Автореферат (Модели и методы комплексной оценки аппаратно-программных средств обеспечения конфиденциальности и целостности информации), страница 2

Разработаны новые многокритериальные классификации злоумышленников, атак и средств обеспечения конфиденциальности и целостности информации, отличающиеся от существующих тем, что позволяют учитывать взаимосвязь между параметрами объектов при моделировании угрознарушения конфиденциальности и целостности информации.2. Создана модель угроз безопасности информационных ресурсов коммерческой организации, позволяющая выделить множество наиболее опасныхатак и отличающаяся от существующих тем, что является формализован5ной, расширяемой и основывается на использовании математического аппарата теории управления рисками и разработанных классификациях.3. Разработан новый детерминированный метод, позволяющий повыситьвременную эффективность алгоритмов дискретного логарифмированиятипа index-calculus, основанный на алгоритме исключения ГауссаЖордана в кольцах вычетов и расширенном алгоритме Евклида, отличающийся от известных аналогов отсутствием требования факторизации.4.

Предложен метод комплексной оценки аппаратно-программных средствобеспечения конфиденциальности и целостности информации, базирующийся на предложенной модели угроз и классификациях, отличающийсяот известных аналогов тем, что позволяет перейти от технических показателей способности системы противостоять угрозам со стороны злоумышленников к экономическим показателям окупаемости.Практическая значимость.

Полученные результаты могут быть использованы при проведении комплексной оценки аппаратно-программныхсредств обеспечения конфиденциальности и целостности информации в рамках внутреннего или внешнего аудита безопасности корпоративной информационной системы, а также анализа рисков нарушения ИБ объекта, защищенного с использованием криптографических средств.Новое техническое решение в виде программного комплекса для решениязадач дискретного логарифмирования, факторизации и проверки чисел напростоту защищено авторскими свидетельствами [21– 23] и отличается отизвестных тем, что содержит необходимые примитивы для создания факторной базы, решета и разложения на множители; включает математическуюбиблиотеку и графическое приложение, обеспечивающее пользователюудобный доступ к функциям библиотеки; обладает компонентной расширяемой архитектурой, обеспечивающей быстрое добавление новых функций вбиблиотеку.Достоверность полученных результатов подтверждается внутренней непротиворечивостью логики исследования, корректным выбором и адекватным использованием математического аппарата, результатами внедрения ипубликацией основных результатов диссертации в ведущих рецензируемыхжурналах.Внедрение.

Результаты диссертационной работы использованы в проектно-конструкторской деятельности ЗАО «ДиалогНаука» в виде программногокомплекса «Инструментальные средства криптоанализа асимметричныхшифров», метода комплексной оценки аппаратно-программных средствобеспечения конфиденциальности и целостности информации и рекомендаций по оценке экономической эффективности инвестиций в ИБ.Основные положения и результаты диссертационной работы вошли в отчёты по научно-исследовательской работе по теме «Исследование и разработка методов оценки эффективности использования криптографическихсредств защиты информации в сфере бизнеса и финансов», получившей государственный грант по конкурсу № НК-623П «Проведение поисковых науч6но-исследовательских работ по направлению «Обработка, хранение, передачаи защита информации» в рамках мероприятия 1.2.2 ФЦП «Научные и научно-педагогические кадры инновационной России» на 2009 – 2013 годы.Научные результаты использованы в учебном процессе кафедры «Управление разработкой программного обеспечения» отделения программной инженерии Национального исследовательского университета «Высшая школаэкономики» при разработке методических пособий по чтению лекций и проведению практических занятий в рамках курсов «Организация и технологиизащиты информации» и «Технологии обеспечения информационной безопасности», а также отражены в методических материалах по курсу «Технологиии продукты Microsoft в обеспечении информационной безопасности», созданного при финансовой поддержке Microsoft.Апробация работы.

