Статистический анализ рисков информационной безопасности в автоматизированных системах Текст научной статьи по специальности «Компьютерные и информационные науки»

А. П. Мазуренко,

магистр 2 года обучения Института физики К(П)ФУ

СТАТИСТИЧЕСКИЙ АНАЛИЗ РИСКОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ

i

В статье рассматриваются прикладные методы анализа рисков информационной безопасности в автоматизированных системах на основе систем уравнений Колмогорова. Рассматриваемые подходы позволяют проводить статистический анализ протекающих в автоматизированных системах процессов, могут быть применены в создании экспертных систем и в целях прогнозирования возможных атак и зон ненадежности.

Ключевые слова: информационная безопасность, анализ рисков, уравнения Колмогорова, экспертная система.

The article considers the applied methods of analysis of risks of information security in automated systems on the basis of systems of equations of Kolmogorov. The considered approaches allow to carry out statistical analysis taking place in the automated systems of processes that can be applied in the creation of expert systems and to predict the possible attacks and zones of insecurity.

Keywords: information security, risk analysis, equations of Kolmogorov, expert system.

Современные условия функционирования систем защиты информации предполагают чрезвычайно динамичное развитие и высокую скорость реакции на возникновение и изменение внешних угроз. Для выполнения данной задачи активно используются различные экспертные системы.

Перспективным механизмом для реализации таких систем нам представляется вероятностный анализ процессов, протекающих в автоматизированной системе. Некоторые возможные реализации вероятностных моделей изолированных автоматизированных систем, а также анализ марковских процессов в этих системах с помощью формирования графа спонтанных переходов и построения на основе них системы уравнений Колмогорова рассматривались в некоторых работах [1]. Перспективным в практическом смысле развитием этой идеи представляется более подробное рассмотрение автоматизированной системы с описанием ее составных частей и влияния выхода из строя одних из них на

надежность функционирования других и системы в целом, а также рассмотрением самого процесса реализации атаки на автоматизированную систему. Рассмотрение состава современных систем защиты информации не является предметом данной статьи, поэтому в рамках данной работы будем считать, что система защиты информации состоит из трех простых элементов (для примера рассматривается система из антивирусной системы, межсетевого экрана и системы шифрования критических данных). На этапе разработки модели такой подход позволит упростить теоретические выкладки без ограничения общности решаемой задачи. Добавление или исключение элементов системы защиты информации может производиться итеративно, тем же способом, что построение описываемой системы.

Процесс развития атаки на автоматизированную систему можно представить в виде трехдольного графа (рис. 1).

Рис. 1. Процесс развития атаки на автоматизированную систему.

Таким образом, автоматизированная система обладает набором полезных ресурсов, используемых в ходе ее функционирования. Система защиты информации обладает набором возможных уязвимо-стей, через которые реализуются некоторые возможные угрозы. Задача злоумышленника, осуществляющего атаку - обнаружить и реализовать угрозу через доступную уязвимость и, в результате, повредить или захватить какие-либо ресурсы автоматизированной системы, тем самым нарушив ее функционирование.

Серьезной проблемой применяемых на практике статистических моделей является необходимость набора статистики функционирования системы. Чем больше и полнее накопленный объем статистических данных, тем точнее может быть дан прогноз.

Типичными условиями применения экспертных систем на основе вероятностного анализа процессов можно считать их применение к уже функционирующей системе, статистика по которой, как правило, ограничивается логами систем защиты информации и журналом инцидентов. Экспертные методы позволяют частично исключить присутствующие в данных источниках ошибки первого и второго рода и получить пригодные для первичной оценки данные. Точность таких методов, ввиду субъективности, невелика, однако она может быть несколько повышена при декомпозиции и, следовательно, упрощении задачи. При построении нашей модели мы ограничимся частью графа, приведенного на рис. 1, приходящей к единственному ресурсу автоматизированной системы. Такое выделение

элементов позволит проанализировать вероятность выхода из строя одного из ресурсов автоматизированной системы, при этом общность решаемой системы не нарушается: для остальных ресурсов анализ может быть повторен.

Прямое описание угроз и уязвимостей реальной системы чрезвычайно сложно реализовать, поскольку их статистику, как правило, значительно сложнее восстановить, чем статистику инцидентов. В связи с этим мы не будем производить попыток формализовать угрозы и уязвимости для анализируемой системы в общем виде, ограничившись описанием состояний, вызванных нарушением работоспособности элементов системы защиты информации или их группы. Такой подход позволит максимально упростить восстановление статистики и интерпретацию результатов для реальной системы, сохраняя возможность анализа сложных систем и многоступенчатых атак.

