5. Основы теории защиты информационных процессов от несанкционированного доступа

   1. Модель поведения потенциального нарушителя

Нарушением считается попытка несанкционированного доступа к подлежащей защите информационных процессов. Поскольку невозможно предсказать время и место НСД, то, безусловно, целесообразно создать модель поведения потенциального нарушителя, предполагая наиболее опасную ситуацию:

1. нарушитель может появиться в любое время в месте периметра охраняемой зоне;

2. квалификация и осведомленность нарушителя может быть на уровне разработчика данной КС;

3. постоянно хранимая информация и принципах работы системы (включая секретную информацию) нарушителю известна;

4. для достижения своей цели нарушитель выберет наиболее слабое звено в защите;

5. нарушителем может быть не только постороннее лицо, но и законный пользователь;

6. нарушитель действует один.

На основе анализа перечня опасных ситуаций для выбора модели поведения потенциального нарушителя целесообразно дифференцированного подхода. Поскольку квалификация нарушителя понятие относительное за основу принимается четыре класса безопасности:

1- й класс рекомендуется для защиты жизненно важной информации, утечки, разрушение или модификация которой может привести к большим последствиям. Прочность защиты должна быть рассчитана на нарушителя-профессионала;

2-й класс рекомендуется использовать для защиты важной информации при работе нескольких пользователей, имеющих доступ к разным массивам данных или формирующих свои файлы, недоступные другим пользователям. Прочность защиты должна быть рассчитана на нарушителя высокой квалификации, но не взломщика-профессионала;

3-й класс рекомендуется использовать для защиты относительно важной информации, постоянный несанкционированный доступ к которой путем ее накопления может привести к утечки более важной информации. Прочность защиты при этом должна рассчитана на относительно квалифицированного нарушителя-профессионала;

4-й класс рекомендуется для защиты прочей информации, не представляющей интереса для серьезных нарушителей. Однако его необходимость диктуется соблюдением технологической дисциплины учета и обработки информации служебного пользования в целях защиты от случайных нарушений в результате безответственных пользователей и некоторой подстраховки от случаев преднамеренного НСД.

Реализация перечисленных уровней безопасности должна обеспечиваться необходимым набором средств защиты в соответствии с ожидаемым классом потенциального нарушителя. Уровень безопасности защиты внутри класса обеспечивается количественной оценкой прочности отдельных средств защиты и оценкой прочности контура защиты от преднамеренного НСД по расчетным формулам.

2. Модель защиты информационного процесса

Модель элементарной защиты. Модель элементарной защиты информационных процессов представлена на (Рис. 5. 1). Предмет защиты помещен в замкнутую защитную оболочку, называемой преградой. Прочность защиты зависит от свойств преграды. Способность противостоять вторжению со стороны нарушителя характеризуется прочностью преграды. Таким образом производится оценка защищенности информации и их процессов КС. При этом считается, прочность созданной преграды достаточна, если стоимость ожидаемых затрат на ее преодоление потенциальным нарушителем превышает стоимость защищаемой информации. Однако возможен и другой подход в оценки прочности защиты.

Рис. 5. 1. Модель элементарной защиты (1 – предмет защиты; 2 - преграда; 3 – прочность преграды)

Известно, что информация со временем теряет свою привлекательность, стареет, а в отдельных случаях ее цена может упасть до нуля. Тогда за условие достаточности защиты можно принять превышение затрат времени на преодоление преграды нарушителем над временем жизни информации. Если вероятность непреодоления преграды нарушителем через P_сзи, время жизни информации через t_ж, ожидаемое время преодоления преграды нарушителем через t_н, вероятность обхода преграды нарушителем через P_обх, то для случая старения информации условие достаточности получается в виде:

P_сзи = 1, если t_ж < t_н и P_обх = 0.

P_обх равное нулю, отражает необходимость замыкания преграды вокруг предмета защиты. Если t_ж > t_н , а P_обх = 0, то

P_сзи = (1- P_нр), (5.1)

где P_нр – вероятность преодоления преграды нарушителем за время меньшее t_ж.

Для реального случая, когда t_ж > t_н и P_обх > 0, прочность защиты представляется в виде:

P_сзи = (1- P_нр) (1- P_обх),

P_нр =0, если t_ж < t_н ; P_нр >0, если t_ж  t_н.

