THE APPLICATION OF MATHEMATICAL PROGRAMMING FOR SOLVING THE PROBLEM OF DESIGNING THE PROTECTION SYSTEM OF THE OBJECT OF CRITICAL INFRASTRUCTURE

Full Text

Введение К основным техническим средствам защиты информации можно отнести: антивирусы, межсе- тевые экраны, средства обнаружения вторжений [1]. Кроме них можно выделить средства защиты информации от несанкционированного доступа (СЗИ НСД), применение которых утверждено за- конодательно [2], DLP-системы, предназначен- ные для предотвращения утечки информации, инициированной сотрудниками самой организа- ции [3], и SIEM-системы, задача которых - ана- лиз данных, поступающих от других средств за- щиты информации [4]. Многие государства стали уделять внима- ние информационной безопасности и созданию нормативныx документов, регламентирующих обе- спечение информационной безопасности. В России такими документами стали федеральные законы № 149-ФЗ [5], № 152-ФЗ [6] и № 187-ФЗ [7], а также ряд других нормативных документов. Федераль- ный закон № 187 обязал все объекты критической инфраструктуры сообщать обо всех компьютерных инцидентах в специальный орган, отвечающий за реагирование на компьютерный инциденты (Гос- СОПКА) [14]. Кроме федерального закона защите критической информационной инфраструктуры посвящен и приказ ФСТЭК № 239. Приказ ФСТЭК № 239 «Об утверждении тре- бований по обеспечению безопасности значимых объектов критической информационной инфра- структуры Российской Федерации» устанавлива- ет следующие организационные и технические меры, которые должны обеспечивать информа- ционную безопасность объекта критической ин- формационной инфраструктуры: идентификация и аутентификация (ИАФ), управление доступом (УПД), ограничение программной среды (ОПС), защита машинных носителей информации (ЗНИ), аудит безопасности (АУД), антивирусная защи- та (АВЗ), предотвращение вторжений (компью- терных атак) (СОВ), обеспечение целостности (ОЦЛ), обеспечение доступности (ОДТ), защита технических средств и систем (ЗТС), защита ин- формационной (автоматизированной) системы и ее компонентов (ЗИС), планирование мероприя- тий по обеспечению безопасности (ПЛН), управ- ление конфигурацией (УКФ), управление об- новлениями программного обеспечения (ОПО), реагирование на инциденты информационной безопасности (ИНЦ), обеспечение действий в нештатных ситуациях (ДНС), информирование и обучение персонала (ИПО) [8]. Большая часть этих мер должна выполняться с использованием средств защиты информации. Подытоживая, можно сказать, что довольно распространенной задачей в области защиты ин- формации являются выбор и установка средств защиты для обеспечения информационной бе- «Infokommunikacionnye tehnologii» 2021, Vol. 19, No. 4, pp. 401-410 Рисунок. Обобщенная схема сети зопасности корпоративной сети. При этом же- лательно, чтобы такие средства защиты инфор- мации, как антивирусы или СЗИ НСД, были одинаковыми на всех компьютерах сети, по- скольку уже стало стандартом, что все средства защиты информации могут администрироваться с одного сервера администрирования [15]. Кроме того, довольно часто на машинах сети может оказаться программное обеспечение, не- совместимое со средствами защиты, или ресурсы компьютера не позволяют разместить на нем то или иное средство защиты информации. В слу- чае если компьютерная сеть организации вклю- чает несколько десятков или даже больше ком- пьютеров, установка средств защиты становится нетривиальной задачей. Получить информацию о программном обеспечении, установленном на машинах сети, а также прочую информацию, ко- торая может быть актуальна при решении подоб- ной