RU204094U1 - Device for comprehensive monitoring of the security status of automated systems - Google Patents
Device for comprehensive monitoring of the security status of automated systems Download PDFInfo
- Publication number
- RU204094U1 RU204094U1 RU2020123495U RU2020123495U RU204094U1 RU 204094 U1 RU204094 U1 RU 204094U1 RU 2020123495 U RU2020123495 U RU 2020123495U RU 2020123495 U RU2020123495 U RU 2020123495U RU 204094 U1 RU204094 U1 RU 204094U1
- Authority
- RU
- Russia
- Prior art keywords
- module
- input
- output
- control unit
- unit
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
Система комплексного контроля состояния защищенности (СЗ) автоматизированных систем (АС) предназначена для определения текущего СЗ АС на основе анализа событий информационной безопасности (СИБ), предоставляемых авторизированными источниками СИБ (ИСИБ), оценки эффективности системы, формирования цели управления (ЦУ) и реализации оптимальных управляющих воздействий (УВ). Техническим результатом является повышение достоверности результатов анализа СЗ АС за счет определения степени легальности прав ИСИБ на предоставление данных о СЗ АС и снижения уровня ложных срабатываний по обнаружению инцидентов информационной безопасности (ИИБ) посредством контроля текущего состояния и оценки эффективности блоков системы; обеспечение адаптации процесса функционирования системы за счет возможности изменения алгоритма контроля АС посредством формирования и реализации оптимальных УВ. Указанный технический результат достигается тем, что при возникновении СИБ в АС блоком управления системой осуществляется авторизация ИСИБ, при успешности которой они классифицируются и определяется их состояние. Затем блок управления системой определяет текущее состояние и степень функциональной готовности блоков системы предоставлять достоверные данные о СЗ АС и на основе данных, поступающих из блока оценки рисков и базы данных (БД) принятых решений, формирует ЦУ, в виде состояний блоков системы, к которым следует стремиться. Далее блок управления системой осуществляет поиск УВ, удовлетворяющих ЦУ и хранящихся в БД УВ, и в случае нахождения реализует их, приводя текущее состояние блоков системы к требуемому, сообразно ЦУ, а при их отсутствии синтезирует оптимальные УВ, с последующим их сохранением в БД УВ и реализацией. Блок сбора данных о СИБ обеспечивает получение от ИСИБ данных о СЗ АС и передает их в блок управления данными, который осуществляет их обработку и хранение. Обработанные данные о СИБ направляются в блок анализа СИБ, который обнаруживает ИИБ и передает их в блок оценки рисков для прогнозирования СЗ АС и в блок поиска решений, который на основе данных, предоставляемых блоком анализа решений, обеспечивает определение текущего СЗ АС и поддержку и принятие решений на ликвидацию последствий ИИБ, которые сохраняются в БД принятых решений и визуализируются посредством блока регистрации ИИБ. 1 ил.The system of comprehensive monitoring of the security state (SZ) of automated systems (AS) is designed to determine the current SZ of the nuclear power plant based on the analysis of information security events (ISS) provided by authorized sources of ISS (ISIB), assessing the effectiveness of the system, forming the management goal (MC) and implementing optimal control actions (HC). The technical result is to increase the reliability of the results of the analysis of the SZ NPP by determining the degree of legality of the ISIB's rights to provide data on the SZ NPP and reducing the level of false alarms for detecting information security incidents (ISS) by monitoring the current state and assessing the effectiveness of the system units; ensuring the adaptation of the system functioning process due to the possibility of changing the control algorithm of the nuclear power plant through the formation and implementation of optimal HC. The specified technical result is achieved by the fact that when an NIB occurs in the AS, the system control unit authorizes the ISIB, if successful, they are classified and their state is determined. Then the system control unit determines the current state and the degree of functional readiness of the system units to provide reliable data about the SZ NPP and, based on the data coming from the risk assessment unit and the database (DB) of the decisions made, forms the CU, in the form of the states of the system units, which should be seek. Further, the system control unit searches for HCs that satisfy the HC and stored in the HC DB, and if found, implements them, bringing the current state of the system blocks to the required one, in accordance with the MC, and in their absence, synthesizes the optimal HC, with their subsequent storage in the HC DB and implementation. The NIB data collection unit provides information on the AU SZ from the ISIB and transmits them to the data control unit, which processes and stores them. The processed NIB data is sent to the NIB analysis unit, which detects the ISS and transmits them to the risk assessment unit for predicting the AS SZ and to the decision search unit, which, based on the data provided by the decision analysis unit, provides the determination of the current SZ AS and support and decision making to eliminate the consequences of ISS, which are saved in the database of decisions made and visualized by means of the ISS registration unit. 1 ill.
