КАРТОЧКА ПРОЕКТА ФУНДАМЕНТАЛЬНЫХ И ПОИСКОВЫХ НАУЧНЫХ ИССЛЕДОВАНИЙ,
ПОДДЕРЖАННОГО РОССИЙСКИМ НАУЧНЫМ ФОНДОМ

Информация подготовлена на основании данных из Информационно-аналитической системы РНФ, содержательная часть представлена в авторской редакции. Все права принадлежат авторам, использование или перепечатка материалов допустима только с предварительного согласия авторов.

 

ОБЩИЕ СВЕДЕНИЯ

---

Номер 22-11-00184

НазваниеТехнология обеспечения кибербезопасности от деструктивного воздействия на объекты критической информационной инфраструктуры

РуководительБасан Александр Сергеевич, Кандидат технических наук

Организация финансирования, регион федеральное государственное автономное образовательное учреждение высшего образования "Южный федеральный университет", Ростовская обл

Период выполнения при поддержке РНФ

2022 г. - 2024 г.

Конкурс№68 - Конкурс 2022 года «Проведение фундаментальных научных исследований и поисковых научных исследований отдельными научными группами».

Область знания, основной код классификатора 01 - Математика, информатика и науки о системах, 01-216 - Математические модели и методы защиты, преобразования и передачи информации

Ключевые словазащита информации, интеллектуальные методы, кибер-физическая система, критическая информационная инфраструктура, аномалии, атаки, доверие, угрозы, уязвимости, безопасность, надежность

Код ГРНТИ81.93.29

---

 

