Методическое обеспечение защиты информации автоматизированной системы от несанкционированного доступа с учетом менеджмента инцидентов информационной безопасности

Актуальность темы

Широкое распространение информационных технологий привело к тому, что бизнес все более зависит от имеющихся у него автоматизированных систем (АС), обрабатывающих критически важную информацию. Внедрение АС приносит прибыль, поэтому расходы на их внедрение растут. Так, по подсчетам аналитиков компании Gartner, расходы на инфраструктуру информационных технологий (ИТ) составят в 2013 году в мире 3,7 трлн долларов. В 2014 году рост расходов на ИТ в мире, согласно прогнозу, составит 4,1%, в абсолютном исчислении рынок достигнет 3,9 трлн долларов [64].

Безопасность является одной из ведущих проблемных областей цифрового пространства. Постоянное увеличение сложности и объемов направленных атак в сочетании с необходимостью решения компаниями вопросов, связанных с обеспечением соответствия требованиям регуляторов и законодательства, продолжит способствовать увеличению объемов рынка безопасности", — говорится в упомянутом выше исследовании.

Объем мирового рынка технологий и услуг информационной безопасности (ИБ) увеличится в 2013 году на 8,7% с 61,8 млрд долларов в 2012 г. до 67,2 млрд долларов. К 2016 году этот показатель достигнет 86 млрд долларов [64].

Таким образом, развитие рынка средств и систем ИБ происходит опережающими темпами по отношению к развитию ИТ. И это неслучайно, так как создание средств и систем ИТ неизбежно сопровождается уязвимостями в программном обеспечении и ошибками реализации, что приводит к все новым возможностям потенциальных атак со стороны нарушителей.

Высокая ценность обрабатываемой в современных АС информации обуславливает привлечение значительных средств и ресурсов для организации преступных сообществ «хакеров», ставящих перед собой целью неправомерный доступ к этой информации.

Как отмечается во многих исследованиях, количество зарегистрированных инцидентов ИБ в последние годы увеличивается [64, 65].

Под инцидентом ИБ понимается «появление одного или нескольких нежелательных или неожиданных событий ИБ, с которыми связана значительная вероятность компрометации бизнес-операций и создания угрозы ИБ».

32].

Инциденты ИБ могут нанести существенный ущерб бизнесу. Они возникают в ходе реализации угроз и могут быть преднамеренными или случайными [66]. С инцидентами связан риск их возникновения, который обычно трактуют как сочетание значения ущерба и вероятности его возникновения.

33].

На практике невозможно достичь нулевого значения риска ИБ. Риск, остающийся после реализации организационных мер и применения технических средств защиты, называется остаточным [72]. В каждой организации определяется приемлемый для нее уровень риска.

Для снижения рисков до приемлемого уровня в составе АС реализуется система защиты информации. В общем случае данная система делится на систему защиты информации от несанкционированного доступа, систему физической защиты, систему противодействия техническим средствам разведки. Далее рассматривается только система защиты информации от несанкционированного доступа, для которой используется аббревиатура «СЗИ».

Атаки на АС организаций осуществляются в последние годы не только и не столько хакерами-одиночками, сколько организованными преступными сообществами. Совершенствование СЗИ не всегда поспевает за ростом возможностей злоумышленников. Известно много случаев нанесения ущерба в результате реализации нарушителями так называемых угроз «нулевого дня», для которых не существует средств защиты [70].

Значение причиненного ущерба в известной литературе считается скалярной величиной [73,74]. Однако для многих важных для практики случаев ущерб можно считать функцией от времени пребывания АС в небезопасном состоянии. Например, чем дольше находится в недоступности Интернет-магазин фирмы, тем больший ущерб ей причиняется. Чем дольше нарушитель знает пароль для доступа к АС, тем больше конфиденциальных сведений он может похитить. Учет времени при анализе ущерба, а значит и рисков ИБ в подобных сценариях, приобретает существенное значение.

