Формирование требований к эффективности защиты информационной системы и ее элементов от угроз отказа в обслуживании на основе их сопоставления с требованиями по надежности функционирования информационных систем
Формирование требований к эффективности защиты информационной системы от угроз отказа в обслуживании сводится к определению требуемого значения показателя эффективности защиты:
при использовании безотносительного показателя эффективности J7ve6)(T) = R^)(T)-R{i;m); (7.1)
при использовании относительного показателя эффективности r]{Je6\T) = R^’,\T)/R^\T), R^(T)>0; (7.2)
при использовании относительного разностного показателя эффективности & {Т)=\€\Т)-К?°П\Т)\ІК\Т), К0)(Т)> 0, (7.3) где - риск, возникающий для ИС при реализации угрозы отказа в обслуживании при отсутствии мер защиты за период оценки Т;
R^dori){T) - допустимое значение риска, определяемое при организации защиты от угрозы отказа в обслуживании за период оценки Т;
Если при отсутствии мер защиты риск нарушения функционирования близок к единице, то формулы значительно упрощаются:
В основе излагаемого подхода к формированию требования к предельно допустимой вероятности реализации угрозы отказа в обслуживании лежит идея о том, что нарушение функционирования ИС одинаково опасно для обладателя и пользователей ИС независимо от того, произошло ли оно из-за преднамеренного воздействия на программно-аппаратные элементы ИС или из-за отказа этих элементов в условиях отсутствия указанного воздействия, то есть из-за возникновения неисправностей, сбоев, ошибок в настройках, ошибок пользователей и т.д., характеризуемых таким понятием как «функциональная надежность» ИС [1, 105, 106], которая оценивается вероятностью безотказной работы [107] или в соответствии с [105] вероятностью безошибочного выполнения процесса, то есть функционирования ИС. Если учесть, что сегодня требования к функциональной надежности задаются соответствующими стандартами, например, стандартами [107, 108], то имеется возможность обосновать предельно допустимую вероятность реализации угрозы отказа в обслуживании.
Если положить, что для первого класса защищенности вероятность ^“">(1,0 того, что угроза отказа в обслуживании в результате преднамеренного воздействия будет реализована, окажется меньше, чем вероятности выхода из строя ИС из-за отказа элемента или программы, то ^0 ,т)<р{;,:](т), (7.8) где P)tZ] (^) - предельно допустимая вероятность того, что ИС выйдет из строя из-за неисправностей, сбоев, ошибок и т.д. за время Т.
Для других классов защищенности по аналогии с формулой (7.7) требования несколько снижаются:
СШ) (k,Т) < ер (к) • (Г), ер{к) > 1, * = Ш, (7.9) где £р(к) - коэффициент увеличения предельно допустимой вероятности
реализации угрозы отказа в обслуживании для к -го класса защищенности по сравнению с первым.
При таком подходе учитывается, является ли источник и -й угрозы внутренним или внешним в соответствующей модели процесса реализации угрозы. Если источников (внутренних или внешних) много и ими используется один и тот же способ реализации угрозы, то это учитывается в интенсивности возникновения угрозы. Если количество угроз с одинаковым по содержанию несанкционированным действием составляет величину и, то формула (7.9) преобразуется к виду: \-f\[\-P^\kj)]<sp{k)-P^(T),sp(k)>\^ = Udi=W, (7.10) откуда при одинаковых требованиях по защите от каждой и -й угрозы
С"1 (к, т) < 1 - „(>:)р[::] {г), (*) > і, *=ш«=w, а 11)
Зависимость допустимой вероятности нарушения функционирования элементов ИС от допустимой вероятности нарушения функционирования ИС в целом
Если предельно допустимая вероятность реализации угрозы за оцениваемый период времени установлена и в соответствии с моделью угроз известны возможные интенсивности (Xud) попыток реализации угроз, то можно установить допустимые вероятности (Pud ) реализации угрозы в каждой попытке. При экспоненциальном приближении имеет место соотношение:
Р%Г\КТ) = 1-ехр(-ГЧ, (7.15) откуда следует [доп) Pud т-я –In 1 1 -Р%°п\к,Т) у(доп) (kj)< 1 (7.16)
Пример 7.1. Пусть атаки на ИС проводятся в среднем один раз в сутки, то есть \d =0.042—!—. Необходимо определить предельно допустимую вероятность реализации угрозы в каждой попытке, если период оценки составляет 1 год, то есть Т =8760 часов, в зависимости от предельно допустимой вероятности реализации угрозы Р^°п). Результаты расчета в виде графика приведены.
