Выводы по четвертой главе

В ходе выполнения главы 4 данного учебного пособия предложена методика анализа рисков ИТКС при реализации угроз непосредственного и удаленного доступа к ее элементам. Для этого предварительно выделены наиболее актуальные предметы атак и выявлены взаимосвязи процессов реализации атак, исходя из их специфики. Произведены расчеты интенсивности возникновения всех рассматриваемых типов атак, а затем вероятностей их реализации на основе распределения Пуассона. Получены распределения рисков для выбранных видов ущерба ИТКС: нарушения конфиденциальности информации, нарушения доступности информации и несанкционированного входа в систему с правами легального пользователя. Рассчитаны интегральные риски для всех видов ущерба, введена функция эффективности защиты системы, основанная на первоначальных требованиях к системе по безопасности. Рассмотрены распределения рисков с учетом применения адекватных мер и средств противодействия атакам, на основе расчета функции защищенности системы при использовании каждого вида мер противодействия сделаны выводы об их эффективности.

Заключение

В учебном пособии отражены следующие результаты.

Рассмотрена информационно-телекоммуникационная система как объект атак, связанных с непосредственным и удаленным доступом к ее элементам, выделен перечень наиболее актуальных атак для ИТКС, функционирующих на основе стека протоколов TCP/IP, исследованы алгоритмы их реализации, а также приведены наиболее адекватные меры противодействия этим атакам.

На основе использования аппарата теории сетей Петри-Маркова предложены аналитические модели реализации следующих атак.

1) связанных с удаленным доступом:

— сниффинг пакетов в сети без коммутаторов,

— сканирование сети,

— отказ в обслуживании SYN-flood,

— внедрение в сеть ложного объекта на основе использования недостатков алгоритмов удаленного поиска,

— внедрение в сеть ложного объекта путем навязывания ложного маршрута,

— подмена доверенного объекта сети,

— подмена доверенного объекта сети (перехват TCP-сессии),

2) связанных с непосредственным доступом:

— подбор паролей на вход в операционную систему путем хищения файлов паролей,

— вход в операционную систему посредством сброса паролей.

С использованием аналитического моделирования произведен расчет вероятностно-временных характеристик динамики реализации рассматриваемых атак, а также исследовано влияние на динамику реализации атак применения соответствующих мер и средств защиты.

Рассмотрены основные виды ущерба ИТКС при реализации данных атак. За основной закон распределения вероятностей количества реализованных атак на основе соответствующих выводов принят закон распределения Пуассона. Исследована взаимная зависимость возникновения удаленных атак, исходя из которой рассчитаны интенсивности их возникновения, а затем вероятности их реализации.

Описана методика анализа рисков при реализации рассматриваемых атак по трем видам ущерба для ИТКС (нарушение конфиденциальности, нарушение доступности, несанкционированный вход в систему с правами легального пользователя) и построены соответствующие распределения ущербов и рисков для заданного набора значений интенсивностей атак. Методика применена для решения задачи управления рисками ИТКС. Рассчитаны вероятности реализации атак с учетом использования мер и средств защиты и построены соответствующие распределения рисков.

С помощью предложенной функции расчета защищенности системы, основанной на налагаемых на ИТКС требованиях по безопасности, рассчитаны показатели интегрального риска и защищенности ИТКС при использовании соответствующих мер и средств противодействия атакам, на основе полученных результатов сделаны выводы об их эффективности.

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

1 Федеральный закон Российской Федерации от 27 июля 2006 г. №149-ФЗ «Об информации, информационных технологиях и о защите информации».

2 Язов Ю.К. Технология проектирования систем защиты информации в информационно-телекоммуникационных системах: Учеб. пособие / Воронеж: Воронеж. гос. техн. ун-т, 2004. 111 с.

3 Кулаков В.Г., Бугров Ю.Г., Остапенко А.Г. Модели процессов реализации угроз и противодействий им в информационно-телекоммуникационных системах (региональный аспект).– В.: 2003.– 136 с.

4 Г.А. Остапенко, Е.А. Мешкова. Информационные операции и атаки в социотехнических системах: организационно-правовые аспекты противодействия / Г.А. Остапенко, Е.А. Мешкова; Под редакцией Ю.Н. Лаврухина. – М: Горячая линия - Телеком, 2007. - 295 с.

5 Михайлов С.Ф., Петров В.А., Тимофеев Ю. А. Информационная безопас¬ность. Защита информации в автоматизированных системах. Основные кон¬цепции: Учебное пособие. – М.: МИФИ, 1995. – 112 с.

