METHOD FOR MANAGEMENT OF INFORMATION SECURITY IN CORPORATE NETWORKS

Abstract

This work is concerned on development of method for management of information security in corporate networks. Proposed method is based on estimation of effectiveness for realized safeguards under financial constraints, and it uses quantitative risks values. Moreover, it works under ambiguous initial data and fuzzy and quality measures that contributes possibility of attacks and using protection vulnerability and defines damage. We use fuzzy logic and analytic hierarchy process to eliminate these difficulties and following safeguard effectiveness evaluation. Genetic algorithms are applied to solve optimization problem at the stage of risk management.

Full Text

Введение В настоящее время эффективность функционирования современных предприятий напрямую зависит от степени защищенности корпоративных информационных сетей (КИС), посредством которых осуществляется автоматизация бизнес-процессов. Роль деструктивных факторов для современных КИС значительно выросла, а их растущая сложность только усугубляет ситуацию. В связи с этим защита информации должна рассматриваться как неотъемлемая составляющая корпоративных информационных сетей современных предприятий. Известны два основных подхода [1] к обеспечению информационной безопасности КИС - обеспечение базового уровня информационной безопасности (ИБ), а также подход, основанный на оценке и управлении рисками ИБ. Основными задачами первого подхода являются: убедиться в том, что компоненты КИС удовлетворяют всем обязательным требованиям стандартов и нормативных документов, а также в том, что компоненты КИС защищены от всех видов основных угроз. Подход, основанный на оценке и управлении рисками ИБ, как правило, реализуется после обеспечения базового уровня безопасности КИС. Он приобретает особую значимость и актуальность при построении эффективных систем защиты информации с позиции ожидаемого ущерба. В настоящей статье рассматривается вопрос защиты КИС с позиции оценки и управления рисками. Под риском ИБ понимают потенциальную опасность нанесения ущерба организации в результате реализации некоторой угрозы с использованием уязвимости [2]. Основными факторами риска ИБ являются: возможность реализации угрозы, возможность использования уязвимости, ущерб от реализации угрозы. Выделяют два подхода к оценке рисков ИБ - качественную оценку [2-3] и количественную оценку [4-5]. Преимуществами методов количественной оценки рисков ИБ являются их хорошая интерпретируемость в рамках экономических моделей и простота применения математического аппарата для формирования оптимальной совокупности защитных мероприятий. В связи с этим данные методы в последнее время приобретают особую актуальность. Однако практическое применение методов количественной оценки и управления рисками ИБ в КИС часто затрудняется следующими обстоятельствами: - данные методы сложны в использовании и требуют глубокого анализа всех процессов, происходящих в КИС; - количественные оценки факторов риска часто являются неточными, поскольку зависят от глубины анализа КИС и квалификации эксперта; кроме этого эксперты часто не могут сформировать точные оценки в связи с нечеткой природой оцениваемых объектов, недостаточностью и неопределенностью исходной информации; - факторы риска часто имеют не количественный, а качественный характер, их сложно оценить в количественном виде; - отсутствует статистика по реализации ряда угроз, что затрудняет применение аналитических методов для оценки вероятности их реализации. В связи с этим большую актуальность приобретает разработка методов количественной оценки и управления рисками ИБ, преодолевающих выше перечисленные сложности. Решению данной задачи посвящена настоящая статья. Нечеткая количественная оценка рисков ИБ в КИС Нечеткая количественная оценка рисков ИБ в КИС осуществляется на основе моделей и методов, предложенных автором в [5-9]. Разработанная модель КИС включает в себя информационные активы, автоматизированные рабочие места (АРМ), серверы, телекоммуникационное оборудование и ИТ-сервисы. Модель представляет собой следующий набор элементов: , (1) где - множество информационных активов; - уровни конфиденциальности, целостности и доступности информационных активов; TO - компонент технического обеспечения КИС, включающий в себя АРМ, серверы, телекоммуникационное оборудование и уровни их критичности; - множество ИТ-сервисов; - их уровни критичности (по доступности); - логическая структура КИС, представленная в виде графа, вершинами которого являются сегменты КИС и телекоммуникационное оборудование, а ребра соответствуют каналам связи в КИС; - модель использования информационного обеспечения