Description
Предлагаемая полезная модель относится к области вычислительной техники, а именно к информационной безопасности (ИБ), и может быть использована для реализации процесса контроля состояния защищенности (СЗ) автоматизированных систем (АС).The proposed utility model relates to the field of computer technology, namely, to information security (IS), and can be used to implement the process of monitoring the security state (SZ) of automated systems (AS).
Известен аналог «Система адаптивного мониторинга автоматизированных систем управления военного назначения» по патенту РФ №191293, МПК G06F 21/57 (2013.01), заявл. 07.03.2019, опубл. 01.08.2019, заключающийся в том, что система содержит модуль взаимодействия с пользователем, включающий блок настройки параметров и блоки интерфейсов; модуль оценки, включающий блок управления механизмом оценки, блок адаптации процедур оценивания и блок оценки; модуль хранения информации, включающий блок вывода информации и блок хранения информации; модуль сбора информации, включающий блок адаптации номенклатуры и объема параметров, блок сбора общих данных и блок выбора возможных тестов; модуль тестирования, включающий блоки тестирования топологий автоматизированных систем управления военного назначения (АСУ ВН) и блоки тестирования модулей АСУ ВН; модуль мониторинга, включающий блок адаптации процедур наблюдения, блок мониторинга параметров АСУ ВН и блок мониторинга сетевой активность АСУ ВН; модуль преобразования данных, включающий блоки преобразования данных; модуль параметрического синтеза, включающий блок вывода синтезированных данных и блок параметрического синтеза. Основной особенностью данного аналога является оптимизация процедур мониторинга для осуществления оценки СЗ АСУ ВН за счет последовательной многоуровневой адаптации, включающей: адаптацию набора и объема номенклатуры параметров, подлежащих мониторингу, адаптацию процедур наблюдения и адаптацию процедур оценивания, что обеспечивает повышение оперативности принятия решений о степени защищенности АСУ ВН за счет минимизации набора параметров, подлежащих контролю.Known analogue "The system of adaptive monitoring of automated control systems for military purposes" by RF patent No. 191293, IPC G06F 21/57 (2013.01), Appl. 07.03.2019, publ. 08/01/2019, which consists in the fact that the system contains a user interaction module, including a parameter setting block and interface blocks; an evaluation unit including an evaluation engine control unit, an evaluation procedure adaptation unit, and an evaluation unit; an information storage unit including an information output unit and an information storage unit; an information collection module, which includes a block for adapting the nomenclature and scope of parameters, a block for collecting general data and a block for selecting possible tests; a testing module, which includes units for testing the topologies of military-purpose automated control systems (ACS VN) and units for testing modules of ACS VN; a monitoring module that includes a block for adapting observation procedures, a block for monitoring parameters of the HV ACS and a block for monitoring network activity of the HV ACS; a data conversion module including data conversion units; a parametric synthesis module including a synthesized data output unit and a parametric synthesis unit. The main feature of this analogue is the optimization of monitoring procedures for assessing the HV ACS HV through sequential multi-level adaptation, including: adaptation of the set and scope of the nomenclature of parameters to be monitored, adaptation of observation procedures and adaptation of assessment procedures, which ensures an increase in the efficiency of decision-making on the degree of security of the ACS VN by minimizing the set of parameters to be monitored.
Недостатками данной системы являются:The disadvantages of this system are:
процесс оценки СЗ АСУ ВН реализуется по строго заданному алгоритму, заключающемуся в первоначальном выполнении процедур тестирования топологий и модулей АСУ ВН, а затем в выполнении процедур мониторинга параметров и сетевой активности АСУ ВН. Указанный недостаток свидетельствует о том, что в аналоге отсутствует возможность изменения последовательности выполнения процедур оценивания СЗ АСУ ВН в зависимости от различных условий эксплуатации системы;The process of evaluating the SZ of the HV ACS is implemented according to a strictly specified algorithm, which consists in the initial execution of the procedures for testing the topologies and modules of the HV ACS, and then in the execution of the procedures for monitoring the parameters and network activity of the HV ACS. The indicated drawback indicates that in the analogue there is no possibility of changing the sequence of performing the procedures for evaluating the SZ ACS HV depending on the various operating conditions of the system;
процесс определения последовательности и параметров работы всех блоков аналога реализуется на основе ранее сохраненных оценках СЗ АСУ ВН. Данный недостаток свидетельствует о том, что в аналоге выполнение процедур тестирования топологий и модулей АСУ ВН, а также процедур мониторинга параметров и сетевой активности АСУ ВН осуществляется без учета вероятностного изменения состояния контролируемого объекта с течением времени, что указывает на отсутствие в аналоге возможности прогнозирования СЗ АСУ ВН и низкий уровень эффективности решений, принимаемых оператором.the process of determining the sequence and operating parameters of all analog units is implemented on the basis of previously saved estimates of the SZ ACS VN. This disadvantage indicates that in the analogue, the performance of testing procedures for topologies and modules of the HV ACS, as well as the procedures for monitoring the parameters and network activity of the HV ACS, is carried out without taking into account the probabilistic change in the state of the controlled object over time, which indicates the absence in the analogue of the possibility of predicting the SZ ACS VN and a low level of efficiency of decisions made by the operator.
