Понятиеугрозыбезопасностиинформации.

Ретроспективныйанализподходовкформированиюмножестваугроз

Подугрозойбезопасностиинформациибудемпониматьвозник­новениетакогоявленияилисобытия,следствиемкоторогомогутбытьнегативныевоздействиянаинформацию:нарушениефизи­ческойцелостности,логическойструктуры,несанкционированнаямодификация,несанкционированноеполучение,несанкциониро­ванноеразмножение.

Кнастоящемувремениспециалистамификсируетсяоченьбольшоеколичестворазноплановыхугрозразличногопроисхожде­ния.Напротяжениивсегопериодасуществованияпроблемыза­щитыинформациипредпринималисьпопыткиклассифицироватьисточникиугрозбезопасностиинформацииисамиугрозысцельюдальнейшейстандартизациисредствиметодов,применяемыхдлязащиты.Различнымиавторамипредлагаетсяцелыйрядподходовктакойклассификации[3,7,13,14,21,42,43,44].При этомвкаче­ствекритериевделениямножестваугрознаклассыиспользуютсявидыпорождаемыхопасностей,степеньзлогоумысла,источникипроявленияугрози т.д.Рассмотримэтиподходыболееподробно.

ВдостаточноизвестноймонографииЛ.Дж.Хофмана«Совре­менныеметодызащитыинформации»[7]быливыделены5группразличныхугроз:хищениеносителей,запоминаниеиликопирова­ниеинформации,несанкционированноеподключениекаппарату­ре,несанкционированныйдоступкресурсамсистемы,перехватпобочныхизлученийинаводок.

Вкниге«ЗащитаинформациивперсональныхЭВМ»[13]пред­принятапопыткаклассификацииугроз,причемвкачествекритерияклассификациивыбрантипсредства,спомощьюкоторогоможетбытьосуществленонесанкционированноеполучениеинформации.Авторамибыловыделенотритипасредств:человек,аппаратураипрограмма.Кгруппеугроз,вреализациикоторыхосновнуюроль

 

играетчеловек,отнесеныхищениеносителей,чтениеинформациисэкранадисплея,чтениеинформациисраспечаток;кгруппе,гдеосновнымсредствомвыступаетаппаратура,-подключениекуст­ройствамиперехватизлучений;кгруппе,гдеосновнымсредствомявляетсяпрограмма,-несанкционированныйпрограммныйдоступ,программноедешифрованиезашифрованныхданных,программ­ноекопированиеинформациис носителей.

Аналогичныйподходпредлагаетсяигруппойавторовучебныхпособийпозащитеинформацииотнесанкционированногодоступа[21,42].Имивыделенытрикласса:природные(стихийныебедст­вия,магнитныебури,радиоактивноеизлучение);технические(от­ключениеиликолебанияэлектропитания,отказыисбоиаппарат­но-программныхсредств,электромагнитныеизлученияинаводки,утечкичерезканалысвязи);созданныелюдьми(непреднамерен­ныеипреднамеренныедействияразличныхкатегорийлиц).

ВруководящемдокументеГостехкомиссииРоссии[43]введенопонятиемоделинарушителявавтоматизированнойсистемеобра­боткиданных,причемвкачественарушителяздесьрассматрива­етсясубъект,имеющийдоступкработесоштатнымисредствамисистемы.Нарушителиклассифицируютсяпоуровнювозможно­стей,предоставляемыхимштатнымисредствами.Вдокументевыделяютсячетыре уровняэтихвозможностей:

1) самыйнизкий-возможностизапусказадач(программ)изфиксированногонабора,реализующихзаранеепредусмотренныефункцииобработкиинформации;

2) первыйпромежуточный-дополнительнокпредыдущемупредусматриваетвозможностисозданияизапускасобственныхпрограммсновымифункциямиобработки информации;

3) второйпромежуточный-дополнительнокпредыдущемупредпо­лагаетвозможностиуправленияфункционированиемсистемы,т.е.воз­действиянабазовоепрограммноеобеспечениеинасоставиконфигу­рациюееоборудования;

4) самыйвысокий-определяетсявсемобъемомвозможностейлиц,осуществляющихпроектирование,реализациюиремонттех­ническихсредствсистемы,вплотьдовключениявсоставсистемысобственныхтехническихсредствсновымифункциямиобработкиинформации.

Предполагается,чтонарушительнасвоемуровнеявляетсяспециалистомвысшейквалификации,знаетвсеосистеме,втомчисле иосредствахзащиты.

Ещеодинвидисточниковугрозбезопасностиинформации,свя­занныйсеехищением,достаточноподробноклассифицированвмонографииС.П.Расторгуева«Программныеметодызащитыин­формациивкомпьютерахисетях»[14].Авторвыделяетчетыреспособахищенияинформации:

1) поканалампобочныхэлектромагнитныхизлучений;

2) посредствомнегласногокопирования,причемвыделенодверазновидностикопирования:«ручное»(печатьсэкрананапринтериливыводизпамятинапринтерилиэкран)и«вирусное»(напри­мер,выводизпамятинапринтер,наэкранилипередачаинфор­мациис помощьювстроеннойвкомпьютеррадиозакладки);

3) хищениеносителейинформации;

4) хищениеперсонального компьютера.

ВмонографииВ.А.Герасименко[3]введеныпонятиядестаби­лизирующихфакторов,источниковихпроявленияипричиннару­шениязащищенностиинформации.Предложеныподходыкфор­мированиюотносительнополныхмножествуказанныхпричиниприведенаструктураэтихмножествприменительнокнарушениюфизическойцелостностиинформацииинесанкционированномуееполучению.

Достаточнодетальныйанализугрознесанкционированногопо­лученияинформациипроведентакжевучебномпособииВ.Ю.Гай­ковичаи Д.В.Ершова[44],причемконцептуальныеподходыанали­за перекликаютсясподходами,изложенными в[3].

Своеобразныйвидугрозпредставляютспециальныепрограм­мы,скрытноипреднамеренновнедряемыевразличныефункцио­нальныепрограммныесистемы,которыепослеодногоилине­сколькихзапусковразрушаютхранящуюсявнихинформациюи/илисовершаютдругиенедозволенныедействия.Кнастоящемувремениизвестнонесколькоразновидностейтакихпрограмм:электронные вирусы,компьютерныечерви,троянские кониидр.

Вредоносныепрограммыпредставляютдостаточнобольшуюопас­ностьдлясовременныхавтоматизированныхсистем.ДетальныйанализэтихугрозиметодовборьбыснимиприведенвучебномпособииБ.И.Скородумова[45]идр.

Нетрудновидеть,чтовпроцессеформированиямножестваугроздостаточночеткопроявиласьтенденцияпереходаотэмпирическихподходовксистемно-концептуальным,научнообоснованнымподхо­дам.Вэтойсвязиинтереснойпредставляетсяклассификацияугрозбезопасностиинформациипоспособамихвозможногонегативного

воздействия.Такаяклассификацияпредусматриваетподразделениеугрознаинформационные,программно-математические,физиче­скиеиорганизационные.

Информационныеугрозыреализуются ввиде:

нарушенияадресностиисвоевременностиинформационногообмена,противозаконногосбораииспользованияинформации;

осуществлениянесанкционированногодоступакинформацион­нымресурсамиих противоправногоиспользования;

хищенияинформационныхресурсовизбанковибазданных;нарушениятехнологииобработкиинформации.

Программно-математическиеугрозы реализуютсяввиде:внедренияваппаратныеипрограммныеизделиякомпонентов,

реализующихфункции,неописанныевдокументациинаэтииз­делия;

разработкиираспространенияпрограмм,нарушающихнор­мальноефункционированиеинформационныхсистемилисистемзащитыинформации.

Физическиеугрозыреализуютсяввиде:

уничтожения,повреждения,радиоэлектронногоподавленияилиразрушениясредствисистемобработкиинформации,телекомму­никацииисвязи;

уничтожения,повреждения,разрушенияилихищениямашин­ныхидругихносителейинформации;

хищенияпрограммныхилиаппаратныхключейисредствкрип­тографическойзащитыинформации;

перехватаинформациивтехническихканалахсвязиителеком­муникационныхсистемах;

внедренияэлектронныхустройствперехватаинформациивтехническиесредствасвязиителекоммуникационныесистемы,атакжевслужебныепомещения;

перехвата,дешифрованияинавязыванияложнойинформациивсетяхпередачи данныхи линияхсвязи;

воздействиянапарольно-ключевыесистемызащитысредствобработкиипередачиинформации.