6 Хаусманн Л. Знать, что происходит в сети / Л. Хаусманн // LAN: журнал сетевых решений, 2006. – №10. – С. 104-106.

7 Язов Ю.К. Основы методологии количественной оценки защищенности и эффективности защиты информации в компьютерных системах / Ю.К. Язов – Ростов-на-Дону: Издательство СКНЦ ВШ, 2006. – 274 с.

8 Протоколы Internet. С. Золотов. – СПб.: BHV – Санкт-Петербург, 1998. – 212 с.

9 Остапенко Г.А. Оценка рисков и защищенности атакуемых кибернетических систем на основе дискретных распределений случайных величин / Г.А. Остапенко // Информация и безопасность: Регион. науч.-техн. журнал. - Воронеж. 2005. – Вып. 2. – С. 70 – 75.

10 Хохлов Н.В. Управление риском: Учеб. Пособие для вузов / Н.В. Хохлов – М.: ЮНИТИ-ДАНА, 1999. – 239 с.

11 Шоломицкий А.Г. Теория риска. Выбор при неопределенности и моделирование риска: учеб. пособие для вузов/ А.Г. Шоломицкий – М.: Изд. дом ГУ ВШЭ, 2005. – 400 с.

12 Зражевский В.В. Основные направления совершенствования системы управления рисками / В.В. Зражевский. – М.: 1999. – 465 с.

13 Петренко С.А. Управление информационными рисками: Экономически оправданная безопасность. / С.А. Петренко, С.В. Симонов. – М.: АйТи - Пресс, 2004. – 381 с.

14 Выгодский М.Я. Справочник по высшей математике / М.Я. Выгодский – М.: Наука, 1973. – 872 с.

15 Евдокимова Л.С., Бочаров Б.Ф., Цепи Маркова.– Л.: Академия им. Кузнецова Н. Г., 1990.– 100 с.

16 Самарский А.А. Математическое моделирование: Идеи. Методы. Примеры /А.А. Самарский, А.П. Михайлов. – М.:ФИЗМАТЛИТ, 2005. – 320 с.

17 Робертс Ф.С. Дискретные математические модели с приложениями к социальным биологическим и экологическим задачам.– М.: Наука, 1986.– 495 с.

18 Саати Т. Л. Элементы теории массового обслуживания и ее приложения.– М.: Советское радио, 1971.– 198 с.

19 Тихонов В.И., Миронов М.А. Марковские процессы.– М.: Сов. радио, 1977.– 488 с.

20 Информационно-безопасные системы. Анализ проблемы: Учеб. пособие / Алешин И.В. и др.; Под ред. В.Н. Козлова - СПб.: Издательство С–Петербургского гос. техн. университета. 1996. – 69 с.

21 Хубер З. Безопасность как процесс / З. Хубер //LAN: журнал сетевых решений, 2007. – №2. – С. 78-81.

22 Кофман А., Крюан Р. Массовое обслуживание. Теория и приложения.– М.: Мир, 1965.– 132 с.

23 Овчаров Л.А. Прикладные задачи теории массового обслуживания.– М.: Машиностроение, 1969.– 124 с.

24 Казаков В. А. Введение в теорию Марковских процессов и некоторые радиотехнические задачи.– М.: Сов. радио, 1973.– 384 с.

25 Королюк В.С., Турбин А. Ф. Полумарковские процессы и их приложения.– Киев.: Науковая думка, 1976.– 256 с.

26 Девянин П.Н. Модели безопасности компьютерных систем: Учеб. пособие для студ. высш. учеб. заведений / П.Н. Девянин. – М.: Издательский центр «Академия», 2005. – 144 с.

27 Петренко С.А. Метод оценивания информационных рисков организации/ С.А. Петренко // сб.статей "Проблемы управления информационной безопасностью" под ред. д.т.н., профессора Черешкина Д.С., РАН ИСА, – М., Едиториал УРСС, 2002. – С. 112 - 124.

28 Вычислительные системы, сети и телекоммуникации. Пятибратов и др. – ФИС, 1998. – 262 с.

29 Зима В.М., Молдвян А.А., Молдовян Н.А. Безопасность глобальных сетевых технологий. – 2-е изд. – СПб.: БХВ-Петербург, 2003. – 368 с.

30 Столингс В. Современные компьютерные сети – СПб.: Питер, 2003. – 783с.

31 Дорот В.Л. Толковый словарь современной компьютерной техники / В.Л. Дорот, Ф.А. Новиков. – СПб.: БВХ-Перербург, 2002. – 512 с.

32 Вопросы кибернетики. / Под ред. Р.М. Юсупова и Ю.Н. Кофанова. – М.: Наука, 1981. – 194 с.