Последнее выражение справедливо при наличии двух нарушителей, т.е. когда один преодолевает преграду, другой в это время ее обходит. При условии если в наличии имеется один нарушитель, то нарушитель выберет наиболее простой т.е.:

P_сзи = (1- P_нр)  (1- P_обх), (5.2)

где знак  означает логическое действие “ИЛИ”

Следовательно, прочность преграды после определения и сравнения будет равна меньшему значению из них (5.2).

В качестве примера элементарной защиты, рассчитываемой по формуле (5.2), может названа криптографическая защиты информации, где величина P_нр может быть определена путем оценки вероятности подбора кода ключа, с помощью которого можно дешифровать закрытую информацию и определится по формуле:

, (5.3)

где n - количество попыток подбора кода;

A - число символов в выбранном алфавите кода ключа;

S - длина кода ключа в количестве символов.

Величина P_обх – зависит от выбранного метода шифрования, способа применения, полноты перекрытия текста информации, существующих методов криптоанализа, а также способа хранения действительного значения кода ключа и периодичности его замены на новое значение, если информация, закрытая данным способом, постоянно хранится у владельца. Возможны также и другие обстоятельства, влияющие на вероятность обхода криптографической защиты. Выбор и определение конкретной величины P_обх сначала проводится экспертным путем на основе опыта специалиста. Величина P_обх = 1 защиты теряет всякий смысл.

Возможна также и другая ситуация при которой у одной преграды есть несколько путей обхода. Тогда выражение (5.2) примет вид:

P_сзи = (1- P_нр)  (1- P_обх1)  (1- P_обх2)  ...  (1- P_обхk), (5.4)

где k - число путей обхода преграды, т.е. прочность преграды равна наименьшему значению, полученному после определения и сравнения величин

(1 - P_нр), (1- P_обх1), (1- P_обх2), ... , (1- P_обхk).

В случае если информация, подлежащая защите, не устаревает или периодически обновляется, т.е. t_ж > t_н постоянно или когда t_н > t_ж невозможно обеспечить, то применяется постоянно действующая преграда, обладающая свойствами обнаружения и блокировки доступа нарушителя к предмету или объекту защиты. В качестве защиты используется человек или автоматизированная система под контролем человека. Безусловно, параметры этой преграды будут влиять на ее прочность.

Способность преграды обнаруживать и блокировать НСД должна учитываться при оценке ее прочности путем введения в расчетную формулу (5.4) вместо (1- P_нр), где P_обл - вероятность обнаружения и блокировки несанкционированного доступа.

Принцип работы автоматизированной преграды основан на том, что производится периодический контроль датчиков обнаружения нарушителя. Периодичность контроля может достигать сотые доли секунды и менее. В этом случае ожидаемое время преодоления преграды нарушителем превышает время опроса датчиков обнаружения. Поэтому такой контроль считается постоянным. Но для обнаружения нарушителя человеком (оператором) этого недостаточно. Необходимо время для срабатывания тревожной сигнализации, так это время значительно превышает время опроса датчиков и тем самым увеличивается время обнаружения нарушителя. Практика показывает, что сигнал тревоги, как правило, приостанавливает действия нарушителя, если этот сигнал дошел до него. Но поскольку физический доступ к объекту еще открыт, то охрана должна локализовать нарушителя и организовать его блокировку.

Таким образом, условие прочности преграды с обнаружением и блокировкой НСД можно представить в виде соотношения:

, (5.5)

где T_д - период опроса датчиков;

t_ср - время срабатывания тревожной сигнализации;

t_ом - время определения места доступа;

t_бл - время блокировки доступа.

Если (T_д + t_ср + t_ом + t_бл) через T_обл, получим соотношение

, (5.6)

где T_обл - время обнаружения и блокировки несанкционированного доступа.

Процесс контроля НСД и несанкционированных действий нарушителя представлен на рисунке (Рис. 5. 2).

Рис. 5. 2. Временная диаграмма контроля НСД

Из диаграммы видно, что нарушитель может быть не обнаружен в двух случаях:

а) когда t_н < T;

б) когда T < t_н < T_обл;

В первом случае требуется дополнительное условие - попадание интервала времени t_н в интервал T, т.е. необходима система синхронизация действий нарушителя с частотой опроса датчиков обнаружения. Для решения этой проблемы нарушителю придется скрытно подключить измерительную аппаратуру в момент выполнения НСД, что является достаточно сложной задачей для постороннего человека. Поэтому считаем, что свои действия с частотой опроса датчиков он синхронизовать не может и приходится надеяться на некоторую вероятность попадания отрезка времени t_н в промежуток между импульсами опроса датчиков, равный T.

