\ = C J = = Cj (xi) —— CJ (xi) = Fi (xi )Rx (xi).
(29)
(30)
(31)
2. Переменная Х1 также случайна, тогда предикат Х2 <Х1 становится дважды неопределенным, и вероятность случайного события ]х , при известной плотности распределения Фх!,Х2 (1, х^ , может быть представлена в виде
Р(] ) = Р(2 <Х1 ) = Р[Х1, Х2 £ (Н)] =
= II ФХ1,Х2 (1, Х2 )Х1 <*Х2, (32)
(Н)
где (И) = {<Х1, Х2>: Х2 < Х1};
■ Рис. 5. Индикатор случайного события
■ Fig. 5. Indicator of a random event
о
Р( ) = Р(Т2 <Т1 ) = Р(и < 0)= |Фг1 (и^и, (33)
-X
где и = Т2 - Т1;
Р(/^ ) = Р(( <Т1) = Р(3 > 0) = (34)
о
где 3 = т1 -х2.
При вышеприведенном определении вероятности случайного события (32), (33) теряется некоторый объем информации о реализации С АСИБ сценария /гт ДВ г-го типа на интервале (¿1, ¿2) (см. рис. 4). Для исследования реализации С АСИБ сценария /гт ДВ г-го типа на интервале (¿1, ¿2) с учетом сохранения информации преобразуем выражение (32):
Я Ф(*1,Т2> (Т1, Т2
(Н)
II (Т1, Т2 )(1Т1(1Т2
= /Ф^2 (Т2 )
|фх2/X! (Т1; х2
dТ9 =
= I ^/Т1 (Т1; Т1 ^ (Т1);
-X
II Ф^Л) (Т1, Т2 )dт1dт2 =
(Н)
= II Ф(Т1,Т2) (Т1, Т2 )dт1dт2
(35)
х2 <х1
= I ФХ2 (Т2 )
/фт2/т1 (Т1; Т2 Мх
dт9 =
I Ях2 /Т1 (Т2; Т2 )сЩ2 (Т2 ).
(36)
В соотношениях (35) и (36) для определения искомой вероятности р = Р ( <Т1) описаны два пути, которые приводят к одному и тому же результату, но обеспечивают различную его надежность [7].
Наиболее распространенным с практической точки зрения является ситуация, когда случайные величины Т1 и Т2 взаимно независимы, тогда соотношения (35) и (36) примут вид
х
Р(Т2 <Т1 )=|(Т1 ^ (Т1); (37)
-X
X
Р(Т1 >Т2)=|Ях1 (Т2)<Щ2 (Т2). (38)
Введем следующие обозначения:
¿1 =Ю1 (Т1 ) = (Т1); (39)
¿2 = ¿2 (Т2 ) = Ях2 (Т2 ). (40)
Случайные величины ¿1 и ¿2 называются стохастическими супериндикаторами, и с учетом введенных обозначений запишем
Р(х2 <Т1) = М[Ю1 ] = Ю1 1 _ =_ (41)
Р(Т1 >х2 ) = М[Ю2 ] = ¿2 Г1 ^
Соответственно:
1 1 Р(х2 < х1 ) = ¿1 = (¿) = ¿2 = (ю), (42)
о о
где 2 (со), 2 (со) — функции распределения супериндикаторов ¿1 и ¿2.
Основные свойства стохастических индикаторов
Константный (¿1) и функциональный [¿/ (Т1)] индикаторы, определяющие соответственно апостериорные вероятности / и /х обнаружения сценария /1т ДВ г-го типа, принимают лишь одно из двух значений (0 или 1), тогда как супериндикаторы ¿1 и ¿2 могут принимать бесконечное множество значений из интервала (0, 1], т. е. являются случайными величинами более общего типа.
Таким образом, СОИБ будет обнаруживать любой сценарий /1т ДВ г-го типа с априорной вероятностью, равной математическому ожиданию условной вероятности М[¿1 ]. Если достоверность событий / и /Т1 принимает лишь одно из двух значений: 0 или 1 с вероятностями р соответственно, — то достоверность события / распределена на интервале (0, 1] с плотностью
Фй1 (¿) или Фй2 (¿).
