Защита информационных ресурсов предприятия на основе многоагентной технологии Погорелов Дмитрий Николаевич

Содержание к диссертации

Введение

ГЛАВА 1 Анализ подходов к организации защиты информации в распределенных информационных системах предприятий 16

1.1 Анализ информационных CALS-систем как объекта защиты 17

1.2 Подходы к защите информации в CALS-системах 41

1.3 Организация систем защиты информации в информационных системах виртуальных предприятий 46

1.4 Автоматизация процессов защиты информации в информационных системах виртуальных предприятий 50

1.5 Подход к автоматизации процессов защиты информации на виртуальном предприятии 53

Выводы по первой главе , 57

ГЛАВА 2 Разработка концепции построения автоматизированной системы защиты информации виртуального предприятия 59

2.1. Основные положения концепции построения автоматизированной системы защиты информации виртуального предприятия 59

2.2 Разработка структуры интеллектуальной системы защиты информации 78

2.3. Разработка архитектуры интеллектуальной системы защиты информации 4 91

2.4. Размещение автоматизированной системы защиты информации на предприятии „ , 105

Выводы по второй главе 109

ГЛАВА 3 Разработка методов автоматизации процессов защиты информации в информационной системе виртуального предприятия

3.1. Метод анализа рисков применительно к информационной системе виртуального предприятия Ill

3.1.1. Анализ рисков на этапах жизненного цикла СТИ 113

3.1.2 Выбор конфигурации системы защиты на основе полученных прогнозов 135

3,2 Алгоритм принятия решений при оперативном управлении защитой информации 142

3.2.1 Алгоритм анализа состояния объекта защиты 142

322 Алгоритм принятия решений по оперативному управлению защитой информации 149

Выводы по третьей главе 152

ГЛАВА 4 Разработка методики проектирования многоагентнои автоматизированной системы защиты информации виртуального предприятия 153

4.1 Основные этапы проектирования автоматизированной многоагентной

системы защиты информации виртуального предприятия 153

4.1.1 Функциональная модель автоматизированной многоагентной системы защиты информации виртуального предприятия 153

4.1.2 Информационная модель автоматизированной многоагентной системы защиты информации виртуального предприятия 164

4.2 Реализация метода анализа рисков в информационной системе виртуальногопредприятия 170

4.2.1 Алгоритм анализа рисков на основе метода анализа иерархий 170

4.2.2 Алгоритм оценки требуемого уровня защищенности информации с применением нечеткого логического вывода 176

4.2.3 Оценка эффективности предлагаемого подхода к организации защиты информации на виртуальном предприятии 180

4 4.3 Программная реализация элементов автоматизированной многоагентной системы защиты информации виртуального предприятия 188

Выводы по четвертой главе 193

Заключение 194

Список литературы

• Подходы к защите информации в CALS-системах
• Разработка структуры интеллектуальной системы защиты информации
• Алгоритм принятия решений при оперативном управлении защитой информации
• Информационная модель автоматизированной многоагентной системы защиты информации виртуального предприятия

Введение к работе

Актуальность темы

В условиях современной рыночной экономики и жесткой конкурентной борьбы успеха добиваются те предприятия и организации, которые сумели сделать свою продукцию дешевле, повысить ее качество, обеспечить поддержку потребителей своей продукции в процессе ее эксплуатации. Особенно это актуально для предприятий, выпускающих сложные технические изделия (СТИ), - летательные аппараты, автомобили, морские и речные суда, военную технику, т.е. изделия, в разработку и производство которых вкладываются большие финансовые, интеллектуальные, человеческие ресурсы. Одним из наиболее эффективных путей повышения конкурентоспособности СТИ является внедрение на предприятиях новых технологий управления информационными активами - CALS-технологий. CALS (Continuous Acquisition and Life cycle Support) - это стратегия промышленности и правительства, направленная на эффективное создание, обмен, управление и использование электронных данных, поддерживающих жизненный цикл изделия с помощью международных стандартов, реорганизации предпринимательской деятельности и передовых технологий [35]. Целью CALS является повышение эффективности процессов жизненного цикла СТИ за счет повышения эффективности управления информацией об изделии. О работах по внедрению CALS-технологий заявили ОКБ им. Сухого, ЛНТК им. Туполева, ЗАО РКК «Энергия», ОАО УМПО, УНПП «Молния»,