ИНФОРМАЦИЯ ИЗ ЗАЯВКИ

---

Аннотация
На сегодняшний день цифровые технологии активно развиваются и используются в современном обществе. Большинство новых технологий возникло в результате четвертой промышленной революции, которая позволила расширить информационные системы и автоматизированные системы управления производством интеллектуальными подсистемами принятия решений. IT-решения (информационные системы, автоматизированные системы управления и информационно-телекоммуникационные сети) в сфере здравоохранения, науки, транспорта, энергетики, атомной энергии, горнодобывающей, металлургической и химической промышленности и ряда других отраслей относятся государством к объектам критической информационной инфраструктуры (КИИ). Для таких объектов причинение деструктивных воздействий, в том числе, проведение компьютерных атак может повлечь существенный вред как самому объекту, так и государству, здоровью и жизни его граждан. Объекты КИИ, построенные с учетом новых цифровых технологий, могут включать в себя следующие ключевые компоненты: «Интернет вещей», «Умный город», «Большие данные», «Умное производство», «Искусственный интеллект». Объектами КИИ могут выступать как типовые системы, включающие сеть предприятия, средства обработки персональных и других категорий данных и т. п., так и специализированные высокотехнологичные системы для организации взаимодействия между исполнительными механизмами и управляющими платами и системы, обеспечивающие взаимодействие между управляющими платами и операторам. Как раз для защиты таких специализированных систем требуются новые решения, предполагающие высокий уровень автономности и применение новых технологий и стандартов. Новые решения необходимы не только потому, что для реализации сетей между исполнительными механизмами и платами используются новые протоколы связи и новое программное обеспечение, но еще и потому, что данные механизмы действуют в условиях ограниченности ресурсов. При этом количество инцидентов, связанных с нарушением информационной безопасности объектов КИИ с каждым годом, растёт. По данным Positive Technologies «По сравнению с 2017 годом количество новых уязвимостей в компонентах АСУ ТП выросло на 30%: на момент подготовки исследования опубликована полная информация о 243 уязвимостях, и еще 14 находятся на стадии анализа». Современные технологии предназначены для минимизации присутствия человека на производстве, любая рутинная и монотонная работа автоматизируется. При этом если обратить внимание на область информационной безопасности, то зачастую, для обеспечения необходимого уровня защиты объекта КИИ нужен целый штат специалистов разного уровня. На сегодняшний день решения в области информационной безопасности выглядят громоздко, иерархично и сложны для понимания. Так, для поддержания центра обеспечения компьютерной безопасности небольшого предприятия требуется от восьми инженеров по информационной безопасности для обработки поступающей информации об инцидентах. Это является одной из причин того, что организации склонны экономить на безопасности. Научная значимость разрабатываемой технологии защиты заключается в том, что она должна позволить объекту КИИ и его компонентам оценивать степень опасности угрозы информационной безопасности, обнаруживать инциденты информационной безопасности и составлять план выхода из инцидента в автономном режиме. Научная новизна: 1. Метод пассивного и активного анализа инфраструктуры, позволявший повысить скорость и точность анализа структурно-функциональных характеристик и расширить функционал существующих решений за счет предоставления возможности анализа служб и протоколов специфичных для объекта КИИ. Научная новизна метода заключается в обеспечении возможности распознавания новых проколов и стандартов связи благодаря анализу полученных структур данных и обнаружению типовых форматов данных. 2. Формализованная методика оценки рисков и угроз информационной безопасности для информационных систем КИИ. На сегодняшний день существуют методики оценки рисков и актуальных угроз, как в России, так и за рубежном. Для повышения точности оценки предлагается разработать дополнительные наборы факторов, влияющие на принятие решений при оценке вероятности и опасности реализации угрозы. Далее методы на основе нечеткой логики будут применены для автоматизации процесса принятия решений. Научной новизной будет обладать также каталог угроз информационной безопасности для объектов КИИ. 3. Интеллектуальная система анализа и мониторинга структурно-функциональных характеристик объекта КИИ, формирующая в автоматическом режиме технический паспорт объекта, где описана сетевая топология системы, информационные потоки и приведена архитектура сети. Информация для анализа структурно-функциональных характеристик будет поступать в виде наборов векторов, которые представляют их четкое описание. 4. Интеллектуальная экспертная система минимизации рисков и выбора наиболее эффективных контрмер для повышения защищённости и отказоустойчивости объекта КИИ, обеспечивающая снижение возможных ошибок при выборе плана реагирования на инцидент, уменьшающая влияние человеческого фактора при решении данных задач, обеспечивающая снижение времени, трудозатрат необходимых для оценки и минимизации рисков кибербезопасности. Разработка данной интеллектуальной экспертной системы позволит автоматизировать процесс определения эффективных рекомендаций по безопасности для пользователя информационной системы КИИ, что приведет к снижению количества ошибок, допускаемых экспертами при выполнении данных задач, снизит субъективность данного процесса, а также снизит количество времени, затрачиваемое на разработку защищенной информационной системы. 5. Метод обнаружения аномального поведения, на основе принципа рефлексии для анализа кибер-физических параметров компонентов объекта КИИ, который позволит системе автономно обнаруживать признаки воздействия, что приведет к повышению защищенности узла от атак при низких затратах вычислительных ресурсов. Данный метод позволит узлу локально обнаруживать критические изменения в анализируемых параметрах по отношению к собственному поведению на протяжении разных временных интервалов. По аналогии с работой человеческого организма, когда замедление пульса может наблюдаться в результате сна, а может быть связано с болезнью и человеческий организм распознает данные состояния, кибер-физическая система должна понимать природу того или иного события и реагировать соответствующим образом. Для этого необходимо определить набор параметров и классифицировать их изменение и степень их изменения с течением времени в зависимости от происходящих событий. 6. Метод глубокого анализа трафика для объекта КИИ, позволяющий на уровне сети выявлять аномальное поведение, что приводит к повышению скорости обнаружения атаки при низких затратах энергетических и вычислительных ресурсов. Данный метод учитывает особенности кибер-физических систем и будет эффективен именно для объектов КИИ. 7. Модель организации базы знаний в области информационной безопасности о кибер-угрозах и инцидентах информационной безопасности, связанных с использованием интеллектуальных технологий, новых цифровых технологий на основе интеграции онтологических моделей представления знаний. 8. Метод установления доверенных отношений компонентов объекта КИИ, обеспечивающий защищенность от атак злоумышленника, направленных на подмену узлов сети и информационных сообщений за счет поддержания цепочек доверия.

