Устройство комплексного контроля состояния защищенности автоматизированных систем

Предлагаемая полезная модель относится к области вычислительной техники, а именно к информационной безопасности (ИБ), и может быть использована для реализации процесса контроля состояния защищенности (СЗ) автоматизированных систем (АС).
Известен аналог «Система адаптивного мониторинга автоматизированных систем управления военного назначения» по патенту РФ №191293, МПК G06F 21/57 (2013.01), заявл. 07.03.2019, опубл. 01.08.2019, заключающийся в том, что система содержит модуль взаимодействия с пользователем, включающий блок настройки параметров и блоки интерфейсов; модуль оценки, включающий блок управления механизмом оценки, блок адаптации процедур оценивания и блок оценки; модуль хранения информации, включающий блок вывода информации и блок хранения информации; модуль сбора информации, включающий блок адаптации номенклатуры и объема параметров, блок сбора общих данных и блок выбора возможных тестов; модуль тестирования, включающий блоки тестирования топологий автоматизированных систем управления военного назначения (АСУ ВН) и блоки тестирования модулей АСУ ВН; модуль мониторинга, включающий блок адаптации процедур наблюдения, блок мониторинга параметров АСУ ВН и блок мониторинга сетевой активность АСУ ВН; модуль преобразования данных, включающий блоки преобразования данных; модуль параметрического синтеза, включающий блок вывода синтезированных данных и блок параметрического синтеза. Основной особенностью данного аналога является оптимизация процедур мониторинга для осуществления оценки СЗ АСУ ВН за счет последовательной многоуровневой адаптации, включающей: адаптацию набора и объема номенклатуры параметров, подлежащих мониторингу, адаптацию процедур наблюдения и адаптацию процедур оценивания, что обеспечивает повышение оперативности принятия решений о степени защищенности АСУ ВН за счет минимизации набора параметров, подлежащих контролю.
Недостатками данной системы являются:
процесс оценки СЗ АСУ ВН реализуется по строго заданному алгоритму, заключающемуся в первоначальном выполнении процедур тестирования топологий и модулей АСУ ВН, а затем в выполнении процедур мониторинга параметров и сетевой активности АСУ ВН. Указанный недостаток свидетельствует о том, что в аналоге отсутствует возможность изменения последовательности выполнения процедур оценивания СЗ АСУ ВН в зависимости от различных условий эксплуатации системы;
процесс определения последовательности и параметров работы всех блоков аналога реализуется на основе ранее сохраненных оценках СЗ АСУ ВН. Данный недостаток свидетельствует о том, что в аналоге выполнение процедур тестирования топологий и модулей АСУ ВН, а также процедур мониторинга параметров и сетевой активности АСУ ВН осуществляется без учета вероятностного изменения состояния контролируемого объекта с течением времени, что указывает на отсутствие в аналоге возможности прогнозирования СЗ АСУ ВН и низкий уровень эффективности решений, принимаемых оператором.
Известен аналог «Система аналитической обработки событий информационной безопасности» по патенту РФ №193101, МПК G06F 21/55 (2013.01), заявл. 13.05.2019, опубл. 14.10.2019, заключающийся в том, что система содержит блок приема событий информационной безопасности (СИБ); модуль хранения и присвоения меток СИБ и инцидентов информационной безопасности (ИИБ), включающий блок хранения меток ИИБ, блок хранения меток СИБ и блок присвоения меток СИБ; блок сравнения меток СИБ с правилом директивы корреляции первого уровня; блок сравнения меток СИБ с правилом директивы корреляции второго уровня; таймер №1; модуль сравнения меток СИБ третьего уровня, включающий блок буферизации текущих меток СИБ, блок подсчета вероятности наступления ИИБ и блок задержки меток СИБ; счетчик меток СИБ; модуль оповещения, включающий блок предупреждения тревоги и блок генерации тревоги; модуль взаимодействия со специалистом по ИБ, включающий блок интерфейса и блок обновления меток ИИБ; таймер №2; блок прогнозирования ИИБ. Основной особенностью данного аналога является повышение вероятности обнаружения ИИБ в АС посредством реализации ретроспективного анализа СИБ, распределенных во времени, а также своевременного предупреждения о возможном наступлении ИИБ за счет прогнозирования его появления.
