Анализ и исследование потоков данных пользователей для оценки информационной защищенности корпоративных информационно-вычислительных систем и сетей

Актуальность работы. Особое внимание в последнее время уделяется проблеме обеспечения информационной защищенности корпоративных информационно-вычислительных систем и сетей (ИВС). Системы подобного класса характерны для больших предприятий, имеющих территориально удаленные отделения [24], [25]. Примерами таких систем могут служить автоматизированные банковские системы, такие как, учетно-операционная система и информационно-аналитическая система. Им присуща высокая степень гетерогенности программных и аппаратных средств, что убедительно говорит о недостаточности применяемых традиционных средств и технологий защиты. Решению проблемы обеспечения защищенности систем именно подобного класса и посвящена данная диссертация.

Целью атак злоумышленников на корпоративные ИВС является, как правило, получение несанкционированного доступа к ресурсам, и только в исключительных случаях целью атаки может быть нарушение функционирования системы. Однако и в том и в другом случае действия злоумышленника приводят к ухудшению свойств информационной защищенности атакуемой системы — таких как доступность, целостность и конфиденциальность.

К информационным ресурсам корпоративной ИВС относятся информационные объекты, представляющие собой совокупность сведений (информацию) определенного рода и формализованные методы доступа к ним. Например, для банковской автоматизированной информационно-аналитической системы информационными объектами являются данные учетно-операционной системы, оперативная и статистическая отчетность подведомственных организаций, нормативно-справочная информация, информация из внешних источников и т. п.

Для реализации своей цели корпоративная ИВС, как любая сложная система, выполняет множество функций, определяемых возможностями этой системы по преобразованию информации из одной формы в другую. Однако, несмотря на то, что политика информационной безопасности, как правило, ограничивает множество заявленных функций ИВС и регламентирует их использование, реальное множество функций обладает определенной избыточностью, в результате чего их сочетание может быть использовано злоумышленником для того, чтобы затруднить или сделать невозможным выполнение основной цели ИВС. Возможна также ситуация, когда злоумышленник окажется в состоянии придать ИВС или ее элементу новые свойства, получив тем самым новую функцию, способную нанести ей ущерб.

Наряду с таким свойством, как функциональная избыточность, современные корпоративные ИВС характеризуются также следующими свойствами, позволяющими определить их как сложные системы:

— существенным увеличением сложности решаемых задач;

— многообразием и изменчивостью целевых функций;

— максимальной приближенностью к объектам реального мира и социума и отображением всей их изменчивости и взаимозависимостей;

— изменениями в технологии разработки прикладного программного обеспечения, вследствие которых резко сократился объем специализированного программного кода за счет использования универсальных общесистемных продуктов, сетевых и операционных платформ, что приводит к функциональной избыточности ИВС;

— коллективным использованием мощных распределенных вычислительных и информационных ресурсов;

— стремлением пользователей ИВС как можно более качественно выполнить свою частную цель, что в условиях общего использования ресурсов, приводит к их конкуренции за ресурс.

Совокупность этих свойств позволяет определить уязвимости современных ИВС, при детальном рассмотрении которых можно выделить информационные объекты, которые могут быть подвержены атакам со стороны злоумышленников (далее объекты атак).

К таким объектам, в первую очередь, необходимо отнести целевую функцию ИВС. Например, злоумышленник будет стремиться изменить целевую функцию ИВС таким образом, чтобы реализовалась его собственная злоумышленная цель, или же он будет стремиться заставить ИВС вхолостую расходовать свои ресурсы, для того чтобы заблокировать реализацию штатных (незлоумышленных) целей прочих пользователей (атака на доступность).

Необходимо также отметить, что функционировать сложная система может только в условиях сильно развитого управления, что делает систему управления самостоятельным и привлекательным объектом атаки, позволяющим быстро достигать злоумышленной цели.

И, наконец, традиционными объектами атак являются ресурсы ИВС.

Еще одним новым свойством, отражающим сложность современных ИВС, является принципиально иной характер информационных процессов в системе. Из информации, передающейся от одного объекта системы к другому уже невозможно напрямую извлечь смысл. Она представляет собой сильно формализованные и сжатые данные об изменениях значений параметров настройки баз данных, баз знаний (если они есть в системе) и приложений. При этом смысл извлекается при запуске приложений и, как правило, ими же и потребляется. Приложения, таким образом, реализуют некоторые правила вывода, позволяющие им правильно восстановить переданный смысл.

Изменившиеся свойства ИБС и характер обрабатываемой информации привели к тому, что изменился злоумышленник. В настоящее время злоумышленником является, как правило, штатный пользователь системы, для которого барьерные механизмы защиты прозрачны, и который для реализации своих целей, отличных от целей ИВС, вынужден проявлять нетипичную активность: потреблять больше, чем необходимо по штатной работе, ресурсовчаще обращаться к информационным объектам, доступ к которым нехарактерен по роду его штатной деятельностипытаться получить больше привилегий и прав, т. е. расширить свои полномочияработать в неурочное время (обеденное и/или после работы) — пытаться скрыть следы своей деятельности и т. п.

