Семантические показатели защищенности ис

 

Предлагается при проведении инвестиционного ана­лиза СЗИ или для оценки ущерба в случае реализации угроз учитывать ущерб, как в стоимостном исчислении, так и не­материальный ущерб (табл. 1), нане­сенный репутации, конкурентным воз­можностям хозяйствующего субъекта (ХС).

Вводят семантические показатели «величина нематериального ущерба» и «вероятность нанесения ущерба» (табл. 2), которые связаны с частотой реализации угрозы за конкретный период времени.

 

Таблица 1.

Величина  ущерба	Семантический показатель «величина нематериального ущерба»
Ничтожный	Ущербом можно пренебречь
Незначительный	Затраты на ликвидацию последствий реализации угрозы невелики
Умеренный	Ликвидация последствий реализации угрозы не связана с крупными затратами, но положение рынке ухудшается, часть клиентов теряется
Серьезный	Затрудняется выполнение критически важных задач. Утрата на длительный период положения на рынке. Ликвидация последствий угрозы связана со значительными финансовыми инвестициями
Критический	Реализация угрозы приводит к невозможности решения критически важных задач. Организация прекращает существование

 

Таблица 2.

Частота реализации  угрозы	Значение  вероятности	Семантическая характеристика реализации  угрозы
Нулевая	Около нуля	Угроза практически никогда не реализуется
1 раз за несколько лет	Очень низкая	Угроза реализуется редко
1 раз за год	Низкая	Скорее всего, угроза не реализуется
1 раз в месяц	Средняя	Скорее всего, угроза реализуется
1 раз в неделю	Выше средней	Угроза почти обязательно реализуется
1 раз за день	Высокая	Шансов на положительный исход нет

 

Предлагается осуществлять анализ вариантов СЗИ по критерию «стоимость/эффективность», учитывая соображения:

• стоимость СЗИ не должна превышать опреде­ленную сумму (как правило, не более 20% от стоимости системы ИС);

• уровень ущерба не должен превышать заданное значение, например, «незначительный».

Представленные оценки отражают статическое состояние объекта защиты, исходя из имеющихся в СЗИ механизмов защиты, не учитывают действительную загруженность МЗ по нейтрализации последствия компьютерных атак, динамику изменения угроз, возможность адаптации СЗИ к изменению угроз, не дают рекомендаций на изменение состава механизмов защиты и структуры СЗИ.

 

Нечеткие оценки защищенности информационных систем

 

Иногда защищенность определяется исходя из ущерба ИС, связанного с реализацией угроз, носящих случайный характер, который оценивается через коэффициенты опасности угроз. Коэффициенты опасности представляются нечеткими величинами, а показатель защищенности ИС определяется посредством матрицы нечетких отношений между коэффициентом опасности множества угроз и степенью защищенности ИС.

Подход к оценке эффективности технической защиты инфор­мации (ТЗИ) в информационных системах основан на сравнении показателей защищенности без применения ТЗИ и с применением ТЗИ в условиях нечеткого представления о степени опасности комплекса ан­тропогенных и техногенных угроз.

Под эффективностью понимают меру достижения цели ТЗИ. Оценка эффективности ТЗИ — процесс установления соответствия между результатом защиты и поставленной целью. С ростом сложности объектов анализа, состава и характеристик угроз (особенно угроз несанкционированного удаленного доступа) задача количественной оценки защищенности актуальна.

Оценка эффективности ТЗИ возможна:

1) на основе сравнения значения показателя защищенности с нормативным (пороговым) значением;

2) на основе сравнения показателей защищенности информации без ТЗИ и в условиях ТЗИ.

Оба подхода применяются на уровне частных моделей и методик. Для комплексной оценки эффективности первый подход является мало приемлемым, т. к. сложно определить допустимые уровни снижения защищенности информации от комплекса угроз. Второй подход применим при сравнительном анализе эффективности мер и средств защиты информации и не позволяет определить достаточность ТЗИ.

