Глава 2

сказывает свои суждения. Вокруг этих суждений и завязывается дискус­сия, направляемая ведущим на возможно более полное и глубокое рас­смотрение проблемы. В- помощь ведущему могут выделяться оппонент и эксперты. Задача оппонента заключается в поиске слабых мест в сужде­ниях решающего и формировании возражений и критических замечаний с тем, чтобы как можно энергичнее побудить его к дискуссии (предна­меренное вовлечение в дискуссию). Эксперты помогают ведущему оцени­вать высказываемые суждения и намечать последовательность и содержа­ние дальнейшего обсуждения проблемы. Среди всех высказываний ре­шающего отыскиваются наилучшие решения обсуждаемой проблемы. 2.4. Модели систем и процессов защиты информации

Моделирование системы заключается в построении некоторого ее образа, адекватного (с точностью до целей моделирования) исследуемой системе, и получения с помощью построенной модели необходимых ха­рактеристик реальной системы. Таким образом, в самом общем случае весь процесс моделирования можно разделить на две составляющие: по­строение модели и реализация модели с целью получения необходимых характеристик системы.

К настоящему времени разработан и апробирован на практике весьма представительный арсенал методов моделирования, позволяющий эффективно решать задачи анализа и синтеза больших систем различной природы и архитектуры, а также управления процессами их функциони­рования.

Для целенаправленного решения проблемы моделирования систем и процессов защиты информации необходимо произвести системную классификацию моделей, что может быть достаточно полно и достаточно адекватно осуществлено на основе богатого опыта построения и исполь­зования различных моделей различных систем. На основе указанного опыта есть основания утверждать, что системная классификация моделей может быть осуществлена по совокупности трех критериев следующего содержания.

1. Способ моделирования, т.е. тот основной прием, который поло­жен в основу построения модели. По этому критерию все модели могут быть разделены на аналитические и статистические. Аналитические мо­дели представляются в виде некоторой совокупности аналитических и (или) логических зависимостей, позволяющих определять необходимые характеристики путем проведении вычислений по указанным зависи­мостям. При статистическом моделировании моделируемая система пред­ставляется в виде некоторого аналога, отражающего для определяемых характеристик зависимости реальной системы. Само определение значе-^^

Основные положения теории защиты информации

ний этих характеристик осуществляется путем многократной имитации реализации зависимостей характеристик от существенно значимых пара­метров реальной системы и внешней среды и статистической обработки совокупности получаемых при этом результатов.

2. Характер системы, причем наиболее важным показателем этого критерия является характер взаимосвязей между подлежащими определе­ нию на модели значениями характеристик моделируемой системы и влияющими на них параметрами системы и внешней среды. Таких зави­ симостей, вообще говоря, достаточно много, однако оказалось, что при выборе методов моделирования решающее значение имеет уровень опре­ деленности указанных зависимостей. По этому признаку моделируемые системы делятся на детерминированные и стохастические: для первых все зависимости строго и однозначно определены, для вторых - на них ока­ зывают существенное влияние случайные факторы.

3. Масштаб моделирования, причем этот масштаб определяется главным образом уровнем определяемых на модели характеристик. По данному критерию модели можно разделить на общие и частные. Общие модели строятся с целью определения значений некоторых обобщенных характеристик моделируемых систем, частные - с целью определения зна­ чений частных, локальных характеристик системы.

В соответствии с изложенным системная классификация моделей представлена на рис. 2.4.

Поскольку на процессы защиты информации подавляющее влияние оказывают случайные факторы, то, очевидно, все (или, по крайней мере, все основные) модели систем защиты информации неизбежно должны быть стохастическими. Тогда при классификации и анализе методов мо­делирования систем защиты информации достаточно иметь в виду четы­ре разновидности моделей: 1) аналитические общие, 2) аналитические частные, 3) статистические общие, 4) статистические частные. Уместным также будет отметить, что к настоящему времени разработано значитель­ное число моделей систем и процессов защиты информации в АСОД, од­нако среди них пока не встречаются статистические модели общего наз­начения. Объясняется это прежде всего трудностями построения статис­тических моделей для таких систем, как системы защиты информации, причем основные трудности определяются отсутствием в настоящее время представлений о законах распределения вероятностей многих случайных событий, являющихся существенно значимыми для функционирования систем защиты информации. Для формулирования указанных законов и определения их числовых характеристик необходимо иметь большие объ­емы данных о функционировании большого количества систем защиты информации за достаточно продолжительньш период времени. Таких

данных в настоящее время практически нет, и их получение представляет собой далеко не ординарную задачу. Сказанное, однако, не исключает сбора необходимых данных в будущем.

