Модель и метод дуального субъектного взаимодействия в нотации стандарта ГОСТ ИСО\МЭК 15408 (ОК)

Стандарт ГОСТ Р ИСО/МЭК 15 408 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий» (краткое название — «Общие критерии», сокращенно — ОК) начал действовать в России с 1 января 2004 г.

Разработка этого стандарта преследовала следующие основные цели:

• унификация национальных стандартов в области оценки безопасности ИТ;

• повышение уровня доверия к оценке безопасности ИТ;

• сокращение затрат на оценку безопасности ИТ на основе взаимного признания сертификатов. [6].

Международный стандарт ISO/IEC 15 408, а также его российский вариант ГОСТ Р ИСО/МЭК 15 408 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий» в применении к оценке безопасности изделий информационных технологий (ИТ) являются по сути «метасредствами, задающими систему понятий, в терминах которых должна производиться оценка, и содержащими относительно полный каталог требований безопасности (функциональных и доверия), но не предоставляющих конкретных наборов требований и критериев для тех или иных типов продуктов и систем ИТ, выполнение которых необходимо проверять. Эти требования и критерии фигурируют в профилях защиты (ПЗ) и заданиях по безопасности (ЗБ)"[51].

Внедрение ОК в России спланировано поэтапно. До 2007 г. организации, в информационных системах которых циркулирует конфиденциальная информация, могут самостоятельно выбирать по каким стандартам (старым или новым) проводить аттестацию. Однако, поскольку внедрение нового.

ГОСТ является частью правительственной программы по вступлению России в ВТО (что предполагает, в частности, унификацию некоторых стандартов в области информационной безопасности), в настоящее время становится неизбежной масштабная деятельность по оцениванию и сертификации продуктов ИТ по стандарту ОК [17].

Помимо безусловно важных методов и рекомендаций по оценке информационной безопасности ИТ ОК так же содержат системотехническую модель общего контекста безопасности (ОКБ), иллюстрирующую взаимодействие высокоуровневых понятий информационной безопасности и их взаимосвязь [58].

Однако, указанный стандарт не учитывает дуальный характер конкурентного взаимодействия двух субъектов — Владельца информационного актива и Нарушителя информационной безопасности, что не позволяет на практике построить обоснованный профиль защиты. Для того чтобы должным образом учесть этот аспект в вышеуказанном взаимодействии требуется усовершенствовать и уточнить модель ОКБ.

Расширенная трактовка взаимодействия субъектов ОКБ требует создания программно-инструментальных средств, реализующих модель данного взаимодействия.

Современные методы разработки подобных средств предполагают широкое применение формальных и структурных моделей предметной области, по крайней мере, на стадиях специфицирования и высокоуровневого проектирования. [13].

Решение перечисленных задач, как и многих других, связанных с переосмыслением подхода ОК к контексту ОКБ представляется трудновыполнимым без представления модифицированной модели ОКБ и взаимосвязей ее элементов в интегральной структурированной форме, то есть в виде формальных моделей. Разработка таких моделей является совершенно необходимым условием для применения новых подходов на практике.

Целью данной работы является уточнение модели ОКБ в части учета дуального субъектного взаимодействия и метода оценки защищенности ИТ на основе указанной модели.

Объектом исследования в данной работе является модель ОКБ как совокупность понятий, методов, средств, функций и процессов.

Предметом исследования в работе являются структурные, математические, формальные и имитационные модели защищенности информационных технологий, описывающие взаимодействие элементов ОКБ ОК и их взаимосвязи, а также процессы деятельности разработчиков систем защиты информации (СЗИ).

Для решения поставленных задач планируется использовать методы объектного, функционального, информационного и имитационного моделирования, математические методы оптимизации, математические методы микроэкономики, методы теории игр.

Разрабатывается структурная модель дуального взаимодействия Субъектов ОКБ, отличающаяся от существующей модели усовершенствованием структуры своих элементов и наличием механизма дуального конкурентного взаимодействия.