задачи, можно при помощи средств инвентастемы управления технологическими процесса- ми, может быть подключена к Интернету. Обоб- щенная схема сети, при отсутствии АСУ ТП, может выглядеть, как на рисунке. Для каждого компонента сети актуален неко- торый набор мер. Необходимо осуществить вы- бор средств защиты информации таким образом, чтобы все меры были выполнены, а стоимость средств защиты была минимальной. В статье [12] предлагается составить модель для решения за- дачи проектирования системы защиты объекта КИИ, а также показаны модели. Мы же составим собственную, сводящуюся к решению оптимиза- ционной задачи, поскольку этот подход считается целесообразным [13]. Математическая модель Пусть K - количество компонентов сети объекта КИИ. M - количество всех мер, которые необходимо выполнить на данном объекте. ризации или контроля конфигураций [9]. Однако они не могут решить задачи выбора средств за- Введем вектор zi (1): i i i щиты и оценки возможности их применения в zi {z1 , z2 ,..., zM },i 1..K , (1) конкретной сети. В статье представлен подход, где j zi 1, если j-я мера должна выполняться на основанный на математическом программировакомпоненте i, и i 0, нии, которое хорошо показывает себя при решене обязательно. z j если выполнение меры нии задачи оптимизации [10]. Постановка задачи Актуальными в настоящий момент являются задачи проектирования системы защиты инфор- мации для субъектов критической информацион- Пусть D - количество средств защиты, рассматриваемых к установке на конкрет- ном объекте критической информационной инфраструктуры. Введем вектор dl (2): l l l ной инфраструктуры (КИИ). Каждому субъекту КИИ присваивается одна из категорий значимогде l 1, dl {d1 , d2 ,..., dM },l 1..D, (2) сти. Всего три, третья - низшая [11]. Сеть субъекта может содержать компьютеры, j d j если j-я мера выполняется l-м средством защиты, и d l 0, если мера не выполняется. Введем также вектор установки средств серверы, гипервизоры, автоматизированные сизащиты на компоненты объекта xi (3): i 1 2 D x {xi , xi ,..., xi },i 1..K , (3) оперативной памяти окажется недостаточно для того, чтобы разместить необходимые средства В соответствии с приказом ФСТЭК № 239 необходимо выполнить все актуальные для ком- понента i меры. Для этого наложим ограниче- ние (4): защиты на компоненте инфраструктуры. В этом случае необходимо произвести модернизацию - закупить дополнительный объем памяти. D Модель с добавлением памяти i l l 1 xl * d j i 1..K , j 1..M , (4) конечным устройствам в соответствии с которым для каждого компо- Обозначим переменные ui и ri , которыми нента i для каждой актуальной меры j должна выполняться установка хотя бы одного средства защиты, выполняющего данную меру. выразим объем дополнительной оперативной памяти и дискового пространства (измеряется в мегабайтах), которые будут установлены на Обозначим параметр cl , которым выразим компоненты i. Зададим ограничение, согласно стоимость l-го средства защиты в рублях. Тогда сумма затрат для i-го компонента объекта соста- вит (5): i D которому общий объем оперативной памяти на компоненте i с установкой дополнительных мо- дулей и средств защиты должен быть неотрица- тельным (9): Pi l 1 xl * cl . (5) D - i * 0, 1.. . (9) Общие затраты для всех компонентов сети (6): K i ui xl ql i K l 1 Аналогичное ограничение можно составить и P1 i 1 Pi . (6) для дискового пространства. Ограничение при- мет вид (10): При планировании установки средств защиты необходимо учитывать также ограниченность в ресурсах. wi ri - D l 1 i xl * wl 0,i 1..K. (10) Модель с учетом ресурсных i Обозначим