33 Персональные компьютеры в сетях TCP/IP. Крейг Хант; перев. с англ. – BHV– Киев, 1997. – 122 с.

34 Стенг Д.И., Мун С. Секреты безопасности сетей – К.: Диалектика, 1996. – 218 с.

35 Бартон Т. Комплексный подход к безопасности сетей / Т. Бартон, У. Шенкир, П. Уокер. – М.: Издательский дом "Вильямс", 2003. – 208 с.

36 Information security management: an introduction. DISC PD 3000, 1998. – 68 р.

37 Кулаков В.Г. Концепция региональной информационно-аналитической системы в интересах обеспечения информационной безопасности// Информация и безопасность.– 2004. №1. С. 14.

38 Парфенов В.И. Защита информации (Словарь).– В.: НП РЦИБ «Факел», 2003.– 293 с.

39 Ярочкин В.И. Информационная безопасность.– М.: Летописец, 2000.– 399 с.

40 Медведовский И.Д. Атака через Internet / И.Д. Медведовский, П.В. Семьянов, В.В. Платонов; под. ред. П.Д. Зегжды — СПб.: Мир и семья, 1997. — 296 с.

41 Грушо А.А.. Тимонина Е.Е. Теоретические основы защиты информации. - М.: Издательство Агентства «Яхтсмен». 1996. – 192 с.

42 Молчанов А.А. Моделирование и проектирование сложных систем. - К.: Высшая школа, 1988. – 359 с.

43 Романовский И.В. Дискретный анализ: Учеб. пособие/ И.В. Романовский. - 2-е изд., испр.. - СПб.: Физматлит, 2001. – 240 с.

44 Федорков Е.Д. Моделирование систем / Е.Д. Федорков, А.И. Бобров. – Воронеж: Воронежский государственный технический университет, 2005. – 226 с.

45 Приходько А.Я. Словарь-справочник по информационной безопасности / А.Я. Приходько – М.: СИНТЕГ, 2001. – 124 с.

46 Статьев В.Ю. Оценка информационных рисков в системах обработки служебной информации / В.Ю. Статьев. – М.: Конфидент, 2004. – 289 с.

47 Лукацкий А.В. Обнаружение атак. – СПб.: БХВ – Петербург, 2001. – 624 с.

48 Мак-Клар С. Секреты хакеров. Безопасность сетей – готовые решения, 2-е издание / С. Мак-Клар, Д. Скембрей, Д. Курц. – М.: Издательский дом «Вильямс», 2005г. – 656 с.

49 Нупур Д., Хамфри У., Редвайн С., Цибульски Г., Макгро Г. Процессы разработки безопасного программного обеспечения. Открытые системы. № 08. 2004. – С. 44.

50 Черешкин Д.С. Оценка эффективности систем защиты информационных ресурсов / Д.С. Черешкин. – М.: Институт системного анализа РАН, 1998. – 455 с.

51 Торокин А.А. Основы инженерно-технической защиты информации. –М: Ось-89, 1998.– 336 с.

52 ГОСТ 28147 – 89. Системы обработки информации. Защита криптографиче¬ская. Алгоритм криптографического преобразования.

53 ГОСТ Р 34.10 – 94. Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма.

54 Лебедев А.Н. Криптография с «открытым ключом» и возможности его прак¬тического применения // Защита информации. Конфидент. – 1992. – №2. – С. 25-29.

55 Рамачандран Б. Теория характеристических функций. Пер. с англ/ Б. Рамачандран – М.: Наука, 1975. – 222 с.

56 Севастьянов Б.А. Вероятностные модели / Б.А. Севастьянов. – М.: Наука, 1992. – 176 с.

57 Кокс Д. Статистический анализ последовательностей событий / Д. Кокс, Льюис П. – М.: Издательство "МИР", 1969. – 312 с.

58 Судоплатов С.В. Элементы дискретной математики.– М.: ИНФРА, 2003.– 280 с.

59 Гончарова Г.А. Элементы дискретной математики.– М.: 2003.– 127 с.

60 Игнатьев В.М., Ларкин Е.В. Сети Петри-Маркова. — Тула: Тул. гос. ун-т, 1997. - 163 с.

61 Вентцель Е.С. Теория случайных процессов и ее инженерные приложения. Учеб. пособие для втузов. / Е.С. Вентцель, Л.А. Овчаров. – М.: Высш. шк, 2000. – 383 с.

62 Вентцель Е.С. Исследование операций. Задачи, принципы, методология: Учеб пособие для вузов. – 3-е изд., стереотип. – М.: Дрофа, 2004.– 208 с.