Из равенств (34) и (40) следует, что ¿/ =
=Р (/ =1); ®/(х1 )=Р [®/(х1 )=1], но ¿1 ф ф Р(1 = 1); <в2 * Р(2 = 1). Различие является следствием того, что в последнем случае не только процесс обнаружения СОИБ в ЕИП сценария /т ДВ г-го типа неопределенный, но и степень достоверности обнаружения С = {, с2( АСИБ в составе сценария /1т ДВ г-го типа на интервале времени хр с реализации сценария /'т ДВ г-го типа случайна и может принимать значения, отличные от 0 и 1.
Таким образом, супериндикаторы ю 1 и со2 совмещают в себе свойства и функции га(х1) случайного аргумента и случайной функции ю (т1) [см. (39), (40)].
Физический смысл заключается в следующем. Если интервал Х2 времени обнаружения реализующегося с{ АСИБ случаен, то в предикате Х2 < с[ константа с[ определяет границу детерминированного множества ] = (—да, с| I, а в предикате Х2 < Х1 переменная х1 определяет границу переменного множества J = (- да, х1), при попадании в которое случайной величины Х2 индикаторы &] и &] (х1 ) принимают значение 1. В предикате Х2 < Х1 переменная Х1 определяет границу «неопределенного» множества ] =(—да, ^1),при попадании в которое случайной величины Х2 индикаторы ю>1, ®2 могут принять уже любые значения из интервала (0, 1].
Применение специализированной модели целенаправленного процесса для построения стохастических временных индикаторов
Математической моделью обнаружения СОИБ любого сценария ДВ и предъявляемых к оперативности их функционирования требований является оперативный Т-процесс [7].
С учетом вышеизложенного приведены стохастические временные индикаторы, характеризующие сценарии ДВ:
— юХ — стохастический супериндикатор продолжительности обнаружения Хс ¿-го АСИБ;
— «¿ш — стохастический супериндикатор очередности обнаружения с\ АСИБ в составе реализующегося сценария ] ДВ г-го типа на основе оценивания случайной очередности момента Х*35 завершения ¿-го АСИБ и момента ¡Х+1 начала ^ + 1)-й реализации следующего;
— юХг+1 — стохастический супериндикатор очередности завершения обнаружения двух АСИБ на основе оценивания продолжительности Х1, Х ¿+1 ¿-го и ^ + 1)-го воздействия соответственно.
Для удобства понимания дальнейшего изложения текста обозначим данные индикаторы символом ю1, который носит название стохастического супериндикатора первого порядка, соответственно примем
ю-
= Р (Х'<Х").
(43)
С учетом сказанного показатель эффективности (ПЭ) Рд.ц обнаружения сценария ДВ запишется в виде
РД.ц = Р (Х'<Х ")■
(44)
В рамках методологии следует отметить, что величина х" представляет собой минимально необходимый целевой эффект, выраженный во вре-
менных единицах с учетом эффекта поглощения по операционным ресурсам [7].
Тогда, например, значение ПЭ РДЦ процесса функционирования СОИБ (вероятность того, что злоумышленник не реализует сценарий ДВ) определяется выражением
Р2 = 1 - Р1 .
д.ц Д.Ц
(45)
Для определения значения вероятности РД необходимо и достаточно знать законы распределения случайных величин х" и Х", тогда
РД.Ц = Р(Х'<Х") = Р[( Х")£ Н] =
= II фХ',Х")(х', х")(1х'ах", (46)
(Н)
где (И) = {<х', х"> : х" < х"}.
Пусть случайные величины х" и Х" подчинены смещенным показательным законам распределения с параметрами соответственно Х1, х1 и Х2, Х2, т. е.
^х-(х') =
— е-^(х'—х1)
1 — е
А(Х' — Х^ . (47)
Тогда функция ¿ю (ю) распределения стохастического супериндикатора ю 1 принимает вид
х (ю) = ^ [Щ1 (ю)] = 1 — е"^2( —Х2) (1 — ю)
хП(ю; зир{0, ^-(Ц)}, 1) + А(ю — 1). (48) Плотность распределения
Фю! (ю) = ^-е^2()х х (1 — ю)
—1 П(ю; вир{0, ^ (Ч )}, 1. (49) В результате
РД.Ц =ю1 =
1 — ^2 (Х2 —Х1 ) ^2 +
;А(х2 —Х1) +
+ е"^2 (—Х2 )А(Х1 —Х2 ).