Если защищенность информации оценивается показателем ₀ (t) без принятия мер защиты и _Т3И(t) в условиях ТЗИ, то эффективность ТЗИ может быть оценена относительным показателем 

Пусть известны возможные угрозы безопасности информации в ИС и любая из этих угроз проявляется и реализуется за рассматриваемый период t с некоторой вероятностью Р_реал.u(t). Ущерб D_u от реализации u-й угрозы является величиной случайной, распределенной в интервале [0, D_пр], где D_np — уровень ущерба, превышение которого неприемлемо. Если ущерб от реализации угрозы превышает D_np, то он принимается равным D_nр. Отношение D_u/D_np будет характеризовать уровень опасности u-й угрозы и вероятность, что ущерб будет не более D_u. Вероятность, что уровень ущерба при реализации совокупности п из U возможных угроз не превысит величину D_n :

или

где  — вспомогательный параметр, К_n и К_и — отношения соответственно D_n и D_u к D_np назовем коэффициентами опасности угроз, так как они соответствуют уровню наноси­мого ущерба, вплоть до неприемлемого.

Если рассматривать все U угроз и учесть, что коэффициенты опасности являются функциями времени, то последняя формула преобразуется к виду

Мера опасности угрозы - четко заданная величина либо нечеткая величина, характеризующая суждение эксперта об опасности угрозы. В первом случае защищенность ИС м.б. оценена показателем — «степень защищенности»

Данный показатель позволяет оценить эффективность ТЗИ как по всему множеству угроз, так и подмножеству угроз, составляющих определенную направленность: нарушение целостности, доступности или конфиден­циальности информации. Достоинство показателя — полиморфизм, исключающий корректи­ровку методов расчета в зависимости от состава угроз.

Определение коэффициентов опасности угроз в виде четких значений основано на ана­литических соотношениях, связывающих эти коэффициенты с показателями ценности ин­формации. Такие показатели в виде коэффициентов важности могут быть определены на основе эвристического анализа и категорирования информации в ИС по важности. Пусть информация на объекте информатизации представлена в виде файлов и для каждого файла пользователь устанавливает категорию важности информа­ции. Например, м.б. введены 4 категории важности информации: 1 — особо важная, 2 — очень важная, 3 — важная, 4 — маловажная. При этом все угрозы разделяются на 3 группы: нарушение целостности, доступности и конфиденциальности информации. Пользо­вателем эвристически определяются коэффициенты важности f-го файла Vz (t,f) < 1, относящегося к z-й категории.

Применительно к нарушению конфиденциальности информации соотношение для расчета коэффициентов опасности u-й угрозы имеет вид

а для угроз, направленных на нарушение целостности и доступности информации, или для комплексных угроз коэффициент опасности

где Z_u — количество категорий важности информации, для которой u-я угроза представляет опасность; F_z — количество подлежащих защите файлов в системе, имеющих z-ю категорию важности; P_вост.f(t) — вероятность восстановления за рассматриваемый период времени t целостности (доступности) информации, содержащейся в f-м файле (если файл не подвержен воздействию или коэффициент важности содержащейся в нем информации равен нулю, то эта вероятность тождественно равна 1).

При определении коэффициентов опасности угроз в виде нечетких величин необходимо проводить экспертный анализ опасности угроз. Такой подход может оказаться наиболее адекватным реальной опасности угроз, если анализ осуществляется высококвалифициро­ванными специалистами. Как правило, различные эксперты по-разному оценивают значение параметра и часто затрудняются задать конкретное число, поскольку существует много факторов, влияющих на оцениваемые величины и имеющих вероятностную природу. Для подобных ситуаций используется аппарат нечетких множеств, коэффициенты опасности задаются в виде нечетких чисел, способных принимать свои значения из определенного заданного интервала (множества) с различными значениями функций принадлежности [9].

Коэффициент опасности каждой угрозы описывается функцией принадлежности треугольной формы [10] (рис. 2).

 

Рис. 2.

Треугольное представление нечеткого числа.

 

То есть представляется тройкой чисел, определяющих левую и правую границу области определения, а также значение, соответствующее максимальной истинности коэффициента опасности угрозы. Значения функции принадлежности _А(х) для этих точек задаются так, что для средней точки это значение наибольшее, а остальные два являются нулевыми.

В соответствии с теорией нечетких множеств операции над значениями коэффициентов опасности К_и заменяются операциями над их функциями принадлежности _Ки (К_иi). При обработке результатов опроса экспертов функция принадлежности может потерять треугольный вид.

Для случая задания коэффициентов опасности угроз нечеткими числами формула для показателя «степень защищенности» запишется в виде

где операция ° умножения нечетких чисел производится по следующему правилу:

.

