close

Вход

Забыли?

вход по аккаунту

?

Совершенствование организации функционирования информационных систем на основе реконфигурации в условиях воздействия деструктивных факторов

код для вставкиСкачать
1
На правах рукописи
УСЦЕЛЕМОВ Вячеслав Николаевич
СОВЕРШЕНСТВОВАНИЕ ОРГАНИЗАЦИИ
ФУНКЦИОНИРОВАНИЯ ИНФОРМАЦИОННЫХ
СИСТЕМ НА ОСНОВЕ РЕКОНФИГУРАЦИИ В
УСЛОВИЯХ ВОЗДЕЙСТВИЯ ДЕСТРУКТИВНЫХ
ФАКТОРОВ
05.25.05 – Информационные системы и процессы
Автореферат
диссертации на соискание ученой степени
кандидата технических наук
МОСКВА – 2018
2
Работа выполнена в отделе разработки автоматизированных решений Федерального государственного унитарного предприятия «Российский научнотехнический центр информации по стандартизации, метрологии и оценке соответствия» (ФГУП «СТАНДАРТИНФОРМ»)
Научный руководитель:
доктор технических наук
Бурый Алексей Сергеевич
Официальные оппоненты:
доктор технических наук, профессор
Дли Максим Иосифович,
филиал ФГБОУ ВО «Национальный исследовательский университет «МЭИ» (ФГБОУ ВО «НИУ
«МЭИ») в г. Смоленске, заведующий кафедрой
менеджмент и информационные технологии в экономике
доктор технических наук, старший научный сотрудник
Кузнецов Валерий Иванович,
АО «Федеральный центр науки и высоких технологий «Специальное научно-производственное
объединение «Элерон», главный научный сотрудник
Ведущая организация:
ФГБОУ ВО «Военно-космическая Краснознаменная академия имени А.Ф. Можайского»
Защита состоится «___» _____________2018 г. в ___ часов ___ мин. на заседании диссертационного совета по техническим наукам Д 222.020.02 при Российском научно-техническом центре информации по стандартизации, метрологии и
оценке соответствия по адресу: 117418, г. Москва, Нахимовский проспект, д. 31,
корп. 2.
С диссертацией можно ознакомиться в читальном зале Российского научно-технического центра информации по стандартизации, метрологии и оценке
соответствия по адресу: г. Москва, Нахимовский проспект, д. 31, корп. 2, с авторефератом и диссертацией дополнительно – на официальном сайте Российского
научно-технического центра информации по стандартизации, метрологии и
оценке соответствия www.gostinfo.ru
Автореферат разослан «___» ____________________ 2018 г.
Ученый секретарь диссертационного совета
кандидат экономических наук
Стреха Анатолий Александрович
3
ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ
Актуальность темы диссертационной работы. За последнее время информационные технологии получили большое развитие и нашли широкое применение
во многих отраслях техники, медицины, образования. Все больше компаний различного масштаба, независимо от их принадлежности к государственному или
частному сектору экономики, используют в своей деятельности информационные
технологии. На сегодняшний день тренды рынка таковы, что в компаниях вынуждены иметь дело с большими объемами информации. Обрабатываемая информация может быть различного характера, начиная от информации о продуктах компании, ее сотрудниках до личных данных ее клиентов. Разумеется, что утрата, искажение или разглашение подобного рода информации является недопустимым и
может нанести серьезный ущерб компании. В настоящее время статистика, публикуемая ведущими компаниями в сфере обеспечения безопасности информации,
показывает тенденцию к росту числа воздействий на информационные ресурсы
компаний и ущерба от них. Так, в 2015 году было зафиксировано 52 крупных хакерских атаки, а всего зафиксировано 43 тыс. кибератак. По данным Сбербанка
России, в 2015 году было зафиксировано около 32,5 тысяч попыток незаконного
списания денежных средств на общую сумму более 5 млрд. руб. Поэтому своевременное выявление информационных воздействий крайне важно. Проблема
обеспечения устойчивости информационных систем от деструктивных факторов
является актуальной задачей, особенно в современных условиях жесткой конкуренции и промышленного шпионажа в технико-экономической сфере современного общества. В этой связи целесообразным является построение комплексной
защиты информации в условиях возрастания рисков деструктивных воздействий
на информационную систему.
Известно, что затраты на обеспечение устойчивости (функциональной, информационной) не должны превышать стоимости самой информации. В этой связи широкое применение нашел подход, основанный на концепции приемлемых
рисков. Концепция приемлемых рисков позволяет найти оптимальное соотношение затрат на построение подсистемы защиты и стоимости защищаемой информации, однако существующие методики имеют ряд недостатков: отсутствие адаптивности, масштабируемости, учета предыдущего опыта, длительности воздействия. Наличие указанных недостатков существенно снижает эффективность
устойчивого функционирования ИС, что может привести к серьезным последствиям.
Степень разработанности темы. Современные информационные системы
имеют сложные структуры, определяемые, как классом решаемых задач, так и
технологическими особенностями управляемых ими процессов и задействованных ресурсов. В научно-технической литературе вопросам организации функционирования информационных систем в реальных условиях при действии мешающих факторов внутреннего и внешнего характера посвящено немало работ. Методология выбора вариантов создания и развития организационно-технических систем (ОТС) информационных систем (ИС) (в том числе и в составе автоматизиро-
4
ванных систем управления (АСУ) сложными объектами и процессами) исследовалась в трудах Е.П. Балашова, В.В. Бетанова, А.С. Бурого, В.Н. Волковой,
Г.В. Дружинина, Л.Е. Мистрова, Б.А. Резникова, А.Д. Цвиркуна, А.А. Яковлева,
Дж. Касти, Р. Кини, Дж. Клира и др. Отдельные вопросы развития информационного обеспечения процессов и технологий, методов оценки и оптимизации структур данных информационных систем рассмотрены в работах В.А. Герасименко,
А.В. Докукина, В.Н. Квасницкого, В.В. Кульбы, Д.А. Ловцова, М.И. Ломакина,
А.Г. Мамиконова, А.И. Полоуса, Б.В. Соколова, А.В. Сухова, Р.М. Юсупова и др.