Известен аналог «Система аналитической обработки событий информационной безопасности» по патенту РФ №193101, МПК G06F 21/55 (2013.01), заявл. 13.05.2019, опубл. 14.10.2019, заключающийся в том, что система содержит блок приема событий информационной безопасности (СИБ); модуль хранения и присвоения меток СИБ и инцидентов информационной безопасности (ИИБ), включающий блок хранения меток ИИБ, блок хранения меток СИБ и блок присвоения меток СИБ; блок сравнения меток СИБ с правилом директивы корреляции первого уровня; блок сравнения меток СИБ с правилом директивы корреляции второго уровня; таймер №1; модуль сравнения меток СИБ третьего уровня, включающий блок буферизации текущих меток СИБ, блок подсчета вероятности наступления ИИБ и блок задержки меток СИБ; счетчик меток СИБ; модуль оповещения, включающий блок предупреждения тревоги и блок генерации тревоги; модуль взаимодействия со специалистом по ИБ, включающий блок интерфейса и блок обновления меток ИИБ; таймер №2; блок прогнозирования ИИБ. Основной особенностью данного аналога является повышение вероятности обнаружения ИИБ в АС посредством реализации ретроспективного анализа СИБ, распределенных во времени, а также своевременного предупреждения о возможном наступлении ИИБ за счет прогнозирования его появления.Known analogue "System for analytical processing of information security events" by RF patent No. 193101, IPC G06F 21/55 (2013.01), Appl. 05/13/2019, publ. 10/14/2019, which consists in the fact that the system contains a block for receiving information security events (ISB); a module for storing and assigning ISS labels and information security incidents (ISS), which includes a unit for storing ISS marks, a unit for storing ISS marks and a unit for assigning ISS marks; a unit for comparing NIB labels with a first-level correlation directive rule; a unit for comparing NIB labels with a second-level correlation directive rule; timer number 1; a module for comparing NIB marks of the third level, including a block for buffering current NIB marks, a unit for calculating the probability of an ISS occurrence and a block for delaying NIB marks; counter of NIB marks; a notification module including an alarm warning unit and an alarm generating unit; module for interaction with an IS specialist, including an interface unit and an ISU label update unit; timer number 2; ISS forecasting unit. The main feature of this analogue is to increase the likelihood of detecting ISS in the nuclear power plant through the implementation of a retrospective analysis of ISS distributed in time, as well as timely warning of a possible ISS onset by predicting its appearance.
Недостатками данной системы являются:The disadvantages of this system are:
зависимость эффективности процесса функционирования аналога от принимаемых оператором решений о состоянии контролируемой АС и обнаружении нового ИИБ. Данный недостаток свидетельствует о том, что в аналоге отсутствует возможность автоматической поддержки и принятия решений о состоянии контролируемой АС, а также на ликвидацию последствий ИИБ;the dependence of the efficiency of the analogue functioning process on the decisions made by the operator about the state of the monitored AS and the detection of a new ISS. This disadvantage indicates that the analogue lacks the ability to automatically support and make decisions about the state of the monitored nuclear power plant, as well as to eliminate the consequences of IS;
процесс обнаружения ИИБ в АС реализуется без учета достоверности СИБ, поступающих в блок приема СИБ. Данный недостаток свидетельствует о том, что процесс функционирования аналога может характеризоваться высоким уровнем ложных срабатываний по обнаружению новых ИИБ, в результате чего снижается безопасность контролируемой АС.the process of detecting the ISS in the AS is implemented without taking into account the reliability of the NIB arriving at the NIB receiving unit. This disadvantage indicates that the process of functioning of the analogue can be characterized by a high level of false alarms for the detection of new ISS, as a result of which the safety of the controlled NPP is reduced.