Назовем нечеткое множество К_, характеризующее опасности в ИС, пространством опасности (угроз) системы. Если между коэффициентом опасности множества угроз и показателем «степень защищенности» ИС имеется четкая зависимость, то она может быть представлена в простом виде

Часто соотношение между коэффициентом опасности совокупности угроз и степенью защищенности ИС оказывается приблизительным. В этом случае необходимо определить причинные отношения между значениями этого коэффициента (предпосылками) и конечным результатом — степенью защищенности  (заключениями).

Для этих целей как ключевой момент методики экспертного оценивания эффективности средств технической защиты инфор­мации вводится матрица нечетких отношений R размерностью n х m. В матрица нечетких отношений заключены правила, определяющие причинные отношения между каждым членом предпосылок К_ и каждым членом заключений (t) [10].

Элементы матрицы r_ij = _R (К_,) должны отражать нечеткие отношения между К_ и _i. Величину R можно рассматривать как нечеткое пространство на прямом произведении К_ x  полного пространства предпосылок К_ и полного пространства заключений, a процесс получения нечеткого результата  с использованием данных К_ и знания К_^эт ^эт (эталонного преобразования) можно представить в виде:

где знак • определяет операцию «max-min» композиции в качестве композиционного правила нечеткого вывода и операции взятия минимума в качестве нечеткой импликации

Размерность матрицы нечетких отношений определяется количеством заданных числовых градаций коэффициента опасности и порогов функции принадлежности. Корректная формализация правил, с помощью которых формируется эта матрица, определит точность и достоверность конечного результата, являющегося выводом системы экспертного оценивания.

Возможны несколько вариантов построения правил вывода в зависимости от важности объекта информатизации и отношения к нему экспертов. Однако наиболее широко в экспертных оценках [10] используется набор правил, основанный на определении связи коэффициента К_ и показателя защищенности системы  в виде пропорциональной зависимости с равномерным уменьшением достоверности оценки. В простейшем случае значения элементов матрицы нечеткого вывода рассчитываются по формуле

Оценить эффективность ТЗИ можно, определяя степень защищенности (t) в условиях отсутствия и применения мер ТЗИ. Для этого осуществляют дефаззификацию [11] одним из следующих способов;

1) задавшись требуемым уровнем функции принадлежности _ (), проводят отсечение и выбирают первое приемлемое значение 

2) проводят отсечение по способу 1 и берут два крайних значения _н и _к. Тогда значение коэффициента защиты будет определяться как:

со степенью достоверности:

Зная нечеткие значения и функции принадлежности коэффициентов опасности угроз, можно с учетом вероятностей реализации угроз по правилам теории нечетких множеств рассчитать нечеткие значения степени защищенности объекта информатизации от комплекса угроз.

Недостатками подобного оценивания являются статичность оценки защищенности и отсутствие взаимосвязи показателей защищенности с местоположением МЗ в структуре системы информационной безопасности (СИБ).

 

Комплексные оценки защищенности ИС.

 

Динамичный характер оценки защищенности ИС  обеспечивает модель адаптивной СИБ. Одним из компонентов СИБ является блок расчета показателей защищенности, который совместно с методикой оценки защищенности  ИС, позволяет:

                    обеспечить близкое к оптимальному отношение «стоимость/ эффективность» СИБ за счет использования только необходимых МЗ,

                    отслеживать динамику использования МЗ при изменении множества угроз,

                    формировать спецификацию требований на отсутствующие МЗ,

                    оценивать защищенность ИС через величины ожидаемого ущерба и интегральные показатели активности МЗ, распределенных по СИБ.

Решение о расширении классификаций угроз и МЗ производится в соответствии с системой оценок достоверности нейтрализации угроз в разрезе отдельных МЗ или уровней СИБ и аналогичных оценок предполагаемого ущерба, соотносимых с отдельными МЗ или уровням СИБ. Ущерб рассматривается в относительных величинах, к примеру, по отношению к значению допустимого ущерба в ИС хозяйствующего субъекта.

Результаты экспертных оценок представляют в виде матрицы достоверности «угрозы – уровни СИБ»:

где m – число механизмов защиты, n - число уровней СИБ.

Активность уровня СИБ по нейтрализации угроз, входящих в систему предикатных правил в качестве посылок, определяют строкой интегральных показателей строкой показателей значимости уровня в структуре СИБ:

,

нормированных по значению максимального из   или по значению суммы элементов строки показателей значимости  . Сопоставление интегральных показателей в пределах строки позволяет выявить наиболее активные уровни модели СИБ по нейтрализации угроз.