Однако, злоумышленник, прежде чем начать атаку, неизбежно должен накопить некоторый объем знаний об ИВС, позволяющий сформулировать ему стратегию атаки. Эти знания он может добыть только путем эксперимента с системой, неизбежно искажая ее цель.

Соответственно этому и проблема обеспечения информационной защищенности корпоративных ИВС существенно изменилась. Помимо защиты смыслов и знаний и обеспечения их адекватности миру и целям системы, необходимо рассматривать процессы управления, от которых зависит эффективность реализации целей системы. Среди процессов управления особое место занимает процесс достижения и поддержания на соответствующем уровне свойств защищенности ИВС или управление безопасностью, которое реализует такие функции, как мониторинг защищаемой ИВС, анализ и оценку собранной информации, сигнализация (оповещение), исследование ситуаций, классифицированных как факты вторжения, документирование причин, разработка и принятие мер, предотвращающих повторение выявленных ситуаций.

Следует отметить, что необходимым условием управления безопасностью является стабильность (или малая изменчивость) целей ИВС и среды функционирования, т. е. цели ИВС должны меняться медленнее, чем система управления безопасностью успевает отреагировать на возникшую ситуацию.

Основной задачей управления безопасностью является определение соответствия поведения совокупности пользователей ИВС правилам политики информационной безопасности. Проявлением поведения пользователей в рамках контролируемой вычислительной среды ИВС являются события аудита, фиксируемые специальными службами регистрации событий ИВС и отражающие изменение ее состояния. В связи с этим чрезвычайно важную роль для обеспечения защищенности корпоративных ИВС играют методы анализа и исследования потоков данных, возникающих при работе пользователей и порождаемых средствами регистрации событий, штатно имеющимися в среде ИВС, или принудительно встроенными в нее (в дальнейшем — потоков данных пользователей).

Проблема анализа и исследования потоков данных пользователей корпоративных ИВС рассматривается в ряде работ, посвященных системам обнаружения вторжений [38], [39], [40], [41]. Однако следует отметить, что проблема далека от окончательного решения. Большинство предлагаемых методов не являются достаточно универсальными, т. к. строго ориентированы на конкретную область применения и сильно зависят от реализации. Таковыми, например, являются методы анализа сетевого трафика. Другие методы разрабатываются в рамках проектов, реализуемых специализированными научно-исследовательскими организациями по заданию правительственных и военных ведомств, главным образом США, и являются закрытыми. Все это делает актуальной задачу дальнейшего исследования данной проблемы, что и является темой настоящей диссертационной работы. Предметом исследований является защита ИВС в части обеспечения их информационной безопасности.

Целью работы является разработка способа формирования шаблона деятельности пользователей корпоративной ИВС и методик формирования оценок, отражающих состояние защищенности корпоративной ИВС, и оценок, характеризующих деятельность ее пользователей за их сеансы работы.

Решаемые задачи. В соответствии с указанной целью в работе поставлены и решены следующие задачи:

— разработка методики восстановления по событиям аудита операций, выполненных пользователями корпоративной ИВС;

— определение структуры шаблона работы пользователей корпоративной ИВС и представления данных о выполненных ими операциях;

— разработка способа формирования шаблона работы пользователей корпоративной ИВС;

— разработка методики формирования сеансовых оценок деятельности пользователей на основе анализа гистограмм их активности;

— разработка методики выявления нетипичной работы пользователей корпоративной ИВС на основе анализа их гистограмм активности.

Методы исследования основаны на теории цифровых автоматов, теории графов, теории нечетких множеств и элементах статистического анализа.

Научная новизна работы состоит в следующем:

— на базе автоматно-лингвистической модели разработана методика восстановления операций по потоку данных пользователей корпоративной ИВС, которая позволяет формализовать и автоматизировать процесс классификации событий аудита при их анализе;

— разработан способ формирования шаблона работы контролируемых пользователей корпоративной ИВС, позволяющий автоматизировать процесс его построения (модификации) и снизить семантическую составляющую действий администратора безопасности;

— разработана методика формирования сеансовых оценок деятельности пользователей на основе гистограмм их активности, позволяющая учитывать степень опасности действий, выполняемых контролируемыми пользователями за сеансы их работы;

— разработана методика выявления нетипичной работы пользователей на основе их гистограмм активности, позволяющая оценить сеансы их работы на соответствие штатной поведенческой модели.

