Введение к работе
Актуальность темы диссертации. Обеспечение безопасности информации в компьютерных сетях в настоящее время является одной из приоритетных задач, решаемых органами государственного, регионального и местного управления во всех развитых государствах мира. Защита информации в компьютерной сети обладает несомненной спецификой, обусловленной как разнообразием угроз безопасности информации, так и широтой требований, предъявляемых к уровню информационной безопасности. Для повышения уровня защиты необходимо регулярно проводить анализ защищенности компьютерной сети на разных этапах ее жизненного цикла.
Одним из наиболее эффективных подходов к оценке защищенности является подход, основанный на моделировании атак, позволяющий учесть не только уязвимости, содержащиеся в отдельных хостах компьютерной сети, но и возможные последовательности действий нарушителя, которые могут привести к большему ущербу, нежели использование отдельных уязвимостей. Одним из представлений, описывающим возможные действия атакующего, являются деревья атак. Узлы дерева атак могут быть представлены как возможные атакующие действия, связанные между собой в соответствии с тем, в каком порядке их может выполнять нарушитель.
Анализ существующих исследований и разработок в области защиты информации выявил следующее противоречие: с одной стороны, оценка защищенности проектируемой или эксплуатируемой сети должна проводиться постоянно и оперативно, с другой стороны, существующие методики построения и анализа деревьев атак не позволяют формировать, обновлять и анализировать модели в режиме, близком к реальному времени, так как эти процессы должны учитывать состояние постоянно изменяющейся компьютерной сети и растущее количество уязвимостей программно-аппаратного обеспечения. Высокие требования к доступным ресурсам обычно не критичны для анализа защищенности компьютерной сети на этапе проектирования, однако на этапе эксплуатации время, необходимое для анализа, становится очень важным параметром. На данном этапе в сети могут происходить изменения (добавляются/удаляются хосты, меняются списки и версии программного обеспечения и т. д.), которые требуют оперативной модификации деревьев атак для обновления результатов анализа защищенности компьютерной сети.
Одним из путей разрешения данного противоречия является разработка методики применения деревьев атак для оценки защищенности компьютерных сетей с учетом требования оперативности. Создание такой методики необходимо, так как использование средств автоматизированного
анализа защищенности будет способствовать созданию и эксплуатации более безопасных компьютерных сетей.
Основной целью исследования является повышение оперативности процессов построения и анализа деревьев атак при оценке защищенности компьютерных сетей. Для достижения данной цели в диссертационной работе поставлены и решены следующие задачи:
-
анализ существующих методик и средств оценки защищенности компьютерных сетей для выделения их достоинств и недостатков, а также определения требований к ним;
-
анализ компьютерных атак и известных механизмов защиты от них для построения требований к разрабатываемым моделям;
-
разработка моделей, необходимых для оценки защищенности (моделей компьютерной сети, нарушителя и атак), позволяющих сформировать описание защищаемой компьютерной сети, возможных нарушителей и их действий;
-
разработка алгоритмов, учитывающих требование оперативности, для построения, модификации и анализа деревьев атак с целью обеспечения возможности применения этих алгоритмов для оценки защищенности компьютерных сетей в режиме, близком к реальному времени;
-
формирование методики применения деревьев атак для оценки защищенности компьютерных сетей с учетом требования оперативности;
-
построение архитектуры и реализация программного прототипа системы оценки защищенности компьютерных сетей, основанного на предложенной методике;
-
экспериментальная оценка предложенных моделей, алгоритмов и методики, а также сравнение их с уже существующими аналогами.
Множество рассматриваемых атак ограничено активными атаками, предназначенными для сбора данных о компьютерной сети (сетевое сканирование, определение операционной системы и сервисов), а также использующими в процессе выполнения реализацию одной или нескольких уязвимостей. Существующие методики оценки защищенности рассматривались для сравнения времени, затрачиваемого на анализ.
Научная задача заключается в разработке комплекса моделей, алгоритмов и методики для построения и анализа деревьев атак с учетом требования оперативности для оценки защищенности компьютерных сетей.
Объектом исследования являются атаки, основанные на использовании уязвимостей программно-аппаратного обеспечения элементов компьютерной сети, и способы противодействия им, а также процессы построения и анализа деревьев атак для проведения оценки защищенности.
Предметом исследования являются модели компьютерной сети, нарушителей и атак, а также алгоритмы и методика, используемые для построения и анализа деревьев атак.
Результаты, выносимые на защиту:
-
модели компьютерной сети, нарушителей и атак;
-
алгоритмы построения, модификации и анализа деревьев атак, учитывающие требования оперативности;
-
методика применения деревьев атак для оценки защищенности компьютерных сетей с учетом требования оперативности;
-
архитектура и программная реализация системы оценки защищенности компьютерных сетей на основе применения деревьев атак.
Научная новизна диссертационной работы состоит в следующем:
-
Модель компьютерной сети, включающая модели отдельных хостов с установленным программно-аппаратным обеспечением и связи между ними, отличается представлением архитектуры сети в виде иерархии уровней сетевой топологии и описания характеристик отдельных хостов. Отличительной особенностью данной модели является учет параметров механизмов защиты, установленных как на уровне сети, так и на отдельных хостах этой сети. В представленных моделях компьютерной сети, нарушителей и атак используются спецификации существующих стандартов представления программно-аппаратных платформ (для спецификации отдельных элементов модели сети) и описания уязвимостей и шаблонов атак (для моделей нарушителя и атак). Использование этих стандартов позволяет получать исходные данные от оператора, автоматизированных средств сбора информации, а также открытых баз уязвимостей и шаблонов атак.