На основе изложенного будем рассматривать методы моделирова­ния, имея в виду как аналитические, так и статистические модели, не раз­деляя при этом модели на общие и частные.

Как отмечалось выше, моделирование заключается в построении модели изучаемой или разрабатываемой системы и имитации на ней процессов функционирования реальной системы с целью получения необходимых характеристик этой системы. Соответственно этому и ме­тоды моделирования разделяются на методы построения моделей, или иначе - описания структуры и процессов функционирования моделируе­мых систем и методы имитации процессов функционирования систем.

При аналитическом моделировании структура системы и процессы ее функционирования представляются в виде некоторых выражений от­ображающих зависимость определяемых характеристик от параметров

Основные положения теории защиты информации

системы и параметров внешней среды. Имитация процессов функциони­рования систем является вырожденной, она сводится к расчетам по ука­занным выше выражениям значений определяемых характеристик для заданных значений параметров системы и внешней среды. Иными слова­ми, в аналитических моделях структура моделируемых систем и процессы их функционирования представляются в неявном виде.

При статистическом моделировании структура моделируемой си­стемы адекватно отображается в модели, а процессы ее функционирова­ния проигрываются (имитируются) на построенной модели. При этом степень адекватности модели реальной системе и процессов имитации на модели реальным процессам функционирования моделируемой системы определяется целями моделирования, т.е. теми характеристиками си­стемы, которые должны быть получены в процессе моделирования. Определяемые в процессе моделирования значения характеристик долж­ны соответствовать (по крайней мере с точностью до целей моделирова­ния) значениям этих характеристик, которые будут или могут иметь мес­то в процессе функционирования реальной системы.

Построение статистической модели заключается в описании струк­туры и процессов функционирования системы, а имитация процессов функционирования - в проигрывании тем или иным способом смены во времени состояний модели и принятии на каждом шаге имитации тех решений, которые обусловлены сложившейся ситуацией и правилами функционирования реальной системы. Тогда классификацию методов, необходимых для реализации принципов статистического моделирова­ния, в самом общем виде можно представить так, как показано на рис. 2.5.

Описание структуры системы может быть осуществлено методами теории множеств и теории графов и должно содержать, во-первых, пере­чень всех ее существенно значимых элементов, во-вторых, взаимные связи между элементами и, в-третьих, характер этих взаимосвязей. Как извест­но, и в теории множеств, и в теории графов имеются средства для пред­ставления всех трех перечисленных компонентов описания систем.

Для описания процессов функционировании стохастических систем необходимы средства отображения влияния случайных факторов. Такие средства содержатся в целом ряде достаточно хорошо разработанных к настоящему времени методов: статистических испытаний или Монте-Карло, теории массового обслуживания, теории вероятностных автома­тов и др. [17].

Процессы функционирования систем защиты информации, как от­мечалось выше, носят ярко выраженный стохастический характер, поэто-

Плава 2

ходной. В соответствии с этим состояние вероятностного автомата в каж­дый момент времени полностью характеризуется тремя величинами: внутренним состоянием, входным сигналом и выходным сигналом. Каж­дая из этих величин, может быть либо скалярной, либо векторной. Отсю­да следует, что описание вероятностного автомата может быть представ­лено: 1) внутренним алфавитом, т.е. множеством допустимых значений внутреннего состояния; 2) входным алфавитом, т.е. множеством всех воз­можных значений входного сигнала; 3) выходным алфавитом, т.е. мно­жеством всех возможных значений выходного сигнала. Кроме того, для полной определенности функционирования автомата необходимо задать еще начальное состояние автомата и правила, на основании которых происходит выбор выходного сигнала.