Организационныеугроз»реализуютсяввиде:

невыполнениятребованийзаконодательствавинформацион­нойсфере;

противоправнойзакупкинесовершенныхилиустаревшихин­формационныхтехнологий,средствинформатизации,телекомму­никацииисвязи,

3.2.Системнаяклассификацияугрозбезопасностиинформации

Изпредыдущегоизложенияследует,чтонасегодняшнийденьпредложенцелыйрядподходовкклассификацииугрозбезопасно­стиинформации.Приэтомвкачествекритериевделениямноже­стваугрознаклассыавторыэтихподходовиспользуютвидыпо­рождаемыхопасностей,степеньзлогоумысла,источникипроявле­нияугрозит.д.Всемногообразиепредлагаемыхклассификацийспомощьюподходов,предложенныхВАГерасименко[3],наосновеметодовсистемногоанализаможетбытьсведенокнекоторойсис­темнойклассификации,приведеннойвтабл.3.1.

Дадимкраткийкомментарийкиспользованнымвэтойтаблицепараметрамклассификации, ихзначениямисодержанию.

Видыугроз.Данныйпараметрявляетсяосновополагающим,определяющимцелевуюнаправленность защитыинформации.

Таблица3.1

Системнаяклассификацияугрозинформации

 

Параметрыклассификации	Значенияпараметров	Содержаниезначения
1. Видыугроз	1.1. Нарушениефи­зическойцелостности 1.2. Нарушениелоги­ческойструктуры 1.3. Нарушениесо­держания 1.4. Нарушениеконфиденциальности 1.5. Нарушение пра­васобственности	Уничтожение(искажение) Искаженияструктуры     Несанкционированнаямо­дификация Несанкционированноепо­лучение Присвоениечужогоправа
2.Природапроисхождения	2.1. Случайные     2.2. Преднамеренная	ОтказыСбоиОшибки СтихийныебедствияПобочныевлияния Злоумышленныедействиялюдей

 

Параметрыклассификации	Значенияпараметров	Содержаниезначения
3.Предпосылкипоявленияугроз	3.1. Объективные   3.2. Субъективные	Количественнаянедоста­точность элементовсис­темы Качественнаянедостаточ­ностьэлементовсистемыРазведорганыиностран­ ныхгосударствПромышленныйшпионажУголовныеэлементы Недобросовестныесотруд­ники
4.Источникиугроз	4.1. Люди   4.2. Техническиеустройства     4.3. Модели,алго­ритмы,программы     Технологическиесхемыобработки   4.5.Внешняясреда	ПосторонниелицаПользователиПерсоналРегистрацииПередачиХраненияПереработкиВыдачи ОбщегоназначенияПрикладныеВспомогательныеРучныеИнтерактивныеВнутримашинныеСетевые СостояниеатмосферыПобочныешумыПобочныесигналы

 

Содержаниезначенийэтогопараметраопределяетсяуровнем,накоторомпроисходитнегативноевоздействиенаинформацию.Ономожетиметьместонасинтаксическом,семантическомилипрагматическом уровне.

2.Происхождениеугроз.Втабл.3.1выделенодвазначенияданногопараметра:случайноеипреднамеренное.Приэтомподслучайнымпонимаетсятакоепроисхождениеугроз,котороеобу-

словливаетсяспонтаннымии независящимиотволилюдейоб­стоятельствами.Наиболееизвестнымисобытиямиданногопланаявляютсяотказы,сбои,ошибки,стихийныебедствияипобочныевлияния.Сущностьперечисленныхсобытий(кроместихийныхбед­ствий,сущностькоторых ясна)определяетсяследующимобразом:

а)отказ-нарушениеработоспособностикакого-либоэлементасистемы,приводящеекневозможностивыполненияимсвоихос­новныхфункций;

б)сбой-временноенарушениеработоспособностикакого-либоэлементасистемы,следствиемчегоможетбытьнеправильноевы­полнениеимвэтотмоментсвоей функции;

в)ошибка-неправильное(разовоеилисистематическое)вы­полнениеэлементомоднойилинесколькихфункций,происходя­щеевследствиеспецифического(постоянногоиливременного)егосостояния;

г)побочноевлияние-негативноевоздействиенасистемувце­ломилиотдельныеееэлементы,оказываемоекакими-либоявле­ниями,происходящимивнутрисистемыиливовнешнейсреде.

Преднамеренноепроисхождениеугрозыобусловливаетсязло­умышленнымидействиямилюдей.

3.Предпосылкипоявленияугроз.Втабл.3.1выделеныдверазновидностипредпосылок:объективные(количественнаяиликачественнаянедостаточностьэлементовсистемы)и субъектив­ные(деятельностьразведоргановиностранныхгосударств,про­мышленныйшпионаж,деятельностьуголовныхэлементов,пред­намеренныеилинепреднамеренныедействиянедобросовестныхсотрудников).Перечисленныеразновидностипредпосылокинтер­претируютсяследующимобразом:

а)количественнаянедостаточность-физическаянехваткаод­ногоилинесколькихэлементовсистемы,вызывающаянарушениятехнологическогопроцессаобработкиинформацииили/иперегруз­куимеющихсяэлементов;

б)качественнаянедостаточность-несовершенствоорганизациисистемы, всилучегомогутпоявлятьсявозможностислучайногоилипреднамеренногонегативноговоздействиянаобрабатываемуюилихра­нимуюинформацию;

в)деятельностьразведоргановиностранныхгосударств-спе­циальноорганизуемаядеятельностьгосударственныхорганов,профессиональноориентированныхнадобываниенеобходимойинформациивсемидоступнымиспособамиисредствами.Коснов-

нымвидамразведкиотносятсяагентурная(несанкционированнаядеятельностьпрофессиональныхразведчиков,завербованныхагентовитакназываемыхдоброжелателей)итехническая,вклю­чающаярадиоразведку(перехватрадиосредствамиинформации,циркулирующейврадиоканалахсистемсвязи),радиотехническую(регистрациюспецсредствамисигналов,излучаемыхтехническимисистемами)икосмическую(использованиекосмическихкораблейиискусственныхспутниковдлянаблюдениязатерриторией,еефо­тографирования,регистрациирадиосигналовиполученияполез­нойинформациидругимидоступнымиспособами);

г)промышленныйшпионаж-негласнаядеятельностьорганиза­ции(еепредставителей)подобываниюинформации,специальноохраняемойотнесанкционированнойутечкиилихищения,атакжепосозданиюдлясебяблагоприятныхусловийвцеляхполучениямаксимальныхвыгод(недобросовестнаяконкуренция);

д)злоумышленныедействияуголовныхэлементов-хищениеинформациииликомпьютерныхпрограммвцеляхнаживыилиихразрушениевинтересахконкурентов;

е)действиянедобросовестныхсотрудников-хищение(копиро­вание)илиуничтожениеинформационныхмассивовили/ипро­граммпоэгоистическимиликорыстныммотивам,атакжеврезуль­тате несоблюденияустановленныхправилработы.

4.Источникиугроз.Подисточникомугрозпонимаетсянепо­средственныйисполнительугрозывпланенегативноговоздейст­вия наинформацию.

Нетрудновидеть,чтоисточникиугрозиформыихпроявленияпредопределяютвозможностиформированиямножествапричиннарушениязащищенностиинформациипокаждомуизаспектовзащиты,чтоколичественноможетбытьохарактеризованопоказа­телямиуязвимостиинформации.

3.3.Методыоценки уязвимостиинформации

Прирешениипрактическихзадачзащитыинформацииперво­степенноезначениеимеетколичественнаяоценкаееуязвимости.Посколькувоздействиенаинформациюразличныхфактороввзначительноймереявляетсяслучайным,товкачествеколичест­венноймерыееуязвимостинаиболеецелесообразнопринятьве­роятностьнарушениязащищенности(измененияважнейшихха­рактеристик),атакжепотенциальновозможныеразмерыущерба,наносимоготакимнарушением.

