Методика снижения рисков информационной безопасности облачных сервисов на основе квантифицирования уровней защищенности и оптимизации состава ресурсов

Проблема обеспечения информационной безопасности (ИБ) стоит в ряду первостепенных задач при проектировании информационно-телекоммуникационных систем (ИТКС). Практика показывает, что в последние годы имеется тенденция к эволюции сетевой архитектуры с локализованных автономных вычислений на среду распределенных вычислений, что привело к увеличению ее сложности. Широкое применение находят системы хранения, обработки и передачи данных, основанные на технологии облачных вычислений.

Построение систем защиты информации (СЗИ) осуществляется в рамках существующей нормативно-правовой базы. Основные этапы построения СЗИ включают в себя: техническое задание на создание СЗИопределение и организация перечня организационных и технических мероприятий по защите информациивнедрение, испытание и аттестация СЗИ, в том числе оценку рисков информационной безопасности [1].

В рамках первого этапа построения СЗИ ИТКС необходимо проведение оценки рисков информационной безопасности, позволяющей выявлять угрозы и уязвимости, оценивать возможное негативное воздействие на ИТКС и выбирать адекватные контрмеры для защиты именно тех ресурсов и систем, в которых они необходимы.

Проблематика оценки рисков информационной безопасности освещена в трудах следующих ученых в области ИБ: WJansen, D. Catteddu, В. А. Герасименко, B.C. Канева, А. Г. Кащенко, A.A. Малюка, А. Г. Остапенко, а также в ряде работ зарубежных университетов, коммерческих структур в области ИБ: ENISA, NIST, University Heraklion, которые предложили использовать количественные способы оценки рисков. Данная работа опирается на результаты этих исследований и развивает их отдельные положения применительно к задаче снижения рисков в облачных информационно-телекоммуникационных системах.

Процесс внедрения ИТКС на основе технологии облачных вычислений создает противоречие между необходимостью обеспечения целостности, доступности, конфиденциальности обрабатываемой информации в облачном сервисе и отсутствием научно-методического аппарата, описывающего подходы к особенностям построения систем защиты ИТКС, реализующих технологию облачных вычислений. Применение технологии облачных вычислений, в отличие от традиционных сетей, требует иных подходов к управлению ресурсами и СЗИ облачной ИТКС. В настоящее время актуальна проблема создания защищенного облачного сервиса для обработки информации различной степени конфиденциальности [2]. Такой подход требует разработки системы защиты информации, построенной на использовании в облаке ресурсов, отличающихся по уровню защищенности в зависимости от критичности обрабатываемой информации. Поэтому разработка методики снижения и оптимизации риска в облачных ИТКС составляют актуальную задачу, имеющую большое научное и практическое значение.

Целью работы является снижение рисков информационной безопасности в ИТКС использующих технологию облачных вычислений при обработке информации различной степени конфиденциальности.

Научной задачей исследования является разработка методики построения облачных ИТКС, обеспечивающих оптимизацию рисков информационной безопасности при обработке информации различной степени конфиденциальности.

Для достижения поставленной цели в работе решены следующие частные задачи:

1. Анализ методов обеспечения информационной безопасности ИТКС на основе распределенных вычислений, рассмотрение ряда нормативно-правовых документов и стандартов по защите информации, исследование рисков информационной безопасности облачных ИТКС и определение перспективных направлений противодействия им.

2. Разработка модели динамического уточнения модели угроз и в процессе эксплуатации облачной ИТКС и адаптивного управления СЗИ.

3. Разработка метода оценки уровня защищенности ресурсов облачных ИТКС с использованием новой модели динамического уточнения модели угроз.

4. Разработка метода минимизации рисков информационной безопасности в облачных ИТКС.

5. Оценка результатов применения разработанных модели и методов.

В соответствии с целями и задачами диссертационной работы объектом исследования определены СЗИ ИТКС, использующих технологии облачных вычислений в рамках обобщенной модели предоставления облачных сервисов БР1 — 8ааБ, Раа8, 1ааБ на основе унифицированных вычислительных ресурсов.

А предметом исследования — методы снижения рисков в облачных.

ИТКС.

На защиту выносятся следующие основные научные положения и результаты:

1. Наличие множества однотипных ресурсов в облачных технологиях позволяет осуществлять квантифицирование ресурсов облачной ИТКС по уровню защищенности и динамическое уточнение модели угроз на основе вычисления апостериорной вероятности реализации угроз путем обработки накопленных узлами ИТКС статистических данных.

