WWW.DISS.SELUK.RU

БЕСПЛАТНАЯ ЭЛЕКТРОННАЯ БИБЛИОТЕКА
(Авторефераты, диссертации, методички, учебные программы, монографии)

 

На правах рукописи

МОЛЯКОВ Андрей Сергеевич

МОДЕЛИ И МЕТОД ПРОТИВОДЕЙСТВИЯ СКРЫТЫМ УГРОЗАМ

ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

В СРЕДЕ ОБЛАЧНЫХ ВЫЧИСЛЕНИЙ

Специальность 05.13.19 – «Методы и системы защиты информации,

информационная безопасность»

Автореферат диссертации на соискание ученой степени кандидата технических наук

Санкт-Петербург – 2014 2

Работа выполнена в федеральном государственном бюджетном образовательном учреждении высшего профессионального образования «Санкт-Петербургский государственный политехнический университет» и федеральном государственном унитарном предприятии « Научно-исследовательский институт Квант».

Научный руководитель: Заборовский Владимир Сергеевич, доктор технических наук, профессор, заведующий кафедрой «Телематика» ФГБОУ ВПО «СанктПетербургский государственный политехнический университет»

Официальные оппоненты: Воробьев Владимир Иванович, доктор технических наук, профессор, заведующий лабораторией информационно-вычислительных систем Санкт-Петербургского института информатики и автоматизации РАН Гугель Юрий Викторович, кандидат технических наук, доцент, директор СанктПетербургского филиала ФГАУ ГНИИ ИТТ «Информика»

Федеральное государственное автономное научное

Ведущая организация:

учреждение «Центр информационных технологий и систем органов исполнительной власти» Министерства образования и науки РФ (ЦИТиС), г. Москва

Защита состоится «6» октября 2014 г. в 17.30 на заседании диссертационного совета Д 212.229.27 при ФГБОУ ВПО «Санкт-Петербургский государственный политехнический университет» по адресу 195251,Санкт-Петербург, ул. Политехническая, 29, ауд. главного здания.

С диссертацией можно ознакомиться в библиотеке и на сайте ФГБОУ ВПО «Санкт-Петербургский http://www.spbstu.ru/science/defences.html государственный политехнический университет».

Автореферат разослан : « » 2014 г.

Ученый секретарь диссертационного совета Платонов Владимир Владимирович

ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ

Актуальность темы диссертации Стремительное развитие технологий виртуализации и облачных вычислений формирует новые источники угроз информационной безопасности, которые часто носят скрытый характер, что необходимо учитывать при создании нового поколения систем кибербезопасности. Использование скрытых каналов для организации атак на компьютерные ресурсы существенно затрудняет возможность противодействовать угрозам нарушения конфиденциальности, целостности и доступности информационных ресурсов, так как современные шлюзы, межсетевые экраны и системы обнаружения вторжений ориентированы на защиту информации, доступ к которой осуществляется по открытым протоколам и каналам связи. Поэтому для обеспечения безопасности информации в среде облачных вычислений важное значение приобретают средства защиты, позволяющие контролировать потоки данных на различных уровнях информационного взаимодействия, включая контроль транзакций и механизмов инициализации процессов доступа к информационным ресурсам на уровне гипервизоров и гостевых операционных систем (ОС).

Актуальность разработки технологии противодействия попыткам внешних и внутренних нарушителей изменить состояние защищенности информационных ресурсов в среде облачных вычислений отмечается многими российскими и зарубежными учёными, в том числе В.А. Курбатовым, П.Д. Зегждой, А.А. Грушо, Е.Е. Тимониной, В.Ю.

Скибой, Н.А. Гайдамакиным, А.А. Гладких, В.С. Заборовским, С. Воглом, Р. Сэйлером, Ф.

Мортинелли, Дж. Рутковской и др. В их работах большое внимание уделяется разработке методов противодействия скрытым угрозам и созданию средств защиты информации, в которых учитываются особенности виртуализации аппаратных ресурсов, существенно влияющие на состояние защищенности системных и прикладных программных процессов.

Результаты исследований, проведенных данными авторами, позволяют сделать вывод о том, что перспективным направлением совершенствования технологий защиты информации в среде облачных вычислений является разработка методов противодействия угрозам, реализуемым с помощью процессов, в которых субъекты и объекты информационного взаимодействия могут использовать различные каналы передачи данных, в том числе и скрытые. Для борьбы с такими угрозами требуется разработка новых средств защиты информации, основанных на методах оперативной идентификации потенциальных уязвимостей, возникающих как на уровне процессов контроля доступа к ресурсам гостевых ОС, так и на уровне системных вызовов гипервизоров, которые при определенных условиях могут сами становиться источниками различных видов разрушающих воздействий.

Особую опасность для среды облачных вычислений представляют разрушающие воздействия, которые нарушают функционирование подсистем гипервизора, отвечающих за планирование задач и верификацию команд на их соответствие требованиям информационной безопасности. Возникающие угрозы необходимо не только оперативно выявлять, но и блокировать используемые злоумышленниками неавторизованные каналы информационных воздействий, которые в среде облачных вычислений обычно реализуются в скрытых для гостевых ОС режимах. Для создания средств контроля доступа, повышающих эффективность обнаружения и блокирования скрытых угроз, требуются модели безопасности информационных ресурсов, учитывающие специфические свойства потенциальных угроз, активный характер субъектов и объектов взаимодействия, включая особенности выполнения операций на уровне всех компонентов гипервизора. С учетом вышесказанного, противодействие скрытым угрозам информационной безопасности в среде облачных вычислений, направленных на модификацию программных кодов, подмену субъектов и объектов информационного обмена, нарушение целостности и доступности ресурсов, блокирование доступа и навязывание ложной информации, является актуальной научно-технической задачей, решению которой посвящена данная диссертационная работа.



Целью исследования является разработка моделей и метода противодействия скрытым угрозам информационной безопасности в среде облачных вычислений.

Для достижения поставленной цели в диссертационной работе были решены следующие задачи:

Разработана модель скрытых угроз информационной безопасности, учитывающая активный характер субъектов и объектов информационного взаимодействия.

Разработана модель операций, происходящих с данными при их обработке в среде облачных вычислений, позволяющая формализовать описание информационных процессов в виде мультиграфа транзакций.

