Метод оценки эффективности противодействия компьютерным атакам на территориально-распределенные сети с учетом специфики МАРМ

МЕТОД ОЦЕНКИ ЭФФЕКТИВНОСТИ ПРОТИВОДЕЙСТВИЯ КОМПЬЮТЕРНЫМ АТАКАМ НА ТЕРРИТОРИАЛЬНО-РАСПРЕДЕЛЕННЫЕ СЕТИ С УЧЕТОМ СПЕЦИФИКИ МАРМ

Алексеев Д.А., аспирант, Санкт-Петербургский государственный университет информационных технологий, механики и оптики Егоров А.В., аспирант, Управление внутренних дел по Юго-Западному округу г. Москвы

В статье рассматривается использование метода оценки эффективности противодействия компьютерным атакам на территориально-распределенные сети с учетом специфики мобильных автоматизированных рабочих мест.

Ключевые слова: мобильные автоматизированные рабочие места, эффективность предупреждения, обнаружения и анализа атак, транзитные маршрутные узлы.

METHOD FOR EVALUATING THE EFFICIENCY OF COUNTERMEASURES COMPUTER ATTACKS ON WAN-SPECIFIC MOBILE WORKPLACES

Alekseev D., The post-graduate student, St.-Petersburg state university of information technologies, mechanics and optics Egorov A., The post graduate student, The Office of Internal Affairs in South-western district of Moscow

The article discusses the use of the method evaluating the effectiveness of countering computer attacks on geographically-distributed network-specific mobile workstations. The analytical relations that allow the absence of a training sample, using the proposed method for selecting high-quality means to counter cyber attacks.

Keywords: моЫ^ workstations, the effectiveness of prevention, detection and analysis of the attacks, the transit route nodes.

Актуальность решаемой задачи оценки эффективности противодействия компьютерным атакам на территориально-распределенные сети с учетом специфики мобильных автоматизированных рабочих мест, связана с проблемой обеспечения безопасности их от возможных информационно-деструктивных воздействий (ИДВ). Организация защищенного взаимодействия мобильных автоматизированных рабочих мест связана с решением многокритериальной задачи. Широко известны подходы, основанные на использовании методов криптографической защиты информации [3], предусматривающих оценку эффективности применяемого средства на основе криптостойкости реализуемого алгоритма криптографического преобразования. В тех случаях, когда обнаруживаются уязвимости реализации и возникает специфика мобильных автоматизированных рабочих мест, необходим другой подход.

Авторы предлагают использовать методы, основанные на оценке вероятности предупреждения, обнаружения и анализа атак и коэффициента противодействия компьютерным атакам на совокупности транзитных маршрутных узлов [1].

Информационные технологии (ИТ) применяются как в персональных рабочих автоматизированных местах, так и в информационных инфраструктурах, формирующихся на основе территориально-распределенных телекоммуникационных систем.

Информационные технологии в системах государственного управления представлены принципиально новыми средствами и методами обработки информации, на основе которых строятся комплексные технологические системы, реализующие сбор, передачу, хранение и представление информационных продуктов наряду с сокращением издержек.

Задача информационных технологий, применяемых в современных системах государственного управления - предоставление необходимой информации требуемого уровня качества.

Для наиболее эффективного государственного управления необходимо иметь достаточную информацию о положении дел как внутри страны, так и за ее пределами, а также возможность оперативного реагирования на изменение ситуации. Для этого глава государства и другие ответственные лица должны постоянно иметь доступ к свежей и достоверной информации. Возникает необходимость организации управления государством таким образом, чтобы обеспечить быструю и надежную связь между различными государственными органами для их наиболее четкого и слаженного взаимодействия.

В современном мире обозначилась перспектива нового передела сфер политического, экономического и военного влияния - и в них сейчас попадают районы традиционных российских интересов, да и даже сама территория Российской Федерации.

Анализ современных тенденций развития информационных инфраструктур автоматизированных систем управления показывает, что-в их состав входит большое количество автоматизированных рабочих мест на базе мобильных персональных компьютеров - ноутбуков. Некоторые организации практически на 100% оснащены ноутбуками, которые имеют доступ к сети Интернет и работают в ней в режиме «on-line».

