RU2634169C1

RU2634169C1 - Risk management modeling technique for information-management system at information-technical impacts conditions

Info

Publication number: RU2634169C1
Application number: RU2016147901A
Authority: RU
Inventors: Михаил Юрьевич Храмов; Кирилл Юрьевич Лавров; Сергей Игоревич Туник; Ольга Николаевна Андреева; Илья Игоревич Чукляев
Original assignee: Акционерное общество "Концерн "Моринформсистема - Агат"
Priority date: 2016-12-07
Filing date: 2016-12-07
Publication date: 2017-10-24

Abstract

FIELD: information technology.

SUBSTANCE: claimed method includes the stages: one creates the database of the external and internal risks parameters; one links it to the specialized organization database; one creates the risks detection, warning and countermeasures system (DWCS); one adds the DWCS functional model and the internal risks model into the IMS model, which is functioning within the conditions of the external risks; one teaches the DWCS; one assesses the damage, caused by the external and internal risks, one changes the DWCS parameters if necessary; one compares the DWCS risks measured parameters with the values from its database; one determines the risk for the IMS level; one assesses the possible damage when identifying the risks marks; one carries out the countermeasures against the risks if necessary; one evaluates the recorded parameters, and adds the DWCS databases if necessary.

EFFECT: functional capacities enhancement and modelling outcomes integrity increase.

1 dwg

Description

Изобретение относится к области телекоммуникаций, а именно к области диагностирования и контроля технического состояния информационно-управляющей системы (ИУС) в условиях внутренних и внешних рисков.The invention relates to the field of telecommunications, and in particular to the field of diagnosis and control of the technical condition of the information management system (IMS) in the conditions of internal and external risks.

Под риском понимается - влияние неопределенности на цели (Влияние - это отклонение от того, что ожидается (положительное и/или отрицательное). Цели могут иметь различные аспекты (например, финансовые и экологические, в отношении здоровья и безопасности) и могут применяться на различных уровнях (стратегических, в масштабах организации, проекта, продукта или процесса). Риск часто характеризуется потенциально возможными событиями, последствиями или их комбинациями. Риск часто выражают в виде комбинации последствий событий (включая изменения в обстоятельствах) и связанной с этим вероятности или возможности наступления (п. 2.1, ГОСТ Р ИСО 31000-2010, Менеджмент риска: принципы и руководство).Risk is understood as the impact of uncertainty on goals (Impact is the deviation from what is expected (positive and / or negative). Goals can have different aspects (for example, financial and environmental, in terms of health and safety) and can be applied at different levels (strategic, organization-wide, project, product, or process-wide). Risk is often characterized by potential events, consequences, or combinations thereof. Risk is often expressed as a combination of consequences of events (including changes in circumstances) and the associated probability or possibility of occurrence (clause 2.1, GOST R ISO 31000-2010, Risk management: principles and guidelines).

Под информационно-техническими воздействиями понимаются применение способов и средств информационного воздействия на информационно-технические объекты, на технику и вооружение в интересах достижения поставленных целей (Центр стратегических оценок и прогнозов. Информационная война и защита информации. Словарь основных терминов и определений, www.csef.ru, Москва, 2011, стр. 25).Information and technical influences are understood as the application of methods and means of information impact on information and technical objects, equipment and weapons in order to achieve their goals (Center for Strategic Assessments and Forecasts. Information War and Information Protection. Glossary of basic terms and definitions, www.csef. ru, Moscow, 2011, p. 25).

Информационно-управляющая система - система, предназначенная для сбора, комплексной обработки оперативной информации и информационного обмена между различными подсистемами и звеньями системы управления, а также для обеспечения передачи органами повседневного управления необходимых указаний силам и средствам (п. 2.2.13, ГОСТ Р 22.0.02-94, Безопасность в чрезвычайных ситуациях. Термины и определения основных понятий).Information management system - a system designed to collect, comprehensively process operational information and information exchange between various subsystems and links of a management system, as well as to ensure that daily management bodies transmit necessary instructions to forces and means (Clause 2.2.13, GOST R 22.0. 02-94, Safety in emergency situations. Terms and definitions of basic concepts).

Известен «Способ моделирования процессов обеспечения технической готовности сетей связи при технической эксплуатации и система для его реализации» (патент РФ №2336566, G06N 1/00, опубл. 20.10.2008, бюл. №29). Способ заключается в выполнении следующей последовательности действий. Определяют схемотехнические характеристики элементов сети связи, устанавливают их взаимосвязи, описывают структуру сети связи, разделяют все связи на основные и резервные, задают произвольные комбинации повреждений элементов сети связи, определяют значения показателя аварийности состояния связей между элементами сети связи, моделируют процесс обеспечения технической готовности при эксплуатации сети связи, имитируют различные виды отказов, повреждений и сбоев основных элементов сети связи, замещают поврежденные связи резервными, определяют значение показателя восстановления работоспособности сети связи, осуществляют сбор статистики, прогнозируют техническое состояние основных элементов сети связи и рассчитывают основные показатели функционирования сетей связи.The well-known "Method for modeling processes to ensure the technical readiness of communication networks during technical operation and a system for its implementation" (RF patent No. 2336566, G06N 1/00, publ. 20.10.2008, bull. No. 29). The method consists in performing the following sequence of actions. The circuitry characteristics of the elements of the communication network are determined, their relationships are established, the structure of the communication network is described, all communications are divided into primary and backup, arbitrary combinations of damage to the communication network elements are set, the state of communications between the communication network elements is determined, and the process of technical readiness during operation is modeled communication networks, imitate various types of failures, damage and malfunctions of the main elements of a communication network, replace damaged communications with backup ones, about dictated by the value indicator disaster recovery networks, collect statistics, predict technical condition of the main elements of the communications network and calculate the main indicators of the functioning of communication networks.

