Научный журнал

Современные наукоемкие технологии

ISSN 1812-7320

"Перечень" ВАК

ИФ РИНЦ = 0,940

• Авторы
• Резюме
• Файлы
• Ключевые слова
• Литература

Попова О.Б. 1 Кушнир Н.В. 1 Носова Ю.С. 1 Тотухов К.Е. 1 Резниченко Л.С. 1 Яцкевич Е.С. 1

---

1 ФГБОУ ВО «Кубанский государственный технологический университет»

Цель статьи показать, как влияют уязвимости на современное программное обеспечение, используя статистический анализ. Для этого был проведён анализ рисков и требований, изучены ограничения, произведён сбор данных и применён статистический анализ. Были получены выводы и предложения по дальнейшим исследованиям в области быстрой диагностики ошибок программного обеспечения. Уязвимости были классифицированы и проанализированы по типам ошибок и по уровню критичности CVSS. Актуальной задачей службы безопасности любой организации является защита от внешних и внутренних угроз. В ходе атак злоумышленники используют средства и методы для проникновения в инфраструктуру, закрепления в ней и сокрытие следов атак. Этапы атак осуществляются посредством эксплуатации как уже найденных специалистами по защите информации, но не исправленных в атакуемой инфраструктуре, так и с помощью необнаруженных уязвимостей, называемых «уязвимостями нулевого дня». Статистический анализ уязвимостей поможет специалистам по информационной безопасности и разработчикам программного обеспечения понять, какому тестированию, каких ошибок нужно уделять больше времени. Для уменьшения объема работ, выполняемого вручную, специалистами принято использовать автоматические средства сканирования. Но сканеры уязвимостей имеют издержки (false positives и false negatives), поэтому данные, полученные в ходе сканирования, необходимо перепроверять вручную.

Статья в формате PDF

354 KB

защита информации

статистический анализ уязвимости

ошибки программного обеспечения

алгоритм структурирования знаний

дерево решений

1. CWE Version 4.2 // The MITRE Corporation. 2020. [Электронный ресурс]. URL: https://cwe.mitre.org/data/published/cwe_latest.pdf (дата обращения: 12.01.2021).

2. Common Vulnerability Scoring System v3.1: Specification Document. Forum of Incident Response and Security Teams. 2020. [Electronic resource]. URL: https://www.first.org/cvss/v3.1/specification-document (date of access: 12.01.2021).

3. ГОСТ Р 56546-2015. Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем. М.: Стандартинформ, 2018. 11 с.

4. Russian Robotics. 2020. [Electronic resource]. URL: https://www.rusrobots.ru (date of access: 12.01.2021).

5. Popova O., Popov B., Karandey V., Gerashchenko A. Entropy and Algorithm of Obtaining Decision Trees in a Way Approximated to the Natural Intelligence. International Journal of Cognitive Information and Natural Intelligence. 2019. Vol. 13. No. 3. P. 50–66.

6. Попова О.Б., Кушнир Н.В., Носова Ю.С., Тотухов К.Е. Уменьшение влияния когнитивного феномена скупости и когнитивных искажений на процесс выбора в поисковых исследованиях с помощью рефлективного подхода // Современные наукоемкие технологии. 2020. № 11–2. С. 305–312.

Нами была поставлена цель: исследовать уязвимости в современном программном обеспечении с помощью статистического анализа. Для этого был проведён анализ рисков и требований [1], изучены ограничения, произведён сбор данных [2] и применён статистический анализ. Далее были получены выводы по результатам исследования и перечислены предложения по научным исследованиям в области своевременного выявления ошибок программного обеспечения и защиты информации.

Статистический анализ уязвимостей

Актуальной задачей службы безопасности любой организации является защита от внешних и внутренних угроз. В ходе атак злоумышленники используют средства и методы для проникновения в инфраструктуру, закрепления в ней и сокрытие следов атак. Эти этапы атак осуществляются посредством эксплуатации как уже найденных специалистами по защите информации, но не исправленных в атакуемой инфраструктуре, так же и с помощью необнаруженных уязвимостей так называемых «уязвимостей нулевого дня». Статистический анализ уязвимостей поможет специалистам по информационной безопасности и разработчикам программного обеспечения понять тестированию каких ошибок нужно уделять больше времени. Для уменьшения объема работ, выполняемого вручную, специалистами принято использовать автоматические средства сканирования. Но сканеры уязвимостей имеют издержки (false positives и false negatives), поэтому данные, полученные в ходе сканирования, необходимо перепроверять вручную. На основании ГОСТ Р 56546-2015 «Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем» [3], классификации ошибок программного обеспечения CWE (Common Weakness Enumeration) и принятых в отрасли и международном сообществе специалистов практик информационной безопасности разработан перечень типов ошибок программного обеспечения. Описание типов ошибок представлено в табл. 1. Уровень критичности и уязвимости определяются согласно международному стандарту для оценки уязвимостей - CVSS. Описание стандарта представлено в табл. 2.