Недостатками данной системы являются:
зависимость эффективности процесса функционирования аналога от принимаемых оператором решений о состоянии контролируемой АС и обнаружении нового ИИБ. Данный недостаток свидетельствует о том, что в аналоге отсутствует возможность автоматической поддержки и принятия решений о состоянии контролируемой АС, а также на ликвидацию последствий ИИБ;
процесс обнаружения ИИБ в АС реализуется без учета достоверности СИБ, поступающих в блок приема СИБ. Данный недостаток свидетельствует о том, что процесс функционирования аналога может характеризоваться высоким уровнем ложных срабатываний по обнаружению новых ИИБ, в результате чего снижается безопасность контролируемой АС.
Наиболее близким техническим решением, принятым за прототип, является полезная модель «Устройство аудита информационной безопасности в автоматизированных системах», известная по патенту РФ №180789, МПК G06F 21/55 (2013.01), заявл. 31.10.2017, опубл. 22.06.2018 и заключающаяся в том, что устройство содержит блок сбора данных о СИБ; блок управления данными, включающий модуль нормализации, модуль фильтрации, модуль классификации и кластеризации, модуль корреляции и репозиторий триплетов; блок анализа СИБ; блок оценки рисков; блок поиска решений; блок анализа решений; блок регистрации ИИБ; источники СИБ.
По сравнению с аналогами, прототип может быть использован в более широкой области и обеспечивает расширение спектра и повышение достоверности обнаруживаемых ИИБ в режиме близком к реальному времени, что достигается путем проведения обобщенного качественного анализа СИБ за всю АС, заключающегося в оценке возможных угроз ИБ, в проведении предварительного анализа известных методов повышения уровня ИБ и в реализации поддержки и принятия решений на ликвидацию последствий ИИБ.
Недостатками прототипа являются:
низкая достоверность результатов анализа СЗ АС, обусловленная отсутствием контроля текущего состояния блоков, включенных в состав устройства, а также оценки эффективности процессов их функционирования.
реализация процесса функционирования устройства осуществляется без учета изменений условий его эксплуатации, влияющих на алгоритм аудита ИБ в АС. Указанный недостаток свидетельствует о том, что данное устройство является недостаточно адаптивным при оценке СЗ АС.
Целью предлагаемой полезной модели является повышение достоверности результатов анализа СЗ АС, а также обеспечение адаптации процесса функционирования системы к различным условиям эксплуатации.
Предложен новый подход, основанный на создании системы комплексного контроля (СКК) СЗ АС, содержащей блок сбора данных о СИБ; блок управления данными, состоящий из модуля нормализации, модуля фильтрации, модуля классификации и кластеризации, репозитория триплетов и модуля корреляции; блок анализа СИБ; блок оценки рисков; блок поиска решений, включающий базу данных (БД) принятых решений; блок анализа решений; блок регистрации ИИБ и источники СИБ, отличающийся тем, что добавлен блок управления системой, состоящий из модуля идентификации и аутентификации источников СИБ, модуля определения типа и состояния источников СИБ, модуля оценки эффективности системы, модуля формирования целей управления, модуля формирования управляющих воздействий, модуля определения оптимальности управляющих воздействий, БД управляющих воздействий, модуля реализации управляющих воздействий и модуля контроля состояния блоков системы. Выходы источников СИБ соединены с входом модуля идентификации и аутентификации источников СИБ блока управления системой, выход которого соединен с входом модуля определения типа и состояния источников СИБ блока управления системой, выходные данные которого через его выход передаются на первый вход модуля оценки эффективности системы блока управления системой, соединенного через свой выход с первым входом модуля формирования целей управления блока управления системой, взаимодействующего через свой второй вход с первым входом БД управляющих воздействий блока управления системой. Первый выход модуля формирования целей управления блока управления системой соединен с входом модуля формирования управляющих воздействий блока управления системой, выход которого связан с первым входом модуля определения оптимальности управляющих воздействий блока управления системой, соединенного через свой второй вход со вторым выходом модуля формирования целей управления блока управления системой. Выход модуля определения оптимальности управляющих воздействий блока управления системой соединен со вторым входом БД управляющих воздействий блока управления системой, выход которой соединен с входом модуля реализации управляющих воздействий блока управления системой, связанного через свой первый выход с входами источников СИБ и второй выход с первым входом блока сбора данных о СИБ, взаимодействующего через свой второй вход с входами источников СИБ. Первый выход блока сбора данных о СИБ соединен с входом модуля нормализации блока управления данными, связанного через свой выход с входом модуля фильтрации блока управления данными, выходные данные которого через его выход передаются на первый вход модуля классификации и кластеризации блока управления данными, взаимодействующего через свой второй вход с входом репозитория триплетов блока управления данными, который через свой выход связан с первым входом блока анализа решений, и соединенного через свой выход с входом модуля корреляции блока управления данными. Второй выход блока сбора данных о СИБ соединен с первым входом модуля контроля состояния блоков системы блока управления системой, который через свой выход связан со вторым входом модуля оценки эффективности системы блока управления системой. Вход блока управления данными соединен с третьим выходом модуля реализации управляющих воздействий блока управления системой. Первый выход блока управления данными соединен со вторым входом модуля контроля состояния блоков системы блока управления системой, а его второй выход связан с первым входом блока анализа СИБ, второй вход которого соединен с четвертым выходом модуля реализации управляющих воздействий блока управления системой. Первый выход блока анализа СИБ соединен с первым входом блока оценки рисков, второй вход которого связан с пятым выходом модуля реализации управляющих воздействий блока управления системой, связанного через свой шестой выход со вторым входом блока анализа решений, выход которого соединен со вторым входом блока поиска решений. Второй выход блока анализа СИБ соединен с четвертым входом модуля контроля состояния блоков системы блока управления системой, который через свой третий вход связан с первым выходом блока оценки рисков, второй выход которого соединен с третьим входом модуля формирования целей управления блока управления системой. Третий выход блока анализа СИБ соединен с первым входом блока поиска решений, второй выход которого связан с пятым входом модуля контроля состояния блоков системы блока управления системой. Выход БД принятых решений блока поиска решений, первый выход которого связан с входом блока регистрации ИИБ, соединен с четвертым входом модуля формирования целей управления блока управления системой.
Поставленная цель достигается путем создания блока управления СКК СЗ АС, позволяющего идентифицировать и аутентифицировать источники СИБ, оценивать эффективность процесса функционирования СКК СЗ АС, на основе чего формировать цели управления и оптимальные управляющие воздействия, с последующей их реализацией.
Техническим результатом полезной модели является:
повышение достоверности результатов анализа СЗ АС за счет определения степени легальности прав источников СИБ на предоставление данных о СЗ АС и снижения уровня ложных срабатываний по обнаружению ИИБ посредством предоставления возможности контроля текущего состояния блоков, включенных в состав СКК СЗ АС, а также оценки эффективности процессов их функционирования;
обеспечение адаптации процесса функционирования СКК СЗ АС за счет предоставления возможности изменения алгоритма аудита ИБ в АС посредством формирования и реализации оптимальных управляющих воздействий, учитывающих условия эксплуатации, влияющие на состояние блоков СКК СЗ АС.
Сущность полезной модели поясняется чертежом (Фиг. 1) «Блок-схема системы комплексного контроля состояния защищенности автоматизированных систем», на котором изображены блоки и модули: блок сбора данных о СИБ (1); блок управления данными (2), содержащий модуль нормализации (2.1), модуль фильтрации (2.2), модуль классификации и кластеризации (2.3), репозиторий триплетов (2.4), модуль корреляции (2.5); блок анализа СИБ (3); блок оценки рисков (4); блок поиска решений (5), включающий БД принятых решений (5.1); блок анализа решений (6); блок регистрации ИИБ (7); источники СИБ (8); блок управления СКК СЗ АС (9), содержащий модуль идентификации и аутентификации источников СИБ (9.1), модуль определения типа и состояния источников СИБ (9.2), модуль контроля состояния блоков СКК СЗ АС (9.3), модуль оценки эффективности СКК СЗ АС (9.4), модуль формирования целей управления (9.5), модуль формирования управляющих воздействий (9.6), модуль определения оптимальности управляющих воздействий (9.7), БД управляющих воздействий (9.8), модуль реализации управляющих воздействий (9.9).
Блоки (1-7, 9) могут быть выполнены в виде участков памяти вычислительного устройства и характеризуются своей логической схемой, обеспечивающей выполнение заданных функций блока. Источники СИБ (8) могут быть выполнены функционально самостоятельными.
Система комплексного контроля СЗ АС функционирует следующим образом.
При возникновении в АС некоторых СИБ, влияющих на ее СЗ в целом или ее составных частей, источники СИБ (8) проходят процедуру авторизации, заключающуюся в проверке их подлинности и определении степени легальности их прав на предоставление данных о СЗ АС. Например, проверка подлинности источников СИБ (8) может заключаться в реализации процедуры, в результате выполнения которой для источников СИБ (8) выявляются их предварительно назначенные идентификаторы (например, значения их сетевых адресов (IP-адресов) и аппаратных (физических) адресов (МАС-адресов)), однозначно определяющие эти источники. Также, например, определение степени легальности прав источников СИБ (8) на предоставление данных о СЗ АС может заключаться в реализации процедуры аутентификации (Афанасьев, А.А. Аутентификация. Теория и практика обеспечения безопасного доступа к информационным ресурсам / А.А. Афанасьев, Л.Т. Веденьев, А.А. Воронцов и др. - М.: Наука, 2012. - 552 с.).
Реализация процедуры авторизации источников СИБ (8) осуществляется посредством модуля идентификации и аутентификации источников СИБ (9.1), который предназначен для недопущения запуска процесса функционирования СКК СЗ АС при поступлении СИБ от источников, не являющихся доверенными средствами (датчиками).
Далее, в случае успешной авторизации источников СИБ (8), системные данные о них через выход модуля идентификации и аутентификации источников СИБ (9.1) передаются на вход модуля определения типа и состояния источников СИБ (9.2), который предназначен для классификации источников СИБ (8) по различным признакам (например, на источники СИБ, установленные (развернутые) на стационарных аппаратно-программных платформах, либо на мобильных (Методический документ. Меры защиты информации в государственных информационных системах: [утвержден ФСТЭК России 11 февраля 2014 г.] [Электронный ресурс]. - Режим доступа: https://fstec.ru/component/attachments/download/675); на источники СИБ, реализующие пассивный метод контроля СЗ АС (например, средства анализа защищенности Max Patrol, XSpider (см. функциональные возможности, например, на официальном сайте компании Positive Technologies [Электронный ресурс]. - Режим доступа. - URL: http://www.ptsecurity.ru)), либо активный (например, средства тестирования на проникновение Metasploit Framework (см. функциональные возможности, например, на официальном сайте компании Metasploit [Электронный ресурс]. - Режим доступа. - URL: https://www.metasploit.com/)) и др.), а также для определения множества значений характеристик (технических параметров) источников СИБ (8) в данный момент времени, свидетельствующих о их состоянии (свойствах).
Отметим, что системными данными блоков, входящих в СКК СЗ АС, является набор значений технических параметров, характеризующих определенные свойства соответствующих блоков системы и позволяющих на основе их оценки однозначно определить состояние этих блоков. Основными свойствами блоков, входящих в СКК СЗ АС, являются: общесистемные свойства, а именно целостность, устойчивость, наблюдаемость, управляемость, детерминированность, открытость, динамичность и др.; структурные свойства, а именно состав, связность, организация, сложность, масштабность, пространственный размах, централизованность, объем и др.; функциональные (поведенческие) свойства, а именно результативность, ресурсоемкость, оперативность, активность, мощность, мобильность, производительность, быстродействие, готовность, работоспособность, точность, экономичность и др. (Анфилатов, B.C. Системный анализ в управлении / B.C. Анфилатов, А.А. Емельянов, А.А. Кукушкин. - М.: Финансы и статистика, 2002. - С. 103-112).
Затем модуль определения типа и состояния источников СИБ (9.2) через свой выход передает исходные данные, содержащие информацию о типах и состояниях источников СИБ (8), на первый вход модуля оценки эффективности СКК СЗ АС (9.4), который реализует процедуру оценивания эффективности процесса функционирования СКК в целях определения степени функциональной готовности блоков, входящих в ее состав, предоставлять достоверные данные о СЗ АС.
Степень приспособленности блоков СКК к достижению своих целей, определенная модулем оценки эффективности СКК СЗ АС (9.4), а также информация о типах источников СИБ (8) передаются на первый вход модуля формирования целей управления (9.5), на третий вход которого из второго выхода блока оценки рисков (4) поступают данные, содержащие информацию о прогнозируемом СЗ АС и соответствующей ему степени угрозы, а на его четвертый вход из выхода БД принятых решений (5.1) поступают данные, содержащие информацию о текущем СЗ АС и о принятых решениях по ликвидации последствий выявленных ИИБ (компьютерных атак (КА)) в АС.
Модуль формирования целей управления (9.5) на основе данных, поступивших на его входы, определяет состояния (поведение) блоков, входящих в СКК СЗ АС, к которым следует стремиться в процессе реализации управляющих воздействий на них.
Далее модуль формирования целей управления (9.5) во взаимодействии через свой второй вход с первым входом БД управляющих воздействий (9.8) осуществляет поиск соответствующих управляющих воздействий, удовлетворяющих сформированной цели управления. В случае нахождения соответствия между целью управления, сформированной модуль формирования целей управления (9.5), и управляющими воздействиями, хранящимися в БД управляющих воздействий (9.8), данные о необходимых управляющих воздействий через выход БД управляющих воздействий (9.8) передаются на вход модуля реализации управляющих воздействий (9.9).
При отсутствии в БД управляющих воздействий (9.8) данных о необходимых управляющих воздействий, направленных на достижение сформированной цели управления СКК СЗ АС, модуль формирования целей управления (9.5) через свой первый выход передает на вход модуля формирования управляющих воздействий (9.6) параметры (характеристики, свойства) требуемого состояния (поведения) блоков, входящих в СКК СЗ АС, к которым следует стремиться в процессе реализации управляющих воздействий на них. На основе данных, поступивших от модуля формирования целей управления (9.5), модуль формирования управляющих воздействий (9.6) осуществляет синтез алгоритмов (четких недвусмысленных правил, инструкций, указаний), позволяющих достигнуть заданной цели управления СКК СЗ АС в текущих условиях эксплуатации.
Далее модуль определения оптимальности управляющих воздействий (9.7) на основе цели управления, поступающей на его второй вход со второго выхода модуля формирования целей управления (9.5), и алгоритмов (правил, инструкций, указаний), поступающих на его первый вход с выхода модуля формирования управляющих воздействий (9.6), осуществляет поиск оптимальных или близких к оптимальным решений, позволяющих обеспечить достижение необходимых параметров (характеристик, свойств), характеризующих требуемое состояние (поведение) блоков, входящих в СКК СЗ АС, в текущих условиях эксплуатации.
Затем оптимальные управляющие воздействия через выход модуля определения оптимальности управляющих воздействий (9.7) поступают на второй вход БД управляющих воздействий (9.8), в которой они подлежат хранению, а через ее выход передаются на вход модуля реализации управляющих воздействий (9.9).
Модуль реализации управляющих воздействий (9.9) через свой первый выход подает на входы источников СИБ оптимальные управляющие воздействия, направленные на приведение их текущего состояния (поведения) к требуемому, сообразно сформированной цели управления.
Кроме того, модуль реализации управляющих воздействий (9.9) через свой второй выход подает на первых вход блока сбора данных о СИБ (1) инструкции (указания), предоставляющие ему через его второй вход право приема и задания последовательности сбора с входов источников СИБ данных о СЗ АС.
Причем блок сбора данных о СИБ (1) обеспечивает получение потока данных от источников СИБ (8), в качестве которых могут выступать: файловые серверы, серверы БД, межсетевые экраны, автоматизированные рабочие места; системы обнаружения сетевых атак (вторжений), средства анализа защищенности АС, системы мониторинга СЗ АС, средства тестирования на проникновение, системы разграничения доступа, системы обеспечения и контроля целостности, антивирусные программы и т.д. При этом могут использоваться следующие основные методы:
прямой связи (Pull) - источник СИБ самостоятельно посылает данные записи своих журналов в блок сбора данных о СИБ (1);
обратной связи (Push) - блок сбора данных о СИБ (1) самостоятельно запрашивает данные из log-журналов источника СИБ.
Причем, задание последовательности сбора с входов источников СИБ данных о СЗ АС зависит от методов контроля СЗ АС, реализуемых источниками СИБ (8) в различных условиях эксплуатации, а именно:
пассивный метод (Passive method), заключающийся в сборе (измерении), обработке и оценке (анализе) степени отклонения значений параметрических данных, характеризующих СЗ АС, от предварительно заданных значений, описывающих штатный режим ее функционирования. Другими словами, данный метод реализует процесс сканирования АС в целях выявления ее уязвимостей;
активный метод (Active method), заключающийся в имитации КА на АС, использующих выявленные в результате сканирования ее уязвимости. Другими словами, данный метод реализует процесс зондирования АС.
Отметим, что системные данные о состоянии процесса функционирования блока сбора данных о СИБ (1) через его второй выход передаются на первый вход модуля контроля состояния блоков СКК СЗ АС (9.3), который предоставляет возможность контроля текущего состояния блоков, включенных в состав СКК СЗ АС, а также оценивает эффективности процессов их функционирования в различных условиях эксплуатации. Результаты функционирования модуля контроля состояния блоков СКК СЗ АС (9.3) через его выход передаются на второй вход модуля оценки эффективности СКК СЗ АС (9.4).
Далее данные о СЗ АС через первый выход блока сбора данных о СИБ (1) передаются на вход модуля нормализации (2.1), обеспечивающего приведение СИБ к единообразному виду для последующей централизованной обработки.
Модуль нормализации (2.1) использует для своей работы алгоритмы трансформации данных такие, как сортировка, замена данных, квантование, слияние, кросс-таблица, свертка столбцов, скользящее окно, конечные классы (см. описание алгоритмов трансформации данных, например, на официальном сайте компании BaseGroup™ Labs [Электронный ресурс]. - Режим доступа. - URL: https://basegroup.ru).
Нормализованные данные о СЗ АС через выход модуля нормализации (2.1) направляются на вход модуля фильтрации (2.2), который обеспечивает требуемую полноту представления данных обо всех потенциальных критических СИБ. Наиболее важным в фильтрации поступающего потока данных является обеспечение возможности исключения дублирующих СИБ, ошибочной и избыточной информации. Это позволяет снижать нагрузку, связанную с дальнейшей обработкой СИБ, и облегчает решение задач по обнаружения ИИБ. Модуль фильтрации (2.2) использует для своей работы алгоритмы очистки данных такие, как фильтрация, заполнение пропусков, редактирование выбросов, спектральная обработка, корреляционный и факторный анализ, устранение дубликатов и противоречий (см. описание алгоритмов очистки данных, например, на официальном сайте компании BaseGroup™ Labs [Электронный ресурс]. - Режим доступа. - URL: https://basegroup.ru).
На следующем этапе отфильтрованный поток данных о СИБ через выход модуля фильтрации (2.2) поступает на первый вход модуля классификации и кластеризации (2.3), обеспечивающего выявление логических связей между анализируемыми СИБ. Модуль классификации и кластеризации (2.3) сначала обеспечивает присвоение каждому СИБ специального признака приоритета, определяющего степень (значимость) его угрозы. От значения приоритета, присвоенного СИБ, зависит то, насколько оперативно будет производиться его обработка, расследование и какие ресурсы будут задействованы. Данная процедура происходит на основании заложенных либо определяемых администратором СКК СЗ АС признаков. Затем модуль классификации и кластеризации (2.3) обеспечивает разбиение множество СИБ на кластеры. Внутри каждой группы должны оказаться «похожие» СИБ, а события разных группы должны быть отличны. Главная особенность выполняемой процедуры кластеризации состоит в том, что перечень групп четко не задан и определяется в процессе работы алгоритма. Границы различных категорий (кластеров) зачастую являются нечеткими, расплывчатыми, и обычно сама категория СИБ понимается не через формальное определение, а только в сравнении с другими категориями (кластерами).
Задачей модуля классификации и кластеризации (2.3) является формирование обобщающих признаков в совокупности СИБ. При увеличении числа примеров СИБ несущественные, случайные признаки сглаживаются, а часто встречающиеся - усиливаются, при этом происходит постепенное уточнение границ категорий. Модуль классификации и кластеризации (2.3) использует для своей работы иерархические алгоритмы, которые строят не одно разбиение выборки на непересекающиеся кластеры, а систему вложенных разбиений, то есть на выходе получается дерево кластеров, корнем которого является вся выборка, а листьями - наиболее мелкие кластера. Наиболее подходящими для задачи разбиения множества СИБ на кластеры следует считать восходящие алгоритмы, в которых объекты (СИБ) объединяются во все более и более крупные кластеры. Реализация этого подхода может быть представлена агломеративным алгоритмом Ланса-Вильямса (Мандель, И.Д. Кластерный анализ. / И.Д. Мандель. - М.: Финансы и статистика, 1988, с. 69-74). При этом расчет расстояний между кластерами предлагается вести на основе расстояния Уорда (Мандель, И.Д. Кластерный анализ. / И.Д. Мандель. - М.: Финансы и статистика, 1988. - С. 70).
Одновременно отфильтрованный поток данных о СИБ в нормализованном виде через второй вход модуля классификации и кластеризации (2.3) передается на вход репозитория триплетов (2.4) для хранения и последующего использования при принятии решений. Репозиторий триплетов (2.4) может быть создан на основе реляционной системы управления БД, XML-ориентированной СУБД или хранилища триплетов.
Кроме всего, отфильтрованный поток данных о СИБ в нормализованном виде через выход репозитория триплетов (2.4) передается на первый вход блока анализа решений (6), являющегося базой знаний об известных методах противодействия КА, способах закрытия уязвимостей и других аспектах проведения мероприятий по повышению уровня ИБ АС.
Далее информация о полученных кластерах, их количестве и входящих в их состав СИБ через выход модуля классификации и кластеризации (2.3) поступает на вход модуля корреляции (2.5), который обеспечивает выявление скрытых отношений между различными СИБ, происходящими в разное время и на разных узлах АС, что позволяет в режиме реального времени обнаруживать графы КА, включающие в себя распределенные СИБ. Построение модуля корреляции (2.5) на основе рекуррентных нейронных сетей Херольта-Джуттена (Осовский, С. Нейронные сети для обработки информации / С. Осовский, 2-е изд., перераб. и доп. - М.: Финансы и статистика, 2017. - С. 343-347) существенно повышает качество анализа главных компонентов, так как такие сети имеют адаптивную линейную структуру, обрабатывающую сигналы в режиме реального времени, и применяются именно в задачах с плохо структурированной информацией.
Отметим, что системные данные о состоянии процесса функционирования блока управления данными (2) через его первый выход передаются на второй вход модуля контроля состояния блоков СКК СЗ АС (9.3), а соответствующие оптимальные управляющие воздействия, направленные на достижение сформированной цели управления СКК СЗ АС, поступают с третьего выхода модуля реализации управляющих воздействий (9.9) на его вход, тем самым, обеспечивая приведение текущего состояния (поведения) блока управления данными (2) к требуемому.
Затем обработанный поток данных о СИБ через второй выход блока управления данными (2) направляется на первый вход блока анализа СИБ (3), который обнаруживает или регистрирует факт возникновения ИИБ, в том числе посредством моделирования СИБ, КА и их последствий, анализа уязвимостей и СЗ АС, определения параметров нарушителей, оценки риска, прогнозирования СИБ и ИИБ. Блок анализа СИБ (3) обеспечивает приоритезацию, определяя значимость и критичность СИБ на основании правил, определенных в системе.
Кроме того, в общем случае, процесс анализ СИБ, реализуемый в блоке анализа СИБ (3), может основываться на качественных и количественных оценках. Количественная оценка является более точной, но требует заметно больше времени, что не всегда допустимо. Чаще всего бывает достаточно быстрого качественного анализа, задача которого заключается в распределении факторов риска по группам.
Заметим, что системные данные о состоянии процесса функционирования блока анализа СИБ (3) через его второй выход передаются на четвертый вход модуля контроля состояния блоков СКК СЗ АС (9.3), а соответствующие оптимальные управляющие воздействия, направленные на достижение сформированной цели управления СКК СЗ АС, поступают с четвертого выхода модуля реализации управляющих воздействий (9.9) на его второй вход, тем самым, обеспечивая приведение текущего состояния (поведения) блока анализа СИБ (3) к требуемому.
Блок анализа СИБ (3) через свой первый выход передает обнаруженные ИИБ на первый вход блока оценки рисков (4), процесс функционирования которого направлен на прогнозирование СЗ АС и определение соответствующей ему степени угрозы на основании анализа последствий ИИБ.
Блок оценки рисков (4) через свой первый выход передает системные данные о состоянии процесса своего функционирования на третий вход модуля контроля состояния блоков СКК СЗ АС (9.3), а соответствующие оптимальные управляющие воздействия, обеспечивающие приведение текущего состояния (поведения) блока оценки рисков (4) к требуемому, поступают с пятого выхода модуля реализации управляющих воздействий (9.9) на его второй вход.
Кроме того, блок анализа СИБ (3) через свой третий выход передает обнаруженные ИИБ на первый вход блока поиска решений (5), на второй вход которого с выхода блока анализа решений (6) поступают данные, содержащие информацию о предварительном анализе известных методов повышения уровня ИБ АС, основанном на базе репозитория триплетов (2.4).
Блок поиска решений (5) на основе данных, поступивших на его входы, обеспечивает определение текущего СЗ АС и поддержку и принятие решений на ликвидацию последствий выявленных ИИБ (КА) в АС, которые сохраняются в БД принятых решений (5.1). Причем блок анализа решений (6) является вспомогательным блоком для блока поиска решений (5).
Системные данные о состоянии процессов функционирования блока анализа решений (6) и блока поиска решений (5) через второй выход блока поиска решений (5) передаются на пятый вход модуля контроля состояния блоков СКК СЗ АС (9.3), а соответствующие оптимальные управляющие воздействия, обеспечивающие приведение текущего состояния (поведения) блока анализа решений (6) и блока поиска решений (5) к требуемому, поступают с шестого выхода модуля реализации управляющих воздействий (9.9) на второй вход блока анализа решений (6), тем самым, достигая сформированной цели управления СКК СЗ АС.
Принятые решения на ликвидацию последствий выявленных ИИБ (КА) в АС и данные о текущем СЗ АС через первый выход блока поиска решений (5) передаются на вход блока регистрации ИИБ (7), обеспечивающего визуализацию, то есть представление в графическом виде данных, характеризующих результаты функционирования СКК СЗ АС, а именно результаты анализа СИБ и СЗ АС в целом и ее элементов.
Таким образом, благодаря новой совокупности существенных признаков в заявленной полезной модели обеспечивается повышение достоверности и адаптивности процесса контроля СЗ АС в различных условиях ее эксплуатации за счет идентификации и аутентификации источников СИБ, оценки эффективность процесса функционирования СКК СЗ АС, а также формирования цели управления и оптимальных управляющих воздействий, с последующей их реализацией.