Модель многошагового процесса подавления несанкционированных воздействий на информационные системы

Тип работы:
Реферат
Предмет:
Общие и комплексные проблемы технических и прикладных наук и отраслей народного хозяйства


Узнать стоимость

Детальная информация о работе

Выдержка из работы

УДК 004. 056. 53
О. Ю. Гаценко, С. В. Максимов
Военно-космическая академия им. А. Ф. Можайского Санкт-Петербург
МОДЕЛЬ МНОГОШАГОВОГО ПРОЦЕССА ПОДАВЛЕНИЯ НЕСАНКЦИОНИРОВАННЫХ ВОЗДЕЙСТВИЙ НА ИНФОРМАЦИОННЫЕ СИСТЕМЫ
Рассматривается процесс подавления несанкционированных воздействий на информационные системы, на каждом шаге которого осуществляется сбор информации о применяемом воздействии и выбирается способ его подавления. Предлагается модель процесса, позволяющая определить оптимальные моменты принятия решений по выбору способа применения средств защиты информации.
В настоящее время реализация возрастающих требований к защищенности информации в автоматизированных системах управления обусловливает необходимость совершенствования моделей процессов защиты информации. Модель процесса защиты с полным перекрытием и ряд других моделей [1], построенных на ее основе, не позволяют учесть динамику информационного противоборства. Использование таких моделей ограничивается в основном этапом проектирования систем защиты информации. Модели на основе игрового подхода [2, 3] снимают это ограничение, однако при их разработке предполагается, что подавление несанкционированных воздействий (НВ) на информационные системы происходит за один шаг. Такое предположение в общем случае не всегда справедливо. В настоящей статье предлагается модель многошагового процесса подавления НВ, которая описывает этот процесс более детально и позволяет решить задачу определения оптимальных моментов принятия решений по выбору способа применения средств защиты информации. Под Н В понимается воздействие, осуществляемое с нарушением установленных прав и/или правил доступа и приводящее к утечке, искажению или уничтожению информации, либо к блокированию доступа [4].
На каждом шаге процесса осуществляется сбор информации о примененном НВ, выбор способа его подавления и реализация этого способа. Сбор информации осуществляется путем анализа 1о§-файлов, проверки контрольных сумм системных файлов, проверки файлов на наличие сигнатур вирусов, проверки компонентов операционной системы на уязвимость и т. п. Такой анализ требует значительных временных затрат и не всегда дает однозначный ответ о примененном способе воздействия. Временных затрат требует и сам процесс подавления НВ.
Рассмотрим случай, когда точно идентифицировать способ НВ не удается: например, при использовании противоборствующей стороной неизвестных ранее методов воздействия и т. п. Принятие решений о выборе способа применения средств защиты информации в этом случае происходит в условиях риска, когда данные о способе НВ описываются вероятностными распределениями.
Целью процесса подавления НВ является перевод вычислительной системы из состояния е? (где? — множество возможных способов НВ, г = 1, т — номер используемого
противоборствующей стороной способа воздействия, т — количество рассматриваемых способов НВ) в состояние, при котором сохраняется целостность, доступность и конфиденциальность информации, -. Каждому способу НВ соответствует свой способ его подавления щ е N, где N — множество способов подавления воздействия. Переход ^ ?о осуще-
ствляется только при правильном определении способа воздействия, в остальных случаях состояние вычислительной системы не изменяется.
Дальнейшее рассмотрение процесса подавления НВ происходит при допущении о невозможности реализации очередного воздействия, в то время когда осуществляется подавление предыдущего. Такое допущение представляется оправданным, так как при подозрении об информационном воздействии на объект вычислительной системы принимаются дополнительные меры безопасности. Например, при подозрении о вирусном заражении объекта в качестве таких мер могут быть выбраны блокирование сетевого доступа к объекту, перезагрузка компьютера и запуск программы антивирусной проверки. Эти меры позволяют исключить возможность заражения других компьютеров, а также возможность реализации удаленных и локальных информационных воздействий на проверяемый объект в период проверки.