Полученные теоретические результаты прошли апробацию на: конференции «РусКрипто2006», научно-исследовательском семинаре МГТУ им. Н.Э.Баумана «Защита информации: аспекты теории и вопросы практических приложений»,научно-технической конференции студентов,аспирантов и молодых специалистов «Информационные технологии в бизнесе» в 2006 г., Межвузовской конференции «Актуальные проблемы современных компьютеров» в 2006 г., Юбилейной студенческой научной конференции, посвященной 70-летию МГУПИ, Международной студенческой школесеминаре «Новые информационные технологии» в 2006 и 2008 гг., VIII Международной конференции «Модернизация экономики и общественное развитие», Весеннем коллоквиуме молодых исследователей в области программной инженерии SYRCoSE'2008 и SYRCoSE'2009, международной конференции SEC(R) 2008, XXXI, XXXII, XXXIV и XXXV Международных молодежных научных конференциях «Гагаринские чтения», VI Всероссийской конференции студентов, аспирантов и молодых ученых «Технологии Microsoft втеории и практике программирования» в 2009 г., 11-м Национальном форумеинформационной безопасности и ХVI Всероссийской научно-практическойконференции «Проблемы информационной безопасности в системе высшейшколы» в рамках «Научной сессии МИФИ-2009», семинаре «2009 Workshopon Cyber Security and Global Affairs», Oxford, XXXIII/XXXV/XXXVII Международных конференциях IT + S&E`06/08/10 «ИТ в науке, образовании, телекоммуникации и бизнесе», научном семинаре кафедры МИЭМ «Информационно-коммуникационные технологии» под руководством д.т.н., проф.В.Н.Азарова в 2010 г., научном семинаре «Проблемы современных информационно-вычислительных систем» под руководством д.

ф.-м. н., проф. В. А.Васенина в Институте проблем информационной безопасности МГУ имениМ.В.Ломоносова в 2011 г.Публикации. По теме диссертации опубликовано 33 печатных работы нарусском и английском языке, из них 3 — в журналах из Перечня изданий, рекомендованных ВАК России [1-3].Объём и структура работы. Работа состоит из введения, четырёх глав,заключения и пяти приложений. Основное содержание работы изложено на7111 страницах (с приложениями – 123 страницы), включая 20 рисунков, 4таблицы и список литературы из 129 наименований.ОСНОВНОЕ СОДЕРЖАНИЕ РАБОТЫВо введении дана общая характеристика работы: обоснована ее актуальность, дан общий обзор предметной области, сформулированы цель и задачиисследования, обозначены объекты исследования работы, определена научная новизна и практическая значимость исследования.В первой главе проведен анализ рациональных предпосылок использованиякриптографических средств защиты информации в коммерческих организациях и определены основные области применения криптотехнологий (раздел 1.1).

Показано, что потребность в использовании криптосистем влечет засобой необходимость применения для оценки качества криптографическихсредств комплексных методов оценки (раздел 1.2). В табл. 1 представлены результаты проведенного анализа современных моделей и методов оценки качества средств защиты информации на базе предложенных в работе критериевих применимости для оценки криптосистемы (раздел 1.3). Показано, что ниодин из рассмотренных методов полностью не соответствует заданным критериям.Таблица 1Сравнительный анализ методов оценки качества средств защиты информацииИспользуемый мат.аппарат / инструментыАнализ криптостойкости (Ростовцев А.Г. идр., 1998)Теория массового обслуживания и теориякатастроф(Иванов В.П.

, 2004)Теория игр(Yee B. S., 2001)Анализ информационных рисков(АванГард - ИСА РАН,2002; ГРИФ – DigitalSecurity, 2006)Анализ криптопротоколов (Bodey et. al., 2003;Boreale M. et.al., 2002;Cheminod M. et.al., 2008)Экспериментальнаяоценка скорости onlineтранзакций (LamprechtC.

et.al., 2006)Применимость кЭкономические Возможности Наличие автоматисовременнымпоказатели злоумышленника зированных средствкриптосистемам+-±±±+±-+±±--++±±--++±-+На основе выявленных недостатков существующих методов оценки качества средств защиты информации сделан вывод, что при построении новыхмоделей и методов комплексной оценки аппаратно-программных средств8обеспечения конфиденциальности и целостности информации необходимоучитывать взаимосвязь между особенностями криптосистемы, потенциальных злоумышленников и возможными сценариями атак на защищаемые информационные активы (раздел 1.4).