Разрабатывается формализованная системотехническая модель взаимодействия субъектов ОКБ, отличающаяся от существующей модели наличием цепного механизма развития конкурирующих субъектов.

Разрабатывается математическая балансная модель защищенности ИТ, отличающаяся от существующей введением функции защищенности ИТ и прослеживаемыми зависимостями между коэффициентами атаки и защиты.

Разрабатывается методика оценки проектируемой системы защиты информации по критерию «эффективность-стоимость», учитывающая специфику СЗИ как комплексного объекта моделирования.

Предлагаются методы применения системы структурных моделей основных компонентов защищенности ИТ в нотации ОК для решения разнообразных практических задач, связанных с развитием научных подходов к модели ОКБ.

Разрабатывается программно-инструментальный комплекс имитационного моделирования, использующий принципы теории игр, который позволяет выявить влияние различных критериев на исход конфликтного взаимодействия субъектов ОКБ.

Научная новизна результатов работы обусловлена следующими факторами:

1. Выполненные исследования позволят учесть характер поля угроз и его источники, применительно к ОКБ.

2. Разрабатывается усовершенствованная и уточненная модель ОКБ, применительно к ситуации дуального конфликтного взаимодействия.

3. Используются методики оценки проекта по критерию «эффективность-стоимость» применительно к разработке СЗИ.

4. Применяются методы научного моделирования и теории игр при разработке моделирующего комплекса, реализующего конфликтное взаимодействие субъектов ОКБ.

Разрабатываемые в работе формальные модели взаимодействия двух конкурирующих фирм в условиях дуального конфликта являются необходимой базой разработки функциональных и проектных спецификаций для программного обеспечения поддержки проектирования СЗИ по ОК.

Примененная в диссертации методика оценки разрабатываемой СЗИ по критерию «эффективность-стоимость» и программно-инструментальный комплекс поддержки деятельности по аудиту уязвимостей СЗИ в условиях дуального конкурентного взаимодействия могут использоваться для решения широкого спектра практических задач.

Материалы диссертации могут быть использованы при разработке методических материалов для учебного процесса в вузах, осуществляющих подготовку специалистов по информационной безопасности, а также в системе повышения квалификации сотрудников испытательных лабораторий, центров аудита ИБ, фирм-разработчиков и организаций-пользователей.

Помимо приведенных выше областей практической деятельности, построенные в работе формальные модели защищенности ИТ могут использоваться при разработке семейств профилей защиты и заданий по безопасности конкретных ИТ. Важную, как в теоретическом, так и в практическом отношении, область приложений полученных результатов составляет решение задач согласования международных, национальных и корпоративных стандартов в области информационной безопасности, в частности — интеграция государственных стандартов РФ в систему оценки и сертификации по ОК.

Основные положения и результаты диссертационной работы докладывались и обсуждались на XXXVI научной и учебно-методической конференции Санкт-Петербургского Государственного университета информационных технологий, механики и оптики (СПбГУ ИТМО), 30 января — 02 февраля 2007, г. С-Петербург, на IV межвузовской конференции молодых ученых (13 — 14 апреля 2007 г., г. Санкт-Петербург), на 11-ой научно-технической конференции «Майоровские чтения. Теория и технология программирования и защиты информации. Применение вычислительной техники» (18 мая 2007 г., г. Санкт-Петербург), на VI Всероссийской конференции «Обеспечение информационной безопасности. Региональные аспекты» (11−15 сентября 2007 г. г. Сочи) и на V Санкт-Петербургской межрегиональной конференции «Информационная безопасность регионов России (ИБРР-2007) (23−25 октября 2007 г. г. Санкт-Петербург).

Структура и объем диссертации

.

Диссертация состоит из списка сокращений, введения, четырех глав, заключения, списка литературы и двух приложений. Материал изложен на.

156 страницах машинописного текста, содержит 14 рисунков и 2 таблицы, список литературы состоит из 56 наименований.

Во введении обосновывается актуальность темы, сформулированы её цель, научная новизна, приведены сведения о практическом использовании полученных научных результатов и представлены основные положения, выносимые на защиту.