Организационные аспекты построения информационных систем и комплексов, их
функциональной реконфигурации, в том числе и за счет обеспечения информационной безопасности, посвящено большое количество работ, среди которых можно
выделить публикации А.В. Бабаш, С.В. Гайковича, Д.Ю. Гамаюнова, А.В. Душкина, Л.Е. Карпова, И.Р. Конева, В.П. Лося, Ю.Н. Максимова, Н.Г. Милославской,
Ю.Б. Михайлова, В.Г. Проскурина, А.А. Тарасова, М.В. Тарасюка, А.Ю. Щеглова
и др.
Ряд ученых, такие, как, например, В.И. Васильев, В.А. Герасименко,
В.И. Комашинский, С.А. Петренко, Н.Г. Ярушкина и др. решали задачи управления рисками информационной безопасности с использованием теории нечетких
множеств. Однако существующие механизмы в подсистемах информационной
безопасности не всегда обеспечивают эффективное функционирование, в том
числе в связи с тем, что не позволяют динамически перенастраивать механизмы
информационной безопасности с учетом воздействия внешних и внутренних факторов.
Исходя из этого, актуальной диссертационного исследования определяется,
с одной стороны, объективной необходимостью разработки усовершенствованного подхода к организации функционирования сложных информационновычислительных комплексов, учитывающего их недостатки и позволяющего проводить оценку информационной устойчивости с учетом внешних и внутренних
воздействий на информационную систему, а, с другой стороны, большой практической значимостью применения такого подхода для обеспечения устойчивости
информационной системы в конфликтной среде, что в комплексе и обусловило
выбор темы диссертационного исследования и предопределило объект, предмет,
цель и задачи работы.
Объект диссертационного исследования – государственные и корпоративные территориально-распределенные информационные системы и комплексы, сетевые структуры в динамике конфликтного взаимодействия.
Предметом исследования являются методы, модели описания и оценки информационных процессов и ресурсов в ходе организации устойчивого функционирования информационных систем, на основе применения информационных
технологий в процессах принятия решений в динамике конфликтного взаимодействия организационно-технических систем.
Целью диссертационной работы является разработка научно-методического
обеспечения совершенствования организации функционирования информационных систем и комплексов, компьютерных сетей на основе оценки информацион-
5
ной устойчивости к внешним дестабилизирующим факторам, позволяющего выполнить рациональную настройку подсистемы информационного обмена в ходе
реконфигурации информационной системы.
Для достижения поставленной цели в работе поставлены и решены следующие задачи диссертационного исследования, определившие логику исследования и структуру работы в целом:
1) провести анализ существующих основных факторов конфликтного взаимодействия организационно-технических систем в ходе переработки информации,
циркулирующей в контурах принятия решений;
2) проанализировать существующие методы и средства оценки информационной устойчивости автоматизированных систем в условиях действия дестабилизирующих факторов;
3) разработать методы и алгоритмы, дающие возможность выработать практические рекомендации по настройке подсистемы информационного обмена на
основе адаптивной оценки информационной устойчивости;
4) разработать программные компоненты подсистемы адаптивной оценки
возможности несанкционированного доступа, позволяющие выработать обоснованные рекомендации по оптимизации настроек и составу подсистемы информационного обмена в конфликтном взаимодействии организационно-технических
систем;
5) предложить научно-обоснованные рекомендации по совершенствованию
организации функционирования устойчивых информационных систем.
Теоретическую и методологическую основу исследования составляют труды отечественных и зарубежных авторов, посвященные вопросам исследования
распределенных информационных систем, направленных на повышение эффективности функционирования информационных технологий, за счет предлагаемых
теоретических подходов, разработанных модельно-алгоритмических приложений.
Методы исследования. При решении поставленной задачи были использованы следующие теоретические методы: общенаучные методы познания (анализ,
синтез, аналогия, сравнение, сопоставление, обобщение, классификация, систематизация, типизация, моделирование, проектирование и др.); статистические методы (статистический анализ связи между переменными, табличный и графический
методы представления исследуемых данных); прогностико-верификационные методы (метод экспертных оценок, публикационный метод, обсуждение в форме
конференций и семинаров); элементы теории систем искусственного интеллекта и
теории нечетких множеств.
Научная новизна работы заключается в разработке нового подхода комплексной оценки эффективности организации функционирования информационных систем, на основе механизмов адаптивной настройки информационного обмена, устойчивого к деструктивным воздействиям.
В диссертации получены и выносятся на защиту следующие основные результаты, содержащие элементы научной новизны.
1. Предложена концептуальная схема решения задачи оценки эффективности организации функционирования информационных систем, на основе ком-
6
плексного использования технологий экспертных систем, нейронных сетей, нечеткой логики, рассуждений по методу прецедентов и оценки информационных
рисков, позволяющая получать новые сведения об информационной системе с
учетом ограничений и требований к отдельным ее подсистемам.
2. Предложен метод адаптивной настройки механизмов подсистемы информационного обмена в ОТС на основе метода вывода по прецедентам и нейронечеткого вывода, а также оценки динамики конфликтного взаимодействия, отличающийся возможностью выработки управляющего воздействия для настройки
(перенастройки) механизмов подсистемы информационного обмена, за счет оценки возможности сохранения целостности информационных ресурсов.
3. Разработан гибридный алгоритм оценки уровня устойчивости и безопасности от несанкционированных действий конфликтующих сторон в ходе их информационного взаимодействия, на основе абдуктивного и нейро-нечеткого вывода и полученных вероятностных оценок его эффективности.
4. Разработан метод классификации воздействий и инцидентов, оценки информационной устойчивости и выработки управляющих решений при формировании рационального набора средств, для сокращения возможного информационного ущерба, отличительной особенностью которого является организация динамической реконфигурации подсистемы информационного обмена в соответствии
с текущими деструктивными воздействиями.
5. Предложена модельно-алгоритмическая процедура на базе комплекса
программ, позволяющая оценивать текущий уровень информационной устойчивости в ходе конфликтного взаимодействия и формировать обоснованные рекомендации для человеко-машинного обмена данными и принятия решений в организационно-технических структурах информационных систем.
Совокупность полученных результатов исследования является решением
актуальной научной задачи, направленной на совершенствование механизмов защиты как существующих, так и разрабатываемых компьютерных сетей.