Учитывая, что риски, вызванные внешними и внутренними событиями, различны по протекающим процессам, недостатками данного способа является низкая достоверность результатов моделирования в связи с отсутствием моделирования внутренних рисков и отсутствием оценки ущерба, наносимого внутренними и внешними рисками.Given that the risks caused by external and internal events are different in the ongoing processes, the disadvantages of this method are the low reliability of the simulation results due to the lack of modeling of internal risks and the lack of assessment of damage caused by internal and external risks.

Наиболее близким по технической сущности и выполняемым функциям аналогом (прототипом) к заявленному является способ, реализованный в изобретении «Способ обеспечения устойчивого функционирования системы связи» (патент РФ №2405184, G05B 23/00, G06F 17/50, 27.11.2010 г.), заключающийся в том, что систему связи, включающую N структурных элементов и связей между ними, разворачивают в рабочее состояние, фиксируют дестабилизирующие воздействия на ее структурные элементы, по полученным данным формируют имитационную модель сети связи, моделируют на ней дестабилизирующие воздействия, по результатам моделирования реконфигурируют имитационную модель сети связи и вычисляют вероятность нарушения ее функционирования от дестабилизирующих воздействий, при работе сети связи в реальных условиях эксплуатации и воздействии на нее только эндогенных деструктивных воздействий измеряют время реконфигурации сети связи после каждого деструктивного воздействия. Также измеряют интервалы времени после завершения реконфигурации до очередного деструктивного воздействия. При функционировании сети связи в условиях экзогенных деструктивных воздействий также подсчитывают и запоминают данные о числе воздействий на каждый элемент сети связи, где n=1, 2…N, количество N_в, элементов сети связи, подвергшихся деструктивным внешним воздействиям. Измеряют, подсчитывают и запоминают интервалы времени реконфигурации сети связи после каждого, внешнего деструктивного воздействия, где j=1, 2…M, M - общее число деструктивных воздействий. Измеряют интервалы времени между j-м и (j+1)-м внешними деструктивными воздействиями и интервалы времени функционирования сети связи после j-й реконфигурации до (j+1)-м деструктивного внешнего воздействия. Вычисляют по полученным данным среднее время реконфигурации, среднее время функционирования сети связи и среднее время между внешними деструктивными воздействиями, а также показатель ранжирования R элементов сети связи. С помощью показателя ранжирования ранжируют пораженные элементы сети связи, после чего вычисляют достоверность вскрытия структуры сети связи воздействующей стороной D. При этом имитационную модель формируют по полученным данным и с ее помощью моделируют деструктивные внешние воздействия. Далее вычисляют число воздействий на соответствующие элементы сети связи и реконфигурируют ее после каждого воздействия. Вычисляют средний интервал времени между дестабилизирующими внешними воздействиями и сравнивают вычисленное значение достоверности D вскрытия структуры сети связи воздействующей стороной с предварительно заданным пороговым уровнем достоверности D_пор. При превышении значения вычисленной достоверности D над пороговой D_пор упреждающе реконфигурируют реально действующую сеть связи в интервал времени после последней реконфигурации, меньший вычисленного среднего времени между дестабилизирующими внешними воздействиями на имитационной модели.The closest in technical essence and functions performed analogue (prototype) to the claimed one is the method implemented in the invention, “A method for ensuring the stable functioning of a communication system” (RF patent No. 2405184, G05B 23/00, G06F 17/50, 11/27/2010) consisting in the fact that the communication system, including N structural elements and the connections between them, is deployed in a working state, destabilizing effects on its structural elements are recorded, according to the received data, a simulation model of the communication network is formed, destab is modeled on it iruyuschie impact on the simulation results of reconfiguring the simulation model of the communication network and calculate the probability of violations of its functioning by the destabilizing effects at the network connections in real-world conditions and the impact it is only destructive effects of endogenous measure time communication network reconfiguration after every destructive impact. The time intervals after the completion of the reconfiguration to the next destructive impact are also measured. When a communication network is operating under exogenous destructive influences, data on the number of actions on each element of the communication network are also counted and stored, where n = 1, 2 ... N, the number N _in , elements of the communication network subjected to destructive external influences. Measure, calculate and remember the time intervals for reconfiguring the communication network after each external destructive impact, where j = 1, 2 ... M, M is the total number of destructive influences. The time intervals between the jth and (j + 1) th external destructive influences and the time intervals of the communication network functioning after the jth reconfiguration to the (j + 1) th destructive external influence are measured. The average reconfiguration time, the average operating time of the communication network and the average time between external destructive influences, as well as the ranking index R of the communication network elements are calculated from the obtained data. Using the ranking indicator, the affected elements of the communication network are ranked, after which the reliability of opening the communication network structure by the acting side D is calculated. In this case, a simulation model is formed according to the received data and with its help destructive external influences are modeled. Next, the number of actions on the corresponding elements of the communication network is calculated and reconfigured after each exposure. The average time interval between destabilizing external influences is calculated and the calculated reliability value D of opening the communication network structure by the acting party is compared with a predetermined threshold level of reliability D _pores . If the value of the calculated reliability D exceeds the threshold D _{then the} real-life communication network is proactively reconfigured in the time interval after the last reconfiguration, less than the calculated average time between the destabilizing external influences on the simulation model.