Л2 +
Тогда гарантируемая вероятность
'
1 — у^2 е^1(х1 —Х2 )
(50)
: [А(Х2 — Х1 ) + А( (Х1) —у)А(х1 — Х2)], (51)
а)
б)
в)
■ Рис. 6. Функции (со) для первого (а), второго (б), третьего (в) и четвертого (г) случая
■ Fig. 6. The functions F1 (со ) for the first (a), second (б), third (в), and fourth (г) i
cases
ЗАШИТА ИНФОРМАЦИИ
где у — уровень гарантии (гарантийная вероятность).
В зависимости от соотношений параметров х1; х2 и Х1, Х2 функция распределения (га) стохастического супериндикатора ¿1 принимает конкретный вид, соответствующий одному из четырех вариантов:
1) X! < Т2, Х1 > Х2;
2) т < Т2, Х <
3) х1 > Т2, Х1 < Х2;
4) х1 > Т2, Х1 > Х2-
В частности, если х1 < х2 л (Х1 > Х2 V Х1 < Х2), то для случаев 1) и 2) функция распределения
(га) стохастического супериндикатора ¿1 примет вид
(®) =
1 _ ( _xi )(1 _ю)
<П(с°; Fx'(^2 ), 1)+Д(со_ 1);
Ф&! (Ю)=:
(1 П(; F (т2), 1);
1=^2 ev(2 _Х1 У
Ап
(52)
(53)
С1 = 1 ( _Х2 );
А 2 + А^
(у) = 1 -уХ2 е^1 ( -Т2). (55)
Для случаев 3) и 4) при условии х1 > х2 л л (Х1 < Х2 V Х1 > Х2) функция распределения (га) стохастического супериндикатора ¿1 примет вид
П(с; 0,1)
(®) =
1 _ ( _Х2 )(1 _ю)
+ Д(со _ 1); (56)
Ф&! (ю) =
=А2еА2()(1 П(с; 0,1) + А1
+ iV(T1 )8(со); (57)
С1 = 1--^ e^2 ( _X1); (58)
+ ^2
А
в)
/>(т:) I
г) I.'' ii'.l
Ыъ) 1
■ Рис. 7. Кривые распределения индикатора с для первого (а), второго (б), третьего (в) и четвертого (г) случая
■ Fig. 7. Distribution curves of the indicator ю1 for the first (a), second (б), third (в), and fourth (г) cases
:(у)=
1 _у^2 ек1((1 "Х2)
A(íí'(xi )_у). (59)
Графики функции Лю (ю) для случаев 1) и 2), когда значения параметров х1, х2 и Х1, Х2 исходных распределений (х") и (х") совпадают и =Х2 = Х1, приведены на рис. 6, а и б. При совпадении исходных распределений Лх»(х") значений параметров х1, х2 и Х1, Х2 функции Л« (ю) и при Х2 = Х1 = Х2, для случаев 3) и 4) существует обратная зависимость относительно случая 1) и 2), которая отображена на рис. 6, в и г.
Кривые распределения индикатора ю 1 для всех указанных случаев приведены на рис. 7, а-г.
Действительно, в зависимости от соотношений параметров х1, х2 и Х1, Х2 функция распределения Лю (ю) стохастического супериндикатора ю 1 принимает конкретный вид, соответствующий одному из четырех приведенных выше вариантов.
Заключение
Исследование эффективности процесса функционирования СОИБ комплексно и корректно может быть осуществлено только на методоло-
Литература
1. Daraio C., Simar L. Advanced Robust and Nonpara-metric Methods in Efficiency Analysis: Methodology and Applications. Springer, 2007. 263 p.
2. Зуев М. Б., Зуев Б. П., Булгакова И. Н. Усовершенствованный метод освоенного объема для интегральной оценки эффективности и прогнозов результата деятельности в сфере управления. Управление проектами: идеи, ценности, решения: материалы I Междунар. науч.-практ. конф., Санкт-Петербург, 15-17 мая 2019 г. СПб., СПбГАСУ, 2019, с. 80-87.
3. Юсупов Р. М., Мусаев А. А. Особенности оценивания эффективности информационных систем и технологий. Тр. СПИИРАН, 2017, вып. 1(51), с. 5-34. doi:10.15622/sp.51.1
4. Арсеньев В. Н., Хомоненко А. Д., Ядренкин А. А. Взвешенный учет априорной и опытной информации в задаче оценивания эффективности функционирования системы управления при распределении числа испытаний по закону Паскаля. Информационно-управляющие системы, 2020, № 3, с. 39-47. doi:10.31799/1684-8853-2020-3-39-47
5. Беляков М. И. Модель процесса функционирования системы обеспечения информационной безо-
гической основе современной теории эффективности целенаправленных процессов. В этом случае исследователю удается учесть весь комплекс результатов процесса функционирования системы — как положительных (объем и качество целевого эффекта), так и отрицательных (расходы ресурсов и времени).