Достоверность полученных результатов подтверждается применением широко известных частных научных результатов, корректностью математического
обоснования впервые полученных результатов, сходимостью результатов моделирования с имеющимися экспериментальными данными, ясной физической интерпретацией полученных результатов.
Практическая значимость работы заключается в том, что полученные результаты могут быть использованы для решения задачи повышения эффективности защиты компьютерных сетей с учетом особенностей объекта информатизации. На основе разработанного программного комплекса возможно построение
устойчивых компьютерных сетей с учетом изменчивости характера внешних и
внутренних деструктивных воздействий.
Апробация работы. Результаты исследования реализованы в АО «Концерн
«Системпром» и ФГУП «СТАНДАРТИНФОРМ», а также в научноисследовательских работах, проводимых на кафедре «Автоматизированные системы обработки информации и управления» ОНЦ «Кибернетика» ФГБОУ ВО
«Российский экономический университет имени Г.В. Плеханова» (ФГБОУ ВО
7
«РЭУ имени Г.В. Плеханова»), используются в учебном процессе при проведении
занятий по дисциплине «Методы и алгоритмы поддержки интеллектуальных решений в организационно-технических и экономических информационных системах» указанного университета. Разработанные научно-методические рекомендации могут быть использованы для оценки как уже существующих, так и для построения перспективных подсистем защиты информации.
Основные научные выводы и результаты работы докладывались и получили
одобрительную оценку на III-ей научно-практической конференции «Инновационное развитие российской экономики» в 2012 г., IV-ой научно-практической
конференции молодых ученых «Инновационное развитие российской экономики»
в 2013 г., International Scientific-Practical Conference «Innovative Information Technologies» в 2013 г., International Scientific-Practical Conference «Innovative Information Technologies» в 2014 г., V-ой научно-практической конференции «Интеллектуальные системы в информационном противоборстве в бизнесе» в 2014 г.,
VIII-ой Международной научно-практической конференции «Информационные и
коммуникационные технологии в образовании, науке и производстве» в 2014 г., а
также постоянно-действующих научно-технических семинарах Института компьютерных технологий МЭСИ (ныне – ОНЦ «Кибернетика» ФГБОУ ВО «Российский экономический университет имени Г.В. Плеханова») в 2012-2016 гг.
Публикации. Материалы исследований опубликованы в 11 печатных работах общим объемом 8,5 п.л., из которых 6,9 п.л. принадлежат автору, при этом 4
статьи опубликованы в изданиях, рекомендованных ВАК Минобрнауки РФ для
опубликования основных результатов диссертационных исследований на соискание ученых степеней доктора и кандидата наук. ФГБУ «Федеральный институт
промышленной собственности» (ФГБУ «ФИПС») выдано свидетельство о государственной регистрации программы для ЭВМ № 2014616772 от 3 июля 2014 г.
Структура диссертации. Диссертационная работа состоит из введения, трех
глав, заключения и библиографического списка. Общий объем диссертационной
работы составил 142 страницы, включает 29 рисунков, 28 таблиц.
ОСНОВНОЕ СОДЕРЖАНИЕ РАБОТЫ
Во введении представлена общая характеристика работы, обоснована ее актуальность, сформулированы цель и задачи исследования, определены научная
новизна и практическая значимость полученных результатов, а также дана общая
характеристика основных положений, выносимых на защиту.
В первой главе проведён анализ существующих систем обнаружения сетевых вторжений и угроз информационной безопасности, а также существующих
методик оценки информационных рисков, а также анализ угроз информационной
безопасности с целью поиска маркеров, позволяющих выявить попытки использования нарушителем уязвимостей системы, осуществлена постановка задачи.
Как показал анализ современной научно-технической литературы, реализация угрозы информационной безопасности приводит к количественным или качественным изменениям в информационной системе. Значительные изменения со-
8
стояния информационной системы (ИС) могут способствовать появлению небезопасных состояний, при которых противоборствующая сторона может преодолеть
подсистему защиты. Следовательно, уровень рисков может изменяться в процессе
функционирования информационной системы. При решении задачи повышения
эффективности обеспечения безопасности информационной системы необходимо
учитывать классификацию рисков и их влияние на информационную систему, а
также механизмы обеспечения информационной безопасности. В тоже время анализ средств оценки рисков показал, что существующие подходы к оценке рисков
не позволяют оперативно учитывать их изменение в процессе функционирования
ИС, что отрицательно сказывается на функционировании подсистемы информационной безопасности.
Тогда формально задачу исследования можно представить, как задачу минимизации разности текущего и безопасного состояний ИС при ограничениях на
уровень риска преодоления системы защиты и на среднее время процесса преодоления.
Дано: St(1 , … , i … ,  , ()), Sб(1б , … , iб , … , б , тр ),
где: St(1 , … , i , … ,  , ())- текущее состояние информационной системы;
Sб(1б , … , iб , … , б , тр )- безопасное состояние информационной системы, полученное на основе экспертных оценок;
i - параметр, описывающий текущее состояние ИС;
iб - параметр, описывающий безопасное состояние ИС, сформированное на
основе экспертных оценок;
R(t)- значение текущего уровня риска преодоления подсистемы защиты;
тр - требуемое значение уровня риска преодоления подсистемы защиты;
Т – время настройки механизмов подсистемы информационной безопасности;
Tтр – требуемое время, необходимое для настройки механизмов подсистемы
информационной безопасности.
Требуется:
| (1 , … ,  , … ,  , ()) − б (1б , … , б , … , б , тр )| → 
(1)
При ограничениях:
() ≤ тр ,
 ≤ тр .
Вторая глава посвящена разработке модели адаптивной настройки механизмов подсистемы информационной безопасности, на основе рассуждений по прецедентам и нейро-нечеткого вывода, а также оценки информационных рисков,
позволяющая выявить изменения параметров информационной системы и оценить последствия этих изменений.
На основе результатов, полученных в первой главе, была разработана концептуальная схема решения поставленной задачи, представленная на рис. 1. Данная схема включает этапы обработки входных воздействий (атак на информационную систему).
9
Схема состоит из двух компонентов – модулей рециркуляционной циклической нейросети, включающей два самостоятельных взаимосвязанных модуля. Под
модульностью в данном случае понимается представление задачи как совокупности подзадач, связанных между собой.
На первом этапе выполняется классификация атак с использованием первого модуля циклической рециркуляционной нейронной сети.