Налицо противоречие между зависимостью рисков ИБ от времени и отсутствием методического обеспечения, позволяющего учитывать эту зависимость при проектировании СЗИ.

Одним из перспективных путей преодоления этого противоречия представляется путь, связанный с управлением инцидентами ИБ. Согласно этому предлагаемому подходу задача снижения риска ИБ возлагается не только на СЗИ, но и на подсистему менеджмента инцидентов ИБ. Вообще говоря, чем больше ресурсов будет отведено на подсистему менеджмента инцидентов ИБ, тем меньше будет время нахождения АС в небезопасном состоянии. С другой стороны, чем больше ресурсов вложено в создание СЗИ, тем меньше в общем случае вероятность попадания АС в небезопасное состояние.

Для обеспечения защиты информации с учетом менеджмента инцидентов необходимо уметь выполнять анализ рисков ИБ с учетом длительности инцидентов, оценивать потенциал нападения нарушителей, выполнять снижающий риски ИБ менеджмент инцидентов ИБ, осуществлять многокритериальный синтез СЗИ.

Проблеме обоснованного построения СЗИ посвящено немало работ, обзор части из которых приведен в главе 2 настоящей работы. В данном направлении активно работали российские ученые Герасименко В. А., Малюк A.A., Зегжда П. Д., Щеглов А. Ю., Парахин В. Н. и др. Анализ упомянутых работ показывает, что они сохраняют свою востребованность. Вместе с тем, в этих работах не рассмотрено влияния менеджмента инцидентов ИБ на эффективность СЗИ.

Исходя из всего вышесказанного, цель диссертационной работы заключается в повышении эффективности СЗИ за счет менеджмента инцидентов ИБ и решения задачи многокритериального выбора СЗИ по разработанным частным показателям эффективности (ЧПЭ).

Объект исследования — СЗИ АС организации.

Предмет исследования — модель защищенности АС от несанкционированного доступа и методика синтеза СЗИ АС организации.

Границы исследования — вопросы, связанные с особенностями построения СЗИ для защиты секретной информации не рассматриваются. Помимо СЗИ рассматривается подсистема менеджмента инцидентов ИБ, которую, по мнению автора, необходимо включать в состав СЗИ (что пока не закреплено руководящими документами).

Для достижения поставленной цели решается научная задача разработки методики синтеза СЗИ с учетом менеджмента инцидентов Ж в АС. Данная научная задача декомпозируется на следующие частные задачи, решаемые в диссертационной работе:

1) анализ требований правовых и нормативных документов в области задания требований по ИБ, анализа и управления рисками информационной безопасности, а также менеджмента инцидентов ИБ;

2) построение модели защищенности АС от НСД с учетом обработки инцидентов ИБ;

3) создание методики синтеза СЗИ с учетом анализа рисков и обработки инцидентов ИБ;

4) разработка алгоритма оптимального выбора эффективного варианта СЗИ на основе многокритериального потокового ранжирования.

Методы исследований. Поставленные задачи решены на основе применения методов теории операций, теории вероятностей, математической статистики, многокритериальной оптимизации.

Достоверность результатов работы обеспечивается строгостью применения математических моделей, непротиворечивостью полученных результатов с известными и подтверждаются результатами расчетов, апробации и внедрения предложенных в диссертации методов на предприятиях промышленности.