В этой связи по информационным сетям происходит передача огромных массивов данных, содержащих конфиденциальные сведения фактического состояния дел. Кроме того, учитывая глобальность и относительную открытость информационных сетей, с целью дестабилизации функционирования систем государственного управления, в этих сетях может появиться дезинформация или данные недостоверного характера. Эти данные могут оказать серьезное влияние на процесс принятия правильных решений.

Учитывая, что компьютерные информационные сети подавляющего большинства организаций имеют доступ во всемирную сеть Интернет [3, 4], имеют возможность проводить обмен данными между пользователями по всему миру, то существует угроза, что «злонамеренный» код, попавший в такую систему, может быть создан не только специалистами заинтересованных государств, но и любым хаке-ром-любителем.

Современные ИТ реализуют следующие методы обеспечения защищенного взаимодействия мобильных автоматизированных рабочих мест (МАРМ)[2, 4]:

организация обособленного тракта связи;

создание виртуальной защищенной сети;

контроль транзита сетевого взаимодействия.

При реализации метода организации обособленного тракта связи между МАРМ организуется обмен данными через контролируемый обособленный тракт связи, исключающий возможность анализа передаваемого трафика.

Данный метод имеет неоспоримые преимущества, заключающиеся в отсутствии необходимости использования криптоалгоритмов шифрования трафика, так как связь осуществляется только между двумя доверенными объектами по контролируемому тракту связи. Возникновение в тракте связи злоумышленника невозможно ввиду необходимости физического подключения дополнительного устройства к контролируемому тракту.

При реализации данного метода возникают подчас непреодолимые препятствия, заключающиеся в высоких затратах и сложности реализации и характеризующиеся низкой масштабируемостью создаваемой информационной инфраструктурой.

Метод создания виртуальной защищенной сети наиболее востребованный в настоящее время при реализации систем управления на основе взаимодействия территориально распределенных сетевых узлов. Создаваемая информационная инфраструктура посредством применения криптоалгоритмов позволяет реализовать защищенное взаимодействие по незащищенным трактам связи, организуемым, в том числе, с задействованием сегментов сети Интернет.

При реализации метода создаются виртуальные тракты связи, также известен термин туннели. Каждый сетевой узел, прежде чем направить данные в туннель выполняет операцию их шифрования, а при получении данных из туннеля операцию дешифрования.

Угрозой информации, передаваемой при взаимодействии, организованном с использованием указанного метода, являются уязвимости реализации, периодически обнаруживаемые и публикуемые, в том числе на информационных ресурсах сети Интернет [1].

Для обеспечения передачи данных (пакетов) между МАРМ, они проходят через цепь транзитных узлов (маршрутизаторов), каждый из которых считывает адрес получателя и в соответствии с маршрутной политикой определяет дальнейший транзит пакета. В результате маршрут между МАРМ представляет собой перечень пройденных пакетами транзитных узлов.

МАРМ на основе полученных пакетов может определить все адреса транзитных узлов, их географическое местоположение и зарегистрированного владельца.

В случае реализации метода контроля транзита сетевого взаимодействия на основе анализа маршрутной информации и описания транзитных узлов принимается решение о выборе наименее уязвимого транзита данных.

Таким образом, реализация двух последних методов позволит при использовании незащищенной сети Интернет существенно затруднить анализ передаваемого трафика и реализацию атак на систему государственного управления.

При проектировании и создании современной информационно-технологической инфраструктуры государственного управления является актуальным вопрос выбора эффективных решений. В условиях стремительности, с которой выполняются большинство современных компьютерных атак, необходимо осуществлять выбор на основе превентивных мер противодействия (предупреждение, обнаружение и анализ).

Основные этапы предлагаемого метода представлены на рисунке 1.

Рис.1. Метод оценки эффективности противодействия компьютерным атакам на территориально-распределенные сети с учетом

специфики МАРМ

Замысел предлагаемого метода состоит в том, что главным критерием оценки является максимальное обнаружение (предупреждение, обнаружение и анализ) компьютерных атак на информационные сети с применением МАРМ на требуемом интервале времени противодействия атакам противника на основе использования методов предупреждения, обнаружения, анализа компьютерных атак.

