Метод оценивания эффективности защиты электронного документооборота с применением аппарата сетей Петри — Маркова

Аннотация

Традиционные подходы к оцениванию эффективности защиты информации, основанные на сравнении возможностей реализации угроз безопасности информации в условиях отсутствия и применения мер защиты, не позволяют анализировать динамику пресечения мерами защиты процессов реализации угроз. Предложен новый показатель эффективности защиты электронных документов, позволяющий оценивать возможности опережения мерами защиты процесса реализации угроз в системах электронного документооборота и учитывающий вероятностно-временные характеристики динамики применения мер защиты и реализации угроз электронным документам. Разработаны с использованием аппарата сетей Петри — Маркова математические модели и получены аналитические соотношения для расчета предложенного показателя на примере реализации угрозы «туннелирования трафика» (размещение пакетов нарушителя в пакетах доверенного пользователя) и несанкционированного доступа (сетевых атак) к электронным документам, а также угрозы внедрения вредоносной программы путем проведения атаки «неслепой IP-спуфинг» (подмены сетевого адреса). Приведены примеры расчета предложенного показателя и графики его зависимости от вероятности обнаружения сетевых атак системой обнаружения вторжений и от вероятности обнаружения вредоносных программ системой антивирусной защиты. Получены количественные зависимости эффективности защиты электронных документов за счет опережения мерами защиты процессов реализации угроз как от вероятности обнаружения вторжения или вероятности обнаружения вредоносной программы, так и от соотношения времени, затрачиваемого системой защиты на обнаружение попытки реализации угрозы и принятие мер по пресечению процесса ее реализации, и времени реализации угрозы. Модели позволяют не только оценивать эффективность мер защиты электронных документов от угроз уничтожения, копирования, несанкционированных изменений и тому подобное, но и количественно обосновывать требования к времени реакции адаптивных систем защиты на обнаруживаемые действия, направленные на нарушение безопасности электронных документов, а также выявлять слабые места в системах защиты, связанные с динамикой реализации угроз и реакцией на такие угрозы систем защиты электронного документооборота.

Abstract

Traditional approaches to assessing the effectiveness of information security, based on a comparison of the possibilities of realizing threats to information security in absence and application of protection measures, do not allow to analyze the dynamics of suppression by security measures of the process of implementing threats. The paper proposes a new indicator of the effectiveness of protection of electronic documents, aimed at assessing the possibility of advancing security measures of the process of implementing threats in electronic document management systems using the probability-time characteristics of the dynamics of the application of protection measures and the implementation of threats to electronic documents. Mathematical models were developed using the Petri-Markov network apparatus and analytical relationships were obtained for calculating the proposed indicator using the example of the "traffic tunneling" threat (placing intruder packets in trusted user packets) and unauthorized access (network attacks) to electronic documents, as well as the threat of intrusion of malicious program by carrying out an "blind IP spoofing" attack (network address spoofing). Examples of calculating the proposed indicator and graphs of its dependence on the probability of detecting network attacks by the intrusion detection system and on the probability of malware detection by the anti-virus protection system are given. Quantitative dependencies are obtained for the effectiveness of protection of electronic documents due to being ahead of protection measures for threat realization processes, both on the probability of detecting an intrusion or the probability of detecting a malicious program, and on the ratio of the time spent by the protection system on detecting an attempt to implement a threat and taking measures to curb its implementation, and threat implementation time. Models allow not only to evaluate the effectiveness of measures to protect electronic documents from threats of destruction, copying, unauthorized changes, etc., but also to quantify the requirements for the response time of adaptive security systems to detectable actions aimed at violating the security of electronic documents, depending on the probability -temporal characteristics of threat realization processes, to identify weaknesses in protection systems related to the dynamics of threat realization and the reaction of defense systems to such threats electronic document.