Using graphs to identify asset security compromises

Full Text

ВВЕДЕНИЕ

В деятельности любого коммерческого предприятия очень большую важность имеет защита информации и активов. Активы компании, как материальные, так и нематериальные – ценный ресурс, от которого зависит как функционирование предприятия в целом, так и его конкурентоспособность. Из-за некорректно проведенного анализа рисков и выбора контрмер, компания может лишиться не только собственной конфиденциальной информации, которая даст преимущество конкурентам, но и данных своих клиентов, утечка которых ведет административные санкции и репутационный ущерб. Торговые точки компании-ритейлера работают непосредственно и с платежными данными клиентов, утечка которых ведет к масштабному мошенничеству с деньгами посетителей магазина. Возможности для злоумышленников продолжают расти с развитием цифровых технологий, что расширяет масштаб угроз для торговых компаний. Таким образом, очевидно, что тема анализа рисков информационной безопасности остается одной из самых актуальных для ритейлеров. Актуальность следует из необходимости рационального управления рисками ИБ.

Для эффективного управления рисками информационной безопасности необходимо корректно их оценить. Существуют большое количество методик и программного обеспечения, как отечественного, так и зарубежного, для проведения анализа рисков. Широкое применение имеют количественные методики, однако, их недостаточно для оценки эффективности инвестиций в контрмеры. Вместе с тем существуют проблемы, связанные с количественной оценкой, такие как трудности, возникающие при описании информационной среды и связи активов компаний, недостаточная формализация процедур оценивания рисков, что вынуждает компании привлекать экспертов. Как результат, полученные значения могут являться приближенными с недопустимой степенью точности.

Тема информационной безопасности в целом является широко разработанной. Составлено большое количество стандартов по обеспечению информационной безопасности предприятия. Примером отечественных стандартов является ГОСТ, который, в свою очередь, в большей части основан на международных стандартах ИСО. Практически во всех развитых странах существуют национальные стандарты обеспечения информационной безопасности. Специалистами также предложено большое количество моделей и методов количественной оценки рисков, которые основаны на статистическом анализе, байесовских сетях, имитационном моделировании, нечеткой логики, нейронных сетях, линейном программировании.

СПЕЦИФИКАЦИЯ МОДЕЛИ АНАЛИЗА РИСКОВ

Каждая компания, ее строение, структура информационных потоков и устройств работы с ними является уникальной. Для обеспечения информационной безопасности компании необходимо учитывать все аспекты, составляющие информационную среду.

Внутри каждой компании выделяются группы элементов информационной безопасности. Они же являются активами компании, объектами защиты. В эти группы входят: физическое оборудование (рабочие станции и кассы, сервера, платежные терминалы); программное обеспечение (системное ПО, управляющее физическим оборудованием, прикладное ПО, используемое для выполнения операционных задач сотрудников, и инструментальное ПО, используемое для разработки); информационные активы (данные, содержащиеся на рабочих станциях, серверах приложений и в базах данных); сетевые устройства (устройства, обеспечивающие связь между физическим оборудованием и передачу данных)

Зависимости между активами в информационной среде компании схематично изображено на рис. 1.

Рис. 1. Зависимость между активами в информационной среде компании

Fig. 1. The relationship between assets in the information environment of the company

Рис. 2. Пример инфраструктурной модели компании ритейлера

Fig. 2. An example of a retailer’s infrastructure model

Будем использовать инфраструктурную модель информационной среды компании. Представим связи между всеми активами в виде неориентированного графа. Рис. 2.

GIS = {A^IS, C^IS}, (1)

где A^IS = {A^HW, A^SW, A^CL, A^IA} – множество активов компании;

C^IS – множество связей между активами компании;

A^HW = {HW₁, HW₂, … , HW_Nhw} – подмножество физических устройств (оборудования);

A^SW = {SW₁, SW₂, … , SW_Nsw} – подмножество активов ПО;

A^СL = {CL₁, CL₂, … , CL_Ncl} – подмножество сетевых устройств;

A^IA = {IA₁, IA₂, … , IA_Nia} – подмножество информационных активов.

