Моделирование безопасных отказоустойчивых информационных систем

В контексте теории защиты информации отказ системы (либо ее компонентов), связанный с нарушением надежности функционирования ИС, также может рассматриваться как нарушение доступности обрабатываемой информации. Таким образом, в общем случае нарушение доступности обрабатываемой информации может быть вызвано как реализацией соответствующей атаки на ИС, так и отказом функционирования соответствующего компонента системы. Это обусловливает целесообразность введения и моделирования комплексной эксплуатационной характеристики отказа доступности информации.

• Под комплексной эксплуатационной характеристикой отказа доступности информации, обрабатываемой в И С, будем понимать количественную оценку отказа доступности информации, вызываемого как реализацией соответствующей атаки на ИС, так и отказом функционирования соответствующего компонента системы.

Как видим, это уже характеристика безопасной отказоустойчивой ИС. Рассмотрим, как ее определить.

Сначала остановимся на вопросах моделирования соответствующей характеристики надежности, понимая, что в общем случае компоненты ИС могут иметь относительно невысокий уровень отказоустойчивости. Как ранее отмечали, объект моделирования «случайный процесс отказов/восстановлений функционирования И С» характеризуется следующей принципиальной особенностью — не может отказать уже отказавший элемент.

Ранее показали, что пуассоновский входной поток не соответствует подобному поведению системы.

Интерпретируем рассматриваемую физическую особенность объекта моделирования в теории надежности несколько иным образом — компонент ИС мог бы отказать, если бы уже не отказал и не находился в процессе восстановления. Обоснованность подобной интерпретации обусловливается тем, что интенсивность отказов компонентов никоим образом не должна зависеть от их состояния.

При данной интерпретации отказов функционирования системы поток случайных событий отказов может моделироваться простейшим потоком, а отказы, которые могли бы возникнуть в системе, если бы она находилась в работоспособном состоянии, в данном случае образуют поток потерь входных случайных событий.

Следствия.

• 1. При моделировании случайного процесса отказов/восстановлений функционирования системы, в случае моделирования входного потока отказов простейшим потоком, физическое свойство объекта — не может отказать уже отказавший элемент, должно учитываться потоком потерь случайных событий отказов, поступающим в систему во время восстановления отказавшего элемента.
• 2. При реализации данного подхода моделирование случайного процесса отказов/восстановлений функционирования системы полностью аналогично рассмотренному ранее. Как следствие, могут использоваться рассмотренные выше подходы к моделированию системы с потерями.
• 3. Поскольку в рассматриваемом случае подходы к моделированию, в том числе и к моделированию входных параметров, при моделировании отказов/восстановлений безопасности и отказов/восстановлений функционирования системы полностью аналогичны, а события отказов безопасности и отказов функционирования системы независимы, для их моделирования используется один и тот же математический аппарат — строятся марковские модели с дискретными состояниями и непрерывным временем. С использованием рассмотренных выше подходов к моделированию систем с потерями может строиться единая модель безопасной отказоустойчивой ИС, в рамках построения которой уже может определяться комплексная эксплуатационная характеристика отказа доступности информации.

Проиллюстрируем сказанное примером. Построим модель отказоустойчивой ИС в следующих предположениях — в системе реализован горячий резерв компонента, отказ системы образуется при одновременном выходе из строя и резервируемого, и резервирующего компонентов. Резервируемый и резервирующий компоненты различны (как требуется резервировать компоненты ИС в контексте теории защиты информации, мы рассмотрим в следующей главе), имеют различные интенсивности отказов и восстановлений. В системе два обслуживающих прибора, каждый из которых восстанавливает свой компонент после отказа.

Пусть соответствующие параметры надежности первого компонента обозначены как X_t и р, второго — как Х₂ и р₂. Построение в этих предположениях, с учетом образующихся в системе потоков потерь, корректной мо;

Рис. 8.26. Построение корректной модели отказоустойчивой безопасной информационной системы:

а — модель, не учитывающая потоки потерь; б — модель, учитывающая потоки потерь дели отказоустойчивой ИС представлено на рис. 8.26. На этом рисунке показано преобразование исходной модели, не учитывающей соответствующие потоки потерь (рис. 8.26, а), в модель, в которой учтены потоки потерь (рис. 8.26, б).

В модели, приведенной на рис. 8.26, используются следующие состояния: 5₀₀ — ни один из компонентов не отказал; 5₁₀ — отказал первый компонент, соответствующий обслуживающий прибор занят его восстановлением; 5₀₁ — отказал второй компонент, соответствующий обслуживающий прибор занят его восстановлением; S_n — отказали оба компонента, оба обслуживающих прибора заняты их восстановлением.

Заметим, здесь используются не объединенные состояния, так как моделируется система с потерями.

Используя изложенные ранее подходы к моделированию, для этой отказоустойчивой ИС могут быть определены соответствующие параметры и характеристики надежности — интенсивности отказов и восстановлений, вероятность (доля времени) нахождения системы в работоспособном состоянии, среднее время наработки на отказ и среднее время восстановления после отказа. Как моделируются подобные параметры и характеристики, мы ранее рассмотрели, поэтому повторяться здесь не будем.

Теперь, что касается упрощения задачи моделирования. Как ранее отмечали, изложенный подход к упрощению задачи моделирования в общем случае может использоваться применительно к определенному классу моделей — к моделям, в которых для обслуживания заявок различных типов, независимо поступающих в систему, образуя соответствующие потоки входных случайных событий, используются различные обслуживающие приборы, т. е. в том случае, если в системе обслуживание заявок различных типов — независимые события. Как видим, именно к подобному классу моделей относятся и те, которые мы здесь строим.

