CC BY
16том 12. № 4. 2020 http://intech-spb.com/i-methods/
Подход к тестированию на проникновение в информационные сервисы сети RSNet по скрытым каналам, основанным на методах стеганографического преобразования информации
Рассматривается актуальность проблемы, связанной с предотвращением компьютерных атак на объекты критической информационной инфраструктуры, в частности инфокоммуникационных систем, предназначенных для решения задач государственного управления. Делается постановка задачи определения факта существования скрытых каналов, основанных на методах стеганографического преобразования информации, формируемых в рамках информационных сервисов единой сети передачи данных ЯБ^, как частного объекта критической информационной инфраструктуры. Выдвигается предположение о целесообразности проведения превентивного тестирования на проникновение по каналам подобного типа, основанного на имитации в среде современных систем виртуализации требуемых информационных сервисов, а также источников потока сообщений, образующих скрытые каналы. Предлагается структура экспериментального стенда, как варианта реализации подобного подхода. В рамках предложенной структуры стенда, для использования на этапе мониторинга реализации компьютерных атак, базирующихся на скрытых каналах, использующих методы стеганографического преобразования информации, рассматриваются существующие подходы к моделированию процесса функционирования абстрактной стеганографической системы с пассивным противником, учитывающие наличие у последней целевой функции, связанной со снижением скрытности факта функционирования канала передачи, использующего стегоконтейнеры различного типа. Рассматриваются имеющиеся решения, основанные на теоретико-информационном и теоретико-слож-ностном подходах. Делается предположение о наличии в канале передачи сообщений смеси пустых контейнеров и стего-контейнеров, а также возможности использования в качестве коэффициента их перемешивания значения относительной энтропии источника сообщений. Предлагается использование этого значения относительной в качестве меры, отражающей осведомленность исследователя (пассивного противника) относительно факта активного состояния стеганосистемы.
Яндашевская Элина Андреевна
сотрудник Академии ФСО России, г. Орел, Россия, elenayanda@yandex.ru
АННОТАЦИЯ.
КЛЮЧЕВЫЕ СЛОВА: стеганографическая система; скрытый канал передачи информации; теория информации; пассивный противник; несанкционированный доступ к информации.
Ведение
В настоящее время наблюдается все возрастающий рост компьютерных атак (КА) на объекты критической информационной инфраструктуры (ОКИИ) — совокупность автоматизированных систем управления технологическими процессами критически важных объектов РФ и обеспечивающей их телекоммуникационной инфраструктуры, а также инфокоммуника-ционных систем, предназначенных для решения задач государственного управления. Так, по информации Национального координационного центра по компьютерным инцидентам в 2018 году было зафиксировано 4,3 миллиарда КА на ОКИИ1. Это связано, с одной стороны, с различным уровнем защищенности объектов ОКИИ, а с другой — с доступностью информации об инструментах и методиках реализации КА.
Одним из ОКИИ является Единая сеть передачи данных (ЕСПД) для госорганов (Russian State Network, RSNet) — сегмент сети Интернет для федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации2. Он создан на базе домена GOV.RU сети Интернет, размещает на своих серверах только официальные материалы, относящиеся к деятельности органов государственной власти Российской Федерации, и предоставляет следующие информационные услуги: доступ к информационным и телекоммуникационным ресурсам сети RSNet и сети Интернет; электронная почта сети Интернет (e-mail); обмен файлами между пользователями сети RSNet и сети Интернет; удаленный доступ к сети RSNet для отдельных категорий пользователей; удаленный доступ к сети RSNet органов государственной власти по выделенным линиям связи; регистрация доменов второго и третьего уровня, получение и распределение публичных IP адресов в сети RSNet; публикация информации о деятельности органов государственной власти Российской Федерации на серверах сети RSNet.
В настоящее время сервер органов государственной власти Российской Федерации предоставляет доступ:
• в рамках домена GOV.RU — к девяти информационным порталам;
• в рамках региональных доменов — к 155 порталам региональных органов государственной власти Российской Федерации.
Администрирование корневого домена GOV.RU, регистрацию субдоменов *.GOV.RU, а также выдачу IP-адресов для пользователей сети RSNet, подключенных к серверам корневого домена, осуществляет Главный центр управления сетью (УИТО Спецсвязи ФСО России). В общем виде структура ЕСПД RSNet представлена на рис. 1.