На следующем (втором) этапе выполняется классификация угроз с учетом
класса атак с использованием второго модуля циклической рециркуляционной
нейронной сети.
На третьем этапе осуществляется классификация состояний информационной системы с использованием третьего модуля циклической рециркуляционной
нейронной сети.
На четвертом этапе с помощью интеллектуальной подсистемы оценки рисков и настройки подсистемы информационной безопасности (ПИБ) и осуществляется выработка управляющего воздействия на перенастройку механизмов ПИБ с
учетом воздействия атак на информационную систему. Компонент подсистемы
оценки рисков и настройки ПИБ включает блок на основе рассуждений по прецедентам, и блок на основе ансамбля нечетких нейросетей.
Ансамблевая нейросеть включает совокупность нейро-нечетких сетей, работающих параллельно (рис. 2). Выход ансамбля представляет собой взвешенное
среднее каждой нейросети, где вес определяется как функция относительной
ошибки каждой сети, определенной при обучении.
Анализ угроз информационной безопасности показал, что деструктивные
воздействия на информационную систему приводят к изменению текущего состояния информационной системы, при этом риски преодоления подсистемы защиты
могут существенно возрасти.
В соответствии с представленной концептуальной схемой для обеспечения
требуемого уровня безопасности необходимо разработать модели, алгоритмы и
методику, которая позволит проводить оценку информационных рисков и перенастройку ПИБ на любом этапе цикла функционирования ИС в зависимости от изменений ее параметров.
Как известно, обнаружение сетевых атак связано с выделением большого
числа признаков, по которым необходимо проводить классификацию. Все признаки информационно неравнозначны, причем уточнить их истинную значимость
можно только после проведения дополнительных исследований. В реальных
условиях система должна автоматически выделять признаки и использовать их для
решения задачи обнаружения атаки и определения ее типа.
10
11
12
Зачастую выбор адекватных мер противодействия текущим угрозам на
информационную систему зависит от квалификации, опыта администратора
безопасности и оперативности принятых контрмер. Посредством контроля
состояния системы, просмотра специализированных журналов безопасности,
администратором ИС формируется заключение о надежности работы подсистемы защиты. Риск несвоевременных или некорректных действий со стороны обслуживающего персонала или администраторов является недопустимым в крупных компаниях и может привести к большим финансовым потерям.
Анализ угроз информационной безопасности показал, что зачастую
воздействие угроз изменяет состояние информационной системы, которое
может проявляться в изменении ее количественных или качественных показателей.
Процесс изменения состояния информационной системы S может быть
представлен кортежем:
S  R, P, K iin , K iout ,
(2)
где: R – ресурсы ИС;
P – подсистема защиты ИС;
K iin  внутренние связи ИС;
K out
 внешние связи ИС.
j
Состояние информационной системы в каждый момент времени может
быть представлено вектором переменных x(t). Разделим все множество состояний ИС на множество безопасных состояний D(t) и множество небезопасных состояний N(t) (рис. 3).
D(t)
N(t)
Рис. 3. Множество состояний ИС
Безопасное состояние ИС – это состояния ИС, при котором значения ее
параметров не выходят из диапазона значений, принятых как безопасные для
конкретной ИС.
13
Небезопасное состояние ИС – это состояние ИС, характеризующееся
критичными изменениями значений ее параметров, которые могут привести
к преодолению нарушителем подсистемы защиты.
Тогда одной из основных функций подсистемы защиты является поддержание значений вектора x(t) в области допустимых состояний D(t). Из
рис. 3 видно, что границей раздела двух множеств является заштрихованная
область, отражающая пограничное состояние ИС. Появление пограничных и
небезопасных состояний ИС, когда вектор X (t )  D(t ) связано с рисками деструктивных воздействий на ИС.
При выходе состояния ИС из области безопасных значений, критически важным является своевременное определение причины отклонения и при
необходимости выработка управляющих воздействий, адекватных деструктивным воздействиям. На рис. 4. представлен процесс изменения состояния
ИС в результате потока деструктивных воздействий.
S
S*
Рис. 4. Процесс изменения состояния системы в результате
деструктивных воздействий
Как показал проведенный анализ, для повышения эффективности
функционирования подсистемы информационной безопасности целесообразно обеспечивать ее адаптивную настройку. Одним из решений указанной
проблемы является использование при построении и дальнейшей эксплуатации подсистемы защиты моделей, позволяющих на основе изменения значений ее параметров оценивать риск воздействия угрозы, на основе чего осуществлять настройку механизмов подсистемы защиты. Указанная задача относится к классу трудно формализуемых задач. В работе предложен и обоснован новый подход к решению поставленной задачи с использованием методов искусственного интеллекта.
Проведенный анализ показал, что задачи рассматриваемого класса достаточно эффективно решаются на основе использование методов правдоподобного вывода, которые позволяют найти рациональное решение в условиях
заданных ограничений. В основе применения методов правдоподобного вывода лежит идея построения модели рассуждений на основе прецедентов
(СBR – Case Based Reasoning).
Вывод на основе прецедентов – это подход, позволяющий решить новую задачу на основе использования или адаптации решения известной похожей задачи т.е. позволяет использовать накопленный опыт в решении по-
14
хожих задач. Методы рассуждений на основе прецедентов включают в себя
четыре основных этапа, образующие, так называемый, CBR-цикл, структура
которого представлена на рис. 5.
Основными этапами CBR-цикла являются:
- извлечение прецедента (прецедентов) наиболее полно совпадающего
с текущей ситуацией из базы знаний прецедентов;
- повторное использование извлеченного прецедента для попытки решения текущей проблемы;
- пересмотр и адаптация в случае необходимости полученного решения
применительно к условиям текущей проблемной ситуации;
- сохранение вновь принятого решения как части нового прецедента.
Рис. 5. Структура CBR-цикла рассуждений по прецедентам
К преимуществам рассуждений на основе прецедентов можно отнести:
- самостоятельность выработки решений в критической ситуации, без
участия эксперта, на основе накопленного опыта;
- сокращение времени поиска решения за счет использования уже имеющегося решения для аналогичной задачи;
- накопление ошибочного опыта и исключение подобных действий в
будущем;
- возможность менее углубленного изучения всех имеющихся знаний в
рассматриваемой предметной области за счет использования ключевых знаний особенностей предметной области;
- возможность использования эвристик, способствующих росту эффективности поиска прецедентов;
- решения не уникальны для конкретной ситуации и могут быть использованы в других случаях;
15
- прецеденты можно представить в различном виде: от записей в базах
данных, древовидных структур – до предикатов и фреймов.
