Научный журнал

Фундаментальные исследования

ISSN 1812-7339

"Перечень" ВАК

ИФ РИНЦ = 1,674

• Авторы
• Резюме
• Файлы
• Ключевые слова
• Литература

Заркумова-Райхель Р.Н. 1 Абденов А.Ж. 1

---

1 ГОУ ВПО «Новосибирский государственный технический университет», Новосибирск

Для прогнозирования количества инцидентов в системе информационной безопасности (ИБ) предприятия предлагается использовать линейную дискретную стохастическую модель в форме пространства состояний. Описывается алгоритм построения данной модели на основе использования экспертных оценок количества инцидентов ИБ. Для построения модели оцениваются дисперсия шумов динамики, дисперсия шумов наблюдений, дисперсия шума начального состояния исследуемого объекта. Постоянные коэффициенты уравнения модели рассчитываются на основе метода наименьших квадратов с учетом уровня зрелости предприятия с точки зрения обеспечения ИБ и при использовании алгоритма регуляризирующего кубического сплайна. Полученная модель позволяет, используя уравнения фильтра Калмана, рассчитать оценки предсказания и оценки фильтрации количества инцидентов в системе ИБ. Оценки фильтрации вычисляются путем корректировки оценок предсказания относительно данных наблюдений на момент времени предсказания.

Статья в формате PDF

871 KB

инцидент информационной безопасности

уровень «зрелости» предприятия

модель в форме пространства состояний

фильтр Калмана

1. Абденов А.Ж., Абденова Г.А., Снисаренко А.В. Построение и применение кубических сплайнов для сглаживания и дифференцирования данных наблюдений: методическое пособие. – Новосибирск: Изд-во НГТУ, 2004. – 31 с.

2. Абденова Г.А. Прогнозирование значений уровня временного ряда на основе уравнений фильтра Калмана // Ползуновский вестник. – 2010. – №2. – С. 4–6.

3. Информационная безопасность. Уровни зрелости СОИБ организации [Электронный ресурс]. – Режим доступа: http://www.wikisec.ru (дата обращения: 17.03.2012).

4. Синицын И.Н. Фильтры Калмана и Пугачева // Рос. акад. науки, Ин-т проблем информатики. – М.: Логос, 2007. – 772 с.

5. Mehra R. Identification and adaptive Kalman filtering // Mechanics. – 1971. –м № 3. – P. 34–52.

В данной работе инцидентом ИБ будем считать любое незаконное, неразрешенное, неблагоприятное событие (НС), которое совершается в информационной системе.

Статистика инцидентов ИБ помогает осознавать количество инцидентов и их изменение во времени, определять наиболее актуальные угрозы для предприятия, прогнозировать количество инцидентов, и, тем самым, максимально точно планировать мероприятия по повышению уровня защищенности информационной системы предприятия.

В работе описывается подход к прогнозированию количества инцидентов на основании имеющейся статистики об инцидентах ИБ. Суть данного подхода заключается в том, что статистика инцидентов ИБ позволяет построить математическую модель системы ИБ, на основании которой вычисляются оценки предсказания количества НС в системе ИБ.

Запишем линейную стохастическую модель в форме пространства состояний [4]:

 (1)

 t = 0, 1, ... , (2)

где x(t) - переменная, характеризующая количество инцидентов, зафиксированных в системе ИБ в момент времени t; y(t) - наблюдаемое значение как измерение состояния исследуемого объекта, т.е. оценка количества НС в момент времени t; - показатели, характеризующие пороговый уровень количества инцидентов ИБ для соответствующих значений i, где i = {0, 1, 2, 3} - уровень «зрелости» предприятия с точки зрения обеспечения ИБ (далее - уровень «зрелости») [3]; {w(t), t = 0, 1, ...} - гауссовская белая последовательность шумов динамики исследуемого объекта с нулевым средним и постоянной дисперсией Q_i; {v(t + 1), t = 0, 1, ...} - гауссовская белая последовательность шумов наблюдений с нулевым средним и постоянной дисперсией R_i; x_i(0) - гауссовская случайная величина шума начального состояния исследуемого объекта с математическим ожиданием x_0i и дисперсией P_i(0); f_i и g_i - коэффициенты в уравнении (1). Предполагается, что обе белые гауссовские последовательности {w(t), v(t + 1), t = 0, 1, ...} и {x_i(0), i = 0, 1, 2, 3} взаимно независимы в пределах i-го уровня «зрелости».

