Математические модели, комплексы программ и алгоритмы принятия решения при возникновении конфликтного взаимодействия компьютерных систем КРУПНОВ ЛЕОНИД СЕРГЕЕВИЧ

Содержание к диссертации

Введение

1 Разработка математической модели системы принятия решений 15

1.1 Вводные замечания 15

1.2 Обоснование структуры математической модели системы принятия решений 17

1.3 Классификация и анализ основных типов конфликтных взаимодействий компьютерных систем 23

1.4 Разработка и обоснование процедуры численной оценки показателя работоспособности компьютерной системы 35

1.4.1 Обоснование показателя работоспособности компьютерной системы 35

1.4.2 Обоснование формы представления рабочих процессов при численной оценке работоспособности компьютерной системы 39

1.4.3 Обоснование метода экспертной оценки важности рабочих процессов при численной оценке показателя работоспособности компьютерной системы 43

1.4.4 Организационные проблемы получения экспертной оценки коэффициентов относительной важности рабочих процессов компьютерной системы 49

1.5 Построение математической модели работоспособности компьютерной системы 55

1.5.1 Выбор показателей качества компьютерной системы, оцениваемых автоматически с помощью комплекса программ 55

1.5.2 Выбор вида функции показателя работоспособности для математической модели работоспособности компьютерной системы 59

1.5.3 Обоснование внешних критериев выбора моделей претендентов для математической модели работоспособности компьютерной системы 61

1.5.4 Экспериментальные исследования математической модели работоспособности компьютерной системы 63

1.6 Обобщенная математическая модель системы принятия решений 69

1.7 Выводы 74

2 Обоснование структурной схемы программных модулей обнаружения и классификации конфликтных взаимодействий 77

2.1 Вводные замечания 77

2.2 Обоснование структурной схемы системы обнаружения и классификации конфликтных взаимодействий 79

2.3 Обоснование структурной схемы и обобщенного критерия качества системы обнаружения конфликтных взаимодействий 81

2.3.1 Анализ существующих методов обнаружения конфликтных взаимодействий 81

2.3.2 Обоснование структурной схемы программного модуля обнаружения конфликтных взаимодействий на основе математической модели системы принятия решений 87

2.3.3 Обоснование модифицированного критерия качества обнаружения конфликтных взаимодействий 88

2.4 Структурная схема алгоритма классификации конфликтных взаимодействий 96

2.4.1 Обоснование выбора архитектуры базовых процессорных элементов искусственной нейронной сети классификации

конфликтных взаимодействий компьютерных систем 96

2.4.2 Численные методы оценки ошибки обучения ИНС на основе

математических моделей работоспособности компьютерных систем 98

2.4.3 Обоснование структуры искусственной нейронной сети классификации конфликтных взаимодействий 109

2.4.4 Экспериментальные исследования системы обнаружения и классификации конфликтных взаимодействий 112

2.5 Модуль выявления характеристик конфликтных взаимодействий 119

2.6 Структура программного модуля контрастирования конфликтных взаимодействий и комплекс программ визуализации результатов 123

2.7 Выводы 132

3 Практические аспекты внедрения системы принятия решений при конфликтном взаимодействии компьютерных систем 135

3.1 Вводные замечания 135

3.2 Математическая модель взаимодействия компонентов компьютерной системы в конфликтных ситуациях 137

3.2.1 Обоснование структурной схемы взаимодействия компонентов компьютерной системы в конфликтных ситуациях 137

3.2.2 Оценка количественных характеристик конфликтных взаимодействий от степени выполнения условий их реализации 141

3.2.3 Обоснование множества универсальных механизмов снижения влияния конфликтных взаимодействий компьютерных систем 145

3.3 Разработка комплекса программ для автоматического наблюдения за показателями качества компьютерной системы при конфликтном взаимодействии 147

3.3.1 Обоснование набора комплекса программ для автоматического наблюдения за показателями качества компьютерной системы 147

3.3.2 Обоснование показателя качества стойкости ключевых последовательностей 149

3.3.3 Математическая модель численной оценки стойкости ключевой последовательности на основе вычисления ее энтропии 152

3.3.4 Разработка комплекса проблемно-ориентированных программ, реализующего математическую модель численной оценки стойкости ключевой последовательности 161

3.4 Разработка комплекса программ, осуществляющих наблюдение за показателями качества топологии компьютерной системы 163

3.5 Обоснование алгоритма принятия решений о применении адекватного набора механизмов снижения влияния конфликтных взаимодействий на основе теоретико-игрового подхода 165

3.5.1 Комплекс программ формирования минимального достаточного набора механизмов снижения влияния конфликтных взаимодействий 165

3.5.2 Обоснование алгоритма принятия решений с применением численной оценки остаточного ущерба от конфликтных взаимодействий компьютерных систем 169

3.5.3 Построение полной матрицы событий для многошаговой игры, моделирующей комплексные конфликтные взаимодействия компьютерных систем 177

3.5.4 Оценка временных характеристик реакции системы принятия решений при теоретико-игровом подходе и их влияния на эффективность принятых решений 183

3.6 Выводы 187

Заключение 190

Список сокращений и условных обозначений 195

Список литературы 205

• Разработка и обоснование процедуры численной оценки показателя работоспособности компьютерной системы
• Обоснование структурной схемы системы обнаружения и классификации конфликтных взаимодействий
• Экспериментальные исследования системы обнаружения и классификации конфликтных взаимодействий
• Разработка комплекса программ, осуществляющих наблюдение за показателями качества топологии компьютерной системы