Деструктивные внешние воздействия на имитационной модели моделируют по случайному закону.Destructive external influences on the simulation model are modeled according to a random law.

Благодаря указанной совокупности признаков в способе реализована возможность на основе измерений характеристик воздействующих деструктивных факторов измерения параметров функционирующей в этих условиях сети связи и имитации их на модели упреждающе проводить реконфигурацию функционирующей сети связи, чем и достигается повышение устойчивости функционирования сети связи в условиях внешних деструктивных воздействий.Thanks to the indicated set of features, the method implements the possibility, based on measuring the characteristics of the acting destructive factors, to measure the parameters of the communication network operating in these conditions and simulating them on the model to proactively reconfigure the functioning communication network, thereby increasing the stability of the communication network under external destructive influences.

Однако способ-прототип имеет следующие недостатки: низкая достоверность результатов моделирования в связи с отсутствием моделирования внутренних рисков и отсутствием оценки ущерба наносимого внутренними и внешними рисками.However, the prototype method has the following disadvantages: low reliability of the simulation results due to the lack of modeling of internal risks and the lack of assessment of damage caused by internal and external risks.

Технической задачей изобретения является разработка способа моделирования мониторинга рисков для ИУС в условиях информационно-технических воздействий, позволяющего расширить возможности способа прототипа, повысить достоверность результатов моделирования за счет моделирования внутренних рисков и оценки ущерба наносимого внутренними и внешними рисками ИУС.An object of the invention is to develop a method for modeling risk monitoring for ICS under the conditions of information and technical influences, which allows expanding the capabilities of the prototype method, increasing the reliability of simulation results by modeling internal risks and assessing the damage caused by internal and external risks of ICS.

Техническая задача изобретения решается тем, что в способе моделирования мониторинга рисков для ИУС в условиях информационно-технических воздействий выполняется следующая последовательность действий.The technical problem of the invention is solved by the fact that in the method of modeling risk monitoring for ICS in the conditions of information and technical impacts, the following sequence of actions is performed.

Информационно-управляющую систему (ИУС), включающую N структурных элементов и связей между ними, разворачивают в рабочее состояние, фиксируют дестабилизирующие воздействия, вызванные внешними рисками на структурные элементы.The information management system (IMS), which includes N structural elements and the relationships between them, is deployed in an operational state, and the destabilizing effects caused by external risks on the structural elements are recorded.

По полученным данным формируют имитационную модель ИУС, моделируют дестабилизирующие воздействия, вызванные внешними рисками, по результатам моделирования реконфигурируют имитационную модель ИУС и вычисляют вероятность нарушения ее функционирования от дестабилизирующих воздействий внешних рисков.Based on the data obtained, a simulation model of the IMS is formed, the destabilizing effects caused by external risks are simulated, the simulation results reconfigure the simulation model of the IMS and the probability of its functioning from the destabilizing effects of external risks is calculated.

На этапе функционирования ИУС после каждого воздействия подсчитывают элементы ИУС, подвергшиеся деструктивным воздействиям, реконфигурируют ИУС.At the stage of functioning of the IMS after each exposure, the elements of the IMS subjected to destructive influences are counted, the IMS is reconfigured.

Дополнительно на этапе формирования исходных данных о ИУС и параметрах дестабилизирующих воздействий внешних и внутренних рисков выявляют и измеряют каналы утечки информации; определяют возможные риски, связанные с недекларируемыми возможностями (НДВ) программного обеспечения и оборудования; измеряют значения параметров оборудования с НДВ; определяют параметры других внутренних рисков для ИУС.Additionally, at the stage of forming the initial data on the ICS and the parameters of the destabilizing effects of external and internal risks, information leakage channels are identified and measured; identify possible risks associated with undeclared capabilities (NDV) of software and equipment; measure the values of the parameters of equipment with NDV; determine the parameters of other internal risks for IMS.

Создают базу данных и сохраняют параметры внутренних и внешних рисков.Create a database and save the parameters of internal and external risks.

Создают информационные связи с существующими базами данных организаций, занимающихся обнаружением, идентификацией и противодействием рискам.Create information links with existing databases of organizations involved in the detection, identification and risk management.

Создают систему обнаружения, предупреждения и противодействия (СОПП) деструктивным воздействиям внутренних и внешних рисков.They create a system for detecting, preventing and counteracting (SOPP) the destructive effects of internal and external risks.

На основании статистических данных формируют физические модели нормального поведения абонентов ИУС и аномального поведения абонентов; определяют параметры аномального поведения абонентов ИУС.Based on the statistical data, physical models of the normal behavior of the IMS subscribers and the abnormal behavior of the subscribers are formed; determine the parameters of the abnormal behavior of the IMS subscribers.

Формируют алгоритмы действий системы безопасности ИУС при выявлении фактов аномального поведения абонентов.Form the algorithms for the actions of the IMS security system when identifying facts of abnormal behavior of subscribers.