Разработан метод противодействия скрытым угрозам, основанный на использовании модели операций и оценке уровня информационной безопасности проводимых транзакций.

Разработан алгоритм предикативной идентификации скрытых угроз, основанный на использовании матрицы инциденций мультиграфа транзакций и правил, отражающих требования политики безопасности для гостевых ОС и подсистем гипервизора.

Создан опытный образец программного обеспечения «Монитор-Альфа» и проведена его апробация при защите от скрытых угроз информационной безопасности в среде облачных вычислений.

Методы исследования: для решения сформулированных задач использовался аппарат теории графов, теории алгоритмов, теории вероятностей, теории игр, методы защиты информации и компьютерного реверс-инжиниринга.

Объект исследования: скрытые угрозы информационной безопасности в среде облачных вычислений.

Предмет исследования: модели, методы и алгоритмы обнаружения скрытых угроз на уровне гипервизора среды облачных вычислений и гостевых операционных систем виртуальных машин (ВМ).

Научная новизна работы результатов диссертации заключается в разработке:

Модели скрытых угроз информационной безопасности, в которой учитывается активный характер субъектов и объектов информационного взаимодействия.

Модели операций, позволяющей представить формализованное описание информационных процессов в среде облачных вычислений в виде мультиграфа транзакций.

Метода противодействия скрытым угрозам, основанного на контроле транзакций, отвечающих требованиям политики безопасности.

Положения, выносимые на защиту:

Модель скрытых угроз информационной безопасности в среде облачных вычислений, учитывающая активный характер субъектов и объектов информационного взаимодействия.

Модель операций, происходящих с данными при их обработке в среде облачных вычислений, позволяющая представить формализованное описание безопасных информационных процессов в виде мультиграфа транзакций.

Метод противодействия скрытым угрозам в среде облачных вычислений, основанный на контроле транзакций, отвечающих требованиям выбранной политики безопасности.

Алгоритм идентификации скрытых угроз, основанный на предикативном анализе мультиграфа транзакций и верификации команд, выполнение которых не нарушает требований безопасности на уровне процессов гостевой ОС и гипервизора среды облачных вычислений.

Обоснованность и достоверность представленных в диссертационной работе научных положений обеспечивается проведением анализа исследований в данной области и апробацией полученных результатов в печатных трудах и докладах на всероссийских и международных научных конференциях.

Практическая значимость работы. Результаты исследований, полученные в ходе выполнения диссертационной работы, были успешно апробированы автором при создании VIPNet ОfficeFirewall 3.0(ОАО «ИнфоТеКС»), при создании модуля проактивной защиты программного продукта «Антивирус Касперского», при разработке авторского программного комплекса «Монитор-Альфа», при выполнении ряда договорных научно-исследовательских работ со стороны заказчика (ЗАО РНТ, ФГУП НИИ «Квант», НПО РУСНЕТ, НПО ФРАКТЕЛ), а также в учебном процессе и научных исследованиях на кафедре «Телематика» ФГБОУ ВПО «СПбГПУ» по дисциплинам «Сети ЭВМ и телекоммуникаций» и «Методы и средства защиты компьютерной информации».

Апробация и публикация результатов работы.

Основные результаты исследования обсуждались на Общероссийской научнотехнической конференции Информационная безопасность регионов России, СанктПетербург, 2013 г.; на научном семинаре Центра подготовки специалистов компании «ИнфоТеКС», Москва, 2012 г.; на научном семинаре Департамента антивирусных исследований компании «Лаборатория Касперского», Москва, 2012 г.; на научнопрактической конференции MicroSoft «Современные подходы в построении защищенных систем», Москва, 2011 г.; на международном семинаре компании IBM «Новые технологии в области создания защищенных ОС», Москва, 2008 г.; на IV межвузовской конференции молодых ученых, Санкт-Петербург, 2007 г.; на XI научно-практической конференции «Теория и технология программирования и защиты информации», СанктПетербург, 2007 г.; на научно-технической конференции «День антивирусной безопасности», Санкт-Петербург, 2007 г.; на XXXVII научной и учебно-методической конференции СПбГУ ИТМО, Санкт-Петербург, 2008 г.; на 9 Международной научнопрактической конференции, Таганрог, 2008 г.

Основные результаты и положения работы опубликованы в 20 научных статьях, в том числе 10 статей в изданиях, входящих в перечень Высшей аттестационной комиссии Министерства образования и науки Российской Федерации.

Структура и объем диссертационной работы. Диссертационная работа объемом машинописные страницы, содержит введение, четыре главы и заключение, список литературы, содержащий 91 наименование, и 1 приложение. Общий объём работы – 144 страницы, 20 рисунков и 17 таблиц.

СОДЕРЖАНИЕ ДИССЕРТАЦИИ

Во введении обоснована важность и актуальность темы диссертации, определены цель и задачи исследований, показана научная новизна и практическая значимость.

В первой главе представлен обзор основных методов и моделей противодействия угрозам информационной безопасности в среде облачных вычислений. Проведен анализ существующих угроз, реализуемых с использованием скрытых каналов и недекларированных возможностей программного обеспечения (ПО). Показано, как реализация скрытых угроз позволяет вредоносному коду маскироваться под системный процесс, нанося ущерб безопасности среды облачных вычислений посредством блокирования, хищения, уничтожения или несанкционированной передачи информации.

Особое внимание уделено анализу недостатков современных технологий защиты информации в среде облачных вычислений, которые не учитывают динамический характер предоставляемых прикладных и системных программных сервисов. Показано, как облачные системы класса «инфраструктура как сервис» могут стать источником угроз нарушения безопасности программного обеспечения, что связано с активным характером взаимодействия субъектов и объектов доступа к информационным ресурсам, приводящим к рискам нарушения целостности и доступности программных сервисов, предоставляемых в режиме удаленного доступа. Отмечено, что особую опасность предоставляют угрозы, которые реализуются внутри периметра безопасности компьютерной сети, так как их локализация с применением современных средств защиты информации (СЗИ), например, антивирусов и сканеров безопасности, встречает существенные трудности. Поэтому для создания эффективных механизмов защиты ПО в среде облачных вычислений требуется разработка новых моделей угроз и создание методов отражения компьютерных атак, которые позволяют оперативно идентифицировать скрытые и потенциально опасные процессы информационного взаимодействия. На основе проведенного анализа и оценки влияния новых угроз на состояние защищенности ресурсов среды облачных вычислений в главе определена цель диссертационного исследования и сформулирован перечень научно-технических задач, решение которых обеспечивает ее достижение.