В рамках стратегии CALS предлагается создание так называемых виртуальных предприятий. Виртуальное предприятие (ВП) - это предприятие, которое создается из различных предприятий на контрактной основе, не имеет единой юридической организационной структуры, но обладает единой информационной инфраструктурой с целью создания и использования компьютерной поддержки жизненного цикла сложного технического изделия [36], С одной стороны, каждое предприятие-участник ВП сохраняет свою самостоятельность, но, в то же время, в ходе своей деятельности должно учитывать интересы своих партнеров. Единая информационная система ВП позволяет значительно сократить временные и финансовые затраты на поиск, обработку информации, обмен ею между различными участниками жизненного цикла (ЖЦ) СТИ, что, в конечном итоге, позволяет снизить себестоимость изделий, повысить их качество. Информационная система ВП содержит всю информацию о СТИ, безопасность которой следует обеспечивать на протяжении всего жизненного цикла. Информационная безопасность - такое состояние рассматриваемой системы, при котором она, с одной стороны, способна противостоять дестабилизирующему воздействию внешних и внутренних информационных угроз, а с другой - ее функционирование не создает информационных угроз для элементов самой системы и внешней среды [57стр.12], Поддержание режима информационной безопасности обеспечивается за счет мер по защите информации. Под защитой информации понимается деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию [30], На сегодняшний день для защиты информации на ВП используются подходы, эффективные для защиты локальных вычислительных систем, которые не учитывают специфики информационных CALS-систем:

!) длительность ЖЦ СТИ;

2) динамическую структуру ВП;

3) изменения ценности информационных активов ВП с течением времени;

4) влияние факторов неопределенности на информационную систему ВП;

5) тот факт, что информационная безопасность ВП обеспечивается системами защиты информации различных предприятий-участников ВП.

Представленные факторы делают решение задачи защиты информации на ВП традиционными методами невозможным. Основным препятствием является сложность информационной системы, неопределенность состояния внешней среды, несогласованность действий локальных администраторов безопасности различных предприятий-участников ВП. Каждая информационная система в отдельности имеет свои информационные активы и периметр безопасности, свой набор функций ЗИ. При объединении информационных систем различных предприятий в ВП возникает новая система со своим сложным и не всегда четким периметром безопасности. При этом общая стоимость информационных активов ВП становится значительно выше стоимости активов отдельных предприятий. Более того, стоимость информационных активов также меняется со временем, в зависимости от этапа ЖЦ СТИ. В столь масштабной и динамичной информационной системе администраторы безопасности не способны эффективно управлять защитой информации, поскольку каждый из них контролирует лишь часть ВП, отсутствует согласованный подход к вопросам ЗИ, часть каналов связи не контролируется средствами ЗИ вообще. Для обеспечения экономически оправданной защиты информации в условиях ВП необходима разработка новой концепции, методов и алгоритмов функционирования системы защиты информационных активов виртуального предприятия.

В рамках CALS-технологий разработаны стандарты серии ISO—10303, регламентирующие различные аспекты функционирования информационных систем предприятий. Присутствуют отдельные стандарты, описывающие меры по защите информации (например, MIL-1840C), которые должны быть реализованы в CALS-технологиях. Однако концепции построения систем защиты информации ни в стандартах по CALS-технологиям, ни в стандартах по защите информации не рассматривается. Основой такой концепции может стать стандарт информационной безопасности ИСО МЭК 15408, содержащий набор требований к системам защиты информации и методов формирования заданий по безопасности. Использование стандартизованных подходов позволит успешно решать задачи защиты информации в системах, построенных по разным архитектурам и на основе различных программно-аппаратных платформ, в рамках ВП,

Создание единой автоматизированной системы ЗИ позволит распределять усилия по защите информации в соответствии с ценностью ресурсов, расположенных в том или ином сегменте ВП. Вместе с тем появляется возможность координировать действия локальных систем защиты информации. Автоматизация ряда функций администраторов безопасности позволит своевременно и в полном объеме получать данные об изменениях состояния защищаемых ресурсов, осуществлять планирование требуемого уровня защиты информации, проводить реконфигурацию средств и подсистем защиты информации. Автоматизированную систему ЗИ ВП предлагается строить в виде многоагентной системы, Многоагснтныс системы - системы, предназначенные для организации взаимодействия с разнородными источниками информации [90]. Именно необходимость взаимодействия с различными источниками информации: людьми, программным и аппаратным обеспечением информационных систем, другими агентами, а также активность, коммуникативность и автономность агентов определили выбор технологии построения автоматизированной системы ЗИ ВП.