Научная новизна результатов диссертационной работы заключается в следующем:

1) предложен подход к нахождению вероятностей преднамеренных атак на основе анализа потенциала нарушителя, тогда как в большинстве известных работ плотность распределения преднамеренных атак моделируется пуассоновским законом. Предложенный подход позволяет учесть больше априорных сведений о нарушителе, что дет возможность более точно определить вероятности атак и соответствующие риски;

2) продемонстрировано, что остаточный риск ИБ зависит не только от эффективности СЗИ, но и от эффективности подсистемы менеджмента инцидентов ИБ. Тогда как в известных работах при вычислении остаточных рисков менеджмент инцидентов ИБ не учитывается. Предложенный подход позволяет достигать требуемой величины остаточного риска при меньших затратах за счет постановки задачи распределения бюджета между финансированием СЗИ и управлением последствиями от инцидентов ИБ;

3) предложены качественные зависимости риска ИБ от времени длительности атаки, обусловленной средствами восстановления и средствами защитызависимости времени нахождения АС в незащищенном состоянии от стоимости средств восстановления. Подобные зависимости не встречаются в известной литературе, хотя позволяют более точно оценивать риски ИБ;

4) разработана методика синтеза СЗИ, в которой учтены новые подходы к оценке остаточного риска и реализация мероприятий менеджмента инцидентов ИБ;

5) для решения задачи оптимального выбора эффективного варианта СЗИ из ряда возможных впервые применен метод многокритериального потокового ранжирования, обладающий такими достоинствами, как простота вычислений и наглядность интерпретации результатов.

Теоретическая и практическая значимость. Разработанные модели и методики могут найти применение при обосновании проектов по созданию СЗИ НСД, лечь в основу нормативных документов в данной области, стать отправной точкой для дальнейших исследований в данной области.

Публикации. По теме диссертации опубликовано 14 работ.

Апробация работы. Основные научные результаты работы докладывались на 5 конференциях:

6-я Всероссийская научная конференция «Проблемы развития технологических систем государственной охраны, специальной связи и информации». Орел, 2009 г.;

Межвузовская научно-методическая конференция «Актуальные проблемы совершенствования системы качества образования». Калининград, 2010.;

IV Всероссийская научно-техническая школа-семинар «Информационная безопасность — актуальная проблема современности». Краснодар, 2012 г.;

XXXI Всероссийская научно-техническая конференция «Проблемы эффективности и безопасности функционирования сложных технических и информационных систем». Серпухов, 2012 г.;

8-я Межведомственная научная конференция «Актуальные проблемы развития технологических систем государственной охраны, специальной связи и специального информационного обеспечения». Орел, 2013 г.

Основные результаты, выносимые на защиту:

1) Модель защищенности автоматизированной системы от несанкционированного доступа, учитывающая зависимость рисков от длительности инцидентов ИБ.

2) Методика синтеза системы защиты информации автоматизированной системы от несанкционированного доступа с учетом менеджмента инцидентов информационной безопасности.

3) Алгоритм оптимального выбора эффективного варианта системы защиты информации от несанкционированного доступа на основе многокритериального потокового ранжирования.

Структура и объем работы. Диссертационная работа изложена на 141 стр. и включает 138 стр. основного текста, 30 рисунков, 13 таблиц.

Список литературы

содержит 63 наименования.

В первой главе выполнен анализ существующих подходов к моделированию и оптимальному построению системы защиты информации автоматизированных систем организации. При этом проанализированы требования законодательства, нормативных документов. Рассмотрены понятия рисков, инцидентов информационной безопасности и управления ими. Разработаны частные показатели эффективности АС. Поставлена задача на исследование.

Во второй главе разрабатывается модель защищенности автоматизированной системы от несанкционированного доступа с учетом обработки инцидентов информационной безопасности. В главе выполнен обзор известных работ по моделированию и оптимизации СЗИ. Показано, что остаточный риск ИБ зависит также от системы менеджмента Ж. Поставлена задача нахождения баланса между стоимостью средств защиты информации и средств восстановления после инцидентов информационной безопасности.

Введено понятие потенциала нападения нарушителя и предложен подход к оценке вероятности наступления преднамеренных атак. Описаны законы распределения непреднамеренных атак.

В третьей главе разработана методика синтеза системы защиты информации от несанкционированного доступа для автоматизированных систем с учетом анализа рисков и обработки инцидентов информационной безопасности. Рассмотрены все новые предлагаемые шаги методики, подробно рассмотрены вопросы менеджмента инцидентов ИБ.

