Книжная полка Сохранить
Размер шрифта:
А
А
А
|  Шрифт:
Arial
Times
|  Интервал:
Стандартный
Средний
Большой
|  Цвет сайта:
Ц
Ц
Ц
Ц
Ц

Моделирование системы защиты информации: Практикум

Покупка
Основная коллекция
Артикул: 475750.05.01
К покупке доступен более свежий выпуск Перейти
В практикуме по моделированию системы защиты информации на предприятии рассматриваются задачи и программный инструментарий для их решения, в частности: проектирование систем защиты информации с использованием модели с полным перекрытием множества угроз; анализ и управление рисками информационной безопасности с использованием программного пакета Coras и программного комплекса ГРИФ; система поддержки принятия парето-оптимальных решений в области проектирования системы защиты информации; разработка сценариев действий нарушителя информационной безопасности с использованием сети Петри; определение показателей защищенности информации при несанкционированном доступе; использование методологии и стандартов IDEF для моделирования процессов в системе защиты информации; методики анализа рисков информационной безопасности для малого и среднего бизнеса; анализ рисков информационной безопасности с использованием нечеткой логики. Все практические задания снабжены соответствующим теоретическим материалом, программным инструментарием для выполнения работы, контрольными вопросами по темам, требованиями к отчету по проведению работы и вариантами заданий. Практикум может быть рекомендован бакалаврам и магистрам, изучающим курсы «Информационная безопасность», «Моделирование процессов и систем» и «Управление информационной безопасностью», а также смежные с ними дисциплины.

Только для владельцев печатной версии книги: чтобы получить доступ к дополнительным материалам, пожалуйста, введите последнее слово на странице №215 Вашего печатного экземпляра.

Баранова, Е. К. Моделирование системы защиты информации. Практикум : учебное пособие / Е.К. Баранова, А.В. Бабаш. — 2-е изд., перераб. и доп. — Москва : РИОР : ИНФРА-М, 2019. — 224 с. + Доп. материалы [Электронный ресурс]. — (Высшее образование: Бакалавриат). — DOI: https://doi.org/10.12737/18877. - ISBN 978-5-369-01559-9. - Текст : электронный. - URL: https://znanium.com/catalog/product/982197 (дата обращения: 29.03.2024). – Режим доступа: по подписке.
Фрагмент текстового слоя документа размещен для индексирующих роботов. Для полноценной работы с документом, пожалуйста, перейдите в ридер.
МОДЕЛИРОВАНИЕ
СИСТЕМЫ  ЗАЩИТЫ

ИНФОРМАЦИИ

ПРАКТИКУМ

УЧЕБНОЕ  ПОСОБИЕ

Москва
РИОР

ИНФРА-М

Е.К. БАРАНОВА
А.В. БАБАШ

Рекомендовано Учебно-методическим объединением

по образованию в области прикладной информатики

в качестве учебного пособия для студентов

высших учебных заведений, обучающихся

по направлению «Прикладная информатика»

Издание второе, переработанное и дополненное

УДК 621.391+004.9(075.8)
ББК 32.81я73
          Б24

Авторы:
Баранова Елена Константиновна, доцент кафедры информационной безопасности, 
Национальный исследовательский университет «Высшая школа экономики» 
(Москва);
Бабаш Александр Владимирович, профессор кафедры информационной безопасности, Национальный исследовательский университет «Высшая школа экономики» (Москва)
Рецензенты:
кафедра информационной безопасности и программной инженерии ПМ, НИУ 
«МЭИ» (Москва), канд. техн. наук, профессор Хорев П.Б.;
кафедра прикладных информационных технологий и информационной безопасности, РЭУ им. Г.В. Плеханова (Москва), доцент Баяндин Н.И.
Баранова Е.К., Бабаш А.В.

Б24 
 
Моделирование системы защиты информации. Практикум : учеб. 

пособие / Е.К. Баранова, А.В. Бабаш. — 2-е изд., перераб. и доп. — М. : 
РИОР : ИНФРА-М, 2019. — 224 с. + Доп. материалы [Электронный 
ресурс; Режим доступа http: //www.znanium.com]. — (Высшее образование: Бакалавриат). — DOI: https://doi.org/10.12737/18877

ISBN 978-5-369-01559-9 (РИОР)
ISBN 978-5-16-012083-6 (ИНФРА-М, print)
ISBN 978-5-16-102078-4 (ИНФРА-М, online)
В практикуме по моделированию системы защиты информации на предпри
ятии рассматриваются задачи и программный инструментарий для их решения, 
в частности: проектирование систем защиты информации с использованием модели с полным перекрытием множества угроз; анализ и управление рисками информационной безопасности с использованием программного пакета Coras и 
программного комплекса ГРИФ; система поддержки принятия парето-оптимальных решений в области проектирования системы защиты информации; разработка сценариев действий нарушителя информационной безопасности с использованием сети Петри; определение показателей защищенности информации при 
несанкционированном доступе; использование методологии и стандартов IDEF 
для моделирования процессов в системе защиты информации; методики анализа рисков информационной безопасности для малого и среднего бизнеса; анализ 
рисков информационной безопасности с использованием нечеткой логики.