Введение к работе

Актуальность темы. Интенсивное развитие телекоммуникационных технологий приводит к росту числа активов современных предприятий, сосредоточенных в рамках компьютерной системы (КС). В процессе функционирования КС зачастую возникают конфликтные ситуации, связанные непреднамеренными последствиями внутренних сбоев и внешних помех. Значительная роль в решении задач управления КС в конфликтных ситуациях в настоящее время отводится администратору КС. При этом особо сложной задачей является процесс принятия решения о применении адекватного набора механизмов снижения влияния (МСВ) конфликтного взаимодействия (КВ) с внешними КС в случае обнаружения обращений, представляющих угрозу ее нормальному функционированию. На сегодняшний день существует ряд математических моделей оценки работоспособности КС, позволяющих формально решить задачу поиска и уменьшения влияния от определенных классов КВ. Однако каждая из моделей решает, как правило, узкоспециализированные задачи либо ограничена рамками типовых КС, что вынуждает применять их одновременно. Существующие на сегодняшний день подходы к построению обобщенной математической модели системы принятия решений (СПР), способной уменьшить влияние КВ на работоспособность КС, сталкиваются со следующими наиболее актуальными проблемами:

1. Необходимостью получения универсальной численной оценки ущерба в результате КВ, актуального для конкретной КС согласно ее основным задачам. На данный момент указанная проблема частично решается посредством численной оценки целостности активов КС, однако существующие подходы, как правило, ограничены типовой архитектурой рассматриваемых КС или обладают жесткой системой приоритетов важности активов.

2. Необходимостью наличия системы обнаружения и классификации КВ на основании объективных наблюдений за состоянием КС. На данный момент существует множество подходов к обнаружению конфликтных ситуаций, однако ни один из них не позволяет одновременно добиться высоких показателей точности и полноты результатов обнаружения источников КВ.

В КВ КС часто вовлечены комплексы программных средств, что приводит к высокой скорости развития конфликта. Это не позволяет во многих случаях применять автоматизированные системы поддержки принятия решений, не обеспечивающие достаточного быстродействия ввиду влияния человеческого фактора. На данный момент указанная проблема решается применением различных вариантов сигнатурных и эвристических систем обнаружения КВ, способных в автоматическом режиме применять предписанные МСВ для ликвидации последствий КВ. Тем не менее, на сегодняшний день актуальна проблема снижения влияния неизвестных КВ, а также модифицированных КВ, которые обладают отличными от известных КВ характерными признаками, что затрудняет процесс их обнаружения и классификации. Для применения адекватного набора МСВ подобных КВ, необходимо наличие формальной математической модели принятия решений.

Таким образом, актуальны задачи обоснования, разработки и одновременного использования обобщенной математической модели СПР, алгоритмов чис-

ленной оценки ущерба от КВ, реализованных с помощью комплекса программ, в интересах использования полученных данных для обнаружения КВ и принятия решения с целью применении адекватного набора МСВ.

Степень разработанности темы. За весь период формирования различных математических моделей СПР неоднократно предпринимались попытки построения обобщенной математической модели, позволяющей использовать результаты и достижения существующих частных моделей процессов функционирования КС. Среди основных работ в данной области можно выделить труды Хоффмана Л. Д., Аверченкова В. И., Рытова М. Ю., Гайнулина Т. Р., Домарева В. В., Гужвы Д. Ю., Овсянникова Ю. В., Саенко И. Б. Полученные в результате обобщенные математические модели позволяли рассматривать широкий спектр КВ и КС, а также формализовать процесс применения МСВ, однако оставляли открытым вопрос расстановки приоритетов важности активов КС либо основывались на статичной ценности отдельных объектов КС, что затрудняло процесс получения численной оценки работоспособности КС.

Непосредственно вопросам оценки работоспособности КС посвящены работы отечественных ученых Девянина П. Н., Михальского О. О., Правикова Д. И., Щербаков А. Ю., Осовецкого Л., Шевченко В., Суханова А. В., Авраменко В. С., Козленко А. В., а также зарубежных исследователей Филлипса С., Свилера Л. А., Брэгга Р., Родс-Оусли М., Страссберга Е. и др. Результаты указанных работ позволили получить численные оценки работоспособности КС, основанные на обеспечении целостности основных активов, однако для их получения в современных КС необходимо наличие комплекса программ, осуществляющего динамическое наблюдение за требуемыми показателями качества (ПК) КС. Данная задача особенно актуальна для снижения влияния КВ, реализуемых в автоматическом режиме. При этом остается открытым вопрос получения универсальной оценки важности различных активов КС. Это приводит к необходимости наличия высококвалифицированных сотрудников для эффективного применения существующих на данный момент СПР в целях принятия решений о применении адекватного набора МСВ.

Объектом исследования являются РП КС в конфликтных ситуациях.

Предметом исследования является математическая модель СПР, а также численные методы и комплексы программ оценки работоспособности КС при КВ.