Система, используемая в нашей модели, будет состоять из трех базовых состояний: Б0 - работа системы в нормальном режиме,

- система атакована, Б2 - работоспособность системы нарушена, исследованный ресурс поврежден или захвачен. Кроме того, в системе присутствуют до

N

I

к=1

N1

к\ (Ы — к)\

(1)

состояний нарушенной работоспособности [2], где N - число рассматриваемых элементов системы защиты. Для нашего слу-

чая (3 элемента) таких состояний может быть до семи, обозначим их 8ш,..л, где индексами обозначены антивирусная система (индекс 1), межсетевой экран (индекс 2) и система шифрования (индекс 3) критических данных. В данных состояниях часть элементов системы (с номерами, соответствующими индексам 1,...1) защиты неработоспособна или захвачена.

При таком подходе атака развивается следующим образом: злоумышленник атакует нормально функционирующую систему, и она переходит в атакованное состояние, результатом атаки может быть

нарушение функционирования системы, то есть повреждение выбранного ресурса или нарушение работоспособности одного или нескольких элементов системы защиты информации, через которые уже осуществляется дальнейшее развитие атаки (многоступенчатая атака).

Для рассматриваемой системы возможны переходы из в Бн1, Бн2, Бн3 и Бн12, из Бн1 в Бн12 и Б1, из Бн2 в Бн12 и и сложное состояние Бн12. Граф состояний такой системы приведен на рис. 2.

Уравнения Колмогорова [3] для данной системы примут следующий вид (4):

Ро = Ко • Ра(0 + \2,0 • Ру2(0 - • Ро(0 (21)

Р± = ' РоШ + • РН1 со+К2-1 • рн2а)+Кз-,± • рн3 (0 + ^н12:1 ' Рн12 (0 (2.2)

— + + ^1;н2 + ^1;нЗ + ^1;н12 + ^1;у2) ' РаС^)

Рщ = ^н12;н1 ' Рн1г(^) + ' СО _ (Лн1;н2 + ^н1;н12 + ^н1;у1) ' Рн1(0 (2 3)

Р»2 = ^н12;к2 ' Рн12(0 + ' СО _ (Лн2;н1 + ^н2;н12 + ^н2;1) ' Рнг(0 (2 4)

Р„3 = 4*3 * ?1(0 - ОнЗ;1 + ^3;у2) • РНЗ(0 (2 5)

Рц 12 = ^н1;к12 ' Р„1(0 + ^н2;н12 ' Р«г(0 _ (Лн12;н1 + ^н12;н2 + ^н12;1 + ^н12;уг) (2 6)

• Рн12(0

Ру2 = К1-,у2 • Р„1(0 + К2-,у2 * Р«2(0 + Кз;У2 ' Р„з(0 + ' Р„12С0 + К,у2 ' Р^О (2 7) - ^у2;0 * Ру2(0

Для характерных для практических систем чисел результирующие функции могут иметь такой вид (см. рис.3).

На графике рис. 3 по оси абсцисс отложено время, по оси ординат - вероятности, линиями обозначены: сплошная черная -Б0, точечная черная - точка-пунктирная черная - Бн1, пунктирная черная - Бн2, сплошная серая - Бн3, пунктирная серая -Бн12, точка-пунктирная серая - Бу2. Полученные кривые наглядно демонстрируют процессы, которые будут протекать в системе. После приблизительно двух недель ее работы вероятности падения антиви-

русной системы или межсетевого экрана весьма велики, вероятность падения их обеих или системы шифрования - значительно меньше. Вероятность повреждения исследуемого ресурса имеет пик в районе десятого дня, но, в целом, имеет небольшую величину.

Таким образом, такой подход позволяет численно охарактеризовать устойчивость автоматизированной системы и системы защиты в ее составе поэлементно на основе статистических данных о них, не прибегая к чрезмерно сложным вычислениям.

ЛИТЕРАТУРА

1. Иванов К. В. Оптимизация процессов восстановления автоматизированной системы после сбоев// Инфокоммуникационные технологии глобального информационного общества. М., 2005. С. 90.

2. Гихман И. И., Скороход А. В. Теория случайных процессов, Том 1. М.: Наука, 1971. 664 с.

3. Гнеденко Б. В. Курс теории вероятностей. М.: Едиториал УРСС, 2005. 448 с.