2. Постановка задачи снижения рисков ИБ в облачных ИТКС может быть формализована как экстремальная задача теории принятия решений, что позволяет оптимизировать состав СЗИ с учетом матрицы рисков и обеспечения качества предоставляемых услуг.

3. Метод минимизации, в терминах линейного программирования, рисков ИБ состоит в оптимизации ЦФ с учетом матрицы рисков и модели разграничения доступа Белла-Лападулы, а также использования системы ограничений, что позволяет обеспечить реализацию потока заявок на обработку информации различной степени конфиденциальности. Научная новизна и теоретическая значимость диссертационной работы определяются разработкой новой модели и методов:

1. Предложена модель динамического уточнения модели угроз облачной ИТКС, которая отличается от моделей, применяемых для традиционных сетей, применением механизма статистического «накопления» знаний об угрозах, уязвимостях и успешности их устранения путем сопоставления оценок уязвимости узла сети с похожими показателями ИБ.

2. Впервые предложено решение задачи минимизации рисков ИБ облачной ИТКС на ранних этапах жизненного цикла облачного сервиса, предназначенного для обработки информации различной степени конфиденциальности. Научно-методический аппарат расчета необходимого количества ресурсов различного уровня защищенности в облачных ИТКС позволяет, в отличие от известных подходов, научно обосновывать возможность и целесообразность обработки информации различной степени конфиденциальности с учетом основных факторов, влияющих на ИБ.

Практическая значимость работы определяется возможностью получения научно-обоснованной количественной оценки безопасности обработки информации в той или иной облачной структуре, и, как следствие, основы для принятия аргументированных стратегических решений по управлению рисками. Дополнительная ценность предложенного метода состоит в возможности его использования для постоянного динамического контроля уровня защищенности информации, как поставщиком, так и заказчиком 8 облачных служб в условиях развития используемых технологий и интеграции новых технических решений, диктуемых техническим прогрессом.

Основные результаты диссертационной работы использованы при выполнении научно-исследовательских работ, проводимых НИИ НКТ ИТМО. Апробация основных результатов проводилась в форме докладов на:

I Всероссийский’конгресс молодых ученых, НИУ ИТМО, 1013.04.2012 г.;

VIII Всероссийская межвузовская конференция молодых ученых, НИУ ИТМО 12−15.04.2012г.;

I Межвузовская научно-практическая конференция «Актуальные проблемы организации и технологии защиты информации»,.

30.10.2011 г.;

II Межвузовская научно-практическая конференция «Актуальные проблемы организации и технологии защиты информации»;

30.11.2012 г.;

XLI научная и учебно-методическая конференция НИУ ИТМО, 31−3 февраля 2012 г.

По материалам диссертации опубликованы пять печатных работ, в том числе, две в изданиях из перечня российских рецензируемых журналов, в которых должны быть опубликованы основные научные результаты диссертаций на соискание ученых степеней доктора и кандидата наук в редакции от 25.05.2012 г.

Диссертация состоит из введения, четырех глав, заключения, списка использованных источников, списка публикаций автора по теме исследования. Материал исследования изложен на 104 страницах машинописного текста, содержит 17 рисунков, 8 таблиц.

Основные результаты представленных исследований, выполненных для достижения поставленных целей, могут быть сформулированы следующим образом:

1) Показана возможность решения задачи получения научно-обоснованной количественной оценки уровня защищенности облачного сервиса и его ресурсов посредством использования особенностей реализации технологии облачных вычислений.

2) На основе документов ФСТЭК РФ и ФСБ РФ даны характеристики описывающие нарушителя ИБ облачной ИТКС.

3) Разработана модель угроз, включающая в себя характеристики угрозы, описывающие: описание угрозы ИБисточники угроз ИБметод реализации угроз ИБуязвимости используемые источниками угроз ИБпотенциальные последствия.

4) Применены апостериорные оценки защищенности ресурсов облачной ИТКС на основе функционирования узлов с СЗИ и байесовского решающего правила.

5) Разработан подход позволяющий на основе модели угроз, требований заказчика к обеспечению целостности, доступности, конфиденциальности осуществлять количественную вероятностную оценку защищенности ресурсов при использовании технологии облачных вычислений*.

6) Задача снижения рисков ИБ в облачных ИТКС формализована, как экстремальная задача теории принятия решений.

7) Впервые применен математический аппарат линейного программирования, ранее не использовавшийся в сфере облачных ИТКС.

8) Разработан научно-методический аппарат необходимого количества ресурсов различного уровня защищенности в облачных ИТКС, что позволяет создавать защищенные облачные ИТКС.

Заключение

.