Классификация моделей процессов реализации угроз безопасности информации от несанкционированного доступа
Моделирование процессов реализации угроз проводится при оценивании возможностей такой реализации в интересах выявления актуальных угроз и обоснования выбора адекватных мер защиты от них [10- 13, 26]. Вместе с тем такое оценивание является, во-первых, многоаспектным и многоэтапным, а, во-вторых, качественным (экспертным) или количественным (с применением количественных методов).
Рассматривая многоаспектность оценки возможностей реализации угроз, необходимо отметить, что такая оценка, как правило, включает в себя решение комплекса взаимосвязанных задач анализа, в том числе таких как:
выявление наличия, расположения в ИС и определение категории (важности, грифа конфиденциальности и др.) защищаемой информации, относительно которой рассматривается комплекс угроз;
выявление состава и расположения источника каждой угрозы;
выявление уязвимостей в системном и прикладном ПО, в настройках, архитектуре построения и применяемых в ИС информационных технологиях, которые могут быть использованы для реализации угроз;
определение способов реализации угроз, связанных с проникновением в операционную среду ИС;
определение способов реализации угроз, связанных с перехватом трафика ИС и всех ее хостов;
оценка возможностей преодоления мер защиты, уже принятых в ИС и ее хостах;
выявление возможности реализации несанкционированных действий относительно защищаемой информации в ИС (копирования, модификации, блокирования, перемещения, уничтожения и т.д.).
Содержание указанных аспектов анализа обусловливает то, что для решения некоторых задач анализа, как правило, не требуется разработка каких-либо моделей (например, при выявлении защищаемой информации, за исключением, возможно, случаев создания средств поиска и мониторинга защищаемых информационных ресурсов, при выявлении состава и расположения источников угроз) или не требуется учет фактора времени (например, при выявлении уязвимостей), а для других задач без наличия таких моделей оценка возможностей реализации угроз оказывается или необоснованной, а часто и некорректной, или отражающей некоторые частные вопросы анализа (например, оценка принципиальной возможности доступа к защищаемому файлу или каталогу).
Следует подчеркнуть, что сегодня моделирование процессов реализации угроз безопасности информации в ИС в целом или парциальных процессов, применяется или должно применяться при решении большинства задач ТЗИ.
Модель процесса реализации угрозы безопасности информации в ИС - это формальное его представление, позволяющее по определенным показателям и критериям провести оценку возможности реализации угрозы безопасности информации. Сегодня известно большое количество методов и подходов к разработке таких моделей, однако многие из них или направлены на достижение весьма узких целей моделирования (например, на доказательство принципиальной возможности доступа нарушителя к тому или иному блоку информации), или недостаточно состоятельны, так как не учитывают ряд весьма существенных факторов, влияющих на возможности реализации угроз (например, фактор времени).
Общая классификация моделей, встречающихся в практике исследований в области ТЗИ или которые, на наш взгляд, могли бы быть использованы в этой области, приведена на рисунке 4.1. Краткая характеристика указанных моделей сводится к следующему.
Для моделирования процессов реализации угроз безопасности информации или составляющих их процессов (при решении частных задач анализа) применяются как аналитические, так и имитационные модели. Вместе с тем, что в связи со значительной трудоемкостью разработки и узкой, как правило, направленностью имитационным моделям уделяется значительно меньше внимания. Это в полной мере относится к моделям, построенным с использованием аппарата сетей Петри, в том числе стохастических сетей Петри (см. раздел 4.5). К другим имитационным моделям могут относиться, например, имитационные модели на основе комбинаторных методов, эпидемиологические модели (как стохастические, так и нестохастические), функциональные модели (с моделированием процессов выполнения определенного набора функций) и т.п.
И аналитические, и имитационные модели могут быть как детерминированными (не учитывающими случайные факторы, которые могут иметь место в моделируемом процессе) и стохастическими (учитывающими случайные факторы).
В предметной области защиты информации детерминированные модели применяются, как правило, для решения достаточно узких задач. Например, к таким моделям относятся формальные модели безопасности [50, 51], логиколингвистические модели и модели ситуационного управления [52-54], модели, основанные на исчислении высказываний и теории предикатов [54- 56] и др. Более подробно характеристика некоторых из этих моделей применительно к решению задач анализа возможностей реализации угроз безопасности информации в ИС дается в последующих разделах.
Наконец, важным фактором, учет которого принципиально меняет содержание моделей и применяемые при этом методы, является время. При этом необходимо иметь в виду следующее.
Классификация моделей, которые находят или могут найти применение для оценки возможностей реализации угроз безопасности информации от НСД в ИС
В зависимости от того, непрерывное или дискретное множество представляет собой область значений моделируемого процесса и область определения времени, различают 4 вида процессов) [57]: дискретно-дискретный, дискретно-непрерывный, непрерывно-дискретный и непрерывно-непрерывный.
Виды моделируемых процессов в зависимости от наличия дискретизации времени и значений процесса.
Кроме приведенных на рисунке 4.2 видов процессов, могут быть также сложные, смешанные виды случайных процессов, например, когда значения процесса зависят не только от времени, но и от других, возможно случайных, параметров, которые могут быть как непрерывнозначными, так и дискретными [57].
Дискретные значения моделируемого процесса, как правило, определяются в соответствии с семантически значимыми его состояниями.
Поэтому такие модели часто называют моделями с дискретным временем и дискретными состояниями. К ним относятся, в частности, модели, основанные на теории конечных автоматов, некоторые логико- лингвистические модели, модели на основе логических сетей и сетей Петри и др.
В ряде задач моделирования учет времени оказывается излишним, не влияющим на результаты моделирования.
Так, в формальных моделях безопасности [50, 51] выявляется принципиальная возможность несанкционированного доступа к защищаемой информации (к каталогу, к файлу, к записи в базе данных и т.п.), возможный путь или/и возможность пресечения такого доступа. В графовых моделях угроз сетевых атак формируются возможные пути распространения сетевых атак (траектории атак) в интересах обоснования возможности реализации и вероятных сценариев атак, а также для обоснования состава мер и целесообразных мест установки в ИС средств защиты [58-62]. При этом временной фактор игнорируется.
Вместе с тем при решении большинства задач такое игнорирование невозможно, так как приводит к некорректным выводам. Как правило, при отсутствии учета фактора времени применяется дискретизация состояний моделируемого процесса.
Иногда для учета фактора времени дискретные состояния привязываются к тактам времени, однако такой учет времени является условным, так как корректное определение длительности тактов определяет необходимость разработки соответствующих моделей процессов, реализуемых в пределах каждого такта, и неизбежно приводят к применению иных методов моделирования.