Наиболее близким техническим решением, принятым за прототип, является полезная модель «Устройство аудита информационной безопасности в автоматизированных системах», известная по патенту РФ №180789, МПК G06F 21/55 (2013.01), заявл. 31.10.2017, опубл. 22.06.2018 и заключающаяся в том, что устройство содержит блок сбора данных о СИБ; блок управления данными, включающий модуль нормализации, модуль фильтрации, модуль классификации и кластеризации, модуль корреляции и репозиторий триплетов; блок анализа СИБ; блок оценки рисков; блок поиска решений; блок анализа решений; блок регистрации ИИБ; источники СИБ.The closest technical solution adopted for the prototype is the useful model "Information security audit device in automated systems", known from the RF patent No. 180789, IPC G06F 21/55 (2013.01), app. 31.10.2017, publ. 06/22/2018 and consisting in the fact that the device contains a data collection unit about the NIB; a data management unit including a normalization module, a filtering module, a classification and clustering module, a correlation module and a triplet repository; NIB analysis unit; risk assessment unit; solution search block; decision analysis unit; ISS registration unit; sources of NIB.
По сравнению с аналогами, прототип может быть использован в более широкой области и обеспечивает расширение спектра и повышение достоверности обнаруживаемых ИИБ в режиме близком к реальному времени, что достигается путем проведения обобщенного качественного анализа СИБ за всю АС, заключающегося в оценке возможных угроз ИБ, в проведении предварительного анализа известных методов повышения уровня ИБ и в реализации поддержки и принятия решений на ликвидацию последствий ИИБ.Compared to analogs, the prototype can be used in a wider area and provides an expansion of the spectrum and an increase in the reliability of the detected ISS in a near real time mode, which is achieved by conducting a generalized qualitative analysis of the ISS for the entire AS, which consists in assessing possible IS threats, in carrying out preliminary analysis of known methods for increasing the level of information security and in the implementation of support and decision-making to eliminate the consequences of information security.
Недостатками прототипа являются:The disadvantages of the prototype are:
низкая достоверность результатов анализа СЗ АС, обусловленная отсутствием контроля текущего состояния блоков, включенных в состав устройства, а также оценки эффективности процессов их функционирования.low reliability of the NPP SZ analysis results due to the lack of control of the current state of the units included in the device, as well as the assessment of the efficiency of their functioning processes.
реализация процесса функционирования устройства осуществляется без учета изменений условий его эксплуатации, влияющих на алгоритм аудита ИБ в АС. Указанный недостаток свидетельствует о том, что данное устройство является недостаточно адаптивным при оценке СЗ АС.the implementation of the device operation process is carried out without taking into account changes in the operating conditions that affect the IS audit algorithm in the AS. The indicated drawback indicates that this device is not adaptive enough when assessing the SZ of the nuclear power plant.
Целью предлагаемой полезной модели является повышение достоверности результатов анализа СЗ АС, а также обеспечение адаптации процесса функционирования системы к различным условиям эксплуатации.The purpose of the proposed utility model is to increase the reliability of the NPP SZ analysis results, as well as to ensure the adaptation of the system functioning process to various operating conditions.
