Научный журнал

Современные наукоемкие технологии

ISSN 1812-7320

"Перечень" ВАК

ИФ РИНЦ = 0,940

• Авторы
• Резюме
• Файлы
• Ключевые слова
• Литература

Надеждин Е.Н. 1 Новикова Т.Л. 2

---

1 Тульский государственный педагогический университет имени Л.Н. Толстого

2 Шуйский филиал Ивановского государственного университета

Статья посвящена проблеме поиска и нейтрализации уязвимостей в программном обеспечении корпоративной информационной сети образовательной организации в процессе внутреннего аудита информационной безопасности. Основное внимание уделено двум задачам, занимающим особое место в деятельности аудитора: задаче автоматической классификации выявленных уязвимостей и задаче определения наилучшего плана их нейтрализации путём выбора наилучших способов защиты информации. Предложена модель задачи автоматической классификации уязвимостей и способ её реализации на основе решения оптимизационной задачи дискретного программирования. Обоснована модель задачи выбора предпочтительного плана распределения механизмов защиты между выявленными уязвимостями, которая сведена к формулировке обобщённой задачи о назначениях. Рассмотрен пример решения комбинаторной задачи о назначениях с нелинейной целевой функцией и дополнительными функциональными ограничениями, учитывающими корреляцию отдельных уязвимостей и допустимость применения для их нейтрализации интегрированных механизмов защиты информации.

Статья в формате PDF

0 KB

информационная сеть образовательной организации

поиск уязвимостей в программном обеспечении

автоматическая классификация уязвимостей

план нейтрализации уязвимостей

механизм защиты информации

комбинаторная задача оптимизации

1. Аверченков В.И. Аудит информационной безопасности: учеб. пособие для вузов [электронный ресурс]. – 2-е изд., стереотип. – М.: ФЛИНТА, 2011. – 269 с.

2. Ахметов Ю.М. Принципы разработки эффективного инструмента аудита безопасности информационных систем // Информационное противодействие угрозам терроризма. Научно-практический журнал. – 2010. – № 14. – С. 21–26.

3. Леонтьев В.А. Реализация математических моделей на ЭВМ (статистические и оптимизационные проблемы). – М.: Энергия, 1981. – 176 с.

4. Мину М. Математическое программирование. Теория и алгоритмы: Пер. с фр. и предисловие А.И. Штерна. – М.: Наука. Гл. ред. Физ.-мат. лит., 1990. – 488 с.

5. Миронов С.В., Куликов Г.В. Технологии контроля безопасности автоматизированных систем на основе структурного и поведенческого тестирования программного обеспечения // Кибернетика и программирование. – 2015. – № 5. – С. 158–172.

6. Надеждин Е.Н. Проблемные вопросы управления рисками информационной безопасности в сфере образования // Научный поиск. – 2012. – № 2.6. – С. 50–57.

7. Надеждин Е.Н., Новикова Т.Л. Информационно-аналитическая поддержка деятельности аудитора информационной безопасности // Фундаментальные исследования. – 2016. – № 10–1. – С. 67–72.

8. Надеждин Е.Н., Шептуховский В.А. Методика оценивания рисков информационной безопасности в вычислительных сетях образовательных учреждений // Педагогическая информатика. – 2012. – № 4. – С. 84–92.

9. Новикова Т.Л. Внутренний аудит информационной безопасности как инструмент управления информационными рисками образовательной организации // Шуйская сессия студентов, аспирантов, молодых учёных «Университет новой школе»: материалы IX Международной научной конференции (Шуя, 2–3 июня 2016 г.) / отв. ред. А.А. Червова. – Шуя: Изд-во Шуйского филиала ИвГУ, 2016. – С. 105–106.

10. Рожкова Е.О., Ильин И.В., Галушкин С.Я. Обзор и сравнение сканеров уязвимостей // Научное сообщество студентов XXI столетия. Технические науки: Сб. ст. по мат. XXX Междунар. студ. науч.-практ. конф. № 3(29). – 2015. – С. 77-87.

11. Сергиенко И.В. Математические модели и методы решения задач дискретной оптимизации. – 2-е изд., доп. и перераб. – Киев: Наук. думка, 1988. – 472 с.

12. Смирнова Е.Е. Методика экстрагирования математических понятий с признаками междисциплинарности на основе кластерного анализа // Информатизация образования и науки. – 2015. – № 2(26). – С. 133–145.

