Содержание к диссертации
Введение
1. Анализ программы обеспечения надежности СЗИ автоматизированной системы депозитарного обслуживания 13
1.1. Особенности обеспечения информационной безопасности автоматизированной системы депозитарного обслуживания 13
1.2. Анализ методов и средств обеспечения информационной надежности СЗИ АСДО 31
1.2.1. Основные понятия информационной надежности СЗИ АСДО 31
1.2.2. Методы и средства обеспечения информационной надежности СЗИ АСДО 42
1.3. Математические модели надежности программного обеспечения СЗИ 43
1.4. Система обеспечения информационной надежности СЗИ АСДО 49
1.5. Выбор и обоснование общей процедуры определения характеристик поин СЗИ АСДО. Постановка задачи... 54
Выводы по 1 разделу 64
2. Разработка математических моделей обеспечения информационной надежности СЗИ АСДО 66
2.1. Общие положения по математическому моделированию процессов обеспечения информационной надежности СЗИ АСДО с использованием ПМП 66
2.2. Математическая модель обеспечения ИН СЗИ АСДО с применением планово-предупредительного технического обслуживания 72
2.3. Математическая модель обеспечения ИН СЗИ АСДО с применением аварийно-восстановительного технического обслуживания 81
2.4. Математическая модель обеспечения информационной надежности СЗИ АСДО с применением аварийно-восстановительного и планово-предупредительного технического обслуживания 85
2.5. Результаты исследования показателя информационной надежности СЗИ АСДО 89
2.6. Математическая модель затрат на обеспечение ИН СЗИ АСДО 101
Выводы по 2 разделу 108
3. Разработка методики определения системотехнических характеристик программы обеспечения информационной надежности СЗИ АСДО 110
3.1. Математическая постановка задачи 110
3.2. Исследование задачи квазилинейного программирования 116
3.3. Разработка алгоритма решения задачи квазилинейного программирования 120
3.4. Исследование устойчивости задачи квазилинейного программирования 130
Выводы по 3 разделу 136
4. Разработка методических положений по определению. характеристик программы обеспечения информационной надежности СЗИ АСДО 137
4.1. Методические рекомендации по определению системотехнических характеристик программы обеспечения информационной надежности СЗИ АСДО 137
4.2. Исследование нестационарных потоков программных отказов при ограниченном числе ошибок в программном обеспечении СЗИ АСДО 145
4.3. Определение оптимальной стратегии восстановления программного обеспечения 150
4.4. Предложения по совершенствованию программы обеспечения информационной надежности СЗИ АСДО 157
Выводы по 4 разделу 165
Заключение 167
Список литературы 171
- Анализ методов и средств обеспечения информационной надежности СЗИ АСДО
- Математическая модель обеспечения ИН СЗИ АСДО с применением планово-предупредительного технического обслуживания
- Разработка алгоритма решения задачи квазилинейного программирования
- Исследование нестационарных потоков программных отказов при ограниченном числе ошибок в программном обеспечении СЗИ АСДО
Введение к работе
В 1992 году была образована Московская межбанковская валютная биржа (Moscow Interbank Currency Exchange - MICEX, ММВБ), которая стала и остается ведущей российской биржей. Московская межбанковская валютная биржа является саморегулируемой организацией, объединяющей профессиональных участников валютного, фондового, срочного и других сегментов финансового рынка, обеспечивающей организацию торговли различными финансовыми инструментами и развитие инфраструктуры финансового рынка.
На ее основе создана общенациональная система торгов на всех основных сегментах финансового рынка - валютном, фондовом и срочном - как в Москве, так и в крупнейших финансово-промышленных центрах России.
Расширение сфер деятельности ММВБ, увеличение количества участников рынка, их территориальное распределение по регионам России привели к необходимости совершенствования депозитарного обслуживания клиентов, и, как следствие, к созданию в 1997 году Национального Депозитарного Центра (НДЦ). В настоящее время ММВБ совместно НДЦ и Расчетной палатой осуществляет расчетно-клиринговое и депозитарное обслуживание более 600 организаций - участников биржевого рынка.
Современной цивилизованный организованный рынок государственных, муниципальных и корпоративных ценных бумаг (ОРЦБ) невозможен без системы, обеспечивающей их хранение, учет, движение на рынке, надежное удостоверение прав пользования ими, а также создание оперативного и эффективного механизма финансовых расчетов. Депозитарная система, включающая в себя сеть функционально связанных между собой депозитариев, и является такой системой.
Как известно, депозитарная деятельность на ОРЦБ связана с разработкой, хранением, оперативной обработкой и передачей огромного количества финансовых документов, содержание которых является конфиденциальным и должно сохранять свою целостность на всех этапах депозитарного обслуживания. Естественно, все это потребовало создания автоматизированной информационной системы, способной обрабатывать огромные массивы документов, динамически перемещающимися между участниками ОРЦБ. Такая система получила название автоматизированной системы депозитарного обслуживания (ЛСДО). АСДО представляет собой корпоративную автоматизированную информационную систему, которая осуществляет ведение электронного депозитария Национальным Депозитарным Центром. Подсистема включает вычислительный комплекс НДЦ, прикладное программное обеспечение "Система Головного Депозитария" (ППО СГД) и рабочие места НДЦ, Банка России, ММВБ, региональных представительств НДЦ и депонентов.