В первой главе представляется постановка задачи исследования общего контекста безопасности ИТ и доказывается насущная необходимость разработки альтернативного подхода к нему.

В первом разделе данной главы анализируется эволюция линейки стандартов «Общие Критерии» и описаны цели, стоявшие перед разработчиками. Далее говорится о гармонизированном российском переводе данного стандарта, а именно ИСО/МЭК 15 408. 26−29] Дается краткий обзор актуальных практических задач, решаемых в процессе развития стандарта, и обосновывается необходимость формализованного моделирования концепции ОКБ ОК для их успешного решения.

Во втором разделе обосновывается необходимость и актуальность построения структурных моделей концепции ОКБ ОК в целом и ее компонентов и дается обзор существующих работ по этой тематике. Здесь же дается описание модели общего контекста безопасности в нотации ОК и приводятся выдержки из подхода ОК к концепции ОКБ. Так же говорится о том, как важно построить точную формализованную модель ОКБ и учесть все аспекты взаимодействия ее элементов. Далее приводится системотехническая модель концепции ОКБ, учитывающая принципы взаимодействия систем-элементов ОКБ, его особенности и решаемые задачи. Здесь же говорится о разнообразии вариантов принятия решений по защите ИБ и необходимости ввести специальный критерий для сравнения эффективности деятельности системы.

В третьем разделе обосновывается актуальность математического исследования взаимодействия элементов ОК в рамках концепции ОКБ. Далее, на основе разрабатываемых математических моделей, приводится идея построения имитационной модели вышеуказанного взаимодействия. Приводится краткая справка по использованию имитационного моделирования и отмечаются некоторые важные аспекты, которые следует учесть при создании имитационной модели и проведении экспериментов. Здесь же перечисляются некоторые статистические и иные методы, которые могут быть полезны как при определении, так и при описании соотношений между компонентами и переменными систем.

В результате анализа, в качестве основного для создания модели проведения серии экспериментов выбирается метод Монте-Карло благодаря своей наглядности и относительной простоте функционирования.

Во второй главе представляются формальные модели защищенности в контексте ОК, как решение поставленной в первой главе задачи.

В первом разделе второй главы задача структурного моделирования защищенности ИТ раскрывается как задача построения структурных моделей основных компонентов ОК, приводится возможный спектр этих моделей, обосновывается минимальный набор из трех моделей (структурная модель дуального взаимодействия субъектов ОКБ, формализованная системотехническая модель взаимодействия субъектов ОКБ, математическая балансная модель защищенности) и формулируется порядок их построения, согласования, уточнения и пополнения. Далее по приведенному в ОК описанию общего контекста безопасности ИТ строится его структурная модель и описываются методы ее уточнения и пополнения. Затем анализируется взаимодействие элементов вышеупомянутой модели, и по результатам анализа строится структурная модель дуального взаимодействия Субъектов ОКБ. (рис. 1) т0 к о Я.

О «I О я н.

X р о to Л) й О" 1 to vcr я о.

— i о W и р

К? о to О) St о н, а к Q.

О о>

О) я о а.

О «fcrt.

В конце раздела проводится анализ конкурентного взаимодействия субъектов ОК в условиях дуального информационного противоборства и на основании полученных данных разрабатывается математическая балансная модель защищенности:

Имеются следующие элементы математической модели: Главные элементы:

Al, А2 — активы, принадлежащие соответственно субъекту, А и субъекту.

В.

Yl, Y2 — уязвимости в СЗИ субъекта, А и субъекта В соответственно. J1, J2 — угрозы, порождаемые в отношении друг друга субъектами, А и.

В.

Побочные элементы:

JotI, Jot2 — все угрозы, отраженные СЗИ субъектов, А и В соответственно.

1ота1, JoTa2 — угрозы, активно отраженные СЗИ субъектов, А и В. Коэффициенты:

Jot1 Jot2.

Кз1=——, Кз2 — коэффициенты успешности выполнения защитных функций СЗИ субъектов, А и В. JOTS 1 JoTci2.