Задача состоит в том, чтобы построить модель в форме пространства состояний, которая позволит с помощью уравнений фильтра Калмана осуществлять расчеты оценок предсказания, а также вычислять оценки фильтрации на основании корректировки оценок предсказания с учетом данных наблюдений на момент времени предсказания.

Пусть известна статистика о количестве инцидентов ИБ, связанных с совершением пользователями ошибок при прохождении процедуры аутентификации.

Для построения математической модели в форме пространства состояний (1), (2), в первую очередь, необходимо определиться с уровнем «зрелости», воспользовавшись классификацией, предложенной компанией Gartner, которая подразумевает 4 уровня «зрелости» [3]. Самый низкий (нулевой) уровень (i = 0; u(t) = 4 - i = 4) характеризуется отсутствием понимания важности проблем ИБ, отсутствием финансирования; ИБ реализуется штатными средствами операционных систем. На предприятиях первого уровня (i = 1; u(t) = 4 - i = 3) финансирование ведется в рамках общего бюджета на информационные технологии; ИБ реализуется средствами нулевого уровня плюс средства резервного копирования, антивирусные средства, межсетевые экраны. На предприятиях второго уровня (i = 2; u(t) = 4 - i = 2) есть утвержденная руководством программа развития системы ИБ предприятия; финансирование ведется в рамках отдельного бюджета; ИБ реализуется средствами первого уровня плюс средства усиленной аутентификации, IDS, средства анализа защищенности, SSO, PKI и организационные меры. Самый высокий (третий) уровень (i = 3; u(t) = 4 - i = 1) предполагает, что ИБ является частью корпоративной культуры; финансирование ведется в рамках отдельного бюджета; ИБ реализуется средствами второго уровня плюс системы управления ИБ, CSIRT, SLA.

Таким образом, специалисты по ИБ или экспертная группа на конкретном предприятии могут зафиксировать значение входного управляющего сигнала u(t), отнеся свою компанию к тому или иному уровню «зрелости» в соответствии с представленной классификацией.

Для построения модели вида (1), (2) необходимо вычислить коэффициенты f_i и g_i, дисперсию шумов динамики Q_i, дисперсию шумов наблюдений R_i и дисперсию шума начального состояния исследуемого объекта P_i(0) для соответствующего уровня «зрелости» на основе имеющихся статистических данных.

Для того чтобы вычислить оценки дисперсий шумов динамики и шумов наблюдений для модели вида (1), (2), представим эту модель в упрощенной форме, которая позволит осуществить расчеты лишь на основе данных наблюдений объема выборки N:

 x(0) = x₀, (3)

 (4)

где x(t) - истинное значение состояния исследуемого объекта, w(t) - шум динамики - случайная последовательность с нулевым средним и неизвестной дисперсией Q; v(t + 1) - шум наблюдений - случайная последовательность с неизвестными средним значением E[v(t)] = q (систематическая ошибка) и неизвестной дисперсией R.

Для оценивания среднего значения q сформируем последовательности псевдоизмерений на основе двух и трех смежных данных наблюдений следующим образом:

 (5)

 (6)

Оценка значения  в предположении о ее постоянстве определяется выражением:

  (7)

с начальным условием .

Среднее значение невязок:

В [5] показано, что

 .

Тогда последовательность псевдоизмерений дисперсии шумов динамики Q определяется следующим образом:

(8)

а оценку дисперсии  можно рассчитать по рекуррентной формуле:

(9)

с начальным условием . Тогда при t = N получим

Также в [5] показано, что

Поэтому последовательность псевдоизмерений дисперсии шумов наблюдений R определяется следующим образом:

 (10)

Таким образом, оценку дисперсии  можно рассчитать по рекуррентной формуле:

(11)

с начальным условием . Тогда при t = N получим .

На основе метода наименьших квадратов [5] можно рассчитать коэффициенты  и  уравнения (1) в предположении, что , , где  можно получить с помощью алгоритма регуляризирующего кубического сплайна [1].

Для окончательного построения линейной дискретной стохастической модели в форме пространства состояний вычисляется дисперсия шума начального состояния исследуемого объекта [2]:

  (12)

где NN - число итераций, которое требуется для того, чтобы значение P₀ соответствовало значению оценки дисперсии установившегося начального состояния.