Цель и задачи работы. Основной целью работы является повышение надежности и устойчивости функционирования КС посредством разработки и одновременного использование математических моделей, комплексов программ и численных алгоритмов в интересах обоснования обобщенной математической модели СПР, позволяющей в автоматическом режиме формализовать процесс принятия решения о применении адекватного набора МСВ КВ КС на основе численной оценки работоспособности КС.

Для достижения поставленной цели в рамках работы необходимо решить следующие задачи:

1 Обосновать структурную схему математической модели СПР, формализовать ее ключевые составляющие, а также описать основные условия и ограничения применения.

2. Разработать численный метод оценки показателя работоспособности КС на основе метода группового учета аргументов (МГУА), а также обосновать алгоритм построения математической модели работоспособности КС (РКС) для получения универсальных численных оценок значений ущерба КС с помощью комплекса программ.

3. Обосновать структурную схему системы обнаружения и классификации (СОК) КВ и разработать комплекс программ и алгоритмов для их обнаружения и классификации, позволяющий численно оценить значения рисков от ошибок первого и второго рода, в интересах минимизации ущерба КС, полученного при помощи предложенных математических моделей СПР и РКС.

4. Обосновать архитектуру модуля контрастирования неизвестных КВ и модуля выявления полного набора характеристик известных КВ. Разработать комплекс программных модулей, позволяющий структурировать и визуализировать множество ПК, характеризующих неизвестное КВ, полученных в результате натурного эксперимента.

5. Обосновать узкоспециализированные математические модели КВ КС, для которых неприемлемо применение универсальных МСВ, а также разработать комплекс программ по наблюдению и численной оценке связанных с ними ПК КС.

6 Обосновать математическую модель принятия решения о применении
адекватного набора МСВ КВ, оптимального по критерию минимума итогового
ущерба КС, на основе теоретико-игрового подхода.

Научная новизна. В рамках работы получены следующие новые научные результаты:

1. Разработана и обоснована процедура численной оценки показателя работоспособности КС (ПРКС) с применением математической модели РКС, полученной с помощью численного подхода на основе аддитивно-мультипликативного МГУА. Получены значения весовых коэффициентов относительной важности рабочих процессов (РП) для типовых КС всех классов.

2. Обоснована структура обобщенной математической модели СПР, позволяющая применять существующие узкоспециализированные модели взаимодействия различных классов КВ и МСВ, приведенные к единой численной оценке ущерба КС на основе вычислительного эксперимента.

3. Обоснована структурная схема СОК КВ на основе использования математического аппарата искусственных нейронных сетей (ИНС). Предложены модифицированные критерии качества обучения ИНС, учитывающие относительный вес ошибок обнаружения первого и второго рода, а также ущерб, возникающий в результате ошибок неправильной классификации КВ.

4. Обоснована математическая модель взаимодействия компонентов КС в конфликтных ситуациях, позволяющая получать численную оценку остаточного ущерба КС, а также разработан комплекс программ, позволяющий оптимизировать набор МСВ.

5. Разработана на основе теоретико-игрового подхода математическая модель принятия решения о применении адекватного набора МСВ, оптимального по критерию минимума итогового ущерба КС.

Реализация и внедрение. Оригинальные результаты, полученные одновременно в областях математического моделирования, численных методов и комплексов программ, позволили создать СПР, объективно оценивающую состояние РП КС, учитывающую индивидуальные приоритеты важности активов, а также позволяющую в автоматическом режиме применять адекватный набор МСВ в ответ на обнаруженные КВ. Экспериментальные исследования подтверждают возможность применения полученных в работе оригинальных результатов как для КС малых предприятий, так и для сложных распределенных КС. Результаты работы использовались для построения СПР провайдера Интернет-услуг г. Рязани ООО «РязаньТелеКом», и СПР ООО «Частная охранная организация «Аммон», что подтверждается соответствующими актами о внедрении.

Методология и методы исследования. В работе использовались методы математической статистики, распознавания образов, МГУА, математический аппарат ИНС и теории игр, а также новые достижения в области построения современных систем управления. Перечисленные теоретические методы сочетаются с экспериментальными исследованиями на основе проведения вычислительных и натурных экспериментов, в том числе и с помощью средств виртуализации.

Положения, выносимые на защиту.

1. Математическая модель РКС, полученная на основе использования аддитивно-мультипликативного МГУА, позволяющая в автоматическом режиме в результате проведения вычислительного эксперимента получать численную оценку нанесенного ущерба при КВ КС на основе объективных наблюдений за ПК КС с помощью комплекса программ. При этом математическое ожидание относительной ошибки предсказания ПРКС не превышает 3,11 %, а максимальное значение ошибки снижено с 17,1 % до 6,0 %, по сравнению с использованием классического метода регрессионного анализа.

2. Модифицированный критерий оптимизации ошибки обучения ИНС, выполняющих задачу обнаружения КВ, позволяющий снизить величину нанесенного суммарного ущерба КС от 4 % до 25 % при различных параметрах обучения ИНС. Применение предложенного критерия также позволило расширить в 1,83 раза интервал коэффициента значимости полноты обнаружения КВ, при котором достигаются минимальные значения нанесенного ущерба КС.

3 Модифицированный критерий качества обучения ИНС, выполняющих
функцию классификации КВ, в виде модифицированной средней функции риска,
позволяющий снизить итоговое значение суммарного ущерба КС на величину от
21 % до 64 % по сравнению с системами классификации, обученными по крите
рию минимума среднеквадратического отклонения (СКО) ошибки обучения.