Нами были использованы данные для исследования с сайта компании «Рашн Роботикс» [4]. Компания «Рашн Роботикс» предоставила данные с одного из автоматических сканеров веб-уязвимостей. Датасет, выбранный нами для исследования, представляет собой отчет о сканировании 22520 целей, в котором содержится информация о 80611 ошибках программного обеспечения.

Ошибки можно распределить по уровню критичности уязвимостей (табл. 3, рис. 1). Далее были рассмотрены уязвимости, уровень критичности которых выше низкого. Ошибки программного обеспечения можно распределить по типу (табл. 4).

Также в ходе более детального анализа уязвимостей высокого и критического уровня критичности было выявлено, что автоматический сканер уязвимостей имеет проблему ложных срабатываний (false positives) в 25 % случаев, так как использует эвристические алгоритмы анализа (табл. 5). Уровень false negatives установить не представляется возможным, так как для его подсчета необходим доступ непосредственно к сканируемой информационной системе.

Таблица 1

Типы ошибок программного обеспечения

Таблица 2

Международный стандарт оценки уязвимостей

Таблица 3

Количество ошибок в датасете по уровню критичности

Рис. 1. Количество ошибок в датасете по уровню критичности

Таблица 4

Количество ошибок в датасете по типу ошибки

Таблица 5

Количество ошибок в датасете высокого и критического уровня

Чтобы сократить объем работ, выполняемых специалистами по информационной безопасности без программного обеспечения, предлагается использовать дерево выбора, основанное на бинарном дереве системы вопросов и ответов [5], в сочетании с инструментами автоматического сканирования. Полученные в данной статье результаты исследования позволят правильно настроить бинарное дерево системы вопросов и ответов [5]. Для этого необходимо использовать алгоритм структурирования знаний предметной области «ошибки программного обеспечения», расположив их в дереве согласно их уровню критичности (рис. 2) [6]. Это поможет быстро выбирать наиболее подходящий метод решения проблемы, связанной с появлением ошибки в программном обеспечении. Ошибки с наивысшим уровнем критичности будут расположены на более высоком уровне дерева, что поможет их определять как можно быстрее.

Далее приведём формулу представления знаний о новой потенциально возможной ошибке из предметной области «ошибки программного обеспечения» [6]:

НАЗВАНИЕ ОШИБКИ, которая обладает свойствами {xi}, отличающаяся тем, что имеет свойство zi, которое не соответствует свойствам {y'i} и {y''i},

где {xi} – полный путь по дереву или не полный путь по дереву к прототипу полученной ошибки;

{y'i} – множество свойств, которые расположены слева от указанного пути по дереву;

{y''i} – множество свойств, которые расположены справа от указанного пути по дереву.

Выводы

В процессе проведения исследования и анализа, полученных и внесённых в таблицу данных, было установлено следующее. При разработке программного обеспечения необходимо уделять большое внимание своевременному выявлению ошибок программного обеспечения, что способствует ликвидации различного уровня уязвимостей ещё на ранней стадии разработки и реализации программного обеспечения. Это позволяет добиться необходимого уровня информационной безопасности программного продукта. При этом следует заметить, что использование исключительно сканеров уязвимостей недопустимо. Учитывая масштаб современных киберпреступлений можно сделать вывод, что наряду с системным администратором в каждой организации необходимо иметь специалиста по информационной безопасности. Данный специалист должен обладать опытом фиксации разного рода возникающих ошибок, уметь использовать современный опыт структурирования ошибок программного обеспечения и иметь нужный вариант решения зафиксированной проблемы.

Исследование проведено при финансовой поддержке РФФИ. Название проекта: «Развитие теории качественной оценки информации с учётом её структурной составляющей», № 19-47-230004 от 19.04.2019 г.

Библиографическая ссылка