Полученные оценки дисперсий шумов ,  и , значения начального состояния исследуемого объекта x_i(0) и входного управляющего сигнала u(t), коэффициенты f_i и g^_i будут использоваться в математической модели, которая позволит рассчитать оценки предсказания и оценки фильтрации с помощью пяти уравнений фильтра Калмана (13)-(17) [4] при i = {0, 1, 2, 3}:

1) рассчитывается оценка предсказания  количества инцидентов ИБ:

 t = 0, 1, 2, ...;

 i = 0, 1, 2, 3; (13)

2) рассчитывается дисперсия оценки предсказания состояния :

(14)

3) вычисляется коэффициент передачи фильтра K(t + 1):

(15)

4) рассчитывается оценка фильтрации  количества инцидентов ИБ:

(16)

5) рассчитывается дисперсия оценки фильтрации :

(17)

6) t = t + 1 и переход на шаг 1 и далее, пока t ≤ N.

Значения последовательностей шумов, оценки дисперсий шумов Q^_i,R^_i и P^_i, коэффициенты f^_i и g^_i могут принимать нецелые значения, поэтому оценки предсказания и фильтрации будут нецелочисленными. В связи с этим полученную оценку фильтрации необходимо округлить до ближайшего целого.

Рассмотрим пример.

Пусть условное предприятие с точки зрения «зрелости» информационной безо­пасности относится ко второму уровню «зрелости» (i = 2, u(t) = 2), и имеются экспертные оценки количества инцидентов за 2010 год (рис. 1).

По графику можно сделать вывод, что имеются четыре критические зоны с аномальными значениями количества инцидентов ИБ в диапазоне от 100 до 110 (связано с плановой сменой паролей) и семь критических зон с аномальными значениями в диапазоне от 60 до 70 инцидентов (по причине длительных выходных). Колебания количества НС в пределах от 20 до 50 инцидентов будем относить к «нормальному» режиму функционирования системы ИБ.

Учитывая «нормальное» поведение количества инцидентов и наличие критических зон, предлагается сгруппировать значения количества инцидентов следующим образом: [21-30], [31-40], [41-50], [61-70] и [101-110] инцидентов. Оценки характеристик модели необходимо вычислять для каждой вышеобозначенной группы.

Проведя расчеты согласно формулам (5)-(12), получим следующие оценки (табл. 1).

Результаты расчета оценок f₂, g₂, Q₂, R₂ и P₂(0)относительно выделенных групп значений количества инцидентов

Теперь вычислим оценки предсказания и оценки фильтрации на основании уравнений фильтра Калмана (13)-(17), используя данные наблюдений за февраль 2011 г. (табл. 2). При этом будем учитывать наличие критических зон с аномальными значениями, т.е. использовать оценки характеристик модели, характеризующие уровень количества инцидентов в соответствующей группе значений.

На рис. 2 представлены результаты расчета оценок предсказания и фильтрации.

Количество инцидентов ИБ в феврале 2011 г.

Из рисунка видно, что рабочие дни в феврале относительно числа инцидентов визуально можно разделить на 5 подынтервалов: 1 подынтервал со значениями количества НС, входящими в диапазон с 41 по 50 инцидентов; 2 - с 31 по 40; 3 - с 21 по 30; 4 - с 61 по 70; 5 - с 31 по 40 инцидентов. Для расчета оценок предсказания и фильтрации в каждом подынтервале использовались наборы оценок f₂, g₂, Q₂, R₂ и P₂(0), характерные для соответствующих групп значений количества инцидентов. Согласно рис. 2 оценки фильтрации более приближены к значениям данных наблюдений, что подчеркивает относительную достоверность данных наблюдений по сравнению с оценками предсказания.

В данной работе была предложена методика построения математической модели системы информационной безопасности в виде линейной дискретной стохастической модели в форме пространства состояний относительно количества инцидентов ИБ конкретного «уровня» зрелости. Значения количества инцидентов были сгруппированы, учитывая «нормальное» поведение количества инцидентов и наличие критических зон с аномальными значениями количества НС. Для каждой группы значений количества НС была построена соответствующая линейная дискретная стохастическая модель в форме пространства состояний. Все полученные модели позволили рассчитать оценки фильтрации на основании оценок предсказания и текущих наблюдений на момент времени предсказания. При этом оценки фильтрации более достоверно оценивают состояние объекта относительно количества инцидентов, происходящих в компьютерной системе для соответствующего уровня «зрелости» исследуемого объекта.

• Фионов А.Н., д.т.н., проректор по научной работе Сибирского государственного университета телекоммуникаций и информатики, г. Новосибирск;
• Разинкин В.П., д.т.н., профессор кафедры теоретических основ радиотехники Новосибирского государственного технического университета, г. Новосибирск.

Работа поступила в редакцию 18.05.2012

Библиографическая ссылка