Модели и методы формирования политик безопасности автоматизированных систем на основе данных активного аудита

Проблема диссертационного исследования является весьма актуальной — в наши дни обеспечение безопасности автоматизированных систем (АС) входит в круг интересов всех участников информационного процесса. Это связано с тем обстоятельством, что функционирование государственных и коммерческих АС становится невозможным без поддержания их безопасности и целостности. Прогресс в области защищенных информационных технологий сопровождается постоянным усилением требований поддержания безопасности. Однако существующая статистика нарушений свидетельствует о продолжающемся кризисе в области информационной безопасности, основными причинами которого являются недостатки проектирования и эксплуатации средств защиты. Функции АС должны выполняться при опережающих темпах развития систем защиты информации, и, прежде всего, появления новых идей в сфере формирования политик безопасности. Только это может гарантировать защиту информации от нежелательного распространения, изменения или потери. Для задания политики безопасности (ПБ) потребители вынуждены использовать стандартные решения* предлагаемые производителем. Отсутствие у потребителя гарантий, кроме утверждений разработчиков, что в используемой системе ПБ выполняется корректно, является одной из основных причин нарушений безопасности. Эта проблема особенно остро стоит в АС, к которым предъявляются повышенные требования гарантированности защиты: в системах управления технологическими процессами, движением транспорта, проведения банковских операций, обработки секретной информации.

Различные вопросы создания теоретической и методологической базы, моделирования правил политики безопасности рассматриваются в работах таких ученых как Герасименко В. А., Грушо А. А., Расторгуев С. П., Щербаков А. Ю., Деннинг Д. Е., МакЛин Д., Сандху Р., Самарати П. Специалисты Гостехкомиссии и ее подведомственных организаций разрабатывают средства автоматизации анализа защитных свойств (например, НКВД, АИСТ). Новое научное направление, изучающее методы предотвращения случайного или преднамеренного раскрытия, искажения или уничтожения информации в автоматизированных системах управления, создано сравнительно недавно. Это может служить некоторым оправданием наличия ряда важных нерешенных научных проблем. Эти проблемы являются достаточно сложными не только в теоретическом, но и методологическом плане.

Если рассматривать проблему в целом, то следует отметить, что в нашей стране отсутствует даже общепринятая терминология. Официальным единственным стандартом в России являются документы, подготовленные Гостехкомиссией РФ. Теория и практика зачастую действуют в разных плоскостях, поэтому основными причинами системного кризиса являются недостатки проектирования и эксплуатации средств защиты.

Следствием этого является то, что практически все системы защиты основаны на анализе результатов успешно состоявшейся атаки, что предопределяет их отставание от текущей ситуации. В качестве примера можно привести распространенную практику закрытия «внезапно» обнаружившихся пробелов в системе защиты.

Существующие публикации на эту тему в основном ограничиваются перечислением моделей угроз и аналитическими обзорами.

Проблема выявления действий злоумышленника значительно усложняется, когда они происходят в условиях периодического срабатывания системы защиты в результате таких непреднамеренных действий добросовестных пользователей, которые классифицируются как несанкционированные действия.

Несмотря на очевидную актуальность задача анализа и прогнозирования данных о наиболее вероятных действиях злоумышленника на фоне регистрируемых фактов несанкционированных действий (НСД) по вине добросовестных пользователей, а также комплексной оценки ситуации на основе полной и достоверной информации не получила должного решения.

Проблема наиболее полного учета всей накопленной статистической информации, управление системой защиты информации на основе прогнозирования развития ситуации при выявлении несанкционированных действий представляет собой сложную научно-производственную проблему государственного масштаба, одной из составных частей которой является проблема создания системы организационно-технических мероприятий защиты информации в процессе разработки правил политики безопасности. Актуальность этой темы определила цель диссертационного исследования.

Целью данной диссертации является разработка комплекса моделей и методического аппарата защиты информации путем формирования политик безопасности и выявления несанкционированных действий злоумышленника на основе данных систем активного аудита.

В соответствии с этой целью объектом исследования являются модели и методы защиты автоматизированных систем, а предметом исследования является процесс формирование потока данных активного аудита о действиях, как злоумышленников, так и добросовестных пользователей, математические модели и методы разработки политик безопасности и рекомендаций по защите информации.

Достижение поставленной в диссертации цели предопределило постановку и решение следующих основных задач исследований:

1. Разработка теоретико-познавательных моделей, предназначенных для изучения статистических данных систем активного аудита о характеристиках потока событий с признаками НСД.