Все практические задания снабжены соответствующим теоретическим мате
риалом, программным инструментарием для выполнения работы, контрольными 
вопросами по темам, требованиями к отчету по проведению работы и вариантами 
заданий.

Практикум может быть рекомендован бакалаврам и магистрам, изучающим 

курсы «Информационная безопасность», «Моделирование процессов и систем» 
и «Управление информационной безопасностью», а также смежные с ними дисциплины.
УДК 621.391+004.9(075.8)
ББК 32.81я73

ISBN 978-5-369-01559-9 (РИОР)
ISBN 978-5-16-012083-6 (ИНФРА-М, print)
ISBN 978-5-16-102078-4 (ИНФРА-М, online)

ФЗ 
№ 436-ФЗ
Издание не подлежит маркировке 
в соответствии с п. 1 ч. 4 ст. 11

©  Баранова Е.К., 

Бабаш А.В.

Материалы, отмеченные знаком
, доступны

в электронно-библиотечной системе ZNANIUM

по адресу http://znanium.com.

Ссылку для доступа вы можете получить

при сканировании QR-кода, размещенного на обложке

ПРЕДИСЛОВИЕ

Информационная безопасность является одной из главных проблем, с которой сталкивается современное общество. Причиной 
обострения этой проблемы является широкомасштабное использование автоматизированных средств накопления, хранения, обработки и передачи информации.
Решение проблемы защиты информации связано с гарантированным обеспечением трех ее главных составляющих: доступности, 
целостности и конфиденциальности информации.
Практическая задача обеспечения информационной безопасности (ИБ) состоит в разработке модели представления системы и процессов ИБ, которая на основе научно-методического аппарата 
позволяла бы решать задачи создания, использования и оценки 
эффективности системы защиты информации для проектируемых и 
существующих информационных систем (ИС). 
Основной задачей модели является научное обеспечение процесса создания системы информационной безопасности за счет правильной оценки эффективности принимаемых решений и выбора 
рационального варианта технической реализации системы защиты 
информации (СЗИ).
Специфическими особенностями решения задачи создания СЗИ 
являются:
– неполнота и неопределенность исходной информации о составе ИС и характерных угрозах;
– многокритериальность задачи, связанная с необходимостью 
учета большого числа частных показателей и требований к 
СЗИ;
– наличие как количественных, так и качественных показателей, 
которые необходимо учитывать при решении задач разработки 
и внедрения СЗИ;
– невозможность применения классических методов оптимизации.
Модель — это некий объект-заместитель, который в определенной степени заменяет объект-оригинал, воспроизводя интересующие нас свойства и характеристики оригинала, причем по сравнению с оригиналом модель имеет существенные преимущества для 