Множество связей между активами компании задается матрицей

${\mathrm{A}}^{\mathrm{AS}}=\left[a_{ij}^{\mathrm{AS}}\right]=\left\{\begin{array}{l}{a}_{ij}^{\mathrm{AS}}=a_{ji}^{\mathrm{AS}}=1, \mathrm{если} \mathrm{между} \mathrm{активами} i \text{и} j \mathrm{есть} \mathrm{связь};\\ a_{ij}^{\mathrm{AS}}=a_{ji}^{\mathrm{AS}}=0, \mathrm{если} \mathrm{между} \mathrm{активами} i \mathrm{и} j \mathrm{нет} \mathrm{связи}.\end{array}\right.$(2)

Представим множество угроз информационной безопасности компании как

X^IS = {X^NS, X^CR}, (3)

где X^NS – подмножество угроз, связанных с техногенными или погодными катастрофами;

X^CR – подмножество угроз, связанных с взломами со стороны третьих лиц/злоумышленников.

Чтобы учесть связи между угрозами и активами, введем матрицу

${\mathrm{A}}^{\mathrm{XAS}}=\left[a_{ij}^{\mathrm{XAS}}\right]=\left\{\begin{array}{l}{a}_{ij}^{\mathrm{XAS}}=a_{ji}^{\mathrm{XAS}}=1, \mathrm{если} \mathrm{угроза} \mathrm{и} \mathrm{актив} \mathrm{связаны};\\ a_{ij}^{\mathrm{XAS}}=a_{ji}^{\mathrm{XAS}}=0, \mathrm{если} \mathrm{между} \mathrm{угрозой} \mathrm{и} \mathrm{активом} \mathrm{нет} \mathrm{связи}.\end{array}\right.$(4)

СОСТОЯНИЯ НАРУШЕНИЯ БЕЗОПАСНОСТИ АКТИВОВ

В результате реализации угрозы тот или иной актив может быть поврежден (для физических и сетевых устройств и ПО), что в результате потребует либо физического ремонта оборудования, либо вообще приведет к потере актива. Также к физическому оборудованию может быть осуществлен несанкционированный физический доступ без повреждения оборудование, и, в результате, это приведет к изменению состояния связанного информационного актива, но не приведет к ущербу для самого оборудования. Атака на ПО может привести к доступу к данным и, как следствие, изменению состояния связанного информационного актива, при этом не нанеся ущерб самому ПО. Так же возможно и то, что в результате атаки ПО придется переустанавливать, что вызовет затраты на покупку новых лицензий и экземпляров и переустановку.

В случае с информационными активами можно выделить следующие результаты реализации угроз:

• потеря данных (без доступа к ним третьих лиц);
• утечка данных (нарушение конфиденциальности).

Выделим возможные состояния для каждого подмножества активов компании и введем обозначения.

1. Физическое оборудование:

• осуществлен доступ без повреждения оборудования HW^[I];
• повреждение оборудования HW^[D].

2. ПО:

• осуществлен доступ без повреждения ПО SW^[I];
• повреждение ПО SW^[D].

3. Сетевое оборудование:

• осуществлен доступ без повреждения оборудования CL^[I];
• повреждение оборудования CL^[D].

4. Информационные активы:

• потеря данных IA^[L];
• утечка данных IA^[C].

Таким образом, определим множество состояний нарушения безопасности активов. Обозначим его как

DS^AS = {DS^HW, DS^CL, DS^SW, DS^IA};

DS^HW = {HW^[I], HW^[D]};

DS^CL = {CL^[I], CL^[D]};

DS^SW = {SW^[I], SW^[D]};

DS^IA = {IA^[L], IA^[C]}.

Один актив может находиться в двух состояниях нарушения безопасности одновременно: например, ПО может быть взломано с целью изменения состояния информационного актива, и при этом повреждено. В случае с данными злоумышленник может скопировать их и удалить, тем самым переведя информационный актив в сразу два возможных состояния нарушения безопасности.

ПЕРЕХОДЫ В СОСТОЯНИЯ НАРУШЕНИЯ БЕЗОПАСНОСТИ

В результате реализации угроз из множества угроз актив может перейти в то или иное состояние нарушения безопасности. Так же актив может перейти в состояние нарушение безопасности в результате изменения состояния безопасности связанного актива, а не напрямую от реализации угрозы.

Построим модель сценариев реализации угроз. Представим ее как ориентированный граф

GTM = {V^TM, H^TM}, (5)

где V^TM – вершины графа GTM;

H^TM – дуги графа GTM.