Таким образом, формальное представление прецедента имеет следующий вид:
Pj  {x1 , x2 , ... xi ,  , x z , r, d, c},
(3)
где Pj – прецедент из базы данных прецедентов;
xi , i [1,z ] – значение i-го параметра информационной системы, описывающего ее состояние на момент сохранения прецедента;
r – уровень риска преодоления подсистемы защиты нарушителем для
указанных в прецеденте значений параметров информационной системы;
d – управляющее воздействие по настройке подсистемы защиты;
с – затраты на реализацию управляющего воздействия.
Все множество известных, а также новых прецедентов в базе прецедентов распределено по принадлежности к соответствующим классам угроз.
На рис. 6 представлена структурная схема базы прецедентов.
База данных
Класс угроз 1
Класс угроз i
Класс угроз m
Прецедент 1
Прецедент j
Прецедент n
НПЗ
Рис. 6. Структурная схема базы прецедентов
Формально определим базу данных прецедентов в следующем виде:
BP = {<K1 , K 2 , ... K i ,  , K m>},
( 4)
где <K1, K 2 , ... Ki , , K m> – множество классов угроз.
Формальное описание классa угроз может быть представлено в следующем виде:
16
K i  {  P1 , P2 , ... Pj , , Pn  , do},
(5)
где K i , i  [1,m] – наименование класса i-й угрозы;
Pj , j  [1,n] – множество прецедентов;
do – совокупность настроек подсистемы защиты.
Тогда формальное описание оценки информационных рисков с использованием рассуждений на основе прецедентов может быть представлено следующим образом:
PS = <BP, A(p), I p>,
( 6)
где BP – база прецедентов;
A(p) – алгоритм определения похожести прецедентов p;
I p – интерпретатор прецедентов.
Интерпретатор I p , используя алгоритм A(p), обрабатывает информацию, хранящуюся в базе прецедентов BP, и представляет совокупность процессов:
(7 )
I p = <I p1, I p 2 , I p3 , I p 4>,
где I p1 – обнаружение;
I p 2 – адаптация;
I p 3 – пересмотр;
I p 4 – сохранение.
Проведенный анализ показал, что наиболее целесообразно для решения
поставленной задачи использовать метод k-взвешенных ближайших соседей,
который относится к метрическим методам классификации. Достоинством
метода является наличие более эффективных результатов поиска необходимого решения по сравнению с другими.
Процесс поиска прецедентов с использованием модифицированного
метода k взвешенных ближайших соседей заключается в вычислении степени
удаленности между значениями параметров, описывающих текущую ситуацию, и извлеченным прецедентом и определении степени их близости. В
подходе используется покоординатное сопоставление так, что каждый параметр описывающий прецедент рассматривается как одна из координат. Модификацией метода является учет предпочтений лица, принимающего решение (ЛПР) Li при поиске прецедентов.
Таким образом, для поиска прецедента определяется расстояние ΔS
между текущей ситуацией и прецедентом из базы знаний прецедентов.
n
ΔS = (  (wi  SIM(x il ;xik )  Li )) /
i 1
n
w ,
i 1
i
где wi – весовое значение значимости i-го параметра;
SIM(xil ;xir ) – функция схожести;
(8)
17
xil , xik – значения i-го параметра в текущем l и прошлом k прецедентах
соответственно;
Li – предпочтение лица, принимающего решение по i-му показателю
прецедента.
l
k
Степень сходства прецедентов xi , xi вычисляется по метрике Евклида:
SIM(x il ; xik ) 
l
N
2
 (xil  xik )
i 1
(9 )
k
где xi , xi – параметры образцов;
N – общее число параметров.
Модифицированный метод позволяет обеспечивать реализацию эффективного поиска с различной размерностью исходных данных.
На основе описанного выше модифицированного метода определения
ближайшего соседа для настройки подсистемы защиты на основе показателя
степени риска разработан алгоритм поиска прецедентов с учетом коэффициентов важности параметров объекта и ограничений, предъявляемыми ЛПР
(рис. 6).
Входными данными для разработанного алгоритма извлечения прецедентов из БЗ (базы знаний) прецедентов с использованием евклидовой метрики являются:
l
1) текущие значения параметров информационной системы xi , характеризующие ее текущее состояние (безопасное/небезопасное);
2) ВР – непустое множество прецедентов;
3) W  {w1 , w2 ,...wi ,..., wn } — веса (коэффициенты важности) параметров,
определяемые экспертами;
4) L  {l1 , l2 ,...li ,..., ln } – предпочтения ЛПР на выборку пула прецедентов
по параметрам;
4) М – количество прецедентов в базе знаний прецедентов;
5) R – допустимый уровень риска.
Выходные данные: множество прецедентов H, у которых значение
уровня риска r больше допустимого уровня риска R.
Пошаговый алгоритм извлечения прецедента имеет вид (рис.7):
Шаг 1. H   , j=1 и переход к следующему шагу.
Шаг 2. Если j  M , то выбор прецедента Pj из множества BP ( Pj  BP ) и
переход к шагу 3, иначе переход к шагу 5, если все прецеденты исчерпаны.
Шаг 3. Расчет расстояния ΔS по евклидовой метрике между выбранным прецедентом Pj и текущей ситуацией Pj c учетом коэффициентов важности параметров и ограничений требуемых ЛПР:
n
ΔS=(  (wi  SIM(x il , xik )  li )) /
i 1
n
w ,
i 1
i
(10)
18
Начало
Ввод текущих значений
системы
Задать допустимый уровень риска R
Рассмотрены все
прецеденты
да
?
нет
Выбрать прецедент
Вычислить
нет
да
r>R
Включить прецедент в отчет
Прецеденты
найдены?