параметры ñu i и ñr , выражающие ограничений Некоторые средства защиты требуют для раз- мещения некоторого количества оперативной памяти и свободного дискового пространства. цену оперативной памяти и дискового пространства, устанавливаемых на компоненте i. Тогда общая стоимость за оперативную память и дис- ковое пространство составит (11): K Обозначим параметры ql и wl , которыми обо- P ci * ui ci * ri . (11) 2 u r значим требуемый объем оперативной памяти и свободного дискового пространства, измеря- емые в мегабайтах, для установки l-го средства i 1 Целевая функция всей задачи сводится к ми- нимизации всех затрат (12): защиты. Также обозначим доступное количество P1 P2 min . (12) оперативной памяти и дискового пространства на Поскольку задача свелась к задаче линейнокомпоненте i параметрами i в мегабайтах). и wi (измеряются го целочисленного программирования, для реа- лизации математической модели была написана Тогда можем ввести следующие ограничения: объем оперативной памяти, требуемый для установки всех необходимых средств защиты ин- формации, должен быть меньше, чем доступный объем оперативной памяти на устройстве, на ко- тором они устанавливаются (7): i D компьютерная программа на языке Python 3.6 с использованием библиотеки Docplex. Алгоритм проектирования системы безопасности Для того чтобы воспользоваться предложен- ным методом, предлагается осуществить следу- i - l 1 xl * ql 0,i 1..K. (7) ющий порядок действий. Аналогичное ограничение можно составить и для дискового пространства (8): D Определить состав компонентов объекта, то есть K. Определить категорию объекта КИИ в соi wi - l 1 xl * wl 0,i 1..K. (8) ответствии с постановлением о категорировании № 127 [12]. Однако возможна ситуация, когда доступного свободного пространства на диске или свободной В зависимости от категории определяется базовый набор мер, которые должны выполняться Таблица 1. Компоненты сети объекта Автоматизированное рабочее место Название Операционная система Свободное ОЗУ (Мб) Свободное дисковое пространство (Мб) АРМ0 Windows 7 7781 37637 АРМ1 Windows 8 6844 860529 АРМ2 Windows 8 4453 326865 АРМ3 Windows 8 6416 462265 АРМ4 Windows 7 2024 746431 АРМ5 Windows 10 6205 653703 АРМ6 Windows 8 1437 358888 АРМ7 Windows 8 1026 376002 АРМ8 Windows 7 7654 457823 АРМ9 Windows 8 6197 179511 АРМ10 Windows 10 2192 377344 АРМ11 Windows 8 6671 521337 АРМ12 Windows 8 4346 675906 АРМ13 Windows 7 4959 25700 АРМ14 Windows 7 3707 155854 АРМ15 Windows 8 6233 404572 АРМ16 Windows 8 8 165055 АРМ17 Windows 7 6517 737081 АРМ18 Windows 7 3714 681141 АРМ19 Windows 8 5874 62372 Сервер Название Операционная система Сервер0 Ubuntu 16 Сервер1 Windows Server 2012 Сервер2 Windows Server 2019 Сервер3 Windows Server 2012 Сервер4 Windows Server 2012 Сервер5 Windows Server 2012 Сервер6 Windows Server 2016 Гипервизор ESXi 2 Сервер управления vCenter 1 Внешняя граница сети 1 для объекта, этот набор мер затем уточняется и адаптируется. В результате должен получиться набор мер M, который должен быть определен для каждого компонента сети. Сформировать список средств защиты D, для каждого из которых должен быть определен набор выполняемых мер dl из приказа ФСТЭК № 239 и должны быть известны ресурсные ограничения ql, wl и стоимость cl. Задать переменные оперативной памяти ui и жестких дисков ri для каждого компонента, для которого это актуально. Также указать их стои- мости ciu, cir. Загрузить параметры в программу и произвести расчет. Если модель разрешима, в результате будет по- лучен оптимальный набор средств, необходимый и достаточный для выполнения всех мер защиты