Достоверность результатов исследований. Достоверность полученных в диссертационной работе результатов подтверждается с помощью экспериментальных исследований КС, смоделированных с помощью средств виртуализации, подвергаемых воздействию актуальных на сегодняшний день КВ. Корректность полученных данных также подтверждается практическими результатами внедрения обоснованной в рамках работы СПР в действующие КС.

Соответствие паспорту специальности. Содержание работы соответствует п. 4 «Реализация эффективных численных методов и алгоритмов в виде ком-

плексов проблемно-ориентированных программ для проведения вычислительного эксперимента», п. 5 «Комплексные исследования научных и технических проблем с применением современной технологии математического моделирования и вычислительного эксперимента», п. 6 «Разработка новых математических методов и алгоритмов проверки адекватности математических моделей объектов на основе данных натурного эксперимента».

Апробация работы. Результаты работы докладывались на следующих конференциях:

3. Шестнадцатая всероссийская научно-техническая конференция студентов, молодых ученых и специалистов «Новые информационные технологии в научных исследованиях» (НИТ-2012). Рязань, 2012 г.

4. Вторая международная научно-практическая конференция «Обеспечение комплексной безопасности предприятий: проблемы и решения». Рязань, 2013 г.

5. Шестая международная научно-техническая конференция «Космонавтика. Радиоэлектроника. Геоинформатика», посвященная 90-летию со дня рождения академика В.Ф. Уткина. Рязань, 2013 г.

4 Девятнадцатая всероссийская научно-техническая конференция студен
тов, молодых ученых и специалистов «Новые информационные технологии в
научных исследованиях и в образовании» (НИТ-2014). Рязань, 2014 г.

5. Четвертая международная научно-практическая конференция «Обеспечение комплексной безопасности предприятий: проблемы и решения». Рязань, 2015 г.

6. Восемнадцатая международная научно-техническая конференция «Проблемы передачи и обработки информации в сетях и системах телекоммуникаций». Рязань, 2015 г.

7. Международная научно-практическая конференция «Наука, образование, общество: актуальные вопросы и перспективы развития». Москва, 2015 г.

8 Двадцатая всероссийская научно-техническая конференция студентов,
молодых ученых и специалистов «Новые информационные технологии в научных
исследованиях НИТ-2015». Рязань, 2015 г.

Публикации. По теме диссертации опубликовано 13 работ: 3 статьи в научно-технических журналах, рекомендованных ВАК, 1 статья в межвузовском сборнике трудов и 9 тезисов докладов на конференциях.

Личный вклад. Все представленные в диссертации результаты исследований и экспериментальные данные получены лично автором или при его непосредственном участии.

Структура и объем работы. Диссертационная работа состоит из введения, трех глав, заключения, списка литературы из 167 наименований и восьми приложений. Диссертация изложена на 291 странице, из которых 147 страниц основного текста, 26 таблиц и 52 рисунка.

Разработка и обоснование процедуры численной оценки показателя работоспособности компьютерной системы

Значительная роль в решении задач управления распределенными КС в конфликтных ситуациях в настоящее время отводится администратору КС. Это связано с высокой сложностью внутренних взаимосвязей объектов даже небольших КС, отсутствием единой идеологии построения КС, а также с быстрым темпом развития конфликтов. Данные обстоятельства приводят к снижению эффективности управления при недостаточной квалификации администратора либо из-за отсутствия возможности оперативно прореагировать на КВ ввиду высокой скорости его развития и медленной скорости обработки человеком информации о текущем состоянии КС. В связи с этим возникает задача формализации и автоматизации процесса принятия решений по управлению КС в целях сохранения ее работоспособности в конфликтных ситуациях с помощью комплекса программ, что требует обоснования математической модели СПР.

На сегодняшний день существует ряд математических моделей работоспособности КС [1, 6…8, 34, 35], позволяющих формально решить задачу поиска и устранения последствий от определенных классов КВ. Однако каждая из моделей решает, как правило, узкоспециализированные задачи управления КС либо ограничена рамками типовых КС, что вынуждает применять их одновременно. С другой стороны, современные РП требуют создания новых математических моделей СПР, ввиду уникальной специфики новых конфликтных взаимодействий КС [9, 23…26]. На данный момент не существует обобщенной математической модели СПР, учитывающей весь спектр возможных классов КВ, позволяющей формализовать процесс принятия решения для задач сохранения работоспособности КС в конфликтных ситуациях. В то же время, существует ряд исследований в этой области [2, 27, 32], целью которых является создание математической модели, самостоятельно формализующей широкий спектр возможных классов КВ. Применение подобных СПР связано с необходимостью четкой классификации КВ перед при 16 нятием решений в рамках математической модели каждого отдельного класса КВ [2, 36…39]. Основная сложность при этом заключается в единой численной оценке ущерба Qj от j-го КВ. Несмотря на то, что на сегодняшний день существует ряд работ по оценке уровня работоспособности КС [4, 5, 9…13], в рамках которых дается численная оценка ущерба Qj от тех или иных КВ, данные оценки, как правило, ограничены типовой архитектурой рассматриваемых КС или обладают жесткой системой приоритетов важности активов. Это усложняет их применение в условиях реальных КС, имеющих нетипичную архитектуру и обладающих собственной расстановкой приоритетов важности активов и бизнес-процессов.