Исследование посвящено проблеме организации защиты информации па виртуальном предприятии и в информационных системах физических предприятий, как его элементов. Поскольку средства и меры по защите информации реализуются на каждом конкретном предприятии, а цели и задачи защиты информации определяются состоянием виртуального предприятия, вопросы защиты информации в работе рассматриваются как с позиций единого виртуального предприятия, так и с позиций отдельного физического предприятия.

Концепция построения автоматизированной системы защиты информации виртуального предприятия, структура и состав автоматизированной системы защиты информации, алгоритмы функционирования ее элементов составляют основное содержание представленной работы.

Цель работы и задачи исследования

Целью диссертационной работы является повышение эффективности функционирования системы защиты информации виртуального предприятия на основе методов искусственного интеллекта.

Исходя из цели работы, определяется перечень решаемых задач:

1. Разработка концепции построения интеллектуальной автоматизированной системы защиты информации предприятия на основе системного подхода,

2. Разработка архитектуры интеллектуальной автоматизированной системы защиты информации на основе многоагентной технологии,

Ъ, Разработка метода анализа рисков воздействия информационных угроз на информационные активы предприятия и формирования соответствующей конфигурации системы защиты информации предприятия,

4. Разработка алгоритма принятия решений по оперативному управлению средствами защиты информации на основе методов искусственного интеллекта,

5. Разработка методики проектирования интеллектуальной автоматизированной системы защиты информации предприятия.

6. Реализация разработанных алгоритмов и оценка эффективности предлагаемых подходов.

Методы исследования

В рамках выполненных в работе исследований использовались методология защиты информации, методы теории вероятностей, нечеткой логики, теории прогнозирования, теории вычислительных систем и сетей, обработки информации и моделирования на ЭВМ, проектирования систем автоматизированного управления. Для оценки эффективности полученных результатов использовались результаты численного эксперимента.

Основные положения, выносимые на защиту:

1. Концепция построения автоматизированной интеллектуальной системы защиты информации предприятия.

2.Архитектура автоматизированной интеллектуальной системы защиты информации предприятия.

3.Метод анализа рисков и формирования соответствующей конфигурации системы защиты информации предприятия.

4. Алгоритм принятия решений по оперативному управлению средствами защиты информации.

5.Методика проектирования автоматизированной интеллектуальной системы защиты информации предприятия.

б.Программная реализация и результаты оценки эффективности исследовательского прототипа многоагентной автоматизированной системы защиты информации предприятия.

Научная новизна результатов

Новизна полученных результатов заключается в следующем.

1.Предложена новая концепция построения интеллектуальной системы защиты информации предприятия, основанная на сочетании принципов функциональной интеграции, иерархической организации, комплексирования моделей, методов и алгоритмов, стандартизации систем защиты информации, построения открытых информационных систем, что, в отличие от используемых подходов к построению систем защиты информации, позволяет обеспечить согласованную работу всех подсистем защиты информации на протяжении всего жизненного цикла сложного технического изделия.

2.Предложена архитектура автоматизированной системы защиты информации, основанная на многоагентном подходе, в которой, помимо программных агентов, в роли агентов выступают администраторы безопасности предприятий. В отличие от традиционных систем защиты информации, разработанная система защиты информации позволяет автоматизировать процессы сбора и первичного анализа данных о состоянии объекта защиты, и обеспечить администраторов безопасности полной информацией, необходимой для принятия решений по информационной безопасности.

3.Предложен метод анализа рисков и формирования соответствующей конфигурации системы защиты информации предприятия, основанный на использовании иерархической модели информационных потоков и иерархической модели угроз и уязвимостей, что в отличие от известных методов анализа рисков позволяет проводить анализ рисков для всех взаимосвязанных информационных ресурсов, обеспечивающих информационную поддержку ЖЦ СТИ. Для учета факторов неопределенности при выборе конфигурации системы защиты информации на основе результатов анализа рисков применяется система нечеткой логики.