Предложен новый подход, основанный на создании системы комплексного контроля (СКК) СЗ АС, содержащей блок сбора данных о СИБ; блок управления данными, состоящий из модуля нормализации, модуля фильтрации, модуля классификации и кластеризации, репозитория триплетов и модуля корреляции; блок анализа СИБ; блок оценки рисков; блок поиска решений, включающий базу данных (БД) принятых решений; блок анализа решений; блок регистрации ИИБ и источники СИБ, отличающийся тем, что добавлен блок управления системой, состоящий из модуля идентификации и аутентификации источников СИБ, модуля определения типа и состояния источников СИБ, модуля оценки эффективности системы, модуля формирования целей управления, модуля формирования управляющих воздействий, модуля определения оптимальности управляющих воздействий, БД управляющих воздействий, модуля реализации управляющих воздействий и модуля контроля состояния блоков системы. Выходы источников СИБ соединены с входом модуля идентификации и аутентификации источников СИБ блока управления системой, выход которого соединен с входом модуля определения типа и состояния источников СИБ блока управления системой, выходные данные которого через его выход передаются на первый вход модуля оценки эффективности системы блока управления системой, соединенного через свой выход с первым входом модуля формирования целей управления блока управления системой, взаимодействующего через свой второй вход с первым входом БД управляющих воздействий блока управления системой. Первый выход модуля формирования целей управления блока управления системой соединен с входом модуля формирования управляющих воздействий блока управления системой, выход которого связан с первым входом модуля определения оптимальности управляющих воздействий блока управления системой, соединенного через свой второй вход со вторым выходом модуля формирования целей управления блока управления системой. Выход модуля определения оптимальности управляющих воздействий блока управления системой соединен со вторым входом БД управляющих воздействий блока управления системой, выход которой соединен с входом модуля реализации управляющих воздействий блока управления системой, связанного через свой первый выход с входами источников СИБ и второй выход с первым входом блока сбора данных о СИБ, взаимодействующего через свой второй вход с входами источников СИБ. Первый выход блока сбора данных о СИБ соединен с входом модуля нормализации блока управления данными, связанного через свой выход с входом модуля фильтрации блока управления данными, выходные данные которого через его выход передаются на первый вход модуля классификации и кластеризации блока управления данными, взаимодействующего через свой второй вход с входом репозитория триплетов блока управления данными, который через свой выход связан с первым входом блока анализа решений, и соединенного через свой выход с входом модуля корреляции блока управления данными. Второй выход блока сбора данных о СИБ соединен с первым входом модуля контроля состояния блоков системы блока управления системой, который через свой выход связан со вторым входом модуля оценки эффективности системы блока управления системой. Вход блока управления данными соединен с третьим выходом модуля реализации управляющих воздействий блока управления системой. Первый выход блока управления данными соединен со вторым входом модуля контроля состояния блоков системы блока управления системой, а его второй выход связан с первым входом блока анализа СИБ, второй вход которого соединен с четвертым выходом модуля реализации управляющих воздействий блока управления системой. Первый выход блока анализа СИБ соединен с первым входом блока оценки рисков, второй вход которого связан с пятым выходом модуля реализации управляющих воздействий блока управления системой, связанного через свой шестой выход со вторым входом блока анализа решений, выход которого соединен со вторым входом блока поиска решений. Второй выход блока анализа СИБ соединен с четвертым входом модуля контроля состояния блоков системы блока управления системой, который через свой третий вход связан с первым выходом блока оценки рисков, второй выход которого соединен с третьим входом модуля формирования целей управления блока управления системой. Третий выход блока анализа СИБ соединен с первым входом блока поиска решений, второй выход которого связан с пятым входом модуля контроля состояния блоков системы блока управления системой. Выход БД принятых решений блока поиска решений, первый выход которого связан с входом блока регистрации ИИБ, соединен с четвертым входом модуля формирования целей управления блока управления системой.A new approach is proposed based on the creation of an integrated control system (CCS) of the SZ NPP, containing a block for collecting data on the NIB; data management unit, consisting of a normalization module, a filtering module, a classification and clustering module, a triplet repository and a correlation module; NIB analysis unit; risk assessment unit; a solution search unit, including a database (DB) of decisions made; decision analysis unit; ISS registration unit and ISS sources, characterized in that a system control unit is added, consisting of a module for identification and authentication of ISS sources, a module for determining the type and state of ISS sources, a module for evaluating system efficiency, a module for generating control objectives, a module for generating control actions, a determination module optimality of control actions, DB of control actions, a module for implementing control actions and a module for monitoring the state of system blocks. The outputs of the NIB sources are connected to the input of the NIB source identification and authentication module of the system control unit, the output of which is connected to the input of the module for determining the type and state of the NIB sources of the system control unit, the output of which is transmitted through its output to the first input of the system efficiency assessment module of the system control unit, connected through its output to the first input of the module for forming control objectives of the system control unit, interacting through its second input with the first input of the control actions DB of the system control unit. The first output of the module for generating control goals of the system control unit is connected to the input of the module for generating control actions of the system control unit, the output of which is connected to the first input of the module for determining the optimality of control actions of the system control unit, connected through its second input to the second output of the module for generating control goals of the system control unit ... The output of the module for determining the optimality of control actions of the system control unit is connected to the second input of the DB of control actions of the system control unit, the output of which is connected to the input of the module for implementing control actions of the system control unit, connected through its first output to the inputs of the NIB sources and the second output to the first input of the collection unit data