Проиллюстрируем сказанное. Для оценки подобной возможности вновь обратимся к модели, которую исследовали ранее (см. рис. 5.20, б).

На рис. 8.27 приведена модель без потерь. Предполагая, что она соответствующим образом будет построена для системы с потерями из модели, представленной на рис. 8.26, б, в модели, представленной на рис. 8.27, соответствующим образом следует пересчитать интенсивности с учетом потерь.

Рис. 8.27. Модель, использованная для доказательства возможности упрощения задачи моделирования для систем без потерь.

Так, вместо интенсивности X применительно к состоянию S₀₀ требуется использовать интенсивность.

а применительно к состоянию 5_И требуется использовать интенсивность.

Для доказательства возможности применения в данном случае изложенного ранее подхода к упрощению задачи моделирования построим и решим соответствующие уравнения.

Первое уравнение.

решая которое, получаем Второе уравнение.

решая которое, опять же получаем.

Как видим, вероятность Р определяется для рассматриваемой модели (см. рис. 8.27) точно так же, как и ранее определенная нами вероятность Р_х для модели, приведенной на рис. 8.19:

Это подтверждает возможность использования рассмотренного ранее подхода к упрощению задачи моделирования, позволяющего осуществлять расчет параметров и характеристик надежности без составления и решения системы линейных алгебраических уравнений.

Перейдем к вопросам моделирования комплексной эксплуатационной характеристики отказа доступности информации. Подход к моделированию опять же рассмотрим на примере.

Пусть моделируем систему, содержащую один элемент (компонент), интенсивность отказов и восстановлений после отказа которого соответственно А₀ и р₀. На систему может быть реализована атака на отказ в доступности информации одного типа с параметрами реализуемости угрозы атаки А_рау, ц_рау и реализации реализуемой реальной угрозы атаки, соответственно, А, _а, Ц_[)а— Таким образом, доступность обрабатываемой информации может быть нарушена как в результате отказа оборудования, так и в результате осуществления на нее соответствующих успешных атак потенциальными нарушителями.

В системе три обслуживающих прибора, один устраняет отказы оборудования, второй — возникающие в системе реальные угрозы атак, третий восстанавливает доступность обрабатываемой информации после ее нарушения. Модель строится в предположении о том, что вероятностью события завершения устранения в системе реализуемой реальной угрозы атаки в момент нарушения в системе доступности информации можно пренебречь.

Построенная в данных предположениях модель безопасной отказоустойчивой ИС представлена на рис. 8.28.

(1 -Р_п/Р_А)Х₀

Рис. 8.28. Модель безопасной отказоустойчивой ИС

В модели, приведенной на рис. 8.28, используются следующие состояния: S₀₀ — обрабатываемая информация доступна; 5₁₀ — отказал элемент (компонент) системы, обрабатываемая информация становится недоступной, соответствующий обслуживающий прибор занят его восстановлением; 5₀₁ — в системе возникла по крайней мере одна реализуемая реальная угроза атаки (объединенное состояние), соответствующий обслуживающий прибор занят ее устранением, обрабатываемая информация доступна; S_n — в системе одновременно присутствуют и отказ функционирования, и по крайней мере одна реальная реализуемая угроза атаки (объединенное состояние), они восстанавливаются соответствующими приборами, информация не доступна для обработки; S_A — в системе нарушена доступность информации, система остается в работоспособном состоянии, но она выведена из эксплуатации на время восстановления доступности, которым занимается соответствующий обслуживающий прибор.

Поясним некоторые переходы между состояниями. Состоянием S₁₀ характеризуется отказ функционирования системы, система восстанавливается, возникающие при этом события отказа функционирования образуют ноток потерь (не может отказать уже отказавший элемент). При этом аналогичные средства эксплуатируются в иных системах, могут исследоваться потенциальным нарушителем на предмет выявления в них соответствующих уязвимостей.

События отказа функционирования системы и отказа безопасности независимы. Переход 5₁₀ —> S_u не выводит систему из состояния отказа, но характеризует возникновение по крайней мере одной реализуемой реальной угрозы атаки (отказа безопасности). Выполняется восстановление системы после отказов обоих типов. Возникающие при этом события отказа безопасности образуют поток потерь, так как доступность информации нарушена.

Любой из переходов из состояния 5_И не выводит систему из состояния отказа. В зависимости от того, какой из отказов будет устранен ранее, система перейдет либо в состояние 5₁₀, либо в состояние 5₀₁. В состоянии 5₀₁ система работоспособна, но содержит отказ безопасности, который устраняется. Переход 5_0t —? 5_а означает реализацию успешной атаки, в результате чего нарушается доступность информации, которая восстанавливается, возвращая систему в состояние 5₀₁. При этом система выводится из эксплуатации в том смысле, что становится недоступной информация, однако восстановление доступности информации осуществляется на работающем оборудовании, отказ которого может привести к переходу 5_а —* S_n.

Поскольку моделируется стационарный режим функционирования системы, стационарная вероятность (доля времени) нахождения в системе по тем или иным причинам в состоянии отказа (обрабатываемая информация недоступна) определяется следующим образом: 1 — Р₀₀ — Р₀₁, где Р₀₀ — стационарная вероятность пребывания системы в состоянии 5₀₀, Р₀₁ — в состоянии 5₀₁.

На вопросах определения эксплуатационных параметров и характеристик надежности и безопасности, в данном случае доступности обрабатываемой информации в безопасной отказоустойчивой ИС, останавливаться не будем, так как решение этой задачи ничем не отличается от решений соответствующих задач моделирования, рассмотренных ранее.

При этом отметим, что при решении задачи моделирования может применяться подход к упрощению этой задачи по полной аналогии с тем, как это было показано выше.