Во второй главе разработана модель скрытых угроз, в которой учитывается активный характер субъектов и объектов информационного взаимодействия. Для формализации описания рассматриваемых процессов предложена модель операций, выполняемых на разных уровнях функционирования среды облачных вычислений. В предложенной модели операций различные компоненты гипервизора рассматриваются в качестве потенциального источника угроз информационной безопасности, которые реализуется путем распространения вредоносного программного обеспечения или инициализации процессов, разрушающих состояние защищенности ресурсов среды облачных вычислений. С помощью разработанной модели предложено формализованное описание угроз, которые формируют последовательности некорректных запросов к программным модулям гипервизора или используют недекларированные возможности системного и прикладного ПО. Эти последовательности позволяют классифицировать операции, которые используют злоумышленниками при реализации скрытых угроз информационной безопасности в среде облачных вычислений. Для блокировки возникающих угроз предложено описание операций, которое позволяет идентифицировать системные вызовы гостевых ОС с целью «встраивания» вредоносных программных кодов в среду исполнения на уровне планировщика задач и диспетчера работы с оборудованием.

Предложенный в главе подход к описанию операций основан на классификации рисков нарушения информационной безопасности и анализе контекста выполнения потоков команд, посредством которых могут передаваться данные в обход требований принятой политики безопасности, что приводит нарушению защищенности ресурсов гипервизора. В разработанной модели носителями анализируемых операций являются множества объектов и субъектов доступа, которым присвоены различные уровни безопасности. Для контроля уровня безопасности операций порождения новых субъектов, а именно операции Create (Subi,Om) Subj, предлагается использовать признак неизменности объекта, порождающего субъект доступа. Показано, что если этот признак выполняться для момента времени t > t0, где t0 - момент активизации операция, то порождение нового субъекта с номером j становится возможным только при выполнении условия Om[t] = Om[t0], где Sub – субъект доступа, Om – объект доступа, j, m – номера объектов в предложенной спецификации рассматриваемой облачной среды.

Для расширения функциональности в разработанной модели операций введено четыре уровня привилегий команд, а именно: Priv0 - уровень привилегий команд процессора, Priv1 – уровень привилегий ядра ОС, Priv2 – уровень привилегий администратора безопасности сервера виртуализации, Priv3 – уровень привилегий пользователей.С учетом того, что существенной особенностью операций в среде облачных вычислений является возможность изменения роли субъектов и объектов информационного взаимодействия, для контроля неизменности объектов предлагается использовать специальные механизмы идентификации контекста выполнения процессов.

В результате любой инициатор процесса доступа может использовать только разрешенные последовательности операций, признак которых задается кортежем предикатов вида:

s – простой предикат, определяющий контекст выполнения процесса в соответствии с условиями:

Выражение max(Privi,Privj) означает выбор максимального значения из Privi и Privj, min(Privi,Privj) – минимального значения, Privi – уровень привилегий доступа в Ri состоянии, Privj – уровень привилегий доступа в Rj cостоянии. Так, если предикат s в (1) равен 0, то процесс (поток) получает статус System, то есть описывает объект, которому делегирован максимальный уровень полномочий (возможность выполнять привилегированные команды процессора), а если предикат s равен 1, то процессу(потоку) приписывается статус обычного приложения.

В свою очередь простой предикат Ord задает признак родительского или дочернего процесса (потока):

Множеством значений предиката Context_type является трит{1,0,-1}, который характеризует контекст выполнения операций. Так, при Context_type = 1 разрешены операции чтения/записи в область памяти приложений; при Context_type = 0 реализуется режим ожидания новых транзакций, без осуществления операций записи данных; при Context_type = -1 разрешены операции чтения/записи в привилегированную область памяти гостевой ОС.

С использованием введенных обозначений модель функционирования гипервизора может быть представлена конечным автоматом вида:

где mod i M – множество всех компонентов среды взаимодействия процессов;

переменные Ei и Vi E – задают множество событий или входных воздействий, изменяющих состояния гипервизора, переменная start – задает начальное состояние виртуальной машины, переменная Privi – уровень привилегий в Ri состоянии;

отображение Fi: Ri x Vi Rj – задает функцию перехода из состояния Ri в Rj под внешним воздействием Vi.

Внешние воздействия Vi представляют собой запросы пользователей ВМ, поступающие на обработку в гипервизор, или процессы вредоносного ПО, модифицирующие компоненты гипервизора.

Предложенная модель операций позволяет оперативно построить отображение Ri {1|0} как конъюнкцию простых предикатов, характеризующих состояния компонентов гипервизора. Для разрешенных состояний гипервизора формализованное описание операций порождения субъектов или объектов доступа может быть представлена в следующем виде: Create (Subi,Om,s,Ord,Context_type) Subj, Create (Om,s,Ord,Context_type) Ol. При этом таблицы разрешенных связей объектов и субъектов доступа, с помощью которых осуществляется контроль транзакций порождения новых объектов, могут быть расширены за счет состояний, порождающих скрытые угрозы.

В результате предикативная функция идентификации скрытых угроз может быть представлена как отображение 8-уровневой модели операций на множество его возможных состояний, состоящее из опасных, безопасных и неопределенных подмножеств. Поэтому модель скрытых угроз описывается в виде расширенного кортежа:

• Source – субъект доступа или процесс источник угрозы;

• Services – набор шаблонов политик безопасности (ПБ), используемых традиционными СЗИ ( например, правила фильтрации для межсетевых экранов и • Devices – список устройств, установленных на серверах виртуализации и используемых гостевыми операционными системами ВМ (диск, сетевой контроллер и т.п.), как объекты доступа;

• {proc} – множество субъектов воздействия (вредоносный код гипервизора, несертифицированные средства виртуализации и.т.п.);

• Actions – список операций субъекта, выполняемых с ресурсами объекта доступа (выполнение команд read, write, append,create, execute, delete и т.п.);

информационного взаимодействия;

• {vm} – объекты воздействия (например, множество виртуальных машин).