Подключиться к ЕСПД RSNet может любой орган местного управления вплоть до городской администрации, но при условии, что сам сможет оплатить подключение до одного из 60 узлов сети. То есть, иерархическая доменная структура ЕСПД RSNet формируется динамически, за счет подключения узлов поддержки информационных ресурсов федерального и регионального уровней.
Наличие подобной динамической инфраструктуры RSNet порождает проблему вероятных КА на ее узлы, связанную с необходимостью реализации требований по обеспечению
Юамсонова А. КИИ атаковали 4,3 млрд. раз за год. URL: http://www.comnews.ru/content/116622/2018-12-12/kii-atakovali-43-mlrd-raz-za-god (дата обращения: 12.03.2020).
2Временные правила администрирования домена GOV.RU. URL: http://www.gov.ru/main/rsnet/page541.html (дата обращения: 12.03.2020).
Рис. 1. Обобщенная структура ЕСПД RSNet
целостности, устойчивости функционирования и безопасности информационных систем общего пользования (ИСОП), утвержденных приказом Министерства связи и массовых коммуникаций Российской Федерации от 25.08.2009 № 1043, которые распространяются на федеральные государственные информационные системы, созданные или используемые в целях реализации полномочий федеральных органов исполнительной власти и содержащие сведения, указанные в перечне сведений о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти, обязательных для размещения в информационно-телекоммуникационной сети «Интернет», утвержденном Постановлением Правительства Российской Федерации от 12 февраля 2003 г. № 8 «Об обеспечении доступа к информации о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти»4. Согласно этим требованиям в ИСОП предусматривается подсистема безопасности, назначением которой является обеспечение режима функционирования информационной системы общего пользования, при котором сохраняется целостность и доступность информации.
В рамках этой подсистемы разрабатывается Задание по безопасности, которое включает в себя: архитектуру и принципы взаимодействия подсистем, входящих в ИСОП; описание возможных нарушений целостности, устойчивости функционирования и безопасности ИСОП; описание подсистемы безопасности, включая систему защиты информации и систему антивирусной защиты программных средств (в том числе описание целевых функций, механизмов и используемых средств защиты, а также перечень защищаемых компонентов); непротиворечивую политику безопасности (в том числе правила разграничения доступа, инструкции для оператора ИСОП, а также порядок действий в нештатной ситуации).
3Об утверждении Требований по обеспечению целостности, устойчивости функционирования и безопасности информационных систем общего пользования прошел государственную регистрацию в Минюсте России: Приказ Минкомсвязи России от 25.08.2009г № 104. URL: https://digital.gov.ru/ru/events/22522/ (дата обращения: 12.03.2020).
4Об обеспечении доступа к информации о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти: Постановление Правительства Российской Федерации от 24 ноября 2009 г. N953, Москва. URL: http://pravo.gov.ru/proxy/ ips/?docbody=&nd=102133975 (дата обращения: 12.03.2020).
При этом, в зависимости от структуры и функций конкретного узла RSNet реализуется обеспечение приема, хранения и обработки информации, представленной файлами различных документальных и мультимедийных форматов.
К таким файлам можно отнести:
• документы форматов офисного программного обеспечения;
• графические изображения, содержащие сканированные документы;
• текстовые данные, переданные через легитимные поля ввода данных ИСОП;
• файлы архивов документальной и мультимедийной информации;
• другие типы файлов.
Такая функция потенциально обеспечивает возможность реализации КА различного типа, которые связанны в первую очередь с распространением вредоносного кода.
Одним из наиболее распространенных методов распространения вредоносного кода является использование скрытых (в другой трактовке ФСТЭК РФ — нетрадиционных) информационных каналов, основанных на методах стеганографического преобразования информации (СПИ)). Так, в течение 2018 года использование методов СПИ было зафиксировано в следующем вредоносном ПО: Microcin (AKA six little monkeys); NetTraveler; Zberp; Enfal (its new loader called Zero.T); Shamoon; KinS; ZeusVM; Triton (Fibbit)5.
Причинами активного использования методов СПИ являются:
• возможность сокрытия факта загрузки/выгрузки данных, а не только самих данных;
• возможность обойти системы обнаружения вторжений;
• возможность обойти проверку в системах противодействия угрозам (Anti-APT системы), поскольку последние потенциально не могут полностью реализовать множество алгоритмов анализа стегоконтейнеров для всего множества поступающих файлов.
Указанные причины определяют актуальность проведения исследований КА на основе методов СПИ. При этом важную роль должны играть средства превентивного предупреждения подобных КА.
