Scientific journal

Modern high technologies

ISSN 1812-7320

"Перечень" ВАК

ИФ РИНЦ = 0,940

Высокие темпы информатизации социально-экономических процессов неизбежно сопровождаются ростом напряжённости в области информационной безопасности (ИБ). Сегодня злоумышленники перешли на новый технологический уровень подготовки и реализации кибернетических атак. Их инструменты максимально удобны и эффективны, а прибыль, получаемая в результате «освоения» активов жертвы, постоянно растет. Внедрение новейших сетевых технологий в сферу управления бизнесом увеличило число потенциальных уязвимостей, которыми могут воспользоваться злоумышленники. При этом действия киберпреступников становятся все более организованными, целенаправленными и изощрёнными, создавая реальную угрозу для бизнеса [1–3]. Последствиями таких атак могут быть: нарушения доступности сетевых сервисов, остановка бизнес-процессов, потеря репутации, понижение лояльности vip-клиентов, недополучение (или полная потеря) прибыли компании. Реалии современного информационного общества настоятельно требуют создания в каждой организации интегрированной системы защиты информации (СЗИ) [4–6].

На сегодняшний день наиболее востребованы СЗИ, позволяющие увеличить степень интеллектуальности уже существующих механизмов защиты: межсетевых экранов, сканеров безопасности, систем обнаружения вторжений, средств контроля доступа к операционным системам и приложениям. В области управления событиями ИБ получила развитие новая категория защитных систем, реализующих концепцию безопасного управления событиями (Security Event Management – SEM) [2, 3]. Эти системы автоматически соединяют и согласуют между собой регистрационные данные по корпоративной безопасности, получаемые от различных защитных устройств, оценивают их корреляцию, позволяя аналитикам информационной безопасности сосредоточиться на нетривиальных критических задачах.

Применительно к защите информации можно сказать, что корреляция – это процесс интерпретации, комбинации, сравнения и анализа данных, которые поступают от различных механизмов защиты информации, производимый с целью определения попыток несанкционированного доступа к защищаемым информационным ресурсам либо нападения на них. В своей основе корреляция событий базируется на следующей теоретической предпосылке: одно событие, происходящее в течение определенного временного промежутка, является причиной другого события. В технологическом процессе корреляции событий безопасности выделим следующие задачи:

а) транспортировку данных;

б) нормализацию данных;

в) сжатие (сокращение) данных;

г) построение цепочки прохождения событий;

д) обнаружение шаблонов в событиях;

ж) установление взаимосвязи событий ИБ.

В общем случае все системы корреляции событий осуществляют преобразование потока событий ИБ в полезную информацию, которая содержит данные о состоянии информационной инфраструктуры и выявленных в её среде уязвимостях. Эта информация предъявляется администратору безопасности для принятия решения.

В существующих механизмах корреляции событий безопасности нашли применение следующие подходы [1, 3, 5]: корреляция на основе правил (rule-based reasoning – RBR), корреляция на основе моделирования (model-based reasoning – MBR), корреляция на основе метода кодовых книг (codebоok), корреляция с использованием интеллектуальных методов (artificial intelligence). Каждый из этих методов обладает рядом недостатков, лимитирующих его применение в режиме реального или регламентного времени.

По мнению экспертов ИБ, этап корреляции является сегодня самой критической частью сложного процесса анализа угроз [2]. Это обусловлено тем, что в рамках классического подхода, базирующегося на инсталляции большого количества не связанных друг с другом средств защиты, уже невозможно обеспечивать аналитиков службы ИБ полной информацией об атаке, которую они должны изучить и ранжировать по степени важности. В то же время как технология корреляция представляет собой развитие целостного подхода к управлению угрозами в гетерогенной среде и требует расхода значительных ресурсов КИС.

Основу постановки и решения задач определения корреляции событий ИБ составляют теория и методы моделирования, математической статистики и экспертных оценок [3, 6, 7].

В открытых научных публикациях используемые алгоритмы и процедуры корреляции, как правило, не конкретизируются. С большой долей вероятности можно предположить, что строго формализованных универсальных методов анализа, систематизации и установления корреляции событий ИБ пока не существует. Обобщая доступные материалы в области управления событиями ИБ, отметим, что основные трудности здесь обусловлены высоким уровнем неопределённости возможных угроз, большим количеством уязвимостей программного обеспечения (ПО) и сложностью мониторинга функциональности объектов автоматизации. В этих условиях закономерным шагом в решении проблемы корреляции является попытка применить апробированный метод нечёткого когнитивного моделирования и анализа, основанный на использовании нечётких когнитивных карт (НКК) [8].