Принимая во внимание предыдущее допущение и учитывая, что вероятность реализации одновременно нескольких НВ мала, случаи подавления нескольких воздействий одновременно здесь не рассматриваются.
Исходными данными для определения оптимального времени принятия решений по выбору способа применения средств защиты являются зависимость Я (п, 1) времени, затрачиваемого на подавление НВ, от интервала времени, прошедшего с начала его реализации до начала процесса подавления, а также априорные вероятности) того, что вычислительная
система находится в состоянии. Эти вероятности в процессе сбора информации будут изменяться.
Граф смены состояний вычислительной системы представлен на рис. 1.
Рис. 1
Пусть в момент времени? нв вычислительная система подвергается НВ, после чего
осуществляется сбор информации об используемом способе воздействия, его идентификация и подавление.
Количество информации об НВ можно определить как уменьшение энтропии в результате изменения представлений о распределении вероятностей р^^) [5]. При этом энтропия определяется как
т
н = р (5)1 о§ 2 р (5).
/=1
Так как каждому НВ соответствует свой способ подавления, то в случае если подавить воздействие способом пу не удалось (- номер способа подавления воздействия), можно сделать
вывод о том, что противник реализует отличный от /-го способ НВ: 51, ^,…,, 5г+1,…, 5 т. Таким образом, количество информации о применяемом воздействии изменяется как в результате анализа признаков, по которым производится диагностика НВ, так и в результате неудачных попыток подавления воздействия. Максимальное количество неудачных попыток подавления определяется мощностью множества? .
Выбор способа подавления НВ на каждом шаге может осуществляться по одному из критериев принятия решений в условиях риска. На начальном этапе, когда информация о способе НВ отсутствует, целесообразно применить критерий Бернулли — Лапласа, полагая p (s1) = p (s2) = … = p (sn) = 1/m и выбирая способ подавления из условия
nj = arg min R (nj, t).
j=1… tn
При накоплении информации об НВ, когда становятся известны вероятности p (si), выбор способа подавления можно осуществлять по критерию Байеса:
nj = arg min R (nj, t) p (si). j=h"m
В случае когда вероятности p (st) известны, но получены на основании небольшого числа наблюдений, можно использовать критерий Ходжа — Лемана:
nj = a rg mn (uR (nj, t) p (st) + (1 — u) R (nj, t)),
j=h"m
где u e [0,1] - параметр достоверности информации о вероятностях p (st).
Рассчитаем зависимость среднего времени подавления воздействия гп от времени tz и,
в течение которого осуществлялся сбор информации о примененном НВ.
Вероятность подавления НВ с первой и со второй попыток определяется как
1 = p (S), P2 = i1 PiSk) m-,
Z p (sj) + Z p (sj) j=1 j=l+1
где l и k — номера выбранных способов подавления для первой и второй попыток соответственно (и т.д.).
Вероятностный процесс подавления НВ можно представить в следующем виде:
m-1
P + (1 — P1) P2 + … + П (1 — P) Pm.
j=1
Среднее время подавления НВ определяется выражением
ta (tс.и) = P1R1 +Z
i=1
П (1 — pj)
j=1
m
p Z R
j=1
(1)
гДе К = К (пЪ ?с. и), К] = К (п], Ч. и + К}-) ¦
Максимальное время подавления НВ, соответствующее случаю, когда выбор способа подавления приходится осуществлять при максимальной энтропии Н = - 1о§ 2/(ш — q +), где q — шаг процесса подавления, определяется как
СаХ = - К ±-К2 + ¦ ¦ ¦ + Кг-Х + Кш ,
т т — 2
где К = К (п, 0), К = Я (ъ, Кг-).
Для расчета? Л (?с и) по формуле () экстраполируем Н (?с и) на интервале? с и = [0, ?тах], а при расчете р используем вероятности), в качестве которых выберем любое из решений системы уравнений
P (si)log2 p (si) = H (to. и
i=1
(2)
Е Р (*) = 1.
1=1
Оптимальным моментом принятия решения по выбору способа подавления НВ будет
?с. и=o… tm
Рассмотрим следующий пример. Пусть т = 3, Н () = -1 og2(1 /3)(1 — ^/100), зависимость Я (п, ^) одинакова для всех НВ: Я (п, ^) = Я («2, ^) = Я (п, 1) = 100 + 0,05^. Выбор способа подавления на каждом шаге осуществлялся по критерию максимума априорной вероятности используемого воздействия.