В модель ИУС, функционирующей в условиях внешних рисков, включают модель функционирования СОПЛ и модель внутренних рисков. С использованием полученных результатов имитационного моделирования обучают СОПП; оценивают нанесенный ущерб внутренними и внешними рисками, при необходимости изменяют параметры СОПП.The ICS model operating in conditions of external risks includes the model of functioning of SOPL and the model of internal risks. Using the obtained results of simulation modeling, they teach SOPP; assess the damage caused by internal and external risks, if necessary, change the parameters of the SOPP.

На этапе функционирования ИУС анализируют полученные параметры рисков от баз данных организаций, занимающихся обнаружением, идентификацией и противодействием рискам. Осуществляют мониторинг параметров, характеризующих внутренние и внешние риски; измеренные параметры, характеризующие внутренние и внешние риски СОПП, сравнивает со значениями, имеющимися в базе данных, и принимают решение об уровне риска для ИУС.At the stage of functioning of the IMS, the obtained risk parameters are analyzed from the databases of organizations involved in the detection, identification and countering of risks. Monitor parameters characterizing internal and external risks; The measured parameters characterizing the internal and external risks of the SOPP are compared with the values available in the database and they decide on the level of risk for the IMS.

При выявлении признаков внутренних или внешних рисков, оценивают возможный наносимый ущерб ИУС. При необходимости осуществляют мероприятия по противодействию внешним и внутренним рискам; по окончании воздействия или устранении внешних и внутренних рисков оценивают зафиксированные параметры, при необходимости дополняют базы данных СОПП.If signs of internal or external risks are identified, assess the possible damage to the IMS. If necessary, carry out measures to counter external and internal risks; at the end of the impact or elimination of external and internal risks, the recorded parameters are evaluated, and if necessary, supplement the databases of the SOPP.

Проведенный анализ уровня техники позволил установить, что аналоги, характеризующиеся совокупностями признаков, тождественным всем признакам заявленного способа, отсутствуют. Следовательно, заявленное изобретение соответствует условию патентоспособности «новизна».The analysis of the prior art allowed us to establish that analogues, characterized by sets of features that are identical to all the features of the claimed method, are absent. Therefore, the claimed invention meets the condition of patentability "novelty."

Результаты поиска известных решений в данной и смежной областях техники с целью выявления признаков, совпадающих с отличительными от прототипов признаками заявленного изобретения, показали, что они не следуют явным образом из уровня техники. Из определенного заявителем уровня техники не выявлена известность влияния предусматриваемых существенными признаками заявленного изобретения на достижение указанного технического результата. Следовательно, заявленное изобретение соответствует условию патентоспособности «изобретательский уровень».Search results for known solutions in this and related fields of technology in order to identify features that match the distinctive features of the claimed invention from the prototypes showed that they do not follow explicitly from the prior art. From the prior art determined by the applicant, the influence of the provided by the essential features of the claimed invention on the achievement of the specified technical result is not known. Therefore, the claimed invention meets the condition of patentability "inventive step".

«Промышленная применимость» способа обусловлена наличием элементной базы, на основе которой могут быть выполнены устройства, реализующие данный способ с достижением указанного в изобретении назначения.The "industrial applicability" of the method is due to the presence of an element base, on the basis of which devices can be made that implement this method with the achievement of the destination specified in the invention.

Заявленный способ поясняется структурно-логической последовательностью (фиг. 1), где в блок 1 вводят исходные данные, полученные из статистических значений о внутренних и внешних рисках, а также параметрах ИУС, указанных в руководящих документах (Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных ФСТЭК 2008 и других).The claimed method is illustrated by the structural-logical sequence (Fig. 1), where in block 1 enter the source data obtained from statistical values of internal and external risks, as well as the IMS parameters specified in the guidelines (Basic model of personal data security threats when processing them in personal data information systems FSTEC 2008 and others).

В блоке 2 выявляют технические каналы утечки информации (ТКУИ) и измеряют параметры выявленных ТКУИ (Нежданов И.Ю. «Выявление технических каналов утечки информации». http://www.ci2.info/kr-i-iw/5samo-oborona/zashhita-sobstvennoj-infomacii/vyyavlenie-texnicheskix-kanalovutechki-informacii).In block 2, technical channels of information leakage (TKUI) are identified and the parameters of the identified TKUI are measured (I. Nezhdanov “Identification of technical channels of information leakage." Http://www.ci2.info/kr-i-iw/5samo-oborona/ zashhita-sobstvennoj-infomacii / vyyavlenie-texnicheskix-kanalovutechki-informacii).

В блоке 3 выявляют оборудование и программное обеспечение, имеющее недекларированные возможности (НДВ), и измеряют параметры аппаратуры при использовании НДВ (Осовецкий Л.Г. «Технология выявления недекларированных возможностей при сертификации промышленного программного обеспечения». Вопросы кибербезопасности №1(9)-2015).In block 3, equipment and software with undeclared capabilities (NDV) are identified and equipment parameters are measured using NDV (L. Osovetsky, “Technology for identifying undeclared capabilities in the certification of industrial software.” Cybersecurity Issues No. 1 (9) -2015 )

В блоке 4 определяют внутренние риски для ИУС (элемента), не связанные с ТКУИ и НДВ, и измеряют значения параметров выявленных рисков (Мазов Н.А., Ревнивых А.В., Федотов А.М. «Классификация рисков информационной безопасности». Вестник НГУ. Серия информационные технологии. Том 9. Выпуск 2. 2011 г. С. 80-89).In block 4, the internal risks for the ICS (element) that are not related to TKUI and NDV are determined, and the parameters of the identified risks are measured (Mazov N.A., Revnivykh A.V., Fedotov A.M. “Classification of information security risks”. Bulletin of NSU, Information Technology Series, Volume 9. Issue 2. 2011, pp. 80-89).

