Гвоздик Ярослав Михайлович, руководитель группы аттестационных испытаний информационно-управляющих систем ООО «Газинформсервис» Учреждение Российской академии. - презентация

1 Гвоздик Ярослав Михайлович, руководитель группы аттестационных испытаний информационно-управляющих систем ООО «Газинформсервис» Учреждение Российской академии наук Санкт-Петербургский институт информатики и автоматизации РАН (СПИИРАН) МЕТОД ОЦЕНКИ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ АВТОМАТИЗИРОВАННЫХ СИСТЕМ

2 ЦЕЛЬ РАБОТЫ - повышение качества, полноты и оперативности представления информации, необходимой и достаточной для принятия обоснованных и своевременных решений по защите информации в автоматизированных системах на основе современных математических методов и методик проведения оценки НАУЧНАЯ ЗАДАЧА - разработка метода оценки систем защиты информации (СЗИ) АС требованиям нормативных, руководящих документов Российской Федерации в области защиты информации, обеспечивающего повышение качества, полноты и оперативности принятия владельцами АС обоснованных и своевременных решений по их защите. ОБЪЕКТ ИССЛЕДОВАНИЯ системы защиты информации автоматизированных систем. ПРЕДМЕТ ИССЛЕДОВАНИЯ модели и методы анализа систем защиты информации.

3 Существующее положение делТребуемое положение дел Требования нормативных и руководящих документов РФ в области защиты информации носят разрозненный характер, и не охватывает все аспекты защиты информации в современных автоматизированных системах. Необходимо провести анализ требований нормативных, руководящих документов в области защиты информации. Разработать подход к формированию согласованной системы критериев оценки СЗИ АС. Неточность моделей функционирования систем защиты информации современных автоматизированных систем и методов проведения их оценки не соответствует возрастающим требованиям к качеству проведения мероприятий по их оценке. Необходимо провести анализ и разработать методические принципы создания моделей оценки систем защиты информации АС. Разработать метод оценки систем защиты информации АС с использованием современного математического аппарата. Возрастание количества объектов контроля, делает невозможным привлечение ведущих экспертов ФСТЭК России на все необходимые мероприятия. На основе метода разработать методику оценки систем защиты информации АС; Апробировать метод и методику оценки систем защиты информации АС. Противоречия, порождающие задачи диссертационного исследования

4 ЗАДАЧИ ИССЛЕДОВАНИЯ: провести анализ требований нормативных, руководящих документов РФ в области защиты информации; разработать подход к формированию критериев оценки СЗИ АС; провести анализ и разработать методические принципы создания моделей оценки систем защиты информации АС; разработать метод оценки систем защиты информации АС с использованием современного математического аппарата; разработать методику оценки систем защиты информации АС; апробировать метод оценки систем защиты информации АС. ОСНОВНЫЕ НАУЧНЫЕ РЕЗУЛЬТАТЫ 1. Метод оценки системы защиты информации АС. 2. Методика оценки системы защиты информации АС.

5 АКТУАЛЬНОСТЬ ТЕМЫ Общее количество вредоносных программ, атакующих АС *10 3 Рост числа официально зарегистрированных атак на автоматизированные системы (по данным Снижение требований к квалификации злоумышленников, необходимой для успешного осуществления атак (Cnews Analytics на основе данных CERT Coordination Center)

6 МЕТОД ОЦЕНКИ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ АС МЧС РОССИИ Метод оценки систем защиты информации АС состоит из следующих этапов: Построение многоуровневой иерархической структуры требований безопасности и формирование системы критериев оценки СЗИ АС. Построение многоуровневой структуры моделей для решения задачи оценки. Построение многоуровневой иерархической структуры требований безопасности и формирование системы критериев оценки СЗИ АС. В диссертационной работе анализировались: -Руководящие документы ФСТЭК (Гостехкомиссии) России по защите АС и СВТ от НСД. -Руководящий документы ФСТЭК (Гостехкомиссии) России «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий». -ГОСТ Р ИСО/МЭК ТО «Информационная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизированных систем». -ГОСТ Р ИСО/МЭК «Практические правила управления ИБ»; -ГОСТ Р ИСО/МЭК «Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности» и т.д. По результатам анализа сделан вывод, что для оценки СЗИ АС необходимо использовать требования следующих документов: Руководящий документы ФСТЭК (Гостехкомиссии) России «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий» (технические требования); ГОСТ Р ИСО/МЭК ТО «Информационная технология. Методы и средства обеспечения безопасности. Оценка безопасности автоматизированных систем» (организационные требования).