Если количество угроз с одинаковым по содержанию несанкционированным действием составляет величину U , то по аналогии с формулами (7.10) и (7.11) предельно допустимая вероятность реализации угрозы отказа в обслуживании определяется при разных требованиях по защите от разных угроз из соотношения: П[і-^Г’ ХХ] * ер (к) * u=IX и=IX. (7.17)
Зависимость предельно допустимой вероятность реализации угрозы в каждой попытке от предельно допустимой вероятности реализации угроз за весь оцениваемый период.и требования к каждому элементу Р^°п) {п,Т} определяются из решения уравнения п 1-П РІ?’Ч».Т) (7.21).
С учетом класса защищенности ИС в соответствии с соотношением (7.9) это уравнение преобразуется к виду
1 -ftj1 -[^(к’Т)Т}-(бС’(И sp{k)>\,k = lK . (7.22)
В этом случае так же, как и в предыдущих случаях, можно установить допустимые вероятности (/(“’) реализации угрозы в каждой попытке (см. формулу 7.14) и предельно допустимые вероятности реализации угрозы при наличии нескольких таких угроз (см. формулы 7.15 и 7.16).
Аналогичным образом могут быть детализированы требования, предъявляемые к предельно допустимой вероятности нарушения целостности или доступности системных файлов в конкретном программно-аппаратном элементе ИС или пользовательских файлов, без которых перестает нормально функционировать прикладное ПО, что для пользователя равносильно выводу из строя самой ИС.
Пусть установлены требования по защите / -го элемента ИС заданного класса защищенности, например, одной из рабочих станций ИС, от угроз нарушения функционирования этого элемента за заданное время Р^°"'> {к>Т\ Вывод из строя ИС возможен путем нарушения целостности или доступности:
1) хотя бы одного критически важного системного файла из некоторой совокупности таких файлов в і -м хосте ИС;
2) некоторой совокупности системных файлов из определенного набора таких совокупностей (как правило, с разным количеством системных файлов в каждой совокупности), при этом только нарушение целостности или доступности всех файлов, входящих в совокупность, приводит к нарушению функционирования ИС;
3) некоторой совокупности пользовательских файлов (исполняемых файлов прикладных программ или файлов данных, без которых прикладные программы не работают).
Если составлен перечень критически важных системных файлов в і -м хосте ИС, количество которых составляет величину F t и нарушение
целостности или доступности каждого из которых приводит к выводу из строя рабочей станции (первый из указанных случаев), то по аналогии с формулами (7.9) и (7.10) применительно к любому системному файлу с номером / ( имеет место неравенство: П V-C\f^T)\^r\k,T), к = =йГ" (7.23) /,«=і из которого определяется допустимая вероятность нарушения целостности или доступности любого критически важного системного файла f в ИС к -го класса защищенности.
При равных требованиях к защищенности всех критически важных файлов:тР{Т] (f^k,T) <1-^1 -Р^оп) (к,т),/^ =П£. (7.24)
Если определены совокупности системных файлов (второй случай), при этом количество файлов в с-й совокупности составляет величину Fc, а количество таких совокупности составляет величину Csyst, то по аналогии с формулой (7.17) для /-го хоста ИС А'-го класса защищенности имеет место неравенство: 1-П <Р^(к>Т) _ (7.25)
При одинаковых требованиях к защищенности каждого файла формула преобразуется к виду: !-П{l-[Cn)(Urk-T)]Fc}^P^n){k,T) . (7.26)
Показана область значений, в рамках которой выбирается предельно допустимая вероятность реализации угрозы нарушения функционирования ИС за счет воздействия на совокупности системных файлов.
Зависимость предельно допустимой вероятности
нарушения целостности или доступности системных файлов от допустимой вероятности реализации угрозы нарушения функционирования системы в целом: Сш, = 2,Fl= 2,F2 = 3
Из этого условия определяются допустимые вероятности реализации угроз относительно каждого критически важного системного файла. Если количество угроз отказа в обслуживании, реализуемых путем нарушения целостности или доступности системных или пользовательских файлов, велико, что приводит к значительным затратам времени на проведение оценки возможностей реализации угроз, то полагается, что с единичной вероятностью будут выполняться деструктивные действия относительно этих файлов или определенных их сочетаний, когда нарушителем или инициированным им процессом получен доступ в операционную среду хоста ИС.В этом случае устанавливается предельно допустимая вероятность Р{0^(к,Т} получения
Несанкционированного доступа в операционную среду: Pt\k,T)<P^\k,T) (7.27).
Изложенный подход позволяет задавать количественные требования к эффективности защиты информации от угроз нарушения функционирования ИС, в том числе с учетом установленного для нее класса защищенности.
