Автоматизация построения профилей защиты с использованием комплексной экспертной системы "АванГард"

Кононов Александр Анатольевич, к.т.н.,

с.н.с. Лаборатории системного анализа процессов информатизации

Института системного анализа Российской академии наук

e-mail kononov@isa.ru

тел. (095)135-50-43

 

 

 

            Комплексная экспертная система управления информационной безопасностью «АванГард» является программным продуктом, предназначенным для решения задач управления безопасностью в больших территориально-распределенных автоматизированных информационных системах (АИС), и призвана облегчать задачи контроля центральными структурами уровня обеспечения информационной безопасности на местах.

            Типовой пакет программных средств КЭС «АванГард» включает в себя два программных комплекса: «АванГард-Анализ» и «АванГард-Контроль». Основной функцией первого комплекса является обеспечение формирования по возможности наиболее полного набора требований к безопасности всех составляющих АИС организации, бизнес и технологических процессов. Эта задача решается путем построения моделей угроз, моделей событий рисков, моделей и профилей защиты (ПЗ), моделей комплексов мероприятий, расчета начальных и остаточных (после выполнения того или иного комплекса мероприятий) рисков.

Программный комплекс «АванГард-Контроль», в свою очередь, состоит из двух частей - программного комплекса (ПК) "АванГард-Центр" и ПК "АванГард-Регион". Первый предназначен для: разработки профилей защиты (ПЗ); подготовки и рассылки ПЗ посредством электронной почты по подконтрольным региональным  частям АИС; для автоматизированного сбора отчетности о выполнении требований безопасности в регионах; для оценки рисков невыполнения требований безопасности в АИС; для идентификации узких мест в защите. Второй - для получения профилей защиты (ПЗ) в регионах; для автоматизации ведения в регионах  отчетности о выполнении ПЗ и для отсылки этой отчетности по электронной почте в Центр, где она должна в автоматическом режиме обрабатываться  ПК "АванГард-Центр".

Таким образом, программный комплекс «АванГард-Анализ» призван играть вспомогательную роль в решении задач управления ИБ, а именно, обеспечивать полноценный всесторонний анализ, позволяющий сформулировать обоснованный набор целей безопасности, обосновать политику безопасности, гарантировать полноту требований безопасности, контроль выполнения которых нужно осуществлять. На практике, часто требования для ПК «АванГард-Контроль» формируются без использования комплекса «АванГард-Анализ». При этом работающие с ПК "АванГард-Центр" эксперты руководствуются собственным опытом и требованиями, сформулированными в официальных документах Гостехкомиссии РФ, других нормативных документах, приказах, должностых инструктциях, руководствах и иных  документах, в которых закреплена политика безопасности  АИС.

            Одной из вспомогательных функций, возможность выполнения которой заложено как в комплексе «АванГард-Анализ», так и в комплексе «АванГард-Центр», является построение профилей защиты на основании требований сформулированных в ГОСТ Р ИСО/МЭК  15408-2002. Основное отличие в методологиях построения ПЗ с использованием ПК «АванГард-Анализ» и ПК «АванГард-Центр» состоит в том, что в первом комплексе построение ПЗ осуществляется через построение моделей угроз, где каждое из требований зафиксированных в ГОСТ Р ИСО/МЭК 15408-2002 рассматривается через призму угроз, которые при его соблюдении могут быть в той или иной степени парированы, и через анализ рисков, которые могут быть в результате соблюдения этого требования снижены. При использовании ПК «АванГард-Контроль» требования, содержащиеся в ГОСТ Р ИСО/МЭК 15408-2002 формируются в виде ПЗ экспертами, опирающимися на имеющиеся у них знания, опыт и на данные анализа предварительно проведенного с использованием ПК "АванГард-Анализ". Оба программных комплекса позволяют фиксировать требования с указанием дополнительных условий, взаимосвязей  и взаимозависимостей требований. Оба позволяют, строить типовые профили защиты и использовать их в качестве шаблонов для построения новых профилей. Оба позволяют дополнять требования, сформированные на основе ГОСТ Р ИСО/МЭК 15408-2002  требованиями касающимися административных мер (организационных мер, подбора, подготовки, обеспечения персонала), мер процедурного и физического контроля. Формат журнальной статьи не дает возможности представить методику проведения предварительного анализа требований с использованием ПК "АванГард-Анализ" из-за ее объема и сложности. Желающие могут ознакомиться с возможностями это комплекса в изданиях [1,2].  Далее рассматривается методика построения ПЗ с помощью ПК «АванГард-Центр».

 

Разработка профилей защиты с помощью ПК «АванГард-Центр»

 

            Разработка профилей защиты в ПК «АванГард-Центр» проводится в разделе ведения Каталогов программного комплекса. Изначально в КЭС «АванГард» было определено несколько ключевых концепций, таких как Метакласс, Класс, Мера, Требование. Метаклассы предназначены для группировки классов по каким-либо определенным признакам. Классы определяют классы объектов для которых формируются типовые наборы требований (профили защиты). Меры  определяют функциональные классы  и классы гарантий требований в терминологии ГОСТ Р ИСО/МЭК 15408-2002. Требования, включают функциональные семейства, семейства гарантий, функциональные компоненты, компоненты гарантий, функциональные элементы и элементы гарантий, как они определены в ГОСТ Р ИСО/МЭК 15408-2002. 