Зависимость 1а (?с и), рассчитанная по формуле (1), представлена на рис. 2 (сплошная кривая), здесь же приведены результаты моделирования процесса подавления НВ, проведенного в системе МаШСас! 13.
Ь, мин
190
171
31
мин
Рис. 2
tu =& lt-
При моделировании использовались те же исходные данные. Время t изменялось от 0 до 100 мин с шагом 1 мин. Выбиралось одно из решений p (st) системы уравнений (2). Генерировалась случайная величина x, имеющая равномерное распределение с параметрами [0,1]. Критерием выбора способа подавления являлся максимум априорной вероятности НВ. Время подавления НВ определяется следующим образом:
t + R (n1, t) при x & lt- max (p (si)) —
i=1… 3
t + R (n2, t + R (t)) при x & lt- 1 — min (p (si)),
i=1… 3
t + R (n3, t + R (t + R (t))) при x & gt- 1 — min (p (si)).
i=1… 3
Для каждого значения t проводилось 500 экспериментов, и в качестве результата бралось среднее арифметическое времени диагностики и подавления НВ.
При известных исходных данных оптимальное время сбора информации о применен* _ *
ном НВ и = 31,3 мин, а среднее время подавления tH (tz и)=171 мин. В случае если принятие решения о выборе способа подавления НВ происходит только на основе априорных данных (при tz и = 0), то среднее время подавления гп (0) = 190 мин. Таким образом, выбор
0
t
26
В. В. Извозчикова, И. В. Матвейкин, И. Ю. Гатчин и др.
оптимального времени, отводимого на сбор информации об НВ, позволяет при заданных исходных данных уменьшить временные потери на подавление воздействия на %.
Итак, предложенная модель многошагового процесса подавления несанкционированных воздействий на информационные системы позволяет, с одной стороны, определить оптимальные моменты принятия решений по выбору способа применения средств защиты информации, а с другой — определить среднее время, необходимое для подавления воздействий, которое может быть использовано для расчета показателей защищенности информации.
СПИСОК ЛИТЕРАТУРЫ
Домарев В. В. Безопасность информационных технологий. Системный подход. Киев: ДиаСофт, 2004. 992 с.
2. Воробьев А. А. Игровые модели процессов защиты информации // Методы и технические средства обеспечения безопасности информации: Сб. докл. Респ. науч. -техн. конф. СПб.: Изд-во СПбГТУ, 995. С. 58−60.
3. Козлов В. Н., Нестеров С. А. Использование одношаговых конечных игровых моделей при анализе экономической эффективности средств защиты информации в автоматизированных системах // Безопасность информационных технологий. 200. № С. 29−3.
4. ГОСТ 5583–2000. Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. М.: Изд-во стандартов, 2000.
5. Шеннон К. Работы по теории информации и кибернетике: Пер. с англ. М.: Изд-во иностр. лит., 963. 829 с.
Рекомендована кафедрой Поступила в редакцию
моделирования и эффективности 06. 04. 07 г. применения космических систем и комплексов
УДК 681. 3−002. 51. 6
В. В. Извозчикова, И. В. Матвейкин
Оренбургский государственный университет
И. Ю. Гатчин, Н. А. Нестерова, И. Б. Тронников, В. А. Семенов
Санкт-Петербургский государственный университет информационных технологий, механики и оптики
КОНЦЕПТУАЛЬНАЯ МОДЕЛЬ УПРАВЛЕНИЯ ПРЕДПРИЯТИЕМ
Обсуждается проблема построения концептуальной схемы (информационной структуры) управления предприятием. Предлагается методика определения границ предметной области путем декомпозиции задач прогнозирования с последующей их обработкой.
Проектирование базы знаний любой экспертной системы предусматривает описание предметной области и формализацию ее модели. Разработка предметной области состоит из нескольких этапов, одним из которых является построение ее концептуальной схемы. В свою очередь, решение этой задачи сводится к определению границ самой предметной области, выделению объектов и их атрибутов, а также установлению фактов зависимости одних атрибутов от значений других [].
Разработка методики определения границ предметной области на основе декомпозиции задач прогнозирования с последующей их обработкой и является целью исследования в настоящей статье.

ПоказатьСвернуть
Заполнить форму текущей работой