Моделирование входных параметров

При моделировании процесса возникновения в ИС уязвимостей реализации можно сделать допущение о том, что этот процесс марковский. При этом на вход модели следует подавать простейший (стационарный пуассоновский) поток входных случайных событий — поток возникновения уязвимостей реализации, устранение которых подчинено экспоненциальному закону распределения.

Замечание. Название «пуассоновский» связано с тем, что при соблюдении определенных условий число событий, попадающих на любой фиксированный интервал времени, будет распределено по закону Пуассона [7].

Простейший поток входных случайных событий обладает следующими важными свойствами. Во-первых, сумма простейших потоков образует простейший поток с интенсивностью, равной сумме интенсивностей складываемых потоков. Во-вторых, вероятностное (недетерминированное) разрежение простейшего потока заявок, при котором любая заявка случайным образом с некоторой вероятностью исключается из потока, независимо от того, исключены ли другие заявки, приводит к образованию простейшего потока с интенсивностью, определяемой произведением интенсивности разрежаемого потока на значение вероятности исключения заявки из исходного потока. Поток исключенных заявок также простейший.

Возможность использования простейшего входного потока крайне важна тем, что он не только позволяет наилучшим образом учесть нерегулярность (случайность) возникновения в системе уязвимостей, что имеет место применительно к событиям возникновения уязвимостей реализации, но и характеризуется постоянным значением интенсивности возникновения событий, что позволяет при его использовании моделировать стационарный режим.

Отметим, что простейший поток событий является достаточным условием того, что протекающий в системе случайный процесс будет марковским (без последействия). Отсутствием последействия характеризуется и экспоненциальный закон распределения (это единственное непрерывное распределение, обладающее подобным свойством).

Распределение Пуассона является дискретным и обычно связано с числом событий за определенный период времени. Если продолжительность интервалов между событиями распределена экспоненциально, и в каждый момент времени (одномоментно) может произойти только одно событие, то можно доказать, что число событий на фиксированном интервале времени распределено по закону Пуассона.

Экспоненциальный закон распределения является наиболее известным и употребительным на практике, в частности в теории надежности, где его даже называют основным законом надежности и используют для прогнозирования надежности в период нормальной эксплуатации изделий, когда постепенные отказы еще не проявились и надежность характеризуется внезапными отказами [6|. Именно в качестве внезапного отказа (максимально нерегулярного события) безопасности можно рассматривать возникновение в ИС уязвимости реализации, что обусловливает целесообразность использования для моделирования случайных событий возникновения уязвимостей реализации (соответствующих реальных угроз) в ИС простейшего (стационарного пуассоновского) потока событий.

Рассмотрим корректность сделанных предположений.

Если поток событий обладает одновременно тремя свойствами — стационарен, ординарен и не имеет последействия, то он называется простейшим потоком [7].

• 1. Поток событий называется стационарным, если вероятность попадания того или иного числа событий на участок времени некоторой длины зависит только от длины этого участка и не зависит от того, где именно на оси времени расположен этот участок. Условию стационарности удовлетворяет поток событий, вероятностные характеристики которого не зависят от времени. В частности, для стационарного потока характерна постоянная плотность (среднее число событий в единицу времени).
• 2. Поток событий называется ординарным, если вероятность попадания на элементарный участок времени двух или более событий пренебрежимо мала по сравнению с вероятностью попадания одного события. Условие ординарности означает, что события происходят поодиночке, а не одномоментно парами, тройками и т. д.
• 3. Поток событий называется потоком без последействия, если для любых неиерекрывающихся участков времени число событий, попадающих на один из них, не зависит от числа событий, попадающих на другие. Условие отсутствия последействия — наиболее существенное для простейшего потока — означает, что события наступают независимо друг от друга.

Обоснуем сделанные допущения.

Предположение об ординарности входного потока случайных событий вполне допустимо, так как вероятностью одномоментного возникновения (не одновременного присутствия в процессе устранения) в системе нескольких уязвимостей реализации, с учетом реальной интенсивности возникновения подобных событий, можно пренебречь.

Обоснование свойства стационарности входного потока случайных событий (потока возникновения уязвимостей реализации) в данном случае во многом совпадает с обоснованием отсутствия последействия.

С одной стороны, предполагая, что защищаемая ИС содержит на момент проектирования СЗИ конечное (пусть и очень большое) количество не выявленных уязвимостей реализации (в первую очередь ошибок программирования), можем заключить, что в данном случае интенсивность возникновения в системе уязвимостей будет изменяться во времени, поскольку выявление и устранение каждой уязвимости приводит к уменьшению их числа на конечном их исходном множестве (если пренебречь событием внесения новых уязвимостей при устранении выявленных, предполагая, но крайней мере, что новых уязвимостей в систему вносится меньше, чем устраняется выявляемых уязвимостей), т. е. в общем случае поток не стационарен (X ^ const, плотность вероятности не постоянна) и имеет последействие.

Однако оценим, как будут на практике изменяться параметры угрозы уязвимостей реализации в процессе эксплуатации ИС.