Являясь взаимосвязанными, они, тем не менее, решают свои специфические задачи, имеют свое прикладное программное обеспечение, по-разному используют вычислительные и телекоммуникационные средства корпоративной сети ММВБ.
Применение АСДО для хранения, обработки и передачи конфиденциальной финансовой, коммерческой информации связано с решением задачи обеспечения ее безопасности. Эта информация должна быть надежно защищена от хищения, искажения уничтожения и несанкционированного использования. Для обеспечения информационной безопасности депозитарного обслуживания депонентов ОРЦБ применяются программные и технические средства защиты информации (СЗИ), а также осуществляются специальные организационные меры.
Надежность СЗИ АСДО определяется рядом фактором, основными из которых являются [2, 23, 43, 33, 34, 57, 58, 65]:
структура и алгоритмы функционирования СЗИ;
надежность технического и программного обеспечения СЗИ;
профессиональная подготовка, исполнительность и дисциплина персонала АСДО и службы безопасности НДЦ, а также депонентов;
Л-Д организация эксплуатации СЗИ;
защита СЗИ от воздействия злоумышленников и другие факторы.
АСДО включает совокупность объектов обработки депозитарной информации, определенным образом соединенных каналами передачи данных и закрытых СЗИ. Каждое СЗИ АСДО представляет собой единый аппаратурно-программный комплекс, состоящий из технических средств (аппаратурная часть), программного и математического (программная часть), информационного и лингвистического (информационная часть), а также организационного и правового (эргономическая часть) обеспечения. К процессу криптографического преобразования информации в СЗИ АСДО предъявляются высокие требования по своевременности, достоверности и безопасности.
Исключительная важность задач депозитарного обслуживания участников ОРЦБ требует высокой надежности всех СЗИ АСДО. Наличие в составе АСДО СЗИ, включающих в свой состав разнообразные технические и программные средства, эксплуатирующиеся персоналом различной квалификации, делает возможным, а в ряде случаев и необходимым, выделение из сложного свойства надежности главную для СЗИ составляющую, имеющую относительную самостоятельность, - информационную надежность (ИН). Под информационной надежностью (ИН) будем понимать свойство СЗИ сохранять во времени в установленных пределах значения всех параметров, характеризующих способность выполнять функции защиты информации в процессе решения задач депозитарного обслуживания депонентов ОРЦБ в заданных режимах и условиях применения, технического обслуживания, ремонтов, хранения и транспортирования технических и программных средств, а также действий персонала.
Информационная надежность является комплексным свойством СЗИ АСДО, которое охватывает техническую, программную и эрратическую надежность и наиболее полно описывает эксплуатационные свойства средств защиты информации.
Требуемый уровень информационной надежности СЗИ АСДО обеспечивается как на стадии создании, так и на стадии их эксплуатации. Обеспечение ИН - процесс непрерывный и осуществляется с использованием большого многообразия технических (контроля, диагностирования, измерения параметров и других) и программных (тестирования, верификации, разграничения доступа и других) средств, а также выполнением широкого комплекса различных организационно-технических мероприятий (техническое обслуживание, ремонт, доработки и других), совокупность которых составляет систему обеспечения информационной надежности (СОИН) СЗИ АСДО.
Совокупность документов, определяющих характеристики всех"" элементов: СОИН, порядок их функционирования, а также взаимосвязь по месту, времени и содержанию работ, обеспечивающих требуемую ИН СЗИ, получила название программы обеспечения информационной надежности (ПОИН). Программа обеспечения ИН СЗИ реализуется подразделениями безопасности и эксплуатации.
Целью ПОИН СЗИ является поддержание требуемого уровня информационной надежности, обеспечивая при этом гарантированную безопасность депозитарного обслуживания депонентов в любых условиях применения системы.
Однако формирование и реализация ПОИН СЗИ требует значительных затрат материальных, финансовых и других ресурсов. Вследствие этого, особую актуальность приобретает научное направление, связанное с обеспечение ИН СЗИ и совершенствованием ПОИН. Одной из задач этого направления является обоснование оптимальной программы обеспечения ИН СЗИ, при которых гарантируется заданный уровень информационной надежности СЗИ АСДО при минимально необходимом объеме выделенных ассигнований.
Обеспечение высокой информационной надежности СЗИ при достаточно низких затратах ресурсов, выделяемых на разработку и реализацию ПОИН (включая создание, развертывание и применение СОИН), а также минимуме ущерба (финансового) от неправильных действий персонала НДЦ и злоумышленников, делает актуальной задачу исследования и определения характеристик программы (оптимизации программы) обеспечения ИН (ПОИЛ) СЗИ АСДО. Эта задача по существу эквивалентна задаче определения характеристик СОИН.
Однако в настоящее время отсутствует практически реализуемый и достаточно разработанный теоретический и методический аппарат обоснования программы обеспечения информационной надежности СЗИ [18, 23, 69].
В связи с этим возникло объективное противоречие между весьма высокими требованиями, предъявляемыми к информационной надежности СЗИ, возможностями существующих ПОИН по их достижению и отсутствием адекватных теоретических и методических и методов и моделей определения характеристик программы обеспечения ИН СЗИ АСДО.