Приэтомосновнымипараметрами,влияющиминавероятностьна­рушениязащищенностиинформации,являются:количествоитипыструктурныхкомпонентовсистемыилиобъекта,количествоитипыслу­чайныхугроз,которыепотенциальномогутпроявитьсяврассматривае­мыйпериодвремени,количествоитипы преднамеренныхугроз,которыемогутиметьместовтот жепериод,числоикатегориилиц,которыепо­тенциальномогутбытьнарушителямиустановленныхправилобработкиинформации,и,наконец,видызащищаемойинформации.Характер та­коговлияниядостаточносложен,всвязисчемструктуризацияиоценкавероятностинарушениязащищенностипревращаютсявнеформальнуюзадачу,котораяможетрешатьсянаосновеметодологическогобазиса,изложенноговпредыдущейглаведанногоучебногопособия.

Различныеподходыкструктуризациипоказателейзащищенно­стиинформациичерезформированиеполногомножествавозмож­ныхКНПИподробноизложенывучебнике[31].Здесьжемыоста­новимсятольконаоценкеуязвимостиинформации,связаннойсдействиямизлоумышленников,таккаквэтойзадаченаиболеевы­пуклопроявляетсямногорубежныйхарактерреализацииполитикизащитыилишнийразконцентрируетсявниманиенакомплексномхарактерепроблемы.

Известно,чтонесанкционированноеполучениеинформациивозможнонетолькопутемнепосредственногодоступакбазамданных,ноимногимидругимипутями,нетребующимитакогодос­тупа.Приэтомосновнуюопасностьпредставляютпреднамерен­ныедействиязлоумышленников.Воздействиеслучайныхфакторовсамопосебеневедеткнесанкционированномуполучениюинфор­мации,онолишьспособствуетпоявлениюКНПИ,которымиможетвоспользоватьсязлоумышленник.

Территориальнопотенциальновозможныенесанкционирован­ныедействиямогутиметьместовразличных зонах:

внешнейнеконтролируемойзоне-территориивокругобъекта,накоторойнеприменяютсяникакиесредстваинеосуществляютсяникакиемероприятиядлязащитыинформации;

зонеконтролируемойтерритории-территориивокругпомеще­ний,гдерасположенысредстваобработкиинформации,котораянепрерывноконтролируетсяперсоналомилисоответствующимитехническимисредствами;

зонепомещений-внутреннегопространстватехпомещений,вкоторыхрасположенысредства обработкиинформации;

зонересурсов-частипомещений,откудавозможеннепосред­ственныйдоступ кресурсамсистемы;

зонебазданных-частиресурсовсистемы,изкоторыхвозмо­женнепосредственныйдоступкзащищаемымданным.

Приэтомдля несанкционированногополученияинформациинеобходимоодновременноенаступлениеследующихсобытий:

нарушитель долженполучитьдоступвсоответствующуюзону;вовремянахождениянарушителявзоневнейдолжен про­

явиться(иметьместо)соответствующийКНПИ;

проявившийсяКНПИдолженбытьдоступеннарушителюсоот­ветствующейкатегории;

вКНПИвмоментдоступакнемунарушителядолжнанаходить­сязащищаемаяинформация.

Попытаемсятеперьсучетомизложенноговывестиформулудляоценкиуязвимостиинформации.Дляэтоговведемследующиеобозначения:

-вероятностьдоступанарушителяk-йкатегориивI-юзону

I-гокомпонентасистемы;

- вероятностьналичия(проявления)j-гоКНПИвI-й зонеi-гокомпонентасистемы;

-вероятностьдоступанарушителяk-йкатегориикj-муКНПИвI-йзонеi-гокомпонентаприусловиидоступанарушителявзону;

-вероятностьналичиязащищаемой информации вj-мКНПИвI-йзоненокомпонентавмоментдоступатуданарушителя.

Тогдавероятностьнесанкционированногополученияинформа­циинарушителемk-йкатегориипоj-муКНПИвI-йзонеi-гострук­турногокомпонентасистемыопределитсяследующейзависимо­стью:

 

(3.1)

Вероятностьнесанкционированногополученияинформацииводномкомпонентесистемыоднимзлоумышленникомоднойкате­гориипоодномуКНПИ,назовембазовымпоказателемуязвимостиинформации(сточкизрениянесанкционированногополучения).Сучетом(3.1)выражениедлябазовогопоказателябудетиметьсле­дующий вид:

 

 

(3.2)

 

Рассчитанныетакимобразомбазовыепоказателиуязвимостисамипосебеимеютограниченноепрактическоезначение.Дляре­шениязадач,связанныхсразработкойиэксплуатациейсистемзащитыинформации,необходимызначенияпоказателейуязвимо­сти,обобщенныепокакому-либоодномуиндексу(i,j,k)илипоихкомбинации.Рассмотримвозможныеподходыкопределениюта­кихчастичнообобщенныхпоказателей.

Пусть{К*}естьинтересующеенасподмножествоизполногомножествапотенциальновозможныхнарушителей.Тогдавероят­ностьнарушениязащищенностиинформацииуказаннымподмно­жествомнарушителейпоj-муфакторувi-мкомпонентесистемы(Pij{K*})определитсявыражением:

(3.3)

гдеk*означаетперемножениевыраженийвскобкахдлявсехk,

входящихвподмножество{К*}.

Аналогично,если{J*}естьподмножествопредставляющихин­тересКНПИ,тоуязвимостьинформациивi-мкомпонентеподан­номуподмножествуфакторовотносительноk-гонарушителяопре­делитсявыражением:

(3.4)

Наконец,если{I*}естьподмножествоинтересующихнасструк­турныхкомпонентовсистемы,тоуязвимостьинформациивнихпоj-муКНПИотносительноk-гонарушителя

(3.5)

Каждоеизприведенныхвышевыраженийпозволяетпроизво­дитьобобщениепоодномукакому-либопараметру.Нетруднопо­лучитьиобщеевыражение,еслинасинтересуютподмножества

{I*},{J*}и{К*}одновременно.Вэтомслучае

(3.6)

Очевидно,общийпоказательуязвимостиРопределяетсяпритакомподходевыражением

 

(3.7)

 

 

Напрактикенаибольшийинтереспредставляютэкстремальныепоказателиуязвимости,характеризующиенаиболеенеблагополуч­ныеусловиязащищенностиинформации:самыйуязвимыйструк­турныйкомпонентсистемы ,самыйопасныйКНПИ ,самаяопаснаякатегориянарушителей .

Аналогичнымобразомможетбытьпроведенаоценкауязвимо­стиинформацииивдругихслучаях,вчастностивслучаенаруше­нияцелостности.

Рассмотримдалееметодырасчетапоказателейуязвимостиинформациисучетоминтервалавремени,накоторомоцениваетсяуязвимость.Приэтомследуетучитывать,чточембольшеинтер­валвремени,тембольшевозможностейунарушителейдлязло­умышленныхдействийитембольшевероятностьизменениясо­стояниясистемы иусловийобработкиинформации.

Можноопределитьтакиевременныеинтервалы(несводимыекточке),накоторыхпроцессы,связанныеснарушениемзащищен­ностиинформации,являлисьбыоднородными.Вучебнике[31]этиинтервалыназванымалыми.Такоймалыйинтервал,всвоюоче­редь,можетбытьразделеннаоченьмалыеинтервалы,уязви­мостьинформациинакаждомизкоторыхопределяетсянезависи­моотдругих.Приэтомвсилуоднородностипроисходящихпро­цессовуязвимостьинформациинакаждомизвыделенныхоченьмалыхинтерваловбудетопределятьсяпооднойитойжезависи­мости.

Тогда,есличерез обозначитьинтересующийнаспоказатель

уязвимостивточке(наоченьмаломинтервале),ачерез -тотжепоказательнамаломинтервале,то

 

(3.8)

гдеt-переменныйиндексоченьмалыхинтервалов,накоторыеподеленмалыйинтервал;n-общеечислооченьмалыхинтерва­лов.

Нетрудновидеть,чторассмотренныйподходможнораспро­странитьинадругиеинтервалы,аименно:большойинтервалпредставитьнекоторойпоследовательностьюмалых,оченьболь-

 

шой-последовательностьюбольших,бесконечнобольшой-по­следовательностьюоченьбольших.

Однакоприведенныевыражениябудутсправедливымилишьвтомслучае,еслинавсемрассматриваемоминтервалевремениусловиядлянарушениязащищенностиинформацииостаютсяне­изменными.Вдействительностиэтиусловиямогутизменяться,причемнаиболееважнымфакторомздесьявляетсяактивноедей­ствиесамойсистемызащитыинформации.