Вершинами этого графа являются:

• начальные вершины, которые соответствуют угрозам v_iʹ ∈ H^IS ⊂ V^TM;
• промежуточные и конечные вершины, которые соответствуют состояниям нарушения безопасности активов v_iʹ ∈ DS^AS ⊂ V^TM.

Переход актива в состояние нарушения безопасности характеризуется парой вершин v_iʹ ∈ V^TM (причины перехода) и v_jʹ ∈ DS^AS (результат перехода).

Вершины соединяются дугой h_jiʹ ∈ H^TM. Так же они могут соединяться с помощью нескольких дуг и промежуточные вершины v_rʹ. Промежуточные вершины в таком случае являются условиями перехода.

Множество всех дуг можно определить матрицей

${\mathrm{A}}^{\mathrm{TM}}=\left[a_{ij}^{\mathrm{TM}}\right]=\left\{\begin{array}{l}{a}_{ij}^{\mathrm{TM}}=1, \mathrm{если} \mathrm{есть} \mathrm{дуга}, \mathrm{соединяющая} viʹ \mathrm{и} vjʹ; \\ a_{ij}^{\mathrm{TM}}=0, \mathrm{если} \mathrm{такой} \mathrm{дуги} \mathrm{нет}.\end{array}\right.$(6)

Перечень переходов активов в состояния нарушения безопасности представлен в табл. 1.

Таблица 1

Переходы активов в состояния нарушения безопасности [Asset transitions to security breach states]

Таким образом, составленная модель дает возможность описать с помощью двух групп угроз, 20 возможных переходов (считаем по количество пар причина/результат) и 8 состояний нарушения безопасности основные сценарии развития атак и реализации угроз информационной безопасности (показана на рис. 3).

Рис. 3. Основные сценарии развития атак и реализации угроз информационной безопасности

Fig. 3. The main scenarios for the development of attacks and the implementation of threats to information security

ФУНКЦИИ ПЕРЕХОДОВ

Будем определять условную вероятность перехода v_jʹ в следствие причины v_iʹ как функцию

f_ji = p(v_jʹ|v_iʹ). (7)

Ее область значений является промежутком от нуля до единицы. В зависимости от типа причин перехода используются разные функции f_ji. Всего их три типа.

Если переход происходит в результате перехода связанного актива в состояние нарушения безопасности, то функция выглядит следующим образом:

f_ji^DS = 1, для всех v_iʹ ∈ DS^AS. (8)

Если угроза реализуется в результате естественной или техногенной аварии, то она, скорее всего, носит случайный характер и возникает не часто.

Для переходов, который вызваны такими причинами, я предлагаю использовать распределение Пуассона, по следующим причинам:

• оно позволяет прогнозировать с достаточной точностью частоту независимых редких событий [2; 4];
• распределение Пуассона успешно использовалось для прогнозирования частоты возникновения аварий в теории надежности ¹.

Для i-й угрозы распределение описывается выражением

$P_{П}\left(k\right)=\frac{{\lambda }^k}{k!}{e}^{-{\lambda }_i},$ (9)

где P_п(k) – вероятность наступления k раз события за период оценки;

λ_i – среднее число аварий/отказов для i-й угрозы.

Тогда функция перехода, который произошел из-за естественных или техногенных причин, определяется как

f_ji^NS = 1 – e^–λ для всех v_iʹ ∈ X^NC. (10)

Стоит заметить, что при использовании распределения Пуассона в учитываемых событиях должно исключаться последействие, то есть все учитываемые события должны быть независимы.

Задача определения функции вероятности для угроз, реализующихся взломщиками является весьма сложной. Будем определять вероятности реализации такой угрозы, используя показатели эффективности нарушителей и сравнивая их с показателем эффективности существующих мер защиты.

Поэтому возьмем за аргументы функции f_ji^CR показатель d_i опасности i-ого взломщика и показатель φ_i эффективности существующих мер защиты рассматриваемого актива.

Степенью опасности взломщика является интегральный количественный показатель, который описывает желание, мотивацию и возможности взломщика для осуществления угрозы. Он принимает значения в интервале от нуля до единицы. Чем больше возможностей и желания у взломщика для осуществления атаки, тем больше этот показатель.