Теоретическим фундаментом разрешения данного противоречия является методология системного анализа и синтеза систем обеспечения надежности объектов различного назначения, основы которой изложены в работах Барзиловича Е.Ю., Барлоу Р., Бусленко Н.П., Гнеденко Б.В., Джевелла В.Л., Коваленко И.Н., Кокса Д.Р., Королюка B.C., Рембезы А.И., Тихонова В.И., Ушакова И.А., Ховарда Р. и многих других отечественных и зарубежных ученых. Однако в этих работах не в полной мере учитывается вся совокупность факторов, влияющих на процессы обеспечения ИН СЗИ, отсутствует! комплексное решение задачи определения характеристик ПОИН и не отражается специфика депозитарного обслуживания депонентов на ОРЦБ.
Исследуемая система обеспечения ИН СЗИ АСДО имеет сложную структуру и описывается большим числом разнообразных характеристик (технических и программных средств, встроенных и автономных средств тестирования, технического обслуживания и ремонта, эксплуатирующего СЗИ персонала и других средств, мероприятий и сил). Определение характеристик подобных систем возможно на основе принципов многоуровневого моделирования [11, 63, 67], последовательной декомпозиции целей и задач [73, 74] и итеративной процедуры выработки решений [67, 96]. При определении характеристик программы обеспечения ИН СЗИ возникает необходимость создавать на каждом уровне исследования комплекс математических моделей с использованием теории случайных процессов [20, 86, 99], теории массового обслуживания [9, 22, 46, 49], марковских и полумарковских процессов [54, 88] с учетом методов теории надежности технических [5, 6, 21, 23, 102] и программных [57, 58, 59] СЗИ АСДО.
Для обоснования решений, получаемых с использованием моделей обеспечения информационной надежности СЗИ, применяются достижения теории эффективности [29, 67], методы исследования сложных систем [10, 11, 100] и исследования операций [14, 56], учитывающие специфику СОИН. Методы определения характеристик восста 8 новления технических и программных средств разрабатываются на основе достижений теории эксплуатации [15, 39, 68] и результатов исследований, полученных при совершенствовании систем обеспечения надежности [5, 15, 43, 69, 94] технических и программных средств. Методы определения характеристик программы обеспечения надежности сложных изделий, к которым относится СЗИ АСДО, рассматриваются в работах [29, 42, 45, 47, 64].
Однако большинство полученных результатов связано с разработкой моделей, не в полной мере учитывающих всю совокупность характеристик ПОИН и специфику процессов обеспечения ИН СЗИ, включающих технические и программные средства. Кроме того, математический и методический аппарат определения характеристик ПОИН разработан недостаточно глубоко и требует дальнейшего совершенствования и развития.
Таким образом, возникает актуальная научная задача исследования математических моделей обеспечения ИН СЗИ и разработки на этой основе методики обоснования ПОИН средств защиты информации, учитывающих эволюцию состояния их технических и программных средств в условиях действия множества разнообразных факторов стохастической и детерминированной природы.
Научный аспект задачи заключается в разработке методики определения харакчитеристик программы обеспечения ИН СЗИ на основе управляемых полумарковских процессов (УПМП). Научная новизна решаемой задачи определяется разработанными оригинальными алгоритмами поиска оптимальной нерандомизированной стратегии управления полумарковским процессом (ПМП) при наличии дополнительного ограничения на показатель информационной надежности СЗИ. Сложность решения научной задачи обусловлена, с одной стороны, трудностью формализации взаимодействия средств СОИН между собой и с СЗИ, большой размерностью получаемых задач математического программирования из-за необходимости учета значительного числа существенных факторов стохастической и детерминированной природы и многовариантностью программ обеспечения ИН СЗИ. С другой стороны, отсутствуют методы и модели, позволяющие адекватно решить научную задачу исследования и определения характеристик программы обеспечения ИН СЗИ.
Технический аспект задачи состоит в разработке и обосновании методического аппарата определения характеристик программы обеспечения ИН СЗИ, включающего в основном комплекс инженерных алгоритмов определения характеристик СОИН, а также практических рекомендаций по обеспечения ИН СЗИ.
Экономический аспект проблемы заключается в необходимости всемерного сокращения затрат на обеспечение ИН СЗИ. Целью диссертации является исследование надежности средств защиты информации и разработка методики обоснования программы обеспечения ИН СЗИ АСДО, а также практических рекомендаций по ее использованию.
Для достижения поставленной цели в работе решены следующие основные задачи:
определения основных понятий информационной надежности СЗИ;
формулирования общих принципов определения характеристик программы обеспечения ИН СЗИ;
разработки и исследования квазилинейного алгоритма определения характеристик программы обеспечения ИН СЗИ;
разработки и исследования комплекса математических моделей обеспечения информационной надежности СЗИ с использованием полумарковских процессов для оценивания вариации характеристик программы обеспечения ИН;
разработки и исследования математических моделей нестационарных потоков программных отказов СЗИ с ограниченным числом ошибок в программном обеспечении;
разработки методов определения организационно-технических характеристик программы обеспечения ИН СЗИ.
На защиту выносятся:
методика определения системотехнических характеристик программы обеспечения ИН СЗИ;
методические положения по определению организационно-технических характеристик программы обеспечения ИН СЗИ.
Теоретический уровень работы обеспечивается применением современного математического аппарата управляемых полумарковских процессов, методов исследования операций и системного анализа, строгим доказательством основных теоретических положений и утверждений.