• Security-Roles – процедуры ролевой политики безопасности, используемые для противодействия скрытым угрозам, реализуемые в виде набора меток безопасности, которые представляют собой значения кортежа(1).

В конце второй главы предложено расширение модели угроз, описывающей уязвимости гипервизора с учетом состава и направленности операций, реализуемых в рамках схемы информационного взаимодействия «субъект-действие-объект».

Показано, что активный характер субъектов и объектов порождает новый класс угроз, в которых злоумышленник (субъект) атакует сервер виртуализации (объект), модифицируя отдельные компоненты гипервизора (таблица 1).

Таблица 1 - Перечень угроз, влияющих на безопасность гипервизора.

Нестандартное выполнение команд ВМ в Получение несанкционированного Нарушение однозначности переходов Получение несанкционированного состояний при информационном обмене доступа к данным пользователя, между ВМ и гипервизором расположенным на разных виртуальных Модификация программных компонентов Распространение вредоносного ПО в При этом модифицированные гипервизоры, установленные на серверах виртуализации, которые находятся в одной или разных подсетях, становятся скрытыми участниками компьютерной атаки (субъектами доступа), а выполняемые под их управлением прикладное программное обеспечение пользователей – объектами доступа.

Предложено процессы взаимодействия в гипервизоре декомпозировать на 8уровневую иерархическую структуру (рис. 1) Рисунок 1. Структура взаимодействия процессов в гипервизоре На рис. 1 используются следующие обозначения: Ri, i = 1...8 – состояния процессов; S1 – уровень приложений; S2 – уровень ядра гостевой ОС; S3 – уровень обработчиков прерываний; S4 – уровень менеджера памяти гипервизора; S5 – уровень подсистемы-ввода вывода гипервизора; S6 – уровень планировщика задач гипервизора;

S7 – диспетчер работы с оборудованием гипервизора; S8 – уровень исполнительного процессора. На уровнях S1 - S5 функционируют традиционные СЗИ, которые используют наборы правил контроля доступа, отвечающих требованиям политики безопасности. На уровнях S6 - S7 реализуются скрытые для гостевых ОС угрозы, а на уровне S осуществляется контроль выполнения операций. Левыми стрелками p1, p2, p3, p4, p5, p6, p7 обозначены переходы в мультиграфе транзакций без изменения контекста выполнения операций. Правыми стрелками q1, q2, q3, q4, q5, q6, q7 обозначены переходы с изменением контекста выполнения операций, когда компонент mod i модифицирован вредоносным ПО.

На основе предложенной декомпозиции модель операций можно конструктивно представить с помощью мультиграфа транзакций, который описывает разрешенные механизмы инициализации процессов доступа к прикладным и системным информационным ресурсам. В результате предложенной формализации описание скрытых угроз сводится к введению контекстно-зависимых переходов в мультиграфе транзакций, поэтому для их выявления требуется разработка эффективных алгоритмов идентификации состояния как прикладных, так и системных процессов.

Для разработанной модели операций условие разрешимости задачи противодействия скрытым угрозам сформулировано в виде теоремы 1:

Теорема 1. Необходимым условием разрешимости задачи противодействия скрытым угрозам в среде облачных вычислений является наблюдаемость переходов состояний в мультиграфе транзакций.

В работе показано, что наблюдаемость переходов мультиграфа требует их представления в виде набора простых предикатов или их конъюнкции. Этот результат сформулирован в виде леммы 1:

Лемма 1. Для наблюдаемости переходов необходимо и достаточно, чтобы матрица инциденций мультиграфа была невырожденной.

Основным теоретическим результатом второй главы диссертации является теорема 2, в которой доказывается, что:

Теорема 2. Не существует мультиграфа транзакций гипервизора, который изоморфен подграфу запросов на выделение ресурсов для ВМ, если число уровней иерархии, на которых осуществляется контроль выполнения операций, меньше восьми.

Так как носителем состояний гипервизора, является множество событий E, которое состоит из двух непересекающихся подмножеств: Ehv - множества событий, возникающих на уровне гипервизора, множество Evm – множество событий, генерируемых виртуальными машинами vm, в том числе запросы пользователей на изменение сценариев конфигураций запускаемых ВМ {сonf}, то нарушитель может использовать для организации атаки события, генерируемые виртуальными машинами посредством «встраивания» вредоносных операций на нижние уровни иерархии среды выполнения команд, которые не контролируются традиционными СЗИ. Такие действия реализуются посредством каналов межпроцессного обмена, изменяющего контекст выполнения операций, что позволяет злоумышленнику менять последовательность переходов с одного функционального уровня модели гипервизора на другой. На рисунке 2 приведен пример перехвата системного вызова гостевых ОС на уровне гипервизора с учетом возможности возникновения скрытых угроз безопасности для информационных ресурсов виртуальных машин ВМ1 и ВМ2. Принимая во внимание структуру взаимодействия системных и прикладных процессов (рис.1), переходы между всеми состояниями гипервизора можно описать с помощью мультиграфа транзакций, а именно G=, где состояния гипервизора Ri представляют вершины мультиграфа, а ребра Di – возможные переходы между этими состояниямиi; Ij - матрица инциденций мультиграфа. Как видно из рисунка 2, компоненты гипервизора могут модифицироваться вредоносным ПО в результате атак внутреннего нарушителя с помощью перехвата данных модулями вредоносного ПО. На рисунке 2 стрелками 1 обозначено прохождение запроса от ВМ1 к гипервизору, стрелками 5 – прохождение запросов от ВМ2 к гипервизору.

Стрелками 3 показаны каналы перехвата данных модулями вредоносного программного обеспечения, например Ice Brute, RuStock, DRM, Croax, RedDragon, BluePill, VICEToolkit, которое модифицируют данные, полученные от пользователя ВМ1 (стрелки 2), отправляя их (стрелка 4) с использованием штатного драйвера для работы с устройством (например, диск, сетевой контроллер и т.п.), нарушает безопасный режим работы ВМ2.