Исходя из вышеизложенного, в рамках первой главы ставится задача обоснования и разработки обобщенной математической модели СПР, позволяющей использовать существующие узкоспециализированные математические модели различных классов КВ КС, приводя их к единой численной оценке ущерба КС. Для разработки обобщенной математической модели СПР в первой главе необходимо решить следующие задачи: 1 Определить условия и ограничения предлагаемой математической модели СПР, а также формализовать ее основные структурные составляющие. 2 Классифицировать и проанализировать основные типы КВ и МСВ КС для получения математической модели универсального сетевого воздействия. 3 Разработать и обосновать процедуру численной оценки показателя работоспособности КС для определения приоритетов важности активов. 4 Разработать и обосновать алгоритм построения математической модели РКС для получения значений ущерба при реализации КВ, в условиях применения различных МСВ. 5 Определить критерии оценки качества и обосновать математическую модель СПР на основе ценностей отдельных активов КС. 1.2 Обоснование структуры математической модели системы принятия решений

Под определение КС попадает широкий класс систем, которые представляют собой совокупность взаимосвязанных и взаимодействующих компьютеров (процессоров), периферийного оборудования и программного обеспечения (ПО), предназначенных для подготовки и решения задач пользователя [40]. Ввиду наличия огромного числа различных задач, способных качественно изменить специфику работы всей КС, перед построением обобщенной математической модели СПР необходимо произвести сужение области исследований [14]. Основной задачей проектируемой СПР является снижение либо полное предотвращение потенциального ущерба Qj от j-го КВ КС путем применения имеющегося k-го МСВ (или комбинации МСВ), снижающего уровень ущерба до величины Qjk остаточного ущерба КС. Сюда входят как задачи по сохранению целостности активов КС, так и задачи по поддержанию функционирования РП КС. Необходимость автоматизации процесса реагирования на КВ ограничивает перечень рассматриваемых МСВ до класса программных воздействий на конфигурацию различных узлов КС. Тем не менее, применение более сложных МСВ, требующих непосредственного вмешательства администратора, возможно уже в автоматизированном режиме. Необходимо учесть, что в задачи математической модели не входит разработка принципиально новых МСВ, устраняющих уязвимости нулевого дня (0-day уязвимости) [41…43]. Согласно принципам математической модели Клементса - Хо-ффмана (модели с полным перекрытием) [3], а так же действующими на данный момент ГОСТ Р ИСО 7498-2-99 и ГОСТ Р ИСО/МЭК 27033-3-2014, которые определяют базовые принципы построение СПР [36, 44…46], для каждого КВ подразумевается наличие как минимум одного МСВ его эффективность.

Для формализации взаимодействия КВ и МСВ вначале рационально использовать различные математические модели для каждого класса КВ, вместо одной общей, поскольку узкоспециализированные МСВ, как правило, не влияют на КВ других классов. Следовательно, сведение всех классов в единую универсальную модель приведет к появлению избыточного количества дополнительных па 18 раметров модели, которые не будут использоваться в большинстве случаев, но при этом значительно усложнят модель и увеличат время реагирования на КВ. Таким образом, для анализа необходим ограниченный набор классов КВ, обладающий минимальной избыточностью и учитывающий наличие неизвестных КВ. Анализ существующих подходов к классификации КВ [2, 36, 37…39] показал, что наибольшей универсальностью обладает классификация по конечному результату воздействия на КС (например, КВ, приводящие к истощению ресурсов, потере информации, повышению привилегий и т. п.). Это позволяет выделить для КВ одного класса универсальные МСВ, которые будут одинаково эффективны при различных реализациях конкретного КВ рассматриваемого класса.

Подобную ситуацию можно проиллюстрировать на примере КВ, направленных на перехват и прослушивание транзакций КС. Принцип воздействия заключается в нарушении нормальной работы основного канала передачи транзакций от пользователя до сервера и наоборот, приводящее к прохождению всех транзакций через оборудование нарушителя, что дает возможность их прослушивать (рисунок 1.1).

Обоснование структурной схемы системы обнаружения и классификации конфликтных взаимодействий

Среди множества возможных методов обнаружения КВ можно выделить два основных класса: методы обнаружения нарушений и методы обнаружения аномалий [83, 92]. Первый класс методов основан на поиске определенного набора признаков (сигнатур), присущих конкретному КВ. Второй класс основан на предположении, что имеется эталонное описание нормального поведения объектов КС. При этом любое отклонение от нормального поведения КС считается аномальным. Также существуют методы, комбинирующие одновременно оба этих подхода. Наиболее полный сравнительный анализ методов обнаружения КВ приведен в работе [88], где методы сравниваются, в том числе, по таким параметрам как:

1 Верифицируемость (VRF), где под верифицируемостью понимается свойство алгоритма, позволяющее воспроизвести последовательность шагов по принятию решения о наличии КВ, что позволяет провести экспертную оценку корректности алгоритма и его реализации в произвольный момент времени.

2 Адаптивность (ADP), где под адаптивностью понимается свойство алгоритма, определяющее устойчивость результатов обнаружения КВ перед незначительными изменениями способа реализации КВ.

3 Устойчивость (STB), где под устойчивостью понимается свойство алгоритма, определяющее независимость результатов работы от архитектуры конкретной КС.