2. Разработка моделей комплексной оценки потока событий с признаками НСД, которые предназначены для исследования процесса наблюдения и контроля состояния информационной безопасности распределенной автоматизированной системы, с целью получения знаний для управления процессом планирования политик безопасности.

3. Разработка метода выявления несанкционированных действий злоумышленника, осуществляемых на фоне потока событий активного аудита с признаками НСД, возникшими по вине добросовестных пользователей.

Решение этих задач в процессе диссертационных исследований позволило разработать и обосновать ряд положений, которые выносятся на защиту. К ним относятся следующие положения:

1. Теоретико-познавательные модели исследования технологических процессов формирования и комплексной оценки потока событий с признаками НСД.

2. Метод выявления действий злоумышленника в условиях непреднамеренных помех различного происхождения.

Научная новизна полученных результатов:

1. Определен и обоснован базовый состав моделей защиты информации от непреднамеренных помех различного происхождения и для оценки характеристик потока событий. В отличие от уже созданных моделей, предлагаемые модели обеспечивают учет результатов обследования состояния и выявленных тенденций изменения наиболее существенных факторов. С этой целью в работе разработаны следующие модели:

• Модель исследования динамики временных рядов формирования ситуаций, в которых при отсутствии злоумышленных действий в автоматизированной системе регистрируется признак НСД.

• Модель исследования однородности выборок методом однофакторного дисперсионного анализа.

• Модель прогнозирования основных тенденций развития методов и средств осуществления угроз автоматизированным системам.

2. Задача управления процессом планирования политики безопасности впервые решается построением модели комплексной оценки потоков событий систем активного аудита и построением нечеткой ситуационной сети, которая представляет собой нечеткий граф переходов по эталонным позициям.

3. Разработан метод выявления действий злоумышленника в условиях непреднамеренных помех различного происхождения. В отличие от существующих методов выявления злоумышленников предлагаемый метод основан на использовании принципов ситуационного управления процессом, условий реализации с учетом возможных возмущений.

Практическая значимость результатов исследований состоит в следующем:

• Разработанные модели позволяют обеспечить решение практических задач получения новых знаний о характеристиках потока событий с признаками НСД на основе статистической информации, предоставляемой системами активного аудита.

• Практическая значимость полученных в диссертации результатов определяется возможностью их использования органами управления Российской Федерации при практическом использовании автоматизированных систем. Математические модели и методы оформлены в виде пакета прикладных программ в операционной среде «Windows».

Основное содержание и результаты исследований опубликованы в печати.

Полученные научные результаты непосредственно связаны с научно-практической деятельностью автора в процессе выполнения им соответствующих заданий НИР. В процессе выполнения диссертационных исследований использовалась оперативная статистическая информация, накапливаемая в учреждениях Главного Управления Банка России по Ленинградской области (ГУ БР по ЛО).

Диссертационная работа включает введение, 4 главы, заключение, список литературы. Объем диссертации 129 страниц, из них список литературы на 8 листах, 35 рисунков и таблиц.

Выводы по четвертой главе.

1. Преимущество систем обнаружения вторжений, основанных на поведении, состоит в том, что они могут обнаруживать попытки использования новых и непредвиденных уязвимостей, а также могут (частично) автоматически обнаруживать новые атаки. Они менее зависимы от специальных механизмов операционных систем. Высокий процент ложных сигналов тревоги обычно считается главным недостатком систем обнаружения вторжений, основанных на поведении, поскольку все аспекты поведения пользователей автоматизированной системы не могут быть учтены на этапе обучения.

2. Предлагается поведение пользователей и злоумышленников оценивать функцией полезности базы данных. Принципиальное отличие в их действиях определяется отличием целей осуществляемого доступа в базу данных. Злоумышленник стремится получить максимум наиболее ценной информации, которая хранится в информационных элементах разных пользователей. Добросовестный пользователь работает с информацией в пределах предметной области, которая определяется его функциональными обязанностями. Различие целей доступа проявляется в рассчитанных значениях функции полезности: целевая функция злоумышленника стремится к ее максимальному значению, значения целевой функции добросовестного пользователя находятся в пределах его среднестатистического уровня.

3. Разработана функция полезности, представляющая собой интегральный критерий, который позволяет упорядочить одну из двух альтернатив (пользователь/злоумышленник) по рассчитанной величине функции и выделить благодаря этому наилучшую альтернативу (в смысле принятого критерия). Выбор аддитивной функции полезности позволяет определять вклад каждого частного критерия/ в интегральный критерий. Функция полезности системы зависит только от функций полезности элементов и монотонно возрастает по каждому аргументу.