Научная новизна исследований заключается в том, что в диссертации:
сформулированы основные понятия и определения информационной надежности СЗИ АСДО;
разработан и обоснован квазилинейный алгоритм определения системотехнических характеристик программы обеспечения ИН СЗИ;
разработан и исследован комплекс математических моделей обеспечения ИН СЗИ;
предложена совокупность согласованных и распределенных по уровням методов определения характеристик программы обеспечения ИН СЗИ. Практическая ценность работы заключается в том, что в ней предложены:
методический аппарат определения характеристик программы обеспечения ИН СЗИ, включающий инженерные методы и алгоритмы определения характеристик ПОИН;
модели обеспечения информационной надежности СЗИ, позволяющие исследовать эффективность принимаемых решений по поддержанию ИН СЗИ на различных стадиях жизненного цикла;
организационные мероприятия, направленные на совершенствование программы обеспечения информационной надежности СЗИ.
Достоверность полученных теоретических и практических результатов обеспечивается:
строгим доказательством основных теоретических положений и утверждений;
проверкой непротиворечивости отдельных результатов диссертации результатам, полученным другими методами и подтвержденных практикой;
апробацией результатов в печати, в государственных и коммерческих организациях.
Использование полученных в диссертации результатов позволяет повысить информационную надежности СЗИ и сократить затраты на реализацию] программы обеспечения информационной надежности СЗИ. Предложенные методы доведены до расчетных формул, таблиц или графиков и алгоритмов, которые могут быть использованы для решения практических задач. Практическая ценность подтверждается использованием материалов диссертации в и промышленных организациях при разработке руководящих документов для персонала эксплуатации СЗИ АСДО, совершенствовании системы технического обслуживания и ремонта СЗИ.
Результаты работы реализованы в промышленности, научных организациях и в учебном процессе:
при совершенствовании системы ремонта и контроля технического состояния СЗИ АСДО;
при разработке программного и методического обеспечения информационной надежности СЗИ АСДО;
при обосновании эксплуатационных требований, разработке технических предложений на перспективные технические и программные СЗИ АСДО;
при обосновании требований к надежности программного обеспечения СЗИ АСДО.
Внедрение и использование результатов работы подтверждаются соответствующими актами и заключениями о реализации. Основные результаты диссертационной работы как общетеоретического, так и прикладного характера, начиная с 1998 года, ежегодно докладывались на научно-технических конференциях и семинарах, проводимых рядом научно-исследовательских, конструкторских и производственных организаций. Результаты, относящиеся к организации технического обеспечения СЗИ АСДО, разработке технических и программных средств обеспечения информационной надежности СЗИ, прошли апробацию в руководящих документах для персонала НДЦ, при испытаниях и эксплуатации технических и программных СЗИ.
Основные результаты опубликованы в 9 печатный работах, выполненных автором самостоятельно и в соавторстве, среди которых 5 статей, 2 научно-методических материала и 2 тезисов доклада.
Диссертация состоит из введения, четырех разделов, заключения и списка литературы.
В первом разделе определяется объект исследования. Вводятся основные понятия и определения информационной надежности СЗИ АСДО. Определено содержание программы и выполнен анализ существующей системы обеспечения информационной надежности СЗИ. Делается вывод о необходимости разработки теоретических и методических положений по определению характеристик программы обеспечения ИН СЗИ\ АСДО. Описаны общие принципы определения характеристик программы обеспечения ИН. Разработаны показатели эффективности программы обеспечения информационной надежности СЗИ. Сформулирована общая научная задача диссертации и поставлены частные задачи исследования.
Во втором разделе изложены основные вопросы математического моделирования процессов обеспечения информационной надежности СЗИ. Разработан комплекс математических моделей обеспечения информационной надежности СЗИ, учитывающих принципы их построения и возможные системы технического обслуживания и ремонта. Выполнено исследование влияния характеристик программы обеспечения ИН СЗИ на показатель информационной надежности и определены возможные пределы их вариации.
В третьем разделе разработан математический аппарат определения системотехнических характеристик программы обеспечения ИН СЗИ, базирующийся на теории управляемых полумарковских процессов. Сформулирована математическая постановка задачи, разработаны и обоснованы алгоритмы ее решения. Исследована сходимость предложенных алгоритмов и выполнено оценивание их устойчивости. Обоснованы методы параметризации функций затрат на обеспечения ИН СЗИ. Приведены рекомендации по практическому использованию алгоритмов определения характеристик программы обеспечения ИН СЗИ.
В четвертом разделе изложены методические положения по определению системотехнических характеристик программы обеспечения ИН СЗИ АСДО. Исследованы нестационарные потоки программных отказов при ограниченном числе ошибок в программном обеспечении СЗИ. Разработаны методы определения требований к характеристикам восстановления программного обеспечения СЗИ. Изложены предложения по совершенствованию программы обеспечения информационной надежности СЗИ АСДО.
Анализ методов и средств обеспечения информационной надежности СЗИ АСДО
СЗИ, как и любые другие технические системы, обладает некоторой качественной существенной определенностью. Эта существенная определенность СЗИ представляет функциональное единство их свойств и выражает основные отличия от других систем. Таким образом, под качеством СЗИ будем понимать совокупность их существенных свойств (рис. 1.5).