Ожидаемые результаты
1. Система самодиагностики для выявления угроз и уязвимостей объектов КИИ, которая позволит сократить время на обнаружение слабых мест с целью минимизации рисков и повышения уровня защищенности от атак по сравнению с существующими решениями. В основе разрабатываемой системы лежит новый метод эффективного сбора и анализа данных о структурно-функциональных характеристиках объекта КИИ на основе распараллеливания процессов сканирования и синхронизации обработки данных, кластеризации участков сети с учетом приоритетов и этапов сканирования. Кластеризация физически означает разбиение сети на множество участков для параллельного сканирования. Кроме того, в типовых информационных системах для анализа инфраструктуры наряду со сканерами безопасности используются анализаторы пакетов, так называемые «сниферы». Для объекта КИИ, который может обладать свойством гетерогенности и использовать новые протоколы, стандарты связи, программное обеспечение, сервисы и т. п. стандартные утилиты могут быть недостаточно эффективны. Предлагается разработка собственной библиотеки для перехвата, классификации и представления трафика. Зачастую, средства защиты информации не используются по нескольким причинам: их сложно настраивать, они требуют больших ресурсов, для работы с ними требуются специалисты. Кроме того, эксперты тратят большое количество времени на сбор информации об объекте информатизации и не всегда могут собрать полную и точную информацию. Разрабатываемая система позволит избежать перечисленных проблем и повысить точность и полноту собираемой информации. Достаточно часто угрозы информационной безопасности возникают из-за неучтённых программно-аппаратных средств или от тех устройств, от которых этого не ожидали, поэтому постоянный мониторинг и анализ архитектуры системы является приоритетной задачей. За счет применения нового метода и системы самодиагностики для выявления угроз планируется повысить скорость сбора информации об объекте, а также скорость и точность построения модели угроз и проработки вероятных сценариев атаки на объект КИИ. Согласно актуальной методике моделирования угроз принятой ФСТЭК (от 5 февраля 2021 года) недостаточно просто указать актуальные угрозы, а необходимо проработать сценарии вероятных атак. Данная проблема приводит к тому, что актуальность угроз в модели зависит от степени компетентности, субъективности оценки эксперта. Предлагаемый результат будет включать: формализованную методику оценки рисков и определения актуальных угроз информационной безопасности для объекта КИИ; методику определения вероятного нарушителя для объекта КИИ; базу данных правил принятия решений для интеллектуальной экспертной системы на основе новых методик анализа рисков, определения актуальных угроз и вероятного нарушителя для объекта КИИ. Данная система позволит снизить субъективный фактор при оценке уровня защищенности системы. Подобная разработка может иметь мировое значение и позволить конкурировать с зарубежными компаниями. Подобные системы и методики разрабатываются иностранными компаниями (например, ThreatModeler) и имеют высокую стоимость (зачастую недоступны российскому потребителю). Предлагаемая система будет реализована в виде набора сервисов и программ, которые осуществляют диагностику объекта КИИ на предмет угроз и уязвимостей информационной безопасности, как на этапе проектирования, так и на этапе эксплуатации системы, что в дальнейшем позволит принять меры по устранению выявленных угроз и минимизации рисков информационной безопасности. 2. Метод выявления аномального поведения процессов объекта КИИ с целью выявления активных атак, обеспечивающий уровень обнаружения атак не менее 80%. Данный метод позволит объекту КИИ автономно обнаруживать следы или признаки воздействия на него путем анализа изменений собственных кибер-физических параметров. Это приведет к повышению защищенности от атак при низких затратах вычислительных ресурсов. В результате выполнения проекта планируется создание технологии обнаружения аномального поведения на основе нового метода обнаружения аномалий с использованием принципа рефлексии. Данная технология позволит обеспечивать надежное функционирование объекта КИИ даже в условиях агрессивной