4,Предложен алгоритм принятия решений по оперативному управлению средствами защиты информации, основанный на байесовских сетях доверия и методе анализа иерархий, что позволяет прогнозировать состояние защищаемого ресурса и своевременно предотвращать развитие опасных ситуаций,

5.Разработана методика проектирования автоматизированной системы защиты информации предприятии, основанная на методологии 3ADT, которая позволяет реализовать элементы предложенной системы защиты информации предприятия в виде программных модулей (программных агентов).

Практическая значимость результатов

Практическая ценность полученных результатов заключается в повышении эффективности функционирования систем защиты информации предприятия на протяжении жизненного цикла сложного технического изделия, оптимизации расходов на мероприятия по защите информации.

Использование предложенного метода анализа рисков и формирования требуемой конфигурации системы ЗИ ВП позволяет учесть в процессе анализа рисков все значимые информационные ресурсы предприятия и связи между ними, автоматизировать процедуру выбора и реализации требуемой конфигурации системы ЗИ.

Предложенная автоматизированная система ЗИ ВП позволяет избежать неконтролируемого увеличения информационных рисков, снизить обьем ресурсов, выделяемых на мероприятия по защите информации па 10-15% на протяжении жизненного цикла сложного технического изделия.

Предложенные в работе алгоритмы реализованы с помощью различных программных комплексов моделирования и показали свою эффективность в ходе имитационного моделирования в программных средах MatLab, Microsoft Bayesian Networks.

Результаты работы внедрены на Уфимском научно-производственном предприятии «Молния».

Структура и объем работы

Диссертационная работа состоит из введения, четырех глав, заключения, приложений, библиографического списка и изложена на 195 страницах машинописного текста. Библиографический список включает 109 наименований литературы

Краткое содержание работы

Во введении обосновывается актуальность темы исследования, формулируются цель работы и решаемые в ней задачи, научная новизна и практическая ценность выносимых на защиту результатов,

В первой главе определяются основные понятия, относящиеся к CALS-технологиям, распределенным вычислительным сетям, анализируются основные подходы к защите информации в интегрированных информационных средах (ИКС) виртуальных предприятий. Анализируются недостатки существующих подходов к обеспечению ЗИ на ВП, Выделяются особенности защиты информации в CALS-системах, Анализируются известные подходы к управлению системами защиты информации, стандарты и программные решения. Выявляются недостатки существующих подходов. Для ВП требуется система ЗИ, которая позволит объединить локальные системы ЗИ предприятий-участников в единый равнопрочный периметр безопасности, на протяжении ЖЦ СТИ реализовывать экономически оправданную защиту информации, минимизировать неконтролируемые риски в информационной системе ВП. Формулируются цель и основные задачи диссертационной работы.

Во второй главе рассматривается концепция построения автоматизированной системы защиты информации в интегрированной информационной среде ВП. Описывается предлагаемая архитектура многоагентной автоматизированной системы защиты информации, задачи и функции программных агентов. Приводятся преимущества многоагентного подхода для решения поставленной задачи. Изложены основные принципы функционирования системы.

В третьей главе рассматривается метод анализа рисков и формирования конфигурации системы защиты для распределенной интегрированной информационной среды предприятий на основе экспертных оценок и данных о состоянии объекта защиты. Осуществляется исследование свойств информации об изделии на протяжении жизненного цикла.

Предлагается новый алгоритм принятия решений по управлению средствами защиты информации.

В четвертой главе рассматривается программная реализация предложенных алгоритмов и метода. Описываются функциональная и информационная модели автоматизированной системы защиты информации ВП. Приводятся рекомендации по применению и пути дальнейшего совершенствования системы ЗИ,

В заключении приводятся основные результаты, полученные в процессе исследования, делаются общие выводы.

Подходы к защите информации в CALS-системах

Необходимо отметить, что ИИС ВП строится на основе существующих вычислительных сетей, поэтому в состав ВП также включаются существующие в каждой информационной системе функции и средства защиты информации.