Для разработки, внедрения, обеспеченияфункционирования, мониторинга, анализа, поддержки и улучшения СМИБорганизации стандарты семейства ИСО МЭК 27000 предполагают использование процессного подхода.С учетом перечисленных оснований в разделе 1.5 сформулирована цельисследования и определены задачи, которые необходимо решить для ее достижения, а именно: разработать метод комплексной оценки аппаратнопрограммных средств обеспечения конфиденциальности и целостности информации в соответствии с предложенной процессной моделью, представленной на рис.

1.Рис. 1 - Модель процесса комплексной оценки аппаратно-программных средствобеспечения конфиденциальности и целостности информацииВо второй главе предложено осуществлять комплексную оценку аппаратно-программных средств обеспечения конфиденциальности и целостностиинформации в 3 этапа, и показано, какие методы и инструменты потребуютсяна каждом из них (Табл.2 и раздел 2.1 диссертации).Таблица 2Метод комплексной оценки аппаратно-программных средств обеспечения конфиденциальности и целостности информацииЭтапПостроениеугрозмоделиОценка устойчивости криптосистемы к взломуОценка эффективности криптосистемы в денежном выраженииНеобходимые методы/инструментыМодель угроз и классификации криптосистем, злоумышленников и атак для формализации контекста использования СКЗИ в коммерческой организацииМетоданализарисков,использующийразработанную модель угрозСредства оценки криптостойкостиНабор финансовых показателей для оценки эффективности криптосистем с экономических позицийДля моделирования угроз безопасности криптосистемы рассматривать взаимосвязь трех элементов: атаки, злоумышленника и криптосистемы, параметрические модели которых задаются в виде векторов a ∈ Α , b ∈ B и c ∈ C .

Дляописания параметров моделей предложены новые классификации, которыеотличаются от существующих классификаций Ф.Баурера (2000), Ж.Брассара(1988), Б.Шнайера (2003), М.В.Степашкина (2006), О.Кирхгоффа (1883),9К.Ладвера (1994), У.Лингвиста (1997), Н.Полоскиса (2006) и Д.Вебера (1998)тем, что являются многокритериальными и позволяют учитывать взаимосвязьмежду параметрами объектов при моделировании угроз нарушения конфиденциальности и целостности информации.

(в используемой нотацииΑ ⊆ A1 × A2 × ... × A9 , Β ⊆ B1 × B2 × ... × B6 , C ⊆ C1 × C2 × ... × C6 и Ai ( i = 1, 9 ), B j ( j = 1, 6 ),Ck ( k = 1, 6 ) — множество значений i / j / k − го параметра модели, определяющего тип атаки / злоумышленника / криптосистемы в соответствии с критериями разработанных классификаций (см. рис. 2-4), подробное описание которых дано в разделах 2.2 – 2.4 текста диссертации.ВзломщикикриптосистемПо технической оснащенностиПерсональный компьютерСеть ЭВМСуперкомпьютерПо конечной целиОбнаружение слабости в алгоритмеПолный взлом алгоритмаПо доступу к шифрующим средствам«Внутренний» нарушитель«Внешний» нарушительПо уровню подготовкиВзаимодействиес компьютеромна уровнепользователяМатематическийаппаратПрограммированиеЭлектротехникаи физикаСоциальнаяинженерияПо первичной информации о средстве шифрованияПользовательКриптограф«Клептограф»По возможности кооперации«Одиночка»КоллективРис.