определенного вида работы с ней, а именно: наглядность, доступность испытаний и ряд других.
Для моделирования процессов в системе защиты информации 
используются различные методы.
Аналитическое моделирование предполагает рассмотрение функционирования исследуемой системы в виде математических или логических соотношений. Для этих целей используется мощный математический аппарат: алгебра, функциональный анализ, разностные 
уравнения, теория вероятностей, математическая статистика, теория множеств и другие. 
Имитационное моделирование предполагает представление моделируемой системы в виде некоторого аналога реальной системы. 
В процессе имитационного моделирования на компьютере реализуются алгоритмы изменения основных характеристик реальной системы в соответствии с эквивалентными реальными процессами 
математическими и логическими зависимостями. 
Для моделирования систем информационной безопасности целесообразно использовать следующие теории и методы, позволяющие свести решение задачи к формальным алгоритмам: 
– теория нечетких множеств; 
– теория конфликтов; 
– теория графов; 
– формально-эвристические методы; 
– эволюционное моделирование. 
Модели представления системы и процессов ИБ для проведения 
исследований должны обладать свойствами: универсальности; комплексности; простоты использования; наглядности и практической 
направленности.
В предлагаемом читателю практикуме по моделированию системы защиты информации на предприятии рассматриваются задачи и 
программный инструментарий для их решения. В частности: проектирование систем защиты информации с использованием модели 
с полным перекрытием множества угроз; анализ и управление 
рисками информационной безопасности с использованием программного пакета Coras и программного комплекса ГРИФ; система 
поддержки принятия парето-оптимальных решений в области проектирования системы защиты информации; разработка сценариев 
действий нарушителя информационной безопасности с использованием сети Петри; определение показателей защищенности инфор
мации при несанкционированном доступе; использование методологии и стандартов IDEF для моделирования процессов в системе 
защиты информации; методики анализа рисков информационной 
безопасности для малого и среднего бизнеса; анализ рисков информационной безопасности с использованием нечеткой логики.
Все практические задания снабжены соответствующим теоретическим материалом, программным инструментарием для выполнения работы, контрольными вопросами по темам, требованиями к 
отчету по проведению работы и вариантами заданий.
Практикум может быть рекомендован бакалаврам и магистрам, 
изучающим курсы «Информационная безопасность», «Моделирование процессов и систем» и «Управление информационной безопасностью», а также смежные с ними дисциплины.
Все практические работы были неоднократно опробованы авторами в учебном процессе на кафедре информационной безопасности НИУ «Высшая школа экономики». 
Авторы выражают благодарность своим студентам и выпускникам Жуковой Юлии, Медведеву Михаилу, Ларионову Игорю и Гусеву 
Александру за подготовку и тестирование программного инструментария для проведения практических работ.

1. ПРОЕКТИРОВАНИЕ СИСТЕМЫ ЗАЩИТЫ 
ИНФОРМАЦИИ С ИСПОЛЬЗОВАНИЕМ 
МОДЕЛИ С ПОЛНЫМ ПЕРЕКРЫТИЕМ 
МНОЖЕСТВА УГРОЗ

Цель практической работы: исследование возможностей графового моделирования для анализа рисков информационной безопасности объекта информатизации, в частности, изучение принципов построения двудольных и трехдольных графов с полным 
перекрытием множества угроз безопасности.
Для выполнения практической работы на компьютере 
не обходимо запустить программу из папки: Исполняемые модули/1_Модель с полным перекрытием угроз.

1.1. Описание модели безопасности с полным 
перекрытием множества угроз

Модель безопасности с полным перекрытием, разработанная в 
1970-х гг., строится исходя из постулата, что система безопасности 
должна иметь, по крайней мере, одно средство для обеспечения безопасности на каждом возможном пути воздействия нарушителя на 
информационную систему. 
В модели точно определяется каждый объект, требующий защиты, 
оцениваются средства обеспечения безопасности в отношении их эффективности и их вклад в обеспечение безопасности всей инфор мационной системы. С каждым объектом, требующим защиты, связывается некоторое множество действий, к которым может прибегнуть 
нарушитель для получения несанкционированного доступа к объекту.
Множество отношений «объект-угроза» образует двудольный 
граф, в котором ребро (yi, оj) существует тогда и только тогда, когда 
yi является средством получения доступа к объекту oj. Пример модели процесса защиты информации в виде двудольного графа приведен на рис. 1.1.
Следует отметить, что связь между угрозами и объектами не являет ся связью типа «один к одному» — угроза может распространяться 
на любое число объектов, а объект может быть уязвим со стороны более чем одной угрозы. Цель защиты состоит в том, чтобы «перекрыть» 

каждое ребро данного графа и воздвигнуть барьер для доступа по этому пути. 
В идеальном случае каждое 
средство защиты mk ∈ M должно 
устра нять некоторое ребро (yi, oj). 
В действительности mk выполняет 
функцию «барьера», обеспечивая 
некоторую степень сопротивления 
попыткам проникновения. 
Набор М средств обеспечения 
безопасности преобразует двудоль ный граф в трехдольный. На 
рис. 1.2 приведен пример модели 
процесса защиты информации в 
виде трехдольного графа.
Ребра указывают на соответст вующие связи между угрозами, 
сред ст вами защиты и множеством 
объ ектов защиты.
Система обеспечения безопасности описывается в виде пятикортежного набора

S = {О, Y, M, V, B},

где О — набор защищаемых объектов;
 Y — набор угроз;
 М — набор средств обеспечения безопасности;
 V — набор уязвимых мест — отображение Т×O на набор упорядоченных пар Vi = (yi, oj), представляющих собой пути проникновения в систему;
 В — набор барьеров — отображение V×M или Т×О×М на набор 
упорядоченных троек bi = (yi, oj, mk), представляющих собой точки, в которых требуется осуществлять защиту в системе.
Модель системы безопасности с полным перекрытием описывает 
требования к составу подсистемы защиты объекта информатизации. 
Но в ней не рассматривается вопрос стоимости внедряемых средств 
защиты и соотношения затрат на защиту и получаемого эффекта. 
Кроме того, определить полное множество «путей проникновения» 
в систему на практике может оказаться достаточно сложно. 