Целью статьи является обоснование нечёткого когнитивного подхода к оцениванию корреляции событий ИБ, обусловленных реализацией информационных атак через уязвимости программного обеспечения корпоративной информационной системы (КИС), на основе применения технологии нечётких когнитивных карт В.Б. Силова.

Уязвимости программного обеспечения будем понимать как критические ошибки, не выявленные в ходе тестирования и не декларированные спецификацией разработчика или заложенные преднамеренно, предоставляющие злоумышленникам исключительные возможности по разглашению информации, её модификации, блокированию использования и безостаточному уничтожению без возможности восстановления [7, с. 20].

НКК обеспечивают корректность формального отображения слабо структурированной предметной области и приемлемую для практики точность моделирования процессов по сравнению с классическими, знаковыми когнитивными картами. Понятие нечеткой когнитивной карты В.Б. Силова представляет собой расширение классического понятия когнитивной карты, основанное на предположении, что взаимовлияния между концептами могут различаться по интенсивности, и их интенсивность может изменяться с течением времени [8]. Для этого в НКК вводят показатель интенсивности влияния и от классического отношения переходят к нечеткому отношению W, элементы wi,j которого характеризуют направление и степень интенсивности (вес) влияния между концептами ei и ej:

,

где w – нормированный показатель интенсивности влияния (характеристическая функция отношения W), обладающий рядом специальных свойств.

НКК отображает исследуемый объект в виде взвешенного ориентированного графа, вершины которого соответствуют элементам множества E (концептам), а дуги – ненулевым элементам отношения W, т.е. причинно-следственным связям. Каждая дуга имеет вес, задаваемый соответствующим значением wi,j. Отношение W представимо в виде когнитивной матрицы размерности (n×n) (n – число концептов в системе), которая будет интерпретироваться как матрица смежности данного графа. Состояние системы в текущий момент времени определяется набором значений всех концептов НКК. Целевое состояние системы задается вектором значений множества целевых концептов.

Процесс когнитивного анализа событий ИБ при этом включает несколько этапов.

В результате опроса группы экспертов выделяют n существенных факторов (далее – концептов), влияющих на защищённость ПО. Эти концепты разделим на четыре группы (табл. 1). Для определённости задачи исследования воспользуемся списком наиболее распространённых дефектов (уязвимостей и неточностей) ПО [7, с. 22].

На следующем этапе на основе экспертных оценок определяют причинно-следственные связи между концептами с выделением их направленности. Результатом таких действий является построение когнитивной карты модели формирования риска информационной безопасности (МФР ИБ) в виде ориентированного графа (рис. 1), формально отражающего причинно-следственные связи без учёта интенсивности взаимовлияний концептов.

Таблица 1

Сводная матрица концептов когнитивной модели

Когнитивная карта модели формирования риска ИБ

Для количественной оценки силы влияния концептов друг на друга привлекаются эвристические методы, использующие статистику киберпреступлений и обобщающий опыт борьбы с ними. Итогом таких исследований является когнитивная матрица (табл. 2), дополняющая НКК (рисунок). Элементы когнитивной матрицы определяются как усреднённые (по числу экспертов) оценки интенсивностей влияния концептов друг на друга. В полученной НКК представлены наиболее существенные, непосредственные связи между концептами. Для реализации методики когнитивного анализа причинно-следственной структуры и характеристик МФР ИБ необходима информация о неявных проявлениях влияния концептов друг на друга и на результат работы ПО.

В интересах количественной оценки опосредованного взаимовлияния концептов требуется выполнить операцию транзитивного замыкания когнитивной матрицы.

Из множества известных способов транзитивного замыкания матрицы смежности воспользуемся алгоритмом, рекомендуемым в работе [8, с. 99]. Известный алгоритм заключается в следующем.

1. От исходной когнитивной матрицы (см. табл. 2) переходят к когнитивной матрице положительных связей R размерностью (2•nוn) на основе процедуры замены:

если wi,j > 0, то ; если –wi,j > 0, то

Остальные элементы матрицы R принимают нулевое значение.

2. Определяют транзитивное замыкание нечёткого отношения R в соответствии с выражением [8, c. 29]:

где

Произведение нечётких отношений вычисляют согласно процедуре:

если , то

3. От вспомогательной матрицы переходят к транзитивно замкнутой когнитивной матрице V, элементами которой будут пары ), где vi,j и характеризуют соответственно силу положительного и отрицательного влияния i-го концепта на j-й концепт:

;

.

Таблица 2

Когнитивная матрица модели формирования риска ИБ