ЖелающихболееподробноознакомитьсясоценкойуязвимостиинформациинаразличныхвременныхинтервалахмыотсылаемккнигеВ.А.Герасименко[3],вкоторойприведенрядмоделейопре­делениязначенийпоказателейуязвимостидлянаиболеераспро­страненныхтехнологическихмаршрутовобработкиинформации.

Здесьжемыобратимвниманиенато,чтововсехрассмотрен­ныхнамивыражениях,структурирующихоценкууязвимостиин­формации,присутствуютпоказатели,представляющиесобойве­роятностиреализациитехилииныхсобытий.Значенияэтихпока­зателейприотсутствии достаточногостатистическогоматериаламогутбытьполученытолькоэкспертнымпутемсиспользованием,например,описаннойвышетехнологииавтоформализациизнаний.Приэтомисключительноезначениеприобретаетоценкадостовер­ностиданных,опираясьнакоторыеэксперт-аналитикпринимаеттоилииноерешение.Всвязисэтимпредставляетсяцелесообраз­нымвопросоценкидостоверностирассмотретьсамостоятельно,посвятивемуспециальныйпараграфданнойглавы.

 

3.4.Методыоценкидостоверностиинформационнойбазымоделейпрогнозирования значенийпоказателейуязвимости

Информации

 

Определяющейкомпонентойобщегоалгоритмаработыэкспер­таприрешениизадачиоценкиуязвимостиинформации(рис.3.1)являетсяформированиетакназываемойинтегрированнойбазыданных(ИБД),представляющейсобойвзаимосвязаннуюсовокуп­ностьсобственнобазыданных(БД),базызнаний(БЗ)ибазымо­делей (БМ).

Нетрудновидеть,чтоуказанныйалгоритмвотличиеотизвест­ногоалгоритмавычислительногоэкспериментасимитационноймодельюимеетпризнаки,характерныедлясамоорганизующихсясистем,ипозволяетэкспертуиспользовать данные,знания,объек­тивныеисубъективныемоделидляанализаирешенияпоставлен-

 

Постановказадачи.Формированиезапроса.

Оценкановыхфрагментовзнаний

 

 

Новая информация

 

 

 

Базаданных

Базамоделей

 

 

Базазнаний

 

 

Вычислительныйэксперимент           НФЗ

 

 

Ввести

 

 

НФЗ

полезен?

 

да

Интегрированнаябаза данных

да   НФЗ

вИБД

 

принятиерешений

Рис.3.1.Общийалгоритмработыэксперта

 

нойпроблемыв условияхнедоопределенностиБДинеполнотыБЗ.Приэтомизвсехаспектов,связанныхссозданиемИБД,решаю­щеезначениеприобретаетпроблемаоценкидостоверностивхо­дящейвнее информации.

Определимдостоверностькак«уровеньразумнойуверенностивистинностинекоеговысказывания,которыйудовлетворяетнеко­торымправиламнепротиворечивостиивсоответствиисэтимиправиламиформальноможетбыть выраженчислом»[46].

ИзвестныеподходыкрешениюпроблемыоценкидостоверностисвязанысприменениемтеоремыБайеса(вширокомсмысле)(см.[46])итеориинечеткихмножеств,наосновекоторыхвнастоящеевремяразработаныиприменяютсявэкспертныхсистемахпракти­ческиеспособыобъединениясвидетельств,регистрирующихкаче­ственныеилогико-семантическиесвязимеждуфрагментамибазыданных.

Используяидеюбайесовскогоподхода,можнопоставитьвопросодостоверностифрагментовИБДвболееобщемплане,рассмат­риваялюбойеефрагменткакгипотезу,афрагментыскоторымионсвязан,каксвидетельстваотносительнофрагмента-гипотезы.ПодфрагментомИБДбудемпониматьчастьсодержанияилиструкту­ры,обладающуюсвойствомдискретностиинезависимости(видеалесодержащуюоднонезависимоепонятие),т.е. некоторую

 

совокупностьданныхиливысказываний,имеющуюсамостоятель­ныйсмысл.

Достоверность(Д)фрагмента,поступающеговИБД,зависитотдостоверностиисточникаинформациии методикиееполучения.КаждыйвновьпоступающийвИБДфрагмент(НФЗ-новыйфраг­ментзнаний)естьпара:

НФЗ=<3, Д>,                                                                    (3.9)

где3-значениефрагмента;Д-достоверностьфрагмента.

Разделимфрагменты-свидетельстванаклассы:прямыесвиде­тельства(ПС);косвенныесвидетельства:условные(УС)исвязан­ные(СС).

Подпрямымисвидетельствамибудемпониматьфрагментыти­паизмерениязначенияфрагмента-гипотезы.Онисоставляютвы­борку,наоснованиикотороймогутбытьрассчитаныоценкизначе­нияфрагмента-гипотезы,ирегистрируют,восновном,статистиче­скиесвязимеждуфрагментами.

Подусловнымисвидетельствамибудемпониматьфрагментытипа:«еслиАи/илиВ,тоСсдостоверностьюР».Сихпомощьюможнорегистрироватькачественныеэкспертныеоценки,логиче­скиесвязимеждуфрагментамииаприорныезнанияофрагменте-гипотезе(условияприменениятогоилииногометода,условныефункциираспределенияит.п.).

Связанныесвидетельстварегистрируютфункциональныеилисистемныесвязимеждуфрагментом-гипотезойидругимифраг­ментами,т.е.структурунекоторойдостаточноавтономнойчастиИБД(формулы,модели ит.п.).

НФЗ,будучивключеннымвИБД,взаимодействуетсужесодер­жащимисявнейфрагментамиигипотезами,изменяякакихзначе­ния,такидостоверности.Этареакциядостаточносложнаивызы­ваетмодификациюзначенийидостоверностейвсехстарыхфраг­ментовИБД,такилииначесвязанныхсвновьпоступившимиНФЗ.Дляописанияпроцессамодификациивведемпонятиясистемногозначения(СЗ)исистемнойдостоверности(СД)фрагментаИБД,определяемых сучетомвсехсвидетельств,содержащихсявИБД.

Такимобразом,сучетомвведеннойклассификациипроблемаоценкидостоверностисводитсякразработкеметодовопределениявкачествеатрибутовфрагмента-гипотезыИБДсистемныхдосто­верностейфрагментов,являющихсядляданногофрагмента-

гипотезысвидетельствами,атакжесистемнойдостоверностидан­ногофрагмента-гипотезы.

РассмотримвозможностьразработкиформальногоалгоритмамодификациифрагментаИБД,атакжеметодовобработкисвиде­тельств.

Длямодификациизначенияи достоверности фрагментаИБДприизменениисоставасвидетельствможноиспользоватьалго­ритм,блок-схемакоторогоизображенанарис.3.2.Предполагает­ся,чтофрагментыпредставлены вИБДввидетакназываемыхфреймов(элементовзнаний),которыевключаютвсвойсостав:

3-значениефрагментаприпоступлениивИБД;

Д-достоверностьфрагментаприпоступлениивИБД;

КПС -кортежпрямыхсвидетельствдляданногофрагмента;КУС-кортежусловныхсвидетельств;

КСС-кортежсвязанныхсвидетельств;

ПЗ,ПД-значениеидостоверностьфрагментасучетомвсехпрямыхсвидетельств;

УЗ,УД-значениеидостоверностьфрагментасучетомвсехусловныхсвидетельств;

СЗ,СД-системныезначениеи достоверностьфрагмента.Алгоритмработаетследующимобразом.

ВблокеП1(рис.3.2)формируютсяпараметрывыборкипрямыхсвидетельствинаихоснове-точечныеилиинтервальныеоценки(ПЗk,ПДk)параметровраспределениязначенияk-гофрагмента.

 

 

Правилаобработкипрямыхсвидетельств

Правилаобработкиусловныхсвидетельств

Правилаобработкисвязанныхсвидетельств

 

Рис.3.2.Блок-схема алгоритмавычислениясистемногозначенияисис­темнойдостоверностифрагментаИБД

Этиоценкиприсваиваютсясоответствующимэлементамданно­гофрагмента,атакжеподаютсянавходблокаП2.