Качество характеризует пригодность СЗИ к использованию по назначению. Однако пригодность СЗИ АСДО к использованию по назначению определяется объективными и субъективными факторами, обусловленными условиями эксплуатации, действиями персонала НДЦ, депонентов и злоумышленников. Качество СЗИ зависит также от совокупности целей, которые поставлены перед системой обеспечения информационной безопасности АСДО в процессе депозитарного обслуживания депонентов.
Свойства СЗИ обнаруживаются и проявляются в процессе взаимодействия их с другими средствами и средой, в которой они функционируют. Назовем свойства СЗИ АСДО, проявляющиеся в процессе обеспечения безопасности депозитарного обслуживания депонентов, эксплуатационными.
Эксплуатационные свойства, находится в прямой зависимости от условий применения и воздействующих факторов внешней среды субъективного (действий персонала НДЦ) и объективного (условий обеспечения информационной безопасности депозитарного обслуживания депонентов и действий злоумышленников) характера, а также определяется целями применения СЗИ по назначению. Уровень свойств обычно оценивается количественными или качественными показателями, а степень соответствия их установленным требованиям - критериями. Выбор показателей и критериев эксплуатационных свойств - процесс творческий и нетривиальный, определяемый особенностями построения СЗИ, условиями обеспечения информационной безопасности ДО депонентов и целями их применения.
Одним из важнейших свойств СЗИ является эффективность. Под эффективностью понимают степень соответствия фактического или ожидаемого результата обеспечения безопасности депозитарного обслуживания депонентов требуемому, т.е. это фактически свойство создавать некоторый полезный результат (выходной эффект) в течение заданного периода эксплуатации в определенных условиях [70].
Основным эксплуатационным свойством СЗИ является надежность. Надежность - свойство СЗИ сохранять во времени в установленных пределах значения всех параметров, характеризующих способность выполнять требуемые функции обеспечения информационной безопасности депозитарного обслуживания депонентов в заданных режимах и условиях применения, технического обслуживания, ремонтов, хранения и транспортирования [25].
Надежность, в отличие от некоторых других эксплуатационных свойств (оперативности, безопасности, стоимости и др.), характеризует зависимость этого свойства от времени применения, либо наработки СЗИ. Надежность обязательно следует учитывать при оценке качества СЗИ. Вывод о качестве СЗИ может быть сделан только тогда, когда учитываются значения параметров и показатели свойств в течение заданного интервала времени. Нельзя, например, говорить о качестве СЗИ, судя лишь по оперативности обслуживания запросов депонентов или обеспечения информационной безопасности, не учитывая надежность. Точно также нельзя правильно оценить эффективность СЗИ без учета их надежности.
Надежность является сложным свойством, которое в зависимости от назначения СЗИ и условий их применения может включать безотказность, долговечность, ремонтопригодность и сохраняемость в отдельности или определенные их сочетания. Рассмотрим содержание свойств, составляющих надежность.
Безотказность - свойство СЗИ непрерывно сохранять работоспособное состояние в течение некоторого времени или некоторой наработки.
Долговечность - свойство СЗИ сохранять работоспособное состояние до наступления предельного состояния при установленной системе технического обслуживания и ремонта.
Ремонтопригодность - свойство СЗИ, заключающееся в приспособленности к предупреждению и обнаружению причин возникновения отказов, повреждений и поддержанию и восстановлению работоспособного состояния путем проведения технического обслуживания и ремонтов.
Сохраняемость - свойство СЗИ сохранять значения показателей безотказности и ремонтопригодности в течение и после хранения и (или) транспортирования.
Наличие в СЗИ различных технических и программных средств, эксплуатирующихся персоналом НДЦ различной квалификации, делает возможным, а в ряде случаев и необходимым декомпозицию сложного свойства надежности N на составляющие, имеющие относительную самостоятельность. Целесообразно выделить техническую Nm, программную N„ и эргатическую N} составляющие надежности СЗИ.
Определение надежности в ГОСТ 27.002-83 фактически определяет техническую надежность (ТН) СЗИ.
Техническая надежность или надежность технических средств защиты информации активно и плодотворно изучается уже несколько десятилетий и широко рассмотрена в научно-технической литературе [5, 18, 40, 44, 58, 71]. Надежность программного обеспечения является сравнительно новой научной дисциплиной, которая еще находится в стадии своего формирования и развития.
Применение основных понятий технической надежности к оцениванию качества ПО позволяет адаптировать и развить эту теорию применительно к надежности программ. Уточним фундаментальные понятия теории надежности для ПО СЗИ.
Однако сначала рассмотрим две стороны качества программного обеспечения СЗИ. Во-первых, следует выделить программную надежность СЗИ, а, во-вторых, надежность собственно ПО [23].
Математическая модель обеспечения ИН СЗИ АСДО с применением планово-предупредительного технического обслуживания
В процессе функционирования СЗИ АСДО, как указывалось в разделе 1 диссертации, могут возникать три основных вида отказов: технический, программный и эрга-тический.
Технический отказ обусловлен физическими процессами в аппаратуре СЗИ (обрывы, короткие замыкания, выход электрических параметров на пределы установленных норм и др.). Такой отказ, как правило, делает невозможным дальнейшее функционирование СЗИ, и требует проведения ремонтных работ.