информации, актуальных для объекта КИИ. Вычислительный эксперимент Пусть у нас имеется объект КИИ 3-й катего- рии в составе 20 компьютеров, 7 серверов, 2 ги- первизоров, сервера управления виртуализацией vCenter, имеющий доступ к сети Интернет (та- блица 1). Таблица 2. Меры КИИ 3-й категории Автоматизированное рабочее место ИАФ (1,2,3,4,7) УПД (1,2,4,6,10,11), ЗНИ: (1,5,7,8), АУД (4,6,7,10), АВЗ (1,2,4), ЗИС (1), ИНЦ (1,2,3,6) УКФ (3) Сервер ИАФ (1,2,3,4,7), УПД (1,2,4,6,10,11), ЗНИ (1,5,7,8), АУД (4,6,7,10), АВЗ (1,2,4), (ЗИС 1), ИНЦ (1,2,3,6), УКФ (3) Гипервизор ИАФ (1,2,3,4,7), УПД (1,2,4,6,10,11,12), ЗНИ (5,6,7), АУД (3,4,6,7,8,10), ЗИС (1,2,4,6,13,19,20,27,39), ИНЦ (1,2,3,6), УКФ (3), ДНС (4,5), Граница сети ИАФ (1,2,3,4,7), УПД (1,2,4,6,10,11), АУД (3,4,6,7,8,10), ЗИС (2,5,6,8,19,20,34,35), ИНЦ (1,2,3,6), УКФ (3), ДНС (5) Таблица 3. Средства защиты информации Антивирусы Kaspersky Endpoint Security 10 Windows (7,8,10), Windows Server (2008, 2012, 2016, 2019) 2048 2048 АВЗ (1,2,3,4) Kaspersky Endpoint Security 10 Linux Ubuntu (14,16), Centos (7), Debian (7, 8) 2048 1500 АВЗ (1,2,3,4) Dr. Web 11 Windows (7,8,10), Windows Server (2008, 2012, 2016, 2019) 4096 8192 АВЗ (1,2,3,4) Dr.Web Linux Debian (7,8,9), Fedora (27,28,29), Ubuntu (14,16,18) 1024 512 АВЗ (1,2,3,4) СЗИ НСД Название Поддерживаемые операционные системы ОЗУ (Мб) Дисковое про- странство (Мб) Выполняемые меры Secret Net Studio Windows (7,8,10), Windows Server (2008, 2012, 2016, 2019) 2048 4096 ИАФ (1,2,3,4,6,7), УПД (1,2,4,6,7,10,11,12), ЗНИ (1,4,5,6,7,8), АУД (4,5,6,7,8,9,10), ЗИС (1,4,10,13,18 ,20,21,23,27,33,34,35,37), ИНЦ (1,2,3,6), УКФ (3), ДНС (5) Secret Net LSP Centos (7), Debian (9), Ubuntu (18) 512 600 ИАФ (1,2,3,4,7), УПД (1,2,4,6,11,12), ЗНИ (1,7,8), АУД (4,6,7,8,9,10), ЗИС (1,10,13,20,23,33), ИНЦ (1,2,3,6), УКФ (3) Dallas Lock 8.0 Windows (7,8,10), Windows Server (2008, 2012, 2016, 2019) 2048 4096 ИАФ (1,2,3,4,6,7), УПД (1,2,4,6,7,10, 11,12), ЗНИ (1,4,5,6,7,8), АУД (4,5,6, 7,8,9,10), ЗИС (1,4,10,13,18,20, 21,23,27,33,34,35,37). ИНЦ (1,2,3,6), УКФ (3), ДНС (5) Dallas Lock Linux Centos (7), Debian (8), Ubuntu (16), Fedora (24) 512 1500 ИАФ (1,2,3,4,7), УПД (1,2,4,6,10,11,12), ЗНИ (1,7,8), АУД (4,6,7,8,9,10), ЗИС (1,10,13,20, 23,33), ИНЦ (1,2,3,6), УКФ (3) Защита виртуализации vGate ИАФ (1,2,3,4,6,7), УПД (1,2,3,4,6,10,11,12), ЗНИ (5,6,7), АУД (3,4,6,7,8,9,10), ЗИС (1,2,4,6,13,19,20,27,37,39), ИНЦ (1,2,3,6), УКФ (1,2,3,4), ДНС (4,5) СЗИ ВИ Dallas Lock ИАФ (1,2,3,4,6,7), УПД (1,2,3,4,6,10,11,12), ЗНИ (5,6,7), АУД (3,4,6,7,8,9,10), ЗИС (1,2,4,6,13,19,20,27,37,39), ИНЦ (1,2,3,6), УКФ (1,2,3,4), ДНС (4,5) Окончание таблицы 3 Защита сетевой инфраструктуры VipNet Coordinator ИАФ (1,2,3,4,6,7), УПД (1,2,3,4,6,10,11,12), ЗНИ (5,6,7), АУД (3,4,6,7,8,9,10), ЗИС (1,2,4,5,6,8,11,18,19,20,27,31,32,34,35), ИНЦ (1,2,3,6), ДНС (5) АПКШ Континент ИАФ (1,2,3,4,6,7), УПД (1,2,3,4,6,10,11,12), ЗНИ (5,6,7), АУД (3,4,6,7,8,9,10), ЗИС (1,2,4,5,6,8,11,18,19,20,27,31,32,34,35), ИНЦ (1,2,3,6), ДНС (5) Таблица 4. Решение без учета ограничений КИИ 3-й категории АРМ 0-19 Dallas Lock 8.0, Dr. Web 11 Сервер 0 Dallas Lock Linux, Dr. Web Linux Серверы 1-6 Dallas Lock 8.0, Dr. Web 11 Средства администрирования Dr.Web Центр Управления, Dallas Lock 8.0 Server, Dallas Lock СЗИ ВИ Сервер безопасности Гипервизор 0,1 Dallas Lock ВИ ESXi vCenter Dallas Lock vCenter Граница сети ViPNet Coordinator HW100 Таблица 5. Решение с учетом ограничений КИИ 3-й категории АРМ 2,4,6,7,10,12,13,14,16,18,19 Не удалось установить средства защиты АРМ 1,3,5,8,9,11,15,17 Dallas Lock Linux, Dr. Web 11 Сервера 