63 Куликов Е.И. Методы измерения случайных процессов/ Е.И. Куликов – М.: Радио и связь, 1986. – 272 с.

64 Хастингс Н. Справочник по статистическим распределениям/ Н. Хастингс, Дж. Пикок. Пер. с англ. А.К. Звонкина. – М.: Статистика, 1980. – 95 с.

65 Малошевский С.Г. Теория вероятностей: Учеб. пособие. Часть 1. Вероятностное пространство. Дискретные случайные величины / С.Г. Малошевский – СПб: Петербургский гос. ун-т путей сообщения, 1999.– 92 с.

66 Гмурман В. Е. Теория вероятностей и математическая статистика.– М.: Высшая школа, 2004.– 148 с.

67 Куликов Е.И. Прикладной статистический анализ: Учеб.пособие для вузов/ Е.И. Куликов. – М.: Радио и связь, 2003. – 376 с.

68 Гражданкин А.И. Использование вероятностных оценок при анализе безопасности опасных производственных объектов. / А.И. Гражданкин, М.В. Лисанов, А.С. Печеркин // Безопасность труда в промышленности. – 2001. – № 5. – С. 33-36.

69 Поллард Дж. Справочник по вычислительным методам статистики / Дж Поллард. – М.: Финансы и статистика, 1982. – 575 с.

70 Саульев В.К. Математическая обработка результатов наблюдений / В.К. Саульев.

71 Кендалл М. Теория распределений/ М. Кендалл, А. Стьюарт. – М.: Наука, 1966. – 590 с.

72 Справочник по теории вероятностей и математической статистике/ В.С. Королюк, Н.И. Портенко, А.В. Скороход, А.Ф. Турбин. – М.: Наука. Главная редакция физико-математической литературы, 1985. – 640с.

73 Боровиков А.А. Теория вероятностей / А.А. Боровиков – М.: Наука, 1986. – 432 с.

74 Cox D.R., Miller H.D. The theory of stochastic processes. Methuen, 1965. – 94 p.

75 Бендат Дж., Пирсол А. Прикладной анализ случайных данных. М.: Мир, 1989.– 540 с.

76 Гранатуров В.М. Экономический риск: сущность, методы измерения, пути снижения / В.М. Гранатуров – М.: Издательство "Дело и Сервис", 2002. – 160 с.

77 Новоселов А.А. Математическое моделирование финансовых рисков. Теория измерения / А.А. Новоселов. – Новосибирск: Наука, 2001. – 212 с.

78 Буянов В.П. Рискология (управление рисками): Учебное пособие. – 2-ое изд., испр. и доп. / В.П. Буянов, К.А. Кирсанов, Л.М. Михайлов. – М.: Издательство "Экзамен", 2003. – 384 с.

79 Гончаренко Л.П. Риск-менеджмент: учебное пособие / Под ред. д-ра тех. наук. проф., засл. деятеля науки РФ Е.А. Олейникова; Л.П. Гончаренко, С.А. Филин. – М.: КНОРУС, 2006. – 216 с.

80 Мишин А.В. Принятие управленческих решений в организационных системах: теория и практика. / А.В. Мишин, С.А. Мишин. – Воронежский институт МВД России, 2004. – 172 с.

81 Симонов С. Анализ рисков, управление рисками / С. Симонов //Jet Info. Информационный бюллетень, 1999. – № 1. – С. 2-28.

82 Фомичев А.Н. Риск-менеджмент: Учебное пособие / А.Н. Фомичев – М.: Издательско-торговая корпорация "Дашков и К", 2004. – 292 с.

83 Пикфорд Дж. Управление рисками / Дж. Пикфорд – М.: ООО "Вершина", 2004. – 352 с.

84 Розенберг В.Я., Прохоров А. И. Что такое теория массового обслуживания.– М.: Советское радио, 1962.– 234 с.

85 Айвазян С.А. Прикладная статистика: Исследование зависимостей / С.А. Айвазян – М.: Финансы и статистика, 1985 – 423 с.

86 Вентцель Е.С. Теория вероятностей и ее инженерные приложения. Учеб. пособие для втузов. / Е.С. Вентцель, Л.А. Овчаров. – М.: Высш. шк, 2003. – 464 с.

87 Куринной Г.Ч. Математика: справочник. М.: Фолио, 2000.– 464 с.

88 Бостанджиян В.А. Пособие по статистическим распределениям/ В.А. Бостанджиян. - Черноголовка: ИПХФ, 2000. – 1006 с.