on the NIB, interacting through its second input with the inputs of the NIB sources. The first output of the NIB data collection unit is connected to the input of the normalization module of the data control unit, connected through its output to the input of the filtration module of the data control unit, the output of which is transmitted through its output to the first input of the classification and clustering module of the data control unit, which interacts through its second an input with the input of the triplet repository of the data control unit, which through its output is connected to the first input of the decision analysis unit, and connected through its output to the input of the correlation module of the data control unit. The second output of the NIB data collection unit is connected to the first input of the system unit state control module of the system control unit, which through its output is connected to the second input of the system efficiency assessment module of the system control unit. The input of the data control unit is connected to the third output of the module for implementing control actions of the system control unit. The first output of the data control unit is connected to the second input of the module for monitoring the state of the system blocks of the system control unit, and its second output is connected to the first input of the NIB analysis unit, the second input of which is connected to the fourth output of the module for implementing control actions of the system control unit. The first output of the NIB analysis block is connected to the first input of the risk assessment block, the second input of which is connected to the fifth output of the module for implementing control actions of the system control unit, connected through its sixth output to the second input of the decision analysis block, the output of which is connected to the second input of the decision search block. The second output of the NIB analysis unit is connected to the fourth input of the module for monitoring the state of the system blocks of the system control unit, which through its third input is connected to the first output of the risk assessment unit, the second output of which is connected to the third input of the module for generating control objectives of the system control unit. The third output of the NIB analysis unit is connected to the first input of the solution search unit, the second output of which is connected to the fifth input of the module for monitoring the state of the system blocks of the system control unit. The DB output of the decisions made by the decision search unit, the first output of which is connected to the input of the ISU registration unit, is connected to the fourth input of the module for forming the control goals of the system control unit.
Поставленная цель достигается путем создания блока управления СКК СЗ АС, позволяющего идентифицировать и аутентифицировать источники СИБ, оценивать эффективность процесса функционирования СКК СЗ АС, на основе чего формировать цели управления и оптимальные управляющие воздействия, с последующей их реализацией.This goal is achieved by creating a control unit for the SZ AS SZ, which allows identifying and authenticating the sources of the NIB, assessing the efficiency of the process of functioning of the SZ SZ AS, on the basis of which the management goals and optimal control actions are formed, with their subsequent implementation.
Техническим результатом полезной модели является:The technical result of the utility model is:
повышение достоверности результатов анализа СЗ АС за счет определения степени легальности прав источников СИБ на предоставление данных о СЗ АС и снижения уровня ложных срабатываний по обнаружению ИИБ посредством предоставления возможности контроля текущего состояния блоков, включенных в состав СКК СЗ АС, а также оценки эффективности процессов их функционирования;increasing the reliability of the results of the analysis of the SZ NPP by determining the degree of legality of the rights of NIB sources to provide data on the SZ NPP and reducing the level of false alarms for detecting ISS by providing the ability to monitor the current state of the units included in the CCC SZ AS, as well as assessing the efficiency of their functioning processes ;
обеспечение адаптации процесса функционирования СКК СЗ АС за счет предоставления возможности изменения алгоритма аудита ИБ в АС посредством формирования и реализации оптимальных управляющих воздействий, учитывающих условия эксплуатации, влияющие на состояние блоков СКК СЗ АС.ensuring the adaptation of the process of functioning of the SZ NPP SCC by providing the possibility of changing the IS audit algorithm in the NPP through the formation and implementation of optimal control actions that take into account the operating conditions affecting the state of the SZ NPP SCC units.
Сущность полезной модели поясняется чертежом (Фиг. 1) «Блок-схема системы комплексного контроля состояния защищенности автоматизированных систем», на котором изображены блоки и модули: блок сбора данных о СИБ (1); блок управления данными (2), содержащий модуль нормализации (2.1), модуль фильтрации (2.2), модуль классификации и кластеризации (2.3), репозиторий триплетов (2.4), модуль корреляции (2.5); блок анализа СИБ (3); блок оценки рисков (4); блок поиска решений (5), включающий БД принятых решений (5.1); блок анализа решений (6); блок регистрации ИИБ (7); источники СИБ (8); блок управления СКК СЗ АС (9), содержащий модуль идентификации и аутентификации источников СИБ (9.1), модуль определения типа и состояния источников СИБ (9.2), модуль контроля состояния блоков СКК СЗ АС (9.3), модуль оценки эффективности СКК СЗ АС (9.4), модуль формирования целей управления (9.5), модуль формирования управляющих воздействий (9.6), модуль определения оптимальности управляющих воздействий (9.7), БД управляющих воздействий (9.8), модуль реализации управляющих воздействий (9.9).The essence of the utility model is illustrated by the drawing (Fig. 1) "Block diagram of the system for integrated monitoring of the security status of automated systems", which shows the blocks and modules: block for collecting data on the NIB (1); a data control unit (2) containing a normalization module (2.1), a filtering module (2.2), a classification and clustering module (2.3), a triplet repository (2.4), a correlation module (2.5); NIB analysis unit (3); risk assessment unit (4); solution search unit (5), including the decision database (5.1); decision analysis unit (6); ISS registration unit (7); sources of NIB (8); control unit SKK SZ AS (9), containing a module for identification and authentication of NIB sources (9.1), a module for determining the type and state of NIB sources (9.2), a module for monitoring the state of SKK SZ AS units (9.3), a module for evaluating the effectiveness of SKK SZ AS (9.4 ), the module for the formation of control objectives (9.5), the module for the formation of control actions (9.6), the module for determining the optimality of control actions (9.7), the DB of control actions (9.8), the module for the implementation of control actions (9.9).
