Метод построения и модель профилей защиты для сетей связи и систем коммутации

Интеграция информационных технологий в сети связи и системы коммутации (СС и СК) сделала более актуальными вопросы защиты информации в них.

В России в качестве стандарта действует ГОСТ Р ИСО/МЭК 15 408 «Информационные технологии. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий» аналог международного стандарта ISO/IEC 15 408. Стандарт позволяет разработать, Профиль защиты (ПЗ) или задание по безопасности (ЗБ) для любого объекта^ информатизации (ОИ), в т. ч. и для СС и СК. Достигается это использованием общей методологии ГОСТ ИСО/МЭК Р 15 408, которая определяет решение ряда экспертных задач, что дает определенную свободу оценщику и соответствующую его (их) компетенции погрешность. Внесение в методологию ГОСТ ИСО/МЭК Р 15 408 расчета количественных показателей на этапе экспертных оценок позволит формализовать выбор требований защиты в той их части, где это возможно. А именно там, где имеются количественные показатели или возможность преобразования качественных показателей в количественные. В процессе исследования были выявлены такие иерархические компоненты в ГОСТ ИСО/МЭК Р 15 408.

Алгоритм получения, и преобразованияколичественных показателей от — — экспертных оценок положены в основу метода оценки уровнякритичности сегмента (МОУКС). А алгоритм преобразования этих значенийв показатели иерархии компонентов модели общего контекста безопасности (ОКБ) в купе с МОУКС является методом построения ПЗ для СС и СК. На основе этих методов была построена модель ПЗ для СС и СК представленная в 4 главе диссертации.

Метод построения ПЗ для СС и СК позволяет обосновать выбор необходимого и достаточного уровня защиты для СС и СК.

I s.

Цель диссертационной работы — исследование и разработка метода построения и модели профилей защиты для сетей связи и систем коммутации по методологии ГОСТ Р ИСО/МЭК 15 408.

Объект исследования.

Объектом исследований выступают: типы, структура и функциональные возможности СС и СКобъекты и субъекты доступа, активы, нарушители, уязвимости и угрозы безопасности информации СС и СКметоды оценки необходимого уровня^ защищенности СС и СКмеханизмы защиты существующих СС и СКтребования информационной безопасности (ИБ) к СС и СКметодология ГОСТ Р ИСО/МЭК 15 408 (1,2,3 части): среда< функционированияописание угроз, анализ рисков, структура функциональных требований безопасности (ФТБ) и оценочных уровней доверия (ОУД), методология построения, ПЗ, ЗБ и пакетов ФТБ.

Методьи исследования.

При решении поставленныхзадач использовались методы экспертных оценок, элементы теорииграфов, методы, кластерного анализа, объектного, функционального, информационного и имитационного моделирования.

Основные научные положения, выносимые на защиту.

1. Классификация СС и СК, отличающаяся от существующих учетом показателей ИБ и необходимостью обеспечения ИБ, как для определенного типа абонента, так и для’владельца СС и СК.

2. Сегментация СС и СК, отличающаяся от существующих учетом показателей ИБ и необходимостью проработки вопросов ИБ во всех структурных компонентах СС и СК.

3. Метод оценки уровня критичности сегмента (МОУКС) СС и СК, отличающийся от существующей методологии ГОСТ ИСО/МЭК Р 15 408- и методов оценки критичности, защищенности,. уязвимости, возможностью проводить оценки и получать количественные показатели на их основе, в т. ч. при отсутствии специализированного перечня угроз.

4. Метод построения ПЗ для СС и СК, отличается от существующей методологии FGCT ИСО/МЭК Р 15 408 использованием количественных показателей при выборе ФТБ и ОУД из ГОСТ ИСО/МЭК Р 15 408.

Основные результаты работы.

1. Разработана классификация и сегментация СС и СК с учетом показателей ИБ. Определена область' применения Метода ИЗ для СС и СК.