В работе предлагается определить функцию перехода f_ji^CR как логистическую функцию:

$f_{ji}^{\mathrm{CR}}=\frac{1}{1+e^{-\left(d_i-{\phi }_i\right)}}$ для всех v_iʹ ∈ X^CR, (11)

где z – произвольный положительный множитель.

Для использования выбрана именно логистическую функцию по следующим причинам:

• она является нелинейной и непрерывно дифференцируемой;
• производная данной функции может быть выражена через нее саму;
• подходящая область значений данной функции;
• широкое применение этой функции в различных методах обучения сетей [3] и ее хороша изученность.

График функции при различных значениях параметра z показан на рис. 4.

Рис. 4. График логистической функции

Fig. 4. The graph of the logistic function

Значение z можно определить, проведя экспериментальное исследование или оценку экспертов.

ФОРМИРОВАНИЕ МОДЕЛИ ОЦЕНКИ РИСКОВ ИБ

Представим модель оценки рисков информационной безопасности в виде ориентированного графа

G^RA = {V, H}, (12)

где V – вершины графа G^RA;

H – дуги графа G^RA.

Формируем граф по следующему алгоритму.

1. Определяем вершины из множества v_i ∈ V^DS ⊂ V, которые соответствуют состояниям нарушения безопасности активов

V^DS = {A^HWDS^HW, A^CLDS^CL, A^SWDS^SW, A^IADS^IA}.

2. Определяем те вершины, которые соответствуют естественным и техногенным угрозам v_i ∈ V^NC ⊂ V и вершины, соответствующие угрозам, связанным со взломом v_i ∈ V^CR ⊂ V.
3. Для дуг h_ji ∈ H^NC (соединяют естественные и техногенные причины угроз и состояния нарушения безопасности) и дуг h_ji ∈ H^CR (соединяют причины угроз, связанные со взломщиками, и состояния нарушения безопасности активов) в матрице смежности графа G^RA – A^RA элемент a_ij^RA = 1, если:

• • в матрице A^XAS a_xy^XAS = 1 для угрозы X_x^AS → v_i и актива A_y → v_j;
  • в матрице A^TM a_xy^TM = 1 для угрозы X_x^AS → v_i и состояния нарушения безопасности DS_y^AS → v_j.

4. Для дуг h_ji ∈ H^DS (соединяют состояния нарушения безопасности с причиной-состоянием нарушения безопасности связанного актива) в матрице смежности графа G^RA – A^RA элемент a_ij^RA = 1, если:

• • в матрице A^AS связи активов a_xy^AS = 1 для A_x → v_i и A_y → v_j;
  • в матрице A^TM связи активов a_xy^TM = 1 для DS_x^AS → v_i и DS_y^AS → v_j.

Для вершин графа осуществляется расчет показателей (в результате исследования экспериментальных данных или опроса экспертов):

• λ_i – для техногенных и естественных угроз;
• d_i – для угроз, связанных со взломами;
• φ_i – для состояний нарушения безопасности.

Полный риск ИБ является суммой рисков ИБ всех активов до внедрения контрмер, и высчитывается по следующей формуле:

$R_{\mathrm{AS}}=\sum _{v_j\in V}p\left(v_j\right)q\left(v_j\right),$ (13)

где p(v_j) – безусловная вероятность рискового события (перехода актива в состояние нарушения безопасности);

q(v_j) – величина ущерба от перехода актива в состояние нарушения безопасности.

ОПРЕДЕЛЕНИЕ ВЕРОЯТНОСТЕЙ РЕАЛИЗАЦИИ ПРИРОДНО-ТЕХНОГЕННЫХ УГРОЗ И УГРОЗ, СВЯЗАННЫХ СО ЗЛОУМЫШЛЕННИКАМИ

Переход актива в состояние нарушения безопасности является результатом осуществления угрозы ее источником. Если предположить, что природно-техногенные угрозы, и угрозы, которые происходят в результате работы злоумышленников, являются независимыми, то можно определить безусловную вероятность реализации рискового события p(v_j) по следующе формуле:

p(v_j) = 1 – (1 – p^NC(v_j))(1 – p^CR(v_j)), (14)

где p^NC(v_j) – безусловная вероятность того, что переход в состояние нарушения безопасности будет вызван естественными причинами;

p^CR(v_j) – безусловная вероятность того, что переход в состояние нарушения безопасности будет вызван действиями нарушителей.

