Некоторые аспекты обоснования количественных требований к средствам защиты информации в информационных системах
Сегодня имеется ряд документов, содержащих требования к средствам защиты, таким как межсетевые экраны [109], системы обнаружения вторжений [ПО], средства антивирусной защиты [111], средства доверенной загрузки [112], средства контроля съемных машинных носителей информации [113]. Эти требования привязаны к классам и уровням защищенности ИС и к классам защиты, устанавливаемым для средств защиты. Сами требования установлены на основе опыта специалистов, в том числе те, которые прописаны в международных стандартах ИСО/ МЭК 15408 [20, 18, 30]. При этом они не связаны с количественными показателями требуемой эффективности защиты самих ИС, хотя качественно связь между классом (уровнем) защищенности ИС и требуемыми классами средств защиты установена на основе экспертных оценок.
Ниже предлагается подход к формированию требуемой эффективности защиты информации средствами защиты, исходя из требуемой эффективности такой защиты в ИС.
Разнообразие средств защиты информации, разрабатываемых и применяемых в ИС различных классов защищенности с различным составом и структурой построения, и реализуемых этими средствами функций защиты обусловливает необходимость учета целого ряда факторов при обосновании количественных требований к их эффективности. К таким факторам относятся следующие:
принцип построения системы защиты информации в ИС и управления ею (централизованный, то есть с консоли администратора безопасности, децентрализованный в виде упомянутой ранее многоагентной системы защиты [27-29] или смешанный, то есть централизованнодецентрализованный). Сегодня системы защиты пока строятся только по централизованному принципу;
принятая стратегия защиты информации в ИС (например, стратегии периметровой защиты, эшелонированной защиты, тотального контроля и т.д. [26]). Сегодня реализуется в основном стратегия эшелонированной защиты;
класс защищенности ИС, в составе которой создается система защиты информации, и необходимость соответствующей дифференциации требований к средству защиты;
задачи защиты, решаемые с применением средства, и реализуемые им функции, направленные на решение указанных задач;
наличие других средств защиты, выполняющих такие же задачи по защите информации в ИС (например, при реализации эшелонированной защиты информации в ИС могут выполняться функции разграничения доступа в разных эшелонах системы защиты);
место установки средства защиты в составе ИС и др.
С учетом этих факторов необходимо связать требуемую эффективность защиты информации в ИС с показателем влияния рассматриваемого средства защиты на эффективность защиты информации в ИС, то есть необходимо оценить по сути, степень влияния выполнения средством одной или группы функций защиты на возможность реализации рассматриваемой угрозы безопасности информации. Сложность заключается в том, что, во-первых, степень влияния выполнения разных функций на возможность реализации угрозы, как правило, оценивается разными показателями, во-вторых, при применении средства защиты в ходе решения некоторых задач может выполняться совокупность нескольких функций защиты. Пример таких функций защиты и применяемых показателей для оценки их влияния на возможность реализации угроз приведен.
Следует заметить, что в ряде публикаций по аналогии со стандартом ИСО/ МЭК 15408 [18] эти функции называют функциями безопасности.
Примеры некоторых функций защиты и показателей оценки их влияния на возможность реализации угроз безопасности информации_______
|
Содержание функции защиты |
Наименование показателя оценки влияния выполнения функции защиты на возможность реализации угрозы |
|
Идентификация пользователя (процесса, носителя) |
Вероятность подбора идентификатора пользователя (процесса, носителя) |
|
Аутентификация пользователя (процесса, сообщения) |
Вероятность преодоления (например, подбора или обхода пароля) процедуры аутентификации пользователя (процесса, сообщения) |
|
Обнаружение вторжения (попытки вторжения) в операционную среду |
Вероятность правильного обнаружения сетевой атаки по ее сигнатуре |
|
Обнаружение вторжения (попытки вторжения) по аномалии сетевого трафика |
Вероятность правильного обнаружения сетевой атаки по аномалии сетевого трафика |
|
Обнаружение вторжения (попытки вторжения, проникновения в операционную среду) по несоответствию действий абонента стандартному сценарию взаимодействия с абонентами сети |
Вероятность обнаружения проникновения в операционную среду по несоответствию действий нарушителя абонента стандартном сценарию действий пользователя или абонента |
|
Обнаружение вредоносной программы или попытки ее внедрения |
Вероятность обнаружения вредоносной программы (попытки внедрения) |
|
Фильтрация трафика по служебной информации в соответствии с протоколами межсетевого взаимодействия (блокирование несанкционированного доступа) |
Вероятность обнаружения попытки обхода процедуры фильтрации |
|
Трансляция сетевых адресов межсетевым экраном (прокси-сервером) для защиты от внешнего источника угрозы проникновения в операционную среду хоста ИС |
Вероятность выявления сетевого адреса хоста ИС при наличии процедуры трансляции адресов межсетевым экраном |
|
Выдача ложной информации на запрос (команду) для отвлечения нарушителя на ложный ресурс |
Вероятность отвлечения нарушителя на ложный информационный ресурс |
Пусть каждым d -м средством защиты выполняется определенный набор {(pud},d = \D,(pud =1,ФисѴи =1 ,U, функций защиты относительно защищаемой информации в ИС при реализации и -й угрозы. Для того чтобы оценить, как влияет выполнение функции защиты на риск реализации угроз, необходимо провести моделирование процесса реализации данной угрозы с использованием аппарата марковских, полумарковских процессов или сетей Петри-Маркова (см. разделы 5 и 6).