В деятельности современной образовательной организации (ОО) особое место отводится аудиту информационной безопасности (АИБ), целью которого является получение объективных качественных и количественных оценок текущего состояния информационной безопасности (ИБ) в соответствии с установленными требованиями и показателями [8, 10]. Основное содержание деятельности аудитора ИБ связано с решением комплекса нетривиальных информационно-аналитических задач. К таким задачам относят [1, с. 18]: анализ информационных рисков, обусловленных возможностью осуществления угроз безопасности в отношении ресурсов корпоративной информационно-вычислительной сети (КИС); оценка текущего уровня защищенности ресурсов КИС; локализация «слабых звеньев» и выделение уязвимостей в системе защиты информации; оценка соответствия системы защиты информации (СЗИ) существующим стандартам; выработка рекомендаций по внедрению новых и повышению эффективности используемых механизмов безопасности КИС.

Проблема обеспечения безопасности образовательных организаций ОО нашла отражение в исследованиях известных отечественных учёных В.А. Галатенко, А.А. Грушо, П.Д. Зегжды, А.А. Малюка, В.А. Сердюка, П.Б. Хорева и др., в которых с различных позиций рассматриваются теоретические и прикладные аспекты анализа угроз и оценки рисков информационной безопасности. Однако, несмотря на возросший поток публикаций, вопросы рационального поиска, локализации и устранения уязвимостей в программно-аппаратных средствах КИС ОО по-прежнему остаются открытыми и ждут своего конструктивного решения [6, 9]. В современных условиях не менее актуальными являются задачи рациональной организации, повышения качества и сокращения сроков проведения внутреннего АИБ ОО [8, 10]. Как показала практика, в условиях ограниченности привлекаемых ресурсов результаты внутреннего АИБ существенно зависят от сложности объекта автоматизации, квалификации экспертов-аудиторов и характеристик используемых ими прикладных методик и инструментальных средств. На фоне интенсивного развития технологий вскрытия СЗИ и интеллектуализации средств осуществления кибернетических атак на объекты информационной инфраструктуры ОО особую остроту приобрела задача превентивной разработки методик автоматизированного анализа защищённости ресурсов КИС и адаптации механизмов их защиты [2, 6].

Целью статьи является обоснование оптимизационного подхода к задачам поиска, локализации и нейтрализации уязвимостей в программном обеспечении КИС, выявленных в процессе реализации программы внутреннего АИБ ОО.

Под уязвимостью обычно понимают «брешь в средствах защиты, вызванную ошибками или конфликтами в процедурах (проекте, реализации, внутреннем контроле системы), которая может быть использована для несанкционированного проникновения в систему или для нарушения штатного режима функционирования программного обеспечения» [1, с. 263].

Появление уязвимостей в программном обеспечении (ПО) узлов КИС обусловлено преимущественно тремя факторами [5]. Во-первых, это ошибки недостаточно опытных разработчиков авторских приложений, например студентов или молодых преподавателей, дополняющих стандартные программные средства собственными расширениями. Во-вторых, это могут быть несертифицированные (нелегитимные) программные средства, которые размещаются пользователями в узлах сети для решения прикладных задач в нарушение требований корпоративной политики безопасности. В-третьих, источником уязвимостей в ПО могут служить целенаправленные действия внутренних нарушителей – инсайдеров, которые несанкционированно, исходя из корыстных побуждений, устанавливают в системе недоверенные программные продукты и/или осуществляют их некорректную настройку.

Самостоятельный поиск сетевым администратором уязвимостей в КИС, как правило, связан с большими затратами времени и вычислительных ресурсов. Поэтому на практике всё чаще прибегают к использованию сканеров безопасности (СКБ) – специальных программных автоматизированных средств, предназначенных для поиска, локализации и анализа уязвимостей локальных сетей. В настоящее время в корпоративных информационных сетях для выявления уязвимостей применяются сканеры безопасности разных типов [11]: XSpider (компания Positive Technologies), Nessus (компания Tenable Network Security), ISS Internet Scanner (компания Internet Security Systems (IBM)), Shadow Security Scanner (компания SafetyLab) и др. В СКБ последнего поколения, например, типа Shadow Security Scanner, гибко используются пассивный и активный режимы сканирования уязвимостей с элементами адаптивной настройки. Функционал СКБ последнего поколения охватывает следующие задачи: установление наличия уязвимости; локализация и анализ уязвимостей; обновление баз данных уязвимостей и баз данных способов их устранения; автоматическая генерация и интерпретация отчётов; формирование и выдача рекомендаций; настройка параметров режима сканирования сети; документирование и визуализация результатов анализа.

К дополнительным функциям СКБ можно отнести: формирование набора собственных правил сканирования на основе существующих или вновь создаваемых правил; возможность составления вероятных сценариев компьютерных атак; допустимость внешнего управления режимом работы через доступное администратору специальное программное обеспечение; изменение или расширение своей функциональности на основе авторских приложений; возможность осуществления собственных проверок на уязвимость с помощью специального менеджера; сигнализация администратору о несанкционированной прикладной (или сетевой) деятельности внутреннего нарушителя. Анализ указанных выше функций показывает, что СКБ сегодня обладает признаками интеллектуальной информационной системы. Это обстоятельство определяет технологическую базу и предпосылки для существенного повышения интенсивности аналитической деятельности аудитора ИБ в вопросах оценки уровня защищённости ресурсов КИС.

