Использование байесовских методов в процедурах оценки риска информационной безопасности

Размещено на http://www.allbest.ru/

ИСПОЛЬЗОВАНИЕ БАЙЕСОВСКИХ МЕТОДОВ В ПРОЦЕДУРАХ ОЦЕНКИ РИСКА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Силантьев А.О.

Аннотация

Проведен анализ методологии оценки рисков информационной безопасности; рассмотрена возможность использования байесовского метода в оценочных целях.

Ключевые слова: риск, информационная безопасность, целостность, доступность, методы, количественные, качественные, комбинированные

Abstract

The analysis of the methodology for assessing information security risks is carried out; the possibility of using the Bayesian method for evaluation purposes is considered.

Keywords: risk, information security, integrity, accessibility, methods, quantitative, qualitative, combined

Основная часть

Информационная безопасность предполагает комплекс мер по защите информации и информационных систем от несанкционированного доступа, использования, раскрытия, нарушения работы, модификации или уничтожения данных [1]. Сохранение конфиденциальности, целостности и доступности информации необходимо для минимизации бизнес-рисков и, следовательно, поддержания конкурентных преимуществ, увеличения положительных денежных потоков, рентабельности и поддержания коммерческого имиджа компаний.

В обеспечении информационной безопасности ключевое значение придается такой категории, как риск, который может быть определен как вероятность применения угрозы (случайно или намеренно), появлению уязвимостей в системе информационной безопасности, что приведет к негативным последствиям[1]. В настоящее время существует и множество других определений термина, обобщение которых позволяет трактовать его как возможность реализации ситуации с негативными последствиями в конкретной предметной области.

Управление рисками информационной безопасности представляет собой процесс идентификации, оценки и приоритизации рисков. В этой последовательности процедура оценки занимает важнейшее место, являясь, при условии корректно проведенной процедуры, маркером сценариев негативных последствий[2].

Следует отметить, что риск информационной безопасности достаточно сложно сравнивать с известными в других областях категориями - финансово-инвестиционной, социальной или других. Большинство исследователей связывают специфику риска безопасности информационных систем с зависимостью от многих факторов, включая человеческий фактор. Кроме того, в практических условиях достаточно сложно определить априорные значения рисков, связанных с информационной безопасностью[3].

В связи со сложностями адаптации инструментов и аналитических процедур в области оценки риска безопасности информационных систем, исследователи продолжают поиск методов, направленных на повышение достоверности методов оценки

Известно, что укрупнено методы оценки рисков делятся на количественные и качественные [3].

Количественные подходы используют математические и статистические инструменты для интерпретации риска как функции угрозы и ожидаемого ущерба из-за уязвимости информационных систем [3].

Однако недостатками методов этой группы является дефицит достоверных данных об инцидентах (вероятностях и последствиях), в связи с чем, количественные методы не могут обеспечить необходимой валидации результатов. В связи с наличием этого недостатка, предпочтение на практике отдается качественным методам, базирующихся на предполагаемой оценке ущерба, определенной экспертно.

Как правило, оценочные значения рисков, полученные в результате качественных или количественных подходов, существенно различается, что в итоге приводит к необходимости проведения дополнительных исследований.

Поскольку в настоящее время отсутствует единый универсальный механизм оценки риска, то в качестве альтернативного подхода предлагается использование комплексного подхода, объединяющего количественный и качественный подходы [3]. Примером одного из комплексных методов может служить оценка, основанная на методологии аналитической иерархии Саати. Метод по своей сути относится к сфере принятия решений по многокритериальным данным и базируется на качественных и количественных факторах для определения приоритетов, ранжирования и оценки альтернатив [4]. Данный метод позволяет использовать в оценочных целях мнения экспертов, а также назначать несколько альтернатив, критериев и сценариев [5]. Возможность синтезировать множественные взаимовлияющие характеристики объекта исследования, учитывать как общие, так и индивидуальные их рейтинги и приоритеты влияния, сделала метод распространенным инструментом принятия решений, который может быть использован и для оценки риска.

AHP состоит из четырех этапов: моделирование, оценка, определение приоритетов и синтез. На этапе моделирования строится иерархия, описывающая проблему, при этом в вершине иерархии устанавливается общая цель. Основные атрибуты, критерии и подкритерии располагаются на последующих уровнях ниже [5].

На этапе оценки лица, принимающие решения, сравнивают все критерии, а затем все альтернативы с каждым критерием. На этапе расстановки приоритетов локальные приоритеты определяются путем вычисления собственных значений матрицы сравнений каждого элемента, а глобальные приоритеты определяются по принципу иерархической композиции. Далее экспертные предпочтения включаются в анализ в виде матриц и с дальнейшим попарным сравнением по методике, предложенной Саати [5]. оценка риск информационный безопасность

В целом, методика Саати может использоваться в качестве поддержки системы информационной безопасности:

- для оценки весов факторов риска;

- определения оптимального распределения бюджета;

- оценки весовых коэффициентов, необходимых для объединения мер риска;

- получения весов индексов относительно конечной цели оценки безопасности;

- выбора политики информационной безопасности;

- создания системы оценки информационной безопасности [5].

Для расширения аналитических возможностей рассмотрен вариант оценки с расширением данной методики - с расчетов риска по формулам Байеса. Преимущество предлагаемого подхода в том, что байесовские методы позволяют компенсировать дефицит данных (или неполную информацию) статистическими данными. Отметим, что основное ограничение байесовского метода - невозможность интерпретации функций высокой размерности, было снято с появлением методов марковских цепей и Монте-Карло.

