CC BY
69
УДК 004.056.053
ПОСТРОЕНИЕ МОДЕЛИ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ АППАРТАНО-ПРОГРАММНОГО КОМПЛЕКСА «БЕЗОПАСНЫЙ ГОРОД»
А.А. Лосева1, А.В. Андреев2
ФГАОУ ВО «Санкт-Петербургский политехнический университет Петра Великого»
195251, Санкт-Петербург, ул. Политехническая, 29
В статье применяется теория множеств для построения модели угроз информационной безопасности аппаратно-программного комплекса «Безопасный город» с применением теории множеств, в которой учитываются внутрисегментные и межсегментные вторжения злоумышленников.
Ключевые слова: модель угроз, информационная безопасность, противодействие терроризму.
THE DEVELOPMENT OF THE MODEL OF INFORMATION SECURITY THREATS OF THE HARDWARE-SOFTWARE SYSTEM "SAFE CITY"
A.A. Loseva, A.V. Andreev
The article deals with description of the model of information security threats of the hardwaresoftware system «safe city» from the position of set theory, given the inside-and inter-segment intrusion of attackers.
Keywords: model of the treats, information security, counteraction to terrorism.
В настоящее время одной из важнейших задач является повышение общего уровня общественной безопасности, правопорядка и безопасности среды обитания. Одним из направлений решения задачи может быть существенное улучшение координации деятельности соответствующих сил и служб, путем внедрения на базе муниципальных образований комплексной информационной системы, обеспечивающей мониторинг, прогнозирование, предупреждение и ликвидацию возможных угроз, а также контроль устранения последствий чрезвычайных ситуаций и правонарушений. Для решения данного комплекса задач разработан аппаратно-программный комплекс (АПК) «Безопасный город». Рассмотрим модель угроз информационной безопасности комплексной автоматизированной интеллектуальной системы «Безопасный город» с позиции теории множеств, учитывая вторжения злоумышленников.
Аппаратно-программный комплекс
(АПК) «Безопасный город» представляет собой территориально-распределенную систему безопасности, состоящую из множества необходимых подсистем функционирования. Некоторые подсистемы отличаются своей внутренней инфраструктурой, наличием собственных систем управления базами данных, интеллектуальными средствами поддержки и распознавания образов. Многие из них являются самостоятельными информационными системами, автоматизирующими процессы обработки, хранения и передачи данных как через открытые информационные сегменты единой информационно-
телекоммуникационной системы, так и через сегменты ограниченного распространения, доступ к которым осуществляется посредством удаленного подключения субъектов к выделенным им информационным ресурсам.
Необходимость создания требуемой системы защиты информации обусловлена такими факторами, как разнородность программно-аппаратного обеспечения подсистем, большое количество неоднозначно классифицируемых данных (признаков атак), получаемых от сетевых и хостовых сенсоров, сложность оценки событий информационной безопасности, возможные реализации угроз безопасности информации через обнаруживаемые злоумышленником уязвимости. Описание угроз безопасности, построение их модели позволяет адекватно оценить уровень опасности и предложить необходимую архитектуру подсистемы защиты информации АПК «Безопасный город».
В данной статье для построения такой модели проведем анализ угроз, направленных на информационные ресурсы подсистем АПК, учитывая данные, получаемые сенсорами маршрутизаторов, коммутаторов и межсетевых экранов.
В настоящее время подавляющее число угроз информационной безопасности принципиально могут быть реализованы только в процессе функционирования информационных систем, при этом логическое вторжение является наиболее результативным для злоумышленника. Логическое вторжение обычно делится на внутрисистемное и удаленное. При внутрисистемном вторжении предполагается, что нарушитель уже
Лосева Анастасия Андреевна - студентка Санкт-Петербургского политехнического университета, тел: +7 952 369 88 79, e-mail: [email protected]
Андреев Андрей Викторович - кандидат военных наук, доцент высшей щколы техносферной безопасности Санкт-Петербургского политехнического университета, тел.:+7 (812) 297 58 98, e-mail:[email protected]
А.А. Лосева, А.В. Андреев
имеет учетную запись в системе как пользователь с невысокими привилегиями и совершает атаку на систему для получения дополнительных привилегий. Удаленное вторжение заключается в попытке проникновения в систему с удаленной машины (хоста) участников информационного обмена сети. Это атаки, выполняемые при постоянном участии человека, и атаки, выполняемые специальными программами: атаки на информацию, хранящуюся на внешних запоминающих устройствах, атаки на информацию, передаваемую по линиям связи, атаки на информацию, обрабатываемую в памяти компьютера.