В последующем для большей определённости задачи исследования ограничимся рассмотрением информационно-вычислительных аспектов проблемы поиска и нейтрализации уязвимостей в программном обеспечении узлов КИС.

Первая задача состоит в автоматической классификации уязвимостей, выявленных в процессе мониторинга и зондирования программного обеспечения узлов КИС. Такая процедура призвана выделить основные группы уязвимостей, родственные по совокупности признаков, и осуществить их ранжирование. Вторая задача заключается в разработке рекомендаций по нейтрализации выявленных уязвимостей. Далее эту задачу будем интерпретировать как задачу выбора наилучшего плана нейтрализации уязвимостей на основе выбора и активизации механизмов защиты информации (МЗИ) из некоторого конечного множества механизмов защиты, имеющихся в распоряжении администратора сетевой безопасности. Рассмотрим более подробно модели этих задач.

Как показали исследования, задача автоматической классификации уязвимостей в ряде случаев может быть представлена как задача кластеризации информационных объектов по нескольким признакам и может быть решена на основе известных методов кластерного анализа [13]. Однако данный подход требует привлечения экспертов высокой квалификации и его полная автоматизация в силу необходимости учёта ряда субъективных факторов затруднительна. Поэтому в качестве альтернативы кластерному анализу рассмотрим оптимизационный подход, который опирается на базовые положения и рекомендации теории математического программирования [3, 4, 12].

Как известно, в общем случае задача классификации заключается в разбиении некоторого числа n объектов на ω классов так, чтобы минимизировать некоторый критерий взаимной несогласованности их свойств.

Предположим, что заданы P объектов и для каждой пары объектов i и j известно некоторое число λi,j ≥ 0 (если эти объекты рассматриваются как элементы евклидова пространства), или, в общем случае, индекс несогласованности, Примем далее λi,i ≥ 0. Задача состоит в разбиении множества P этих объектов на ω классов и в выборе в каждом классе специального опорного объекта, называемого представителем этого класса, таким образом, чтобы сумма расстояний от конкретных объектов до их представителей в классах была минимальна.

Обозначим через множество уязвимостей, а через – множество классов. Введём в рассмотрение переменную , которая обладает следующим свойством:

Модель задачи автоматической классификации представим в следующем виде:

(1)

(2)

(3)

(4)

где и

Ограничение (2) выражает тот факт, что объект j может быть связан с представителем i только в том случае, когда представитель класса i выбран (yi = 1). Ограничения (2) в сочетании с требованием бинарности переменных xi,j воспроизводят тот факт, что каждый объект (в нашем случае – уязвимость) должен быть связан с одним и только одним представителем, т.е. принадлежать одному классу. Соотношение (4) определяет число классов.

Решение сформулированной комбинаторной задачи (1)–(4) может быть получено на основе известных методов целочисленного программирования, например на основе метода ветвей и границ и его модификаций [3, 12].

Стремление реализовать в современной СЗИ ОО принцип «разумной достаточности» при учёте полученных с помощью СКБ формализованных данных о защищённости ресурсов КИС продвигает на уровень практической реализации задачу автоматического выбора рационального способа нейтрализации уязвимостей ПО. Этот вопрос может быть сведён к постановке и решению задачи о назначении, хорошо известной в теории математического программирования [4].

Процедуру обоснования плана нейтрализации выявленных уязвимостей ПО КИС на основе применения имеющихся в распоряжении администратора ИБ механизмов защиты информации представим как комбинаторную задачу оптимизации.

Рассмотрим классическую формулировку задачи о назначении [4, с. 473].

Задача о назначениях – это распределительная задача, в которой для выполнения каждой работы требуется один и только один ресурс, и каждый ресурс может быть использован на одной и только одной работе. Иными словами, в классическом варианте принимается, что ресурсы неделимы между работами, а работы неделимы между ресурсами.

Пусть заданы: m – количество имеющихся ресурсов; n – количество работ; Ai, i = 1,…,m – единичное количество ресурса, Ai, i = 1,…,m; bj = 1 – единичное количество работы, Bj, j = 1,…,n; ri,j – характеристика качества (положительный эффект), обусловленный выполнением работы Bj с помощью ресурса Ai.

Искомые параметры:

xi,j – индикатор назначения ресурса Ai на работу Bj

Математическая модель задачи о назначениях имеет вид

(5)

(6)

В нашем случае модель задачи о назначении будет иметь следующие особенности:

1. Требуется в результате решения задачи предложить такой план защиты программного обеспечения, который позволит нейтрализовать выявленные ранее уязвимости и добиться минимального среднего ущерба при осуществлении атак злоумышленника с наименьшими затратами вычислительных (или материальных) ресурсов.

