Модель системы с оперативным и тестовым контролем

Достижение высокой надежности, функциональной и информационной безопасности систем хранения и обработки данных требует использования комплекса средств оперативного и тестового контроля, направленных на обнаружение и минимизацию последствий деструктивных воздействий как злонамеренного, так и случайного характера. Оперативный контроль позволяет быстро обнаружить последствия отказов и деструктивных воздействий, но замедляет вычислительный процесс, и достижимая им полнота контроля, как правило, ограничена, в результате чего возможно нарушение безопасности системы (переход в опасные состояния необнаружения отказов и последствий деструктивных воздействий). Для обнаружения опасных состояний в системе может дополнительно проводиться периодический тестовый контроль. При организации тестового контроля возникает задача определения оптимальных интервалов между тестированием, так как уменьшение этого интервала позволяет снизить вероятности опасных состояний, но приводит к потере реальной производительности и к возрастанию среднего времени пребывания запросов в системы, что отрицательно сказывается на ее эффективности, особенно при работе в реальном времени.

Для защищенных информационных систем с целью повышения их готовности к безопасному обслуживанию запросов возникает потребность определения оптимальных интервалов тестирования в зависимости от вариантности и изменяемой интенсивности отказов и деструктивных воздействий. Адаптация периодов тестирования к изменениям интенсивности воздействий, с одной стороны, позволяет увеличить готовность системы при снижении вероятности ее опасных состояний, а с другой — увеличивает простои системы, вызываемые необходимостью обнаружения изменений интенсивности деструктивных воздействий, что обусловливает целесообразность постановки и решения задачи оптимизации процесса тестирования.

Для построения марковской модели защищенной информационной системы интервалы между отказами (деструктивными воздействиями), инициализацией тестирования, а также время тестирования будем считать распределенными по показательному закону. Граф состояний и переходов моделируемого процесса, приведенный на рис. 11.10, соответствует идеальному случаю обнаружения тестовым контролем всех опасных состояний системы [5].

Выделим следующие состояния системы: 0 — готовность системы к безопасному выполнению функциональных запросов; 1 — тестирование при отсутствии нарушений (отказов и последствий деструктивных воздействий); 2 — нарушения (отказы и последствия деструктивных воздействий) обнаружены и система восстанавливается; 3 — опасное состояние функционирования при необнаруженных отказах и последствиях деструктивных воздействий; 4 — тестирование при наличии нарушений.

Представленный на рис. 11.10 граф состояний и переходов позволяет составить системы алгебраических или дифференциальных уравнений, из которых находятся вероятности всех состояний Р₀—Р_л соответственно в стационарном или нестационарном режимах.

Решение системы алгебраических уравнений получаем при использовании встроенных средств символьной математики Mat-head 15 как.

Рис. 11.10. Граф состояний и переходов системы с тестовым контролем:

Х₀ — интенсивность потока отказов деструктивных воздействий (величина, обратная среднему времени между деструктивными воздействиями); X, — интенсивность инициализации тестового контроля (величина, обратная среднему времени между тестированием); g — полнота оперативного контроля (вероятность обнаружения нарушений оперативным контролем); р, — интенсивность тестирования (величина, обратная среднему времени тестирования); р₀ — интенсивность восстановления безопасного состояния Система алгебраических уравнений Колмогорова для графа на рис. 11.10 имеет вид:

где W= (Х.2р₀ + р, л₍₎л, + p₀V4 ^{+iPoPi +oPoPi} «йЛРгХ'л + Pi))⁴;

Результаты расчета вероятностей состояний системы в зависимости от интенсивности инициализации тестового контроля А., при Л.₀ = 0,1 1/ч, р, = = 10 1 /ч, р_(| = 2 1/ч ng = 0,5 представлены на рис. 11.11. При этом кривая 1 соответствует вероятности готовности системы к безопасному выполнению запросов, кривая 2 — вероятности простоя системы при ее тестировании.

Рис. 11.11. Вероятности состояний системы в зависимости от интенсивности.

инициализации контроля или восстановлении, кривая 3 — вероятности простоя системы при ее тестировании в безопасном состоянии, кривая 4 — вероятности нахождения системы в опасном состоянии. Кривая 5 соответствует вероятности опасных состояний по уточненной шкале правой оси ординат. Представленные зависимости показывают возможность существования оптимального интервала между инициализацией процедуры тестирования, при котором достигается максимум вероятности нахождения системы в состоянии готовности к безопасному выполнению функциональных запросов, что подтверждает целесообразность постановки н решения задачи оптимизации интервалов тестирования.

Оптимизация интервалов тестирования по критерию максимизации готовности системы к безопасному выполнению запросов. Особенность модели контроля для исследования систем, подверженных злонамеренным деструктивным воздействиям, заключается в необходимости учета неопределенности интенсивности этих воздействий и их изменений во времени [5,6]. При оптимизации интервалов тестирования будем предполагать считать заданными вектор вариантов возможных интенсивностей (7/₍) и вектор вероятностей этих вариантов (г,), имеющие размерность п х 1.

При неопределенности потока деструктивных воздействий рассмотрим следующие варианты постановки задачи оптимизации интервалов тестирования, обеспечивающих максимум вероятности нахождения системы в состоянии готовности к безопасному выполнению функций. Рассмотрим варианты постановки задачи оптимизации интервалов тестирования, обозначаемые как В1—ВЗ.