Для того, чтобы оценить безусловную вероятность того, что переход будет вызван природно-техногенными источниками угроз, построим ориентированный ациклический граф природно-техногенных отказов:

G^NC = {V^N, H^N}, (15)

Он строится по следующему алгоритму.

1. Удаляются из графа G^RA вершины, которые соответствуют угрозам от злоумышленников и состояний нарушения безопасности, которые вызваны нарушителями

${\mathrm{V}}^{\mathrm{N}}=\frac{\mathrm{V}}{\left({\mathrm{V}}^{\mathrm{CR}}\cup {\mathrm{HW}}_i^{\left[\mathrm{I}\right]}\cup {\mathrm{CL}}_i^{\left[\mathrm{I}\right]}\cup {\mathrm{IA}}_i^{\left[\mathrm{I}\right]}\right)\forall i}$ (16)

2. Удаляются из графа G^RA дуги, которые соответствуют переходам в состояния нарушения безопасности, вызванным действиями злоумышленников:

H^N = H/H^CR. (17)

3. Из полученного в результате первых двух шагов графа удаляются циклы, которые образованы несколькими вершинами v_i = SW^[D] путем слияния этих вершин

Так как переходы, которые вызваны природно-техногенными источниками угроз, являются случайными событиями и независимы, то значение вероятности p^NC(v_j) того, что переход будет вызван природно-техногенным источником, определяется как вероятность возникновения хотя бы одного из независимых сценариев, которые приводят к этому переходу. Определим в порядке увеличения j для каждой из вершин безусловную вероятность того, что переход будет вызван природно-техногенными причинами:

$p^{\mathrm{NC}}\left(v_j\right)=1-\prod _{\forall i:a_{ij}^{\mathrm{NC}}=1}(1-p^{\mathrm{NC}}(v_j\left|v_i\right)),$ (18)

где A^NC = [a_ij^NC] – матрица смежности графа G^NC;

p^NC(v_j|v_i) – условная вероятность того, что актив перейдет в состояние нарушения безопасности v_j в результате реализации угрозы v_i. Эта вероятность определяется функцией f_ji^NC, рассмотренной ранее.

Рассмотрим пример реализации природной и техногенной угроз, которые ведут к повреждению ПО. Введем обозначения:

• V₁^NC – природная угроза;
• V₂^NC – техногенная угроза.

Повреждение ПО SW₁^[D] может быть вызвано либо реализацией техногенной угрозы (программным сбоем), либо повреждением связанного сетевого устройства CL₁^[D], либо повреждением связанного физического оборудования HW₁^[D]. Повреждение физического устройства, в свою очередь, может быть вызвано природной катастрофой V₁^NC, либо программным сбоем V₂^NC. Повреждение сетевого устройства может быть вызвано природной катастрофой V₁^NC, либо программным сбоем V₂^NC, либо повреждением связанного физического устройства.

Представим возможные сценарии в виде графа, изображенного на рис. 5.

Рис. 5. Сценарии реализации природно-техногенных угроз

Fig. 5. Scenarios for the implementation of natural and man-made threats

Таким образом, для приведенного примера рассчитаем безусловные вероятности перехода каждого из актива в состояние нарушение безопасности (в рассматриваемом примере – повреждение) в виду природно-техногенных факторов:

$p^{\mathrm{NC}}\left(v_3\right)=1-(1-p(v_3\left|v_1\right)\left)\right(1-p\left(v_3\right|v_2\left)\right);$ (19)

$p^{\mathrm{NC}}\left(v_4\right)=1-(1-p(v_4\left|v_1\right)\left)\right(1-p\left(v_4\right|v_2\left)\right)(1-p^{\mathrm{NC}}(v_3\left)\right);$ (20)

$p^{\mathrm{NC}}\left(v_5\right)=1-(1-p(v_5\left|v_2\right)\left)\right(1-p^{\mathrm{NC}}\left(v_3\right)\left)\right(1-p^{\mathrm{NC}}\left(v_4\right)).$ (21)

Для определения безусловных вероятностей реализации угроз, связанных со злоумышленниками, построим граф

G^CR = {V^C, H^C}. (22)

1. Удаляются из графа G^RA вершины, которые соответствуют угрозам и переходам, которые связанны с природно-техногенными причинами

V^C = V/V^NC. (23)

2. Удаляются из графа G^RA дуги, которые соответствуют переходам в состояния нарушения безопасности, вызванным природно-техногенными причинами

H^C = H/H^NC. (24)

3. Происходит сортировка графа, полученного в результате двух предыдущих шагов, в результате которой вершинам присваиваются номера, начиная с единицы, так, чтобы для ∀ v_i ∈ V^CR и v_j ∈ V^DS было справедливо i > j.

