5.2.2. Расчет интенсивности возникновения атак

Для оценки интенсивности атак целесообразно исходить из сложности их реализации и необходимых навыков и инструментария. Поскольку в общем случае определить уровень каждого потенциального нарушителя не представляется возможным, положим соотношения между интенсивностями рассматриваемых атак постоянными, причем сами значения интенсивностей обратно пропорциональными сложности их реализации, и присвоим им соответствующие значения:

⁰_0.1 — непосредственный доступ путем сброса пароля,

⁰_0.2 — непосредственный доступ путем хищения файла паролей,

⁰_1.1 — сниффинг пакетов в сети без коммутаторов,

⁰_1.2, ⁰_2.2 — сканирование портов,

⁰_1.3, ⁰_2.3 — SYN-flood,

⁰_1.4, ⁰_2.4 — внедрение ложного объекта на основе недостатков алгоритма удаленного поиска,

⁰_1.5, ⁰_2.5 — внедрение ложного объекта путем навязывания ложного маршрута,

⁰_1.6, ⁰_2.6 — подмена доверенного объекта,

⁰_1.7 — подмена доверенного объекта (перехват сессии),

⁰_1.8, ⁰_2.8 — внедрение ложного DNS-сервера.

Также необходимо отметить тот факт, что активность злоумышленников относительно разных ИТКС может варьироваться в достаточно широких пределах и может зависеть от назначения и масштаба атакуемой системы, степени ее открытости, а также психологических и иных факторов. Таким образом, необходимо ввести такой параметр как коэффициент активности злоумышленника, который характеризует среднее число атак на ИТКС за единицу времени вне зависимости от их сложности. В рассматриваемой задаче этот коэффициент представляет собой множитель для всех приведенных выше начальных значений интенсивности

_iK_а⁰_i. (5.5)

Для адекватной оценки интенсивности атак, а также исходя из особенностей применения возможных мер противодействия, целесообразно разделить злоумышленников по признаку их местоположения на внешних и внутренних. Внешний злоумышленник способен осуществлять только межсегментные удаленные атаки, поскольку не имеет физического доступа ни к атакуемым хостам, ни к любым другим объектам атакуемой подсети. Внутренний же злоумышленник имеет возможность получать доступ к таким объектам и, следовательно, способен реализовать как внутрисегментные удаленные атаки, так и атаки, связанные с непосредственным доступом.

Таким образом введем два различных коэффициента активности злоумышленника для внешнего K_ex и внутреннего K_in, таких, что K_ex характеризует внешнюю по отношении к ИТКС агрессивную среду и является коэффициентом для интенсивностей межсегментных атак ⁰_2.2, ⁰_2.3, ⁰_2.4, ⁰_2.5, ⁰_2.6, ⁰_2.7, ⁰_2.8, а K_in — внутреннюю, и является коэффициентом для непосредственных и внутрисегментных атак ⁰_0.1, ⁰_0.2, ⁰_1.1, ⁰_1.2, ⁰_1.3, ⁰_1.4, ⁰_1.5, ⁰_1.6, ⁰_1.7, ⁰_1.8.

Рассчитаем вероятности реализации злоумышленником каждой из рассматриваемых атак с учетом их сложности и взаимозависимости. Отметим, что интенсивность возникновения каждой из атак является суммой интенсивностей ее проведения в качестве самостоятельной атаки и в качестве этапа более сложной атаки, т.е.

(5.6)

Для каждой из атак получим следующие исходные значения интенсивности:

— для атаки «сниффинг сети», являющейся также этапом атаки «подмена доверенного объекта на основе перехвата сессии»:

_1.1^_1.1_1.7; (5.7)

— для атаки «сканирование портов», не имеющей самостоятельного значения, но являющейся этапом всех удаленных атак внутрисегментная и межсегментная соответственно:

_1.2_1.3_1.4_1.5_1.6_1.7, (5.8)

_2.2_2.3_2.4_2.5_2.6; (5.9)

— для атаки «отказ в обслуживании», являющейся также возможным этапом атаки «подмена доверенного объекта» внутрисегментная и межсегментная соответственно:

_1.3^_1.3_1.6, (5.10)

_2.3^_2.3_2.6. (5.11)

Для остальных атак значение фактической интенсивности совпадает со значением интенсивности появления в качестве самостоятельной атаки.

Таким образом, полученные интенсивности принимаются в качестве параметра для распределения вероятностей атак каждого типа. Однако эти распределения показывают вероятность возникновения атак, т.е. распределение вероятностей числа попыток злоумышленника провести атаку и не имеют отношения к их эффективной реализации.