Оценка эффективности применяемых средств противодействия атакам осуществляется по изменению значений вероятности предупреждения, обнаружения и анализа атак от времени обнаружения атак. С помощью этой вероятности оценивается комплексное применение компонентов МАРМ (СЗИ от НСД, защищенность СПО МАРМ) и транзитных маршрутных узлов по следующему соотношению:

РОА (Тоб ) = 1 - П ( Pkm Х Pi * Р^ДТ * PU™ i=1

где

Роа (Тоб ) — вероятность предупреждения, обнаружения и анализа атак;

P£m — вероятность осуществления компьютерной атаки - k на компонент МАРМ - е;

Pkye — вероятность осуществления компьютерной атаки - k на трассу транзита - у и компоненту транзитного маршрутного узла - е;

P НСДТ

Pye — вероятность несанкционированного доступа противника - z к трассе транзита - у и компоненте транзитного маршрутно-

го узла - е;

РНС^ — вероятность несанкционированного доступа противника - z к компоненте МАРМ - е.

В оценке эффективности средств противодействия компьютерным атакам рассматривается двойственная модель, в которой необходимо определить, насколько эффективно в информационной системе с применением МАРМ сторона В («транзитные маршрутные узлы») противодействует компьютерным атакам нарушителя С («компьютерная атака»). Коэффициент противодействия компьютерным атакам

KПУ определяется относительным числом не дискредитированных транзитных маршрутных узлов путем вычисления отношения Г^ТТ^

о гТТд (t)/

числа не дискредитированных транзитных маршрутных узлов к т^ общему количеству транзитных маршрутных узлов:

Получение в разработанном методе математических соотношений для определения этого коэффициента производится следующим образом:

С целью исследования динамики изменения коэффициента противодействия компьютерным атакам K ^ на момент времени t используем дифференциальное уравнение, описывающее дискредитацию компьютерными атаками стороны С маршрутных транзитных узлов.

drTr

dTt = ^УЯЗ&ОП&ТСД&ТР & у РДТУ Ву)

dt

Згф (t = 0) = r°; 3By = const - начальные условия

На основе введения понятия относительного количества средств противодействия компьютерным атакам, приходящихся на один маршрутный транзитный узел, определяем уравнение для интенсивности противодействия компьютерным атакам стороной В.

В результате решения уравнения для интенсивности противодействия компьютерным атакам стороной B путем разделения дифференциалов получаем уравнение для искомой величины x(t ) (количество не дискредитированных маршрутных транзитных узлов):

x

Получение расчетного соотношения для коэффициента противодействия компьютерным атакам с учетом периода времени запаздыва-

ния Тg на обнаружение компьютерных атак стороной

В:

К ПЛ

Формулы (4) и (5) позволяют оценить влияние периода времени запаздывания Тд при обнаружении компьютерных атак на значение коэффициента противодействия компьютерным атакам с помощью построения зависимостей по этим формулам при значениях

ГПАІАУ —Пп1 ГПА — 1;^У — О’1

Вывод: для оценки возможности организации защищенного взаимодействия МАРМ в сложных территориально-распределенных информационных системах, а также по результатам экспериментальных исследований и оценки коэффициента противодействия атакам необходимо найти значения для числа и состава средств противодействия и времени обнаружения атак на каждом транзитном маршрутном узле с целью максимального обнаружения компьютерных атак..

Литература:

Саати Т. Принятие решений. Метод анализа иерархий: Пер. с англ. - М.: Радио и связь. 1993. - 320 с.

Климов С.М. Методы и модели противодействия компьютерным атакам. - Люберцы.: КАТАЛИТ, 2008. - 316 с. ил.

Стратегическое управление. -М: МГУ, 1995. -360 с.

Информационная безопасность: концептуальные и методологические основы защиты информации. А.А. Малюк - М: Горячая линия-Телеком, 2004. 280 с. ил.

Медведовский И.Д., Семьянов П.В., Леонов Д.Г. Атака на INTERNET. 2 изд. ДМК 1999г.- 336 с.

G. Malkin, «Traceroute Using an IP Option», RFC 1393, 1993.