Kal=-, Ка2=- - коэффициенты, показывающие успешность.

JotI Jot2 атак, порождаемых СЗИ субъектов, А и В.

Кот1, Кот2 — коэффициенты, показывающие успешность отражения угроз СЗИ субъектов, А и В.

Рассматривается частный случай, в котором.

Y1=Y2, А1=А2, Кот1 = Кот2.

Подобные условия необходимы для упрощения вычислений и большей точности при выражении конкурентных отношений наших субъектов. Задается дополнительное ограничение:

Кз1.

Кз 1 > Кз2, откуда следует что,-> 1.

Кз2.

Данное неравенство записывается, но за основу берутся Ка1 и Ка2. Получается соотношение (1).

Ка2 J22.

1 [1].

Kal J12.

Данное соотношение наглядно демонстрирует решающее влияние угроз J1, J2 на нашу модель.

Водится функция защищенности F.

КаО показывающая зависимость.

Ка2, коэффициента защищенности Кз1 от отношения коэффициентов атаки Kal и Ка2. Получаются следующие соотношения (2), (3):

Кз1 =-i- [2].

Ка2.

Кз2 =— [3].

Kal L J.

Условием баланса защищенности в конкурентной борьбе субъектов, А и В является обратная пропорциональность отношения коэффициентов защищенности к отношению коэффициентов успешности атак (4).

Кз1 = Ка2 Г41.

Кз2 Kal.

Во втором разделе разрабатывается контекст решения задачи формализованного моделирования и формулируются основные свойства модели: цель и точка зрения моделирования, содержание (определение) модели и границы моделирования.

Рассматривается взаимодействие СЗИ UA, находящейся в составе макросистемы субъектов SA и макросистемы субъектов SB, которой принадлежит СЗИ UB.

Системы конкурируют друг с другом за обладание информационным ресурсом, принадлежащим системе:

GB-+ [Sa (Ga-Ya-Ca-A)]>

Макросистемы SASB образуют конкурентную метасубъектную систему S (SASB), в которой ей составные части конкурируют между собой за обладание информационным ресурсом GB.

Принципы взаимодействия макросистем.

1. Организация комплексной защиты информации требует больших материальных затрат Св поэтому определение необходимости (да/нет) такой системы является задачей социального (СУ-СВ) управления.

2. Системы SASB имеют близкие потенциалы: научный, технический, технологический и между ними существуют отношения эквивалентности (баланса).

3. В системе (А^В) отношений задача достигнуть абсолютного превосходства является неразрешимой. Превосходство может быть достигнуто в локальной нише защищенности и на ограниченном интервале времени.

4. Конкурентные (А^В) отношения имеют мотив к развитию средств AiBj. Процесс А^В взаимодействия имеет дискретно-непрерывный характер и описывается следующей логической последовательностью: (СЗИ, А — СЗИ В) —> (СЗИ, А со средствами защиты — модернизированная СЗИ В)—" (усовершенствованная СЗИ, А — усовершенствованная СЗИ В)—" и т. д. Схематически этот процесс представлен на рисунке 2 if 0 (to + ф) if, (tl + ф).

UB3 (t3 + ф).

Рис. 2. Цепная модель развития конкурирующих информационно-технических систем.

На основе исследования конкурентного взаимодействия информационно-технических систем в [15] предлагается методика применения критерия «эффективность-стоимость» для минимизации затрат на создание СЗИ, основанная на следующих положениях.

• Постулируется, что СЗИ оптимальна, при условии максимизации отношения «эффективность-стоимость»: ш Э т=—= шах, С где критерий «эффективность-стоимость»;

Э — эффективность СЗИ (вероятность решения поставленной задачи";

С — стоимость СЗИ.

• В условиях существования множества вариантов решений СЗИ каждому варианту соответствует свое значение критерия Ч* и принято, что его максимальное значение на множестве вариантов будет соответствовать оптимальному.

• Множество способов создания вариаций поля контрмер определяется факторами, приведёнными в таблице 1.