При организации системы защиты информации ВП возможны два подхода; 1) каждая составная часть ВП (АСОД предприятия) организует свою защиту самостоятельно; 2) разрозненные системы ЗИ АСОД предприятий объединяются в единую систему защиты ИИС ВП.

Преимуществом первого подхода является оптимальное распределение средств на защиту с точки зрения каждого предприятия. Каждый участник ВП выделяет на защиту средства, пропорциональные стоимости его собственной информации. Организация системы защиты ИИС на основе данного подхода приведет к тому, что появятся участки в ИИС, защита которых будет минимальна, и они станут потенциальными источниками угроз для всей распределенной базы данных об изделии.

Применение второго подхода является наиболее предпочтительным, несмотря на трудности интеграции разрозненных систем защиты информации в единый комплекс защиты ИИС. В данном случае объединение подразумевает под собой создание метасистемы защиты информации и системы защищенных коммуникаций между географически удаленными частями ИИС.

Любой защищенный продукт информационных технологий [31] и вся система защиты информации целиком перед использованием, согласно нормативным документам в области ЗИ [31, 82, 83], должна пройти сертификацию. Сертификация включает в себя проведение сертификационных испытаний и выдачу документа о соответствии сертифицируемой системы заявленным требованиям по защите информации. Данная процедура позволяет производителям гарантировать, а покупателям защищенных систем быть уверенными в том, что заявленные функции ЗИ реализованы в полном объеме и корректно функционируют. Однако, в связи с тем, что проведение подобных сертификационных испытаний связано со значительными материальными и временными затратами, сроки действия сертификатов становятся недопустимо большими [21]. Для отдельных продуктов информационных технологий: программ и программно-аппаратных комплексов - это означает, что сертифицируются конкретные версии программного обеспечения (ПО) и заданные аппаратные конфигурации. В случае если производитель вносит некоторые изменения в программное обеспечение, процесс сертификации должен быть повторен для новой версии. В случае же защищенных вычислительных систем сертифицируется также заданная конфигурация системы, сохранение постоянства которой даже на малом промежутке времени практически невозможно. А для таких информационных систем, как ИИС, подобный анализ вообще не возможен, поскольку к моменту его окончания программно-аппаратная конфигурация системы, условия среды будут значительно отличаться от тех, которые были взяты за основу в начале сертификации. Таким образом, проведение сертификации системы защиты информации в ИИС приведет к неоправданно высоким затратам ресурсов, а результаты такой сертификации будут весьма сомнительны вследствие значительной изменчивости информационной системы ИИС. Кроме того, на данный момент не существует официально утвержденного профиля защиты [9, 31] для информационных систем виртуальных предприятий илиРВМ-систем,

Несмотря на отсутствие регламентирующих документов, информационные системы ВП нуждаются в методах анализа рисков и методах оценки защищенности. Задаче анализа рисков посвящено множество публикаций [24, 25, 28, 68, 69, 81, 87, 89, 100]. В общем случае существует два различных подхода к оценке рисков в информационных системах -количественный и качественный [21],

Количественный подход базируется на статистических данных об атаках, разработанных методах анализа рисков на основе вероятностей возникновения угроз. Наиболее известным методом количественного анализа рисков является метод CRAMM [89]. К достоинствам данного класса средств анализа рисков можно отнести точность и строгую формальность расчетов, поэтому данные методы могут стать гарантией рассчитанного уровня рисков. К недостаткам следует отнести необходимость: 1) поддерживать полный перечень угроз и средств защиты; 2) определять числовые характеристики угроз; 3) определять числовые характеристики взаимодействия угроз и средств защиты; 4) определять точный размер ущерба в случае реализации угроз.

Получить обоснованные оценки описанных величин возможно лишь в системах, для которых имеются статистические данные по инцидентам, связанным с информационной безопасностью. Для вновь создаваемых и для большинства функционирующих информационных систем подобной статистики не существует [28, 57].

Разработка структуры интеллектуальной системы защиты информации

Определив общую концепцию построения системы управления ЗИ, следует более детально остановиться на целях системы управления ЗИ, структуре и задачах каждого ее компонента, на том, как сочетание этих целей будет способствовать достижению общей цели системы управления. На рис. 2.5 представлено дерево целей системы управления ЗИ на виртуальном предприятии.