В рамках этого исследования объектом исследования является структура, а также математическое и программное обеспечение системы тестирования на проникновение по скрытым (нетрадиционным) информационным каналам, основанным на методах стеганографиче-ского преобразования информации применительно к особенностям организации узлов, поддерживающих информационные ресурсы ЕСПД RSNet.
Предметом исследования являются методы СПИ, а также способы формирования на основе этих скрытых (нетрадиционных) информационных каналов для узлов, поддерживающих информационные ресурсы ЕСПД RSNet, а также иные способы воздействия на конфиденциальность, целостность и доступность информационных ресурсов.
Целью исследования является повышение защищенности информационных ресурсов узлов ЕСПД RSNet за счет реализации процесса тестирования на проникновение по скрытым (нетрадиционным) информационным каналам, основанным на методах СПИ.
В связи с этим актуальным является направление, связанное с разработкой системы тестирования на проникновение по скрытым каналам (нетрадиционным информационным каналам), основанным на методах стеганографического преобразования информации приме-
5Шульмин А., Крылова Е. Стеганография в современных кибератаках. URL: https://securelist.ru/steganography-in-contemporary-cyberattacks/79090/ (дата обращения: 12.03.2020).
нительно к особенностям организации узлов, поддерживающих информационные ресурсы
Структура экспериментального стенда системы тестирования
на проникновение в информационные сервисы сети RSNet по скрытым каналам,
основанным на методах стеганографического преобразования информации
Основными функциями предлагаемой системы тестирования на проникновение по скрытым каналам (нетрадиционным информационным каналам), основанным на методах стеганографического преобразования информации являются:
• генерация существующих или возможных КА на основе методов СПИ;
• реализация стендового тестирования на проникновение в узлы, поддерживающих информационные ресурсы ЕСПД RSNet (или их имитацию) на основе современных систем виртуализации.
Предлагаемый экспериментальный стенд предназначен для планирования и проведения экспериментов, связанных с оцениванием потенциального ущерба вариантов узла сети RSNet, связанного с проникновением по скрытым каналам, основанным на методах стеганографического преобразования информации (СК-СПИ).
Для решения задач планирования и проведения таких экспериментов стенд поддерживает:
• настройку варианта узла сети RSNet, конфигурация которого учитывает особенности организации и функционирования конкретного узла, входящего в состав домена gov.ru или доменов региональных органов государственной власти Российской Федерации;
• настройку варианта СК-СПИ, который будет использоваться для проникновения в информационные ресурсы настроенного варианта узла сети RSNet;
• мониторинг реализации угроз ИБ, связанных с настроенным вариантом СК-СПИ, используемого для проникновения в информационные ресурсы настроенного вариант узла сети RSNet.
В общем виде указанные функции экспериментального стенда представлены на рис. 2.
ЕСПД RSNet
Анализ реализации угрозы ИБ на основе СК-СПИ Исследование возможности устранения угрозы ИБ на --основе СК-СПИ
Вариант узла сети
Мониторинг уязвимости варианта СК-СПИ
Г------------1
1 Уязвимость ДЛЯ I
I варианта СК-СПИ \
Угроза ИБ на основе СК-СПИ
Вариант СК-СПИ
Рис. 2. Обобщенные функции предлагаемого экспериментального стенда системы тестирования на проникновение в информационные ресурсы сети Я8№1 по СК-СПИ
Из рис. 2 видно, что в рамках экспериментального стенда поддерживаются функции:
1. До реализации угрозы ИБ на основе СК-СПИ:
• создание варианта узла сети RSNet с заданными характеристиками (состав и структура аппаратного и программного обеспечения);
• выбор варианта СК-СПИ для реализации требуемой угрозы ИБ на основе СК-СПИ
• реализация в рамках созданного узла сети RSNet уязвимости, которую может эксплуатировать выбранный вариант СК-СПИ.
2. После (или во время) реализации угрозы ИБ на основе СК-СПИ:
• выполнение анализа реализации угрозы ИБ на основе СК-СПИ или мониторинга наступления инцидентов, связанных с ее реализацией;
• проведение исследований, направленных на возможность устранения этой угрозы;
• разработка методических и организационно-технических рекомендаций, связанных с устранением уязвимости для выбранного варианта СК-СПИ.