Тогда, приняв предположение о том, что угрозы, связанные с нарушителями, независимы между собой, получим формулу для расчета безусловной вероятности того, что переход будет вызван реализации угрозы со стороны злоумышленника:

$p^{\mathrm{CR}}\left(v_j\right)=1-\prod _{\forall i:a_{ij}^{\mathrm{CR}}=1}(1-p^{\mathrm{CR}}(v_j\left|v_i\right)),$ (25)

где A^NC = [a_ij^NC] – матрица смежности графа G^CR;

p^CR(v_j|v_i) – условная вероятность того, что актив перейдет в состояние нарушения безопасности v_j в результате реализации угрозы v_i. Эта вероятность определяется функцией f_ji^CR, рассмотренной ранее.

Рассмотрим пример реализации угроз, связанным со злоумышленниками. Представим его в виде графа на рис. 6.

Рис. 6. Сценарии реализации угроз, связанных со злоумышленниками, приводящими к утечке данных

Fig. 6. Scenarios for the implementation of threats related to intruders leading to data leakage

Утечка данных (переход информационного актива в состояние нарушения безопасности) может произойти по следующим сценариям:

• злоумышленник получает доступ (без повреждения) к физическому устройству (серверу или рабочей станции), после чего-либо напрямую копирует данные (при физическом доступе к ФУ), либо через взлом связанного ПО получает логический доступ к данным;
• злоумышленник получает доступ (без повреждения) к сетевому устройству, после чего-либо напрямую перехватывает передающиеся данные (при физическом доступе к СУ), либо через взлом связанного ПО получает логический доступ к данным.

ЗАКЛЮЧЕНИЕ

Предложенные алгоритмы, рассмотренные подробно для случая с природно-техногенными причинами, позволяют определить безусловную вероятность реализации рисковых событий и в рассмотренном выше случае.

Разработанная модель оценки рисков является универсальной, сочетая в себе максимальное количество аспектов информационной среды. Благодаря графическим моделям удается определить взаимосвязи между активами, угрозами от разных источников, разделить эти угрозы по функциям, отражающим условную вероятность того или иного перехода. Функции выбраны с учетом типа угрозы. Проведен структурный анализ информационной среды торговой компании и ее компонентов. Разработан способ представления информационной среды и активов компании в виде инфраструктурной модели. В виде ориентированного графа показаны возможные реализации угроз и предложена формализованная модель для оценивания рисков информационной безопасности.

В результате разработки модели была еще раз показана связь активов и многосторонность сценариев реализации угроз. Показано, что угроза может не только напрямую влиять на нарушение безопасности актива, но и привести к данному исходу через связанные активы.

¹ См.: СТОГазпром 18000.1-002–2020 «Единая система управления производственной безопасностью. Идентификация опасностей и управление рисками в области производственной безопасности». 2020. 54 c.

About the authors

Natalia V. Grineva

Author for correspondence.
Email: ngrineva@fa.ru
ORCID iD: 0000-0001-7647-5967

Cand. Sci. (Econ.), Associate Professor; associate professor, Department of Information Technology

References

Supplementary files

Supplementary Files

Action

1. JATS XML

Download

2. Fig. 1. The relationship between assets in the information environment of the company

Download (158KB)

Indexing metadata

3. Fig. 2. An example of a retailer’s infrastructure model

Download (240KB)

Indexing metadata

4. Fig. 3. The main scenarios for the development of attacks and the implementation of threats to information security

Download (145KB)

Indexing metadata

5. Fig. 4. The graph of the logistic function

Download (175KB)

Indexing metadata

6. Fig. 5. Scenarios for the implementation of natural and man-made threats

Download (86KB)

Indexing metadata

7. Fig. 6. Scenarios for the implementation of threats related to intruders leading to data leakage

Download (82KB)

Indexing metadata