Согласно определению геометрической вероятности (курс теории вероятности) получим выражение для определения вероятности успеха нарушителя в следующем виде.

. (5.7)

Вероятность обнаружения НСД нарушителя определяется выражением:

(5.8)

или , (5.9)

если t_н > T нарушитель будет обнаружен наверняка, т.е. T_об =1. Во втором случае, когда T < t_н < T_обл, вероятность успеха нарушителя будет определяться по аналогии с предыдущим соотношением:

. (5.10)

Вероятность обнаружения и блокировки НСД:

(5.11)

. (5.12)

При t_н. > T_обл попытка НСД не имеет смысла, так как она будет обнаружена.

Таким образом, прочность преграды со свойствами обнаружения и блокировки можно производить по формуле:

P_сзи = P_обл  (1- P_обх1)  (1- P_обх2)  ...  (1- P_обхj), (5.13)

где j - число путей обхода этой преграды;

 - знак “ИЛИ”.

Следует отметить, что эта формула справедлива также и для организационной меры защиты.

Для более полного представления прочности преграды в виде автоматизированной системы обнаружения и блокировки НСД необходимо учитывать надежность ее функционирования и пути возможного обхода ее нарушителем.

Вероятность отказа системы определяется ее по формуле:

P_отк (t) = 1 – e^-t, (5.14)

где  - интенсивность отказов группы технических средств, составляющих систему обнаружения и блокировки НСД;

t - рассматриваемый интервал времени функционирования системы обнаружения и блокировки НСД.

С учетом возможного отказа системы контроля прочность преграды будет:

P_сзиК = P_обл (1- P_отк1)  (1- P_обх1)  (1- P_обх2)  ...  (1- P_обхj), (5.15)

где P_об.л и P_отк определяется по формулам (5.12) и (5.14);

P_обх – количество путей обхода j определяется экспертным путем на основе анализа принципов построения системы контроля и блокировки НСД.

Одним из возможных способов обхода системы обнаружения и блокировки – возможное ее отключение или замыкание (обрыва) контрольных цепей. Таким образом следует, что защитные преграды могут быть двух типов контролируемые и неконтролируемые человеком. Неконтролируемые определяется по формуле (5.4), а контролируемые (5.15).

Значения P_обх1, P_обх2 ,…, P_обхj определяются в пределах от 0 до 1 экспертным путем на основе опыта специалистов. При экспертной оценке вероятности наступления того или иного события (Р_нр, Р_обх и т. д.) в целях унификации метода за основу приняты следующие градации значений [3]:

Р = 0 — событие невозможно;

Р = 0,2 — событие маловероятно;

Р = 0,5 — событие вероятно наполовину;

Р = 0,8 — событие вполне вероятно;

Р = 0,95 — вероятность события высокая;

Р = 1 — событие произойдет наверняка.

Модель многозвенной защиты. На практике в большинстве случаев защитный контур состоит несколько “соединенных” между собой преград с различной прочностью. Модель такой защиты представлена на рис 5.3. Примером такого вида защиты может служить помещение, в котором хранится оборудование. В качестве преград с различной прочностью здесь могут служить стены, пол, окна и замок на двери.

Рис. 5. 3. Модель многозвенной защиты (1-преграда 1; 2- преграда 2; 3 предмет защиты; 4-прочность преграды; 5-преграда 3)

Для вычислительной системы соединение преград имеет несколько иную реализацию. Здесь следует отнести систему контроля доступа к аппаратуре, систему защиты от вскрытия, систему опознавания, систему, контролирующую доступ к периметру компьютерной системы. Однако такая система не является замкнутой. Система не защищена от доступа к средствам отображения информации, документирования, от побочного излучения и другим каналам. Таким образом, в состав защиты информационных процессов войдут еще система контроля доступа в помещение, система шифрования и т.п. Таким образом, система защиты не будет замкнутой и будет оставаться не защищенной пока есть возможность каналов утечки.

Формальное описание для прочности многозвенной защиты практически совпадает с выражениями (5.2) и (5.15), так как наличие нескольких обходных путей одной преграды, не удовлетворяющей для неконтролируемой преграды.

