Методология анализа защищенности информационной системы
При разработке архитектуры и создании инфраструктуры корпоративной ИС неизбежно встает вопрос о ее защищенности от угроз. Решение вопроса состоит в подробном анализе таких взаимно пересекающихся видов работ, как реализация ИС и аттестация, аудит и обследование безопасности ИС [1].
Основой формального описания систем защиты традиционно считается модель системы защиты с полным перекрытием, в которой рассматривается взаимодействие области угроз, защищаемой области и системы защиты. Таким образом, модель может быть представлена в виде трех множеств: Т= {ti} — множество угроз безопасности, О = {oj} — множество объектов (ресурсов) защищенной системы, М= {mk} — множество механизмов безопасности.
Элементы этих множеств находятся между собой в определенных отношениях, собственно и представляющих систему защиты. Для описания системы защиты обычно используется графовая модель. Множество отношений «угроза — объект» образует двухдольный граф {Т, О}. Цель защиты состоит в том, чтобы перекрыть все возможные ребра в графе. Это достигается введением третьего набора М; в результате получается трехдольный граф {Т, М, О}.
Развитие модели предполагает введение еще двух элементов. Пусть V— набор уязвимых мест, определяемый подмножеством декартова произведения {ТхО}: vr = <ti, oj>. Под уязвимостью системы защиты понимают возможность осуществления угрозы Т в отношении объекта O. (На практике под уязвимостью системы защиты обычно понимают те свойства системы, которые либо способствуют успешному осуществлению угрозы, либо могут быть использованы злоумышленником для ее осуществления.)
Определим В как набор барьеров, определяемый декартовым произведением {VxM}: b1 = < ti, oj, mk >, представляющих собой пути осуществления угроз безопасности, перекрытые средствами защиты. В результате получаем систему, состоящую из пяти элементов: <Т, О, М, V, В>, описывающую систему защиты с учетом наличия уязвимостей.
Для системы с полным перекрытием для любой уязвимости имеется устраняющий ее барьер. Иными словами, в подобной системе защиты для всех возможных угроз безопасности существуют механизмы защиты, препятствующие осуществлению этих угроз. Данное условие является первым фактором, определяющим защищенность ИС, второй фактор — «прочность» и надежность механизмов защиты.
В идеале каждый механизм защиты должен исключать соответствующий путь реализации угрозы. В действительности же механизмы защиты обеспечивают лишь определенную степень сопротивляемости угрозам безопасности, поэтому в качестве характеристик элемента набора барьеров b1= <ti, oj, mk> может рассматриваться набор
<Р 1, L1, R1>, где Р1 — вероятность появления угрозы; L1 — величина ущерба при удачном осуществлении угрозы в отношении защищаемых объектов (уровень серьезности угрозы); a R1 — степень сопротивляемости механизма защиты mk, характеризующаяся вероятностью его преодоления.
Надежность барьера b1 = <ti, oj, mk> характеризуется величиной остаточного риска Risk1, связанного с возможностью осуществления угрозы ti в отношении объекта информационной системы оj при использовании механизма защиты тk. Эта величина определяется по следующей формуле: Risk1 = Pk Lk (1 — Rk). Для нахождения примерной величины защищенности S можно использовать следующую простую формулу: S = 1/Risk0, где Risk0 является суммой всех остаточных рисков, (0 < [Ph Lk] < 1), (0 ≤ Rk < 1).
Суммарная величина остаточных рисков характеризует приблизительную совокупную уязвимость системы защиты, а защищенность определяется как величина, обратная уязвимости. При отсутствии в системе барьеров by «перекрывающих» выявленные уязвимости, степень сопротивляемости механизма защиты Rk принимается равной нулю.
На практике получение точных значений приведенных характеристик барьеров затруднено, поскольку понятия угрозы, ущерба и сопротивляемости механизма защиты трудно формализовать. Так, оценку ущерба в результате несанкционированного доступа к информации политического и военного характера точно определить вообще невозможно, а определение вероятности осуществления угрозы не может базироваться на статистическом анализе. Построение моделей системы защиты и анализ их свойств составляют предмет теории безопасных систем, еще только оформляющейся в качестве самостоятельного направления.
Для защиты информации экономического характера, допускающей оценку ущерба, разработаны стоимостные методы оценки эффективности средств защиты. Для этих методов набор характеристик барьера дополняет величина С1 затраты на построение средства защиты барьера b1. В этом случае выбор оптимального набора средств защиты связан с минимизацией суммарных затрат W{w1}, состоящих из затрат C={c1} на создание средств защиты и возможных затрат в результате успешного осуществления угроз N={n1}.
Формальные подходы к решению задачи оценки защищенности из-за трудностей, связанных с формализацией, широкого практического распространения не получили. Значительно более действенным является использование неформальных классификационных подходов. Для этого применяют категорирование: нарушителей (по целям, квалификации и доступным вычислительным ресурсам); информации (по уровням критичности и конфиденциальности); средств защиты (по функциональности и гарантированности реализуемых возможностей); эффективности и рентабельности средств защиты; и т.п.