0 Dallas Lock Linux, Dr.Web Linux Серверы 1-6 Dallas Lock 8.0, Dr. Web 11 Средства администрирования Dr.Web Центр Управления, Dallas Lock 8.0 Server, Dallas Lock СЗИ ВИ Сервер безопасности Гипервизор 0,1 Dallas Lock ВИ ESXi vCenter Dallas Lock vCenter Граница сети ViPNet Coordinator HW100 Примем, что для них актуальны следующие меры в соответствии с приказом ФСТЭК № 239 (таблица 2). Сформируем состав средств защиты инфор- мации, сертифицированных ФСТЭК, которые могут применяться для защиты объекта КИИ (таблица 3). Решение задачи без учета ограничений в ресурсах При решении задачи без учета ограничений в ресурсах для выполнения необходимых мер бу- дут задействоваться следующие средства защиты (таблица 4), общая стоимость средств защиты - 927 600 рублей. Решение задачи с учетом ограничений в ресурсах Попробуем решить задачу, используя огра- ничения по оперативной памяти и дисковому пространству (таблица 5). Успешно установить средства защиты информации на все компонен- ты сети не удалось. Общая цена установленных средств защиты составила 641 600 рублей. Решение задачи с добавлением памяти конечным устройствам Теперь смоделируем решение задачи, при ко- тором возможна модернизация компонентов сети (таблица 6). Общая стоимость установки средств защиты и модернизации компонентов сети - 989 230 рублей. Для успешного решения задачи были исполь- зованы дополнительные ресурсы. Кроме того, для сервера 0 не выполняется требование ЗНИ5 (Контроль использования интерфейсов ввода (вывода) информации на съемные машинные но- сители информации), это объясняется тем, что СЗИ НСД для операционных систем Linux не выполняют эту меру. Для того чтобы эту меру Таблица 6. Решение с добавлением памяти КИИ 3-й категории АРМ 0-19 Dallas Lock 8.0, KES 11 Сервера 0 Dallas Lock Linux, Kasp. Linux Сервер 1-6 Dallas Lock 8.0, KES 11 Средства администрирования Dr.Web Центр Управления, Dallas Lock 8.0 Server, Dallas Lock СЗИ ВИ Сервер безопасности Гипервизор 0,1 Dallas Lock ВИ ESXi vCenter Dallas Lock vCenter Граница сети ViPNet Coordinator HW100 Дополнительные ресурсы Название Дополнительные ресурсы АРМ4 3072 МБ оперативной памяти АРМ6 3072 МБ оперативной памяти АРМ7 3072 МБ оперативной памяти АРМ10 2048 МБ оперативной памяти АРМ14 1024 МБ оперативной памяти АРМ16 4096 МБ оперативной памяти АРМ18 1024 МБ оперативной памяти все-таки выполнить, можно переустановить опе- рационную систему на данный сервер либо вос- пользоваться организационными мерами. Выводы Предложенный метод расчета средств защиты информации на объектах КИИ призван помочь в решении задачи обеспечения информационной безопасности при осуществлении выбора средств защиты. Он может быть довольно полезен в слу- чае, когда объект критической информационной инфраструктуры включает в себя множество АРМ и серверов, что делает анализ возможности размещения средств защиты чрезвычайно трудо- емкой задачей. В данной работе не были рассмотрены авто- матизированные системы управления технологи- ческими процессами, однако расширение модели и включение в нее АСУ ТП возможно. Для этого необходимо определить меры, которые нужно выполнить на конкретных устройствах, доступ- ные ресурсы этих устройств, а также определить средства защиты, выполняющие меры защиты, требования ресурсов средств защиты и задать со- ответствующие ограничения.

About the authors

V. M Kartak

Ufa State Aviation Technical University

Email: kvmail@mail.ru
Ufa, Russian Federation

N. M Bashmakov

Ufa State Aviation Technical University

Email: nail.bashmakov@gmail.com
Ufa, Russian Federation

References

Supplementary files