ВблокеП2вычисляютсяусловноезначениеиусловнаядосто­верность(УЗk,Удk)k-гофрагментасучетомсостоянияусловийиограниченийблокаП2вданныймомент.ПолученныеУЗkиУДkпри­сваиваютсясоответствующимэлементамфрагментаиодновре­менноподаютсянавходблокаП3.ДообработкивыборкиможнопропуститьчерезблокП2каждоеПС.

ВблокеП3,УЗkиУДkрассматриваютсякакзначениеидостовер­ностьпоступившегоновогосвидетельстваидлякаждогосвязанно­госвидетельства(модели,содержащейэтотфрагмент)уточняетсявекторсостояния,арезультатсноваподаетсянавходП2.Процессзаканчиваетсяпридостижениизаданногочислаитерацийилиза­даннойточностиоценки.Новыесистемныеоценкиполучатзначе­ниявсехфрагментов,являющихсясоставляющимивекторовсо­стояниймоделейблокаП3.ЗначенияС3kиСдkприсваиваютсясо­ответствующимэлементамданногофрагмента.

Очевиднаяпроблема,возникающаяприреализацииописанногоподхода,эторазрастаниечислафрагментов,вовлекаемыхвалго­ритм,дочисласодержащихсявИБД,включаявсемодели.Чтобыееразрешить,необходимоограничитьчислосвязеймеждуфраг­ментами,регистрируятолькосамыесущественные.Вопросэтотрешаетсамэксперт.Какследствиепоявляютсявариантысистем­нойдостоверности:

СДД-поКнаиболеедостовернымсвидетельствам;СДЦ-поКнаиболееценнымсвидетельствам;

СДП-поКпоследнимсвидетельствам.

Инымисловами,длякаждойконкретнойзадачинеобходимоак­туализироватьсвоюопределеннуючастьИБД,т.е.уметьвыделитьнаиболеесущественныесвязиифрагменты(доминант-фрагменты),образующиеполевычислительногоэксперимента.Этопозволитнетолькоограничитьмножествофрагментовисвя­зей,ноиповыситнепротиворечивостьфрагментов,выделенныхизИБДдлярешенияконкретнойзадачи.

Рассмотримболееподробнометодыобработкисвидетельств,ко­торыемогутбытьпримененывописанном алгоритмемодификации.

Прямыеиусловныесвидетельствамогутбытьпредварительноструктурированыв кубес осями"фрагмент-источник-время"(рис.3.3).Этоткубможнорассматриватькакмногоэтапнуюэкспер­тизуиприменитькнемуметодыобработкиэкспертныхоценок,рассматриваяисточникиинформациикакотдельныхэкспертов.

 

 

Рис.3.3.Представлениесвидетельствв видекуба:(фрагмент,время,источник,*-значениефрагмента)

Различныесечениякубапозволяютанализироватьразныесвойствасгруппированнойтакимобразом информации:

зависимостифрагментовФ1,...,ФkотисточниковинформацииИ1,...,Иnнанекоторыймоментвремени(статика);

зависимостифрагментовФ1,...,Фkотвременипосведениямизодного источника(динамика);

зависимостиодногофрагментаФiотвременипосведениямизразныхисточников(динамика).

Любыедостоверныеданные,поступившиевИБДиотносящие­сякопределенномумоментувремени,рассматриваютсянаэтотмоменткакэталонные,всоответствиисчемнаэтотжемоментвременипересчитываютсяидостоверностиисточниковинформа­ции.Этиметодытрадиционныдляэкспертныхсистем.

Вычисливпараметрывыборки,мы можем:

• назначить фрагменту-гипотезе значениеидостоверность;

• модифицироватьвсемфрагментам-ПСдостоверности,оста­вивихзначенияпрежними;

• модифицироватьдостоверностиисточниковинформации.

КромеметодаэкспертныхоценокдляобработкиПСиУСмогутбытьпримененыдругиедостаточнотрадиционныеметодытеориивероятностейиматематическойстатистики,авыборихзависитотналичияаприорнойинформацииобисследуемомобъекте.

Привыбореметодовобработкисвязанныхсвидетельств,необ­ходимоисходитьизтого,чтотакимисвидетельствамиявляютсязаконыконкретнойпредметнойобластиипостроенныенаихосно­вемоделиисследуемыхсистемивнешнихсред.

Строямодель,фиксируявнейструктуруи параметрыиссле­дуемогообъекта,анализируярезультатвычислительногоэкспери­ментаимодифицируявсоответствиисним,атакжевсоответст­вииспоступающимисвидетельствамифрагментыИБД,экспертформализуетсвоиинтуитивныепредставленияиличныйпрофес­сиональныйопыт.

Этотпроцесспостроениямоделейсамимэкспертомиихпосто­янноймодификацииприпоявленииновойинформациииявляетсяописаннымвышепроцессомавтоформализациизнанийэксперта.Приэтом,начальныевариантымоделей,какправило,достаточнопросты,частолинейныилилинеаризованы.Основнаязадачанапервыхитерациях-обеспечитьпринципиальнуюправильностьиустойчивостьмодели.Однако,дляеедальнейшегоулучшенияочевиднонеобходиманализвсейвновьпоступающейинформацииовекторееесостояния,наоснованиикоторогоможнобылобымо­дифицироватьзначенияидостоверностифрагментовмодели,уст­ранитьв нейструктурные ипараметрические неопределенности.

Понятныйидостаточноуниверсальныйалгоритммодификациизначенияидостоверностивекторасостояниямоделейтакоготипа(т.е.целойсвязкифрагментов)попоступившейинформациионе­которыхфрагментахвекторасостояниядаетприменениефор­мальногоаппарататеориидинамическихсистем,устойчивыхкот­казам[47],восновекотороголежитБайесовподход.Этотаппаратхорошоразвитприменительноквероятностнымсистемам,пара­метрыиструктуракоторыхмогутскачкообразноменятьсявслу­чайныемоментывремени.УчитываянеполнотуБЗинеопределен­ностьБД,можносделатьвывод,чтобольшинствомоделейвзада­чахоценкиипрогнозированияуровняуязвимостиинформациибу­детпринадлежатьименнокэтомуклассу.

Рассмотримещеодинвозможныйподходкопределению досто­верностифрагментовинтегрированнойбазыданных,основанныйнапримененииметодовфильтрации.

Общаяпостановказадачинелинейнойоптимальнойфильтра­цииимеетследующийвид:

х(k+1)= F[x(k),w(k),                         d(k)],                     (3.10)

у(k)=H[х(k),v(k),d(k)],                                                        (3.11)

гдеуравнениесостояния(3.10)описываетструктуруидинамикуисследуемойсистемы,ауравнениенаблюдения(3.11)определяетмеханизмобразованияданных,доступныхдляэксперта-аналитика.Здесь:х(k)-векторсостоянияисследуемойсистемы;w(k)-слу­чайныйвекторшумовисследуемойсистемы,связанныхспогреш­ностямиметодовмоделирования;у(k)-векторнаблюдения;v(k)-случайныйвекторшумовнаблюдения,связанныхспогрешностямиканалаполученияинформации(wиvнекоррелированы);d(k)-векторвариативности,характеризующийтекущеесостояние иструктурусистемыиканалаполученияинформации(приэтом,от­казвсистемерассматриваетсякакизменениееепараметровилиструктуры).

Задачафильтрациизаключаетсявполучениипопоследова­тельностинаблюденийу(k)={у(1),у(2),...,у(k)}оценкивекторасо­стояниях(k),оптимальнойпокритериюминимумасреднегоквад-ратическогоотклонения,иеекорреляционнойматрицы.

Допустим,экспертрасполагаетпоследовательностьюу(k)на­блюденийзаисследуемымобъектом.Наосновеэтихнаблюденийипредшествующегоопыта(априорнаяинформация)экспертвы­двигаетгипотезыFиНоструктуреипараметрахнаблюдаемогообъектаи источникаинформации.Задавшисьначальнымиусло­виями,онможет теперьпроверитьсправедливостьсвоейгипотезы,последовательноприменяяалгоритмфильтрациидляуточненияпараметровFиНспомощьюкаждогоизимеющихсянаблюдений(рис.3.4).

ЭтоталгоритмпозволяетэкспертукаждыйразприпоступлениивИБДновыхданныху(k)обисследуемомобъектерекуррентномодифицироватьоценкузначенияеговекторасостояниях(k)икорреляционнуюматрицуошибокР(k),характеризующуюдосто­верностьэтойоценки,сучетомвсехпоступившихнаданныймо­ментнаблюденийу(k),атакжединамикииструктурыизучаемогообъектаи каналовполученияинформации.