Однако качество работы системы обнаружения КВ сильно зависит от уровня ошибок первого и второго рода. Порождение со стороны нарушителя высокого количества ошибок первого рода выражается в постоянном появлении ложных тревог, что может приводить к временной блокировке легитимных пользователей или снижению скорости обработки транзакций КС. Порождение высокого количество ошибок второго рода приводит к беспрепятственному развитию КВ КС. Чтобы оценить уровень ошибок первого и второго рода, допущенных в результате использования различных методов обнаружения КВ, в работе произведен дополнительный анализ, с учетом следующих критериев [97]:

1 Точность (PR) - определяет относительное количество верно обнаружен ных КВ ТР по сравнению с общим количеством обнаруженных КВ: PR = TP/(TP + FP), (2.1) где FP - количество ложных срабатываний системы обнаружения. Высокие показатели данного критерия говорят о низком количестве ошибок первого рода.

2 Полнота (RC) - определяет относительное количество ТР верно обнару женных КВ, по сравнению с общим количеством произведенных КВ: RC=TP/(TP + FN), (2.2) где FN - количество пропущенных КВ, которые не были обнаружены. Высокие показатели данного критерия говорят о низком числе ошибок второго рода. Для оценки значений указанных критериев произведен анализ воздействий эталонным набором КВ (Приложение 1) на тестовые типовые КС (Приложение 2). Поскольку фактические значения полноты и точности обнаружения КВ могут варьироваться в зависимости от набора РП даже внутри одного класса КС, результаты анализа представляют собой усредненные интервалы значений, которые позволяют оценить возможные максимальные и минимальные значения вышеприведенных критериев. При этом некоторые методы применимы не для всех классов КС, в связи с чем условия получения оценок критериев точности и полноты приводятся далее для каждого метода персонально.

Сигнатурные методы [15, 17] основаны на поиске определенных шаблонов (сигнатур), формально описанных в рамках определенного языка и составляющих в совокупности базу данных известных КВ. Поскольку данный метод является верифицируемым, его критерий точности стремится к единице. Таким образом, критерий полноты определяется размером базы данных сигнатур и ограничениями языка описания КВ. В работе рассмотрены следующие системы обнаружения, реализующие сигнатурный поиск КВ: антивирусы (антивирус Касперского, ESET NOD32 Antivirus, Антивирус Dr.Web, Avast Pro Antivirus, McAfee AntiVirus Plus, Kaspersky Small Office Security, AVG AntiVirus 2015) и системы обнаружения вторжений (Snort [31], Bro [98]). Поскольку некоторые из указанных систем обнаружения также включают в себя инструменты эвристического поиска, в рамках данных исследований указанные возможности не использовались в процессе обнаружения КВ. После анализа эталонного набора КВ установлено, что критерий полноты обнаружения для различных сигнатурных методов принимает значения от 0,6 до 0,8 для всех классов КС, что определяется исходя из наличия КВ из эталонного набора в базе данных сигнатур каждого отдельного метода.

Методы анализа системы состояний [18, 21] основаны на построении ориентированного графа переходов КС из состояния в состояние. При этом часть переходов такого графа являются небезопасными для всей КС. Вычисление последовательности переходов из безопасного состояния КС в опасное является обнаружением факта наличия КВ. Поскольку метод является верифицируемым, крите 84 рий точности также стремится к единице. Анализ эталонного набора КВ показал, что данный метод позволяет обнаруживать комплексные многоэтапные КВ, но при этом не предназначен для обнаружения узконаправленных КВ, эксплуатирующих конкретные уязвимости устройств и ПО. В связи с этим, критерий полноты для данной группы методов принимает значения от 0,4 до 0,7 для КС 1-го, 2-го и 3-го классов КС, аналогичных рассматриваемым в работах [18, 21].

Для методов анализа спецификаций [19, 20] и методов анализа графов сценариев атак [9], критерий точности как правило стремится к единице, поскольку данные методы являются верифицируемыми и позволяют формально доказать факт наличия КВ, что снижает количество ложных срабатываний. Основная идея указанных методов заключается в построении математической модели КС, позволяющей формально доказать свойство целостности КС и составляющих ее РП, либо наоборот – описание сценариев КВ в виде спецификаций, включающих в себя сигнатуры запрещенного поведения в КС. Основные ограничения данных методов заключаются в области поиска КВ. Так, например, в работе [20] данный метод применяется для обнаружения опасных запросов к базе данных, использующих механизм SQL-инъекций [99], что составляет всего 3% от общего числа КВ эталонного набора. Таким образом, критерий полноты для данной группы методов принимает значение от 0,3 до 0,7 для всех классов КС.

Экспертные системы [14, 100], в отличие от остальных верифицируемых методов, обладают значениями точности в пределах от 0,6 до 0,9. Это связано с высокой сложность построения таких систем, что в некоторых случаях не позволяет добиться высоких результатов точности. С другой стороны, область обнаружения КВ для наиболее сложных экспертных систем дает возможность добиться потенциально высоких значений полноты для всех классов КС [31, 101].