Рис. 2,5 - Дерево целей системы управления ЗИ ВП Цель - конечный результат, достижимый в пределах некоторого интервала времени [90]. Б качестве основной цели системы управления ЗИ ВП (ЦО) ставится поддержание соответствия между требуемым (запланированным) и действительным уровнями защищенности. Дерево целей представляет собой направленный граф G - А, Е , где {А - } - множество целей и подцелей, реализация которых позволит сохранить безопасное состояние ИС ВП, Множество ребер {Е} представляет взаимные связи между целями и подцелями. Дерево целей имеет иерархическую структуру и разделено на три ветви: ветвь уровня планирования (ЦІ - управление на уровне ИИС), ветвь уровня координации (Ц2 - управление на уровне ИС отдельного предприятия), ветвь исполнительного уровня (ЦЗ - управление на уровне информационного ресурса). Па верхнем уровне присутствует только одна цель - общая цель системы ЦО.

Ветвь ЦІ включает в себя следующие цели: 1) ЦП - Планирование ценности информационных активов на основе ЖЦСТИ; 2) Ц12- Анализ рисков; 3) ЦІ21 - Формирование множества угроз; 4) Ц122 - Оценка характеристик угроз; 5) Ц13-Передача рисков уровню координации Анализ рисков необходим для адекватной оценки мер защиты информации, реализация которых позволит минимизировать ущерб от воздействия информационных угроз в планируемом периоде. Анализ рисков включает в себя формирование множества угроз (Ц121) и оценку характеристик угроз (Ц122) на основе оценок ценности информации, которая будет обрабатываться в прогнозируемый период и оценок частоты возникновения угроз, В реализации данных целей непосредственное участие должен принимать администратор безопасности ИИС ВП и другие лица, в обязанности которых входит обеспечение безопасного и надежного функционирования ВП. В ходе анализа рисков должны учитываться не только обобщенные информационные активы предприятий-участников ВП, а также взаимное влияние информационных систем, объединенных вместе. Поскольку такое объединение может привести к образованию новых угроз и уязвимостей, средств защиты от которых в ИИС не предусмотрено. Полученные результаты анализа рисков должны быть переданы на уровень координации.

В свою очередь уровень координации решает задачи, связанные с достижением следующих целей: 1) Ц21 - Оценка текущего состояния ИС предприятия; 2) Ц22 - Вычисление текущих значений показателей защищенности и сравнение их с требуемыми показателями; 3) Ц23 - Контроль состояния системы ЗИ; 4) Ц24 - Формирование конфигураций средств ЗИ на основе требований; 5) Ц211 -Анализ состояния ресурсов и процессов; 6) Ц212 - Сбор данных о состоянии системы; 7) Ц2111-Выявлениеаномалий; 8) Ц2112 - Идентификация распределенных атак; 9) Ц221 - Выявление повышенных рисков; 10)Ц222 - Выявление повышенной защищенности; 11)Ц223 - Формирование рекомендаций по устранению рассогласований между требуемым и текущим уровнями защищенности.

По результатам анализа рисков выбирается конфигурация системы ЗИ ВП (Ц24), которая должна быть реализована средствами и подсистемами ЗИ для обеспечения безопасности информационных активов ВП. Конфигурация системы ЗИ содержит совокупность функциональных требований, реализация которых позволит поддерживать остаточные риски на уровне, не превышающем допустимого значения рисков в планируемом периоде. Выбранная конфигурация реализуется через уровень исполнения. Оценка текущего состояния ИС ВП необходима для выявления проявлений дестабилизирующих факторов, влияние которых может нанести ущерб ИС ВП. Для этого осуществляется выборка данных о состоянии ИС (Ц212) из базы данных событий безопасности. Множество выбранных данных анализируется (Ц211) в поисках аномалий (Ц2111) и идентификации распределенных атак (Ц2112).

На основании выбранных данных вычисляются текущие показатели защищенности, которые сравниваются с запланированными показателями. Проводится выявление повышенных рисков (Ц221) и выявление повышенных мер защиты (Ц222). Учитывая тот факт, что функции безопасности определяются конфигурацией системы ЗИ? обнаруженные факты расхождений действительных и требуемых показателей защищенности направляются на рассмотрение администратору безопасности или другому лицу, принимающему решения по информационной безопасности.