P_сзи = P_сзи1  P_сзи2 P_сзи3 ... P_сзиi  (1- P_обх1)  (1- P_обх2)  ...  ·(1- P_обхk), (5.16)

где P_сзиi - прочность i-той преграды.

Выражение для прочности многозвенной защиты с контролируемыми преградами будет иметь вид:

P_сзиk = P_сзиk1  P_сзиk2 P_сзиk3 ... P_сзиkn  (1- P_обх1)  (1- P_обх2)  ...  (1- P_обхj), (5.17)

где P_сзиkn - прочность n-ой преграды.

Здесь следует, что оценка прочности защиты информации для неконтролируемой и контролируемой преграды могут быть раздельными, так как исходные данные для них различны.

Если прочность слабейшего звена удовлетворяет предъявленным требованиям контура защиты в целом, возникает вопрос об избыточности прочности на всех остальных звеньях данного контура. Поэтому при проектировании экономически целесообразно использовать равнопрочные звенья. При расчете прочности контура защиты возникает ситуация, когда звено с наименьшей прочностью не удовлетворяет предъявленным требованиям. В этом случае звено заменяют на более прочное или его дублируют. Иногда дублируется слабое звено двумя и более преград. Дополнительные преграды должны перекрывать то же количество или более возможных каналов НСД, что и первая. Тогда суммарная прочность дублированных преград будет:

, (5.18)

где - порядковый номер преграды;

m - количество дублирующих преград;

P_i - прочность i-й преграды.

Участок защитного контура с параллельными (дублированными) преградами иногда называют многоуровневой защитой. В компьютерной системе защитные преграды часто перекрывают друг друга (например, системы контроля доступа в помещение, охранной сигнализации и контрольно-пропускного пункта на территорию объекта защиты).

Многоуровневая защита. В ответственных случаях при повышенных требованиях к защите применяется многоуровневая защита, модель которой представлена на рис 5.4. Данная модель позволяет систематизировать работу по созданию комплексной системы защиты информации и информационных процессов [6].

В качестве объекта защиты в такой модели являются: информационные ресурсы, информационные процессы и информация.

Рис. 5. 4. Модель многоуровневой защиты информации

1, 2,…, N – уровни защиты; P_1,k – прочность 1-го уровня k-го звена; P_2,l – прочность 2-го уровня l-го звена; P_N,m – прочность N-го уровня m-го звена.

Число уровней защиты компьютерной системы или сети должно быть не менее четырех.

• Внешний уровень, охватывающий территорию, где расположено оборудование системы или сети.

• Уровень сооружений, помещений или устройств.

• Уровень компонентов системы (технических средств, программного обеспечения, элементов баз данных).

• Уровень технологических процессов обработки данных (ввод-вывод, внутренняя обработка т.д.).

При практической реализации системного подхода принимают три положения: 1) система защиты и внедрение системы защиты проводится одновременно с разработкой компьютерной системы; 2) реализация функции защиты - преимущественно аппаратная; 3) строгое доказательство обеспечения задаваемого уровня защиты.

Прочность многоуровневой системы защиты определяется выражением

, (5.19)

где - суммарная прочность системы защиты;

- прочность n-го уровня;

N – число уровней системы защиты.

При P_N = 0 данный уровень в расчет не принимается. При P_N = 1 остальные уровни являются избыточными. Данная модель справедлива для контуров защиты, перекрывающие одни и те же каналы ВКНСД к одному и тому же предмету.

Прочность защиты преграды является достаточной, если затраты на создание систем защиты адекватны ценности объекта защиты и ожидаемое время преодоление ее нарушителем больше времени жизни предмета защиты или больше времени обнаружения и блокировки его доступа при отсутствии путей скрытого обхода этой преграды.

При расчете суммарной прочности нескольких контуров защиты в формулу (5.18) вместо P_i включают P_кi - прочность каждого контура, значение которой определяется по одной из формул (5.16) и (5.17), т.е. для контролируемых и неконтролируемых преград опять расчеты должны быть раздельными и производиться для разных контуров, образующих каждый отдельную многоуровневую защиту. При P_кi =0 данный контур в расчет не принимается. При P_кi =1 остальные контуры являются избыточными. Данная модель справедлива лишь для контуров защиты, перекрывающие одни и те же каналы НСД к одному и тому же предмету защиты.