Аналогично можно получить столбец интегральных показателей активности использования механизма защиты на всех уровнях СИБ:

.

Сопоставление интегральных показателей в пределах столбца дает возможность выявить наиболее активно используемые МЗ в структуре СИБ. Анализ интегральных показателей позволяет обосновать целесообразность использования МЗ в составе соответствующего уровня СИБ.

Использование экспертных оценок и отражение в структуре нейронечеткой сети опыта экспертов ИБ сопровождают проверкой на непротиворечивость результатов опроса экспертов. Непротиворечивость экспертных оценок может быть обеспечена применением, например, метода экспертных оценок матрицы нечетких отношений [8] или метода на основе расчета максимального собственного значения матрицы парных сравнений [13].

Приведенные показатели будут более информативными, если учитывать не только достоверность использования МЗ в структуре СИБ, но и показатели предполагаемого ущерба, возникающего при реализации угроз в ИС и который может быть предотвращен системой информационной безопасности.

С этой целью по аналогии с [8] оценку защищенности можно косвенно связать с предотвращением ущерба и использовать экспертные оценки для сопоставления множества угроз с потенциальным ущербом от их реализации  и размера ущерба с местом реализации угрозы в структуре ИС.

Для классов защищенности автоматизированных систем согласно РД ФСТЭК получены рейтинговые оценки, сопоставленные с известными из научных источников [6] оценками защищенности АС (рис. 3).

 

Рис. 3.

Рейтинговые оценки АС по классам защищенности РД ФСТЭК.

 

Показатели применимы для оценки защищенности систем по множеству известных угроз и по подмножеству угроз: нарушения целостности, конфиденциальности, доступности информации.

Проведенный анализ показал необходимость разработки обобщенного количественного показателя для оценки свойства «защищенность» ИС, который должен объединить положительные стороны известных подходов с целью его дальнейшего использования в качестве целевой функции для оптимизации структуры информационной системы по критерию «стоимость/защищенность».

Кроме того, необходима разработка процесса двухступенчатой оптимизации средств мониторинга безопасности ИС, включающего:

                    оптимизацию набора функций безопасности объекта оценки в условиях бюджетных ограничений;

                    оптимизацию размещения механизмов защиты в структуре системы информационной безопасности по критерию максимизации рейтингового показателя защищенности ИС.

 

С ростом сложности объектов информатизации, изменением множества и характера угроз информационной безопасности, особенно угроз несанкционированного удаленного доступа к ресурсам и процессами критических информационных систем, задача количественной оценки защищенности является актуальной.

Корректная оценка защищенности критических информационных систем необходима для выполнения сравнения аналогичных по назначению и уровню сложности систем либо для мониторинга динамики уровня защищенности конкретной информационной системы во времени.

Лекция 2. Сервисы, обеспечивающие информационную безопасность в многоканальных телекоммуникационных системах и и сетях электросвязи

План:

1. Ограничение физического доступа к автоматизированным системам;

2. Идентификация и аутентификация пользователей;

3. Ограничение доступа в систему;

4. Разграничение доступа;

5. Регистрация событий (аудит).

Анализируя обсуждаемые выше модели и сценарии защиты объекта, реализующие ПБ на программно-техническом уровне, необходимо отметить, что основными составляющими (компонентами, элементами) интегрированного набора средств защиты являются сервисы ИБ. Некоторые из них, как правило, проблемно-ориентированные (например, защита отдельных сервисов, высокопроизводительных вычислительных систем, крупных коммуникационных узлов сетей, банковских документов и т. п.) или функционально ориентированные (экранирование, идентификация-аутентификация, управление доступом и т. п.) являются составными и включают в себя более мелкие, в том числе атомарные (или неделимые) сервисы.

К числу базовых среди сервисов ИБ можно отнести сервисы, выполняющие следующие функции:

• защита среды передачи;

• защита данных при передаче;

• экранирование и фильтрация (защита периметра);

• идентификация / аутентификация;

• разграничение доступа;

• протоколирование и аудит.

Отдельные из перечисленных сервисов или их комбинации составляют ядро модели (сценария), реализующей ПБ любой, сколь угодно сложной системы информационных технологий, включая комплекс, объединяющий распределенные сетевые объекты.

Кратко остановимся на особенностях каждого из функциональных сервисов с точки зрения задач, связанных с развитием их математического, алгоритмического и программного обеспечения.