нет
да
Вывести результаты администратору безопасности для
принятия решения
Конец
Рис. 7. Обобщенный алгоритм поиска прецедентов
19
l k
где SIM(xi ;xi ) – функция схожести;
xil , xik – значения i-го параметра в текущем l и прошлом k прецедентах
соответственно;
l
k
Степень сходства прецедентов xi , xi вычисляется по формуле:
SIM(x il ; xik ) 
N
2
 (xil  xik )
i 1
(11)
Шаг 4. Извлечение прецедента из БЗ. Если у извлеченного прецедента
значение риска r >R, то данный прецедент Pj добавляется к результирующему множеству H ( Pj  H ) , т.е. прецедент извлекается из базы знаний. Далее,
после операции увеличения счетчика j=j+1 переход к шагу 2.
Шаг 5. Если H   , то прецеденты для текущей проблемной ситуации
не найдены и переход к шагу 7 с выдачей сообщения для администратора
безопасности, что для текущих значений параметров системы не обнаружено
рисков преодоления подсистемы защиты выше заданного R. Иначе переход к
следующему шагу 6, если прецеденты для текущей ситуации успешно исчерпаны.
Шаг 6. Сортировка найденных прецедентов по степени сходства с текущей ситуацией, а также по уровню риска нахождения системы под воздействием угрозы, и представление администратору безопасности.
Шаг 7. Конец (завершение алгоритма).
Применение рассуждений на основе прецедентов для решения задачи
оценки степени риска воздействия угроз на информационную систему обладает рядом преимуществ, основным из которых является определение степени сходства текущей ситуации с прецедентами, которые имели место ранее,
что значительно сокращает время поиска решения. Однако при отсутствии
достаточно близкого прецедента в базе знаний эффективность рассуждений
на основе прецедентов снижается и приводит к появлению ошибок первого и
второго рода.
Для устранения указанных недостатков используют гибридные модели,
основанные на применении различных методов искусственного интеллекта.
Проведенный анализ систем искусственного интеллекта показал, что для повышения эффективности принятия решений по настройке подсистемы информационной безопасности целесообразно использовать гибридную модель
на основе рассуждений по прецедентам и нейро-нечеткого вывода. Достоинством системы нейро-нечеткого вывода является возможность использования
нечетких переменных, характеризующих исходные данные (в нашем случае –
параметры, описывающие состояние информационной системы) для решения
задачи их классификации.
На основе проведенного анализа разработанной модели оценки информационных рисков методом абдукции предложен гибридный модуль оценки
уровня риска и настройки ПИБ (рис. 8).
20
Рис. 8. Схема взаимодействия ПИБ с использованием модуля гибридной
оценки уровня риска и настройки механизмов ПИБ
Модель гибридной оценки уровня риска обеспечивает настройку механизмов информационной безопасности в условиях воздействий угроз.
Указанный модуль состоит из двух блоков: 1) блок прецедентного вывода; 2) блок нейро-нечеткого вывода.
Определение алгоритма  () для выдачи управляющего воздействия
по настройке механизмов функционирования подсистемы информационной
безопасности осуществляется следующим образом.
Значения параметров информационной системы с учетом воздействия
угроз поступает на вход модуля гибридной оценки уровня риска и настройки
ПИБ, результатом функционирования которого является формирование
управляющего алгоритма  ().
Рассмотрим структурную модель функционирования блока нейронечеткого вывода (БННВ).
В основу блока нейро-нечеткого вывода положена нейросеть Сугено,
которая является универсальным аппроксиматором функций и имеет достаточно низкие ошибки моделирования. Применение дополнительного блока
обусловлено необходимостью определения перенастройки ПИБ в ситуациях,
не имеющих описания в базе прецедентов, что позволяет обеспечить более
точную настройку механизмов защиты в случаях, когда уровень риска R(t),
из выражения (1) превысит допустимые значения. Результаты функционирования БНВ участвуют в формировании нового прецедента для пополнения
базы данных БПВ.
Блок нечеткого вывода выполняет функцию нечеткого классификатора.
Процесс поиска класса, отражающего действительное состояние системы, требует задать ряд векторов на множестве параметров, представляемых в
21
виде термов и классов параметров, которые позволят эффективно провести
поиск воздействующей угрозы на систему в соответствии с текущими значениями параметров системы:
m = {m11, m22 , … , mij ,…, msM }, mij  [0,1];
(12)
(13)
σ = {σ11, σ 22 , … , σ ij ,…, σ sM }, σ ij  [0,1];
ε = {ε11 , ε 22 , … , εij ,…, ε sM }, εij  [0,1];
(14)
j
где mi – нормированное математическое ожидание значения i-го параметра j-го состояния системы;
σ ij – нормированное среднеквадратическое отклонение значения i-го
параметра j-го состояния системы;
εij - нормированный вес i-го параметра j-го состояния системы;
s – количество анализируемых параметров системы;
M – количество состояний системы.
Для выработки управляющего алгоритма настройки ПИБ при отклонении параметров системы от безопасных значений обоснована целесообразность использования нечеткой нейросети, реализующей алгоритм нечеткого
вывода Такаги – Сугено – Канга (рис. 9).
Входной слой состоит из  (0) =  нейронов, соответствующих количеству параметров, принятых для контроля поведения системы. Первый слой
выполняет процесс фаззификации и состоит из  (1) =  нейронов. Второй
слой реализует агрегирование методом алгебраического произведения и содержит  (2) =  нейронов, где M – количество возможных (предопределенных) состояний системы. Третий слой необходим для реализации активизации и содержит  (3) =  нейронов. Последующие слои (4-й и 5-й) осуществляют дефаззификацию методом взвешенного среднего и состоят из
 (4) = ,  (5) = 1, нейронов соответственно.
Зададим класс угроз в следующем виде:
(15)
K l   mij , σ ij , εij , r ,
где K l – наименование класса l-й угрозы;
r – уровень риска преодоления подсистемы защиты нарушителем для
указанных в классе текущих значений параметров информационной системы.
Для реализации процесса поиска сформирована база нечетких правил, а
также выполнено ее обучение с использованием метода обратного распространения ошибки.
База нечетких правил состоит из набора правил, ставящих в соответствие значения текущих параметров системы значениям вероятных угроз и
риску преодоления подсистемы информационной безопасности. Результатом
применения правил являются рекомендации по обеспечению настроек системы защиты.