Блоки (1-7, 9) могут быть выполнены в виде участков памяти вычислительного устройства и характеризуются своей логической схемой, обеспечивающей выполнение заданных функций блока. Источники СИБ (8) могут быть выполнены функционально самостоятельными.Blocks (1-7, 9) can be made in the form of memory sections of a computing device and are characterized by their own logical circuit, which ensures the performance of the given functions of the block. SIB sources (8) can be functionally independent.
Система комплексного контроля СЗ АС функционирует следующим образом.The SZ NPP integrated control system operates as follows.
При возникновении в АС некоторых СИБ, влияющих на ее СЗ в целом или ее составных частей, источники СИБ (8) проходят процедуру авторизации, заключающуюся в проверке их подлинности и определении степени легальности их прав на предоставление данных о СЗ АС. Например, проверка подлинности источников СИБ (8) может заключаться в реализации процедуры, в результате выполнения которой для источников СИБ (8) выявляются их предварительно назначенные идентификаторы (например, значения их сетевых адресов (IP-адресов) и аппаратных (физических) адресов (МАС-адресов)), однозначно определяющие эти источники. Также, например, определение степени легальности прав источников СИБ (8) на предоставление данных о СЗ АС может заключаться в реализации процедуры аутентификации (Афанасьев, А.А. Аутентификация. Теория и практика обеспечения безопасного доступа к информационным ресурсам / А.А. Афанасьев, Л.Т. Веденьев, А.А. Воронцов и др. - М.: Наука, 2012. - 552 с.).When some NIBs appear in the AU that affect its SZ as a whole or its component parts, NIB sources (8) undergo an authorization procedure, which consists in verifying their authenticity and determining the degree of legality of their rights to provide data on the SZ of the AU. For example, the authentication of NIB sources (8) may consist in the implementation of a procedure, as a result of which, for NIB sources (8), their pre-assigned identifiers (for example, the values of their network addresses (IP addresses) and hardware (physical) addresses (MAC -addresses)) that uniquely identify these sources. Also, for example, determining the degree of legality of the rights of NIB sources (8) to provide data on the SZ AS can consist in the implementation of the authentication procedure (Afanasyev, A.A. Authentication. Theory and practice of ensuring secure access to information resources / A.A. Afanasyev, L.T. Vedeniev, A.A. Vorontsov and others - Moscow: Nauka, 2012 .-- 552 p.).
Реализация процедуры авторизации источников СИБ (8) осуществляется посредством модуля идентификации и аутентификации источников СИБ (9.1), который предназначен для недопущения запуска процесса функционирования СКК СЗ АС при поступлении СИБ от источников, не являющихся доверенными средствами (датчиками).The implementation of the procedure for the authorization of NIB sources (8) is carried out by means of the NIB sources identification and authentication module (9.1), which is designed to prevent the start of the process of functioning of the SCC SZ NPP when the NIB arrives from sources that are not trusted means (sensors).