КИС, определяющая факты хранения и обработки информации на АРМ и серверах КИС, факты предоставления информации конкретным ИТ-сервисом и информационные потоки в ; - модель предоставления ИТ-сервисов, определяющая деревья зависимостей ИТ-сервисов КИС с точки зрения доступности и факты реализации ИТ-сервисов на базе конкретного технического обеспечения. Разработанная модель КИС позволяет достаточно глубоко анализировать процессы, происходящих в КИС, учитывать взаимодействие активов. Данная модель используется непосредственно для оценки факторов риска ИБ. Для каждой угрозы из множества угроз в КИС, нечеткая оценка риска ИБ осуществляется в виде нечеткого числа в следующем виде: , (2) где - нечеткая количественная оценка ущерба от реализации угрозы ; - нечеткая количественная оценка возможности реализации угрозы ; - нечеткая количественная оценка возможности использования уязвимости . Для нечеткой количественной оценки ущерба в условиях разброса экспертных мнений и качественного характера частных показателей используются разработанный метод количественной оценки частных показателей ущерба, основанный на методе анализа иерархий, а также методы теории нечетких множеств (в частности, разработанный алгоритм FZ_STAT формирования функции принадлежности на основе множества экспертных оценок), и алгоритм нечеткой экспертной оценки критичности активов [9]. Для нечеткой количественной оценки возможности реализации угрозы в условиях разброса экспертных мнений и качественного характера частных показателей, разработан метод [6; 8], основанный на построении опросных листов (аналогичных CRAMM), количественной оценки частных показателей с помощью метода анализа иерархий, а также множестве экспертных оценок, на базе которых формируется функция принадлежности. Для количественной оценки возможности использования уязвимости разработана нечетко-продукционная модель представления знаний и схема нечеткого логического вывода [7], позволяющая эксперту формировать нечеткие оценки частных показателей, принимать решения в условиях отсутствия части информации об уязвимости, учитывающая важность частных показателей. Предложенных подход позволяет формировать количественные оценки рисков ИБ в условиях выше перечисленных сложностей. Метод управления рисками ИБ в КИС Управление рисками информационной безопасности в КИС включает в себя реализацию следующих основных шагов. 1. Оценка рисков ИБ с учетом множества защитных мер. Предлагается рассматривать модель защитных мер КИС в следующем виде: (3) где - множество защитных мер; - задаваемое в виде матрицы отображение, определяющее уровни снижения возможности использования уязвимостей множества в результате реализации защитных мер - данные уровни определяются в виде нечетких чисел ; - задаваемое в виде матрицы отображение, определяющее уровни снижения возможности реализации угроз множества в результате реализации защитных мер -данные уровни определяются в виде нечетких чисел . Отображения задаются в виде матриц и определяют уровни снижения ущерба от реализации угроз множества в результате реализации защитных мер по конфиденциальности, целостности и доступности соответственно. Данные уровни определяются в виде нечетких чисел соответственно. Значения коэффициентов , формируются экспертным путем. Под будем понимать возможность использования уязвимости с учетом множества защитных мер Z, под - возможность реализации угрозы с учетом множества защитных мер Z, под - ущерб, связанный с реализацией угрозы с учетом множества защитных мер , а под - уровень риска с учетом множества защитных мер . Ниже вводится метод нечеткой количественной оценки риска ИБ для угрозы с учетом множества защитных мер . Шаг 1. Оценка возможности использования уязвимости с учетом множества защитных мер , где - возможность использования уязвимости без учета реализации защитных мер; - возможность использования уязвимости с учетом реализации защитной меры , для которой значение является минимальным. Шаг 2. Оценка возможности реализации угрозы с учетом множества защитных мер Z где - возможность реализации угрозы без учета реализации защитных мер, - возможность реализации угрозы с учетом реализации защитной меры , для которой значение является минимальным. Шаг 3. Оценка уровня ущерба, связанного с реализацией угрозы с учетом множества защитных мер Z , где - количественная оценка суммарного ущерба, наносимого угрозой по конфиденциальности после реализации множества защитных мер Z; - количественная оценка суммарного ущерба, наносимого угрозой по целостности после реализации множества защитных мер Z; - количественная оценка суммарного ущерба, наносимого угрозой по доступности после реализации множества защитных мер Z, а также , где - количественная