Представим j-е правило в следующем виде:
22
s
R j : если x1 есть A1j И  И xi есть Ai j И  И xs есть Asj ТО y есть   l j xl , j 1, M ;
l 1
j
1
где A – нечеткое значение входной переменной (терм-множества) в
виде числовых значений одного из параметров отражающих состояние системы;
xi – четкая входная переменная;
y – выходная переменная (номер класса угроз);
 l j – весовые коэффициенты (синапсы).
Рис. 9. Структура нечеткой нейросети
По представленной выше базе нечетких правил выполняется поиск соответствия входной переменной  из набора переменных, правилу j и значению ее функции принадлежности  A ( xi ) .
j
i
В качестве функции принадлежности  A ( xi ) использована функция
j
i
гауссовской формы:
23
 ( xi  mij ) 2
 A j ( xi )  exp(
)
i
2( i j ) 2
,
(16)
j
где mi – математическое ожидание,
 i j – среднеквадратичное отклонение.
Степень истинности условия для j-го правила определяется по следующей формуле:
s
 A ( x)   wij  A ( xi ), j 1, M ,
j
j
i
i 1
(17 )
где wij  {0, 1} – весовые коэффициенты.
Расчет четкого значения выходной переменной для каждого j-го правила представлен в следующем виде:
s
z j    l j xl , j 1, M ,
l 1
(18)
Номер класса состояния информационной системы рассчитывается по
формуле:
M
y
z
j 1
M
j
 A ( x)

j 1
j
Aj
(19)
( x)
.
На основе разработанных моделей предложена обобщенная методика
оценки информационных рисков и настройки ПИБ с использованием гибридной модели, представленной на рис. 10.
1. Формирование базы знаний прецедентов и базы
правил нейросети экспертами
2. Определение допустимых диапазонов уровня
риска для различных ситуаций функционирования
системы
3. Выбор модуля для формирования управляющего
алгоритма Aj(t).
4. Задание текущих значений параметров информационной системы
5. Реализация управляющих воздействий по
настройке подсистемы информационной безопасности
Рис. 10. Обобщенная методика оценки информационных рисков
на основе гибридной модели
24
В диссертации разработан программный комплекс, обеспечивающий
динамическую реконфигурацию механизмов подсистемы информационной
безопасности в условиях риска деструктивных воздействий.
В третьей главе проведены экспериментальные исследования реализуемости разработанных моделей и методик, а также проведена оценка эффективности разработанного программного комплекса по сравнению с существующими.
Для оценки эффективности разработанной математической модели был
проведен вычислительный эксперимент, который проводился на информационных системах имеющих различную архитектуру и назначение. Эксперимент показал, что при решении задачи оптимизации настроек и состава подсистемы защиты под воздействием угроз управляющие воздействия, вырабатываемые с учетом разработанного подхода, позволили снизить риски преодоления ПИБ на 10-15% по сравнению с рисками при существующем подходе. В рамках вычислительного эксперимента рассматривались следующие,
классы угроз:
1 – ошибки политики безопасности;
2 – недокументированные возможности ПО;
3 – вредоносное ПО;
4 – сетевые атаки.
Полученные результаты представлены на рис. 11.
100
90
Уровень риска, %
80
70
60
50
Существующие подходы
40
Разработанный подход
30
20
10
0
1
2
3
4
Классы угроз
Рис. 11. Результаты вычислительного эксперимента по анализу разработанной модели
Результаты вычислительного эксперимента также показали, что использование предложенной методики позволило повысить точность оценки
25
информационных рисков на 14-17% по сравнению с существующими подходами за счет контроля изменений в текущем состоянии информационной системы и выработки управляющих воздействий для минимизации отклонения
от области безопасных значений.
На рис. 12 представлены результаты оценки вычислительных затрат
вычислительного ресурса на оценку рисков и выработку управляющих воздействий в зависимости от интенсивности атак. Расчеты показали, что применение разработанной модели позволяет вырабатывать рациональные
управляющие воздействия по настройке ПИБ, при этом вычислительные затраты (процессорное время) будут минимальными и на 10-15% меньше, чем
при использовании других моделей.
Рис. 12. Сравнительная диаграмма затрат вычислительных ресурсов на выработку мер противодействия воздействующим угрозам
Были также проведены тестовые испытания программного комплекса
на стадиях проектирования и эксплуатации.
На этапах разработки модели производилось тестирование алгоритмов
ее работы, как для отдельных блоков вывода по прецедентам и нейронечеткого вывода, так и в рамках всей модели в целом. Был произведен отбор
пула эвристик для обучения и дальнейшего тестирования разработанной модели. Для этого были использован нейросетевой классификатор компьютерных атак и угроз на основе рециркуляционных нейронных сетей, а также эвристики, отражающие требуемое деление угроз на классы и прецеденты
классов для тестирования и отработки алгоритмов оценки рисков с использованием блока вывода по прецедентам.
Кроме того, использованы эвристики, подразделяющие угрозы на классы и используемые для формирования базы правил и дальнейшего обучения
26
нейронной сети. В рамках тестирования на вход разработанной модели подавались тестовые запросы для определения риска воздействия угрозы на информационную систему и дальнейшего поиска мер противодействия.
Проведенные расчеты показали, что количество воздействующих угроз
на информационную систему, выявленных разработанным программным
средством, превышает количество угроз, выявленных существующими программными средствами, на 15-20% для все трех проведенных опытов.
Таким образом, оценка эффективности результатов исследования показала, что применение разработанного подхода позволяет повысить защищенность информационных систем за счет увеличения количества идентифицированных угроз и уменьшения временных затрат на реализацию контрмер.
В заключении сделаны общие выводы и приведены основные результаты диссертационной работы.
ОСНОВНЫЕ ВЫВОДЫ И РЕЗУЛЬТАТЫ ДИССЕРТАЦИОННОГО
ИССЛЕДОВАНИЯ
1. Проведён анализ существующих угроз информационной безопасности, а также существующих методик оценки информационного взаимодействия конкурирующих организационно-технических систем. Рассмотрена и
проанализирована концепция построения подсистем защиты с учетом задачи
управления информационными рисками. Обоснован вывод о том, что выбор
комплекса средств защиты на различных этапах функционирования информационной системы без учета изменения уровня рисков деструктивных воздействий приводит к снижению эффективного функционирования подсистемы защиты. Показано, что отмеченные недостатки существенно снижают
эффективность функционирования подсистемы защиты в условиях деструктивных воздействий.