 

ПравиламодификациифрагментовИБД

 

 

Рис.3.4.Модельинформационнойсредыэксперта

РНС-реальнаянаблюдаемаясистема;РКН-реальныйканалнаблюдения;ВС-векторсостояния;ИБД-интегрированнаябазаданных

 

Критериемдостоверностигипотезы(F,Н)здесьмогутбытьрас­хождениеzреальногонаблюденияу(k)ипрогнозадлянаблюдениянаk-омшаге :

(3.12)

а такжединамикаизменениякорреляционнойматрицыР(k)дляоценкивекторасостояния х(k).

Еслионидостаточномалы,этоговорит отом,чтоэкспертверноидентифицировалпопоступившейинформацииструктуруипара­метрыобъектаиисточникаинформации.Еслинет-необходимоизменитьгипотезудляFилиН.

Сэтойцельюрассмотриммножествовозможныхструктурис­следуемогообъекта{F}иисточникаинформации{Н}.Пустьтакихструктурn.Тогдадопустимоезначениеdi(i=1,...,n)вектораdпредставляетоднуизвозможныхструктурисследуемогообъектаиисточникаинформацииобобъекте.

Вобщемслучаеdможетизменятьсянакаждомшагеинаk-томшагеобразуетпроизвольнуюпоследовательностьDI(k)изкдопус­тимыхзначенийвектораd.ЧислоIтакихпоследовательностей,об­разующихмножествоD=(DI(k)},определяетсявыражением:

I=                                      nk.                                     (3.13)

Легковидеть,что прип>1и .ДлякаждойпоследовательностиDI(k),в предположении,чтоонаосуществиласьнасамомделе,наоснованииимеющихсяна­блюденийможетбытьвычисленозначениевекторасостоянияи

егодостоверность.

Изтеорииоцениванияизвестно,чтокритерийминимумасред­негоквадратическогоотклоненияприводиткоценкамусловногосреднего:

 

(3.14)

аихкачествоопределяетсяусловнойкорреляционнойматрицейошибокоценивания:

(3.15)

Опускаявывод,запишем(3.14)и(3.15)вразвернутомвиде:

(3.16)

где -частнаяоценкавекторасостояниях(k),т.е.оптимальнаяоценка,полученнаядляконкретнойреализа­цииDI(k)последовательностиd(k)иудовлетворяющаякритериюминимумасреднегоквадратическогоотклонения; р[DI(k):Y(k)]-апостериорнаявероятностьэтойреализации;

(3.17)

где

 

(3.18)

I-номеравсехвозможныхDI(k);

 

;                                           (3.19)

 

ВэтихвыраженияхРI{k)иDPI(k)естьсоответствующиекорре­ляционныематрицыошибокчастныхоценоквекторасостояния.

Такимобразом,вобщемвидеалгоритмоптимальнойфильтра­циипредставляетследующуюпоследовательностьвычислений:

• дляпринятойреализациинаблюденияY(k)рассчитываютсячастныеоценкивекторасостояниядлявсехвозможныхреализа­цийDI(k)и соответствующие частныекорреляционныематрицы;

• рассчитываютсязначенияр[DI(k):Y(k)],играющиерольвесо­выхкоэффициентоввуравнениях(3.16)и(3.17);

• рассчитываетсяпо(3.16)оптимальнаяоценка векторасостояниях(k);

• рассчитываетсяпо(3.17)корреляционнаяматрицаошибок

оценивания;

• рассчитываетсяпрогнозоценки,еекорреляционнойматрицыинаблюдениянаследующийшаг;

• рассчитываютсяпереходнаяматрицаисследуемойсистемы,матрицаканаланаблюденияикорреляционныематрицышумовнаследующийшаг.

Этотпроцесссходитсяпридостаточнообщихпредположениях(еслиугаданыструктураиопорныефункции),причемособенноэффективноуточнениепараметровидетвовремяпервыхнесколь­кихшагов.

Припрактическойреализацииалгоритмаоптимальнойфильт­рациивозникаютследующиепроблемы:

• привозрастаниичисланаблюденийкнеограниченновозрас­тает/и,следовательно,числочастныхоценок,чтотребуетнеогра­ниченныхвычислительныхресурсов;

• требуетсяразработкаконкретныхподходовквычислениюча­стныхоценоквекторасостояния,соответствующихкорреляцион­ныхматрицивероятностиразличныхпоследовательностейDI(k).

Возможныепутипреодоленияэтихтрудностеймогутбытьсве­

деныкследующему:

• выборопределенныхструктурдляисследуемойсистемыика-

наланаблюдения;

• выборопределенныхклассов и ;

• ограничениечислаучитываемыхнаблюдений;

• введениенекоторыхгипотезприаппроксимациипрогнозазна­чениявекторасостоянияисследуемой системы.

Витогезадачаможетрешатьсяв следующейпостановке:

,(3.20)

,(3.21)

гдесделаныследующиепредположения:структураисследуемойсистемыиканаланаблюдениялинейна;шумы и -белые,не­коррелированымеждусобойисвектором

Вуравнениях(3.20)и(3.21)зада­ютконкретныевозможныережимыисследуемойсистемыиканаланаблюдения,например:

-нормальныйрежимфункционированияис­следуемойсистемыиканаланаблюдения,когдаэкспертуизвестнысточностьюдошумаих структураипараметры;

-вканаленаблюдениярезковозросуро­веньшума,врезультатечеговозросразброспоступающихкэкс­пертуданныхбезизменениясреднегозначениявекторасостоянияисследуемойсистемы;

-отсутствуетинформациявканаленаблюде­ния,врезультатечеговпоступающихкэкспертуданныхпропаласистематикаи осталсяодинбелыйшум;

-отсутствуетинформациявканаленаблю­денияивтожевремярезковозросшум;такойвариантозначает,скореевсего,чтоизменилосьсодержаниепоступающейинформа­ции,аэксперт,неумея«расшифровать»этуинформацию,прини­маетеезашум;

-отсутствуютшумывмоделиисследуемойсистемы,т.е.экспертсумелподобратьточнуюдетерминированнуюмодель;

-резковозросли шумывмоделиисследуе­мойсистемы;приэтомеслишумосталсябелым,томодельэкс­пертаверна,носамисследуемыйобъектсталменеедетермини­рованным,аеслишумокрашен(имеетсистематику),томодельэкспертатребуетуточнения(систематикадолжнабытьрасшифро­вана экспертомивключенавмодельисследуемойсистемы).

Такимобразом,видно,чтодажесприведеннымсравнительнопростымнаборомвозможныхзначенийвекторавариативности

можноописатьширокийкругпроблем,связанныхсдостоверно-стьюфрагментаИБД,авболееширокомплане-получитьунивер-сальныйигибкийформальныйаппаратмодификациифрагментовИБДприпоступлениивнееновогофрагмента.

Исследованиеконкретнойпроблемы,стоящейпередэкспертом,следуетначинатьстехслучаев,когдаизмененияимодификациизатрагиваютпреждевсегоканалнаблюдения.Еслиэкспертизуча-етнекоторуюсложнуюсистему(объект)достаточнодолго,тоиме-етопределенноепредставлениеоееструктуреипараметрах,пустьинеоченьточное.Вэтойситуацииглавнойстановитсязада-чаоценкидостоверностиисточниковинформации,азадачауточ-ненияпараметровисследуемойсистемырешаетсяпомеререше-нияпервойзадачи.Длятакойпостановки и,соответственно,системауравненийпринимаетвид:

,                                      (3.22)

.                             (3.23)

Длянормальногорежимафункционированияисследуемойсис-темыиканаланаблюдения уравнениеимеетвид:

,                                       (3.24)

,                                                 (3.25)

аалгоритммодификациивекторасостоянияисследуемойсистемыдляk-гошагаестьклассическийалгоритмоптимальногофильтраКалмана(рис.3.5).

Располагаяэтималгоритмомможнодоскональноизучитьнаэтапепредварительногомоделированияисследуемуюсистему,основнойрежимработыкоторойописываетсялинейнойсистемойуравнений,атакжеполучитьвсечастныеоптимальныеоценкивек-торасостояниясистемыиихкорреляционныематрицы,чтосни-маетчастьперечисленныхвышепроблемреализацииобщегоал-горитмаоптимальнойфильтрации.

