CC BY
159
МЕТОДЫ И СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ
УДК 34.03:004.056.5
МАТЕМАТИЧЕСКИЕ МОДЕЛИ ОЦЕНКИ ИНФРАСТРУКТУРЫ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ НА ПРЕДПРИЯТИИ Ю.А. Гатчин, И.О. Жаринов, А.Г. Коробейников
Рассматриваются математические основы проектирования инфраструктуры системы защиты информации на предприятиях. Приводятся математические модели минимизации затрат на построение инфраструктуры системы защиты информации и максимизации уровня защищенности информационных активов предприятия, а также результаты их практического использования.
Ключевые слова: защита информации, математические модели.
Введение
Современные промышленные предприятия осуществляют выпуск сложной продукции, интеллектуальной составляющей которой является новое научно-техническое знание (ноу-хау), подлежащее информационной защите. Помимо ноу-хау, защита на предприятиях должна осуществляться в отношении коммерческой, банковской, медицинской, государственной и других видов информации (бизнес-операций) в зависимости от сферы деятельности конкретного предприятия.
Модели, методы и средства защиты информации (ЗИ), используемые на предприятиях, различны и, как правило, выбираются в результате решения одной из задач вида (S ^ min, Я > Ядоп) или
(Я ^ max,S < S^}, где S - затраты на разработку, внедрение и сопровождение системы ЗИ на предприятии; R - уровень защиты, обеспечиваемый выбранным вариантом системы ЗИ; S - допустимая стоимость системы ЗИ на предприятии; Ядоп - допустимый уровень качества системы ЗИ в целом. Обе
задачи математически эквивалентны и могут быть решены методами многокритериальной оптимизации. Традиционно в задачах многокритериальной оптимизации используется подход [1] на основе формирования множества Парето-оптимальных проектных решений по построению системы ЗИ, который, к сожалению, имеет ограниченное практическое применение, обусловленное значительной размерностью получаемого множества недоминирующих решений и неразрешенностью компромисса при допустимых значениях параметров {S, Я}. Для решения задачи проектирования инфраструктуры системы ЗИ предлагается использовать метод последовательных уступок [2], в котором выделяется ряд частных показателей качества ЗИ, имеющих превосходство над остальными показателями, переводимыми в разряд ограничений.
Модель минимизации затрат на построение инфраструктуры ЗИ
Пусть xtj = 1, если i-е средство ЗИ разработчик выбирает для защиты j-го информационного актива предприятия, и хij = 0 - в противном случае (при этом допускается, что i-е средство используется для защиты от i-ой угрозы). Требуется минимизировать затраты вида
S = ^^SjXj+^Siyi ^ min
iel jeJ iel
при соблюдении следующих граничных условий:
X]LVjXj > Яш, X ху = 1, Vj e J , X «j = 1, Xj e{ 0; 1} , y e{0;l} ,
iel jeJ iel jeJ
где Sj - затраты на защиту j-го информационного актива i-м средством; Si - затраты, общие для всех информационных активов, на защиту i-м средством; I - множество средств ЗИ на предприятии; J - множество защищаемых информационных активов; rij - оценка качества защиты i-м средством j-го информационного актива (частный коэффициент защищенности, показывающий, какая часть атак угрозы i-го вида отражается); « - весовой коэффициент j-го информационного актива в общей оценке качества ЗИ; yi - булева переменная, принимающая значение «1», если i-е средство ЗИ может быть использовано в системе защиты, и «0» в противном случае, причем i-е средство защиты в системе может быть использовано только один раз.
Модель максимизации уровня защищенности информационных активов предприятия
Модель максимизации уровня защищенности описывает двойственную задачу по отношению к модели минимизации затрат. В этом случае ограничение на уровень качества ЗИ становится критерием, а
9
Ю.А. Гатчин, И.О. Жаринов, А.Г. Коробейников
критерии - ограничением:
R = У У airiixii ^ max .
¿—t ¿—t j IJ V
IeI JeJ
Таким образом, в данной модели требуется максимизировать уровень R качества ЗИ при соблюдении следующих граничных условий:
S = У VSjXj +У Sy < ^ДоП, У Xj = 1, VJ e J , Xj E {0;1}, y E {0;i} .
IeI JeJ IeI IeI
При построении оценки интегрального уровня R защищенности информации на предприятии принята единая схема расчета коэффициентов защищенности отдельных бизнес-процессов R^ предприятия:
У Pb У V* (1 - r)
r = 1 — bEB IeN*_
б-п У Рь У1 л '
bEB IeN*
где Nb - количество наиболее вероятных информационных угроз для Ь-ой бизнес-операции на предприятии; r i - коэффициент защищенности от i-ой угрозы; Xь - интенсивность потока атак i-го вида угроз на Ь-ую бизнес-операцию (IeN*), для igNb, X ib=0; tb - время выполнения Ь-ой бизнес-операции; B - количество бизнес-операций в бизнес-процессе предприятия; рь - вероятность выполнения бизнес-операции Ь в общем бизнес-процессе.
