ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ
Актуальность темы исследования 2
Научные положения, выносимые на защиту 7
ОСНОВНОЕ СОДЕРЖАНИЕ РАБОТЫ 8
ЗАКЛЮЧЕНИЕ 23
СПИСОК ЛИТЕРАТУРЫ 24
Актуальность темы исследования. Вступление в силу Федерального закона № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и других сопутствующих нормативных правовых актов обязало владельцев информационных систем (ИС), входящих в состав критической информационной инфраструктуры (КИИ), применять меры по защите информации, в том числе проводить расследование инцидентов информационной безопасности (ИБ).
Несмотря на существование множества решений, предназначенных для обеспечения требуемого (согласно принятой в организации политики безопасности) уровня безопасности информации, злоумышленники не снижают своей активности по реализации различных видов компьютерных атак, направленных на получение несанкционированного доступа к ИС и нарушение конфиденциальности, целостности и доступности обрабатываемых в ИС сведений.
Для определения действий злоумышленника и последствий возникшего инцидента ИБ проводится расследование инцидента. Результаты расследования могут указывать на не выявленные недостатки системы обеспечения ИБ и действующей политики безопасности организации и составляют основу рекомендаций по совершенствованию мер по защите информации, направленных на недопущение возникновения подобных инцидентов ИБ в будущем.
В процессе расследования инцидента ИБ, определяемого как совокупность1 событий ИБ, возникает потребность в определении воздействий на информацию, обрабатываемую в ИС.
Хранилищем информации в ИС является файл. Таким образом, для определения воздействий на информацию следует обнаружить и классифицировать воздействия на файлы, предварительно их идентифицировав.
Немаловажным фактором, влияющим на результаты расследования инцидента, является время, поэтому обнаружение и классификация воздействий на файлы должны происходить в сжатые строки. Основой для определения воздействий является информация, содержащаяся в разноформатных массивах данных операционных систем (рисунок 1), которые могут содержать десятки-сотни тысяч записей / полей / иных различных информационных структур.
Автоматизация необходима для ускорения процесса расследования инцидента ИБ, в т.ч. представляемого в виде совокупности воздействий на файлы. Расследование инцидентов может быть разделено на две части: проведение экспресс-анализа массивов данных для обнаружения и классификации воздействий на файлы с предварительной их идентификацией4, а также детализированный анализ в случае необходимости углубленного изучения последствий инцидента...
В заключении изложены результаты выполненного исследования, рекомендации, перспективы дальнейшей разработки темы.
В ходе исследования получены следующие результаты:
1. Проведен анализ состояния предметной области с указанием недостатков существующих методов, алгоритмов и средств анализа массивов данных, содержащих информацию о воздействиях на файлы.
2. Предложены математические методы и модель, позволяющие в автоматизированном режиме идентифицировать, обнаруживать и классифицировать воздействия на файлы:
a. впервые обоснована возможность применения математического аппарата сетей Петри для описания процесса идентификации воздействий на файлы, что позволяет формализовать инцидент ИБ как совокупность событий, связанных с воздействиями на файлы;
b. разработан кластеризационный метод идентификации воздействий на файлы, впервые использующий адаптированные алгоритмы предварительной подготовки входных данных и определения оптимального количества кластеров, позволяющий оптимизировать решение задачи анализа данных о воздействиях на файлы;
c. разработан метод экспресс-анализа событий ИБ, связанных с воздействиями на файлы, позволяющий выявлять аномальные, условно аномальные и нормальные воздействия на файлы в ходе расследования инцидента ИБ.
3. Разработан комплекс программных средств, позволяющий автоматизировать процесс идентификации, обнаружения и классификации воздействий на файлы в целях определения событий ИБ, лежащих в основе расследуемого инцидента.
Перспективными задачами исследования являются адаптация предложенной событийной модели процесса идентификации воздействий на файлы в других ФС, модификация предложенных кластеризационного метода идентификации воздействий на файлы и метода экспресс-анализа событий ИБ для обработки записей журналов других ФС, доработка комплекса программных средств для функционирования в других типах ОС.