Поскольку функции, поддерживаемые до реализации угрозы ИБ на основе СК-СПИ, связаны с генерацией варианта узла сети RSNet и выбора варианта СК-СПИ, в рамках стенда предлагается организовать следующие виды хранилищ:
• программного обеспечения СПИ (ПО СПИ), из которого осуществляется выбор варианта ПО для организации СК-СПИ;
• методик, развертывания и конфигурирования каждого вида ПО СПИ для организации СК-СПИ, позволяющего реализовать требуемую угрозу ИБ;
• вариантов программно-аппаратных реализаций узлов сети RSNet или их отдельных компонентов (например, отдельных серверов, поддерживающих прикладные сетевые службы);
• методик конфигурирования заданного варианта узла сети RSNet.
Наиболее целесообразным способом формирования вариантов программно-аппаратных реализаций узлов сети RSNet или их отдельных компонентов является использование технологий виртуализации, позволяющей достаточно оперативно создавать, хранить и развертывать программно-аппаратные реализации компьютерных систем, которые составляют основу компонентов узла сети RSNet.
Таким образом, хранилище вариантов программно-аппаратных реализаций узлов сети RSNet или их отдельных компонентов может быть представлено совокупностью развернутых и сконфигурированных виртуальных машин.
Для имитации телекоммуникационной подсистемы, обеспечивающей их сетевое взаимодействие, а также взаимодействие с внешними сетями, целесообразно использовать технологию программной коммутации и маршрутизации. Например, применительно к технологиям виртуализации VMWare, может использоваться технология VMNet, которая содержит:
• виртуальные коммутаторы (Virtual Switches);
• виртуальные сетевые интерфейсы (Virtual Ethernet Adapters);
• виртуальный мост (Virtual Bridge);
• встроенный DHCP-сервер;
• устройство трансляции сетевых адресов (NAT, Network Address Translation).
Для поддержки функционирования указанных видов хранилищ, а также телекоммуникационной подсистемы в рамках экспериментального стенда должны быть развернуты соот-
ветствующие службы администрирования, поддерживаемые одним или более специалистами для распределенных информационных систем.
Кроме того, для реализации функции мониторинга уязвимости варианта СК-СПИ требуется развертывание подсистемы мониторинга, поддерживаемой специалистами для предметной области ИБ.
В обобщенном виде схема подобного экспериментального стенда представлена на рис. 3.
Рис. 3. Структурная схема предлагаемого экспериментального стенда системы тестирования на проникновение в информационные ресурсы сети RSNet по СК-СПИ
Из рис. 3 видно, что одним из функционально значимых модулей с точки зрения целевого предназначения экспериментального стенда является модуль мониторинга реализации угроз ИБ на основе СК-СПИ. Основной функцией этого модуля является принятие решения о наличии или отсутствии СК-СПИ, реализованного в рамках сымитированного информационного сервиса ЕСПД RSNet.
Соответственно, актуальным является рассмотрение методов формирования, методологических подходов к моделированию стеганографических систем, а также критериев принятия решения о наличии или отсутствии СК-СПИ.
Подходы к моделированию современных стеганографических систем
Классификация и особенности применения СК-СПИ нашли отражение в работах6,7российских и зарубежных авторов. При этом в большинстве исследований рассмотрение СК-СПИ на основе стеганографических систем рассматривается в прямой постановке (целевая функция — повышение скрытности передаваемой информации), а также ориентированы на особенности применения тех или иных видов контейнеров (стегоконтейне-ров) — легитимной информации, циркулирующей в информационной системе и предназначенной для сокрытия сообщений, циркулирующих в стеганографической системе. В основном предлагаемые в указанных исследованиях методы и алгоритмы формирования скрытых каналов передачи информации направлены на решение следующих классов частных задач:
• снижение вероятности обнаружения СК-СПИ или факта передачи в нем скрытых сообщений;
• повышение пропускной способности СК-СПИ;
• ресурсное и/или стоимостное оценивание эффективности СК-СПИ, основанное, как правило, на исследовании снижения характеристик легитимного (основного) канала передачи информации;
• устойчивость (робастность) СК-СПИ к различным видам воздействия, как естественной природы, так и активного противодействия противника.
Ряд исследований [1,2] направлены на рассмотрение процессов функционирования стеганографических систем с пассивным противником (1111), учитывающим ряд факторов, характеризующих подобную систему. Так, пассивный противник в общем случае:
• знает о существовании стеганографической системы;
• имеет представление о возможных методах, способах и алгоритмах ее реализации;
• не имеет доступа к ключевой информации, позволяющей установить факт присутствия и/или содержания передаваемого скрытого сообщения;
• не имеет явных преимуществ перед пользователями стеганографической системы в получении факта присутствия и/или содержания передаваемого скрытого сообщения.