Основной целью практически любой атаки при реализации угрозы является получение несанкционированного доступа к информации.
Для описания угрозы, представляющей собой канал несанкционированного доступа (реализация сетевой атаки, деструктивные воздействия вредоносных программ, инсайдерские атаки), необходимо указать субъект доступа, путь распространения угрозы и информационный объект, к которому осуществляется несанкционированный доступ, нарушающий правила разграничения. Такая угроза может быть описана кортежем:
и = {Б ,К ,БС ,Бх ,П,ИО(С)>, (1) где: S - источник угрозы, т.е. субъект доступа (пользователь (инсайдер), внешний злоумышленник или запущенные ими процессы);
К - оборудование в канале связи (коммутаторы, маршрутизаторы и др.);
Бс, Бх — сервисы безопасности на пути распространения угрозы, соответственно, сетевые и хостовые;
П - протоколы и пакеты;
ИО - информационный объект доступа (в конкретном сетевом сегменте ограничения С).
В соответствии с рекомендуемыми принципами построения архитектуры безопасности сети задается три категории ограничения информации: открытая, конфиденциальная и секретная. Тогда множество информационных объектов ИО (информационные ресурсы конфиденциального, секретного и открытого контуров) в сети представляет собой объединение множеств:
ИО = ИОои ИОк и ИОс, (2)
где ИОо - множество информационных объектов категории «открыто»;
ИОк - множество информационных объектов категории «конфиденциально»;
ИОс - множество информационных объектов категории «секретно».
Множество сегментов сети С также представляет собой объединение множеств:
С = С°иСкиСс, (3)
где С°, Ск , Сс - подмножества сегментов, в которых хранится и обрабатывается информация, соответственно, с открытым, конфиденциальным и секретным уровнем ограничения;
Со ={с0 е[1,К]}, (4)
где K - число сегментов, в которых хранится и обрабатывается информация категории «открыто»;
Ск ={ск е[1Л]}, (5)
где: N - число сегментов, в которых хранится и обрабатывается информация категории «конфиденциально»;
Сс = {ссе[1,М ]}, (6)
где: М - число сегментов, в которых хранится и обрабатывается информация категории «секретно».
Множество субъектов доступа, внешних или внутренних, можно рассматривать как источники угроз, под которыми понимается атакующая программа или пользователь, непосредственно осуществляющий воздействие на сетевой сегмент информационной инфраструктуры АПК «Безопасный город». По расположению субъекта доступа относительно атакуемого объекта угрозы подразделяются на внешние и внутренние (внутрисегментные и межсегментные).
Внешние угрозы — это потенциально возможные действия, заключающиеся в поиске и использовании той или иной уязвимости, предпринимаемые: злоумышленником в целях проникновения с удаленного хоста в защищаемую систему, получения прав на удаленный доступ к ресурсам подсистем АПК и хищения данных; удаленным пользователем, имеющим легальные права, пытающимся превысить уровень своих полномочий.
Внутренние угрозы связаны с нарушением принятой политики безопасности: нелегальным поведением пользователя на хосте (ПК или сервере), попытками доступа пользователя к информационным ресурсам, уровень ограничения которых превышает его уровень доступа (попытки сетевых соединений, запуска приложений, реализации запросов к СУБД).
Множество угроз включает в себя подмножества внешних и внутренних угроз:
U = ^^внеш (10)
В свою очередь, подмножество внутренних угроз включает в себя подмножества
ивн тт вн m(l) и Цт1(к) , где
Ц^Г = {Б к,К ,Бс ,Бх ,П,ИОс(Сс)> (11) Здесь Цт(1)вн - угроза информационным объектам категории ограничения «секретно»
(ИОс) в случае, когда нарушитель имеет учетную запись в системе как пользователь с правами доступа к информации с уровнем ограничения «конфиденциально» (Бк), обрабатываемой в сегментах с ограничением «конфиденциально» или «открыто» и пытается превысить свои привилегии
Цт(1)вн = {Б К , Бс , Бх , П, ИОк(Ск) е ИОс (Сс) > 12)
Угроза информационным объектам категории ограничения «секретно» (ИОс) и «конфиденциально» (ИОк) в случае, когда нарушитель имеет учетную запись в системе как пользователь с правами доступа к «открытой» информации (Б0), обрабатываемой в сегментах сети с
70
СПбГЭУ
Построение модели угроз информационной безопасности аппартано-программного комплекса
«открытым» доступом и пытается превысить свои привилегии.