Дополнительно условимся, что автомат является дискретным, т.е. поступление входных сигналов, изменение внутреннего состояния и формирование выходных сигналов происходят лишь в целочисленные моменты времени. Автомат, удовлетворяющий всей совокупности пере­численных условий, в специальной литературе получил название автома­та Мура. Таким образом, рассматриваемый здесь автомат может быть однозначно задан совокупностью шести объектов: X, А, У, а₀ А (х), (р(а), где X, А, У - соответственно входной, внутренний и выходной ал­фавиты автомата; а₀(а₀ е А) - начальное состояние автомата; А(х)(х е X) - семейство стохастических матриц, определяющих правила перехода автомата из одного состояния в другое; ср(я)(а еЛ,ф еУ) -функция выходов автомата.

Функционирование автомата происходит следующим образом. В каждый из дискретных моментов времени на вход автомата поступает входной сигнал из множества сигналов входного алфавита. Под воздей-лвием поступившего сигнала происходит изменение внутреннего состоя-яия автомата (в рамках множества состояний, определяемых внутренним шфавитом), и формируется выходной сигнал из множества сигналов вы-юдного алфавита. Преобразование внутреннего состояния автомата осуществляется в соответствии с семейством стохастических матриц А (х). 4исло матриц в этом семействе должно соответствовать числу символов входного алфавита, а размерность - числу внутренних состояний автома­та (т.е. числу символов в его внутреннем алфавите), причем элементами

гаждой из этих матриц должны быть значения Р£_а - вероятности того, тго если автомат находился в состоянии а(а е А), то при поступлении сигнала х(х е X) автомат перейдет в состояние а(а е А). Формирова-ше выходного сигнала осуществляется в соответствии с функцией выхо-

Основные положения теории защиты информации

дов <р(й), которая может быть как детерминированной , так и стохасти­ческой. Если данная функция является детерминированной, то в ней дол­жен быть определен выходной сигнал для каждой пары возможных пере­ходов внутреннего состояния автомата, т.е. значение y(oj -*dj);y eY,dj ^A,Qj eA. Если же функция ф(а)является стохастической, то для каждого потенциально возможного перехода а, —> а/ должен быть задан вектор Р_у , где Ру есть вероятность того, что при данном переходе выходной сигнал примет значение у (у е У).

Нетрудно видеть, что перечисленные правила позволяют достаточ­но адекватно описать весьма широкий круг объектов реальных систем. Однако, как показала практика, семейство матриц А (х) часто оказывает­ся громоздким, что затрудняет их применение, но почти во всех случаях семейство матриц можно существенно упростить, если учесть особен­ности функционирования конкретных объектов. Объективной предпо­сылкой такого упрощения служит то обстоятельство, что во многих ре­альных объектах различные условия (сочетания входных сигналов и те­кущих внутренних состояний) приводят к переходу автомата в одно и то же состояние (или к одному и тому же распределению вероятностей пере­хода). На основе объединения указанных совпадений формируется так называемая таблица условных функционалов переходов (ТУФП), пред­ставляющая собою таблицу, в верхней строке которой приведены вариан­ты условий, приводящих к тем или иным переходам, а в нижней - сами переходы (или распределение вероятностей переходов) для соответ­ствующих условий.

Так в общих чертах могут быть представлены принципы вероят­ностно-автоматного моделирования процессов функционирования от­дельно взятого объекта. Однако в подавляющем большинстве практиче­ских приложений изучаются большие системы, состоящие из некоторой совокупности взаимосвязанных объектов. С помощью рассмотренных выше методов могут быть построены вероятностно-автоматные модели каждого из объектов системы. Объединение автоматов в систему будет заключаться в отождествлении выходных сигналов одних автоматов с входными сигналами других. Само собою разумеется, отождествление должно осуществляться в строгом соответствии с взаимосвязями реаль­ных объектов моделируемой системы, причем выходные и входные алфа­виты сопрягаемых автоматов должны быть согласованными в том смыс­ле, что входной алфавит принимающего автомата должен содержать все символы выходного алфавита передающего автомата.