Так как современные СЗИ функционируют на более высоких уровнях взаимодействия процессов в среде выполнения команд (уровни S1- S4), поэтому они не могут блокировать действия вредоносного программного обеспечения на уровнях S5 - S7.

Рисунок 2. Пример перехвата системного вызова гостевой ОС Разработанное описание процессов позволяет идентифицировать их состояние на всех уровнях модели операций, что открывает новые возможности обнаружения и блокирования последствий разрушающих воздействия от явных и скрытых угроз нарушения информационной безопасности в среде облачных вычислений.

В третьей главе предложен метод обнаружения скрытых угроз с использованием мультиграфа транзакций и реализован алгоритм предикативной идентификации скрытых угроз информационной безопасности на основе матрицы инциденций мультиграфа и таблиц правил ПБ. С этой целью введено понятие «контекст выполнения переходов», который представляется в виде дерева реберных графов для каждого узла мультиграфа транзакций.

Разработанный метод основан на том, что набор меток {m} для «раскрашивания»

мультиграфа транзакций представляется значениями предикатов, входящих в кортеж (1).

Поэтому каждый запрос к информационным ресурсам виртуальных машин формально описывается в виде кортежа и поля идентификатора Context_id.

Изменение контекста выполнения запроса приводит к изменению матрицы инциденций гипервизора.

Неоднозначность переходов между узлами мультиграфа транзакций объясняется существованием неконтролируемых состояний гипервизора. Однако, как показано в главе 2, связанные с этими состояниями функции предикатов разрешимы для всех наборов контролируемых переменных. Поэтому наряду с описанием информационных процессов с помощью мультиграфа транзакций для каждого отдельного процесса можно построить граф порожденных им процессов, которые связаны общим идентификационным номером Context_idi и наборами меток. Алгоритм предикативной идентификации скрытых угроз информационной безопасности может быть представлен следующей последовательностью шагов:

Шаг 1. Построить мультиграф транзакций.

Шаг 2. Представить контекст выполнения запроса в виде набора меток {m}.

Шаг 3. Провести анализ корректности завершения команд с точки зрения требований информационной безопасности.

Требования политики безопасности формулируются в терминах, которые задают последовательность обработки операций и ограничений на возможность повышения привилегий процессов модели, представленной на рисунке 1. При этом на каждом уровне модели операций S1-S8 ведется протоколирование событий и результатов, включая параметры T - время и Res - результат выполнения операций, а мультиграф транзакций «раскрашивается» с помощью набора меток. Ограничение на повышение привилегий и контроль переходов при изменении контекста операций задаются значениями кортежа предикатов Pi. = (s, Ord, Context_type), а контроль выполнения потоков, порождаемых субъектами доступа, реализуется на основе принципа наименьших привилегий (табл. 2).

На рисунке 3 приведена схема работы алгоритма предикативной идентификации скрытых угроз в среде облачных вычислений. Показано, что алгоритм идентификации позволяет обнаружить вредоносное программное обеспечение в компонентах гипервизора и гостевых ОС, когда в качестве входных параметров используются списки запросов от пользователей виртуальных машин, которые представляются определенным набором операций.

Алгоритм учитывает особенности функционирования программных эмуляторов устройств, которые обрабатывают системные вызовы гостевых ОС, планировщика задач (уровень S6), диспетчера оборудования (уровень S7) и модуля аппаратной виртуализации (уровень S8). Требования правил политики безопасности, заданные в табличной форме, используются для контроля запросов от гостевых ОС.

Рисунок 3. Схема работы алгоритма предикативной идентификации скрытых угроз Процедура поиска скрытых угроз представляет собой цикл, в котором анализируются списки запросов, на основе значения функции оценки состояния Pi : если Pi= true, процесс добавляется в список разрешенных, если Pi=false, формируется список запрещенных процессов. В результате работы алгоритма создается база данных вредоносного программного обеспечения, которая периодически обновляется. На основе таблиц безопасных операций контролируется активность сетевых приложений и отслеживаются входящие и исходящие пакеты данных.

В четвертой главе производится анализ эффективности предложенных моделей и метода, выполняется этап верификации посредством проведения математического моделирования и экспериментальной проверки разработанного метода. Показано, как злоумышленники, используя скрытые для гостевых ОС каналы информационного взаимодействия, способны «обойти» традиционные средства защиты.

Предложена оценка эффективности использования разработанной модели операций для решения задач противодействия скрытым угрозам информационной безопасности в среде облачных вычисленийдля разных типов гипервизоров. Оценка результатов успешного обнаружения сторонних программных агентов проводилась на тестировочном стенде VIPNet – Coordinator, который объединяет 50 сервисных узлов, 2 сервера, рабочих станций операторов(пользователей) и представляет собой виртуальную защищенную сеть.

На рисунке 4 приведен пример организации программного комплекса верификации команд, генерируемых двумя виртуальными машинами, функционирующих в среде облачных вычислений. Комплекс включает в себя прокси-модуль ядра гостевой ОС и модуль верификации команд. Проксирующий модуль перехватывает обращения к обработчику прерываний и менеджеру памяти, осуществляет контроль операций вводавывода при работе с эмуляторами устройств. Модуль верификации контролирует выполнение команд на уровне исполнительного региона процессора.

Рисунок 4. Функциональная организация программного комплекса При проведении экспериментальных исследований возможностей модификации гостевых ОС и гипервизора (таблица 3 и таблица 4) использовались различные вредоносные программы: SevenPandora, Hox, HackerDefender, Storm, Croax, Legend, BluePill, VICEToolkit, DRM, IceBrute, Rustock, Dragon.

Таблица 3 - Сравнение результатов работы алгоритмов.

Эффективность разработанной системы защиты оценивалось на основе применения разных средств защиты и анализа числа успешных распознаваний и ошибок.

