Основной тенденцией последних лет называют смещение акцента с массовых атак на таргетированные, или целевые, которые заранее спланируют действия противник конкретной государственной или негосударственной структуры. Целевая атака всегда строится под объект воздействия, являясь продуманной операцией, а не простым техническим действием. Высокая сложность их обнаружения и колоссальный урон от их действий, которой не гарантированно может быть обнаружен спустя длительный срок.
Таргетированная (целевая) кибернетическая атака (ТКА) на элемент информационно-телекоммуникационной сети (ИТКС) реализуется в виде проведения комплекса мероприятий по изучению информационной системы и программного обеспечения. На основе этого выявляются слабые места в структуре ИТКС. Разрабатывается техника скрытого внедрения и обхода стандартных средств защиты информации, осуществляется закрепление внутри инфраструктуры, распространяется и выполняется вредоносное действие.
В условиях воздействия ТКА довольно затруднительно выбрать способы и средства защиты ИТКС, так как их ресурс ограничен. Одним из путей разрешения этого противоречия является дифференцированный подход к защите ИТКС и ее элементов, который заключается в выборе наиболее актуальных для сложившейся обстановки направлений защиты. Для обоснования направлений защиты ИТКС и ее элементов, ассиметричных возможностям ТКА, необходимо разработать методику оценки воздействия ТКА противником на ИТКС и ее элементы. В настоящее время отсутствуют методики, предназначенные для этого [1]. С целью устранения этого противоречия предлагается методика оценки воздействия ТКА на ИТКС.
Целью методики является прогнозирование распределения этапов ТКА с учётом места и роли элементов в ИТКС, определение очерёдности воздействия на элементы ИТКС что, в свою очередь, позволит формировать исходные данные для принятия мер защиты элементов и ИТКС в целом.
Методика предназначена для обоснования принятия решений по защите элементов ИТКС от ТКА должностными лицами на этапах формирования, развёртывания и функционирования ИТКС.
В настоящее время важной задачей обеспечения степени защищенности ИТКС является воздействие ТКА. С учетом того, что данная атака является многофакторной необходимо оценить стратегию воздействия ТКА на элементы ИТКС, что позволит реализовать дифференцированный подход к обеспечению информационной устойчивости ИТКС и ее элементов.
Результатом воздействия ТКА является внедрение ложной информации, нарушение установленных регламентов сбора, обработки и передачи информации в автоматизированных системах управления, отказы, сбои в работе ИТКС, а также компрометация передаваемой (получаемой) информации.
Таргетированная кибернетическая атака на ИТКС реализуется в виде несанкционированного, активного процесса в инфраструктуре сети, удаленно управляемая в реальном масштабе времени, с целью нарушения или снижения эффективности выполнения технологических циклов ней.
Анализ основных этапов воздействия ТКА (табл.1) позволяет сделать вывод о месте их проявления в ИТКС.
Таблица 1
Этапы реализации ТКА
Способы реализации
Область проявления
I. Поиск (сетевое сканирование)
1.1 Анализ сетевого трафика.
Канал связи
1.2 Сканирование сети и её уязвимостей.
Коммутатор, Маршрутизатор, ПЭВМ,
Серверы
1.3 Сканирование протоколов передачи данных сети.
II. Создание стенда воздействий
2.1 Виртуальный
2.2 Аналитический
2.3 Имитационный
III. Обход стандартных средств защиты
3.1. Обфускация модулей (вирусных сигнатур) с целью маскировки от антивирусов
Коммутатор
Маршрутизатор
ПЭВМ
3.2 Выявление уязвимостей испытуемой системы
3.3 Инжектирование процесса (пост-эксплуатация)
3.4 Эксплуатация системы
3.5 Внедрение вирусных сигнатур в систему
IV. Разработка набора инструментов
4.1 Средства создания инструментов воздействия
Коммутатор, Маршрутизатор, ПЭВМ
Серверы
4.2 Тело вируса Payload
ПЭВМ
V. Закрепление внутри инфраструктуры
5.1 Инструменты эксплуатации
Коммутатор, Маршрутизатор, ПЭВМ
Серверы
VI. Мониторинг и выбор метода достижения цели
6.1 Хищение, удаление и/или искажение информации
ПЭВМ, Серверы
6.2 Отказ в обслуживании
Коммутатор, Маршрутизатор, ПЭВМ
Серверы
6.3 Перенаправление трафика
Маршрутизатор, ПЭВМ, Серверы
Анализ этапов ТКА и материалов по видам воздействий показывает, что воздействия на элементы ИТКС осуществляется как непосредственно на объекте, так и через транспортную сеть ИТКС [4]. Общий характер проявления этапов ТКА на элементах ИТКС позволяет сделать вывод о том, что защита ИТКС от ТКА должна реализовываться в 2-х направлениях: защита транспортной сети, а также объектовая защита.
Для построения защиты ИТКС, первоочередно необходимо оценить ТКА, которые нанесет ущерб.
В настоящее время решение данной проблемы вызывает некоторое затруднение, связанное с недостаточной разработки соответствующего методического аппарата [5]. Поэтому для оценки опасности этапов ТКА для ИТКС предлагается использовать метод анализа иерархий.