-
Алгоритмы построения, модификации и анализа деревьев атак отличаются от существующих направленностью на оперативное получение результата. Алгоритм построения деревьев атак разделен на ряд независимых этапов (формирование списков возможных атакующих действий, формирование графа доступности, ограничение списка атакующих действий на основе параметров модели нарушителя), что позволяет формировать модели атак одновременно для всех заданных нарушителей без значительного увеличения требуемых ресурсов и времени. Алгоритм модификации деревьев атак учитывает классификацию возможных изменений в моделях, что позволяет оперативно приводить модели атак в соответствие с изменениями или событиями, происходящими в реальной сети, за счет модификации только тех элементов деревьев атак, которые соответствуют измененным элементам компьютерной сети. Алгоритм анализа деревьев атак одновременно использует несколько способов анализа, имеющих различные показатели точности и оперативности, и позволяет за счет этого получить результаты оценки защищенности компьютерной сети
уже на ранних стадиях анализа, итеративно повышая точность анализа с течением времени.
3. Методика применения деревьев атак для оценки защищенности компьютерных сетей основана на использовании разработанных моделей и алгоритмов и отличается от существующих возможностью ее применения в условиях, близких к реальному времени. Это достигается за счет формирования деревьев атак на этапе проектирования сети таким образом, что оперативность их модификации на этапе эксплуатации значительно возрастает. Использование в рамках данной методики алгоритма анализа, включающего различные подходы к оценке защищенности, также повышает скорость работы на разных этапах жизненного цикла компьютерной сети.
Обоснованность и достоверность представленных
в диссертационной работе научных положений обеспечивается за счет тщательного анализа состояния исследований в данной области, подтверждается согласованностью результатов, полученных при компьютерной реализации, успешной апробацией основных теоретических положений диссертации на ряде научных конференций всероссийского и международного уровня, а также публикацией основных положений, раскрывающих данные результаты, в ведущих рецензируемых научных изданиях.
Практическая значимость результатов исследования.
Использование предложенной методики применения деревьев атак для оценки защищенности компьютерных сетей позволит повысить уровень информационной безопасности за счет постоянного отслеживания текущих показателей защищенности в режиме, близком к реальному времени. Кроме того, предлагаемый подход даст возможность производить предварительную оценку влияния формируемых оператором контрмер на показатели защищенности компьютерных сетей, что позволит повысить качество принимаемых решений. Данная методика должна лечь в основу разработки системы защиты от сетевых атак, которая базируется на анализе деревьев атак, использует большое количество разнородных входных данных, позволяет обнаруживать слабые места и проверять эффективность контрмер. Одним из основных преимуществ подобных систем анализа является возможность обнаружения проблемных мест защиты еще на этапе проектирования системы. Результаты данного исследования могут быть использованы для защиты компьютерных сетей как государственными, так и коммерческими организациями.
Реализация результатов работы. Отраженные в диссертационной работе исследования проведены в рамках следующих научно-исследовательских работ: проекта седьмой рамочной программы (FP7) Европейского Сообщества "Управление информацией и событиями
безопасности в инфраструктурах услуг (MASSIF)", контракт № 257475, 2010-2013; проекта седьмой рамочной программы (FP7) Европейского Сообщества "Проектирование безопасных и энергосберегающих встроенных систем для приложений будущего Интернет (SecFutur)", контракт № 256668, 2010-2013; проекта Российского фонда фундаментальных исследований (РФФИ) "Математические модели и методы комплексной защиты от сетевых атак и вредоносного программного обеспечения в компьютерных сетях и системах, основывающиеся на гибридном многоагентном моделировании компьютерного противоборства, верифицированных адаптивных политиках безопасности и проактивном мониторинге на базе интеллектуального анализа данных", № 10-01-00826-а, 2010-2013 и др.
Апробация результатов работы. Основные положения и результаты диссертационной работы были представлены на следующих научных конференциях: Санкт-Петербургский научный форум "Наука и общество". 7-я Петербургская встреча нобелевских лауреатов (Санкт-Петербург, 2012), Международная конференция "Информационные технологии в управлении" ИТУ-2012. (Санкт-Петербург, 2012); 20-я международная конференция Parallel, Distributed and network-based Processing (Гарчинг/Мюнхен, Германия, 2012); Международная конференция Security and Cryptography (Рим, Италия, 2012); Четырнадцатая международная конференция "РусКрипто '2012" (Москва, 2012); Международный семинар Information Fusion and Geographic Information Systems (Брест, Франция, 2011); 20-я международная конференция International Conference on Parallel, Distributed and network-based Processing (Айа-Напа, Кипр, 2011); Тринадцатая международная конференция "РусКрипто'20И" (Москва, 2011) и др.
Публикации. По материалам диссертационного исследования было опубликовано 15 статей, в том числе 4 в рецензируемых изданиях из перечня ВАК ("Проблемы информационной безопасности. Компьютерные системы", "Системы высокой доступности", "Информационные технологии", "Труды СПИИРАН") и получено 4 свидетельства о государственной регистрации программ для ЭВМ.
Структура и объем диссертационной работы. Диссертационная работа включает введение, три главы, заключение, список использованных источников (139 наименований) и два приложения. Объем работы- 142 страницы машинописного текста; включая 22 рисунка и 18 таблиц.