Внешняя угроза связана с внешним субъектом доступа и описывается кортежем:
ивнш = внш,К ,Бс ,БХ ,П,ИО(С) (13) Таким образом, получено описание угроз безопасности исследуемого объекта, при этом источниками внутренних угроз являются субъекты и процессы, описываемые множествами 8к, 8°, источниками внешних угроз — субъекты и процессы, описываемые множеством 8внш .
Множество внешних субъектов доступа -это объединение множеств
§вНШ=5П внш ^ Б внш е [1; (14)
где внш - внешние пользователи, обла-
дающие правами доступа (авторизованные удаленные участники информационного обмена);
внш - внешние пользователи, обладающие возможностью несанкционированного доступа (неавторизованные участники информационного обмена других сегментов ЕИТКС ОВД);
Я - число точек доступа через периметр сети АПК (совокупность инфокоммуникацион-ного оборудования, заключенная в единое кольцо информационного обмена локальной сети и имеющая доступ во внешние сети к другим контурам ЕИТКС ОВД).
Введем множество функциональных индикаторов И - значений контролируемых параметров, с помощью которых фиксируются отдельные события информационной безопасности. Функциональные индикаторы отражают результаты контроля: изменений правил МСЭ; соответствия настроек других сервисов безопасности политике безопасности; изменений привилегий пользователей; системных вызовов; попыток доступа; состояния соединений.
Поскольку одним из эффективных способов идентифицировать угрозу (атаку) является анализ комбинаций поведений, предлагается сопоставить множеству возможных путей распространения атаки множество индикаторов. Тогда признак того, что подозрительная активность является угрозой, может быть оценен числом индикаторов на пути распространения атаки. Для идентификации внутренних атак предлагается использовать два типа индикаторов: системные и сетевые (хостовые), для идентификации внешних вторжений дополнительно использовать индикаторы, отображающие аномальные события на периметре сети АПК.
Зададим множество путей распространения атак :
1Р = + + 0е Где , , 0е - число путей распространения атак к узлам в сегментах, в которых хранится и обрабатывается информация с уровнем ограничения, соответственно «открытая», «конфиденциальная», «секретная».
Множество индикаторов является объединением подмножеств:
И=Ик0^Ис0 иИпер (17) где Ик0 - подмножество индикаторов, фиксирующих попытки доступа субъекта с «открытым» уровнем доступа к объекту с уровнем ограничения «конфиденциально»;
Щ - подмножество индикаторов, фиксирующих попытку доступа субъекта с «открытым» уровнем доступа к объекту с уровнем ограничения «секретно»;
Ипер - подмножество индикаторов, фиксирующих попытки проникновения на периметре.
Заданное множество индикаторов и путей распространения атак позволяет внести дополнительные экспертные знания о количестве событий информационной безопасности в систему построения нечетких продукционных правил.
Предложенное описание модели угроз показывает основные элементы канала несанкционированного доступа к информации, циркулирующей на разных уровнях сетевого инфо-коммуникационного взаимодействия, учитывающего показания индикаторов событий информационной безопасности от маршрутизаторов, межсетевых экранов, систем обнаружения аномалий и вторжений. Обозначается подход для создания модели системы защиты информации АПК «Безопасный город».
Таким образом, приведено формализованное построение угроз безопасности АПК «Безопасный город» с позиции теории множеств с учетом сложности, неоднозначности (нечеткости), неопределенности оценки событий информационной безопасности в условиях информационного противоборства. Такое описание является математической основой построения моделей трудно формализуемых процессов информационного противоборства.
Литература
1. Дунин Вадим Сергеевич, Хохлов Николай Степанович Модель угроз информационной безопасности комплексной автоматизированной интеллектуальной системы «Безопасный город» // Вестник ВИ МВД России. 2011. №4. URL: https://cyberleninka.ru/article/n/model-ugroz-informatsionnoy-bezopasnosti-kompleksnoy-avtomatizirovannoy-intellektualnoy-sistemy-bezopasnyy-gorod (дата обращения: 18.03.2018).
2. Распоряжение Правительства Российской Федерации от 3 декабря 2014 г. № 2446-р
3. М.А. Шнепс-Шнеппе, С.П. Селезнев, Д.Е. Намиот, В.П. Куприяновский О телекоммуникационной инфраструктуре комплекса «Безопасный город» // International Journal of Open Information Technologies. 2016. №6. URL: https://cyberleninka.ru/article/n/o-telekommunikatsionnoy-infrastrukture-kompleksa-bezopasnyy-gorod (дата обращения: 18.03.2018).
4. Методические рекомендации по построению и развитию АПК "Безопасный город" в субъектах РФ
5. Единые требования к техническим параметрам сегментов аппаратно-программного комплекса «Безопасный город».