7 Функциональные требования безопасности (ПЗ и/или ЗБ) Класс N Класс СемействоN Семейство Компонент N Компонент Элемент N Элемент Технические требования (РД «Общие критерии») Организационные требования (19791:2006) Класс N Класс СемействоN Семейство Компонент N Компонент Элемент N Элемент Система критериев оценки системы защита АС Для формирование требований и критериев оценки СЗИ АС в части требований к техническим регуляторам безопасности предлагается использовать РД «Общие критерии», а в части требований к регуляторам безопасности организационного уровня использовать положения ГОСТ Р ИСО/МЭК ТО

8 Построение многоуровневой структуры моделей для решения задачи оценки. Принципы создания модели оценки СЗИ. Принцип 1- первичность структуры критериев оценки перед видом модели. Суть принципа заключается в том, что модель оценки СЗИ АС создается как множество взаимоувязанных, согласованных на выбранной иерархической структуре критериев частных моделей и в полной мере должна соответствовать структуре критериев оценки. Принцип 2 – согласованность входов модели вышестоящего уровня выходам нижестоящих моделей по типу передаваемых значений величин и их градации. Принцип 3 – соответствие количества градаций оцениваемых величин уровню «уверенной» оценки эксперта. Принцип 4 – рациональный выбор модели в соответствии с градациями и инциденциями конкретного критерия.

9 Функциональные требования безопасности (обобщённый показатель) Класс N Класс СемействоN Семейство Компонент N Компонент Элемент N Элемент Экспертные оценки Нечеткий логический вывод Нечеткая (четкая) комплексная оценка Упрощенный метод анализа иерархий a ij =a i1 a 1j =a i1 /a 1j i = 2,...,п, j = 2,...,п. w = (w 1,w 2,...,w n ) T w i =a 1n /a 1i, i = 1,2,...,п. Модель оценки систем защиты информации АС Критерии оценкиМатематический аппарат оценки

10 Класс «аудит безопасности» Оценку каждого критерия будем проводить по следующей шкале: не соответствует (Н), частично соответствует (ЧС), соответствует в основном (СВО), соответствует (С) Оценка элемента «FAU_SAR 1.1», который устанавливает требования к предоставлению записей аудита, может иметь следующие варианты: - ФБО не предоставляет возможность (Н); - ФБО предоставляет возможность только одному из уполномоченных пользователей (ЧС); - ФБО предоставляет возможность большинству уполномоченных пользователей, но не всем (СВО); - ФБО предоставляет возможность всем уполномоченным пользователям (С).

11 Если FAU_SAR 1.1 (Значение оценки) и FAU_SAR 1.2 (Значение оценки) то FAU_SAR 1 (Значение оценки) Форма правила нечёткого вывода 1. Если FAU_SAR 1.1 (Н) и FAU_SAR 1.2 (Н) то FAU_SAR 1 (Н); 2. Если FAU_SAR 1.1 (Н) и FAU_SAR 1.2 (ЧС) то FAU_SAR 1 (Н); 3. Если FAU_SAR 1.1 (Н) и FAU_SAR 1.2 (СВО) то FAU_SAR 1 (Н); 4. Если FAU_SAR 1.1 (Н) и FAU_SAR 1.2 (С) то FAU_SAR 1 (ЧС); 5. Если FAU_SAR 1.1 (ЧС) и FAU_SAR 1.2 (Н) то FAU_SAR 1 (Н); … Редактор нечёткого вывода Fuzzy Logic Toolbox