Для нейронных и иммунных сетей [95, 102, 103, 104], а также для метода опорных векторов и методов регрессионного анализа [105, 106] значения критериев полноты и точности могут определяться в ходе проведения обучения, что позволяет гибко управлять ходом построения системы обнаружения КВ в зависимости от имеющихся приоритетов. При этом данные методы могут применяться в КС всех классов. Похожие результаты справедливы и для методов обнаружения, основанных на анализе поведенческой биометрии [107, 108]. Однако ввиду крайне ограниченной области применения данных методов, критерий полноты не превышает значения 0,4.

Статистические методы [109, 110], как правило, наиболее подвержены ошибкам первого и второго рода, что связано с наличием жестких пороговых значений наблюдаемых ПК КС. Это приводит к возникновению ложных срабатываний при малейшем изменении логики функционирования РП КС либо к пропуску КВ при незначительном изменении реализации КВ. Таким образом, для оценки критерия точности в работе проанализированы КВ из эталонного набора, допускающие изменение ключевых характеристик, что позволяет скрыть наличие КВ. Примером такого КВ является передача данных по скрытым каналам связи или передача запрещённых команд на оборудование с использованием нестандартных протоколов или нестандартных заголовков внутри разрешенных протоколов. Оценка рассматриваемых критериев производилась для КС всех классов. Итоговые значения точности и полноты для данной группы методов составили 0,5…0,8 и 0,5…0,7 соответственно.

Экспериментальные исследования системы обнаружения и классификации конфликтных взаимодействий

Применение узкоспециализированных МСВ в рамках существующих математических моделей КВ и МСВ [1, 2, 6…9, 23…26, 34] в общем случае не может обеспечить необходимый уровень работоспособности КС. Это связано с возможным наличием неизвестных КВ, а также с высокой степенью неопределенности при выполнении задач сохранения работоспособности КС. В реальных КС может и не быть всего необходимого спектра узкоспециализированных МСВ, способных противодействовать возникающим КВ без нанесения побочного ущерба Q0k. Это приводит к необходимости эффективного применения универсальных МСВ, способных противостоять широкому спектру КВ (в том числе и неизвестных), но обладающих при этом высокими значениями побочного ущерба Q0k. Для эффективного применения универсальных МСВ необходимо обосновать обобщенную математическую модель взаимосвязи КВ и МСВ, поскольку моделирование взаимодействия всех без исключения МСВ с помощью математической модели РКС, обоснованной в главе 1, нерационально ввиду большого количества возможных комбинаций КВ и МСВ. Так, например, для 30-и универсальных МСВ существует С3к0 возможных комбинаций КВ и МСВ, что приводит к необходимости расчеты та порядка численных оценок ущерба КС. В связи с этим, рационально применять общую математическую модель РКС, обоснованную в п. 1.5, только в случае невозможности аналитической оценки взаимосвязи КВ и МСВ.

Для эффективной работы СОК, обоснованной во второй главе, и для получения необходимых численных оценок ущерба с помощью математической модели СПР, обоснованной в первой главе, необходимо наличие комплекса программ, обеспечивающих постоянное автоматическое наблюдение за всеми необходимыми ПК КС. На данный момент существует ряд решений [138… 141], позволяющих осуществить наблюдение за теми или иными ПК, однако для формализации специфических или комплексных КВ требуется анализ дополнительных ПК, таких как стойкость ключевых последовательностей (КП), контроль топологии КС и т. п. При этом перед использованием различных существующих систем оценки ПК в обоснованных математических моделях необходимо привести все получаемые данные к единому формату.

Финальным этапом работы всей СПР в целом является процесс непосредственного применения МСВ в ответ на обнаруженные или потенциальные КВ. При этом ставится задача оптимизации набора применяемых МСВ по критерию минимума остаточного ущерба КС Qjk. Для эффективного решения поставленной задачи необходимо обоснование алгоритма принятия решений на основе полученных численных оценок ущерба КС. Поскольку обоснованная математическая модель РКС в общем случае позволяет численно оценить ущерб от любой возможной комбинации КВ и МСВ, в работе предлагается использовать теоретико-игровой подход для принятия решения о применении адекватного набора МСВ [142, 143]. Предложенный подход дает возможность формально обосновать процесс принятия решения по выбору МСВ, оптимальных с точки зрения минимизации итогового ущерба КС [144…146]. При этом в качестве цены игры используются численные оценки ущерба, полученные с помощью математической модели РКС, обоснованной в первой главе. Применение теоретико-игрового подхода позволяет рассматривать как простые одношаговые КВ, так и многошаговые, что актуально для снижения влияния комплексных КВ.

Для каждой КВ u jt j = существует множество условий С , выполнение которых необходимо для его успешной реализации. В качестве таких условий в общем случае является наличие прямого или опосредованного доступа к оборудованию и вспомогательным устройствам КС, наличие необходимого уровня привилегий, а также потенциал нарушителя [147], определяющий меру усилий, затрачиваемых нарушителем при реализации заданного КВ для конкретной КС. Различают три уровня потенциала нарушителей [147]:

1 Высокий потенциал подразумевает наличие возможностей уровня предприятия, группы предприятий или государства по разработке и использованию специальных средств эксплуатации уязвимостей.

2 Средний потенциал подразумевает наличие возможностей уровня группы лиц или организации по разработке и использованию специальных средств эксплуатации уязвимостей.

3 Низкий потенциал подразумевает наличие возможностей уровня одного человека по приобретению (в свободном доступе на бесплатной или платной основе) и использованию специальных средств эксплуатации уязвимостей.