Первым этапом применения МАИ является декомпозиция задачи выбора с использованием иерархии (рисунок 1). В простейшем виде иерархия строится с вершины (цели) через промежуточные уровни-критерии (технико-экономические параметры) к самому нижнему уровню, который в общем случае является набором альтернатив.
После воспроизведения задачи в виде иерархии устанавливаются приоритеты критериев и оценивается каждая из альтернатив [2]. В МАИ элементы иерархии сравниваются попарно по их отношению к общей для них характеристике, что приводит к результату, который может быть представлен в виде обратно-симметричной матрицы [3]. Элементом матрицы является оцениваемая важность элемента иерархии i относительно элемента иерархии j.
Каждый предмет можно оценивать по многим показателям. За степень опасности ТКА относительно вскрытия элементов ИТКС примем:
степень воздействия на линию связи;
степень воздействия на маршрутизатор;
степень воздействия на коммутатор;
степень воздействия на персональные электронно-вычислительные машины;
степень воздействия на сервер электронной почты;
степень воздействия на сервер базы данных;
степень воздействия на сервер web.
Рис. 1 - Иерархия задачи воздействия ТКА на элементы ИТКС
Для формализации оценок экспертов в МАИ применяется шкала относительной важности [9].
Индекс согласованности сгенерированной случайным образом по шкале от 1 до 9 обратно-симметричной матрицы с соответствующими обратными величинами элементов называется случайным индексом (СИ), значения которого для матриц порядка от 1 до 15 представлены в таблице 3.
Таблица 3
Значения случайного индекса для матриц порядка 1…10
Порядокматрицы
1
2
3
4
5
6
7
8
9
10
Значение СИ
0
0
0,58
0,90
1,12
1,24
1,32
1,41
1,45
1,49
Отношение ИС к среднему СИ для матрицы того же порядка называется отношением согласованности (ОС). Значение ОС, меньшее или равное 0,1, считается приемлемым.
Составим матрицу сравнения критериев опасности каждого этапа ТКА, указанной в таблице 1, относительно цели их воздействия на элементы ИТКС (таблица 4). Результатом её решения является нормализованный вектор-столбец приоритетов (0,481; 0,259; 0,086; 0,086; 0,39; 0,39), выражающий весовые значения критериев относительно общей цели (воздействия на элементы ИТКС) [7]. Придадим значениям этих весов смысл вероятности. Оценив согласованность данной матрицы, получим ОС=0,032, что является приемлемым значением.
Таблица 4
Матрица сравнений критериев
ТКА
П
ССВ
ОССЗ
РНИ
ЗВИ
М. и ВМДЦ
Собств
вектор
Вес
критерия
П
1
3
5
5
7
7
3,9
0,481
ССВ.
1/3
1
3
3
5
5
2,1
0,259
ОССЗ
1/5
1/3
1
1
3
3
0,73
0,086
РНИ.
1/5
1/3
1
1
3
3
0,73
0,086
ЗВН
1/7
1/5
1/3
1/3
1
1
0,32
0,039
М и ВМДЦ
1/7
1/5
1/3
1/3
1
1
0,32
0,039
8
Следующим шагом является построение матриц сравнений степени опасности этапов ТКА по видам воздействия относительно цели, по способу реализации относительно видов воздействия, а также относительно элементов ИТКС с учетом их функционального распределения по уровням ЭМВОС [6]. Этот шаг, по своей сути, аналогичен предыдущему, поэтому приведём только результаты решения названных матриц в виде нормализованных векторов-столбцов приоритетов степени опасности ТКА, выражающих весовые значения степени опасности ТКА (значения вероятностей).
Построение матриц сравнений степени опасности этапов ТКА относительно направленности их воздействия:
Порядок построения матриц сравнений степени опасности этапов ТКА относительно каждого элемента ИТКС, по своей сути, аналогичен предыдущим, поэтому приведем только результаты решения.
Таким образом, используя метод анализа иерархий, представляется возможным определить степень воздействия на элементы ИТКС рассматриваемых этапов ТКА. Полученные результаты могут быть уточнены на этапе детального планирования при аналитической оценке защищённости ИТКС.
Результатом оценки воздействия на ИТКС будет матрица назначений ТКА противника на элементы ИТКС, а также очерёдность воздействия на них.
В основу методики положено определение степени опасности ТКА, для чего необходимо рассмотреть физические основы отдельных ТКА, особенности их воздействия, характер проявления на элементах ИТКС.
На основании результатов, полученных с использованием частных методик определения опасности этапов ТКА, разработаем методику оценки комплексного воздействия на ИТКС.
Учитывая, что этапы ТКА воздействуют последовательно друг за другом, возможности по воздействию на i-й субэлемент ИТКС можно определить из выражения
ИТКС является сложной системой, содержащей S взаимосвязанных субэлементов. Каждый j-й субэлемент ИТКС характеризуется своими решаемыми задачами в информационном обмене (формирование, распределение и передача потоков сообщений). Поэтому априорную ценность j-го субэлемента ИТКС для этапов ТКА обозначим коэффициентом важности , характеризующим контраст j-го субэлемента ИТКС по отношению к другим субэлементам ИТКС:
где – количество субэлементов -го типа в элементе ИТКС;
– общее количество субэлементов в элементе ИТКС;
– количество субэлементов -го типа в ИТКС;
S – общее количество субэлементов в ИТКС.