В блоке 5 создают информационные связи с базами данных организаций, занимающихся обнаружением, идентификацией и противодействию рискам о существующих внешних и внутренних рисках (Симаков О.В. «Распределенные базы данных», п. Архитектура, клиент/сервер. С. 23, МИРЭА, 2006 г. http://Irn.no-ip-fo/other/ddb/ Распределенные%20базы%20данных_2006уч_г.pdf).In block 5, information links are created with databases of organizations involved in detecting, identifying and countering risks about existing external and internal risks (O. Simakov, “Distributed Databases”, p. Architecture, client / server. P. 23, MIREA, 2006, http: //Irn.no-ip-fo/other/ddb/ Distributed% 20base% 20data_2006uch_g.pdf).

В блоке 6 создают базы данных измеренных параметров внутренних и внешних рисков (гл. 5.4, стр. 133-146, гл. 7, стр. 168-233, Галицина О.Л. и др. Базы данных: Учебное пособие. Форум-Инфра-М, Москва, 2006. 352 с.).In block 6 create a database of measured parameters of internal and external risks (chap. 5.4, p. 133-146, chap. 7, p. 168-233, Galitsina OL, etc. Databases: Textbook. Forum-Infra -M, Moscow, 2006.352 s.).

В блоке 7, на основании статистических данных, определяют параметры, характеризующие внутренние и внешние риски для обучения системы обнаружения, предупреждения и противодействия (СОПП) ИУС рискам. Формируют параметры нормального поведения абонентов ИУС. Определяют параметры аномального поведения абонентов ИУС («Новый подход к защите информации - системы обнаружения компьютерных угроз», корпоративный журнал компании «ИнфосистемыДжет», №4, 2007 г. http://wvw.jetinfo.ru/sta-ti/novyj-podkhod-k-zaschite-informatsii-sistemy-obnaruz-heniya-kompyuternykh). Определяют допустимые значения наносимого ущерба определенной группы рисков.In block 7, on the basis of statistical data, parameters are determined that characterize internal and external risks for training the IMS detection, warning and counteraction (SOPP) system for risks. Form the parameters of the normal behavior of the IMS subscribers. The parameters of the abnormal behavior of ICS subscribers are determined (“A New Approach to Information Protection - Computer Threat Detection Systems”, InfosystemsJet corporate magazine, No. 4, 2007 http://wvw.jetinfo.ru/sta-ti/novyj-podkhod -k-zaschite-informatsii-sistemy-obnaruz-heniya-kompyuternykh). The permissible values of the damage caused by a certain group of risks are determined.

В блоке 8 на основании имеющихся данных о внутренних и внешних рисках разрабатывают алгоритм действия СОПП ИУС (п. 7, Алгоритм противодействия компьютерным атакам на критически важные информационные системы. Астрахов А.В., Климов С.М., Сычев М.П. «Противодействие компьютерным атакам. Технологические основы», Электронное учебное издание МГТУ им. Н.Э. Баумана, Москва, 2013).In block 8, on the basis of the available data on internal and external risks, an algorithm for the operation of IOPP IMS is developed (Section 7, Algorithm for countering computer attacks on critical information systems. Astrakhov A.V., Klimov S.M., Sychev M.P. “ Counteraction to computer attacks. Technological fundamentals ", Electronic educational publication of MSTU named after NE Bauman, Moscow, 2013).

В блоке 9 создают физические модели ИУС, внутренних и внешних рисков и СОПП ИУС и моделируют их совместное функционирование (Варламов О.О. «О системном подходе к созданию модели компьютерных угроз и ее роли в обеспечении безопасности информации в ключевых системах информационной инфраструктуры», Известия ТРТУ / Тематический выпуск // №7 / том 62 / 2006 г., с. 218).In block 9, physical models of IMS, internal and external risks and IOPP IMS are created and their joint functioning is modeled (Varlamov OO “On a systematic approach to creating a computer threat model and its role in ensuring information security in key information infrastructure systems”, Izvestia TRTU / Thematic issue // No. 7 / volume 62/2006, p. 218).

В блоке 10 оценивают значение деструктивных параметров (нанесенный ущерб) внутренних и внешних рисков ИУС.In block 10, the value of the destructive parameters (the damage caused) of the internal and external risks of the ICS is evaluated.

Если значения параметров наносимого ущерба внутренними и внешними рисками превышают допустимые значения, изменяют (дополняют) исходные данные для моделей в блоке 7, в блоке 8 дополняют алгоритмы работы СОПП ИУС и ИУС.If the values of the parameters of the damage caused by internal and external risks exceed the permissible values, change (supplement) the initial data for the models in block 7, and in block 8 supplement the operation algorithms of the SOPP IMS and IMS.