12 FAU_SAR (Х1) FAU_SAR.1 (Х11) FAU_SAR.2(Х12)FAU_SAR.3(Х13) Иерархическое дерево критериев семейства FAU_SAR Хс FAU_SAR.1 (Х11) FAU_SAR.2(Х12) FAU_SAR.3(Х13) FAU_SAR (Х1) Х 11 ХСХС ХСХС Х1Х Х Х 13 Матрицы свёртки для семейства «FAU_SAR» Класс FAU "Аудит безопасности" (A) FAU_ARP "Автоматическая реакция аудита безопасности" (A1) FAU_GEN "Генерация данных аудита"(A2) FAU_SAA "Анализ аудита безопасности"(A3) FAU_SAR "Просмотр аудита безопасности" (A4) FAU_SEL "Выбор событий аудита безопасности" (A5) FAU_STG "Хранение данных аудита безопасности" (A6) Класс FAU"Аудит безопасности " (A) A12 35 A1 2 FAU_ARP "Автоматическая реакция аудита безопасности" (A1) FAU_GEN "Генерация данных аудита"(A2) A35 FAU_SAA "Анализ аудита безопасности"(A3) FAU_SEL "Выбор событий аудита безопасности" (A5) A46 FAU_SAR "Просмотр аудита безопасности" (A4) FAU_STG "Хранение данных аудита безопасности" (A6) Структура класса FAU «Аудит безопасности»

13 Предположим, что в результате сравнения первого объекта со всеми остальными, экспертами были получены следующие результаты а 12 =2, а 13 =1/2, а 14 =3, а 15 =1/4, а 16 =3. Для формирования матрицы парных сравнений используем равенство (1.1) i = 1,2,…,n i = 1,2,…,6 (1.3) После соответствующих расчётов получаем w 1 =3, w 2 =3/2, w 3 =6, w 4 =1, w 5 =12, w 6 =1. (1.1) (1.2) После того как матрица А = (а ij ) n*n при помощи формулы (1.1) сформирована, можно найти весовой вектор w=(w 1,w 2,…,w n ) T. Его компоненты вычисляются по формуле (1.2) Компоненты весового вектора w, найденного с помощью (1.2), составляют последний столбец матрицы А, элементы которой построены на основе формулы (1.1). В нашем случае для нахождения компоненты весового вектора w используем равенство А1А1 А 12 А3А3 А А2А2 1234А5А5 А 12 А 1235 А4А4 А А А6А6 Матрицы свёртки для класса FAU «Аудит безопасности» А 46 А А 1235

14 N п/п Название Печатный или на правах рукописи Издательство, журнал (N,год) или номер авторского свидетельства Кол-во печатных листов или страниц Фамилия соавторов Статьи в изданиях, рекомендованных перечнем ВАК РФ 1 Подход к построению предметной онтологии информационной безопасности РФ Печатный "Проблемы управления рисками в техносфере" Выпуск 2 (2007г.) 6 Исаков С.Л. 2 Создание и оценка систем защиты информации автоматизированных систем МЧС России Печатный "Проблемы управления рисками в техносфере" Выпуск 7 (2008г.) 6 3 Оценка соответствия информационной безопасности объекта аудита требованиям нормативных документов Печатный Проблемы информационной безопасности. Компьютерные системы. 3, 2006г. 10 Марков О.Н., Кусов Е.В. Статьи, опубликованные в научных и технических изданиях и в материалах конференций 4 Разработка интеллектуальных моделей принятия решений в области анализа и управления рисками в природной и техногенной сферах. Печатный Материалы Научно-практической конференции «Сервис безопасности в России: опыт, проблемы, перспективы». Университет ГПС МЧС России, 2008 год. 6 Исаков С.Л. 5 Оценка состояния безопасности информации в автоматизированных системах Печатный Материалы 18 Межвузовской НТК, ВМИРЭ, 2007г. 2 6 Направления развития нормативной базы по оценке состояния безопасности информации в автоматизированных системах Печатный Материалы 18 Межвузовской НТК, ВМИРЭ, 2007г. 1 7 Построение оптимальных множеств лингвистических шкал Печатный Материалы 19 Межвузовской НТК, ВМИРЭ, 2008г. 6 8Метод оценки профиля защитыПечатный Материалы 19 Межвузовской НТК, ВМИРЭ, 2008г. 9 9 Метод оценки элементов системы защиты информации автоматизированных систем с использованием матричной свертки критериев. Печатный Материалы 20 Межвузовской НТК, ВМИРЭ, 2009г. 9 10Нечеткое продукционное оценивание систем защиты информации автоматизированных систем. ПечатныйМатериалы 20 Межвузовской НТК, ВМИРЭ, 2009г. 9