В четвертой главе разработан алгоритм оптимального выбора эффективного варианта системы защиты информации от несанкционированного доступа на основе многокритериального потокового ранжирования. Приведена постановка и решение данной задачи. Также рассмотрены вопросы оптимального выбора СЗИ с использованием задач на основе дерева решений.

В заключении подведены итоги и даны предложения по направлениям дальнейших исследований.

Выводы по четвертой главе.

1. Приведена формальная постановка задачи оптимального выбора СЗИ и разработан алгоритм, основанный на использовании метода многокритериального потокового ранжирования (МПР).

2. Рассмотрены все этапы алгоритма, в частности, определение коэффициентов относительной важности критериев.

3. Введено понятие функции предпочтения, различные типы функций предпочтения и приведен внешний вид различных функций предпочтения.

4. Показана процедура построения матрицы многокритериального предпочтения, соответствующих графов и входящих/исходящих потоков.

5. Решение на создание СЗИ является по своей природе сложным решением, принимаемым в условиях риска. В случае, когда имеют место два или более последовательных множеств решений, соответствующим событиям, происходящим с некоторой долей вероятности, применяется дерево решений. В работе рассмотрено применение данного инструмента для анализа эффективности вариантов построения СЗИ.

6. Сравнение подходов к проектированию СЗИ показывает, что предложенная в работе методика развивает современные подходы к проектированию СЗИ и позволяет повысить эффективность проектируемой СЗИ.

7. Выполнен численный анализ эффективности построения СЗИ при трех подходах к ее построению. В качестве критерия эффективности бы использован критерий минимума среднего риска при ограничениях на стоимость СЗИ. Показана существенно большая эффективность подхода, основанного на анализе рисков и менеджменте инцидентов ИБ.

ЗАКЛЮЧЕНИЕ

.

Таким образом, цель диссертационной работы, заключающаяся в повышении эффективности СЗИ за счет учета рисков, менеджмента инцидентов ИБ и решения задачи многокритериального выбора СЗИ по предложенным ЧПЭ, достигнута. Разработанные модели и методики могут применяться при проектировании СЗИ, при оценке ее эффективности, а также при оценке существующих СЗИ.

Полученные научные результаты обладают научной новизной. В частности:

1) показано, что преднамеренные атаки не должны моделироваться пуассоновским законом распределения, как это общепринято. Предложена методика нахождения вероятностей преднамеренных атак на основе анализа потенциала нарушителя;

2) продемонстрировано, что остаточный риск ИБ зависит не только от эффективности СЗИ, но и от эффективности системы менеджмента инцидентов ИБ. Задача распределения бюджета на финансирование защиты от НСД и управления последствиями НСД поставлена как задача распределения ресурсов;

3) предложены качественные зависимости риска ИБ от времени длительности атаки, обусловленной средствами восстановления и средствами защитызависимости времени нахождения АС в незащищенном состоянии от стоимости средств восстановления;

4) разработана методика синтеза системы защиты информации с учетом остаточного риска и менеджмента инцидентов ИБ;

5) предложены новые частные показатели эффективности СЗИ, и решена задача оптимального выбора эффективного варианта СЗИ методом многокритериального потокового ранжирования.

К направлениям дальнейших исследований можно отнести:

1) нахождение аналитических выражений для описания плотности распределения преднамеренных атак, на основе анализа статистических данных об атаках;

2) разработка подходов к оптимальному построению системы менеджмента инцидентов ИБ. Разработка проекта нормативного документа в этой области.

3) нахождение аналитических зависимостей риска Ж от времени длительности атаки;

4) нахождение рациональных критериев для решения задачи выбора оптимального варианта построения СЗИ методом МПР. Апробирование данной методики в ходе проектирования СЗИ в рамках выполнения ОКР.