С учётом этого можно записать
.
Очевидно, что коэффициент важности j-го субэлемента ИТКС для этапов ТКА зависит от периодичности обновления разведывательной информации. Поэтому динамику изменения обстановки учтём динамическим коэффициентом важности
,
где – коэффициент важности -го субэлемента ИТКС для этапов ТКА;
– время обновления разведывательной информации;
– среднее значение цикла воздействия ТКА.
С точки зрения информационного обмена, ИТКС – это совокупность элементов (маршрутизатор, коммутатор и т.д.) и их взаимосвязей. Функциональную взаимосвязь элементов в ходе информационного обмена учтём коэффициентом связности
,
где – интенсивность нагрузки j-го субэлемента маршрутизатора;
– интенсивность нагрузки, обрабатываемой в ИТКС.
По условиям функционирования ИТКС примем три градации состояния: мирное время, период непосредственной угрозы агрессии, военное время. Состояние ИТКС и её элементов зависит от многих факторов, в т.ч. и от лица, принимающего решение. Структура ИТКС изменяется при переходе из состояния в состояние, число состояний конечно, и время их смены фиксировано [8-10]. Состояние ИТКС в пределах указанных градаций определяет структурную взаимосвязь элементов. В пределах каждого этапа функционирования процесс информационного обмена и его характеристики изменяются в зависимости от изменения информационной нагрузки в пределах временных интервалов этапов цикла управления. Это также определяет функциональную взаимосвязь элементов (в процессе информационного обмена), как динамическую характеристику ИТКС [16,17].
Функциональная взаимосвязь элементов сети в ходе информационного обмена зависит, в том числе, и от воздействия этапов ТКА на ИТКС, поэтому изменение во времени взаимосвязи элементов ИТКС учтём динамическим коэффициентом связности элементов ИТКС :
,
где – исходное значение коэффициента связности cубэлементов ИТКС;
t – текущее время;
– математическое ожидание длительности импульса потока совпадений (средняя продолжительность воздействия этапов ТКА на ИТКС).
Средняя продолжительность воздействия этапов ТКА на ИТКС определяется, как длительность импульса совпадений, образованного в результате перекрытия во времени заданного числа импульсов независимых потоков . Этапы ТКА на ИТКС, реакции ИТКС в условиях ТКА, работы системы восстановления ИТКС, характеризующей технико-эксплуатационную надёжность сети, то есть
де – средняя продолжительность цикла -го воздействия этапов ТКА на ИТКС.
С учетом этого, выражение, можно записать так
.
Таргетированная кибернетическая атака (этапы «Поиск (сетевое сканирование)», «Создание стенда воздействия» и д.р.) обладают различными предельными ВВХ воздействия. Это придаёт каждому этапу ТКА уникальные свойства, а, значит, они отличаются и степенью опасности для ИТКС. Следовательно, каждый этап ТКА характеризуется своим v-вектором воздействия на элементы ИТКС . Тогда возможности всех Y этапов ТКА по S субэлементам ИТКС можно задать матрицей
Обозначим – степень защиты j-го субэлемента сети от v-й этапов ТКА, тогда выражение (8) можно записать так
.
Таким образом, имеет место следующая физическая постановка задачи.
Информационно-телекоммуникационная сеть, включающая S субэлементов , каждый из которых характеризуется динамическим коэффициентом важности , подвержена воздействию ТКА [14,15]. Если в результате воздействия ТКА j-ый субэлемент прекращает функционирование, то с вероятностью выходит из строя i-й субэлемент. Степень опасности ТКА задана матрицей [15]. Оценка информационного воздействия сводится к решению задачи по распределению этапов ТКА по взаимоувязанным элементам ИТКС (динамический коэффициент связности таким образом, чтобы число субэлементов, подверженных воздействию за заданное время, было максимальным.
Содержательная постановка задачи. Исходя из физической постановки задачи, требуется определить матрицу назначения этапов ТКА , обеспечивающую максимальное значение целевой функции
,
где: - вероятность защиты i-ого субэлемента ИТКС от v-ого этапа ТКА;
.
На основании результатов учитывая идею распределения разноэффективных этапов ТКА по взаимозависимым, с различной степенью важности, элементам ИТКС, виды целевой функции и ограничений, в условия решения задачи, приемлемым методом решения является метод двух функций. Таким образом, разработана методика оценки комплексного информационного воздействия на основе распределения разнородного ресурса по взаимоувязанным элементам ИТКС, которая позволяет определить угрозы ИТКС и обосновать асимметричные им меры защиты. Данный метод позволяет оценить угрозы для элементов ИТКС по уровням эталонной модели и на каждом уровне формировать постановку задачи на синтез системы защиты ИТКС в условия воздействия ТКА.