В блоке 11 разворачивают в рабочее состояние СОПП ИУС и ИУС.In block 11 deploy in operational condition SOPP IMS and IMS.

В блоке 12 осуществляют контроль времени функционирования ИУС.In block 12 control the time of functioning of the IMS.

В блоке 13 проводят мониторинг параметров, характеризующих внутренние и внешние риски (п. 1.2, стр. 6, Галкин А.П. и д.р. Моделирование каналов систем связи. Москва: Связь, 1979, 94 с.).In block 13, parameters are monitored that characterize internal and external risks (Section 1.2, p. 6, A. Galkin and Dr. Modeling of communication systems channels. Moscow: Communication, 1979, 94 pp.).

В блоке 14 оценивают значения параметров, характеризующие внутренние и внешние риски для ИУС с имеющимися параметрами, полученными от баз данных организаций, занимающихся обнаружением, идентификацией и противодействию рискам.In block 14, parameter values characterizing the internal and external risks for the IMS with the available parameters obtained from the databases of organizations involved in the detection, identification and counteraction of risks are evaluated.

При выявлении признаков, характеризующих внутренний или внешний риск ИУС в блоке 15 с использованием имеющейся модели, прогнозируют наносимый ущерб ИУС, наносимый выявленным риском.When identifying signs characterizing the internal or external risk of ICS in block 15 using the existing model, the damage caused by the ICS caused by the identified risk is predicted.

В блоке 16 сравнивают возможный наносимый ущерб ИУС выявленным риском с допустимыми значениями ущерба, наносимого выявленным риском.In block 16, the possible damage to the ICS by the identified risk is compared with the acceptable values of the damage caused by the identified risk.

В блоке 17 при необходимости осуществляют мероприятия по противодействию ИР (Например, варианты реконфигурации или перекоммутации каналов СС), (сущность процесса реконфигурации описана в «О надежности прикладного уровня с учетом возможности реконфигурации сети MPLS» / http://nauchebe.net/2013/01/onady-ozhnosti-prikladnogo-urovnya-s-uchyotom-voz-mozhnosti-rekonfiguracii-sei-mpls2013 г.), (сущность процесса перекоммутации описана в «Виртуальные локальные сети. Создание VLAN позволяет повысить производительность каждой из них и изолировать сети друг от друга…», http://www.osp.ru/lan/2002/12/136942 // «Журнал сетевых решений/LAN», №12, 2002).In block 17, if necessary, measures are taken to counteract IR (for example, options for reconfiguring or reconnecting SS channels), (the essence of the reconfiguration process is described in "On the reliability of the application layer, taking into account the possibility of reconfiguring the MPLS network" / http://nauchebe.net/2013/ 01 / onady-ozhnosti-prikladnogo-urovnya-s-uchyotom-voz-mozhnosti-rekonfiguracii-sei-mpls2013), (the essence of the process of switching is described in "Virtual local area networks. Creating VLANs allows you to increase the performance of each of them and isolate each other's networks from a friend ... ", http://www.osp.ru/lan/2002/12/136942 //" Journal of the set solutions / LAN ”, No. 12, 2002).

По окончании или устранению выявленного внешнего или внутреннего риска в блоке 18 оценивают нанесенный ущерб ИУС выявленным риском, оценивают зафиксированные параметры выявленного риска.Upon termination or elimination of the identified external or internal risk, in block 18 the damage caused by the ICS is assessed by the identified risk, and the recorded parameters of the identified risk are evaluated.

В блоке 19 после каждого воздействия подсчитывают элементы ИУС, подвергшиеся деструктивным воздействиям. Сравнивают параметры зафиксированных рисков с имеющимися значениями, при необходимости вносят изменения в алгоритмы функционирования СОПП ИУС.In block 19, after each exposure, the elements of ICS subjected to destructive influences are counted. The parameters of the recorded risks are compared with the available values, if necessary, changes are made to the algorithms for the functioning of the IMSS IAP.

Оценка эффективности заявленного способа производилась следующим образом. Согласно одной из известных классификаций киберугроз для систем связи ИУС в частности (С.Трошин Современные киберугрозы 2013 г. URL http://sergeytroshin.ru/articles/modern-cyber-threats) в настоящее время выделены 7 внешних и 2 внутренних угрозы. В связи с этим эффективность заявленного способа моделирования возможно определить следующим образом.Evaluation of the effectiveness of the claimed method was carried out as follows. According to one of the well-known classifications of cyberthreats for ICS communication systems in particular (S. Troshin Modern cyberthreats of 2013 URL http://sergeytroshin.ru/articles/modern-cyber-threats), 7 external and 2 internal threats are currently identified. In this regard, the effectiveness of the claimed modeling method can be determined as follows.

На основании технического результата способ-прототип способен моделировать и принимать решения по внешним угрозам. Исходя из классификации киберугроз способ прототип обрабатывает 7 угроз. Предлагаемый способ моделирует 7 внешних угроз и 2 внутренние угрозы для ИУС.Based on the technical result, the prototype method is able to model and make decisions on external threats. Based on the classification of cyberthreats, the prototype method processes 7 threats. The proposed method simulates 7 external threats and 2 internal threats for IMS.