Для профилей защиты создаваемых на основе ГОСТ Р ИСО/МЭК 15408-2002 в Каталогах ПК "АванГард-Центр" определен метакласс «Требования и профили защиты по ГОСТ Р ИСО/МЭК 15408-2002» (рис. 1). В этом метаклассе создан один «базовый» класс, который включает в себя все требования содержащиеся в ГОСТ Р ИСО/МЭК 15408-2002  (рис. 2), как функциональные, так и требования гарантий безопасности.

 

Рис.1. Состав метакласса «Требования и профили защиты по ГОСТ Р ИСО/МЭК 15408-2002» в ПК "АванГард-Центр"

 

Рис.2. Состав класса «Требования ГОСТ Р ИСО/МЭК 15408-2002» в ПК "АванГард-Центр"

 

            По каждому из уровней в нижней правой части формы показывается подробная информация относящаяся к выбранной записи Каталога. На рис. 3 представлен вид того, как выглядит набор Требований по Мере в ПК "АванГард-Центр", при этом  курсор был умышленно зафиксирован на записи с требованием FAU_GEN.1,  с тем,  что бы далее отследить как шаблон требования, представленный в поле «Информация» будет преобразован из формы содержащей указания на необходимость определения списков назначения, в форму, в которой указанные списки будут определены для конкретного профиля защиты.

 

Рис.3. Состав Требований по Мере (функциональному классу) в ПК "АванГард-Центр"

 

            Профили защиты по ГОСТ Р ИСО/МЭК 15408-2002 строятся следующим образом. Средствами ПК "АванГард-Центр" делается копия класса «Требования ГОСТ Р ИСО/МЭК 15408-2002». Далее выполняется операция «Вставить как шаблон профиля защиты» в метакласс «Требования и профили защиты по ГОСТ Р ИСО/МЭК 15408-2002». При этом предлагается изменить название класса. Предположим, что название класса было изменено на следующее: «Система с разграничением доступа – Профиль защиты». После выполнения этой операции будет создан шаблон, который путем последовательного анализа требований корректируется с тем, что бы в нем остались только те Меры и Требования, которые отвечают целям безопасности, задаваемым для того типа объектов, для которого строится этот профиль защиты (Рис. 4). Все ненужные в данном профиле защиты меры и требования удаляются. В оставшихся - содержимое корректируется таким образом, что бы оно отвечало целям обеспечения безопасности заданного типа объектов.

 

 

Рис.4. Профиль защиты для систем с разграничением доступа (ПЗ СРД), в котором убраны все записи с функциональными классами и классами гарантий, которые не отвечают целям безопасности ПЗ СРД

 

            На рис.5 можно видеть, как было изменено и конкретизировано требование FAU_GEN.1 в профиле защиты для систем с разграничением доступа (ПЗ СРД). 

            В рассмотренном примере в качестве шаблона использовался полный набор требований ГОСТ Р ИСО/МЭК 15408-2002, но в принципе в качестве шаблона для создания нового профиля можно использовать и любой другой из уже готовых профилей защиты, из которого можно не только удалять ненужные Меры и Требования, но и при необходимости добавлять новые а так же изменять их для достижения нужной степени адекватности целям обеспечения безопасности, которым должен удовлетворять новый ПЗ.

 

 

 

Рис. 5. Конкретизации требования FAU.GEN1.1 общих критериев  в ПЗ СРД

 

            Созданные профили защиты могут быть либо распечатаны на бумаге, либо экспортированы в файл формата редактора WinWord.          Фрагмент генерируемого отчета представлен на рис. 6.

 

Рис. 6.  Фрагмент отчета «Профиль защиты», генерируемого ПК "АванГард-Центр"

 

            Разрабатываемые в системе ПК "АванГард-Центр"  профили защиты могут использоваться, для занесения в структурную модель оцениваемой системы объектов, которые должны оцениваться по заданному ПЗ. Создание таких объектов (ОО) проводится путем выполнения операции «перетаскивания» (“drug and drop”) нужного профиля защиты на ту составляющую структурной модели, в качестве элемента которой должен быть показан объект, безопасность которого будет оцениваться по выбранному  ПЗ. Результат такого рода операции и пример оценок, отражающих фиксацию фактов выполнения отдельных требований, показан на рис. 6.

 

Рис. 7. Пример оценки выполнения требований ПЗ по конкретному оцениваемому объекту

 

            По результатам оценки выполнения требований ПЗ по отдельным ОО  "АванГард-Центр"  позволяет оценить риски невыполнения требований в информационной системе. Пример представления в виде гистограмм оценок рисков невыполнения требований представлен на рис. 8. Чем больше требований не выполняется, тем больше риски, тем выше столбики гистограммы. В рассмотренном примере, значимости отдельных требований приняты одинаковыми, но, в принципе, можно задавать различные значения, отражающие реальную важность отдельных требований для обеспечения безопасности ОО.

 

Рис. 8. Пример графической иллюстрации оценок рисков невыполнения требований ПЗ  в ПК "АванГард-Центр"

           

            Таким образом, КЭС «АванГард» позволяет, не только автоматизировать процесс разработки профилей защиты в соответствии с ГОСТ Р ИСО/МЭК 15408-2002, но  и дает возможность их  использования для оценки выполнения этих требований в информационных системах организации.

 

 

Список литературы

 

1. Петренко С.А., Петренко А.А. Аудит безопасности Intranet – М.: ДМК Пресс, 2002.
2. Проблемы управления информационной безопасностью: Сб. трудов. - М.: Едиториал УРСС, 2002.