Программный отказ может проявиться как нарушение вычислительного процесса в СЗИ (зависание, останов и др.) или неправильное выполнение алгоритмов криптографического преобразования информации АСДО, обнаруживаемый в процессе применения или технического обслуживания системы. Вообще говоря, выявление программных отказов является весьма сложной задачей. Чаще всего ВСТ реагируют на программный отказ выдачей сигналов ложной тревоги. Программы являются" дополни 7 . тельным источником информационных отказов, причем поток программных отказов может существенно превышать поток технических отказов [57].
Эргатический отказ связан с неправильными случайными или преднамеренными несанкционированными действиями персонала АСДО. Эргатический отказ на практике проявляется как технический или программный отказы. Поэтому, такой отказ по причине возникновения является эргатическим, а по последствиям его проявления - техническим или программным.
В результате анализа внешних проявлений отказа и тестирования программного обеспечения может быть установлено, что программы содержат ошибку, которую требуется устранить. Вместе с тем при устранении выявленных ошибок в программы могут вноситься с некоторой вероятностью р0 новые ошибки, в результате которых СЗИ будут находиться в состояние скрытого отказа. При техническом обслуживании выявленные программные отказы устраняются. Однако и в этом случае возможно внесение в программы новых ошибок, которые не обнаруживаются при техническом обслуживании.
В настоящее время для обеспечения ИН используется планово-предупредительное техническое обслуживание СЗИ [69]. Основной отличительной особенностью ППТО является проведение планового технического обслуживания СЗИ через строго определенные периоды Тто времени и установленного объема tm0. Планово-предупредительное ТО позволяет достаточно просто планировать и организовывать техническое обслуживание СЗИ. В то же время ППТО не учитывает реального технического состояния СЗИ и требует для осуществления ТО значительных, иногда неоправданных, финансовых, материальных и иных затрат ресурсов.
Рассмотрим ПМП обеспечения ИН СЗИ и определим показатель информационной надежности системы.
Пусть в момент ввода в эксплуатацию СЗИ находились в работоспособном состоянии, и время до возникновения информационного отказа из-за технических, программных и эргатических отказов подчинено экспоненциальному закону с функциями распределения соответственно Fm(t)=\-exp(-Xat), F„(t)=\-exp(-X„t) и F3(t)=l-exp(-X3t), где т, К, Л» - соответственно параметры потоков технических, программных и эргатических отказов. В процессе применения СЗИ непрерывно тестируется ВСТ, которые в случая возникновения отказа могут обнаружить его с вероятностью D„, (D„), обусловленной недостаточной глубиной тестирования и ошибками диагностирования аппаратуры и программных средств. ВСТ при отсутствии отказов может выдавать ложные сигналы обнаружения отказов аппаратуры через время ілт и программных средств через время tnn, распределенные по экспоненциальному закону с функциями распределения соответственно Vm(t)=l-exp(-vmt) и Vn(t)=l-exp(-v„t).
Выявленные ВСТ технические и программные отказы устраняются затем в течение соответственно случайного времени tem и tm восстановления с функциями распределения Gm(t)=\-exp(-fimt) и G„(t)=l-exp(-fi„t) силами администраторов и инженерно технического персонала подразделений безопасности и эксплуатации НДЦ. Время восстановления определяется характером отказов аппаратуры и ошибок в программах, наличием ЗИП, временем прибытия ремонтной бригады и другими факторами. Через время Тто, равное периоду вывода СЗИ на плановое ТО, в течение времени tm0, осуществляется контроль технических и программных средств с использованием как ВСТ, так и ACT. При этом, если в момент вывода СЗИ на ТО в средствах имелся необнаруженный ВСТ на этапе применения отказ или необнаруженная ошибка в программах, то ACT за время ікт (хкп)с вероятностью Dikm (Djkn) может их обнаружить и с вероятностью l-Dikm (1-Dikn) - пропустить. Все выявленные в ходе ТО отказы устраняются силами персонала АСДО, выполняющего техническое обслуживание, с вероятностью Ртто (Рпто)- Если СЗИ в начальный момент ТО находилась в работоспособном состоянии, то ACT могут определить их состояние с вероятностью D2km (D2kn) как работоспособное и с вероятностью \-D2km (1- W - как неработоспособное.
Таким образом, СЗИ из ТО могут поступать на восстановление или переходить в режим проведения депозитарных транзакций как в работоспособном состоянии, так и имея отказы аппаратуры или ошибки в программах. При этом на этапе применения СЗИ могут эксплуатироваться с не выявленными скрытым отказом и ошибками в программах. Скрытые отказы по истечении случайного времени tcm (tcn) распределенного по экспоненциальному закону с функцией Qm(t)=l-exp(-comt) (Qn(t)=l-exp(-co„t)), могут проявляться сами, например при обработке СЗИ определенного вида и содержания информации, не толерантной к отказам, или обнаружены другими средствами.