2. Разработан МОУКС СС и СК: предложены критерии выборасписков угроз для СС и СКпроизведена оценка принадлежности угроз ИЬ по спискам: к каждому сегменту каждого вида СС и СКв рамках оценки предложен подход к анализу сценариев-атак на уровне сегментов СС и СК. Рассчитаны косвенные коэффициенты критичности и коэффициентыуязвимости сегментов СС и СКпроизведен подсчет угроз для каждого: сегментакаждого вида сети, в результате чего получены числовые значения? (количественные показатели-, произведен расчет показателя уровня критичности сегмента (УКС) • с предварительным расчетом: веса единицы, критериям (угрозы) — рассчитаны уровни критичности и их диапазоны действияпроизведено сопоставление и присвоение показателя УКС сегментов с УКС.

3. Разработан Метод построения ПЗ для: СС и СК: определены требования к уровню иерархии компонентов" (УИК) ФТБ на основании результатов МОУКС (уровня критичности сегмента) — определены требования к УИК аудита семейств ФТБопределены требования к УИК управления? семействами ФТБопределены требования к ОУД, так же на основании, результатов-МОУКСв ПЗ для СС и СК включен сценарий атак из МОУКСв рамках методологии ГОСТ ИСО/МЭК Р 15 408 определены: предположения безопасности СС и СКактивы СС и СКвозможности, техническая компетенция, доступные ресурсы, мотивациянеумышленные: действиясубъектов СС и СКметоды нападенияобщий список угроз СС и СК, отличный от выбранных ранее списков угрозполитика и цели безопасности для СС и СК.

4. Разработана Модель ПЗ для СС и СК и оформлена в виде Профиля защиты Ведомственной телефонной сети (ПЗ ВТС).

Научная новизна.

Научная новизна результатов работы обусловлена следующими факторами.

1. Определение новых признаков элементов, классификация GC и СК с учетом показателей ИБ.

2. Новая сегментация СС и СК с учетом, показателей1 ИБ. Определение составляющих ее элементов.

3. Использование нового метода оценкис целью получения количественных показателей критичности сегментов СС и. СК, как при отсутствии специализированного перечня угроз в рамках МОУКС, так и при его разработки в рамка методологии ГОСТ ИСО/МЭК Р 15 408.

4. Новая модель общего контекста безопасности (ОКБ) в рамках методологии ГОСТ ИСО/МЭК Р 15 408- использующая количественные показатели при выборе ФТБ и ОУД.

Апробация работы.

Основные положения и результаты диссертационной работы докладывались и обсуждались на следующих конференциях: на IX научно-техническойконференции «Теорияи технология программирования и защиты информации. Применение вычислительной4 техники» (18 мая 2005 г., г. Санкт-Петербург), на IV межвузовской конференции молодых ученых (13−14 апреля 2006 г., г. Санкт-Петербург), на X научно-технической конференции «Теория и технология программирования и защиты информации. Применение вычислительной техники» (18 мая 2006 г., г. Санкт-Петербург), на. IV межвузовской конференции молодых ученых (13 — 14 апреля 2007 г., г. Санкт-Петербург), на 11 -ой научно-технической конференции «Майоровские чтения. Теория и технология программирования и защиты информации. Применение вычислительной техники» (18 мая 2007 г., г. Санкт-Петербург).

Результаты работы отражены:

— в Проектах по сертификации и аттестации цифровых телефонных станций по требованиям безопасности информации Федеральной службы по техническому и экспортному контролю, проводимых ООО «ЩИТ-ХХ1».

— в Проектах по сертификации и аттестации цифровых телефонных станций по требованиям безопасности информации Федеральной-службы по—-техническому и экспортному контролю, проводимых ООО «Рубеж-92».

— в Проект по обследованию системы защиты информации ведомственной телефонной сети, проводимой ЗАО «Комита».

— в учебный процесс кафедры Безопасные информационные технологии при чтении следующих дисциплин: «Введение в специальность», «Теории информационной безопасности и методология защиты информации», «Технология сертификации СЗИ», «Методы и системы защиты компьютерной информации», «Организационная защита информации», «Защита информационных процессов в компьютерных системах», «Комплексные системы защиты информации».

Заключение

.

Проведенная работа дала следующие основные результаты.