Полученные данные наглядно иллюстрируют, что «классические» методы контроля и защиты ПО с использованием 4 базовых уровней модели операций S1 - S4 показывают худший результат по сравнению со случаем установки модуля контроля и защиты ПО, функционирующего на уровне S5 при малой интенсивности активных запросов и на уровнях S6 - S7 при пиковой активности. В таблице 4 символом «+» обозначено успешное распознавание угрозы, а символом «-» - ошибка распознавания. Апробация теоретических результатов диссертации и экспериментальная проверка эффективности разработанных моделей, метода защиты и алгоритма предикативной идентификации позволили создать опытный образец программного комплекса «Альфа-монитор», который используется в системах информационной безопасности ряда компаний, в том числе ИнфоТеКС, НПО РУСНЕТ, НПО ФРАКТЕЛ, ОАО РЖД, ЦБ РФ.

OfficeFirewall

ОСНОВНЫЕ РЕЗУЛЬТАТЫ РАБОТЫ:

Разработана модель скрытых угроз информационной безопасности в среде облачных вычислений, учитывающая активный характер субъектов и объектов информационного взаимодействия.

Разработана модель операций, происходящих с данными при их обработке в среде облачных вычислений, позволяющая формализовать описание информационных процессов в виде мультиграфа транзакций.

Разработан метод противодействия скрытым угрозам, основанный на использовании модели операций и оценке уровня информационной безопасности проводимых транзакций.

Разработан алгоритм предикативной идентификации скрытых угроз, основанный на использовании матрицы инциденций мультиграфа транзакций и правил, отражающих требования политики безопасности для гостевых ОС и подсистем гипервизора.

Создан опытный образец программного обеспечения «Монитор-Альфа» и проведена его апробация при защите от скрытых угроз информационной безопасности в среде облачных вычислений.

СПИСОК ПУБЛИКАЦИЙ ПО ТЕМЕ ДИССЕРТАЦИИ

1. Моляков, А.С. Исследование новых моделей и методов управления информационной безопасностью с целью противодействия средствам скрытого воздействия [Текст] / А.С. Моляков // Информационная безопасность регионов России (ИБРР-2013).

VIII Санкт-Петербургская межрегиональная конференция. Санкт-Петербург, 23- октября 2013 г.: материалы конференции / СПОИСУ. – СПб., 2013. - C. 50.

2. Эйсымонт, Л.К. Суперкомпьютерные центры и сети суперкомпьютеров, особенности угроз и обеспечения кибербезопасности [Текст] / Л. К. Эйсымонт, А. С. Моляков // Научно-техническая конференция научных специалистов ФГУ НИИ Квант, мартапрель 2012 г.: материалы отчета. – М., 2012.- 280 с.

3. Моляков, А.C. Тихоокеанско-азиатские петафлопсы [Текст] / А.С. Моляков, В. В.

Горбунов, П. В. Забеднов // Открытые системы. СУБД. - 2011. - № 7. - С. 26-29.

4. Волков, Ю.А. Стратегические ИТ: китайский сюрприз №863. Процессоры made in Сhina [Текст] / Ю.А. Волков, А.С. Моляков // Открытые системы. СУБД. С. 32-37.

5. Molyakov, A. Asian Pacific Petaflops / A. Molyakov, V. Gorbunov, P. Zabednov // Open system platforms. DBMS. - 2011.- N7. – PP. 26-29.

6. Volkov, U. Strategic IT: Chinease surprise №863. Processors made in Сhina / U. Volkov, A.Molyakov // Open system platforms. DBMS.- 2010. - N3. – PP. 32-37.

7. Моляков, А.С. KPROCESSOR_CID_TABLE –факторинг – новый метод в теории компьютерного анализа вирусного кода и программных закладок [Текст] / А.С.

Моляков // Проблемы информационной безопасности. Компьютерные системы. СПб.: Изд-во Политех. Ун-та, 2009 г. - №1. - С. 7-18.

8. Моляков, А.С. Метод контроля отображения защищенных сегментов памяти при трансляции виртуальных адресов процессов ОС Windows [Текст] / А.С. Моляков // Вопросы защиты информации. - М: Изд- во ВИМИ, 2009. - №2. – C. 32-35.

9. Моляков, А.С. Новый метод систематического поиска недекларированных возможностей ядра WindowsNT 5. с введением контроля ContextHooking и PspCidHooking [Текст] / А.С. Моляков // журнал Вопросы защиты информации.М: Изд- во ВИМИ, 2008 г. - №1. – C. 49-55.

10. Моляков, А.С. Новые методы поиска скрытых процессов ядра WindowsNT 5. [Текст] / А.С. Моляков // Программные продукты и системы. - М.: Изд-во НИИ Центрпрограммсистем, 2007 г. - №4. - C. 43-45.

11. Моляков, А.С. Исследование проектов верхнего и нижнего уровней ПБ ОС Windows [Текст] / А.С.Моляков, А.А.Грушо // Программные продукты и системы.

- Тверь: Изд-во НИИ Центрпрограммсистем, 2007. - №4.- C. 45-47.

12. Моляков, А.С. Достоинства и недостатки разных мер защиты информации [Текст]/ А.С.

Моляков // Техника и технология. - М.: Изд-во Компания Спутник +, 2007. - №18. - C.

13. Моляков, А.С. Исследование скрытых механизмов управления задачами ядра WINDOWS NT5.1 [Текст] /А.С. Моляков // Известия Южного Федерального Университета. Технические науки. - Таганрог: Изд–во ТТИ ЮФУ, 2007. - №1. - С.

139-147.

14. Моляков, А.С. Анализ Р-полноты языка политики безопасности ОС WINDOWSNT [Текст] / А.С. Моляков // Cборник статей международной научно-технической конференции CIT.- Пенза: Изд-во ПГПУ, 2007. - C. 141- 148.

15. Моляков, А.С., Грушо А.А. Использование метода динамического анализа систем автоматизации обнаружения недекларированных возможностей программного обеспечения [Текст] / А.С. Моляков // Материалы 9 Международной научнопрактической конференции. - Таганрог: Изд – во ТТИ ЮФУ, 2007. - C. 36-38.

16. Моляков, А.С. Краткое описание Р-полной модели языка IDL процессора Intel [Текст] / А.С. Моляков // Аспирант и соискатель. - М.: Изд-во Компания Спутник +, 2006. - №6.- C. 166-168.

17. Моляков, А.С. Наиболее распространенные угрозы безопасности АС [Текст] / А.С. Моляков // Естественные и технические науки. - М.: Изд-во Компания Спутник +, 2006. - №6. - С.254-256.

