2.2. Метод функционального проектирования системы защиты

Метод функционального проектирования предназначен для реализации оптимального выбора набора задача защиты (определения набора средств защиты), которые должны решаться проектируемой системой защиты.

Замечание. При функциональном проектировании достаточно рассматривать граф безопасности информационной системы - граф угроз актуальных атак на информационную систему (не требуется «взвешивания» вершин).

Проектирование с целью выбора актуальных средств защиты - набора актуальных уязвимостей, которые должны нивелироваться системой защиты (функциональное проектирование), реализуется выполнением следующей итерационной процедуры [23], использующей введенное ранее понятие и количественную оценку актуальности уязвимости в информационной системе. На каждой итерации анализируется граф (в данном случае нас не интересуют значения вероятностей того, что система готова к безопасной эксплуатации в отношении какой бы то ни было уязвимости) безопасности информационной системы - граф совокупности угроз актуальных атак (именно актуальных, исходим из того, что в отношении каждой из этих атак должна быть реализована защита), при этом для каждой уязвимости рассчитывается значение коэффициента ее актуальности k в информационной системе. Из условия max k выбирается наиболее актуальная уязвимость - эта уязвимость должна нивелироваться системой защиты.

В случае равенства значения этого критерия у нескольких вершин, выбирается та из них, у которой на исходном (перед началом выполнения процедуры проектирования) графе значение коэффициента k было больше. Это обусловливается следующими очевидными соображениями. При выборе подобной вершины – при нейтрализации соответствующей уязвимости средством защиты, снижаются требования к характеристикам выбранных ранее средств защиты, применение которых позволило исключить соответствующие входы/выходы для выбираемой вершины на данном этапе итерации, поскольку данное средство защиты будет выступать в качестве резервирующего элемента для соответствующих средств защиты, выбранных на предыдущих этапах. В случае равенства и этого значения, искомая вершина выбирается произвольным образом.

Для перехода к следующей итерации, из исходного для данной итерации графа исключаются все угрозы атак (исключаются соответствующие вершины и дуги), для осуществления которых должна использоваться выбранная на данной итерации уязвимость. Процедура продолжается до тех пор, пока из исходного графа не будут исключены все угрозы атак. Результатом выполнения описанной итерационной процедуры проектирования будет выявление актуальных уязвимостей - уязвимостей, которые должны в системе нивелироваться, т.е. набора задач защиты, которые должны решаться проектируемой системой защиты для информационной системы.

Проиллюстрируем применение данного метода проектирования на примере, см. рис.22.

А. Исходный граф. Первая итерация

Б. Вторая итерация

В. Третья итерация

Рис.22. Иллюстрация применения метода функционального проектирования

Некий исходный граф, на котором иллюстрируется процедура функционального проектирования, представлен на рис.22.а. На первом этапе итерации по максимальному значению коэффициента k выбирается 4-я вершина – выбрано первое средство защиты, которое должно нивелировать 4-ю уязвимость.

В результате преобразования исходного графа (исключения 4-й вершины) получаем преобразованный граф - исходный граф для второй итерации, приведенный на рис.22.б. Используя тот же критерий оптимальности, выбираем на этой итерации пятую вершину – выбрано второе средство защиты, которое должно нивелировать 5-ю уязвимость.

В результате преобразования исходного для этой итерации графа (исключения 5-й вершины) получаем исходный граф для третьей итерации, приведенный на рис.22.в. На этом графе три вершины – 3,6,9 характеризуются одинаковым значением коэффициентаk, однако, 9-я вершина (при прочих равных условиях) на исходном графе имела максимальное из сравниваемых вершин значение коэффициента k, поэтому на этой итерации выбираем 9-ю вершину – выбрано третье средство защиты, которое должно нивелировать 9-ю уязвимость.

Процедура проектирования завершена, в результате ее выполнение для информационной системы, характеризуемой исходно заданным графом актуальных атак, определен состав системы защиты – она должна содержать в своем составе средства защиты, нивелирующие 4,5 и 9 уязвимости, т.е. определены функциональные задачи системы защиты - нивелирование 4,5 и 9 уязвимостей.

Размещаем на исходном графе актуальных атак вершины соответствующих средств защиты информации (З1, З2, З3), в результате чего получаем граф угрозы безопасности защищенной информационной системы, представленный на рис.23.

Рис.23. Граф угрозы безопасности защищенной информационной системы

Теперь несколько слов по поводу включения в граф вершин средств защиты информации. Возможны два способа, проиллюстрированные на рис.24. С точки зрения практической реализации защиты, эти способы кардинально различаются. Способ, проиллюстрированный на рис.24.а, предполагает собственно нивелирование средством защиты уязвимости - предотвращает возможность атаки на эту уязвимость, способ же, проиллюстрированный на рис.24.б, не предполагает нивелирование уязвимости - реализуется защита, направленная на предотвращение (на снижение возможных последствий) атаки на уязвимость.

а. Предотвращение возможности б. Предотвращение последствий

использования атакой уязвимости использования атакой уязвимости

Рис.24. Иллюстрация способов включения в граф средства защиты

Утверждение. Применение альтернативных способов защиты от атак на уязвимость, проиллюстрированных на рис.24, с точки зрения обеспечиваемого уровня безопасности в отношении атаки на уязвимость, эквивалентны.

Доказательство. Вновь обратимся к рассмотренной ранее интерпретации атаки, см. рис.9, но уже при условии реализации защиты от атаки на уязвимость в информационной системе. Альтернативные схемы включения в орграф угрозы атаки вершин средства защиты представлены на рис.25.а.

а. Схемы включения вершины средства защиты б. Схема резервирования

Рис.25. Схемы включения в орграф угрозы атаки вершин средств защиты и схема резервирования

Рассмотрев же схему резервирования, приведенную на рис.25.б, делаем вывод о том, что с точки зрения проектирования системы защиты, альтернативные схемы, представленные на рис.24.а, эквивалентны, т.е. в общем случае эквивалентны и альтернативные способы реализации защиты, отличие может состоять лишь в параметрахисредств защиты, реализующих альтернативные решения, поскольку они включаются в схему резервирования одинаково (как параллельный резерв).