При этом в указанных исследованиях недостаточное внимание уделено вопросам рассмотрения СК-СПИ на основе стеганографических систем в обратной постановке — повышении вероятности обнаружения СК-СПИ или факта передачи в нем скрытых сообщений.
6Хорошко В.А., Шелест М.Е. Введение в компьютерную стеганографию. К.: НАУ, 2002. 140 с.
7Барабаш А.В., Шанкин Г.П. История криптографии. Ч.1. М.: Гелиос АРВ, 2002. 240 с.
Моделирование процесса функционирования стеганографической системы с ПП, учитывающее наличие у последнего целевой функции, связанной со снижением скрытности СК-СПИ, позволит в рамках обобщенного процесса функционирования информационных сервисов сети RSNet исследовать ее возможности и учесть их при реализации подсистемы информационной безопасности. В работах [3-5] представлены перспективные подходы, основанные на теоретико-информационном и теоретико-сложностном подходах к формированию стойкой стеанографической системы. В их основе лежит парадигма неотличимости распределения вероятностей на множестве контейнеров, формируемых стеганографической системой, от распределения вероятностей на множестве пустых контейнеров, циркулирующих в рамках распределенной инфорационной системы (РИС).
Таким образом, актуальной задачей является рассмотрение возможности применения теоретико-информационного подхода к моделированию стеганографической системы с пассивным противником, с учетом необходимости решения обратной задачи, связанной со скрытностью передаваемых в ее рамках сообщений. Решение такой задачи основано на разработке варианта модели стеганографической системы, с достаточной адекватностью представляющей, указанные выше особенности процесса ее функционирования.
В общем случае стеганографическая система (стеганосистема) может быть представлена оверлейной (наложенной) распределенной системой, функционирующей поверх существующей информационной системы, узлы которой — источник информации (ИИ) и приемник информации (ПИ) поддерживают совокупность средств, обеспечивающих формирование СК-СПИ путем реализаций следующих функций: встраивания (embedding) скрытого сообщения в легитимное (открытое) сообщение, именуемое контейнером (cover) и, соответственно, извлечения (extracting) — функции, обратной встраиванию. Вид стеганосистемы существенно зависит от типа данных контейнера (текст, графика, аудио, видео), определяющих совокупность методов формирования СК-СПИ. Кроме того, в зависимости от наличия или отсутствия у узлов стеганосистемы общей секретной информации (секретного стегоключа) такая система может быть: безключевой (чистой) и, соответственно, с открытым или закрытым ключом.
При этом тип данных контейнера, а также наличие или отсутствие секретного стегоключа не являются определяющими факторами при обобщенном рассмотрении стеганосистемы. В связи с этим в ряде источников [6, 7-10] понятие стеганосистема заменяют понятием «стега-нографический протокол», подчеркивая наличие совокупности правил преобразования информации, содержащейся в контейнере, с целью формирования скрытого сообщения, являющегося в этом случае протокольным блоком данных, используемых узлами стеганосистемы.
Классическим представлением обобщенной модели стеганосистемы с ПП является «задача заключенных» Симмонса (Simmons «Prisoners problem»)8. При этом, целью такого представления является введение соответствующего терминологического базиса, характеризующего объекты стеганосистемы.
При этом, используя указанную обобщенную модель стеганосистемы Симмонса, а также, опираясь на вероятностный (энтропийный) подход к измерению информации, можно модифицировать представление этой модели в рамках теоретико-информационного направления.
8Simmons G. J. The prisoners' problem and the subliminal channel // Advances in Cryptology: Proceedings of Crypto 83 (D. Chaum, ed.). Plenum Press, 1984. Pp. 51-67.
На рис. 4 компоненты модели стеганосистемы Симмонса, представлены с точки зрения теоретико-информационного подхода.
Рис. 4. Вариант модели стеганосистемы Симмонса с пассивным противником
На рис.4. пользователями стеганосистемы являются узел ИИ, встраивающий скрытые сообщения в контейнеры, передаваемые по открытому каналу, узел ПИ, извлекающий скрытые сообщения из контейнеров и узел 1111, решающий задачу обнаружения контейнеров, содержащих скрытые сообщения.