18. Моляков, А.С. Обнаружение скрытых каналов в 3 кольце защиты ОС Windows [Текст] / А.С. Моляков // Естественные и технические науки. - М.: Изд-во Компания Спутник +, 2006. - №6. - C.257-264.

19. Моляков, А.С. Исследование ядра WindowsNT 5.1 на целевой платформе Intel 3000:

монография [Текст] / А.С. Моляков. - М.: Изд-во Компания Спутник +, 2006. - 129 c.

20. Моляков, А.С. Методы поиска скрытых процессов в ОС Windows: учебное пособие [Текст] / А.С. Моляков. - М.: Изд-во Компания Спутник +, 2006. - 81 с.





Похожие работы:

«ПРИСТУПА ВАДИМ ВЛАДИМИРОВИЧ ИННОВАЦИОННАЯ ДЕЯТЕЛЬНОСТЬ ПРОМЫШЛЕННОГО ПРЕДПРИЯТИЯ В ЭКОНОМИЧЕСКОЙ СТРУКТУРЕ РЫНКА Специальность: 08.00.05 – Экономика и управление народным хозяйством (Управление инновациями и инвестиционной деятельностью) АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата экономических наук Москва – 2008 Работа выполнена на кафедре Экономика и управление производством Государственного образовательного учреждения высшего профессионального образования...»

«Юрьева Лариса Анатольевна ДОГОВОР УПРАВЛЕНИЯ МНОГОКВАРТИРНЫМ ДОМОМ Специальность 12.00.03 – гражданское право; предпринимательское право; семейное право; международное частное право АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата юридических наук Томск – 2010 Работа выполнена на кафедре гражданского права ГОУ ВПО Кемеровский государственный университет Научный руководитель - доктор юридических наук, доцент Кузьмина Ирина Дмитриевна Официальные оппоненты - доктор...»

«Лагно Анна Романовна Ректор Московского университета Вячеслав Петрович Волгин (1879–1962) Специальность 07.00.02 Отечественная история АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата исторических наук Москва 2010 Работа выполнена на кафедре политической истории факультета государственного управления Московского государственного университета имени М.В. Ломоносова доктор исторических наук, профессор...»

«УДК: 37.015.3 Щеголева Светлана Владимировна Социально-психологическая интегрированность сирот и подростков, живущих в семьях, в среде сверстников Специальность 19.00.05 – социальная психология Автореферат диссертации на соискание ученой степени кандидата психологических наук Санкт-Петербург 2002 2 Диссертация выполнена на кафедре психологии человека Российского государственного педагогического университета им. А.И. Герцена Научный руководитель : доктор психологических наук,...»

«АРОНОВ Антон Александрович ДОСУГОВАЯ КУЛЬТУРА В ГОРОДАХ КУРСКОЙ ГУБЕРНИИ ВТОРОЙ ПОЛОВИНЫ XIX – НАЧАЛА ХХ ВВ. Специальность 24.00.01 –Теория и история культуры Автореферат диссертации на соискание ученой степени кандидата исторических наук КУРСК 2012 2 Работа выполнена на кафедре культурологии ФГБОУ ВПО Курский государственный университет Научный руководитель : доктор исторических наук, профессор Салтык Галина Александровна Официальные оппоненты : доктор исторических наук,...»

«ФЕДОРОВСКИЙ Тарас Григорьевич ЭКОЛОГО-АГРОХИМИЧЕСКИЕ АСПЕКТЫ УСТОЙЧИВОСТИ ФУНКЦИОНИРОВАНИЯ АГРОЭКОСИСТЕМ Специальность 03.02.08 – экология АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата биологических наук Москва – 2011 Работа выполнена в ФГУ Московский научно-исследовательский институт сельского хозяйства Немчиновка Россельхозакадемии Научный руководитель : доктор биологических наук Замана Светлана Павловна Официальные оппоненты : доктор сельскохозяйственных...»

«ДРОБЫШЕВ Андрей Николаевич МУЗЕЙНЫЙ ПАРК КАК ФОРМА ПРЕЗЕНТАЦИИ АРХЕОЛОГИЧЕСКОГО НАСЛЕДИЯ 24.00.03 - музееведение, консервация и реставрация историко-культурных объектов АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата культурологии Кемерово 2011 1 Работа выполнена на кафедре истории, искусствоведения и музейного дела Тюменской государственной академии культуры, искусств и социальных технологий Научный руководитель : доктор культурологии, доцент Семенова Валентина...»

«Мещерякова Екатерина Николаевна УСТОЙЧИВОСТЬ ДОЖДЕВЫХ ЧЕРВЕЙ (OLIGOCHAETA, LUMBRICIDAE, MONILIGASTRIDAE) К ОТРИЦАТЕЛЬНЫМ ТЕМПЕРАТУРАМ 03.02.08 – экология АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата биологических наук Санкт-Петербург 2011 Работа выполнена в лаборатории биоценологии Учреждения Российской академии наук Институте биологических проблем Севера Дальневосточного отделения Научный руководитель : доктор биологических наук, профессор Берман Даниил...»

«СЫПЧЕНКО МАРИЯ ВЛАДИМИРОВНА МАТЕМАТИЧЕСКОЕ МОДЕЛИРОВАНИЕ ФУНКЦИИ РАСПРЕДЕЛЕНИЯ ОРИЕНТАЦИЙ ПО КРИСТАЛЛОГРАФИЧЕСКИМ ОРИЕНТИРОВКАМ НА ГРУППЕ SO(3) Специальность 05.13.18 – математическое моделирование, численные методы и комплексы программ Автореферат на соискание ученой степени кандидата физико-математических наук Москва – 2010 Работа выполнена в Национальном исследовательском ядерном университете МИФИ. Научный руководитель : доктор физико-математических наук, профессор,...»

«Устиновский Юрий Михайлович Топология и геометрия комплексных многообразий с максимальным действием тора. 01.01.04 – Геометрия и топология АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата физико-математических наук Москва – 2014 Общая характеристика работы Актуальность темы исследования. Настоящая диссертация посвяще­ на пространствам с действием тора = ( 1 )....»