2. Разработана концептуальная схема решения задачи оценки эффективности организации функционирования информационных систем на основе комплексного использования технологий экспертных систем, нейронных
сетей, нечеткой логики, рассуждений по методу прецедентов и вычисления
информационного риска.
3. Разработан метод адаптивной настройки механизмов подсистемы
информационной безопасности на основе рассуждений по прецедентам и
нейро-нечеткого вывода, а также оценки информационных рисков на основе
рассуждений по прецедентам с использованием модифицированного метода
k – ближайших соседей. Модифицированный метод позволил обеспечить реализацию эффективного поиска с различной размерностью исходных данных.
4. Разработан метод и алгоритмы классификации компьютерных атак,
угроз и инцидентов, оценки информационных рисков и выработки управляющих воздействий для формирования рационального набора средств и механизмов защиты. Разработана структура базы данных прецедентов, алгоритм
поиска прецедентов. Использование разработанной гибридной модели позво-
27
лило существенно повысить эффективность принятия решений по настройке
подсистемы информационной безопасности.
5. Разработан гибридный алгоритм оценки уровня риска преодоления
подсистемы информационной безопасности нарушителем на основе абдуктивного и нейро-нечеткого вывода.
6. Разработана методика оценки информационных рисков на основе
гибридной модели.
7. Разработан программный комплекс, обеспечивающий формирование рационального состава средств подсистемы информационной безопасности и их настроек в условиях риска деструктивных воздействий.
8. Проведены экспериментальные исследования реализуемости разработанных моделей и методик. Проведена оценка эффективности разработанного программного комплекса по сравнению с существующими.
9. Результаты вычислительного эксперимента показали, что количество воздействующих угроз на информационную систему, выявленных разработанным программным средством превышает количество угроз, выявленных существующими программными средствами на 15-20%, при этом среднее время на обработку запроса уменьшилось на 12-15%.
ОСНОВНЫЕ ПУБЛИКАЦИИ ПО ТЕМЕ ДИССЕРТАЦИИ
(объем (п.л.), всего/доля соискателя)
Публикации в изданиях, рекомендованных ВАК
1. Усцелемов В.Н., Микрюков А.А. Модель оценки степени риска информационных угроз в инфокоммуникационных системах на основе нейронечеткого вывода / В.Н. Усцелемов, А.А. Микрюков // Научное обозрение. –
2013. – № 12. – С. 219-222 (0,8 п.л. / 0,4 п.л.).
2. Усцелемов В.Н., Микрюков А.А. Построение подсистемы информационной безопасности на основе прецедентного подхода / В.Н. Усцелемов,
А.А. Микрюков // Научное обозрение. – 2013. – № 12. – С. 227-230 (0,8 п.л. /
0,4 п.л.).
3. Усцелемов В.Н., Микрюков А.А. Гибридная модель оценки рисков в
информационных системах / В.Н. Усцелемов, А.А. Микрюков // Прикладная
информатика. – 2014. – № 1(49). – С. 50-55 (0,7 п.л. / 0,4 п.л.).
4. Усцелемов В.Н. Совершенствование подсистемы информационной
безопасности на основе интеллектуальных технологий / В.Н. Усцелемов //
Прикладная информатика. – 2016. – № 3(63). – С. 31-38 (1,0 п.л. / 1,0 п.л.).
Статьи в иных изданиях
1. Усцелемов В.Н. Модель оценки рисков подсистемы информационной безопасности на основе прецедентов / В.Н. Усцелемов // Материалы IIIей научно-практической конференции «Инновационное развитие российской
28
экономики». – М.: Московский государственный университет экономики,
статистики и информатики, 2012. – С. 507-510 (0,7 п.л. / 0,7 п.л.).
2. Усцелемов В.Н. Оценка рисков преодоления подсистемы информационной безопасности на основе нейро-нечеткого вывода / В.Н. Усцелемов //
Материалы IV-ой научно-практической конференции молодых ученых «Инновационное развитие российской экономики». – М.: Московский государственный университет экономики, статистики и информатики, 2013. – С. 487491 (0,8 п.л. / 0,8 п.л.).
3. Ustselemov V.N. Approach to risk assessment of information security
subsystem based on precedents // V.N. Ustselemov. – International ScientificPractical Conference «Innovative Information Technologies». – Prague, 2013. –
P. 400-404 (0,6 п.л. / 0,6 п.л.).
4. Ustselemov V.N. Current issues in improving information security subsystem // V.N. Ustselemov. – International Scientific-Practical Conference «Innovative Information Technologies». – Prague, 2014. – С. 585-589 (0,6 п.л. /
0,6 п.л.).
5. Усцелемов В.Н. Методика оценки информационных рисков в объекте информатизации на основе нейросетевого и прецедентного подхода /
В.Н. Усцелемов // Материалы V-ой научно-практической конференции «Интеллектуальные системы в информационном противоборстве в бизнесе»:
Сборник научных трудов. – М.: Издательство МЭСИ, 2014. – С. 215-218
(0,5 п.л. / 0,5 п.л.).
6. Усцелемов В.Н. Методика оценки информационных рисков с использованием рассуждений на основе прецедентов / В.Н. Усцелемов // Сборник трудов VIII-ой Международной научно-практической конференции
«Информационные и коммуникационные технологии в образовании, науке и
производстве». – Протвино: Управление образования и науки Администрации г. Протвино, 2014. – С. 677-682 (0,8 п.л. / 0,8 п.л.).
7. Усцелемов В.Н. Организация информационной безопасности в автоматизированных системах управления / В.Н. Усцелемов, А.С. Бурый [Электронный ресурс] // Информационно-экономические аспекты стандартизации
и технического регулирования: Интернет-журнал, 2016. № 5(33). – Режим доступа: http://iea.gostinfo.ru/files/2016_05/2016_05_06.pdf. – (1,2 п.л. / 0,7 п.л.).
Свидетельства
1. Свидетельство о государственной регистрации программы для ЭВМ
№ 2014616772 от 3 июля 2014 г. «Программный комплекс оценки информационных рисков с использованием нейро-нечеткого вывода и рассуждений на
основе прецедентов».
1/--страниц
Пожаловаться на содержимое документа