Узел ИИ может находиться в одном из двух состояний: неактивен (состояние «0» на рис. 1) и активен (состояние «1» на рис. 1). В неактивном состоянии ИИ выполняет передачу С, не содержащей скрытого сообщения Е. В этом случае информация С является пустым контейнером, формат которого известен ПП и допускается к передаче по открытому каналу. Передача С, в общем случае, является случайным процессом с некоторым распределением Р
В активном состоянии ИИ встраивает в С скрытое сообщение Е, организуя передачу по открытому каналу стегоконтейнер 5". При формировании ИИ использует функцию внедрения Р, вид которой зависит от типа данных контейнера С. Отправка 5 также является случайным процессом с некоторым распределением Р а скрытое сообщение является случайной величиной, принадлежащей некоторому пространству сообщений Е. В случае реализации стеганосистемы на основе использования ключей, ИИ дополнительно использует генератор случайных чисел Я для формирования стегоключа К совместно используемого ИИ и ПИ.
При этом Я используется только ИИ и не зависит от Е и С, а стегоключ К недоступен ПП и передается по некоторому безопасному каналу передачи стегоключа до начала функционирования стеганосистемы. Функция Р известна 1111.
Передачу стегоконтейнера 5 по открытому каналу наблюдают и ПИ и 1111. При этом только ПИ, используя некоторую функцию извлечения ^получает сообщение Е. Будем предполагать, что ПИ известно, когда ИИ находится в активном состоянии, а, следовательно, ПИ имеет возможность различать пустой контейнер и стегоконтейнер 5. При этом, сточки зрения 1111, передаваемые контейнеры являются идентичными и 1111 требуется решение задачи проверки статистических гипотез о параметрах распределения Р .
Такая модель стеганосистемы с 1111 позволяет определить функции входящих в нее элементов и определить основную задачу, решаемую 1111 при наблюдении контейнеров, предаваемых от ИИ к ПИ по открытому каналу.
Очевидно, что знание информационных характеристик ИИ обеспечивает возможность выполнения анализа и сравнения различных ИИ и каналов передачи информации. При этом, исходя из положений теоретико-информационного подхода, основной информационной характеристикой ИИ, через которую выражаются большинство других является энтропия ИИ.
Предположим, что ИИ сформировал сообщение — некоторую последовательность символов а. Факт генерирования этой последовательности является случайным событием, имеющим вероятность Р(а).
Согласно9, энтропия распределения вероятности Р(А) по алфавиту А объемом определяется как:
к-1
н(А) = -£ Р(аР(а),
1=0
где Р(а), 1 = 0,1, ..., К-1 вероятность выдачи ИИ символов (а. — случайная величина).
Н(А) выражает среднюю неопределенность состояния ИИ, являясь объективной характеристикой, и может быть вычислена априорно до получения сообщений, если известна статистика поступления сообщений. В случае наличия двух ИИ сообщения ИИ1 принимают значения х1, х2, ..., хп с вероятностямир(хД р(х2), ..., р(хп), а сообщения ИИ2 — значенияу1, у2, ..., уп с вероятностямир(у1),р(у2), ..., р(уп). Условная энтропия показывает, какую энтропию дают сообщения У, когда уже известна энтропия сообщений X, и представлена в виде:
H (Y\X) = -£ p( Xi) H (Y\xi),
i=i
m
где H(Y | xi) = - £ p(yt / xi)log p(y | xi) — частная условная энтропия.
J=i
Условная энтропия может изменяться в пределах 0 < H(Y | X) < H(Y). Это свойство определяется тем, что условная энтропия положительна, равна нулю при полной статистической зависимости событий, максимальна при полной статистической независимости событий и равна безусловной энтропии I(Y, X) = H(Y) - H(Y / X).
Таким образом, взаимная информация, получаемая при полной достоверности передачи сообщений, равна разности безусловной энтропии, характеризующей начальную (априорную) неопределенность сообщений, и условной энтропии, характеризующей остаточную (апостериорную) неопределенность сообщений.
Используя свойство условной энтропии H(Y / X) = H(Y, X) - H(X), получим I (Y, X) = I (X, Y) — полную взаимную информацию, то есть количество информации, которое
9Blahut R. E. Principles and Practice of Information Theory. Reading: Addison-Wesley, 1987.
содержится в сообщении У относительно сообщения X, равно количеству информации, содержащемуся в X относительно У.
Исходя из представленного в п. 2 обобщенного представления активного и неактивного состояний ИИ, можно сделать предположение, что ПП в открытом канале наблюдает смесь пустых контейнеров С и стегоконтейнеров 5, что, согласно теории динамических систем Колмогорова, позволяет определить меру степени их перемешивания, определяемую относительной энтропией10.