«Прокопенко Наталья Михайловна ЖАНР ПАСТОРАЛИ И ЕГО АКТУАЛИЗАЦИЯ В РАССКАЗАХ И ПОВЕСТЯХ В.П. АСТАФЬЕВА 60-80-х ГОДОВ Специальность 10.01.01. – русская литература АВТОРЕФЕРАТ диссертации на соискание учёной степени кандидата филологических наук Ишим 2010 2 Работа выполнена в ГОУ ВПО Ишимский государственный педагогический институт им. П.П. Ершова. Научный руководитель : доктор филологических наук, профессор Хрящева Нина Петровна Официальные оппоненты : доктор филологических...»

«Зиновьева Альбина Валерьевна Состояние системы свертывания крови при хроническом описторхозе в условиях эндогенной и экзогенной тромбинемии 03.03.01 - Физиология Автореферат диссертации на соискание ученой степени кандидата биологических наук Челябинск – 2012 2 Работа выполнена в Государственном образовательном учреждении высшего профессионального образования Ханты-Мансийского автономного округа – Югры Ханты-Мансийская государственная медицинская академия Научный руководитель...»

«Чупрынова Мария Юрьевна ОСОБЕННОСТИ ТЕЧЕНИЯ HELICOBACTER PYLORIАССОЦИИРОВАННОГО ГАСТРИТА У ПОДРОСТКОВ ПРИ ИНФИЦИРОВАНИИ СЛИЗИСТОЙ ОБОЛОЧКИ ЖЕЛУДКА ВИРУСОМ ЭПШТЕЙНА-БАРР 14.01.08 – педиатрия АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата медицинских наук Красноярск – 2014 Работа выполнена в государственном бюджетном образовательном учреждении высшего профессионального образования Омская государственная медицинская академия Министерства здравоохранения Российской...»

«Андреев Михаил Юрьевич СТОХАСТИЧЕСКИЕ МОДЕЛИ МЕЖВРЕМЕННОГО ЭКОНОМИЧЕСКОГО РАВНОВЕСИЯ С КАПИТАЛОМ Специальность 05.13.18 – математическое моделирование, численные методы и комплексы программ АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата физико-математических наук Москва – 2007 Работа выполнена на кафедре инновационной экономики Московского физико-технического института (государственного университета) доктор физико-математических наук, Научный руководитель :...»

«Лыков Павел Александрович РАЗРАБОТКА ГИДРОПНЕВМОАГРЕГАТОВ МАШИН ПО ПРОИЗВОДСТВУ МИКРОПОРОШКОВ ИЗ ЖИДКИХ МЕТАЛЛОВ Специальность 05.04.13 Гидравлические машины и гидропневмоагрегаты АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата технических наук Челябинск 2014 2 Работа выполнена в ФГБОУ ВПО Южно-Уральский государственный университет (НИУ) на кафедре Двигатели летательных аппаратов. Научный руководитель кандидат технических наук, доцент Сафонов Евгений...»

«Волкова Людмила Владимировна ОБОСНОВАНИЕ МЕТОДА КОНТРОЛЯ НАТЯГА БАНДАЖЕЙ ЛОКОМОТИВНЫХ КОЛЕС С ИСПОЛЬЗОВАНИЕМ ЯВЛЕНИЯ АКУСТОУПРУГОСТИ Специальность: 05.11.13 — Приборы и методы контроля природной среды, веществ, материалов и изделий АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата технических наук Ижевск – 2013 Работа выполнена на кафедре Приборы и методы контроля качества ФГБОУ ВПО Ижевский государственный технический университет имени М.Т. Калашникова (ИжГТУ...»

«Бунтов Александр Алексеевич ПОЛИТИЧЕСКОЕ ВЛИЯНИЕ КАК СОСТАВЛЯЮЩАЯ ПОЛИТИЧЕСКОГО ПРОЦЕССА СОВРЕМЕННОЙ РОССИИ Специальность 23.00.02 - политические институты, этнополитическая конфликтология, национальные и политические процессы и технологии АВТОРЕФЕРАТ диссертации на соискание учной степени кандидата политических наук Ярославль – 2009 Диссертация выполнена на кафедре социально-политических теорий ГОУ ВПО Ярославский государственный университет им. П.Г. Демидова Научный...»

«ПОЛЯКОВА Ольга Борисовна ПСИХОЛОГИЧЕСКИЕ ОСОБЕННОСТИ ВЫБОРА ПРОФЕССИИ ПЕДАГОГА-ПСИХОЛОГА Специальность 19.00.07 - педагогическая психология АВТОРЕФЕРАТ диссертации на соискание учёной степени кандидата психологических наук Москва - 2000 Работа выполнена в Московском государственном открытом педагогическом университете Научные руководители: доктор психологических наук, профессор Ирина Владимировна Дубровина кандидат педагогических наук, профессор Ирина Павловна Клемантович...»

«ПЛОТНИКОВА ЮЛИЯ СЕРГЕЕВНА ДОЛГОЖИТЕЛЬСТВО ЧЕЛОВЕКА КАК СОЦИАЛЬНО-ДЕМОГРАФИЧЕСКИЙ ФЕНОМЕН Специальность 22.00.03 – экономическая социология и демография АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата социологических наук Новосибирск 2011 Работа выполнена на кафедре социологии, социальной работы и политологии ГОУ ВПО Омский государственный технический университет Научный руководитель : доктор социологических наук, доцент Кудринская Людмила Александровна...»

«Кульков Сергей Сергеевич Разработка комплексной автоматизированной информационной системы для создания, хранения и предоставления информации в области химии и химической технологии 05.13.01 Системный анализ, управление и обработка информации (химическая технология, нефтехимия и нефтепереработка, биотехнология) 05.13.18 – Математическое моделирование, численные методы и комплексы программ (технические наук и) АВТОРЕФЕРАТ Диссертации на соискание ученой степени Кандидата...»






 
2014 www.av.disus.ru - «Бесплатная электронная библиотека - Авторефераты, Диссертации, Монографии, Программы»

Материалы этого сайта размещены для ознакомления, все права принадлежат их авторам.
Если Вы не согласны с тем, что Ваш материал размещён на этом сайте, пожалуйста, напишите нам, мы в течении 1-2 рабочих дней удалим его.