Некоторые модели динамики возникновения угроз, основанные на теории потоков
Необходимость моделирования динамики возникновения угроз безопасности информации, как правило, связана с угрозами проникновения в операционную среду ИС, то есть с угрозами, реализуемыми на системном и прикладном уровнях. Это определяется тем, что для оценки возможности их реализации за заданное время необходимо знать характеристики исходного потока угроз безопасности информации в ИС.
Динамика возникновения угроз безопасности информации в ИС обусловлена временными характеристиками процессов появления источников угроз - злоумышленников (нарушителей), интенсивностью возникновения условий для физического доступа в помещение, к средствам вычислительной техники, к коммуникационным элементам компьютерной системы, интенсивностью попыток реализации угроз нарушителем, действиями пользователей, такими как включение, выключение компьютера, подсоединение его к компьютерной сети или отключение от сети и т.п. Указанные факторы характеризуются или статистической неопределенностью, или отсутствием точных сведений об их наличии и времени возникновения, или неопределенностью и неполнотой данных об отдельных характеристиках угроз безопасности информации, что предопределяет вероятностный характер процесса возникновения угроз безопасности информации. Большая часть таких факторов может быть учтена при применении для описания динамики возникновения угроз методов теории случайных потоков, что обусловлено случайным характером процесса возникновения угрозы, отсутствием, как правило, в таком процессе параллельных событий и возможностью представления его в виде последовательности однородных событий.
Возможность возникновения угрозы может быть оценена с применением показателя - вероятности возникновения угрозы за заданное время или характеризоваться среднестатистическими характеристиками - средней интенсивностью потока угроз и среднем временем существования угрозы.
Далее рассматриваются модели динамики возникновения двух групп
угроз:
а) физического доступа к элементу ИС (непосредственного доступа к компьютеру);
б) удаленного несанкционированного доступа в операционную среду компьютера (угроз сетевых атак).
Математическая модель динамика возникновения угроз физического доступа к ПС и к ее элементам основана на том, что в общем случае каждая угроза существует эпизодически и может быть представлен в виде потока событий.
Иллюстрация процесса возникновения угрозы безопасности информации во времени.
Момент возникновения угрозы в общем случае определяется:
- интенсивностью появления источников данной угрозы (рраг);
- долей (вероятностью) использования каждого момента появления источника для попытки реализации угрозы (Р У,
- выбором и возможностью реализации способа проникновения, к которым могут относиться вывод из строя системы сигнализации и охраны (s = l), подбор необходимых параметров аутентификации (s = 2), отвлечение персонала (s = 3) или выбор момента его отсутствия (s = 4) и др.;
- интенсивностью возникновения условий функционирования ИС (juco„d), которые существенны для реализации данной угрозы (например, проникновение только в нерабочее время или только в рабочее время, когда функционирует ИС).
Продолжительность существования угрозы определяется:
- временем наличия источников угрозы (т);
- временем существования условий, которые существенны для реализации данной угрозы (rcond).
Если имеется несколько способов проникновения к і -му элементу ИС и тот или иной способ (s) выбирается нарушителем с некоторой вероятностью Psei./(S)’S = 1.£/ и не зависит от источника угрозы, то вероятность того, что нарушитель воспользуется одним из известных способов проникновения, находится из простого соотношения:
Р^=1-П[1-^,.(*)]. (5.70)
J=1
С учетом изложенного основные соотношения для определения характеристик потока угроз и вероятностей возникновения угрозы приведена в таблице 5.1.
Для использования данной модели необходимо прогнозировать средние интенсивности потоков инцидентов существования условий для реализации угроз, продолжительности таких инцидентов, а также временные характеристики потока угроз применительно к каждой ИС.
Математическая модель динамики возникновения угроз безопасности информации, связанных с удаленным доступом, определяется такими факторами, как интенсивность попыток проведения сетевых атак и моментом возникновения угрозы, что в общем случае определяется:
- интенсивностью появления источников данной угрозы (ц );
- долей (вероятностью) использования каждого момента появления источника для попытки реализации угрозы (Р У
Более того, даже при малом количестве каналов НСД, но при отсутствии мер и средств защиты эта вероятность также близка к единице, и лишь при применении необходимых мер и средств защиты - снижается.
В ряде случаев поток попыток реализации угроз не может быть отнесен к рекуррентным, поскольку при одном и том же сеансе работы компьютера в сети может состояться несколько попыток сетевых атак.
Существенным ограничением изложенного подхода сегодня является то, что рассматриваются только известные каналы НСД, то есть известные уязвимости программного и аппаратного обеспечения ИС. Вместе с тем на практике часто нарушители используют вновь выявляемые уязвимости, что обусловливает необходимость прогноза возникновения новых уязвимостей. В этой связи может быть использован предложенный в [95] подход к прогнозу количества вновь возникающих уязвимостей, где теоретически и экспериментально показано, что безусловная плотность распределения вероятности возникновения новых уязвимостей может быть представлена в виде:
где п - количество выявляемых новых уязвимостей за период времени t;
a,b параметры распределения, подбираемые для конкретной операционной системы.
При этом количество возникающих уязвимостей характеризуется математическим ожиданием и дисперсией:
Такой подход позволяет строить аналитические прогнозные модели возникновения новых уязвимостей и с их учетом оценивать возможность возникновения новых угроз безопасности информации в ИС.