Практическая ценность полученных в работе результатов заключается в следующем:

— выполнена классификация существующих систем активного аудита, на базе которой сформулированы требования к архитектуре системы управления информационной безопасностью корпоративной ИБС;

— на базе методики восстановления операций по потоку данных от пользователей корпоративной ИБС разработан ряд программных фильтров, позволяющих по событиям аудита восстановить действия пользователей системы РАБИС-2, функционирующей в среде ОС Windows;

— определена структура шаблона работы пользователей корпоративной ИБС, позволяющая учесть степень опасности выполненных действий и важность использованных при этом ресурсов;

— результаты работы нашли воплощение в системе «Блокада», предназначенной для контроля и наблюдения за работой пользователей корпоративной сети.

На защиту выносятся следующие положения:

1. Методика восстановления операций, выполняемых пользователями корпоративной ИБС.

2. Способ формирования шаблона работы пользователей корпоративной ИБС.

3. Методика формирования сеансовых оценок деятельности пользователей на основе анализа гистограмм их активности.

4. Методика выявления нетипичной работы пользователей на основе анализа гистограмм их активности.

Личный вклад автора диссертации. В диссертации использованы результаты исследований и опытно-конструкторских разработок (ОКР) по созданию систем контроля действий пользователей по данным аудита, в которых автор диссертации являлся либо непосредственным исполнителем, либо научно-техническим руководителем разработок. Все направления работ нашли отражение в публикациях и тезисах докладов по теме диссертации.

Достоверность результатов. Достоверность всех формальных результатов обоснована корректной постановкой задач, выводами и доказательствами, а также корректным применением существующего математического аппарата. Достоверность общих положений подтверждается результатами моделирования.

Реализация и внедрение результатов работы. Основные результаты диссертационной работы и разработанное программное обеспечение внедрены в рамках ОКР, выполненных ООО НПФ «Кристалл» по договорам с Банком России. Результаты внедрения подтверждены соответствующими актами.

Апробация работы. Основные результаты диссертационной работы докладывались и обсуждались на шести научно-технических конференциях:

— научно-технической конференции «Информационная безопасность автоматизированных систем», 16−17 июня 1998 г. в г. Воронеже;

— III Международной научно-технической конференции «Новые информационные технологии и системы», Пенза, ПГУ, 10−11 декабря 1998 г.;

— научно-технической конференции (6−9 октября 1998 г.) «Информационная безопасность в сетях и системах связи», Пенза, ПНИЭИ, 1998 г.;

— Второй Всероссийской научно-практической конференции «Технические средства периметровой охраны, комплексы охранной сигнализации и системы управления доступом», 18−20 мая 1999 года, г. Заречный, Пензенская область;

— научно-технической конференции (25−28 апреля 2000 г.) «Защита информации в сетях и системах связи», Пенза, ПНИЭИ, 2000;

— научно-технической конференции «Безопасность информационных технологий» (сентябрь 2002 г.), Пенза, ПНИЭИ, 2002 г.

Публикации. По материалам диссертации опубликовано 15 работы.

Структура и объем диссертации

Диссертационная работа состоит из введения, четырех глав, заключения, списка литературы и пяти приложений. Диссертация изложена на 158 страницах машинописного текста, содержит 52 рисунка, 29 таблиц и список литературы из 95 наименований.

Основные результаты настоящей диссертационной работы состоят в следующем:

1. Разработана методика восстановления операций по потоку событий аудита порождаемых пользователями корпоративной ИВС. Методика позволяет формализовать и, в перспективе, автоматизировать построение программ для классификации событий аудита при их анализе.

2. С целью оперативного контроля деятельности пользователей корпоративной ИВС предложена новая структура шаблона работы и разработан способ его формирования, позволяющий учитывать действующие в ИВС правила политики информационной безопасности и автоматизировать создание как индивидуальных, так и групповых шаблонов работы контролируемых пользователей.

3. Разработана методика формирования сеансовых оценок действий пользователей корпоративной ИВС, которая в отличие от методик оценок, используемых в большинстве наиболее известных на данный момент систем обнаружения вторжений, позволяет учесть степень опасности действий контролируемых пользователей за период их активности.

4. Разработана методика выявления нетипичной активности пользователей, позволяющая обнаружить отклонения их деятельности от заявленной роли в ИВС. Методика основана на анализе гистограмм активности пользователей и предназначена для анализа потоков данных пользователей детерминированных информационных технологий, например, платежных.

5. На основе полученных результатов были проведены экспериментальные исследования по применению на практике основных научных результатов диссертации. В ходе проведения эксперимента построен типовой шаблон работы пользователей корпоративной ИВС, штатная работа которых заключается в создании (модификации) электронной документации при помощи средств MS Office. Проведенные экспериментальные исследования способа формирования шаблонов работы пользователей для подразделения, работающего с офисными приложениями, подтвердили возможность и эффективность контроля выполнения правил политики безопасности организации с использованием шаблона предложенной структуры для слабо детерминированных информационных технологий (офисных).

6. Основные научные результаты диссертации нашли воплощение в системе «Блокада», предназначенной для наблюдения и контроля за действиями пользователей корпоративной сети.

Заключение