Наибольшиетрудностивызываеткорректноевычислениеусловнойвероятности                                               дажедлянесложныхсистем.Анализточныхвыраженийдля                                                  ,однако,показывает,чтодлямногихслу-чаев,связанныхсисследованиемуровняуязвимостиинформации,даннуювероятностьможноаппроксимироватьдвумя-тремязначения-митипа 0-1/2-1 (нет-можетбыть -да).

Деловтом,чтоособенностьюэкспертныхзадачоценкиуровняобеспечениябезопасностиинформацииявляется,какотмечалось

 

 

 

Рис.3.5.Блок-схемаалгоритмаОФК(оптимальныйфильтрКалмана):РНС-реальнаянаблюдаемаясистема;РКН-реальныйканалнаблюдения; -звено задержки;QиR-корреляционныематрицышумовсистемыиканаланаблю­

дения

 

выше,неполнотаданных,которымирасполагаетэкспертпрактиче­скинавсехэтапахисследованиясложногообъектаинформатиза­ции.Принципбалансаточностейрекомендуетвтакихслучаяхнепользоватьсятонкимисложнымиметодамимоделирования,по­сколькуихточностьбудетзагрубленанеполнотойинеточностьюисходнойинформации,аихсложностьпрактическинеизбежноприведеткневероятномурезультатувсилунеадекватностиот­дельныхчастеймоделииобъекта.Всоответствиисэтимпринци­помдолженсоблюдатьсянекоторыйразумныйбалансмеждутре­бующейсяточностьюответа,точностьюисходныхданных,точно­стьюмоделииточностьюметодаисследования.Вэтомсмыслесделанноедопущениевполнеразумно,особеннонапервыхэтапахисследованиясложногообъекта,когдапроверяются,восновном,правильностьструктурыисследуемойсистемыиканаланаблюде-

 

ния,атакжеобластивозможныхзначенийихпараметров.Крите­риемздесьможетбытьотклонениеочередногонаблюденияотегопрогноза,например:

(3.26)

т.е.вычислениеусловнойвероятностипредельноупрощается:не­обходимотолькосравнитьпоступившеенаблюдениеуснекоторы­мипороговымизначениямиивыбратьсоответствующеезначение (рис.3.6).

 

Рис.3.6.Определение поотклонениюнаблюдения отпрогноза

 

3.5.Моделиоценкиущербаотреализацииугрозбезопасностиинформации

Уязвимостьинформациинеопределяетсятольковероятностя-мипроявлениятехилииныхугроз.Совершенноочевидно,чтосдругойстороныонахарактеризуетсявозможнымущербом, которыйбудетиметьместо вслучае ихреализации.

Вопросоценкиущербапредставляетнасегодняшнийденьнаи-болеесложнуюзадачу,практическинеподдающуюсяформализа-цииирешаемуютолькосиспользованиемметодовэкспертныхоценок.Приэтомвцеляхформированияпрогнозныхоценокущер-баможносуспехомприменятьописаннуюнамивышетехнологиюформализациипрофессиональныхзнаний,опирающуюсянанеко-торыемодели,которыемогутсоставитьпервоначальнуюбазумо-делей,вдальнейшемуточняемуюивидоизменяемуюэкспертом.

Исходнойпосылкойприразработкеэтихмоделейможетявить-сяочевидноепредположение,чтополнаяожидаемаястоимостьзащитыинформацииможетбытьвыраженасуммойрасходовназащитуипотерьотеенарушения.Вработе[3]В.А.Герасименкопоказал,чтоприэтомподходеоптимальнымрешениембылобывыделениеназащитуинформациисредствв размере (см.рис.3.7),посколькуименноприэтомобеспечиваетсяминимизацияоб-щейстоимостизащитыинформации.

Поскольку,каквидноизрис3.7,приоптимальномрешениице-лесообразныйуровеньзатратназащитуравенуровнюожидаемыхпотерьпринарушениизащищенности,тодляоценкисуммарныхзатрат,достаточноопределитьтолькоуровеньпотерь.

ДлярешенияэтойзадачипрофессоромВ.А.Герасименков[3]былиспользованподход,основанныйнадинамическоймоделиоценкипотенциальныхугроз.Рассмотримегоболееподробно.

Допустим,чтопроявлениеугрозырассматриваемоготипаха-рактеризуетсяслучайнойпеременной сраспределениемверо-ятностей .Заметим,чтофункцияраспределения должнаопределятьсянаосновеобработкиданныхофактахреальногопроявленияугрозэтоготипа,котораяпроводитсяэкспертомсобя-зательнойоценкойдостоверностииспользуемойинформации(см.предыдущийпараграф).

Еслирассматриватьпроявлениеданнойугрозывтечениеопре-деленногопериодавремени,точислуэтихпроявлений будетсоответствоватьраспределение вероятностей ,котороеможетбытьвыраженофункциейраспределенияПуассона:

 

Рис.3.7.Стоимостныезависимостизащитыинформации:

1-ожидаемаяполнаястоимость;2-стоимостьзащиты;3-уровеньущерба

 

(3.27)

где -периодвремени,закоторыйопределенызначения

Порядузначений функция ,можетбытьвыраженафункциейгамма-распределения

 

(3.28)

где и параметрыраспределения,определяемыепорекурент-нымзависимостям:

 

(3.29)

где -числопроявленийрассматриваемойугрозывпе­риодынаблюдения .

Далееотметим,чтобезусловноераспределениевероятностей

проявленияугроззапериодвремени можетбытьпредставленоввиде:

 

 

(3.30)

 

 

Тогдарезультирующеераспределение

 

(3.31)

 

Количествопроявленийугрозприэтомхарактеризуетсямате­матическиможиданием

 

(3.32)

идисперсией

 

(3.33)

Такимобразом,мыописаливероятностипроявленияугроз.Длятого,чтобыоценитьущерботпроявленияугроз,рассмотримдляначаласредниеоценкиущерба,длякоторыхможетбытьпринятанормальнаяфункцияраспределенияспараметрами и

(3.34)

 

где и         -функциинормальногои гамма-распределений

вероятностей; и -параметрынормальногоигаммараспреде­лений.

Есливзаданныйпериодвремениимеетместо проявленийрассматриваемойугрозы, которыеприводяткущербу , ,... соответственно,топараметрыраспределениявероятностейожи­даемыхпотерькорректируютсяследующимобразом:

(3.35)

где

Выделимдалеенеопределенныепараметрыи изфункциираспределениявероятностейдлястоимостипроявленияугрозыданноготипа.Темсамымбудетполученопрогнозируемоераспре­делениедляущербаотвозможногопроявлениярассматриваемойугрозы

 

 

(3.36)

 

где -членсемействараспределенияСтьюдента.

Ожидаемоеизменениезначения определяетсяпараметрами:

(3.37)

Ожидаемыеполныезатратывусловияхпроявлениярассматри-ваемойугрозы определяютсяпоформуле:

(3.38)

Посколькуполныезатратывусловияхпроявленияугрозявля-ютсяслучайнымивеличинами(из-заслучайногохарактеранано-симогоущерба),тодляихоценкинеобходимознаниесоответст-вующейфункциираспределениявероятностей.

Такимобразом,еслибысуществовалисистематизированныестатистическиеданныеопроявленияхугрозиихпоследствиях,торассмотреннуюмодель,почерпнутуюнамиизработы[3],можнобылобыиспользоватьдлярешениядостаточноширокогокругазадачзащитыинформации.Болеетого,этамодельпозволяетнетольконаходитьнужныерешения,ноиоцениватьихточность,что,какподчеркивалосьвыше,имеетпринципиальноезначение.Ксо-жалению,всилурядаобъективныхисубъективныхпричинтакаястатистикавнастоящеевремяпрактическиотсутствует,чтоделаетособоактуальнойорганизациюнепрерывногоирегулярногосбораиобработкиданныхопроявленияхугроз,охватывающихвозможнобольшеечислореальныхситуаций.