• Эффективность поля контрмер через схемно-конструктивные решения системы коррелируется со стоимостью затрат на их реализацию. • Оценка стоимости вариантов СЗИ на момент их разработки осуществляется по аналогиям. Выбирается аналог, характеристики назначения, функции которого известны и осуществляется их конкретизация по показателям энергетического потенциала, спектру и количеству отражаемых угроз.

• Оптимизация проектных решений достигается за счёт варьирования параметров и ИБ в составе СЗИ и оценки вариантов по критерию VF.

В третьем разделе представляется имитационная модель, описывающая конфликтную ситуацию, в которой происходит информационное противоборство СЗИ двух конкурирующих субъектов ОКБ.

Данная модель позволяет оценить возможные исходы противоборства и выявить влияние некоторых критериев, присущих каждой из субъектных систем, на эти исходы.

Основная цель построения этой модели — создать средство для оценки влияния отдельных параметров защиты при отражении ею информационной атаки. Каждая из противоборствующих сторон стремится уничтожить другую. При этом возможны лишь четыре исхода: атака отбита, защита не получила поврежденийатака успешна, защита разрушенаобе стороны уничтоженыобе стороны выживают.

Кроме важнейших технических данных нападающей и обороняющейся сторон, модель должна содержать и определенные «правила игры», которые для данного случая можно записать так:

1. Частичные повреждения атакующего или защиты в модели не рассматриваются. В любой момент атаки каждая из сторон может либо быть полностью уничтожена, либо сохранять полную боеспособность.

2. Целью для защиты может служить лишь атакующий.

3. И атакующий, и защищающийся начинают работу лишь тогда, когда противник попадает в соответствующую зону поражения.

4. Стороны продолжают вести атаку до тех пор, пока не наступит один из первых трех возможных исходов.

5. Атакующий продолжает воздействие на цель до наступления одного из первых трех возможных исходов.

Основные технические данные информационной атаки:

V — время подготовки атаки;

D] — интервал между атаками;

М — количество атак;

Ri —максимальное время до срабатывания защиты;

Ui® — среднее время атаки;

Pi® —вероятность поражения защиты.

Основные технические данные защиты от информационных атак:

D2—интервал между запусками контрмер;

N—количество возможных контрмер;

R2—максимальное время до атаки;

U2® -— среднее время защиты от атаки;

P2® — вероятность поражения атакующего.

Кроме вероятности наступления каждого из четырех исходов боя, нас интересует и ожидаемая цена достижения благоприятного исхода. Программа вычисляет ее по накопленной статистике предыдущих боевых ситуаций.

Один прогон машинной программы модели позволяет получить следующее:

1. Хронологическую последовательность критических событий предыдущих боев.

2. Последовательность событий каждого боя.

3. Вероятность появления каждого из исходов на большом интервале времени.

4. Частотные распределения атак, которые необходимы, чтобы поразить цели, для защищающейся стороны и для атакующей.

5. Ожидаемое число защитных контрмер и информационных атак противника, необходимых для поражения цели.

Принцип работы модели.

После того как параметры, характеризующие атакующую и обороняющуюся стороны, введены в модель, машинная программа:

1) вычисляет количество запущенных контрмер, направленных на информационные атаки;

2) определяет моменты времени, когда происходят атака и активация контрмер;

3) вычисляет соответствующий диапазон действия информационной атаки и защитных контрмер при каждом запуске;

4) вычисляет моменты времени, когда каждая из информационных атак и защитных контрмер достигнет соответствующей цели;

5) дает временную последовательность критических событий боя;

6) на основе этой последовательности делает вероятностную выборку по методу Монте-Карло;

7) вычисляет вероятности исходов и другие выходные величины модели.

В третьей главе приводится методика использования технологических средств моделирования дуального конкурентного взаимодействия субъектов ОКБ в стадии открытого конфликта СЗИ.

В первом разделе описывается функциональное назначение моделирующего комплекса.

Во втором разделе развернуто дается описание логики функционирования моделирующего комплекса: принцип работы модели, уравнения математической модели, описание структуры программы, сведения о языке программирования, входные данные, выходные данные.