Алгоритм принятия решений при оперативном управлении защитой информации

В распределенной информационной системе классическая схема управления с множеством датчиков и единым управляющим центром теряет свою эффективность. Узлы сети временно могут быть отключены от информационной системы, время на передачу информации центру управления и принятие решения становится неприемлемо большим, увеличивается непроизводственная загрузка каналов связи. Решением данных проблем может стать передача рада функций анализа событий и принятия решений о защите информации интеллектуальной сущности - программному агенту, размещенному непосредственно в узле информационной системы. Для этого необходимы методы анализа внешних событий и принятия решений об ответных мерах системы защиты в случаях выявления угроз.

Согласно предложенной концепции системы управления защитой информации, исполнительный уровень представляют собой программные агенты - автономные программные модули, способные функционировать без прямого участия человека. Агенты размещаются на всех узлах информационной системы, тем самым, контролируя все ее элементы. Основными задачами агентов являются: 1) Анализ состояния защищаемого объекта; 2) Обнаружение атак, осуществление мер по защите информационных ресурсов от деструктивного воздействия выявленных атак.

Последовательное и постоянное решение данных задач образует цикл управления информационной защитой узла, который схематически изображен нарис. 3.14.

Для осуществления анализа состояния объекта защиты агенту необходимо взаимодействовать с внешней средой, т.е. операционной системой и другими прикладными программами, выполняющимися на защищаемом узле. Анализ состояния состоит из двух фаз: 1) Выявление события, потенциально влияющего на безопасность; 2) Фильтрация выявленных событий.

Выявление события, потенциально влияющего на безопасность, означает, что агент получает из внешней среды сведения о происходящих изменениях с такими атрибутами как: идентификатор объекта, время события, характер события, результат события. Перечень атрибутов может быть расширен, но указанные четыре являются обязательными. Механизм взаимодействия агента со средой может быть реализован непосредственно, когда агент перехватывает вызовы системных функций операционной системы, например, попытки пользователей или процессов обратиться к защищаемым файлам, либо через средства защиты. Средства защиты, такие как персональные межсетевые экраны, средства обнаружения атак могут сообщать агенту об обнаруженных атаках. Использование СЗ в качестве датчиков системы управления ЗИ оправдано, поскольку современные средства ЗИ содержат в себе алгоритмы обнаружения атак, аномалий в работе пользователей, имеют программные интерфейсы, которые позволят передавать сообщения об атаках агентам напрямую по существующим протоколам или через файлы обмена.

Получив данные о внешнем событии, агент анализирует их, основываясь на своей базе правил. События, не представляющие потенциальной угрозы и не подлежащие обязательному протоколированию, отбрасываются. Данные о событиях, признанных потенциально опасными, передаются на вход алгоритма байесовской сети доверия [80, 99]. Байесовский метод - это статистический метод обнаружения закономерностей Б данных. Для этого используется информация, содержащаяся в сетевых структурах, либо в базах данных [65]. Использование метода БСД обусловлено тем, что принятие решений в системах ЗИ осуществляется в условиях частичной неопределенности. Источниками этой неопределенности являются неточности моделей объекта защиты, эвристических методов оценок рисков, моделей злоумышленника, действия пользователей. Метод основан на формуле вычисления апостериорных вероятностей, полученной Байесом. В рассматриваемом методе анализа состояния объекта защиты применяется дискретная байесовская сеть доверия (БСД). Существуют гибридные БСД, в которых присутствуют как дискретные, так и непрерывные переменные. Однако события в информационных системах имеют дискретный характер и применять гибридные БСД нет необходимости, кроме того работа с дискретными БСД требует меньших затрат вычислительных ресурсов. Основной причиной выбора БСД в качестве метода обработки данных о состоянии объекта защиты является возможность прогнозирования итоговых событий, таких как атаки, на основе предварительных, т,е, предшествующих атаке, событий. БСД позволяет вычислить вероятности итоговых событий на основе изменений состояния объекта защиты. Метод БСД нашел применение в экспертных системах [80], системах диагностики неисправностей сложных технических изделий, тем самым доказав свою эффективность.