Исходя из определения относительной энтропии (дискриминации)11 определим ее для состояний ИИ с распределениями Ри Ркак:
D( РС\\Р) =Х Рс (с)1СЕ2 ^
сеС Р(с)
где Р (с) — распределение пустых контейнеров, Р (с) — распределение стегоконтейнеров.
Тогда, если значение 0(Рс\\Р) =0, а следовательно Рс(с) = Р/с), то, с точки зрении ИИ и ПИ, наличие стеганосистемы не может быть выявлено ПП. В [6] такая стеганосистема именуется абсолютно стойкой. В противном случае, если значение 0(Рс\Р) < е, то стеганосистема обладает е-стойкостью относительно наблюдений ПП. Таким образом, значение относительной энтропии можно применять в качестве меры, отражающей осведомленность ПП относительно активности функционирования стеганосистемы.
Заключение
Функционирование современных распределенных информационных систем, особенно реализуемых в интересах органов государственной власти и управления, неизбежно связано с реализацией компьютерных атак на их информационные сервисы. К подобным информационным системам относится единая сети передачи данных RSNet, формирующая сегмент сети Интернет в интересах ряда государственных структур. Практика эксплуатации RSNet показывает, что в ее рамках допустимо формирование скрытых каналов различной природы, в том числе и основанных на методах криптографического преобразования информации. Для повышения эффективности обнаружения подобных скрытых каналов предлагается разработка экспериментального стенда, поддерживающего функции тестирования на проникновение в рамках имитации информационных сервисов RSNet.
В статье предложена структура подобного стенда. Детально рассматривается ключевой модуль стенда, связанный с мониторингом реализации угроз информационной безопасности на основе скрытых каналов, основанных на методах стеганографического преобразования информации. Рассматривается обобщенная модель подобного скрытого канала, базирующаяся на классической модели Симмонса, но использующая понятие пассивного противника. В рамках этой модели делается попытка применения теоретико-информационного подхода к решению задачи распознавания факта функционирования скрытого канала.
10Вернер М. 8.1 Дифференциальная энтропия // Основы кодирования = Information und Codierung / пер. Д.К. Зигангирова. ЗАО «РИЦ "Техносфера"», 2004. С. 109-114.
"Колмогоров А. Н. Теория информации и теория алгоритмов. М.: Наука, 1987. 304 с.
Литература
1. Швидченко И. В. Анализ криптостеганографических алгоритмов // Проблемы управления и информатики. 2007. № 4. С. 149-155.
2. Johnson N. F., Jajodia S. Steganalysis of images created using current steganography software // Proc. 2nd Intern. Workshop on Inform. Hiding, 1998. LNCS, Vol. 1525. Pp. 273-289.
3. Cachin C. An information-theoretic model for steganography // Proc. 2nd Intern. Workshop on Inform. Hiding, 1998. LNCS, Vol. 1525. Pp. 306-318.
4. Pfitzmann B. Information hiding terminology // Proc. 1st Intern. Workshop on Inform. Hiding, 1996. LNCS, Vol. 1174. Pp. 347-350.
5. Z 'ollner J., Federrath H., Klimant H., Pfitzmann A., Piotraschke R., Westfeld A., Wicke G., Wolf G. Modeling the security of steganographic systems // Proc. 2nd Intern. Workshop on Inform. Hiding, 1998. LNCS, Vol. 1525. Pp. 344-354.
6. Варновский Н. П. О теоретико-сложностном подходе к определению стойкости стеганографи-ческих систем // Сборник трудов 4-й международной конференции «Дискретные модели в теории управляющих систем», (Москва, 19-25 июля 2000 г.). М.: «МАКС Пресс», 2000. C. 15-16.
7. Anderson R. Stretching the limits of steganography // Proc. 1st Intern. Workshop on Inform. Hiding, 1996. LNCS, Vol. 1174. Pp. 39-48.
8. Буренин А.Н., Легкое К.Е., Оркин В. В. Управление инцидентами при обеспечении безопасности информационных подсистем автоматизированных систем управления сложными организационно-техническими объектами // Инфокоммуникационные технологии. 2018. Т. 16. № 1. С. 122-131.
9. Легкое К. Е. Подходы к развитию концепции внедрения мультимедийных систем военного назначения // Наукоемкие технологии в космических исследованиях Земли. 2011. Т. 3. № 2. С. 13-15.
10. Мясникова А. И., Легкое К. Е. Анализ технологий высокоскоростного беспроводного широкополосного доступа // Наукоемкие технологии в космических исследованиях Земли. 2009. Т. 1. № 1. С. 34-37.