Таким образом, для аналитического моделирования процесса возникновения угроз безопасности информации необходимо знать среднестатистические характеристики возникновения угроз. На сегодняшний день статистика возникновения угроз безопасности информации в ИС практически отсутствует. В этих условиях или сама вероятность может быть оценена на основе применения аппарата нечетких множеств или оцениваются с помощью этого аппарата в нечетком виде среднестатистические характеристики потоков возникновения угроз безопасности информации. При этом разработанные модели не претерпевают существенных изменений за исключением того, что вместо обычных операций с числами применяются операции с нечеткими числами.
Основные соотношения для расчета характеристик динамики возникновения угроз безопасности информации в ИС
|
Наименование модели |
Условия возникновения угрозы |
Основные соотношения для расчета |
Примечания |
||
|
Модель динамики возникновения угроз физического доступа к ИС и к ее элементам |
1. Эпизодически появляется один источник угрозы. 2. Эпизодически возникают условия в КС, необходимые для реализации угрозы |
= fl—iPjurjfip,, |(г.мя/< + г,,ГІ) /]}; Мыщі *Шшшлj‘(r.wr +Г/»г.); ~ Гпм/.і ' Тpar-1 Г.Ч’Ві------ + j |
вероятность возникновения / -й угрозы за время f; - вероятность выбора способа проникновения к элементам ИС; Ррм-,- вероятность использования |
||
|
1. Эпизодически появляется один источник угрозы. 2. Условия в ИС, необходимые для реализации угрозы, существуют всегда |
источником в каждый момент своего появления попытки реализации угрозы; /Aw»*» ^ряп~ средние интенсивности возникновения / -й угрозы и появления ее |
||||
|
Условия для реализации угрозы случайны во времени, но при каждом таком условии осуществляется попытка реализации угрозы одним источником |
д/)=i ; rtwr = I3"!' |
источника соответственно; fiumA- интенсивность возникновения условий функционирования ИС, которые существенны для реализации / -й угрозы; Г/*#, Гparr среднее время существования І -й угрозы и существования источника і -й угрозы соответственно; Гпш»а- - среднее время существования условий в КС, необходимых для реализации /-й угрозы; |
|||
|
1. Эпизодически появляются несколько источников угрозы. 2. Эпизодически возникают условия в ИС, необходимые для реализации угрозы |
m *a, Ѵыхі “ + *VJ)> Ы. «s — ГчЧЧІІ ■ Г/»Я » Г ЛгвУ — |
Те же, а также /, - множество источников f-й угрозы |
|||
|
Наименование модели |
Условия возникновения угрозы |
Основные соотношения для расчета |
Примечания |
||
|
Математическая модель динамики возникновения угроз безопасности информации, связанных с удаленным доступом при рекуррентном по- токе угроз |
1. Эпизодически возникают попытки удаленного НСД. 2. Эпизодически возникают условия в ИС для реализации НСД. Остальные условия не учитываются |
Phm{t)=\ -ехр| (г„_, + г„ )Рт 1]; t-l “ Ліи/ *(fw + Г*) , Гл,ѵ=- Гімш/ +- ГА |
PSv (/) - вероятность возникновения угрозы за время t; - вероятность того, что хотя бы один из каналов НСД может быть использован нарушителем для реализации данной угрозы; Р^ік)- вероятность использования к -го канала НСД для реализации рассматриваемой угрозы; K(fW - количество каналов НСД; - интенсивность попыток НСД; к*" - количество каналов НСД, которые можно задействовать для реализации данной угрозы в условиях применения мер и средств защиты |
||
|
1. Эпизодически возникают попытки удаленного НСД. 2. Поток попыток НСД является рекуррентным. 3. Условия в ИС для реализации НСД существуют всегда. 4. Время, необходимое для реализации угроз не ограничено |
Д,(0 = І-схрНг„ Рт ;1; i-l |
||||
|
1. Эпизодически возникают попытки удаленного НСД. 2. Поток попыток НСД является ре- куррентным. 3. Условия в ИС для реализации НСД существуют всегда. 4. Время, необходимое для реализации угроз ограничено |
(0 = I -«Pt-Я, • /5™(г» гг.)-/]; А. Гтті * Га Гч* — - r,w 4- Га |
Ге же, а также Ры (rrt £ г») - вероятность того, что продолжительность существования угроз Ты превышает допустимое значение, при этом при меньшей продолжительности угрозы можно не рассматривать |
|||
|
Математическая модель динамики возникновения угроз безопасности информации, связанных с удаленным доступом при квазирекуррент- ном потоке угроз |
1. Эпизодически возникают попытки удаленного НСД, но в период возможного существования условий для реализации НСД. 2. Поток попыток НСД является квазирекуррентным 3. Условия в ИС для реализации НСД эпизодически |
р^Ѵ) = 1 +=——[Я. «іЧ-aw) - ; Aw -Pa l-l /Aw - ~Z * /А* - Tttmj + 0.W ГА + Pi* |
Те же, а также /Ал - средние интенсивности соответственно потоков угроз и промежутков времени, в которые они могут существовать; Ѳит* - средняя длительность паузы между периодами существования условий для реализации угроз; 0средняя длительность паузы между попытками реализации угроз |
||