Разработан подход к оцениванию эффективности процессов функционирования системы обеспечения информационной безопасности на основе теории стохастической индикации, призванной служить инструментом вероятностного анализа случайных явлений.
Формализована стохастическая ситуация для количественного анализа исследования процессов функционирования систем обеспечения информационной безопасности. Рассмотрены основные свойства стохастических индикаторов. Построены стохастические временные индикаторы на основе специализированной модели целенаправленного процесса.
При решении задач исследования эффективности следует использовать специфичные агрегированные модели системы, которые отражают с требуемой адекватностью результаты процесса их функционирования, динамику их получения в ходе операции и их связи с параметрами и эксплуатационно-техническими характеристиками СОИБ и ее процессом функционирования, без детального описания всех элементов системы.
пасности объекта критической информационной инфраструктуры в задаче оценивания его эффективности. Вопросы оборонной техники. Серия 16: Технические средства противодействия терроризму, 2020, № 11-12 (149-150), с. 71-75.
6. Wetering V., Mikalef P., Adamantia P. A strategic alignment model for IT flexibility and dynamic capabilities: Toward an assessment tool. Twenty-Fifth European Conf. on Information Systems (ECIS), 2017, pp. 1-17.
7. Петухов Г. Б., Якунин В. И. Методологические основы внешнего проектирования целенаправленных процессов и целеустремленных систем. М., АСТ, 2006. 504 c.
8. Фролов О. П., Кузьмин В. Н., Зиннуров С. Х. Методологический подход к решению слабоформа-лизуемых задач оценивания эффективности и выбора рациональных способов применения космических систем. Изв. Российской академии ракетных и артиллерийских наук, 2020, № 3 (113), с. 59-65.
9. Галанкин А. В., Гончаров А. М., Чащин С. В. Оценивание эффективности функционирования цифровой сети связи космических войск. Тр. Военно-космической академии им. А. Ф. Можайского, 2016, № 650, с. 7-10.
10. McMahon P. 15 Fundamentals for Higher Performance in Software Development: Includes discussions on CMMI, Lean Six Sigma, Agile and SEMAT's Essence Framework. Pem Systems Publ., 2014. 336 p.
11. Гейда А. С., Лысенко И. В., Юсупов Р. М. Основные концепты и принципы исследования операционных свойств использования информационных технологий. Тр. СПИИРАН, 2015, вып. 5(42), с. 5-36. doi:10.15622/sp.42.1
12. Гейда А. С., Исмаилова З. Ф., Клитный И. В., Лысенко И. В. Задачи исследования операционных и обменных свойств систем. Тр. СПИИРАН, 2014, вып. 4(35), с. 136-160. doi:10.15622/sp.35.10
13. Schilke O., Hu S., Helfat C. Quo vadis, dynamic capabilities? A content-analytic review of the current state of knowledge and recommendations for future research. Academy of Management Annals, 2018, vol. 12, no. 1, pp. 390-439.
14. Garza-Reyes J. From measuring overall equipment effectiveness (OEE) to overall resource effectiveness (ORE). Journal of Quality in Maintenance Engineering, 2015, vol. 21(4), pp. 506-527.
15. Сухов А. М., Крупенин А. В., Якунин В. И. Методы анализа и синтеза исследования эффективности процессов функционирования системы обнаружения предупреждения и ликвидации последствий компьютерных атак. Автоматизация процессов управления, 2021, № 4 (66), с. 4-14.
16. Сухов А. М., Герасимов С. Ю., Еремеев М. А., Якунин В. И. Математическая модель процесса функционирования подсистемы реагирования системы обнаружения, предупреждения и ликвидации по-
следствий компьютерных атак. Проблемы информационной безопасности. Компьютерные системы, 2019, № 2, с. 56-64.
17. Браницкий А. А., Котенко И. В. Анализ и классификация методов обнаружения сетевых атак. Тр. СПИИРАН, 2016, вып. 2(45), с. 207-244. аок10. 15622/ЭР.45.13
18. Юрчик П. Ф., Андрющенко В. И., Шастин С. Д. Формирование архитектуры единого информационного пространства. Школа Науки, 2021, № 1 (38), с. 33-36.