Разработка алгоритма решения задачи квазилинейного программирования
Для решения задачи квазилинейного программирования (3.21), целесообразно использовать методы линейного программирования, например симплекс-метод или модифицированный симплексный метод [4, 30]. Запишем для задачи квазилинейного программирования выражение симплекс ного критерия: . Особенностью структуры и использования критерия (3.30) является то, что определение переменной Zi(u), подлежащей вводу в базис, осуществляется с учетом штрафа Y[a, Z(5)] S, величина которого зависит от расстояния в RN между базисным решением и областью допустимых решений задачи (3.21). Если базисное решение порождает допустимую стратегию управления ПМП, попадающую в область допустимых решений задачи ДдгХАдь то функция штрафа осуществляет перевод решения во множество Адь Если базисное решение находится во множестве Лдь то решается известная задача линейного программирования. Если симплексный критерий Gi(u) Q для некоторых ieS, иєііі и Ч [а, Z(6)]=0, то решение задачи допускает улучшение во множестве стратегий Аді. При Р[а, Z(5)] 0 производится перевод решения из множества стратегий Ддг\Аді во множество Адь Если для всех ieS, и eUi Gj(u)0 и F[a, Z(S)]=0, то полученное решение является оптимальным и порождает NR-оптимальную стратегию управления ПМП, доставляющую решение задачи определения системотехнических характеристик ПОИН СЗИ. При G;(u)0 для всех ieS, иєііі и Т[а, Z(b)\ ф решение задачи не порождает стратегию, принадле жащую множеству допустимых стратегий АД1. В этом случае необходимо пересмотреть структуру штрафной функции и скорректировать ограничения на показатель информационной надежности СЗИ после проверки их выполнимости.
Таким образом, общая идея поиска NR-оптимальной стратегии управления ПМП при наличии показателя информационной надежности СЗИ заключается в одновременном решении двух задач: задачи линейного программирования и задачи минимизации симплексного критерия, например, с использованием метода штрафных функций, причем вторая из них вложена в первую. Применение функции штрафа позволяет переводить решение задачи квазилинейного программирования (3.21) из множества стратегий управления ПМП Ад2\Аді во множество Аді и использовать затем стандартные методы линейного программирования. Назовем такой способ решения задачи (3.21) квазилинейным алгоритмом. Рассмотрим квазилинейный алгоритм, основывающийся на использовании функции штрафа. Существует несколько способов представления функции штрафа [93]: основной вид штрафной функции: Проанализируем возможность использования штрафных функций различного вида для решения задачи квазилинейного программирования. Штрафная функция (3.31) или внешняя штрафная функция преобразует целевую функцию задачи (3.19) таким образом, что значения преобразованной функции во множестве допустимых стратегий Аді в точности или приближенно равны значениям самой целевой функции. Вне множества допустимых стратегий Адг\Аді значения преобразованной функции очень велики по сравнению со значениями исходной целевой функции.
При этом рост значений преобразованной функции зависит от того, насколько от личается текущая величина показателя информационной надежности СЗИ от требуемого, а также от величины штрафного коэффициента. Скорость роста преобразованной функции определяется множителем . При решении квазилинейной задачи, как следует из подраздела 3.2, функция штрафа используется для минимизации симплексного критерия G,{u). Оптимальное значение симплексного критерия определяется по формуле [36]: Штрафные функции (3.31) и (3.32) по эффективности применения в задачах оптимизации практически одинаковы, но первая из них обладает несколько меньшей вычислительной сложностью. Барьерные функции (3.33) и (3.34) добавляют штраф к симплексному критерию по мере приближения стратегии управления ПМП к множеству Аді из множества Адг\Аді и достигают наибольшего значения при выполнении требований к показателю информационной надежности СЗИ. При использовании барьерных функций всегда есть опасность, особенно при достаточно больших значениях штрафного множителя, того, что решение задачи будет найдено в точке локального минимума [3]. Это обстоятельство вынуждает многократно варьировать значениями штрафного множителя, и каждый раз снова решать задачу оптимизации. Анализ показывает, что для минимизации симплексного критерия целесообразно использовать штрафные функции (3.31). Вместе с тем специальная структура симплексного критерия позволяет трансформировать определенным образом общую процедуру метода штрафных функций, что существенно уменьшает вычислительную сложность решения задачи. ТЕОРЕМА 3.6. Если (7/а, и) - симплексный критерий задачи квазилинейного программирования (3.21), то его максимальное значение достигается при а со ДОКАЗАТЕЛЬСТВО.-4Найдем нижнюю оценку для множителя а, при котором выполняются условия (3.20). Очевидно, условия справедливы, когда штрафной множитель Доказанные теоремы позволяют упростить процедуру поиска NR-оптимальной стратегии управления ПМП в задаче (3.21). В соответствии с теоремой 3.6 минимум симплексного критерия не обязательно искать при к значениях штрафного множителя. Достаточно определить его значение из выражения (3.36) и затем решить задачу минимизации симплексного критерия Gi(a, и). Переменная Zi(u), подлежащая вводу в базис в задаче квазилинейного программирования, определяется для тех ieS, iieU,; при которых достигается минимум критерия (3.30). ТЕОРЕМА 3.7. Если управление и eUi, применяемое в состоянии ієБ не зависит от управления ueUj в состоянии j eS, то для каждой итерации решения задачи квазилинейного программирования справедливо выражение: ДОКАЗАТЕЛЬСТВО. Согласно теореме 3.2 для любого состояния ieS найдется в точности одно управление и eUi ПМП, для которого переменная Zi(u) 0. Если на текущей итерации решения задачи в базис была введена переменная z,{u), то на следующей итерации изменение базиса может быть выполнено только вводом переменной z/к), к eUpjrf, что и доказывает утверждение (3.37). СЛЕДСТВИЕ. Если выполняются условия теоремы, то оптимальная стратегия управления ПМП в задаче квазилинейного программирования находится за N итераций. Утверждение следствия очевидно и полностью вытекает из теоремы 3.7. Отметим, во-первых, что если в задаче (3.21) переменная Zi(u), ieS, ueUi вводится в базис, то выводится из базиса должна переменная г/и), уеУ, ueUj,J7i. Во-вторых, если управление, применяемое в одном из состояний, оказывает влияние на управление в другом состоянии, то количество итераций может увеличиться.