89 Сачков В.Н. Введение в комбинаторные методы дискретной математики/ В.Н.Сачков. - М.: МЦНМО, 2004. – 421 с.

90 Зорин В.А. Элементы теории процессов риска. / В.А. Зорин, В.И. Мухин. – Н. Новгород: ННГУ.2003. – 25 с.

91 Остапенко О.А. Методология оценки риска и защищенности систем/ О.А. Остапенко // Информация и безопасность: Регион. науч.-техн. журнал. - Воронеж. 2005. – Вып. 2. – С. 28 – 32.

92 Унсельд И. Управление рисками и выполнение правил / И. Унсельд // LAN: журнал сетевых решений, 2006. – №8. – С. 86-88.

93 Воронцовский А.В. Управление рисками: Учеб. пособие. 2-ое изд., испр. и доп / А.В. Воронцовский – СПб: Изд-во С.-Петерб. ун-та, 2000; ОЦЭиМ, 2004. – 458 с.

94 Чернова Г.В. Управление рисками: Учебное пособие / Г.В. Чернова, А.А. Кудрявцев. – М.: ТК Велби, Изд-во Проспект, 2003. – 160 с.

95 Томович Р. Общая теория чувствительности / Р. Томович, М. Вукобратович. Пер. с сербск. и с англ., под ред. Я.З. Цыпкина. – М.: Советское радио, 1972. – 240 с.

96 Хенли Э. Дж. Надежность технических систем и оценка риска / Э. Дж. Хенли, Х. Кумамото – М.: Машиностроение, 1984. – 528 с.

97 Гнеденко Б.В. Математические методы в теории надежности. / Б.В. Гнеденко, Ю.К. Беляев, А.Д. Соловьев. – М.: Наука, 1965. – 333 с.

98 Charett R. Software engineering risk analysis and management. N.Y.: McGraw – Hill. 1989. – р. 69

99 Феллер В. Введение в теорию вероятностей и ее приложения. В 2-х томах. Т.1: Пер. с англ / В. Феллер – М.: Мир. 1984. – С. 137-139.

100 Герик Т. Информационная база для оценки риска / Т. Герик //LAN: журнал сетевых решений, 2006. – №9. – С. 22-25.

101 Балдин К.В. Управление рисками: Учеб. пособие / К.В. Балдин, С.Н. Воробьев. – М.: ЮНИТИ-ДАНА, 2005. – 511с.

102 Методические указания к выполнению организационно-экономической части дипломных проектов научно-исследовательского направления для студентов специальности 090102, 090105, 090106 дневного обучения / Воронеж, гос. техн. ун-т; Сост. И. А. Злобина. Воронеж, 2004. 26 с.

103 Лагунов В.С. Безопасность и экологичность в дипломном проекте: Учеб. пособие по дипломному проектированию. — Воронеж: Воронеж. гос. техн. ун-т, 2003. — 124 с.

104 Естественное и искусственное освещение. СНиП 23/05-95. — М.: Стройиздат, 1995. — 48 с.

105 ГОСТ 12.1.003-83. Шум. Общие требования безопасности. — М.: Изд-во стандартов, 1986. — 9 с.

106 ГОСТ 12.1.005-88. Воздух рабочей зоны. Общие санитарно-гигиенические требования. — М.: Изд-во стандартов, 1988. — 75 с.

107 ГОСТ 12.1.032-78. Рабочее место при выполнении работ сидя. Общие эргономические требования. — М.: Изд-во стандартов, 1992. — 9 с.

108 ГОСТ 12.1.030-81. Электробезопасность. Защитное заземление, зануление. — М.: Изд-во стандартов, 1986. — 9 с.

109 ГОСТ 12.1.019-79. Электробезопасность. Общие требования. — М.: Изд-во стандартов, 1986. — 6 с.

110 ГОСТ 12.1.004-91. Пожарная безопасность. Общие требования. — М.: Изд-во стандартов, 1991. — 77 с.

111 «О пожарной безопасности». ФЗ № 69 от 21.12.1994 г.

112 Шилов. И.А. Экология. — М.: Высшая школа. 1997. — 512 с.

Учебное издание

Радько Николай Михайлович

Скобелев Иван Олегович

МЕТОДЫ АНАЛИЗА ИНФОРМАЦИОННЫХ РИСКОВ И УПРАВЛЕНИЯ ЗАЩИЩЕННОСТЬЮ ИНФОРМАЦИОННО-ТЕЛЕКОММУНИКАЦИОННЫХ

СИСТЕМ

В авторской редакции

Подписано к изданию 12.12.2008.

Уч.-изд.л. 12,1.

ГОУВПО

«Воронежский государственный технический университет»