Отдельные МЗИ могут быть использованы для интегрированной защиты ресурсов, что проявляется в возможности одновременной нейтрализации нескольких коррелированных уязвимостей в программном обеспечении. При этом принимаем условие, что m ≤ N и допустима нейтрализация одновременно двух разных уязвимостей с помощью одного механизма защиты. В формальном плане учёт этого обстоятельства требует ослабления ограничений, в частности вместо второго соотношения в выражении (6) предлагается записать неравенство

2. Реализация плана защиты ресурсов заключается в активизации m (m ≤ N) имеющихся механизмов защиты.

3. Оценка реализуемого МЗИ характеризуется затратами ресурсов, выраженными в стоимостном эквиваленте, и средним предотвращённым ущербом, обусловленным успешной нейтрализацией вероятной атаки злоумышленника на ПО КИС.

С учётом указанных замечаний определим обобщённый показатель оптимальности комплекса мер защиты следующим образом:

(7)

где F1(X) – величина совокупного предотвращённого ущерба в стоимостном эквиваленте;

F2(X) – величина совокупных затрат на реализацию активированного механизма защиты программного обеспечения, реализующего оптимальный план нейтрализации уязвимостей в стоимостном эквиваленте. Выражение (7) представляет собой показатель, сформированный в соответствии с обобщённым критерием «эффективность/стоимость».

Рассмотрим пример решения задачи выбора плана нейтрализации уязвимостей.

Пусть по итогам первого этапа АИБ в программном обеспечении узлов КИС выявлено n = 8 уязвимостей. В распоряжении администратора безопасности имеется несколько способов Ai, i = 1,…,m, (m = 5) нейтрализации уязвимостей Bi, i = 1,…,n (n = 8). Каждый из способов даёт определённый конечный эффект в конкретных условиях реализации существующих угроз и регламента работы программного обеспечения. Для оценки эффективности комплекса мер защиты вводится матрица частных показателей

(),

в которой элемент ri,j характеризует относительную эффективность защиты программных компонентов при нейтрализации уязвимости Bj на основе механизма защиты Ai.

В целях упрощения численного решения задачи оптимизацию будем осуществлять по критерию максимума предотвращённого ущерба, определяемого функционалом

(8)

где

Здесь – элемент, отражающий частный положительный эффект, который связан с одновременной нейтрализацией уязвимостей Bj и Bk.

Для учёта факта конечности ресурсов, привлекаемых для защиты программного обеспечения, систему ограничений (6) задачи дополним неравенством, учитывающим ограничение на допустимые совокупные затраты CД при реализации механизмов защиты:

(9)

Численное решение задачи оптимизации плана защиты ПО в булевых переменных получено на основе авторского приложения, реализующего известный метод вектора спада [12].

Таблица 1

Матрица частных показателей эффективности МЗИ

Таблица 2

Опорный план защиты ()

Таблица 3

Оптимальный план защиты ()

В соответствии с табл. 3, в которой представлены результаты решения комбинаторной задачи, оптимальный план защиты ПО состоит в реализации следующей схемы компенсации уязвимостей Bj, j = 1,…,8:

По данным вычислительного эксперимента, достигаемый при реализации полученного плана защиты эффект увеличился в 1,67 раза по сравнению с опорным вариантом защиты (см. табл. 2) и достиг величины 1,6 у. е.

Заключение

В статье показано, что обоснованный учет существующих информационных угроз, обнаружение и классификация уязвимостей и выполненный на этой основе анализ рисков закладывают основу для определения рационального плана адекватных мер защиты, обеспечивающих требуемый уровень защищённости программного обеспечения.

Для сокращения объёма аналитических расчётов при обосновании плана нейтрализации уязвимостей представляется целесообразным осуществить кластеризацию массива выявленных уязвимостей в ПО узлов КИС на основе постановки и целочисленного решения комбинаторной оптимизационной задачи классификации. Выделение комплекса возможных способов нейтрализации вероятных угроз с учётом особенностей выявленных уязвимостей формирует базис для формальной постановки задачи выбора интегрированных механизмов защиты ресурсов, которая представляет собой специальный вид задачи о назначении. Для поиска оптимального плана могут быть использованы апробированные на практике численные методы дискретного программирования в булевых переменных.

Для практического использования предложенного оптимизационного подхода требуется корректное обоснование показателей, характеризующих основные виды уязвимостей, и данных, определяющих частные показатели эффективности МЗИ. Эти вопросы требуют дополнительного изучения с учётом накопленного опыта успешного отражения информационных атак на ПО КИС.

Библиографическая ссылка