Исследование нестационарных потоков программных отказов при ограниченном числе ошибок в программном обеспечении СЗИ АСДО
Анализ результатов решения задачи показывает, что определение характеристик ПОИН на стадии создания СЗИ при заданных значениях характеристик системы обеспечение ИН приводит к необходимости получения достаточно высоких значений характеристик СЗИ (вариант 1), реализация которых на практике весьма сложна и дорогостояща. Поэтому на этапе создания СЗИ целесообразно использовать вариант 3, так как в этом случае наиболее полно учитываются многие факторы, существенно влияющие на определение характеристик ПОИН. Однако при использовании третьего варианта характеристики ПОИН принимают, как правило, значения, близкие к верхним пределам. Это объясняется тем, что для удовлетворения достаточно высоких значений показателя ИН СЗИ требуются значительные затраты на обеспечение надежности в процессе создания средств. Вследствие этого, в процессе определения характеристик ПОИН с целью минимизации суммарных затрат на обеспечение ИН СЗИ происходит перераспределение ресурсов из сферы создания СЗИ в эксплуатацию. При этом характеристики ПОИН принимают значения, близкие к предельным, а показатели надежности СЗИ устанавливаются такими, при которых обеспечивается требуемый уровень ИН. Очевидно, обеспечить высокие значения всех или многих характеристик ПОИН в ряде случаев не представляется возможным.
В том случае, когда значения основных показателей информационной надежности СЗИ известны, целесообразно использовать вариант 2 определения характеристик ПОИН. При этом показатель ИН СЗИ и затраты на его обеспечение не влияют на выбор значений характеристик ПОИН и они могут быть получены в приемлемых пределах.
Можно предложить следующую последовательность определения системотехнических характеристик ПОИН. Сначала решается задача для варианта 3, которая позволяет определить оптимальные значения как показателей информационной надежности СЗИ, так и характеристик ПОИН. Затем для найденных значений показателей ИН СЗИ производится решение задачи для варианта 2. При этом получаем искомые значения системотехнических характеристик ПОИН.
Разработанный в диссертации метод определения системотехнических характеристик позволяет сократить просмотр возможных вариантов построения ПОИН в несколько раз (в примере 4.1 с 1015 до 104) в зависимости от структуры целевой функции. На практике квазилинейный алгоритм обеспечивает решение большинство задач такого объема за 3-7 симплекс-итераций при правильно выбранном начальном значении штрафного множителя а.
Неправильный выбор начального значения штрафного множителя оказывается причиной увеличения числа симплекс-итераций и, следовательно, времени решения задачи на ЭВМ. Поэтому целесообразно воспользоваться методом определения значения множителя, предложенным в подразделе 3.3. При этом надо иметь в виду, что большие значения штрафного множителя в некоторых случаях затрудняют процесс решения задачи на ЭВМ. Для уменьшения величины а следует произвести сокращение всех коэффициентов целевой функции, умножением их на некоторый масштабный множитель р 1. Такая возможность обуславливается тем, что абсолютные затраты ресурсов на обеспечение ИН СЗИ не являются определяющими при определении характеристик ПОИН. Главное - правильно задать структуру и соотношения между составляющими затрат, выявить их зависимость от характеристик ПОИН.
Описанная процедура производится и раз до тех пор, пока все ошибки в программном обеспечении СЗИ не будут обнаружены и исправлены.
Процесс обеспечения информационной надежности СЗИ с учетом введенных допущений можно описать ПМП с графом переходов состояний в виде дерева, который содержит одну начальную вершину si и т конечных вершин s,y, являющихся поглощающими. Начальная вершина связана с каждой конечной вершиной простым путем /,. Общее число состояний ПМП -N = 3 2"-2, число конечных состояний - т - 2", а число состояний, в которых обеспечивается ИН СЗИ - Nr = 2П+1 -1.
Ненулевые вероятности матрицы переходных вероятностей вложенной цепи Маркова приведены в табл. 4.3.
Исследуемый ПМП имеет следующие основные особенности. Во-первых, процесс не является эргодическим, так как конечное число ошибок в программах приводит к появлению множеств невозвратных и поглощающих состояний. Во-вторых, вероятности перехода из состояний s,- в состояния sj, pif O /г, если состояния Si и sj не соответствуют смежным вершинам;/?,у=р,-, если s,-e/+ и s/e/_, где /+ - множество состояний ПМП, в которых обеспечивается ИН СЗИ (обозначим $,-=1), /. - множество состояний ПМП, которые соответствуют информационному отказу (обозначим Sj d);p;j=\-pi, если 5уе/+ и SjSL; . РІ/=1, если siel. и sjel+. В-третьих, условные функции Fi/t) распределения времени пребывания ПМП в состоянии s,- до перехода в состояние Sj равны безусловным функциям Fi(t) распределения времени пребывания ПМП в этом состоянии.
Применяя к (4.5) обратное преобразование Лапласа-Стилтьеса, получим искомое выражение для нестационарного показателя ИН СЗИ.