Рассмотрим ситуацию с оценкой риска информационной безопасности при использовании методов Байеса. Согласно выборочным статистическим данным, за конкретный период зафиксировано 30 нарушений в системе информационной безопасности.

Причина Di - нарушены условия для физической безопасности (меры, препятствующие несанкционированному проникновению на объект, например, установка систем контроля и управления доступом (СКУД); использование видеонаблюдения для анализа инцидентов ИБ) выявлена в 24 случая.

Причина D2 - нарушения периметра (МЭ для фильтрации траффика из внешней сети; межсетевое шифрование трафика, взаимодействующие с внешней сетью зоны DMZ) - 6 случаев.

В остальных 170 случаях по данным выборочного исследования, состояние безопасности не нарушено (обозначим D3). Исходя из экспертной оценки, выбраны наиболее важные критерии в системе информационной безопасности - конфиденциальность (К1) и целостность (К2).

Таким образом, в нашем случае i=3, j=2. Обобщенные экспертные оценки представлены в исходных данных (таблица 1).

Таблица 1

Статистические данные по нарушениям в системе информационной безопасности

Далее определяются априорные вероятности диагнозов P(Di) и априорные условные вероятности появления признаков при нахождении ИБ в одном из нарушенном состояний P(Kj/Di, результаты расчетов внесем в таблицу 2.

Таблица 2

Матрица состояний системы информационной безопасности

Сведем исходные данные в следующую таблицу 3. При этом вероятности отсутствия признаков P(K_j / D_i) вычислим по формулам, приведенным в [5] и ряде других источников.

Таблица 3

Вероятности признаков и априорные вероятности состояний

Найдём вероятности нахождения в различных состояниях, когда обнаружены оба признака P(Di/KiK2), считая признаки независимыми,

Определим вероятности состояний информационной безопасности, если в результате анализа статистических данных установлено: конфиденциальность не нарушена (признак К1 отсутствует), но наблюдается нарушение целостности (признак К2); наблюдается признак К1 наблюдается (нарушена конфиденциальность в системе), а признак К2 - отсутствует (целостность сохранена); случай, когда отсутствуют оба признака. Сведём результаты в таблицу 4.

Таблица 4

Результаты исследования

В результате обработки полученных результатов можно сделать следующий вывод.

Система информационной безопасности при обнаружении различных сочетаний признаков К1 и К2 находится в следующих состояниях.

Следствием нарушения работы СКУД (и других мер, препятствующих несанкционированному проникновению на объект) являются оба признака К1 (нарушение конфиденциальности) и К2 (нарушение целостности) в 100% случаев, нормальный режим работы исключается.

Нарушение целостности системы в 92,8% связано с нарушением физической безопасностью. Фактор К2 (нарушение целостности) однозначно исключает нормальное функционирование системы безопасности. Вместе с тем, нарушение только конфиденциальности (фактор К1) в 69,7% не исключает исправное в целом состояние системы. При наблюдении только признака Ki (нарушение конфиденциальности) вероятно нарушение МЭ для фильтрации трафика из внешней сети; шифрования трафика между сетями; зоны DMZ для сервисов, взаимодействующих с внешней сетью.

При отсутствии обоих признаков (конфиденциальность и целостность системы) наиболее вероятно нормальное состояние системы (вероятность 89,9%).

Таким образом, управление рисками требует использования более гибких подходов к оценке рисков информационной безопасности, одним из вариантов решения может стать байесовский метод, данные для которого получены в результате методологии AHP или статистических наблюдений.

Использованные источники

1. Федеральный Закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» // Официальный интернет-портал правовой информации www.pravo.gov.ru, 26.07.2017, N 0001201707260023, Российская газета, N 167, 31.07.2017. СЗ Российской Федерации, N 31 (ч.Т), 31.07.2017, ст.4736

2. Бережной, А.Н. Сохранение данных: теория и практика [Текст] / А. Н. Бережной. Москва: ДМК Пресс, 2016. 317 с.

3. Марьенков, А.Н. Программно-аппаратные средства защиты информации от несанкционированного доступа [Текст]: учебно-методическое пособие для студентов направления подготовки 10.03.01 «Информационная безопасность» / [Марьенков А. Н., Лим Г. В.] ; Министерство образования и науки РФ, Федеральное государственное бюджетное образовательное учреждение высшего образования «Астраханский государственный университет», Факультет математики и информационных технологий, Кафедра «Информационная безопасность». Астрахань: издатель Сорокин Р. В., 2017. 56 с.

4. Марьенков А.Н. Обеспечение информационной безопасности вычислительных сетей [Текст]: учебно-методическое пособие для студентов направления подготовки 10.03.01 «Информационная безопасность» / [А. Н. Марьенков, В. Г. Лим] ; Министерство образования и науки РФ, Федеральное государственное бюджетное образовательное учреждение высшего образования «Астраханский государственный университет», Факультет математики и информационных технологий, Кафедра «Информационная безопасность». Астрахань: издатель Сорокин Р. В., 2018. 72 с.

5. Маккей, Тим. XenServer. Справочник администратора [Текст]: практические рецепты успешного развертывания: [пер. с англ.] / Тим Маккей и Дж. К. Бенедик, Халяпин С. Н. Москва: ДМК Пресс, 2017. 285 с

Размещено на Allbest.ru