Оценка эффективности предлагаемого способа моделирования проводилась на основании сравнения достоверности результатов моделирования. Одним из определяющих параметров достоверности результатов моделирования является вероятность ошибки. Оценка вероятности ошибки

(Е.С. Вентцель. Теория вероятностей и ее инженерное приложение. М.: Изд. Наука, 1988, с. 463, ф-ла 11.8.5) проводилась согласно следующему выражению:Evaluation of the effectiveness of the proposed modeling method was carried out based on a comparison of the reliability of the simulation results. One of the determining parameters of the reliability of simulation results is the probability of error. Error Probability Estimation

(ES Wentzel. Probability Theory and its engineering application. M: Publishing House Nauka, 1988, p. 463, file 11.8.5) was carried out according to the following expression:

где: Ф - функция Лапласа;where: Ф - Laplace function;

ε - величина доверительного интервала;ε is the value of the confidence interval;

N - количество имитируемых угроз;N is the number of simulated threats;

- средняя статистическая вероятность моделирования;

- average statistical probability of modeling;

- минимальная вероятность достоверной моделирования.

- minimum probability of reliable modeling.

Расчет достоверности оценки моделирования способом-прототипом, при ε=0,02; N=7;

проведен по следующей формуле:The calculation of the reliability of the assessment of modeling by the prototype method, with ε = 0.02; N = 7;

carried out according to the following formula:

Расчет достоверности оценки моделирования предлагаемого способа при ε=0,02; N=9;

проведен по следующей формуле:The calculation of the reliability of the simulation estimates of the proposed method with ε = 0.02; N = 9;

carried out according to the following formula:

Оценка эффективности разработанного способа по сравнению со способом прототипом проведена согласно выражению:Evaluation of the effectiveness of the developed method in comparison with the prototype method was carried out according to the expression:

Исходя из сравнения основных показателей способа прототипа и заявленного способа следует вывод, что расширяет возможности способа-прототипа, повышает достоверность результатов моделирования на 12,4%, за счет моделирования внутренних рисков и оценке ущерба наносимого внутренними и внешними рисками ИУС.Based on a comparison of the main indicators of the prototype method and the claimed method, it follows that it expands the capabilities of the prototype method, increases the reliability of simulation results by 12.4%, by modeling internal risks and assessing the damage caused by internal and external risks of ICS.

Источники информацииInformation sources

1. ГОСТ Р ИСО 31000-2010, Менеджмент риска принципы и руководство.1. GOST R ISO 31000-2010, Risk management principles and guidelines.

2. ГОСТ Р 22.0.02-94, Безопасность в чрезвычайных ситуациях. Термины и определения основных понятий.2. GOST R 22.0.02-94, Safety in emergency situations. Terms and definitions of basic concepts.

3. Патент RU №2405184, G05B 23/00, G06F 17/50, 27.11.2010 г. (аналог).3. Patent RU No. 2405184, G05B 23/00, G06F 17/50, 11/27/2010 (analog).

4. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных ФСТЭК 2008.4. The basic model of threats to the security of personal data when they are processed in FSTEC 2008 personal data information systems.

5. Нежданов И.Ю. «Выявление технических каналов утечки информации».5. Nezhdanov I.Yu. "Identification of technical channels for information leakage."

6. http://www.ci2.info/kr-i-iw/5samo-oborona/zashhita-sobstvennoj-informacii/vyyavlenie-texnicheskix-kanalovutechki-informacii.6.http: //www.ci2.info/kr-i-iw/5samo-oborona/zashhita-sobstvennoj-informacii/vyyavlenie-texnicheskix-kanalovutechki-informacii.

7. Осовецкий Л.Г. «Технология выявления недекларированных возможностей при сертификации промышленного программного обеспечения». Вопросы кибербезопасности №1(9)-2015.7. Osovetsky L.G. "Technology for identifying undeclared opportunities in the certification of industrial software." Cybersecurity Issues No. 1 (9) -2015.

8. Мазов Н.А., Ревнивых А.В., Федотов A.M. «Классификация рисков информационной безопасности». Вестник НГУ. Серия информационные технологии. Том 9. Выпуск 2. 2011 г. С. 80-89.8. Mazov N.A., Revnivykh A.V., Fedotov A.M. "Classification of information security risks." Bulletin of NSU. A series of information technology. Volume 9. Issue 2. 2011. S. 80-89.

9. Симаков О.В. «Распределенные базы данных», п. Архитектура клиент/сервер С. 23, МИРЭА 2006 г. http://Irn.no-ip-fo/other/ddb/Распределенные%20базы%20данных_2006 уч_г.pdf.9. Simakov O.V. “Distributed Databases”, p. Client / Server Architecture, p. 23, MIREA 2006, http: //Irn.no-ip-fo/other/ddb/Distributed%20base%20data_2006 academic_pdf.

10. гл. 5.4, стр. 133-146, гл. 7, стр. 168-233, Галицина О.Л. и др. Базы данных: Учебное пособие. Форум-Инфра-М, Москва, 2006, 352 с.10. ch. 5.4, pp. 133-146, chap. 7, p. 168-233, Galitsina O.L. and other Databases: Textbook. Forum-Infra-M, Moscow, 2006, 352 p.

11. Новый подход к защите информации - системы обнаружения компьютерных угроз, корпоративный журнал компании «ИнфосистемыДжет» №4 2007 г. http://www.jetinfo.ru/sta-ti/novyj-podkhod-k-zaschite-informatsii-sistemy-obnaruz-heniya-kompyuternykh.11. A new approach to information protection - computer threat detection systems, InfosystemJet corporate magazine No. 4 of 2007. http://www.jetinfo.ru/sta-ti/novyj-podkhod-k-zaschite-informatsii-sistemy- obnaruz-heniya-kompyuternykh.