Рассмотреннаявышемодельможетбытьсформулированаивтерминахтеорииигр.Предположим,чтозлоумышленникзатрачи-вает средствсцельюпреодолениязащиты,насозданиекоторойизрасходовано средств.Врезультатеонможетполучитьзащи-щаемуюинформацию,количествокоторойоцениваетсяфункцей

.Положимдалее,что      -естьценностьдлязлоумышленни-каединицинформации,а - суммарныезатратынасоздание

этогожечислаединицинформации.Тогдачистаяприбыльзло-умышленника

 

 

апотерисобственникаинформации

(3.39)

 

(3.40)

Всоответствиисизвестнымиправиламитеорииигроптималь-ныестратегииобеихсторонмогутбытьопределеныизусловий:

(3.41)

Дляпрактическогоиспользованияэтоймоделинеобходимооп-ределитьстоимостьинформации,атакжезадатьфункции и чтовусловияхотсутствиянеобходимогообъемастатистическихданныхявляетсяпрактическинеразрешимойпроблемой,еслиопи-ратьсянаформальныеметоды.

Такимобразом,мысновавынужденывозвращатьсякописан-нымвышеприемамавтоформализациизнаний,которыесоставля-ютосновуметодологическогобазисатеориизащитыинформации.

Рассмотренныенамиподходыимоделипозволяютвобщемслучаеопределятьтекущиеипрогнозироватьбудущиезначенияпоказателейуязвимостиинформации.Необходимотолькосделатьнекоторыесущественныезамечанияотносительноихадекватно-сти.Во-первых,практическивсеприведенныенамимоделипо-строенывпредположениинезависимостислучайныхсобытий,со-вокупностикоторыхобразуютсложныепроцессызащитыинфор-мации,аво-вторых-дляобеспеченияработымоделейнеобходи-мыисходныеданные,формированиекоторыхприотсутствиидос-товернойстатистикисопряженосбольшимитрудностями.

Такимобразом,прииспользованииэтихмоделейфактическиделаютсяследующиедопущения:

• возможностипроявлениякаждойизпотенциальныхугрознезависятотпроявлениядругих;

• каждыйиззлоумышленниковдействуетнезависимоотдругих,т.е.неучитываютсявозможностиформированиякоалициизло-умышленников;

• негативноевоздействиенаинформациюкаждойизпроявив-

 

шихсяугрознезависитоттакогожевоздействиядругихпроявив­шихсяугроз;

• негативноевоздействиепроявившихсяугрознаинформациюводномкаком-либоэлементесистемыможетпривестилишькпо­ступлениюнавходысвязанныхснимэлементовискаженнойин­формацииснарушеннойзащищенностьюинеоказываетвлияниянатакоежевоздействиенаинформациювсамихэтих элементах;

• каждоеизиспользуемыхсредствзащитыоказываетнейтра­лизующеевоздействиенапроявившиесяугрозыивосстанавли­вающеевоздействиенаинформациюнезависимооттакогожевоздействия другихсредствзащиты;

• благоприятноевоздействиесредствзащитыводномэлемен­тесистемылишьснижаетвероятностьпоступлениянавходысвя­занныхснимэлементовискаженнойинформациииневлияетнауровеньзащищенностиинформациивсамихэтихэлементах.

Вдействительностижесобытия,перечисленныевыше,являют­сязависимыми,хотястепеньзависимостиразлична-отнезначи­тельной,которойвполнеможнопренебречь,досущественной,ко­торуюнеобходимоучитывать.Однакострогоформальноерешениеданнойзадачивсилуприводившихсянамивышепричинвнастоя­щеевремяневозможно,поэтомуостаютсялишьметодыэксперт­ныхоценокивчастности,технологияавтоформализациизнанийэксперта.

Чтокасаетсяобеспечениямоделейнеобходимымиисходнымиданными,токакнеоднократноотмечалось,практическоеиспользо­ваниелюбыхпредлагаемыхмоделейоценкиуязвимостиупираетсявограничения, связанныеснеполнотойинедостоверностьюис­ходныхданных.Всвязисэтимотметим,чтоматериалыданнойглавы,посвященныеоценкеикорректировкедостоверностиинтег­рированнойбазыданныхмоделирования,даютнеобходимыйин­струментарийдляработыэкспертов-аналитиков.

Вообще,правильнопоставленнаяработасисходнымиданнымивусловияхвысокойстепениихнеопределенностиявляетсяключе­выммоментомврешениилюбых задач,связанныхс обеспечениеминформационнойбезопасности.Поэтомупроблемазаключаетсянепростовформированиинеобходимыхданных,авперманентномихоцениваниииуточнении.Посколькуэкспертныеоценкиитехно­логияавтоформализациизнанийвэтихусловияхстановятсяодни­миизосновныхметодоврешенияосновныхзадачзащитыинфор­мации,аадекватностьэкспертныхоценоксущественнозависитотобъемаихвыборки,тонеобходимаорганизацияиперманентное

 

осуществлениемассовойэкспертизывсистемеорганов,ответст­венныхзазащитуинформации.Существоконцепциитакойэкспер­тизыбудетрассмотреновгл.6.

 

Краткиевыводы

1. Обоснованиеструктурыисодержаниясистемыпоказателейуязвимостиинформации, исследованиевлияниянанихразлич­ныхпараметровугроз,разработкакомплексамоделейиметодо­логииадекватнойоценкиреальнойуязвимостимогутбытьвыпол­ненынаосновесистемнойклассификацииугроз,проведеннойпоследующимпараметрам:видыугроз,происхождениеугроз,пред­посылкипоявленияугроз,источникиугроз.Перечисленныепара­метрынаходятсявсложныхвзаимосвязях,учеткоторыхнеобхо­димдляпостроенияадекватныхмоделей,описывающихпроцессынарушенияцелостности изащиты информации.

2. Основнымипараметрами,определяющимивероятностьна­рушениязащищенностиинформации,являются:количествоитипыструктурныхкомпонентовсистемы, количествоитипыслучайныхдестабилизирующихфакторов,количествоитипызлоумышленныхдестабилизирующихфакторов,числоикатегориинарушителей,видызащищаемойинформации.

Измножестваразновидностейразличныхпоказателейуязвимо­стиинформациицелесообразновыделитьдвапоказателя:первый(базовый)характеризуетуязвимостьводномструктурномкомпо­нентесистемыприоднократномпроявленииодногодестабилизи­рующегофактораиотносительноодногопотенциальногонаруши­теля,второй(общий)-уязвимостьинформациивцеломповсемпотенциальновозможнымдестабилизирующимфакторамотноси­тельновсехпотенциальновозможныхнарушителей.Вседругиепоказателиявляютсячастичнообобщенными.

Дляпрактическогорешениязадачзащитыинформациимогутбытьтакжеиспользованыпоказатели,характеризующиенаиболеенеблагоприятныеситуации(экстремальныепоказатели):самыйуязвимыйструктурныйкомпонентсистемы,самыйопасныйдеста­билизирующийфактор,самый опасныйнарушитель.

3. Однойизнаиболеепринципиальныхособенностейпроблемызащитыинформацииявляетсяабсолютныйхарактертребованияполнотывыявленныхугроз.Приэтомформированиеполногомно­жестваугрозявляетсяярковыраженнойнеструктуризованнойпро­блемой.

 

Дляпервоначальногоформированиявозможноболееполногомножестваугрозцелесообразноиспользоватьразличныемодифи­кацииэкспертныхоценок.Наиболееэффективнымиздесьоказы­ваютсяметоды,основанныенатехнологииавтоформализациизнанийэксперта.

4.Рассмотренныевгл.3модели,атакжемодели,предлагае­мыевдругихисточниках(см.,например,[3]),вобщемслучаепо­зволяютопределятьтекущиеипрогнозироватьбудущиезначениятехилииныхпоказателейуязвимостиинформациивразличныхситуацияхфункционированиясистемиобъектов.Однаковсеэтимодели,построенывпредположениинезависимостислучайныхсобытий,совокупностикоторыхобразуютсложныепроцессызащи­тыинформации,адляобеспеченияихработынеобходимыисход­ныеданные,систематизацияиобобщениеподавляющегоболь­шинствакоторыхдолжныбазироватьсянасетицентровзащитыинформации,организующихпроведениемассовойэкспертизы.

 

 

 

Главачетвертая

 

ТРЕБОВАНИЯКЗАЩИТЕИНФОРМАЦИИ

 

---

Дата добавления: 2018-02-15; просмотров: 509; Мы поможем в написании вашей работы!

Поделиться с друзьями:

---

---

Мы поможем в написании ваших работ!