Разработка методов и средств проектирования инфраструктуры обеспечения информационной безопасности автоматизированных систем

• Автор: Нестеров, Сергей Александрович
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2002
• Место защиты: Санкт-Петербург
• Количество страниц: 134 с.

Оглавление

Список условных обозначений

Введение.

Глава 1. Обзор литературы и анализ рассматриваемой проблемы.

1.1. Введение в проблему, основные понятия

1.2. Базовые принципы обеспечения информационной безопасности.

1.3. Существующие математические модели проектирования инфраструктуры обеспечения ИБ.
1.3.1. Эмпирический подход к оценке ожидаемых потерь от угроз безопасности информации

1.3.2. Стоимостная модель защитникнарушитель

1 3.3. Модель системы безопасности с полным перекрытием

1.3.4. Вероятностная модель для анализа защищенности взаимосвязанных информационных объектов
1.4. Стандарты в области информационной безопасности
1.4.1. Руководящие документы Гостехкомиссии России.
1.4.2. Общие критерии безопасности информационных технологий.
1.5. Анализ рисков
1.6. Выводы.
Глава 2. Разработка математических моделей синтеза инфраструктуры обеспечения информационной безопасности.
2.1. Формирование множества проектов
2.1.1. Теоретикомножественная модель, описывающая АС, требования в сфере безопасности, средства и механизмы защиты
2.1.2. Построение множества проектов инфраструктуры обеспечения информационной безопасности АС.
2.2. Выбор оптимального проекта на основе анализа одношаговых конечных игровых моделей конфликта защитник нарушитель.
2.2.1. Обоснование применимости игрового подхода и задание игры
2.2.2. Выбор оптимальной стратегии.
2.2.3. Анализ результатов решения игры в смешанных стратегиях
2.2.4. Особенности биматричных моделей
2.2.5. Использование интервальных оценок потерь от реализации угроз информационной безопасности
2.3 Выводы.
Глава 3. Разработка системы поддержки принятия решений в области проектирования инфраструктуры обеспечения информационной безопасности .
3.1. Выбор средств разработки
3.2. Разработка базы данных
3.2.1. Адаптация теоретикомножественной модели для соответствия требованиям реляционной модели баз данных
3.2.2. Структура базы данных
3.3. Структура программы.
3.3.1. Взаимодействие с внешними данными через классисточник данных .
3.3.2. Упорядочение стратегий, решение игры в чистых стратегиях
3.3.3 Использование симплексметода для решения игры в смешанных стратегиях
Глава 4. Тестирование программы и сравнение с коммерческими продуктами для анализа рисков
4.1. Тестирование программы.
4.1.1. Тестирование класса свате
4.1.2. Тестовый пример для программы в целом.
4.2. Сравнение разработанного прототипа с коммерческими системами анализа рисков.
Заключение
Литература


Глава 3 посвящена описанию разработанного прототипа программной системы поддержки принятия решений в области проектирования инфраструктуры обеспечения ИБ АС, реализующей предлагаемые в работе методы. Для хранения данных в ней используется СУБД MS Access’, а генерация проектов и решение игр осуществляется внешним программным модулем, написанным на языке Visual Basic. Поиск решения игр в смешанных стратегиях производится путем сведения к задаче линейного программирования и решения ее симплекс-методом. Глава 4 посвящена тестированию разработанной программы и сравнению ее возможностей с возможностями коммерческих инструментальных средств анализа рисков, таких как RiskWatch и CRAMM. Результаты решения тестовых задач соответствуют теоретически предсказанным. Сравнительный анализ разработанного прототипа с существующими коммерческими продуктами в области анализа рисков показал преимущество предлагаемого решения с точки зрения более гибкого подхода к созданию проектов подсистемы защиты (названные коммерческие продукты предлагают лишь выбор одного из шаблонов) и более четкого математического обоснования выбора проекта. В приложении 1 приведены SQL-выражения, выполнение которых позволяет создать структуру базы данных, используемую представляемой системой поддержки принятия решений. В приложении 2 находятся акты об использовании результатов работы и выполнении исследований по гранту в рамках программы «Студенты и аспиранты - малому наукоемкому бизнесу (Ползуновские гранты)». В настоящее во всем мире наблюдается бурное развитие информационных технологий. В автоматизированных системах все чаще обрабатывается информация, относящаяся к разряду государственной, военной, научно-технической, коммерческой тайны. Поэтому, наряду с такими параметрами, как стоимость приобретения элементов системы и стоимость владения ею, эксперты по информационным технологиям указывают на необходимость оценки рисков, связанных с автоматизированной обработкой информации. И с этих позиций, затраты на приобретение средств обеспечения информационной безопасности можно рассматривать как инвестиции в снижение данных рисков. Соответственно, возникает вопрос - как в каждом конкретном случае определить необходимый уровень затрат на защиту информации. Несомненно, он зависит от ценности информации, хранимой и обрабатываемой в системе, используемого аппаратного и программного обеспечения, доступных средств защиты и т. К сожалению, на данный момент не существует общепризнанной методики построения подсистем защиты информации, которая бы учитывала соотношение ценности обрабатываемой информации, рисков, связанных с угрозами ее безопасности, размера затрат на защиту и базировалась бы на строгих математически обоснованных методах. В представляемой работе предпринята попытка решить эту проблему. Для того, чтобы избежать возможных разночтений, ниже определены некоторые базовые понятия, связанные с вопросами информационной безопасности [4,,,,,]. Под угрозой информационной безопасности АС понимается любое потенциально возможное действие или происшествие, которое может привести к нарушению штатного режима функционирования АС с нанесением неприемлемого ущерба. Обеспечение информационной безопасности - совокупность мер для предотвращения или нейтрализации угроз при создании специального программного обеспечения (угрозы технологической безопасности) и в процессе эксплуатации информационно-вычислительных ресурсов (угрозы эксплуатационной безопасности). В данной работе основное внимание будет уделено вопросам эксплуатационной безопасности. Под информационной безопасностью (ИБ) в процессе эксплуатации АС в работе понимается защищенность информации и поддерживающей инфраструктуры от случайных и преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры. Понятие «информационная безопасность», даже если рассматривать только ее эксплуатационный аспект, является более широким, чем «защита информации».