1. Разработана классификация и сегментация СС и СК с учетом показателей ИБ. Определен диапазон действия Модели ПЗ для СС и СК.

2. Разработан Метод оценки уровня критичности сегментов СС и СК.

2.1., Предложены критерии выбора списков угроз для МОУКС СС и.

СК.

2.2. Произведена экспертная оценка принадлежности угроз ИБ по спискам к каждому сегменту, каждого вида СС и СК.

2.3. В рамках оценки предложен подход к анализу сценариев атак на уровне сегментов СС и СК. Рассчитаны косвенные коэффициенты критичности и коэффициенты уязвимости сегментов СС и СК.

2.4. Произведен подсчет показателей УКС для каждого из видов сегментов, получены числовые коэффициенты.

2.5. Рассчитаны УКС и диапазон их действия.

2.6. Произведено сопоставление показателя УКС каждого сегмента каждого вида сети с УКС. Сегментам присвоены уровни критичности.

3. Разработан Метод построения ПЗ для СС и СК.

3.1. Определены требования к уровню иерархии компонентов (УИК) ФТБ на основании результатов-МОУКС (уровня-критичности сегмента).

3.2. Определены требования к УИК аудита семейств ФТБ.

3.3. Определены требования к УИК управления семействами ФТБ.

3.4. Определены требования к ОУД, так же на основании результатов МОУКС.

3.5. В ПЗ для СС и СК включен сценарий атак из МОУКС.

3.6. В рамках методологии, ГОСТ ИСО/МЭК Р 15 408 определены: предположения безопасности СС и СКактивы СС и СКвозможности, техническая компетенция, доступные ресурсы, мотивация, неумышленные действия субъектов СС и СКметоды нападенияобщий список угроз СС и.

СК, отличный от выбранных ранее списков угрозполитика и цели безопасности для СС и СК.

4. Разработана Модель Профилей защиты для Сетей связи и оформлена в виде Профиля защиты для Ведомственной телефонной сети.

Практическая ценность результатов.

Модель описывает решение проблемы выбора требований защиты для специфического объекта информатизации — СС и СК.

Разработанная* классификация СС и СК с учетом показателей ИБ, позволит отнести любую требующую защиты СС и СК к определенному виду сети и тем самым предъявлять более обоснованные требования к защите этих сетей и их сегментов, посредствам МОУКС.

Метод построения и модель ПЗ для СС и СК позволят разработать ПЗ и ЗБ для любого вида СС и СК.

Разработанные Профили защиты позволят производить разработку и обновление механизмов защиты АТС, АУ, каналов связи, СУ, а так же проводить аудит, сертификацию и аттестацию сетей связи, предъявляя более адекватные требования по защите.

МОУКС может быть использован для оценки уровня критичности других ОИ с похожей структурой классификации и сегментации.

Модель ПЗ СС и СК оформлена в виде Профиля защиты для Ведомственных телефонных сетей и является практическим результатом работы Метода построения ПЗ для СС и СК.

Область применения результатов.

1. Разработка требований защиты для СС и СК.

2. Разработка механизмов защиты в оборудовании СС и СК.

3. Проектирование системы ИБ СС и СК.

4. Аттестация СС и СК и сертификация оборудования СС и СК.

5. Аудит информационной безопасности СС и СК.

Апробация работы.

Основные положения и результаты диссертационной работы докладывались и обсуждались на следующих конференциях: на IX научно-технической конференции «Теория и технология программирования и защиты информации. Применение вычислительной техники» (18 мая 2005 г., г. Санкт-Петербург), на IV межвузовской конференции молодых ученых (13 — 14 апреля 2006 г., г. Санкт-Петербург), на X научно-технической конференции «Теория и технология программирования и защиты информации. Применение вычислительной техники» (18 мая 2006 г., г. Санкт-Петербург), на IV межвузовской конференции молодых ученых (13 — 14 i апреля 2007 г., г. Санкт-Петербург), на 11-ой научно-технической конференции «Майоровские чтения. Теория и технология программирования и защиты информации. Применение вычислительной техники» (18 мая 2007 г., г. Санкт-Петербург).