19. Горбачев И. Е., Сухов А. М., Еремеев М. А., Смирнов С. И. Методика реализации системного подхода при создании облика системы информационной безопасности критической информационной инфраструктуры с учетом экономической целесообразности. Проблемы информационной безопасности. Компьютерные системы, 2018, № 2, с. 93-110.
20. Сухов А. М., Ступин Д. Д., Ломако А. Г. Модель про-активного обнаружения компьютерных атак. Проблемы управления и моделирования в сложных системах: тр. XX Междунар. конф., Самара, 3-6 сентября 2018 г.; под ред. Е. А. Федосова, Н. А. Кузнецова, С. Ю. Боровика. Самара, 2018, с. 509-512.
21. Маликов А. В., Авраменко В. С., Саенко И. Б. Модель и метод диагностирования компьютерных инцидентов в информационно-коммуникационных системах, основанные на глубоком машинном обучении. Информационно-управляющие системы, 2019, № 6, с. 32-42. аок10.31799/1684-8853-2019-6-32-42
UDC 519.718
doi:10.31799/1684-8853-2022-3-31-44
Evaluating the effectiveness of the information security system process based on the theory of stochastic indicators
A. M. Sukhova, PhD, Tech., Doctoral Candidate, orcid.org/0000-0003-2233-811X, 19am87@mail.ru ^Krasnodar Higher Military School named after General of the Army S. M. Shtemenko, 4, Krasin St., 350065, Krasnodar, Russian Federation
Introduction: Under the conditions of imperfect methods and means of detection and response to computer attacks there is a constant growth of destructive impacts aimed at critical information systems. This generates a need to develop research methods for early warning systems to provide information security in case of malware attacks. One of the effective ways to solve this problem is to use the methods of the theory of stochastic indicators. Purpose: The development of a tool for evaluating the effectiveness of the information security system functioning. Results: We describe deterministic, random and indefinite components of the information security system functioning. Constant and functional indicators are constructed, their distinctive features are revealed. To solve the problem of evaluating the effectiveness of the process under consideration stochastic superindicators are constructed. We have also described the features of the construction of stochastic indicators of different ranks on the basis of the theory of the effectiveness of targeted processes and purposeful systems. Practical relevance: Through the developed stochastic time indicators, the probabilistic and temporal characteristics of the destructive impact are estimated, with the intervals and time points of its occurrence taken into account. This allows the system to be timely warned of a possible destructive impact scenario for the elements of critical information infrastructure.
Keywords — information security system, atomic information security event, destructive impact, efficiency, quality, stochastic indication theory.
For citation: Sukhov A. M. Evaluating the effectiveness of the information security system process based on the theory of stochastic indicators. Informatsionno-upravliaiushchie sistemy [Information and Control Systems], 2022, no. 3, pp. 31-44 (In Russian). doi:10.31799/1684-8853-2022-3-31-44
References
1. Daraio C., Simar L. Advanced Robust and Nonparametric Methods in Efficiency Analysis: Methodology and Applications. Springer, 2007. 263 p.
2. Zuev M. B., Zuev B. P., Bulgakova I. N. Upgraded method of the mastered volume for integrated assessment of efficiency and forecasts of result of activity in the management. Materialy 1-j Mezhdunarodnoj nauchno-prakticheskoj kon-ferencii "Upravlenie proektami: idei, cennosti, resheniya" [Proc. 1st Intern. Scient. and Pract. Conf. "Project management: ideas, values, solutions"]. Saint-Petersburg, 2019, pp. 80-87 (In Russian).
3. Yusupov R. M., Musaev A. A. Efficiency of information systems and technologies: Features of estimation. SPIIRAS Proc., 2017, vol. 2, no. 51, pp. 5-34 (In Russian). doi:10.15622/sp.51.1
4. Arseniev V. N., Khomonenko A. D., Yadrenkin A. A. Weighed ranking of aprioristic and experimental data in control system functioning efficiency estimation problem with Pascal-distributed number of tests. Informatsion-no-upravliaiushchie sistemy [Information and Control Systems], 2020, no. 3, pp. 39-47 (In Russian). doi:10.31799/1684-8853-2020-3-39-47
5. Belyakov M. I. Model of the process of functioning of the information security system of a critical information infrastructure object in the assessment of its effectiveness. Military Enginery. Iss. 16: Counter-terrorism technical devices, 2020, no. 11-12 (149-150), pp. 37-40 (In Russian).