12. п. 7, Алгоритм противодействия компьютерным атакам на критически важные информационные системы. Астрахов А.В., Климов С.М., Сычев М.П. «Противодействие компьютерным атакам. Технологические основы», Электронное учебное издание МГТУ им. Н.Э. Баумана, Москва, 2013.12. p. 7, Algorithm for countering computer attacks on critical information systems. Astrakhov A.V., Klimov S.M., Sychev M.P. “Countering computer attacks. Technological fundamentals ", Electronic educational publication of MSTU. N.E. Bauman, Moscow, 2013.

13. Варламов О.О. «О системном подходе к созданию модели компьютерных угроз и ее роли в обеспечении безопасности информации в ключевых системах информационной инфраструктуры», Известия ТРТУ / Тематический выпуск // №7 / том 62 / 2006 г., с. 218.13. Varlamov O.O. “On a systematic approach to creating a computer threat model and its role in ensuring information security in key systems of information infrastructure”, Izvestiya TRTU / Thematic issue // No. 7 / volume 62/2006, p. 218.

14. п. 1.2, стр. 6, Галкин А.П. и др. Моделирование каналов систем связи. Москва: Связь 1979. 94 с. 14. p. 1.2, p. 6, Galkin A.P. and others. Modeling channels of communication systems. Moscow: Communication 1979. 94 p.

15. «О надежности прикладного уровня с учетом возможности реконфигурации сети MPLS» / http://nauchebe.net/2013/01/onady-ozhnosti-prikladnogo-urovnya-s-uchyotom-voz-mozhnosti-rekonfiguracii-sei-mpls 2013 г.15. “On the reliability of the application level, taking into account the possibility of reconfiguring the MPLS network” / http://nauchebe.net/2013/01/onady-ozhnosti-prikladnogo-urovnya-s-uchyotom-voz-mozhnosti-rekonfiguracii-sei-mpls 2013 .

16. «Виртуальные локальные сети. Создание VLAN позволяет повысить производительность каждой из них и изолировать сети друг от друга…» http://www.osp.ru/lan/2002/12/136942 // «Журнал сетевых решений/LAN» №12, 2002.16. “Virtual local area networks. Creating a VLAN allows you to increase the performance of each of them and isolate the network from each other ... "http://www.osp.ru/lan/2002/12/136942 //" Journal of Network Solutions / LAN "No. 12, 2002.

17. С. Трошин, Современные киберугрозы, 2013 г. URLhttp://sergeytroshin.ru/articles/modern-cyber-threats.17. S. Troshin, Modern Cyberthreats, 2013 URLhttp: //sergeytroshin.ru/articles/modern-cyber-threats.

18. Вентцель Е.С. Теория вероятностей и ее инженерное приложение. М.: Изд. Наука, 1988, с. 463, ф-ла 11.8.5.18. Wentzel E.S. Probability theory and its engineering application. M .: Publishing. Science, 1988, p. 463, file 11.8.5.

Claims

A method for modeling risk monitoring for an information management system under the conditions of information and technical impacts, consisting in the fact that the information management system (IMS), including N structural elements and the connections between them, is deployed in an operational state, and destabilizing effects caused by external risks are recorded on structural elements, according to the obtained data, form a simulation model of IMS, model the destabilizing effects caused by external risks, according to the results of modeling they configure the simulation model of ICS and calculate the probability of disruption of its functioning from the destabilizing effects of external risks, at the stage of functioning of the ICS after each exposure, count the elements of the ICS subjected to destructive influences, reconfigure the ICS, characterized in that at the stage of generating the initial data on the ICS and the parameters of the destabilizing effects of external and internal risks identify and measure channels of information leakage; identify possible risks associated with undeclared capabilities (NDV) of software and equipment; measure the values of the parameters of equipment with NDV; determine the parameters of other internal risks for IMS; create a database and save the parameters of internal and external risks; create information links with existing databases of organizations involved in the detection, identification and risk management; create a system for detecting, preventing and counteracting (SOPP) the destructive effects of internal and external risks; Based on statistical data, physical models of the normal behavior of the IMS subscribers and the abnormal behavior of the subscribers are formed; determine the parameters of the abnormal behavior of the IMS subscribers; form the algorithms of the IMS security system actions when revealing the facts of abnormal behavior of subscribers; in the IMS model operating in conditions of external risks, include the model of functioning of the SOPP and the model of internal risks; using the obtained results of simulation modeling, they teach SOPP; assess the damage caused by internal and external risks, if necessary, change the parameters of the SOPP; at the stage of functioning of the IMS, the obtained risk parameters are analyzed from the databases of organizations involved in the detection, identification and mitigation of risks; monitor parameters characterizing internal and external risks; the measured parameters characterizing the internal and external risks of SOPP are compared with the values available in the database and a decision is made about the level of risk for the IMS; if signs of internal or external risks are identified, assess the possible damage to the IMS; if necessary, carry out measures to counter external and internal risks; at the end of the impact or elimination of external and internal risks, the recorded parameters are evaluated, and if necessary, supplement the databases of the SOPP.