Если функция защиты не влияет на размер возможного ущерба (что может иметь место, например, при реализации функции восстановления информации) или ущерб определен обладателем как неприемлемый, то показатель снижения риска Ѳи(й,(рис1,^ оценвается следующим образом: Ѳи {d,<pud,t)=li3II){d,(Plld,t)l.R{°] (t),Д£0)(Г) > 0, (7.37) где и R^lI'(d,<pml,t) - риски реализации угрозы при отсутствии d-то средства защиты и при наличии d -го средства, реализующего <ршІ -ю функцию защиту.
По своей сути этот показатель совпадает с относительным показателем эффективности защиты информации применительно к условиям применения d -го средства, реализующего ср^ -ю функцию защиту от и -й угрозы (см. раздел 2.4). В простейших случаях в качестве таких показателей снижения уровня риска может служить, например:
при идентификации пользователя (процесса, носителя) вероятность того, что идентификатор не будет подобран в ходе атаки;
при аутентификации пользователя (процесса, сообщения) вероятность того, что нарушителю не удастся преодолеть процедуру аутентификации;
при обнаружении вторжения (попытки вторжения) вероятность того, что не будет обнаружено вторжение (попытка вторжения) и т.д.
С учетом соотношения (7.37) требуемое значение показателя gj,’,""-,і(d (pt^ f) снижения риска реализации угрозы d -м средством с cpud-й функцией защиту за оцениваемый период времени Т определяется следующим образом: tpe6) (d,<pud,T) =RIJ0"1 (d.^.T)/^ (T), R(:] (T) > 0, (7.38) где R^(T) и R^°"\d,<plld,T) - риски реализации и-й угрозы за время Тв условиях отсутствия мер защиты и в условия применения d -го средства с cpud -й функцией защиты соответственно.
Совокупность показателей оценки влияния этих функций на риск реализации угроз можно представить в виде матрицы показателей снижения рисков реализации каждой и -й угрозы.
Пример матрицы значений показателей оценки влияния функций защиты на риски реализации угроз.
Значение элемента этой матрицы лежит в пределах от 0 до 1 и показывает, во сколько раз уменьшается риск реализации угрозы за счет выполнения (pud -й функции защиты, при этом значение 0 соответствует отсутствию в условиях применения функции защиты риска реализации данной угрозы, а значение 1 - отсутствию влияния функции защиты на возможности реализации данной угрозы.
Суммарное влияние всех функций защиты (Ф„), выполняемых совокупностью D средств защиты от и -й угрозы оценивается показателем Ѳи (D,<3>ud,t), рассчитываемым в первом приближении следующим образом D Оы 0Даф^)=ПГК(^’О> (7-39)
d=\ д^=1 где Фи</ - количество функций защиты от и -й угрозы, выполняемых d -м средством защиты, откуда следует соотношение: D Ѳ{Гб) (ДФ.-0 = П П Ѳ(Г6) (d,<pu,t). (7.40) rf=1 <&d=l.
Для ориентировочной оценки требуемых показателей влияния каждой функции защиты каждого средства защиты может быть использована формула: &r6\d,(pu,t) < 0+фф!Геб)(О,ФuD,T). (7.41).
Таким образом, на основе изложенного подхода можно связать между собой требуемые эффективности защиты ИС с требуемыми показателями влияния реализуемых средствами защиты функций на снижение риска реализации угроз безопасности информации в ИС. Задавая требуемую эффективность защиты ИС можно определить, средства какой эффективности требуются для данной ИС.