4. Построена система линейных решающих правил, которые обеспечивает необходимую степень адекватности предметной области, минимальные вычислительные трудности расчета интегрального критерия для разных альтернатив, устойчивость результатов от малых изменений исходных данных.

5. Использование линейной временной логики предикатов для моделирования действий злоумышленника является наиболее обоснованным в связи с тем, что в настоящее время практически во всех автоматизированных системах используется реляционная база данных. Линейная временная логика позволяет моделировать смену ситуаций, которые происходят в результате эволюции действий злоумышленника с течением времени при несанкционированном доступе к автоматизированной системе.

Заключение

.

Защита информации в автоматизированной системе требует последовательного решения двух задач: достоверного выявления действий злоумышленника и применение комплекса организационно-технических мероприятий, адекватных степени угрозы.

Существующие тенденции проектирования автоматизированных систем, развитие методов и средств несанкционированного доступа ужесточают требования к системам защиты. Цена ошибки является достаточно высокой: необоснованное применение системы защиты информации снижает производительность автоматизированной системы, неприменение системы защиты связано с риском потери или утечки информации.

Актуальность проблемы, связанной с разработкой алгоритмов моделирования и анализа политик безопасности автоматизированных систем, предопределила выбора темы исследования.

В большинстве проблемных областей, связанных с достоверной и точной оценкой состояния и развития автоматизированных систем, невозможно создание формальных традиционных количественных моделей. Системный анализ требует исследования содержания потока событий с признаками НСД по показателям, связанным со смысловым аспектом накопленной статистической информации. Для проблем подобного типа характерно наличие неопределенности, описания отдельных параметров процесса на качественном уровне.

Поэтому первая глава посвящена анализу этой сложной проблемы.

При решении первой научной проблемы была выполнена концептуализация знаний о предметной области — составлен список базисных (основных) понятий, выявлены отношения между ними, определены стратегии принятия решений в данной предметной области. В результате декомпозиции сложная система была разделена на группу более мелких подсистем с такой взаимосвязью, чтобы глобальная задача преобразовалась в группу взаимосвязанных между собой локальных задач.

Практическим результатом выполненного во второй главе исследования предметной области явилась разработка системы моделей для получения знаний о параметрах потока событий с признаками НСД.

Комплекс моделей представляет собой инструмент, позволяющий любому исследователю адаптировать выбранную систему оценки качества информации (набор оцениваемых параметров) таким образом, чтобы эта система была максимально адекватна конкретной заданной цели действия. Другими словами, в выполненной работе реализован такой подход, при котором в каждом конкретном случае строится определенная конфигурация математических моделей, характеризующих количественную оценку качества от набора оцениваемых показателей (параметров).

В рамках созданной структуры комплекса моделей приведено математическое описание следующих моделей:

1. Модель исследования динамики временных рядов формирования ситуаций, в которых при отсутствии злоумышленных действий в автоматизированной системе регистрируется признак НСД.

2. Модель исследования однородности выборок методом однофакторного дисперсионного анализа.

3. Модель прогнозирования основных тенденций развития методов и средств осуществления угроз автоматизированным системам.

Все вышеизложенное позволило создать систему анализа информации и разработать модель оценки развития ситуаций с признаками НСД методом нечеткой логики.

Проведенные в третьей главе расчеты и последующая апробация результатов исследования подтвердили адекватность принятого описания физической сущности процесса.

Введение

в состав целевой функции дополнительного фактора, характеризующего логику поведения злоумышленника, потребовало создания более сложной модели. Формализация проблемы выявления злоумышленника на фоне инцидентов НСД и активизация профилактических мероприятий для противодействия обнаруженной угрозе рассматривается в четвертой главе.

Реализация новых наукоемких технологий в практической деятельности позволяет решать задачи защиты информации от несанкционированного доступа. Решение всех перечисленных задач в процессе диссертационных исследований позволило разработать и доказать ряд положений, которые выносятся на защиту. К ним относятся следующие положения:

1. Теоретико-познавательные модели исследования технологических процессов формирования и комплексной оценки потока событий с признаками НСД.

2. Метод выявления действий злоумышленника в условиях непреднамеренных помех различного происхождения.

Реализация полученных научных результатов в практической деятельности ГУ БР по Л О наглядно демонстрируют возможность их использования другими государственными организациями и ведомствами, а также коммерческими предприятиями.

На основании вышеизложенных результатов диссертационной работы можно сделать общий вывод о достижении основных задач, поставленных на проведение исследований.