оценка суммарного ущерба, наносимого угрозой по конфиденциальности после реализации защитной меры , для которой значение является максимальным; - уровень критичности актива по конфиденциальности; - множество активов, для которых угроза нарушает конфиденциальность; - процент разрушения актива по конфиденциальности в результате реализации угрозы , при этом , где - количественная оценка суммарного ущерба, наносимого угрозой по целостности после реализации защитной меры , для которой значение является максимальным; - уровень критичности актива по целостности; - множество активов, для которых угроза нарушает целостность; - процент разрушения актива по целостности для угрозы . Кроме того , где - количественная оценка суммарного ущерба, наносимого угрозой по целостности после реализации защитной меры , для которой значение является максимальным; - уровень критичности актива по доступности; - множество активов, для которых угроза нарушает доступность; - процент разрушения актива по доступности в результате реализации угрозы . Шаг 4. Оценка уровня риска по угрозе с учетом множества защитных мер Шаг 5. Уровень риска по множеству угроз с учетом множества защитных мер определяется в виде . 2. Оценка эффективности множества защитных мер. Будем осуществлять оценку экономической эффективности защитной меры через коэффициент «стоимость/эффективность»: , где - выгоды от реализации защитной меры . Данное значение определяется следующим образом: , где - суммарный уровень риска по всем угрозам без учета реализации защитных мер в единицу времени, выраженный в виде нечеткого числа в денежном эквиваленте; - суммарный уровень риска по всем угрозам с учетом реализации защитной меры в единицу времени, выраженных в виде нечеткого числа в денежном эквиваленте; аналогичным образом - это единовременные затраты на реализацию защитной меры , выраженные в виде нечеткого числа в денежном эквиваленте, оценки которых формируются экспертным путем; а - дополнительные постоянные затраты на реализацию защитной меры в единицу времени, выраженные в виде нечеткого числа в денежном эквиваленте. Различные виды постоянных затрат, связанных с реализацией защитной меры , характеризуются множеством частных показателей затрат . Для количественной оценки частных показателей постоянных затрат в денежном эквиваленте применяется метода анализа иерархий. Пусть - множество всех возможных защитных мер, которые потенциально возможно использовать для защиты КИС; - множество защитных мер предполагаемых к реализации в КИС в конкретной ситуации. Тогда оценка экономической эффективности множества защитных мер осуществляется в виде . Множество защитных мер экономически эффективнее множества защитных мер , если . В случае , множество защитных мер является убыточным для владельца КИС, следовательно, реализовывать его нецелесообразно. В случае множество защитных мер окупается в срок, не превышающий рассматриваемую единицу времени (например, в течение года). Срок окупаемости множества защитных мер определяется как . 3. Выбор эффективного множества защитных мер. Поставим в соответствие каждому множеству вектор выбираемых для реализации защитных мер в КИС. Здесь Обозначим через экономическую эффективность выбранных для реализации защитных мер. , где Обозначим через суммарный риск, вычисленный с учетом множества реализуемых защитных мер: , где . Пусть Постановки задач по управлению рисками ИБ будут выглядеть следующим образом. Задача №1. Найти такой вектор , чтобы Задача №2. Найти такой вектор , чтобы где - максимальный срок окупаемости проекта; E - максимальные затраты на его реализацию. Поставленные задачи по управлению рисками ИБ предлагается решать с помощью генетического алгоритма. Решение задач предлагается кодировать в виде строк-особей, заданных в бинарном виде с помощью вектора , где M - количество всевозможных защитных мер, которые потенциально возможно использовать для защиты КИС, . Фитнес-функция генетического алгоритма определяется выражениями для первой постановки задачи или для второй постановки задачи. Заключение Методы оценки и управления рисками ИБ в КИС находят широкое применение для построения систем защиты информации с позиции ожидаемого ущерба. Однако их применение сдерживается нечеткостью и неопределенностью исходной информации, нечетким и качественным характером частных показателей, влияющих на возможность реализации угроз и использования уязвимостей, а также определяющих ущерб. Метод управления рисками ИБ в КИС, предложенный в данной статье позволяет эффективно решать оптимизационные задачи по управлению рисками ИБ на основе ранее разработанного метода нечеткой количественной оценки рисков ИБ в КИС, что преодолевает данные сдерживающие факторы.