Для решения задачи анализа событий строится БСД, структура которой представлена на рис. 3,15. Структура БСД представляет собой ориентированный граф и ассоциированное с ним множество таблиц вероятностей, каждая вершина которого соответствует потенциально возможному событию в информационной системе, а ребра графа отражают причинно-следственные связи между событиями [72, 74, 75, 76].

Информационная модель автоматизированной многоагентной системы защиты информации виртуального предприятия

Рассмотрим с точки зрения методологии SADT систему сущностей и связей, отражающих информационное взаимодействие между различными элементами СУЗИ ВП, т.е. построим информационную модель. Модель сформируем из информационных сущностей, отражающих объекты СУЗИ ВП и связи между ними. Предлагаемая модель СУЗИ представлена на рисунке 4,6, Следует более подробно остановиться на информационных объектах и характере связей между ними. Каждый элемент данных о состоянии информационной системы обязательно должен содержать следующие атрибуты: тип события, источник события, идентификатор пользователя, инициировавшего событие, идентификатор сетевого узла, на котором произошло событие, дату и время возникновения события и результат события. Аналогичные атрибуты присутствуют в сущности "Данные о состоянии системы защиты11 за одним исключением: атрибут идентификатор пользователя заменен на "Идентификатор средства ЗИ". Эти виды информационных сущностей образуют множество данных аудита информационной системы, на которых базируются все процессы управления системой защиты информации.

Все данные о событиях системы регистрируются в базе данных событий безопасности в виде сведений о событиях ЗИ. После этого события обрабатываются агентом-координатором и агрегируются в сведения о состоянии информационной системы. При формировании сведений о состоянии информационной системы следует использовать информацию об инцидентах по ЗИТ поступившую на определенный момент времени, что легко сделать, так как каждое событие имеет метку даты/времени. Множество сведений об информационных ресурсах и подсистемах рассматривается в процессе планирования мер по ЗИ. План ЗИ представляет собой совокупность записей о требуемом состоянии подсистемы ЗИ, показателе защищенности для этой подсистемы и временных рамок действия плана. После одобрения плана лицами, принимающими решения по ЗИ на ВП, для каждой компоненты плана ЗИ формируется конфигурация средств ЗИ, составляющих данную подсистему ЗИ.

Каждый элемент данных о состоянии информационной системы оценивается программным агентом-исполнителем СУЗИ и, в случае необходимости, генерируются управляющие воздействия для предупреждения воздействия обнаруженных дестабилизирующих факторов на защищаемые информационные ресурсы. Также управляющие воздействия формируются из поступающих конфигураций подсистем ЗИ. При этом каждая из входящих сущностей может породить как множество управляющих воздействий, так и не породить ни одного. Таким образом, на рис. 4.6 представлены два цикла обработки данных в СУЗИ ВП: цикла планирования и цикл оперативного управления безопасностью информационных ресурсов.

Детальные информационные диаграммы функциональных блоков A3, А2, А1 представлены на рис, 4.7, 4.8,4.9 соответственно. Информационные модели IDEF1X описывают структуру информации и ее потоки. Созданные модели могут быть перенесены в реляционную базу данных и являться единой информационной средой для разрабатываемой СУЗИ ВП.

Фактически, міюгоагентная СУЗИ является информационной системой на основе распределенных баз данных.

Таким образом, с помощью информационной модели были детализированы все сущности, которыми оперирует СУЗИ BEL Рассмотренные модели являются проектом, в соответствии с которым может быть в полном объеме реализована СУЗИ ВП,

С целью апробации предложенного ранее алгоритма прогнозирования требуемого уровня ЗИ и автоматизированного формирования набора функций защиты в работе проведено математическое моделирование данного алгоритма. Имитационные модели построены в средах Microsoft Excel и MatLab Fuzzy Logic ToolBox [49, 66,102].

Первым шагом алгоритма прогнозирования является формирование множества информационных угроз, оценка которых будет проводиться по методу анализа иерархий [49, 53]. Продолжим рассмотрение примера, представленного в главе 3, Планируются риски воздействия следующих угроз: 1) Вирусные атаки; 2) Прослушивание каналов связи; 3) Сбои энергоснабжения; 4) Кража информации; 5) Ошибки персонала.