Очевидно, что в общем случае интенсивность возникновения уязвимостей реализации одного типа X по прошествии некоторого (на практике достаточно большого) времени будет снижаться, поскольку в первую очередь потенциальным нарушителем будут выявляться наиболее простые недочеты реализации и ошибки в ПО (увеличение сложности выявления уязвимостей естественно приведет к снижению интенсивности X).

В отношении же параметра р можем сказать, что его значение никак не связано со сложностью выявления уязвимостей и определяется исключительно типом уязвимостей (например, ошибки реализации в системных драйверах и в приложениях требуют различной трудоемкости исправления), т. е. для каждого типа уязвимостей можем допустить: р = const.

Теперь предположим, что мы спроектировали систему защиты с использованием данных предположений. Очевидно, что с учетом сказанного выше (а именно, исходя из того, что значение X будет только уменьшаться, а р останется неизменным в процессе последующей эксплуатации системы) мы будем определять граничные (худшие для системы условия) значения требуемых параметров и характеристик безопасности, гарантирующие, что «хуже не будет», т. е. получим пессимистическую оценку.

Определение именно таких значений характеристик безопасности при проектировании системы защиты и требуется (нельзя же проектировать систему защиты, оперируя заниженными на момент проектирования с учетом их уменьшения в процессе последующей эксплуатации ИС значениями параметров угроз уязвимостей, особенно если, как часто это бывает на практике, сложно спрогнозировать тренд подобных изменений). Вот если бы последействие приводило к увеличению X в процессе эксплуатации ИС, тогда — другое дело, подобное последействие при моделировании необходимо было бы в обязательном порядке учитывать.

Вместе с тем, с учетом сказанного, анализ в процессе эксплуатации ЗИС изменений параметров угроз уязвимостей необходим, в том числе в части корректировки требований к характеристикам технического обслуживания (технической поддержки) СЗИ производителем. Этот вопрос мы рассмотрим далее.

Сказанное, а также и то, что число уязвимостей (ошибок программирования) в любом современном программном средстве достаточно велико, т. е. для какого-либо разумного интервала времени их эксплуатации можно пренебречь влиянием выявляемой и устраняемой уязвимости на интенсивность их выявления в последующем, позволяет сделать вывод о том, что сделанное допущение в отношении входного потока случайных событий при моделировании угроз безопасности корректно. При этом задача моделирования может интерпретироваться как определение худших (граничных) значений параметров и характеристик угроз безопасности.

Рассмотрим следующее допущение — устранение выявляемых угроз уязвимостей реализации подчинено экспоненциальному закону распределения. Исходя из того, что основные характеристики систем обслуживания зависят главным образом не от вида закона распределения, а от среднего значения времени обслуживания, в практических исследованиях обычно используется допущение именно об экспоненциальном законе распределения времени обслуживания. Это позволяет существенно упростить использование математического аппарата при решении соответствующих задач моделирования, поскольку, как уже говорилось, это единственное распределение вероятностей непрерывной случайной величины без памяти (без последействия [7]), использование которого корректно при построении марковских моделей.

Экспоненциальным (показательным) называют распределение вероятностей непрерывной случайной величины X, которое описывается плотностью:

Как видим, экспоненциальный закон определяется только одним параметром X.

Рассмотрим особенность использования экспоненциального закона распределения для моделирования параметра интенсивности устранения выявляемых уязвимостей реализации. Изменение плотности вероятности при различных значениях X иллюстрирует рис. 4.2. В рассматриваемом случае в качестве параметра X выступает интенсивность устранения возникающих уязвимостей реализации р.

Как показано на рис. 4.2, при данном распределении значение плотности f (x) достаточно резко падает при увеличении X, что и имеет место на практике, ввиду критичности задачи устранения уязвимостей реализации, поскольку в течение времени устранения уязвимости становится уязвимой И С.

С учетом сказанного можем допустить, что именно экспоненциальный закон распределения наиболее подходит для рассматриваемых задач моделирования.

Рис. 4.2. Изменение плотности вероятности при различных значениях X:

1 — X = 0,5; 2-Х = 1,0; 3 — X = 1,5.

Замечание. Марковский процесс является такой же идеализированной моделью реальных систем, как и простейший поток, представляющий собой идеализированную модель случайного потока заявок. Эта идеализация заключается в том, что с отличной от нуля вероятностью марковский процесс может находиться в любом из состояний бесконечно долго. Это обусловлено тем, что плотность экспоненциального распределения ограничена слева и не ограничена справа. Очевидно, что в реальных системах это невозможно. В то же время, как показывают многочисленные исследования, такая идеализация часто оказывается оправданной, поскольку при определенных условиях позволяет получить для многих реальных систем вполне приемлемые результаты, погрешность которых лежит в допустимых для практики пределах в 10—20% [4]. Кроме того, в нашем случае, как показали выше, предположение о марковском характере протекающих в исследуемой системе процессов позволяет получить требуемые граничные оценки характеристик функционирования системы.