В третьем разделе приводится методика использования моделирующего комплекса, как средства инструментально-технологической поддержки.

В четвертой главе приводится краткое описание методов функционального анализа стандарта ИСОМЭК 15 408 с учетом дуального конкурентного взаимодействия.

Ниже представлена структура четвертой главы:

В первом разделе описываются инновационные аспекты функционального анализа стандарта ИСОМЭК 15 408.

Во втором разделе дается обоснование использования функциональной модели оценки состояния СЗИ в контексте дуального конкурентного взаимодействия: происходит минимизация ошибок на стадиях проектирования, снижение роста угроз ИБ, повышение конкурентоспособности СЗИ.

В третьем разделе детально описывается метод расширения классов защищенности стандарта ИСОМЭК 15 408 с учетом дуального конкурентного взаимодействия: задается название нового класса, приводится структурированное графическое представление нового класса требований безопасности, далее делается детальное описание нового класса в соответствии со стандартом ГОСТ Р ИСОМЭК 15 408.

В четвертом разделе приводится анализ дуального конкурентного взаимодействия в контексте использования технологических средств моделирования, в частности средства «Дуаль». Целью анализа является оценка чувствительности конкурентного взаимодействия на изменение некоторых параметров взаимодействия на примере пяти различных случаев дуального конфликтного взаимодействия.

В заключении диссертации изложены основные выводы, обобщения и предложения, вытекающие из логики и результатов исследования.

Проведенный в работе анализ корпуса нормативно-методических документов по Общим Критериям позволил расширить и уточнить модель общего контекста безопасности защищенности ИТ. Была обоснована возможность применения к ней методов научного анализа, в первую очередь • методов построения формальных моделей. Применение этих методов, скорректированных с учетом специфики ОКБ как объекта моделирования, позволило получить следующие основные результаты.1. Разработана структурная модель дуального взаимодействия Субъектов ОКБ, отличающаяся от существующей модели усовершенствованием структуры своих элементов и наличием механизма дуального конкурентного взаимодействия.2. Разработана формализованная системотехническая модель взаимодействия субъектов ОКБ, отличающаяся от существующей модели наличием цепного механизма развития конкурирующих субъектов.3. Разработана математическая балансная модель защищенности ИТ, отличающаяся от существующей введением функции защищенности ИТ и прослеживаемыми зависимостями между коэффициентами атаки и защиты.4. Разработана методика оценки проектируемой системы защиты информации по критерию «эффективность-стоимость», учитывающая специфику СЗИ как комплексного объекта моделирования.5. Предложены методы применения системы структурных моделей основных компонентов защищенности ИТ в нотации ОК для решения разнообразных практических задач, связанных с развитием научных подходов к модели ОКБ.

6. Разработан программно-инструментальный комплекс имитационного моделирования, использующий принципы теории игр,.

который позволяет выявить влияние различных критериев на исход конфликтного взаимодействия субъектов ОКБ. В работе показано, что перечисленные модели и методы являются важным инструментом реализации ее основной цели — поддержки продвижения, внедрения и эффективного применения «Общих Критериев» в России. В частности, построенные в работе формальные модели могут служить необходимой базой для разработки функциональных и проектных спецификаций для программного обеспечения поддержки процесса оценки ИТ по ОК. С помощью разработанной в диссертации методики и программно-инструментального комплекса поддержки функциональные модели могут использоваться для решения широкого спектра практических задач, возникающих при подготовке и проведении оценки, а так же на стадиях проектирования СЗИ Помимо этого построенные в работе формальные модели защищенности ИТ могут использоваться при разработке семейств профилей защиты и заданий по безопасности конкретных ИТ. Важную, как в теоретическом, так и в практическом отношении, область приложений полученных результатов составляет решение задач согласования международных, национальных и корпоративных стандартов в области информационной безопасности, в частности — интеграция государственных стандартов РФ в систему оценки и сертификации по ОК, а так же учет национальной специфики информационной безопасности в нотации ГОСТ Р ИСОМЭК 15 408.