При варианте В1 определяется значение интерватов тестирования 1Д, обеспечивающее максимум вероятности состояния готовности к безопасному выполнению запросов Р₀, по критерию.

л,

п- 1.

при средней интенсивности воздействий А,₀ =? qfc.

i'-O.

При варианте В2 определяется значение интервалов тестирования 1/А., (интенсивности инициализации тестирования обеспечивающее максимум математического ожидания вероятности состояния готовности к безопасному выполнению запросов с учетом всех возможных интенсивностей воздействий ц_:а = 0, 1…п — 1). В этом случае критерий оптимальности имеет вид.

где <7, — i-й вариант возможной интенсивности деструктивных воздействий, вероятность которой t).

При варианте ВЗ для каждой возможной интенсивности деструктивных воздействий определяется вектор значений интенсивности инициализации тестирования («,), обеспечивающий максимум математического ожидания готовности системы к безопасному выполнению запросов. При этом критерий оптимальности имеет вид:

Вариант ВЗ предполагает предварительное формирование (на основе оптимизации) вектора интервалов тестирования в зависимости от варианта интенсивности воздействий. Адаптивный переход к выбираемому значению интервала тестирования происходит в результате измерений текущей активности (интенсивности) деструктивных воздействий и идентификации соответствующего варианта градации активности q_t.

Возможна модификация адаптивного варианта назначения интервалов тестирования, когда градации активности не вводятся, а осуществляется измерение активности воздействий в реальном времени, и при обнаружении их изменений решается расчетная задача оптимизации интервалов тестирования. Следует заметить, что реализация рассмотренных вариантов адаптивного задания интервалов тестирования требует дополнительных временных издержек, а поэтому его применение требует обоснования.

Оптимизация интервалов тестирования по критерию минимизации опасных состояний, готовность системы к безопасному выполнению запросов. Определим интервалы тестирования, обеспечивающие минимум вероятности нахождения системы в опасном состоянии необнаруженных последствий деструктивных воздействий в условиях неопределенности п вариантности их интенсивностей. При оптимизации выделим случаи, соответствующие ранее рассмотренным вариантам В1—ВЗ критериев оптимизации:

где (г/,) — вектор значений интенсивностей инициализации тестирования, обеспечивающий минимум вероятности опасного состояния Р, для i = 0, 1…

п — 1 возможных вариантов интенсивностей деструктивных воздействий (q_t).

При многокритериальной оптимизации максимизации готовности системы к безопасному выполнению запросов и минимизации опасных состояний воспользуемся аддитивным скалярным критерием, имеющим для рассматриваемых вариантов В1—ВЗ вид.

Пример оптимизации интервалов тестирования. Проведем оптимизацию интервалов тестирования защищенной информационной системы по критерию максимизации готовности системы к безопасному выполнению запросов. Предположим, что интенсивность тестирования и восстановления безопасного состояния р, = 1 1/ч, р₀ = 0,1 1/ч при полноте оперативного контроляg = 0,6. Оптимизацию проведем в условиях неопределенности [7,8].

Пусть возможны варианты деструктивных воздействий и их вероятности, представленные векторами (е/₍) и (/') соответственно.

Тогда оптимальным интервалам тестирования, определяемым по критерию максимума готовности системы к безопасному выполнению запросов, для вариантов В1, В2 соответствуют значения X, = 0,3 672 1/ч и Я., = = 0,3 714 1 /ч. Для варианта ВЗ вектор оптимальных интенсивностей инициализации тестирования (а₍), обеспечивающий минимум вероятности опасного состояния Р_л для i = 0, 1,…, п — 1 возможных вариантов интенсивностей деструктивных воздействий (г/;), определен в результате оптимизации как Результаты расчета вероятности готовности системы к безопасному выполнению запросов в зависимости от варианта интенсивности деструктивных воздействий представлены на рис. 11.12 [6). Кривая 1 соответствует варианту ВЗ адаптивного изменения периодов тестирования в зависимости от наблюдаемой интенсивности деструктивных воздействий. Кривая 2 соответствует вариантам Bl, В2, при которых задается постоянный период тестирования, вне зависимости от реальной интенсивности деструктивных воздействий. Кривые 3, 4 показывают увеличение вероятности готовности системы к безопасному выполнению запросов в результате адаптации периода тестирования к изменениям интенсивности деструктивных воздействий по варианту ВЗ относительно вариантов В1 и В2 соответственно.

Представленные графики позволяют сделать вывод об эффективности адаптивного изменения периодов тестирования в зависимости от наблюдаемой интенсивности деструктивных воздействий.

Рис. 11.12. Вероятности готовности системы к безопасному выполнению запросов.

Таким образом, мы показали эффективность адаптивного изменения периодов тестирования в зависимости от наблюдаемой активности деструктивных воздействий. Так, из рис. 11.12 видно, что, например, при интенсивности деструктивных воздействий б -10 ³ 1 /ч готовность к безопасному выполнению запросов в результате адаптации (вариант ВЗ) увеличивается па 3 -10 ³ относительно вариантов без адаптации (Bl, В2).