APPROACH TO TESTING ON PERMISSION TO INFORMATION SERVICES OF RSNet NETWORK ON HIDDEN CHANNELS BASED ON METHODS OF STEANOGRAPHIC TRANSFORMATION OF INFORMATION
ELINA A. JANDASHEVSKAJA
Employee of the Academy of the Federal Guard Service of Russi, Orel, Russia, elenayanda@yandex.ru
ABSTRACT
The urgency of the problem associated with the prevention of computer attacks on critical information infrastructure objects, in particular information and communication systems designed to solve public administration tasks, is considered. The statement is made of the problem of determining the existence of covert channels based on methods of steganographic transformation of
information generated within the framework of the information services of the unified data transmission network RSNet, as a private object of critical information infrastructure. An assumption is made about the feasibility of conducting preventive penetration testing on channels of this type, based on imitating the required information services in the environment of modern virtualization systems, as well as message flow sources that form hidden channels. The structure of the experimental stand is proposed as an option for implementing this approach. In the framework of the proposed stand structure, for use at the stage of monitoring the implementation of computer attacks based on covert channels using steganographic information conversion methods, the existing approaches to modeling the functioning of an abstract steganographic system with a passive adversary are considered, taking into account the presence of the latter objective function associated with reducing the secrecy of the fact of the functioning of the transmission channel using stegocontainers of various types. Existing solutions based on information-theoretical and complexity-theoretical approaches are considered. An assumption is made that there is a mixture of empty containers and stegocontainers in the message channel, as well as the possibility of using the relative entropy of the message source as their mixing coefficient. The use of this relative value as a measure reflecting the knowledge of the researcher (passive adversary) regarding the fact of the active state of the steganosystem is proposed.
Keywords: steganographic system; hidden channel of information transfer; information theory; passive adversary; unauthorized access to information.
REFERENCES
1. Shvidchenko I. V. Cryptosteganographic Algorithm Analysis [Analiz kriptosteganograficheskih algoritmov]. Problems of management and computer science [Problemy upravlenija i informatiki]. 2007. No. 4. Pp. 149-155. (In Rus)
2. Johnson N. F, Jajodia S. Steganalysis of images created using current steganography software. Proc. 2nd Intern. Workshop on Inform. Hiding, 1998. LNCS, Vol. 1525. Pp. 273-289.
3. Cachin C. An information-theoretic model for steganography. Proc. 2nd Intern. Workshop on Inform. Hiding, 1998. LNCS, Vol. 1525. Pp. 306-318.
4. Pfitzmann B. Information hiding terminology. Proc. 1st Intern. Workshop on Inform. Hiding, 1996. LNCS, Vol. 1174. Pp. 347-350.
5. Z'ollner J., Federrath H., Klimant H., Pfitzmann A., Piotraschke R., Westfeld A., Wicke G., Wolf G. Modeling the security of steganographic systems. Proc. 2nd Intern. Workshop on Inform. Hiding, 1998. LNCS, Vol. 1525. Pp. 344-354.
6. Varnovskij N. P. O teoretiko-slozhnostnom podhode k opredeleniju stojkosti steganograficheskih sistem [O teoretiko-slozhnostnom podhode k opredeleniju stojkosti steganograficheskih sistem]. Sbornik trudov 4-oj mezhdunarodnojkonferencii "Diskretnye modeli v teorii upravljajushhih system" [Proceedings of the 4th international conference "Discrete models in the theory of control systems", July 19-25, 2000]. Moscow: MAKS Press, 2000. Pp. 15-16. (In Rus)
7. Anderson R. Stretching the limits of steganography. Proc. 1st Intern. Workshop on Inform. Hiding, 1996. LNCS, Vol. 1174. Pp. 39-48.
8. Burenin A. N., Legkov K. E., Orkin V. V. Incident Management in ensuring the security of information subsystems of automated control systems for complex organizational and technical objects. Infocommunication technologies. 2018. Vol. 16. No. 1. Pp. 122-131. (In Rus)
9. Legkov K. E. Approaches to development of the concept of implementation of military multimedia systems. H&ESResearch. 2011. Vol. 3. No.2. Pp. 13-15. (In Rus)
10. Myasnikova A. I., Legkov K. E. Analysis of technologies of high speed broadband wireless access. H&ES Research. 2009. Vol. 1 No. 1. Pp. 34-37. (In Rus)