Таким образом, принцип работы универсальных МСВ основан на создании искусственных ограничений (таких как временный запрет доступа средствами сетевого экрана, снижение уровня привилегий, увеличение времени обработки транзакций и т. п.), приводящих к невыполнению одного или нескольких условий реализации из множества С1 3, j = \m. Помимо общих условий, существуют также специальные условия реализации КВ, такие как, например, наличие конкретной версии ПО, в которой присутствует та или иная уязвимость. Невыполнение одного или нескольких условий реализации КВ приводит к снижению или полному нивелированию вредоносного воздействия КВ, выражаемого в изменении ПК КС, на основе чего вычисляется ущерб КС /. В общем случае структуру КВ и МСВ можно представить следующим образом (рисунок 3.1) [144].

Разработка комплекса программ, осуществляющих наблюдение за показателями качества топологии компьютерной системы

Из анализа полученных матриц следует, что изначальная пассивная стратегия управления при более глубоком рассмотрении не является оптимальной с точки зрения минимизации Qjk остаточного ущерба КС, поскольку она приводит игровую ситуацию к платежной матрице с более высокими показателями цены игры, что соответствует более высокому значению Qjk. Низкие значения ущерба при отсутствии блокировок уязвимых рабочих станций на первых шагах оборачиваются серьезными последствиями для КС, выражаемыми в дальнейшем распространении КВ. Таким образом, итоговая многошаговая игра имеет решение при цене игры равной 0,107. Соответствующая активная комплексная стратегия уже на первом шаге игры подразумевает применение блокировок рабочих станций, непосредственно работающих с БД даже в ущерб функционирования РП обеспечения доступа в Интернет для пользователей КС.

Обоснованная в п. 3.5.3 игровая многошаговая математическая модель взаимодействия нарушителя и СПР позволяет принимать оптимальное решение о применении набора МСВ, с точки зрения минимизации Qjk остаточного ущерба КС, при произвольном количестве шагов игры. Тем не менее, в условиях непосредственного КВ критическим фактором является скорость применения противодействующих мер. Поскольку просчет игровых матриц на несколько шагов вперед занимает значительное время даже для современных мощных вычислительных машин, поэтому к моменту принятия решения со стороны СПР, нарушитель уже может успеть применить несколько шагов конфликтной стратегии. В рамках игровой математической модели это соответствует пассивной стратегии СПР, при которой на начальных шагах игры не применяются никакие МСВ. В работе предложено два подхода к решению данной проблемы:

1 Для ускорения процесса принятия решения СПР, получение оптимальных управляющих стратегий, с точки зрения минимизации Qjk остаточного ущерба КС, возможно при отсутствии реального КВ. При этом согласно априорной вероятно сти PkA появления КВ, рационально произвести математическое моделирование игровой ситуации для наиболее вероятных комбинаций КВ. Полученные в результате управляющие стратегии незамедлительно применяются сразу после обнаружения множества А КВ, для которого предварительно было получено решение многошаговой игры. Количество различных просчитанных заранее сценариев КВ при этом ограничено только вычислительной мощностью СПР и объемами хранилища данных.

2 При отсутствии обнаруженного множества А КВ в перечне просчитанных заранее конфликтных сценариев, необходимо обосновать количество просчитыва емых шагов игровой ситуации, при котором дальнейшее бездействие СПР влечет за собой возникновение ущерба КС, численная оценка которого превышает по тенциальное уменьшение ущерба КС в результате выбора более выгодной управ ляющей стратегии, с точки зрения минимизации Qjk остаточного ущерба КС. Дальнейший просчет шагов игровой ситуации также нерационален, если приме нение пассивной стратегии СПР уже в краткосрочной перспективе приводит к возникновению ущерба КС, численная оценка которого превышает максимально допустимые значения.

Примерами реализации первого подхода являются рассмотренные в п. 3.5.2 и 3.5.3 игровые ситуации. Используя полученные результаты в виде оптимальных управляющих стратегий, при обнаружении рассмотренных множеств A КВ, СПР обеспечит минимальное значение Q- побочного ущерба КС. При этом отсутствует необходимость заново рассчитывать платежную матрицу, если исходные условия игры не были видоизменены, что позволяет оперативно и в автоматическом режиме реагировать на обнаруженные КВ.

При наличии изменений в стратегиях нарушителя или СПР, а также при изменении элементов платежной матрицы, возникающих в результате модификации приоритетов важности активов КС, применение предыдущего подхода становится нерациональным. В этом случае необходимо пересчитывать игровую матрицу в режиме реального времени.

Предположим, что для каждой конфликтной s,j = l,nu и управляющей s,к = \,пт, стратегии имеется время реакции г/ и т соответственно, необходимое нарушителю (или СПР) для применения соответствующих стратегий. Например, для КВ нарушения конфиденциальности время г/ является суммой промежутков времен, необходимых для получения доступа к закрытой информации и времени ее копирования.

Также введем время, необходимое на просчет полной матрицы событий , соответствующей игровой ситуации из nq шагов, и обозначим как т(п . Время просчета зависит от размерности начальной матрицы, которая равна птпи. Тогда, при времени решения одной игровой матрицы, соответствующей одному шагу игры, равном т0, величина rfriq) прямо пропорциональна количеству необходимых итераций для расчета начальной матрицы по формуле: