Методы и алгоритмы количественной оценки и управления рисками безопасности в корпоративных информационных сетях на основе нечеткой логики тема диссертации и автореферата по ВАК РФ 05.13.19, доктор наук Аникин Игорь Вячеславович

• Аникин Игорь Вячеславович
• доктор наук
• 2018

Оглавление диссертации доктор наук Аникин Игорь Вячеславович

Введение

Глава 1 Анализ основных подходов к оценке и управлению рисками информационной безопасности в корпоративных информационных сетях

1.1 Корпоративные информационные сети и основные защищаемые активы

1.2 Понятие и способы оценки рисков информационной безопасности

1.3 Основные методы оценки рисков информационной безопасности

1.3.1 Основные методы качественной оценки рисков информационной безопасности

1.3.2 Основные методы количественной оценки рисков информационной безопасности

1.3.3 Комбинированные методы оценки и управления рисками информационнойбезопасности

1.3.4 Анализ методов оценки рисков информационной безопасности

1.4 Основные этапы оценки и управления рисками информационной безопасности

1.5 Постановка задач, решаемых в диссертационной работе

1 .бВыводы

Глава 2 Моделирование корпоративных информационных сетей для нечеткой количественной оценки рисков информационной безопасности

2.1 Формальная модель корпоративной информационной сети

2.2 Модель технического обеспечения корпоративной информационной сети

2.3 Модель использования информационного обеспечения

2.4 Модель использования ИТ-сервисов

2.5Выводы

Глава 3 Разработка метода нечеткой количественной оценки ущерба от реализации угроз на основе количественной оценки частных показателей и уровня критичности активов

3.1 Постановка задач нечеткой количественной оценки ущерба от реализации угроз и определения уровней критичности активов

3.2 Особенности взаимного влияния уровней критичности активов корпоративнойинформационнойсети

3.3 Метод оценки критичности информационных активов корпоративной информационнойсети

3.3.1 Общая схемамето да

3.3.2 Составление перечня информационных активов

3.3.3 Определение множества частных показателей, влияющих на ущерб от реализацииугроз

3.3.4 Нечеткая количественная оценка уровней критичности информационныхактивов

3.4 Метод оценки критичности неинформационных активов корпоративной информационнойсети

3.5 Метод нечеткой количественной оценки ущерба от реализации

угрозы

З.бВыводы

Глава 4 Разработка методов и алгоритмов нечетких оценок возможностей реализации угроз и использования уязвимостей

4.1 Метод нечеткой количественной оценки возможности реализации угроз

4.1.1 Постановка задач и описание предлагаемого метода

4.1.2 Пример нечеткой количественной оценки возможности реализации угрозы

4.2 Метода оценки уязвимостей CVSS «Common Vulnerability Scoring System»

4.3 База знаний для нечеткой оценки уязвимостей и нечетко-продукционная модельпредставлениязнаний

4.4 Схема нечеткого логического вывода на правилах нечетко-продукционной моделипредставлениязнаний

4.5 Методы оценкиуязвимостей

4.5.1 Метод количественной экспресс-оценки и ранжирования уязвимостей

4.5.2 Метод нечеткой оценки возможности использования уязвимостей

4.5.3 Формирование базы правил и оценка уязвимостей

4.6 Метод нечеткой оценки рисков информационной безопасности

4.7Выводы

Глава 5 Управление рисками информационной безопасности

5.1 Метод повышения защищенности корпоративной информационной сети на основе управления рисками информационной безопасности. Оценка рисков

информационной безопасности в условиях применения защитных мероприятий

5.2 Расчет экономической эффективности множеств защитных мер, предполагаемыхкреализации

5.3 Выбор оптимальной совокупности защитных мер

5.4 Технология количественной оценки и управления рисками информационной безопасности

5.5Выводы

Глапва 6 Инструментальный комплекс программ количественной оценки и управления рисками информационной безопасности в корпоративных информационных сетях

6.1 Структура инструментального комплекса программ

6.2 Программный комплекс количественной оценки ущерба от реализацииугроз

6.3 Программный комплекс количественной оценки возможности реализации угроз

6.4 Программный комплекс количественной оценки возможности использованияуязвимостей

6.5 Оценка и управление рисками информационной безопасности в корпоративной информационной сети ГУП «Агентство по государственному заказу, инвестиционной деятельности и межрегиональным связям Республики Татарстан»

6.5.1 Общая характеристика объекта и корпоративной информационной сети ГУП «Агентство по государственному заказу, инвестиционной деятельности и межрегиональным связям Республики Татарстан»

6.5.2 Элементы моделирования корпоративной информационной сети ГУП «Агентство по государственному заказу, инвестиционной деятельности и межрегиональным связям Республики Татарстан»

6.5.3 Выбор оптимальной совокупности защитных мер для корпоративной информационной сети ГУП «Агентство по государственному заказу, инвестиционной деятельности и межрегиональным связям Республики Татарстан»

6.5.3.1 Оценка уровней критичности информационных и неинформационныхактивов

6.5.3.2 Оценка рисков для угроз информационной безопасности, свойственных активам корпоративной информационной сети ГУП «Агентство по государственному заказу, инвестиционной деятельности и межрегиональным связям Республики Татарстан»

6.5.3.3 Комплекс защитных мер корпоративной информационной сети ГУП «Агентство по государственному заказу, инвестиционной деятельности и межрегиональным связям Республики Татарстан»

6.5.3.4 Расчет показателя экономической эффективности и выбор оптимальной совокупности защитных мер

6.6 Количественная оценка и управление рисками информационной безопасности в корпоративной информационной сети университета

6.7 Оценка уровней критичности активов и выбор эффективных защитных мер компанией АО «АйСиЭл - КПО ВС»

6.8Выводы

Заключение

Список сокращений

Список литературы

Приложение 1 Опросные листы и баллы, используемые при оценке возможности реализацириложение 2 База правил для оценки уязвимостейи угроз

Приложение 2 База правил для оценки уязвимостей

Приложение 3 Оценка возможности реализации угроз и остаточных рисков для КИС ГУП «Агентство по государственному заказу, инвестиционной деятельности и межрегиональным связям Республики Татарстан»

Приложение 4 Свидетельства о регистрации программ для ЭВМ

Приложение 5 Акты о внедрении результатов диссертационной работы

Введение диссертации (часть автореферата) на тему «Методы и алгоритмы количественной оценки и управления рисками безопасности в корпоративных информационных сетях на основе нечеткой логики»

ВВЕДЕНИЕ

Актуальность темы. Бурное развитие вычислительной техники привело к значительному увеличению степени автоматизации современных предприятий. Повсеместное применение информационных технологий (ИТ) позволило им, с одной стороны, выйти на качественно новый уровень производства, с другой — это привело к чрезвычайной уязвимости их бизнес-процессов по отношению угрозам информационной безопасности (ИБ).

Роль деструктивных факторов для современных корпоративных информационных сетей значительно возросла в связи с тем, что данные факторы могут напрямую влиять на выполнение бизнес-процессов. Это приводит к значительному увеличению количества угроз ИБ, которые выражаются не только в умышленном хищении или уничтожении информации, но и в повреждении информации в результате естественных факторов: аварийного отключения электричества, неисправности вычислительной техники, случайного изменения и т.п.

Растущая сложность систем только усугубляет ситуацию. Увеличение объемов информации, хранимой в электронном виде, приводит к тому, что ее потеря или разглашение может нанести существенные убытки предприятию. Нарушение работоспособности ИТ-сервисов может привести к остановке бизнес-процессов, что также наносит непоправимый ущерб. Наносимые убытки могут выражаться в виде прямого финансового ущерба, в виде ущерба авторитету предприятия, ухудшении морального климата в коллективе и т.д.

Можно утверждать, что в современных условиях эффективность функционирования предприятий напрямую зависит от степени защищенности корпоративных информационных сетей (КИС), посредством которых осуществляется автоматизация бизнес-процессов, а защита информации должна рассматриваться как важнейший фактор, влияющих на функционирование КИС. Под корпоративной информационной сетью в диссертационной работе будем понимать состав-

ную часть корпоративных информационных систем, включающую в себя техническое, информационное и программное обеспечение.

В настоящее время существует два основных подхода [68; 157] к обеспечению информационной безопасности КИС.

1. Реализация базового уровня ИБ.

В настоящее время в России и за рубежом известно множество руководящих документов и стандартов, используемых для обеспечения ИБ КИС на базовом уровне [24; 25; 36; 96; 97; 106; 111; 115; 116; 198; 230; 231], При этом ставятся и решаются следующие основные задачи:

- убедиться в том, что компоненты КИС удовлетворяют всем обязательным требованиям стандартов и руководящих документов;

- убедиться в том, что компоненты КИС защищены от всех видов основных угроз.

2. Подход, основанный на оценке и управлении рисками ИБ [32; 35; 68; 113; 114; 157; 160; 169; 173; 176; 191; 207-209; 213; 215; 232; 235].

Данный подход реализуется, как правило, после обеспечения базового уровня ИБ в КИС. При этом ставятся и решаются следующие основные задачи:

- анализ угроз и уязвимостей в КИС, оценка возможности их реализации и возможного ущерба;

- оценка рисков ИБ и определение актуальных угроз для КИС;

- формирование множества защитных мер и снижение рисков ИБ до приемлемого уровня.

Для современных КИС применение второго подхода приобретает все большую актуальность, так как он позволяет строить эффективные системы защиты информации с позиции потенциально возможного ущерба, а также исследовать экономические аспекты реализации защитных мероприятий. Об этом свидетельствует и то, что, начиная с 2005 года, большинство стандартов в области информационной безопасности компьютерных систем и сетей включают в себя разделы, связанные с оценкой и управлением рисками ИБ.

Степень разработанности темы исследований. Исследованиям в области оценки и управления рисками ИБ посвящены работы известных российских и зарубежных ученых: Зефирова C.JL, Кононова A.A., Курбатова В.А., Левятова И.Д., Медведовского И.Д., Милославской Н.Г., Остапенко А.Г., Остапенко Г.А., Петренко С.А., Симонова C.B., Толстого А.И., Черешкина Д.С., Чопорова О.Н., Фло-реза Г.Ф., Бриджеса С.М., Вагна Р.Б., Пелтиера Т.Р. и других. Однако, несмотря на значительное количество проводимых исследований и опубликованных работ, в настоящее время существуют значительные сложности количественной оценки рисков ИБ в современных КИС.

К достоинствам методов количественной оценки рисков ИБ следует отнести хорошую интерпретируемость данных оценок в рамках экономических моделей, а также простоту применения математического аппарата для формирования оптимальной совокупности защитных мероприятий. Однако практическое применение данных методов часто осложняется следующими обстоятельствами:

- сложностью практического использования и необходимостью детального анализа всех процессов, происходящих в КИС;

- неточностью количественных оценок факторов риска ИБ, их зависимостью от глубины анализа КИС и квалификации эксперта;

- сложной природой оцениваемых объектов, недостаточностью и неопределенностью исходной информации;

- качественным (не количественным) характером факторов риска ИБ;

- отсутствием статистической информации по реализации ряда угроз ИБ. Для анализа объектов и явлений в указанных условиях в настоящее время

активно применяются методы экспертного оценивания и теории нечетких множеств. Исследованиям в этой области посвящены работы Заде Л.А., Мамдани Е.А, Сугено М., Аверкина А.Н., Борисова А.Н., Батыршина И.З., Берштейна Л.С., Поспелова Д.А., Штовбы С.Д., Емалетдиновой Л.Ю., Катасёва A.C. Кравец А.Г. и др. Вопросы применения данных методов для решения задач защиты информации, в том числе для количественной оценки рисков ИБ, исследовались такими

учеными, как Васильев В.И., Гузаиров М.Б., Машкина И.В., Макаревич О.Б., Ко-тенко И.В., Герасименко В.А., Ажмухамедов И.М., Абрахам А., Ценг Г. и др.

Однако, несмотря на значительный объем исследований, в настоящее время отсутствует единый подход к решению задач количественной оценки и управления рисками ИБ, способный работать в условиях нечеткости, неполноты и качественного характера исходной информации, а также противоречивости экспертных оценок. Основными факторами, характеризующими риски информационной безопасности, являются ущерб от реализации угроз, возможность реализации угроз, возможность использования уязвимостей в КИС. В связи с этим необходима оценка данных факторов риска в указанных условиях, что требует разработки соответствующих методов и алгоритмов.

Таким образом, научно-техническая проблема, решаемая в диссертации, заключается в создании теоретических основ количественной оценки и управления рисками информационной безопасности в условиях возможной нечеткости, противоречивости, неполноты и качественного характера исходной информации. Решение данной проблемы имеет научную и практическую ценность для построения эффективных систем защиты информации.

Объект исследования: корпоративные информационные сети как объект защиты информации.

Предмет исследования: модели, методы и алгоритмы нечеткой оценки и управления рисками информационной безопасности КИС.

Цель диссертационной работы: повышение эффективности защиты корпоративных информационных сетей на основе применения научно-обоснованных методов, алгоритмов, технологических решений и инструментальных программных комплексов количественной оценки и управления рисками информационной безопасности в условиях возможной нечеткости, противоречивости, неполноты и качественного характера исходной информации.

Достижение поставленной цели потребовало решения следующих задач разработки:

1) формальной модели КИС, описывающей различные виды активов и особенности их взаимодействия для решения задачи количественной оценки рисков ИБ;

2) метода и алгоритмов нечеткой оценки ущерба от реализации угроз при отсутствии защитных мер на основе подходов к количественной оценке частных показателей ущерба, нечеткой оценке уровней критичности активов и формальной модели КИС;

3) методов и алгоритмов нечетких оценок возможностей реализации угроз и использования уязвимостей при отсутствии защитных мер в условиях неопределенности исходной информации;

4) метода повышения эффективности защиты информации в КИС на основе управления рисками ИБ, с учетом модели защитных мер, нечеткой оценки рисков ИБ;

5) технологии количественной оценки и управления рисками ИБ в КИС;

6) инструментального комплекса программ для нечеткой оценки и управления рисками информационной безопасности в КИС, реализующего разработанные технологию, методы и алгоритмы.

Методы исследования. Для решения поставленных задач были использованы методы математического моделирования, системного анализа, теории нечетких множеств и нечеткой логики, теории графов, защиты информации, экспертного оценивания.

Достоверность полученных результатов. Предложенные в диссертационной работе технология количественной оценки и управления рисками ИБ в КИС, модели, методы и алгоритмы теоретически обоснованы и не противоречат известным положениям других авторов. Достоверность полученных результатов обеспечена корректным применением методов исследования, подтверждена вычислительными экспериментами и результатами практического использования.

На защиту выносятся следующие результаты

1. Теоретико-множественная модель КИС, описывающая техническое и информационное взаимодействие разнотипных активов, подверженных угрозам ИБ.

2. Формальная модель базы знаний для нечеткой оценки уязвимостей, включающая в себя новый вид нечетко-продукционных правил со взвешенными нечеткими ограничениями в антецедентах и степенью уверенности эксперта в универсальности правила; новая схема нечеткого логического вывода на основе нечетко-продукционных правил с возможностью пропуска параметров и оценкой степени достоверности принятого решения.

3. Методы и алгоритмы количественной оценки рисков ИБ в КИС, основанные на нечеткой оценке критичности активов КИС и факторов риска.

4. Метод повышения защищенности КИС, основанный на модели защитных мер и нечеткой оценке рисков ИБ, а также решении оптимизационных задач выбора наилучшей группы защитных мероприятий.

5. Технология количественной оценки и управления рисками ИБ в корпоративных информационных сетях, включающая этапы моделирования КИС, количественной оценки факторов риска и управления рисками ИБ.

Научная новизна

1. Научная новизна модели КИС, базирующейся на теоретико-множественном подходе к ее формализации, заключается в наличии описания взаимодействия разнотипных активов КИС, что позволяет выполнять на ее базе детальный анализ информационных процессов КИС и использовать результаты данного анализа при оценке и управлении рисками ИБ.

2. Научная новизна модели базы знаний, базирующейся на применении аппарата нечеткой логики, заключается в наличии в ней нового вида нечетко-продукционных правил, а также новой схемы нечеткого логического вывода на данных правилах с возможностью пропуска параметров и оценкой степени достоверности принятого решения, что позволяет выполнять количественную оценку возможностей использования уязвимостей в условиях нечеткости и неполноты исходной информации, с учетом важности показателей уязвимостей.

3. Научная новизна методов и алгоритмов количественной оценки рисков информационной безопасности в КИС, заключается в нечеткой оценке уровней критичности активов КИС и факторов риска, а также учете возможной противо-

речивости оценок факторов риска, даваемых экспертами; нечеткого и качественного (не количественного) характера большинства частных показателей, определяющих ущерб, а также возможность реализации угроз и использования уязвимо-стей; неполноты информации об уязвимостях, что позволяет выполнять количественную оценку рисков ИБ в указанных условиях.

4. Научная новизна метода повышения защищенности КИС, базирующегося на модели защитных мер, решении оптимизационных задач выбора наилучшей группы защитных мероприятий, заключается в учете нечетких оценок рисков ИБ КИС; введении нечетких величин снижения ущерба, возможностей реализации угроз и использования уязвимостей при реализации защитных мер; определении эффективности СЗИ в условиях нечеткости рисков и качественного характера затрат, связанных с реализацией защитных мер, что позволяет оперативно выполнить экономическую оценку эффективности различных вариантов СЗИ и сформировать наилучший комплекс защитных мер в условиях нечеткого и качественного характера исходной информации.

5. Научная новизна технологии количественной оценки и управления рисками ИБ в корпоративных информационных сетях, базирующейся на теоретико-множественной модели КИС, базе знаний, методах и алгоритмах количественной оценки и управления рисками ИБ с применением метода анализа иерархий и методов теории нечетких множеств, заключается в системном и комплексном учете всех этапов количественной оценки и управления рисками ИБ в КИС, что позволяет выполнять оценку и управление рисками ИБ в условиях нечеткости и неполноты информации об угрозах и уязвимостях, возможной противоречивости оценок факторов риска, даваемых экспертами; нечеткого и качественного характера большинства частных показателей, определяющих ущерб, а также влияющих на возможность реализации угроз и использования уязвимостей.

Теоретическая значимость диссертационного исследования заключается в разработке новых эффективных методов, алгоритмов и технологии количественной оценки и управления рисками ИБ в КИС, позволяющих осуществлять их защиту в условиях неполноты, нечеткости, качественности, а также возможной про-

тиворечивости исходной информации. Полученные результаты могут быть использованы для развития методологической базы оценки и управления рисками ИБ в различного рода ведомственных и отраслевых КИС.

Практическая ценность диссертационного исследования заключается в том, что полученные результаты позволяют формировать эффективные СЗИ для КИС в условиях неполноты, нечеткости, качественности, а также возможной противоречивости исходной информации об угрозах и уязвимостях, отсутствии накопленной статистики о фактах реализации угроз, что зачастую имеет место быть на практике. Разработанный инструментальный комплекс программ, реализующий предложенные методы и алгоритмы нечеткой оценки и управления рисками ИБ в КИС позволяет сравнивать различные варианты построения СЗИ и формировать оптимальный комплекс защитных мер в выше перечисленных условиях в различного рода ведомственных и отраслевых КИС. Полученные результаты использованы рядом организаций для создания систем управления информационной безопасностью. Практическое внедрение результатов позволило повысить защищенность конкретных КИС в рамках допустимых затрат.

По проблеме диссертационного исследования опубликовано 59 работ, в том числе 1 монография, 19 статей в российских рецензируемых научных журналах, 5 статей, индексируемых в базе SCOPUS и WoS, 34 публикации в других журналах и материалах научных конференций. Получено 3 свидетельства о регистрации программ для ЭВМ.

Основные результаты диссертационной работы докладывались и обсуждались на следующих конференциях: международной научно-практической конференции «Инфокоммуникационные технологии глобального информационного общества» (Казань, 2004, 2005, 2007, 2008, 2009); международной конференции «Fuzzy Sets and Soft Computing in Economics and Finance» (Санкт-Петербург, 2006); пятой юбилейной международной научно-практической конференции «Та-тищеские чтения: актуальные проблемы науки и практики» (Тольятти, 2008); международной научно-технической конференции «Проблемы техники и технологий телекоммуникаций» (Казань, 2008, 2014); международной конференции по

мягким вычислениям и измерениям (Санкт-Петербург, 2009); всероссийской научной конференции «Информационные технологии в системе социально-экономической безопасности России и ее регионов» (Казань, 2009, 2012); двенадцатой международной конференции «Проблемы управления и моделирования в сложных системах» (Самара, 2010); международной конференции «Intelligent Systems, Data Mining and Information Technology» (Бангкок, 2014); международной конференции «Advanced in Engineering Sciences and Applied Mathematics» (Стамбул, 2014); 8-ой международной конференции по безопасности информации и сетей SIN'2015 (Сочи, 2015); XI Международной IEEE Сибирской конференции по управлению и связи (Омск, 2015); X Международной IEEE научно-технической конференции «Динамика систем, механизмов и машин» (Омск, 2016). Реализация результатов работы. Результаты исследования:

- внедрены в промышленную эксплуатацию в составе системы управления информационной безопасностью «Общероссийской системы электронной торговли zakazrf.ru» ГУЛ «Агентство по государственному заказу, инвестиционной деятельности и межрегиональным связям Республики Татарстан»;

- использованы для решения задач оценки уровней критичности активов и выбора эффективных защитных мер компанией АО «АйСиЭл - КПО ВС»;

- использованы для количественной оценки и управления рисками, связанными с реализацией угроз ИБ на КИС ФГБОУ ВО «Казанский национальный исследовательский технический университет им. А.Н. Туполева-КАИ»;

- внедрены в учебный процесс ФГБОУ ВО «Казанский национальный исследовательский технический университет им. А.Н. Туполева-КАИ» и используются при изучении дисциплин «Управление рисками», «Экономика защиты информации».

Структура и объем диссертации. Диссертация изложена на 278 страницах машинописного текста, содержит 47 рисунков, 70 таблиц, состоит из введения, шести глав, заключения, списка использованной литературы из 247 наименований на 29 страницах и 5 приложений на 37 страницах.

Сведения о личном вкладе автора. Постановка научно-технической проблемы, содержание диссертации и все представленные в ней результаты получены лично автором. Подготовка к публикации некоторых результатов проводилась совместно с соавторами, причем вклад диссертанта был определяющим.

Во введении анализируется вопрос оценки и управления рисками информационной безопасности в корпоративных информационных сетях. Указывается, что для решения данного вопроса целесообразно использовать методы количественной оценки и управления рисками. Обозначены основные сложности практического применения данных методов, которые связаны с неопределенностью, неполнотой и противоречивостью информации об угрозах и уязвимостях, нечетким и качественным характером большинства частных показателей, влияющих на оценки факторов риска. Для разрешения данных сложностей актуализируется необходимость разработки новой технологии, методов и алгоритмов количественной оценки и управления рисками информационной безопасности. Также требуется разработка инструментального комплекса программ, реализующего разработанную технологию, методы и алгоритмы.

В первой главе рассматриваются основные вопросы и проблемы, связанные с обеспечением ИБ в КИС через оценку и управление рисками ИБ. Проведен сравнительный анализ основных подходов к решению задач оценки и управления рисками ИБ. Показано, что для формирования оценок факторов риска ИБ в условиях неопределенности, неполноты и качественности исходной информации об угрозах и уязвимостях целесообразно применять методы теории нечетких множеств. Ставится задача разработки технологии количественной оценки и управления рисками ИБ, а также соответствующих методов, алгоритмов и инструментального комплекса программ.

Во второй главе производится моделирование КИС для задачи оценки рисков ИБ, при этом особое внимание уделяется моделированию взаимодействия активов. Рассматривается множество активов КИС, находящихся на уровнях технического, информационного и программного обеспечения. Разработана теоретико-

множественная модель КИС, описывающая техническое и информационное взаимодействие разнотипных активов, подверженных угрозам ИБ.

В третьей главе решается задача разработки метода и алгоритмов для нечеткой оценки ущерба от реализации угроз при отсутствии защитных мер на основе подходов к количественной оценке частных показателей ущерба, нечеткой оценке уровней критичности активов и формальной модели КИС. Предложен состав частных показателей ущерба от реализации угроз. Для их оценки предложено использовать методы теории нечетких множеств и метод анализа иерархий (МАИ). Разработаны методы и алгоритмы оценки уровней критичности по конфиденциальности, целостности и доступности информационных и неинформационных активов КИС, основанные на количественной оценке частных показателей ущерба и формирования функций принадлежности (ФП) на основе экспертных оценок.

В четвертой главе представлены методы нечетких количественных оценок возможности реализации угроз и использования уязвимостей при отсутствии защитных мер в условиях неопределенности исходной информации, нечеткого и качественного характера частных показателей. Для количественной оценки частных показателей используется МАИ. Для учета неопределенности исходной информации и нечеткого характера частных показателей используются методы теории нечетких множеств. Предлагается нечетко-продукционная модель представления знаний и схема нечеткого логического вывода, позволяющая оценивать уязвимости на основе нечетких оценок частных показателей с учетом их важности и в условиях отсутствия части информации. Разработан метод количественной экс-пресс-оценки и ранжирования уязвимостей, а также нечеткой оценки возможности использования уязвимостей на основе нечетко-продукционной модели представления знаний.

В пятой главе разработан метод повышения защищенности КИС на основе управления рисками ИБ в условиях финансовых ограничений. Для этого разработана модель защитных мер и метод нечеткой оценки рисков ИБ в условиях применения защитных мероприятий. Даны формальные постановки оптимизацион-

ных задач для управления рисками ИБ. Сформирована технология количественной оценки и управления рисками ИБ, способная работать в условиях неопределенности и неполноты информации об угрозах и уязвимостях, противоречивости оценок факторов риска, даваемых экспертами, нечеткого и качественного характера большинства частных показателей, влияющих на возможность реализации угроз, использования уязвимостей и определяющих ущерб.

В шестой главе описывается разработанный инструментальный комплекс программ количественной оценки и управления рисками ИБ в КИС. Рассматриваются примеры его использования для решения задач количественной оценки и управления рисками ИБ в различных КИС.

В заключении сформулированы основные научные и практические результаты диссертационного исследования, намечены направления перспективных исследований.

В приложении 1 представлены примеры опросных листов для оценки возможности реализации угроз.

В приложении 2 представлена база правил для оценки уязвимостей.

В приложении 3 представлены результаты оценки возможности реализации угроз и остаточных рисков для КИС ГУЛ «Агентство по государственному заказу, инвестиционной деятельности и межрегиональным связям Республики Татарстан».

В приложении 4 представлены свидетельства о государственной регистрации программ для ЭВМ.

В приложении 5 представлены акты о внедрении результатов диссертационной работы.

Диссертация выполнена на кафедре систем информационной безопасности федерального государственного бюджетного образовательного учреждения высшего образования «Казанский национальный исследовательский технический университет им. А.Н. Туполева-КАИ» (КНИТУ-КАИ).

Диссертационная работа выполнялась в рамках государственных заданий Министерства образования и науки Российской Федерации для выполнения науч-

но-исследовательских работ по темам «Научные основы построения информационных технологий, высокопроизводительных вычислительных систем, сетей, методов и средств обеспечения информационной безопасности» (2005-2009 г.г., per. № 01200511008), «Разработка прикладных информационно-аналитических систем поддержки принятия решений на основе методов искусственного интеллекта» (2015 г., per. № 115020510043) и «Совершенствование теории интеллектуального анализа данных, моделей и методов решения задач диагностики и управления в сложных системах» (2017 г., per. № 8.6141,2017/БЧ).

Автор выражает искреннюю благодарность научному консультанту, доктору технических наук, профессору Емалетдиновой Лилии Юнеровне за оказанную поддержку и консультации при проведении исследований.

ГЛАВА 1 АНАЛИЗ ОСНОВНЫХ ПОДХОДОВ К ОЦЕНКЕ И УПРАВЛЕНИЮ РИСКАМИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В КОРПОРАТИВНЫХ ИНФОРМАЦИОННЫХ СЕТЯХ

В данной главе рассматриваются основные вопросы и проблемы, связанные с обеспечением ИБ в КИС через оценку и управление рисками ИБ. Проведен сравнительный анализ основных подходов к решению задач оценки и управления рисками ИБ. Показано, что для формирования оценок факторов риска ИБ в условиях неопределенности, неполноты и качественности исходной информации об угрозах и уязвимостях целесообразно применять методы теории нечетких множеств. Ставится задача разработки технологии количественной оценки и управления рисками ИБ, а также соответствующих методов, алгоритмов и инструментального комплекса программ.

Список литературы диссертационного исследования доктор наук Аникин Игорь Вячеславович, 2018 год

И - Г

Модели

-!И_

-Л

ы

Нечеткая количественная оценка позможности реализации угроз и использования уязвимостей

1. Определение множества частных показателей, влияющих на возможность реализации угроз и построение дерева декомпозиции возможности реализации угрозы

2. Нечеткая количественная оценка возможности реализации угроз

3. Построение базы знаний для оценки уязвимостей

4. Нечеткая количественная оценка возможности использования уязвимосгей с помощью нечетко-

продукционной модели представления знаний и метода количественной экелреос-оценки уязвимостей

-Л -V

Управление рисками (формирование управляющих воздействий)

Формирование

модели защитных мер КИС

Решение оптимизационных задач выбора

комплекса защитных мер

чО

Модель КИС

Модель техническою обеспечения

/ Модель \/ Модель \ I использования И использован! (информационного)! я ИТ- I \ обепечения /\ сервисов /

О?

'I

Методы и алгоритмы оценки и управления рисками ИБ а КИС

Оценка ущерба

Метод оценки уровней критичности информационных активов

Метод оценки уровней

критичности неинформационных активов

Метод нечеткой количественной оценки ущерба от реализации угроз

Оценка возможности реализации угроз и использования уязвимостей

Метод нечеткой количественной оценки возможности реализации угроз

Метод количественной экспресс-оценки и ранжирования уязвимостей

Метод нечеткой оценки возможности использования _уязвимостей_

База знаний

Модель представления знаний в виде

нечетко-продукционных правил

Схема нечеткого логического вывода

Л-ЧГ

Метод нечеткой количественной оценки рисхоз ИБ

Метод повышения защищенности КИС на основе управления рисками ИБ

Рисунок 5.2 - Технология количественной оценки и управления рисками информационной безопасности

Методы и алгоритмы оценки и управления рисками ИБ в КИС используют методы экспертного оценивания, методы теории нечетких множеств и МАИ. Самые основные из них:

1. Оценка ущерба:

- метод оценки уровней критичности информационных активов (Метод 1);

- метод оценки уровней крити чности неинформационных активов (Метод 2);

- метод нечеткой количественной оценки ущерба от реализации угроз (Метод

3).

2. Оценка возможности реализации угроз и использования уязвимостей:

- метод нечеткой количественной оценки возможности реализации угроз (Метод 4);

- метод количественной экспресс-оценки и ранжирования уязвимостей (Метод 5);

- метод нечеткой оценки возможности использования уязвимостей (Метод 6).

3. Повышение защищенности КИС на основе управления рисками ИБ:

- метод нечеткой количественной оценки рисков ИБ;

- метод повышения защищенности КИС на основе управления рисками ИБ (Метод 7).

4. Базу знаний, включающую:

- модель представления знаний в виде нечетко-продукционных правил;

- схему нечеткого логического вывода.

5. Алгоритм Б/БТАТ, используемый для формирования ФП. Выбранное множество защитных мер на этапе управления рисками ИБ внедряется в КИС (обратная связь на рисунке 5.2), повышая ее защищенность.

5.5 Выводы

1. В данной главе разработан Метод 7 повышения защищенности КИС на основе управления рисками ИБ. Данный метод включает в себя оценку риска ИБ с учетом множества реализованных защитных мер, расчет экономической эффек-

тивности множеств защитных мер, предполагаемых к реализации, выбор оптимальной совокупности защитных мер.

2. Оценка рисков ИБ с учетом реализованного множества защитных мер основывается на формальной модели защитных мер КИС, включающей в себя нечеткие величины снижения возможности использования уязвимостей, возможности реализации угроз, ущерба от реализации угроз при использовании защитных мер. Данные нечеткие величины определяются экспертным путем.

3. Расчет экономической эффективности множеств защитных мер, предполагаемых к реализации, основан на определении уровня эффективности с учетом выгод от реализации защитных мер в единицу времени (определяемый через уровень снижения риска), единовременных и постоянных затрат на реализацию защитных мер. Единовременные затраты на реализацию защитных мер определяются экспертом в виде нечеткого числа. Дополнительные постоянные затраты при реализации защитных мер содержат косвенные расходы, многие их которых имеют качественный характер. Для их оценки используется метод анализа иерархий.

4. Рассматриваются две формальные постановки оптимизационных задач по выбору защитных мер в условиях существующих финансовых ограничений. В случае большой размерности данные оптимизационные задачи решаются с помощью классического генетического алгоритма.

5. На основе полученных теоретических результатов была разработана технология количественной оценки и управления рисками ИБ в КИС в условиях нечеткости и неполноты информации об угрозах и уязвимостях, возможной противоречивости оценок факторов риска, даваемых экспертами; нечеткого и качественного характера большинства частных показателей, определяющих ущерб, а также влияющих на возможность реализации угроз и использования уязвимостей.

Для практического использования предложенной технологии количественной оценки и управления рисками ИБ в КИС требуется разработка инструментального комплекса программ количественной оценки и управления рисками ИБ. Данная задача решается в следующей главе диссертационного исследования.

ГЛАПВА 6 ИНСТРУМЕНТАЛЬНЫЙ КОМПЛЕКС ПРОГРАММ КОЛИЧЕСТВЕННОЙ ОЦЕНКИ И УПРАВЛЕНИЯ РИСКАМИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В КОРПОРАТИВНЫХ

ИНФОРМАЦИОННЫХ СЕТЯХ

В данной главе описывается разработанный инструментальный комплекс программ количественной оценки и управления рисками ИБ в КИС. Рассматриваются примеры его использования для решения задач количественной оценки и управления рисками ИБ в различных КИС.

6.1 Структура инструментального комплекса программ

Представленные в предыдущих главах диссертации модели, методы и алгоритмы реализованы в виде инструментального комплекса программ количественной оценки и управления рисками ИБ в КИС, структура которого в соответствии с решаемыми задачами представлена на рисунке 6.1.

Инструментальный комплекс программ

Программный комплекс количественной оценки возможности реализации угроз

Метод нечеткой оценки возможности реализации угроз (Метод 4)

Программный комплекс количественной

оценки возможности использования _уязвимостей_

Метод количественной экспресс-оценки и ранжирования уязвимостей (Метод 5)

Метод нечеткой оценки возможности использования уязвимостей (Метод 6)

Пакеты программ для управления рисками ИБ

Метод нечеткой количественной оценки рисков ИБ

Метод повышения защищенности КИС на основе управления рисками ИБ

Программный комплекс количественной оценки ущерба от реализации угроз

Метод оценки критичности информационных активов _(Метод 1)_

Метод оценки критичности неинформационных активов _(Метод 2)_

Метод нечеткой оценки ущерба от реализации угроз (Метод 3)

Реализация Рг_5ТАТ (Алгоритм 1.1)

го ^

Я 1 го го

Ш I

СО

Рисунок 6.1 - Структура инструментального комплекса программ

Программный комплекс количественной оценки ущерба [30; 67] от реализации угроз позволяет выполнять моделирование исследуемой КИС (формирование всех элементов формальной модели КИС в виде (2.1)), а также реализует следующие методы, предложенные в диссертационной работе:

- метод оценки критичности информационных активов (Метод 1);

- метод оценки критичности неинформационных активов (Метод 2);

- метод нечеткой оценки ущерба от реализации угроз (Метод 3).

Данный программный комплекс позволяет определять частные показатели, влияющие на ущерб от реализации угроз, строить деревья декомпозиции ущерба, использует реализацию метода анализа иерархий, а также алгоритма формирования ФП Б/БТАТ на основе произведенных экспертных оценок.

Программный комплекс количественной оценки возможности реализации угроз [66] реализует соответствующий Метод 4. Данный программный комплекс включает в себя компоненты формирования опросных листов и нечеткой оценки возможности реализации угроз.

Компонент формирования опросных листов предлагает графический интерфейс для определения и формирования:

- частных показателей, влияющих на возможность реализации угроз;

- деревьев декомпозиции возможности реализации угроз;

- опросных листов для оценки возможности реализации угроз в соответствии

с Методом 4.

Компонент нечеткой оценки возможности реализации угроз непосредственно включает в себя Метод 4.

Данный программный комплекс использует реализацию метода анализа иерархий, а также алгоритма формирования функции принадлежности Б/БТАТ на основе произведенных экспертных оценок.

Программный комплекс количественной оценки возможности использования уязвимостей реализует Методы 5 и 6. Данный программный комплекс вклю-

чает в себя компоненты формирования базы знаний, экспресс-оценки уязвимостей, нечеткой оценки возможности использования уязвимостей.

Компонент формирования базы знаний предлагает графический интерфейс для формирования базы знаний оценки уязвимостей в виде (4.7). Предлагается средство для определения частных показателей, влияющих на возможность использования уязвимости в виде лингвистических переменных, а также определения системы нечетко-продукционных правил в виде (4.8). Формируются отдельные базы знаний для экспресс-оценки уязвимостей и возможности использования уязвимостей.

Компонент экспресс-оценки уязвимостей реализует Метод 5, предложенный в диссертационной работе, на основе сформированной базы знаний.

Компонент нечеткой оценки возможности использования уязвимостей реализует Метод 6 на основе сформированной базы знаний.

Пакеты программ для управления рисками ИБ реализуют нечеткую количественную оценку рисков ИБ на основе ранее выполненных оценок факторов риска, а также формируют оптимальную совокупность защитных мер для дальнейшей реализации. Решаются две оптимизационные задачи, ранее поставленные в диссертационной работе. В качестве пакетов программ для управления рисками ИБ возможно использовать любой математический пакет внешнего разработчика, позволяющий выполнять арифметические операции над нечеткими числами. В диссертационной работе в качестве такого пакета был использован FuziCalc.

6.2 Программный комплекс количественной оценки ущерба

от реализации угроз

Базовая часть программного комплекса количественной оценки ущерба от реализации угроз разработана в среде Microsoft .NET 4 [161]. Графическая составляющая разработана с помощью средства платформы .NET - Windows Presentation Foundation (WPF) [137], предоставляющая разнообразные средства для разработки сложных и насыщенных пользовательских графических интерфейсов.

На рисунке 6.2 представлено главное диалоговое окно программы. На рисунке 6.3 представлено диалоговое окно, используемое для инвентаризации новых активов и установления логических связей между ними.

АИС Damage Assessment

_ □

Файл Оценка активов Результаты Список активов | Топология активов

Добавить актив — Удалить актив ^ Запуск оценки ущерба

Информационные активы

АРМ

Сервисы

Серверы

Телекомму ни кационное обо рудо ван ие

Рисунок 6.2 - Главное диалоговое окно программы «Оценка ценностей активов КИС»

Новый актив

- п Ш

Наименование актива

Зависимые активы + Добавить

Удалить

Тип актива

Информационные активы -

Виды ущерба:

Добавить | ~ Удалить

| Ок [ | Отмена

Рисунок 6.3 - Окно инвентаризации активов и установления логических

связей между ними

Основными функциями и процедурами при этом являются следующие:

- Аёс1А88е1;Соттапс1Са11Ьаск - функция добавления актива КИС;

- Ес1кА88е1;Соттапс1Са11Ьаск - функция редактирования актива КИС;

- БеМеАззе^оттапсЮаПЬаск - функция удаления актива КИС;

- Ас1(Юап^еСоттапс1Са11Ьаск - функция добавления вида ущерба для актива КИС;

- ВеМеБап^еСоттапсЮаПЬаск - функция удаления вида ущерба актива

- АёёСЫМА88е1СошшапёСа11Ьаск - функция добавления зависимого актива КИС;

- БеМеСЫШАззе^оттапсЮаПЬаск - функция удаления зависимого актива

На рисунке 6.4 представлено диалоговое окно, используемое для формирования логической структуры КИС.

Основными классами и структурами программного комплекса являются: Епит АББеГГуре

КИС;

КИС.

{

Asset = 0x1, ARM = 0x2, Service = 0x4, Server = 0x8, TKO = 0x10

// Информационный актив

//АРМ

// ИТ-сервис // Сервер

// Телекоммуникационное // оборудование

} - перечисление, определяющее тип актива.

Enum CriticalityLevel

{

Confidentiality,

Integrity,

Availability

// конфиденциальность

// целостность

// доступность

} - перечисление, определяющее уровень критичности (КЦД).

АИС Оатаде Айектегй - Глава4 - Сору(Оценка по »;онф).с)а5

- О

Файл Оценка активов Результаты Список активов Топология активов

/ 1Я

^ 0 а Ccei.-x.ttt. сг«.-яение | Увеличить] /(.'е-ьш.-т» @ Показать сет»у;

» /М

£

I* .м

»Vх—а-— " *'

*

« „___—~п--у.-

I»

»•• «.*

<.« да

Й-

3?

ш

\

к.. У',-

*

""Ж

*

-ТС --ус

-зг.-4—г»-#—

Рисунок 6.4 - Диалоговое окно формирования логической структуры КИС

enumDamageType {

ExternalSocialDamage, // внешний социальный ущерб

InternalDamage, // внутренний ущерб

FinancialDamage // финансовыйущерб

} - перечисление, определяющее тип ущерба.

Class AssetTypeModel {

AssetTypeType // тип активов из перечисления

// AssetType

ObservableCollection<AssetModel> Assets // список активов данного типа

List<AssetType> ChildAssetsTypes List<Criticality Level>DependentLevels которым необходимо провести оценку } - класс, определяющий тип актива.

Class DamageTypeModel {

DamageTypeType

List<DamageModel>DamageModels

} - класс, определяющий тип ущерба.

Class DamageModel {

DamageTypeModelType } - класс, определяющий вид ущерба.

Class AssetModel {

AssetTypeModelType

// список зависимых активов // список уровней критичности, по

// тип ущерба из перечисления // Бап^еТуре

// список видов ущерба данного // типа

// тип ущерба

// тип актива

ObservableCollection<AssetModel>ChildAssets // список зависимых активов

ObservableCollection<DamageModel> Damages //список видов ущерба } - класс, определяющий актив.

На рисунке 6.5 представлено диалоговое окно, используемое для анализа дерева декомпозиции ущербов.

Оценка активов

_ п

Выберите цель сравнения

Возможность совершения террористических актов

Сравните активы

Сравнение активов

Сравнение частных показателей ущерба

Сравнение групп частных показателей ущерба

Актив 1 Оценка Актив 2

11 Инф актив 2 Одинаковая значимость (1) v Инф актив 1

Ш Инф актив 1 Одинаковая значимость (1) Инф актив 3 Инф актив 3

[в] Инф актив 2 Одинаковая значимость (1) v

Отношение согласованности:

Ок Отмена

Рисунок 6.5 - Диалоговое окно анализа дерева декомпозиции ущербов

Основной функцией является АззезБте^СоттапёСаИЬаск, вызывающей форму оценки ценности активов.

На рисунке 6.6 представлено диалоговое окно, в котором представляются результаты оценки активов.

Результаты оценки

_ □

Актив Оценка

Информационные активы (3)

Инф актив 1 $15,685.75

Инф актив 2 $20,000.00

Инф актив 3 $7,034.20

Ок

Отмена

Рисунок 6.6 - Окно с результатами оценки активов

Основными функциями и процедурами являются следующие:

- RunDamageAssessmentCommandCallback - функция, которая запускает процесс вычисления количественной оценки активов;

- Compute Simple AssetDamage - функция, которая вычисляет количественные оценки информационных активов;

- ComputeARMAssetDamage - функция, которая вычисляет количественные оценки АРМ;

- ComputeServiceDamage - функция, которая вычисляет количественные оценки ИТ-сервисов;

- ComputeServerDamage - функция, которая вычисляет количественные оценки серверов;

- ComputeTKOAssetDamage - функция, которая вычисляет количественные оценки телекоммуникационного оборудования;

- SetProbeAssetWorthCommandCallback - функция, которая открывает форму для введения базовой стоимости - денежной стоимости одного из активов. Данное значение будет использоваться для расчёта денежной стоимости всех остальных активов;

- AssessmentResultCommandCallback - функция, которая вычисляет денежные значения всех активов на основе базовой стоимости.

Основными классами и структурами при этом являются следующие:

Class AssetRatingModel {

Dictionary<CriticalityLevel, double>Ratings // словарь (уровень

// критичности - оценка) } - класс, который содержит словарь, ключами которого являются уровни критичности, значениями - количественная оценка актива.

Class ProbeAssetWorthModel {

double worth // стоимость в денежном

// эквиваленте

AssetModelProbeAsset // выбранный

// информационный актив. } - класс, который содержит базовую стоимость в денежном эквиваленте.

Class DamageAssessmentModel {

List<AssetTypeModel>AssetTypes // список оцениваемых

// типов активов.

List<AssessmentTypeComparisonEnvironmentModel>ComparisonEnvironments

// список объектов, // представляющих оценку // активов относительно // элемента верхнего уровня в иерархии.

boolIsDamageComputed // флаг, отражающий факт

// выполнения расчёта // количественных оценок // активов.

Dictionary<CriticalityLevel, bool>ResultsAvailability // словарь (уровень

// критичности - флаг), // содержащий информацию // о фактах выполнения // расчёта количественных // оценок активов по // каждому из уровней // критичности.

ProbeAssetWorthModelProbeAssetWorth // ссылка на объект,

// содержащий информацию о базовой стоимости. } - класс, содержащий информацию о количественных оценках активов.

Количественные оценки уровней критичности активов, сформированные несколькими экспертами, подаются на вход алгоритма FZ STAT для формирования функций принадлежности нечетких уровней критичности. Далее нечеткая оценка ущерба от реализации угроз осуществляется путем выполнения нечетких арифметических операций в пакете FuziCalc.

6.3 Программный комплекс количественной оценки возможности реализации угроз

Оценка возможности реализации угроз реализуется в одноименном программном комплексе [29; 66] и основывается на опросных листах. Программный комплекс разработан на языке С# в среде Visual Studio. При этом для хранения сформированных опросных листов, а также промежуточных результатов оценки используется СУБД SQLite.

На рисунке 6.7 представлено диалоговое окно получения доступа к БД угроз, а на рисунке 6.8 - диалоговое окно формирования перечня частных показателей для опросного листа оценки возможности реализации конкретной угрозы.

HI I

2) Фишинг

3) Фарминг

4) Распространение_почтовых_червей

5) 8осстановление_аутентификационной_информацци

6) Внедрение_вредоносного_ПО

7) Несанкционированный_доступ_к_приложению

Добавить угрозу Удалить угрозу

Рисунок 6.7 - Диалоговое окно получения доступа к базе данных угроз

Вопросы

Сколько ^з^а_последаие_три^да_сотрудники_организаци^ ^кова_тендевдя_в_стзтасше_такого^ода_попыток_несанкда

Хранится_пи_в_инФормадаомной_системе_информация_которая_может_представпять_имтерес _дпя_сотрудников_оргамизаиии_и_поб,,,жда1Ь_к_... Известны_ли_сл),чаи_мападения_угроз_шантажа ^Бления_на_сотрушиков_со_староны_посторонмих_лиц Есть_ли_среди_персонала/р)Т1пь1^иц_или_отдельнь1е_лица_с_медостаточно_высокими_моральными_качествами Хранится_ли^_системе_информаиия_несанкшнированное_ю^

Пред,'смотрена_ли^^нформаш1онной_системе_поддержка_пользователей_облашющ^ехническими_возмож^ Существуют_ли ^тие_спосо6ы_просмотра_информадаи_позволяющие_зл0)мь1шленнику^браться^о_нее_более_прость1^ Имеются_ли ^рутие_способы_несанкцдонированного_изменения_^

Сколько_раз_за_последние_три_года_сотрудники_пытались_получитъ_несанкционированный лоступ_к_информаиии_хранящейся_в _других_под...

Расставить приоритеты

Добавить вопрос

Удалить вопрос

Рисунок 6.8 - Диалоговое окно формирования перечня частных показателей для опросного листа оценки возможности реализации конкретной угрозы На рисунке 6.9 представлено диалоговое окно формирования и обработки матрицы попарных сравнений.

л Ш Сенью_раз_за_ Каг.с( Храится.^в.» Ижеетм.ш.ву Есть^.давк» Храигся_™_в_с1 Предш-рем.и Сщесгеуют.шИммтси.гмм Скмысо_ргз_а_

► Скойко^М.З. 1 9 3 5 6 3 $ 6 5 9

2 Каш.твда 0.11 1 3 0.5 0,5 3 3 2 2 0,33

3 0.125 0.33 1 0.33 0,33 2 2 0.5 0.5 0.2

4 Из8ес№!_.и_с.. 0.157 2 3 1 1 3 ¡3 3 3 0,33

5 Естьш.цяда 0.167 2 3 1 1 4 4 3 3 0.33

6 Хражтси_ги_в.. 0.11 0.33 0.5 0.33 0,25 1 1 0.33 0.33 0157

7 Г^ч^мстхм 0.11 0.33 0.5 0,33 0,25 || 1 0.33 0.33 0.167

8 Сщкгщвцм.. 0.157 0.5 2 0,33 0.33 3 3 1 1 0.25

3 ^еюта.ш!л>.. 0.157 0.5 2 0,33 0,33 3 1 1 0.25

10 Сколю_рм_$. 0.11 3 5 3 ¡3 6 1« 4 4 1

•

| рсмряь ошше ссг швгкюсм

Расмт-ытюртгет

Рисунок 6.9 - Диалоговое окно формирования и обработки матрицы

попарных сравнений Пример сформированного опросного листа представлен на рисунке 6.10. В Приложении 1 представлены примеры сформированных опросных листов для оценки возможности реализации ряда угроз, а также баллы, назначаемые за выбор ответов.

íbñi Hit!

i fe f! » 3 I « S Э I

M-iHiillí

ni ищи

s I I l Ь Ü 5, g

% i fil m H ^

51ш! J s ? ? ч 5

* 15 51H i!

s. g

g i

i s

о <T> û. 1—

¡2 S

CD ^

S 2

о о

ass со

1— cr>" о о о

ï - p.

т— ОГО<Г>т-От— Ю

<Х> 5

О Г-

^ к

ю' о

УМУ

Il Ir

DI 5 "¡ 1

s, 114 g'

ал i et 2 ¿г-

ё * J I 11

s

s 2,

§ ï

fifi

0

ч

1 «s

ю

а» &

В

о F se и

nC

H es H В ВТ

ce Рч

£ g

5

03 H о s к

о u о

X

о о а. с о

о и

0

1

ж л со о

CL S

s а. о -8-

0

о.

<и

S

s

а.

С

1

о

чо Sí

о

X

о s си

6.4 Программный комплекс количественной оценки возможности

использования уязвимостей

Данный программный комплекс реализован в виде «Программы нечеткой оценки рисков для уязвимостей в корпоративных информационных сетях» [28] в среде Delphi. Для хранения базы правил, исходной информации об уязвимостях и результатов оценки уязвимостей используется база данных СУБД ACCESS.

В программном комплексе реализованы следующие основные компоненты:

- основной компонент программы, обеспечивающий графический интерфейс с пользователем, вызов дополнительных компонентов, вывод результатов;

- компонент формирования частных показателей уязвимостей в виде лингвистических переменных;

- компонент формирования нечетко-продукционных правил в виде (4.8);

- компонент ввода исходной информации по уязвимости;

- компонент оценки уязвимости.

На рисунке 6.11. представлено окно компонента формирования частных показателей уязвимостей (атрибутов) в виде лингвистических переменных.