окружающей среды, а также возможности проведения кибер-физических атак на систему. Повышение надежности и отказоустойчивости планируется достигнуть на основании того, что система будет способна отслеживать собственное состояние и принимать решение о наличии аномального поведения, как отдельных компонентов системы, так и системы в целом. Для демонстрации планируется разработка программного комплекса, осуществляющего функции сбора информации о параметрах системы, их анализ и принятие решения о наличии аномалии. Внедрение новых методов и принципов обеспечения информационной безопасности позволит конкурировать с мировыми лабораториями, участвующими в разработке решений по обнаружению атак. Новый метод на основе принципа рефлексии позволит системе оценивать свое поведение и принимать решение о его корректировке. Научный интерес составляет анализ и сравнение интеллектуальных методов принятия решений в рамках поставленной задачи, а именно, будут проанализированы методы на основе искусственных нейронных сетей и методы на основе систем правил, а также нечеткой логики. 3. Система определения наиболее эффективных контрмер на основе интеллектуальных методов для реагирования на инциденты информационной безопасности с наименьшими потерями для объекта КИИ. Для разработки данной системы наряду с принятыми практиками по принятию решений для минимизации рисков и последствий инцидента безопасности планируется изучить и интегрировать в практики из области экономики. По аналогии с тем, как рассчитываются экономические риски, логистические связи, планируется анализировать возможные сценарии реагирования на инциденты кибербезопасности. В данном случае применение экономических практик вполне оправдано, так как при возникновении инцидента кибербезопасности на объекте КИИ страдает не только сама система и программно-аппаратное обеспечение, передаваемые данные, но и конечный продукт или объект, которым управляет система. К примеру, при возникновении атаки отказ в обслуживании на предприятии энергетического сектора может произойти отключение электроэнергии. Что в конечном счете скажется, как на потребителе, так и на производстве. Подобных примеров атак, которые затрагивают объекты КИИ, немало и их количество растет. Большинство мировых исследователей уделяет особое внимание оценке и минимизации рисков при обеспечении защиты объекта КИИ. Таким образом, данный результат позволит конкурировать с мировыми лабораториями, так как будет построен на новых современных практиках, интегрированных в систему. 4. Технология защиты от деструктивного воздействия на объект КИИ на основе непрерывного мониторинга и оценки состояния системы, обеспечивающая своевременное выявление инцидента кибербезопасности и вырабатывающая план реагирования для минимизации негативных последствий. В конечном счете технология будет включать в себя: метод обнаружения аномалий на основе рефлексии, программное средство управления информационной безопасностью и систему определения контрмер для реагирования на инцидент. Подобные технологии очень важны при обеспечении безопасности объектов КИИ. На сегодняшний день оценка угроз и аномалий часто сводится к ручному труду. Несмотря на то, что сегодня достаточно популярными являются центры мониторинга и обеспечения безопасности (SOC (Security Operations Center)). Возникающие инциденты информационной безопасности поступают в единый центр обработки, где непосредственно человек принимает решение о наличие атаки. Несмотря на то, что специалисты SOC утверждают, что их труд автоматизировать невозможно, с научной точки зрения данная проблема может быть частично решаема. Данное исследование основывается на том, что объект КИИ сможет самостоятельно обнаруживать неисправности и предлагать пути решения, а также оценивать степень критичности инцидентов. Таким образом, данный результат является существенным с точки зрения информационной безопасности, а также обеспечения надежности и отказоустойчивости объекта КИИ. В конечном счете разрабатываемая технология повысит устойчивость и стабильность в экономической и социальной сфере, за счет сокращения числа успешных атак на систему, которые приводят к возникновению критических последствий.

---

 

ОТЧЁТНЫЕ МАТЕРИАЛЫ

---