6. Mikalef P., Adamantia P. A strategic alignment model for IT flexibility and dynamic capabilities: Toward an assessment tool. Twenty-Fifth European Conference on Information Systems (ECIS), 2017, pp. 1-17.
7. Petukhov G. B., Yakunin V. I. Metodologicheskie osnovy vneshnego proektirovaniya celenapravlennyh processov i celeustremlennyh sistem [Methodological basis of external designing of targeted processes and purposeful systems]. Moscow. AST Publ., 2006. 504 p. (In Russian).
8. Frolov O. P., Kuzmin V. N., Zinnurov S. H. Methodological approach to solving poorly formalized problems of evaluating the effectiveness and choosing rational ways of using space systems. Izvestiya Rossijskoj akademii raketnyh i ar-tillerijskih nauk, 2020, no. 3 (113), pp. 59-65 (In Russian).
9. Galankin A. V., Goncharov A. M., Chashchin S. V. Evaluation of the effectiveness of the functioning of the digital communication network of the space forces. Proc. of the Mozhaisky Military Space Academy, 2016, no. 650, pp. 7-10 (In Russian).
10. McMahon P. 15 Fundamentals for Higher Performance in Software Development: Includes discussions on CMMI, Lean Six Sigma, Agile and SEMAT's Essence Framework. Pem Systems Publ., 2014. 336 p.
11. Geida A. S., Lysenko I. V., Yusupov R. M. Main concepts and principles for information technologies operational
properties research. SPIIRAS Proc., 2015, vol. 5, no. 42, pp. 5-36 (In Russian). doi:10.15622/sp.42.1
12. Geida A. S., Ismailova Z. F., Klitnuy I. V., Lysenko I. V. Operational and exchange properties of systems research problems. SPIIRAS Proc, 2014, vol. 4, no. 35, pp. 136-160 (In Russian). doi:10.15622/sp.35.10
13. Schilke O., Hu S., Helfat C. Quo vadis, dynamic capabilities? A content-analytic review of the current state of knowledge and recommendations for future research. Academy of Management Annals, 2018, vol. 12, no. 1, pp. 390439.
14. Garza-Reyes J. From measuring overall equipment effectiveness (OEE) to overall resource effectiveness (ORE). Journal of Quality in Maintenance Engineering, 2015, vol. 21(4), pp. 506-527.
15. Sukhov A. M., Krupenin A. V., Yakunin V. I. The analysis and synthesis methods of research of the operation processes efficiency of the computer attacks detection, prevention and consequences elimination system. Automated Control Systems, 2021, no. 4 (66), pp. 4-14 (In Russian).
16. Sukhov A. M., Gerasimov S. Yu., Eremeev M. A., Yakunin V. I. Mathematical model of the process of functioning of detection system prevention and mitigation of computer attacks. Information Security Problems. Computer Systems, 2019, no. 2, pp. 56-64 (In Russian).
17. Branitskiy A. A., Kotenko I. V. Analysis and classification of methods for network attack detection. SPIIRAS Proc., 2016, vol. 2, no. 45, pp. 207-244 (In Russian). doi:10.15622/ SP.45.13
18. Yurchik P. F., Andryushchenko V. I., Shastin S. D. Formation of the architecture of a single information space. School of Science, 2021, no. 1 (38), pp. 33-36 (In Russian).
19. Gorbachev I. E., Sukhov A. M., Eremeev M. A., Smirnov S. I. The implementation of a systematic approach in creation of system of information security of critical information infrastructure taking into account economic feasibility. Information Security Problems. Computer Systems, 2018, no. 2, pp. 93-110 (In Russian).
20. Sukhov A. M., Stupin D. D., Lomako A. G. A model of proactive detection of computer attacks. Trudy XX Mezhdunarodnoj konferencii "Problemy upravleniya i modelirovaniya v slozhnyh sistemah". Pod redakciej E. A. Fedosova, N. A. Kuznecova, S. Yu. Borovika [Proc. of the XX Intern. Conf. "Complex systems: Control and modeling problems"]. Samara, 2018, pp. 509-512 (In Russian).
21. Malikov A. V., Avramenko V. S., Saenko I. B. Model and method for diagnosing computer incidents in information and communication systems based on deep machine learning. Informatsionno-upravliaiushchie sistemy [Information and Control Systems], 2019, no. 6, pp. 32-42 (In Russian). doi:10.31799/1684-8853-2019-6-32-42