Сравнение вариантов построения структур систем ЗИ на предприятиях
Сравнение вариантов построения структур систем ЗИ на предприятиях основано на анализе многопараметрического критерия, зависящего от ряда частных показателей качества работы системы ЗИ.
Как следует из исходной задачи оптимизации ^S ^ min,R > R^} или ^R ^ max,S < S^}, основанием для вывода об абсолютном превосходстве одних показателей над другими служит степень различия отдельных показателей по важности, при которой сравнение оценок вариантов построения системы ЗИ осуществляется только по самому важному показателю без учета остальных, затем только по второму показателю и т.д. В общем виде задача оптимизации эквивалентна задаче нахождения условного экстремума основного критерия:
F = arg { min J %11 min {% j }< % j < max {% j },i = 1,2,..., c}},
F = arg{{{%21min{%2} < %2 < max{%2},i = 1,2,...,c}} ,
F = arg {min J H {%j }< %j < max {%j}, i = 1,2,..., c}},
где {, %2,...,%?} - частные показатели качества системы ЗИ; N - общее число вариантов проектных решений по выбору системы ЗИ.
Информация об абсолютном превосходстве определенных показателей позволяет проранжировать
lex lex lex
возможные варианты F1 > F2 >... > F? с использованием процедуры лексикографической оценки. Реализация этой процедуры предусматривает декомпозицию исходной многомерной задачи оценки методом последовательных уступок в определенную последовательность задач (стратегию) оценки по иерархически упорядоченным скалярным показателям {%1, %2,..., } .
Таким образом, предполагается, что первый показатель %1 важнее второго % 2, второй % 2 - третьего %3, и т.д. до %z, так что GF з F1 з F2 з.... з F?, при условии F ^ 0 , т.е. каждый последующий частный показатель сужает множество GF проектных решений, получаемых с помощью всех предыдущих
показателей. Это означает, что если в исходной задаче оптимизации с одним скалярным показателем имеется несколько решений и для дальнейшего выбора последовательно применяются дополнительные показатели, то получаемые в результате стратегии решения будут оптимальными для соответствующей лексикографической задачи с векторным показателем, состоящим из всех этих поочередно рассматриваемых показателей. Очевидно, для принятой модели минимизации затрат решающее правило по выбору конкретного варианта структуры системы ЗИ имеет вид
i = arg mm {R > R^ }.
i
Аналогично в модели максимизации уровня защищенности решающее правило по выбору конкретного варианта структуры системы ЗИ имеет вид
i = argmax{r\s, <£доп}.
Оценка значения величины £ не вызывает затруднений и определяется финансовой состоятельностью предприятия и рисками (ущербом) от реализации атак на инфраструктуру ЗИ. Оценка значения уровня Я может быть определена из шкалы предпочтений, представленной в табл. 1.
Значение показателя Ядоп , усл. ед. Характеристика состояния системы информационной безопасности предприятия
Менее 0,50 Слабая защита Блокируется несущественная часть атак. Потери очень значительны. Фирма за короткий период (до года) теряет положение на рынке. Для восстановления положения требуются крупные финансовые займы
0,51-0,75 Средняя защита Неотраженные информационные атаки приводят к значительным потерям положения фирмы на рынке и в прибыли. Фирма теряет существенную часть клиентов
0,76-0,87 Повышенная защита Блокируется значительная часть атак. Финансовые операции не ведутся в течение некоторого времени, за это время фирма терпит убытки, но ее положение на рынке и количество клиентов изменяются незначительно
0,88-0,95 Сильная защита Ущерб от реализации информационных атак не затрагивает положение фирмы на рынке и не приводит к нарушению финансовых операций
0,96-0,98 Очень сильная защита Раскрытие информации и реализация информационной атаки принесут ничтожный экономический ущерб фирме
0,99-0,99999... Особая защита Отражаются практически все информационные атаки, ущерб фирме минимален или отсутствует
Таблица 1. Классификация значений комплексного показателя информационной защищенности
Экспериментальная проверка моделей построения инфраструктуры системы ЗИ
Для апробации на практике моделей построения инфраструктуры системы ЗИ была проведена серия экспериментов. Анализу подлежали различные варианты проектных решений по выбору системы ЗИ, представленные в табл. 2.
Вариант системы ЗИ Состав системы ЗИ Значение показателя S, усл. ед. Значение показателя R, усл. ед.