Рис. 1.2. Пример модели 
процесса защиты информации
в виде трехдольного графа

y1
y2
y3
y4

y5

o1
o2
o3
o4

m2

m1

m4

m3

Рис. 1.1. Пример модели
процесса защиты информации
в виде двудольного графа

y1
y2
y3
y4

y5

o1
o2
o3
o4

Анализ графа дает возможность оценить, все ли возможные пути 
реализации угроз перекрыты, и выработать рекомендации в случае 
отсутствия защиты каких-либо объектов. Заметим, что математический аппарат для анализа графовых структур достаточно хорошо 
разработан, что позволяет проводить анализ достаточно разветвленных графов. Кроме того, процесс построения и модернизации графа 
легко выполняется с использованием программного обеспечения. 
Отметим, что рассмотренная модель безопасности с полным перекрытием применима, в основном, как инструментарий при разработке определенных политик безопасности либо в случае построения комплексной системы защиты информации для малого предприятия, так как при большом объеме множеств Y, М и О анализ 
модели становится затруднительным.

1.2. Порядок работы с программным 
инструментарием

Программный модуль позволяет проводить оценку рисков информационной безопасности на основе модели безопасности с полным перекрытием множества угроз. 
Для описания модели используем методологию структурного 
анализа IDEF0. Модель IDEF0 позволяет понять, какие объекты или 
информация служат сырьем для процессов, какие результаты получаются, что является управляющими факторами и какие ресурсы для 
этого необходимы.
На контекстной диаграмме первого уровня (рис. 1.3) показаны 
входы и выходы, а также управление и механизмы. Эти потоки будут 
в дальнейшем использоваться при описании бизнес-процессов более низких уровней.
Входными данными являются множества угроз, средств защиты 
и объектов защиты, а также связи между объектами.
К выходным данным проектируемой модели относятся:
• графическое представление модели в виде трехдольного графа;
• отчет о результате анализа графа.
Управлением для проектируемой модели служит:
• список объектов модели.
Механизмом для проектируемой модели выступает:
• пользователь.
На втором уровне контекстной диаграммы (рис. 1.4) определим более подробно основные процессы проведения анализа рисков инфор
Провести процедуру анализа
рисков информационной
безопасности на базе модели
с полным перекрытием
множества угроз

0р.
0

Множество угроз

Множество средств
защиты

Множество объектов
защиты

Связь между
объектами

Графическое представление модели в виде
трехдольного графа

Отчет о результатах
анализа графа

Список объектов
в модели

Пользователь

Рис. 1.3. Контекстная диаграмма А-0 «Провести процедуру анализа
рисков информационной безопасности на базе модели с полным 
перекрытием множества угроз»

Рис. 1.4. Декомпозиция диаграммы А-0

Провести
заполнение
базы данных

0р.
1

Множество
угроз

Множество
средств защиты

Множество
объектов защиты

Связь между
объектами

Графическое представление модели в виде
 трехдольного графа

Отчет
о результатах анализа
графа

Список
объектов
в модели

Список объектов
в модели

Пользователь

Провести построение
модели путем
добавления в нее
объектов из БД

0р.
2

Провести
анализ
графа

0р.
3

Рис. 1.5. Основная форма редактирования базы данных

мационной безопасности на базе модели с полным перекрытием 
множества угроз.
Процесс анализа рисков информационной безопасности на базе 
модели с полным перекрытием множества угроз посредством программного модуля состоит из следующих подпроцессов:
• заполнение базы данных;
• добавление объектов в модель;
• формирование выходного отчета.

Заполнение базы данных

Для начала работы с программным инструментарием, пользователю необходимо заполнить базу данных объектами в окне Редактирование базы данных (рис. 1.5). Для этого необходимо в главном 
меню выбрать пункт База Данных → Редактировать БД. Далее 
необходимо нажать на кнопку Добавить, заполнить необходимые 
поля и нажать кнопку ОК. После этого в таблице отобразится новый 
объект. Теперь необходимо задать для него связи с другими объектами. 
С целью обновления списка связей нового объекта требуется вы
К покупке доступен более свежий выпуск Перейти