Видеокамеры слежения
1 Датчики разбития стекла 87 0,73
Охрана
Firewall глобальной сети
Электромагнитная защита
2 Смарт-карты разграничения доступа по помещениям 121 0,71
Охрана
Таблица 2. Варианты систем ЗИ на предприятии
Как следует из табл. 2, построение системы ЗИ по варианту 1 оказывается удовлетворительным на основе модели минимизации затрат на построение инфраструктуры системы ЗИ при условии 0,51 < Я < 0,75 (средняя защита). Вариант 2 в этом случае оказывается также удовлетворительным по критерию 0,51 < Я < 0,75 , однако является экономически более затратным. Не трудно видеть, что при использовании модели максимизации уровня защищенности предпочтительным является также вариант 1 построения системы ЗИ. Перспективно объединение составов обоих вариантов систем защиты информации.
Заключение
Предлагаемая методика и математические модели расчета показателей качества работы системы защиты информации на предприятии позволяют для произвольно выбранного числа компонентов и сложности структуры системы защиты информации осуществлять оценку эффективности ее использования для парирования информационных угроз.
И.А. Зикратов, Р.С. Василенко
Модели учитывают вероятностную природу угроз и систему бинарных правил специализации каждого средства защиты для соответствующего вида угрозы. Табулированная шкала предпочтений по уровню показателя защищенности предприятия позволяет оценивать приемлемое для конкретного предприятия качество защиты.
Проблема выбора при многопараметрическом критерии разрешена методом лексикографической оценки для основного критерия и системой ограничений для второстепенных. Варианты проектных решений по выбору системы защиты информации могут быть ранжированы в кортеж по предпочтениям от наиболее предпочтительного до наименее предпочтительного, но приемлемого.
Литература
1. Ногин В.Д. Проблема сужения множества Парето: подходы к решению // Искусственный интеллект и принятие решений. - 2008. - № 1. - С. 98-112.
2. Троников И.Б. Методы оценки информационной безопасности предприятия на основе процессного подхода: дисс. канд. техн. наук ... по спец. 05.13.19. - СПб: СПбГУ ИТМО, 2010. - 134 с.
Гатчин Юрий Арменакович - Санкт-Петербургский национальный исследовательский университет
информационных технологий, механики и оптики, доктор технических наук, профессор, зав. кафедрой, [email protected] Жаринов Игорь Олегович - ФГУП «СПб ОКБ «Электоавтоматика» имени П. А. Ефимова», док-
тор технических наук, доцент, начальник отдела, [email protected]
Коробейников Анатолий Григорьевич - Санкт-Петербургский национальный исследовательский университет
информационных технологий, механики и оптики, доктор технических наук, профессор, [email protected]
УДК 004.056
ПОИСК ВРЕДОНОСНЫХ ПРОГРАММ НА ОСНОВЕ АНАЛИЗА ПРОЦЕССА РАСПРОСТРАНЕНИЯ И.А. Зикратов, Р.С. Василенко Публикуется в порядке дискуссии
Определены основные проблемы традиционных методов обнаружения вредоносного программного обеспечения, основанных на обновлении антивирусных баз. Рассмотрены альтернативные методы, основанные на облачных вычислениях. Предложен новый метод обнаружения на основе анализа процесса распространения неизвестного программного обеспечения.
Ключевые слова: вредоносные программы, процесс распространения, репутационные сервисы.
Введение
Из отчетов ведущих антивирусных компаний за 2010-2011 г.г. [1-4] следует, что, помимо увеличения общего количества вредоносных программ, постоянно увеличиваются темпы появления нового вредоносного программного обеспечения (ПО). Практически все существующие технологии антивирусных продуктов, так или иначе, используют антивирусные базы на стороне пользователя, отсюда возникает проблема своевременного выпуска обновлений пользователям. Деятельность антивирусных компаний по выпуску обновлений антивирусных баз можно условно разделить на следующие этапы [5]:
- поступление образца в антивирусную лабораторию;
- анализ образца (ручной или, что чаще, автоматический);
- создание обнаруживающей записи (эвристической или по бинарным маскам);
- тестирование записи;
- выпуск баз обновлений.
Алгоритмы, используемые антивирусными компаниями для решения данной задачи, являются закрытыми и, вероятно, разными для каждой компании, однако есть один общий факт - каждый этап занимает определенное время. В среднем с момента попадания образца в антивирусную лабораторию до выхода обновления проходит время t, которое обычно не меньше двух часов. С начала распространения вредоносной программы до момента ее обнаружения проходит от 5 до 98 часов [5, 6].
Обладая данной информацией, создатели вредоносных программ оптимизируют свои алгоритмы выпуска вредоносных программ таким образом, чтобы максимально понизить эффективность выпущенных обновлений. В худшем случае это приводит к тому, что выпущенная антивирусной компанией обнаруживающая запись оказывается бесполезной, так как вредоносный образец, который она обнаруживает, уже прекратил свое существование.