Далее, в случае успешной авторизации источников СИБ (8), системные данные о них через выход модуля идентификации и аутентификации источников СИБ (9.1) передаются на вход модуля определения типа и состояния источников СИБ (9.2), который предназначен для классификации источников СИБ (8) по различным признакам (например, на источники СИБ, установленные (развернутые) на стационарных аппаратно-программных платформах, либо на мобильных (Методический документ. Меры защиты информации в государственных информационных системах: [утвержден ФСТЭК России 11 февраля 2014 г.] [Электронный ресурс]. - Режим доступа: https://fstec.ru/component/attachments/download/675); на источники СИБ, реализующие пассивный метод контроля СЗ АС (например, средства анализа защищенности Max Patrol, XSpider (см. функциональные возможности, например, на официальном сайте компании Positive Technologies [Электронный ресурс]. - Режим доступа. - URL: http://www.ptsecurity.ru)), либо активный (например, средства тестирования на проникновение Metasploit Framework (см. функциональные возможности, например, на официальном сайте компании Metasploit [Электронный ресурс]. - Режим доступа. - URL: https://www.metasploit.com/)) и др.), а также для определения множества значений характеристик (технических параметров) источников СИБ (8) в данный момент времени, свидетельствующих о их состоянии (свойствах).Further, in the case of successful authorization of NIB sources (8), system data about them through the output of the identification and authentication module of NIB sources (9.1) is transmitted to the input of the module for determining the type and state of NIB sources (9.2), which is designed to classify NIB sources (8) on various grounds (for example, NIB sources installed (deployed) on stationary hardware and software platforms, or on mobile (Methodological document. Information protection measures in state information systems: [approved by the FSTEC of Russia on February 11, 2014]] [Electronic resource] . - Access mode: https://fstec.ru/component/attachments/download/675); to ISS sources that implement a passive method of monitoring the APS SZ (for example, Max Patrol, XSpider security analysis tools (see functionality, for example, on the official website of Positive Technologies [Electronic resource]. - Access mode. - URL: http://www.ptsecurity.ru)), or active (for example, testing tools for and the penetration of the Metasploit Framework (see. functionality, for example, on the official website of the Metasploit company [Electronic resource]. - Access mode. - URL: https://www.metasploit.com/)), etc.), as well as to determine the set of values of characteristics (technical parameters) of NIB sources (8) at a given time, indicating their state (properties).
Отметим, что системными данными блоков, входящих в СКК СЗ АС, является набор значений технических параметров, характеризующих определенные свойства соответствующих блоков системы и позволяющих на основе их оценки однозначно определить состояние этих блоков. Основными свойствами блоков, входящих в СКК СЗ АС, являются: общесистемные свойства, а именно целостность, устойчивость, наблюдаемость, управляемость, детерминированность, открытость, динамичность и др.; структурные свойства, а именно состав, связность, организация, сложность, масштабность, пространственный размах, централизованность, объем и др.; функциональные (поведенческие) свойства, а именно результативность, ресурсоемкость, оперативность, активность, мощность, мобильность, производительность, быстродействие, готовность, работоспособность, точность, экономичность и др. (Анфилатов, B.C. Системный анализ в управлении / B.C. Анфилатов, А.А. Емельянов, А.А. Кукушкин. - М.: Финансы и статистика, 2002. - С. 103-112).Note that the system data of the blocks included in the SCC SZ AS is a set of values of technical parameters that characterize certain properties of the corresponding blocks of the system and allow, based on their assessment, to unambiguously determine the state of these blocks. The main properties of the blocks included in the SCC SZ NPP are: system-wide properties, namely, integrity, stability, observability, controllability, determinism, openness, dynamism, etc .; structural properties, namely composition, connectivity, organization, complexity, scale, spatial scope, centralization, volume, etc .; functional (behavioral) properties, namely efficiency, resource intensity, efficiency, activity, power, mobility, productivity, speed, readiness, efficiency, accuracy, efficiency, etc. (Anfilatov, BC System analysis in management / BC Anfilatov, A.A. Emelyanov, A.A. Kukushkin. - M .: Finance and statistics, 2002. - S. 103-112).
Затем модуль определения типа и состояния источников СИБ (9.2) через свой выход передает исходные данные, содержащие информацию о типах и состояниях источников СИБ (8), на первый вход модуля оценки эффективности СКК СЗ АС (9.4), который реализует процедуру оценивания эффективности процесса функционирования СКК в целях определения степени функциональной готовности блоков, входящих в ее состав, предоставлять достоверные данные о СЗ АС.Then, the module for determining the type and state of the NIB sources (9.2) through its output transmits the initial data containing information about the types and states of the NIB sources (8) to the first input of the module for evaluating the effectiveness of the NIB SZ AS (9.4), which implements the procedure for evaluating the efficiency of the functioning process CCM, in order to determine the degree of functional readiness of the units that make up its structure, provide reliable data on the NPP.
Степень приспособленности блоков СКК к достижению своих целей, определенная модулем оценки эффективности СКК СЗ АС (9.4), а также информация о типах источников СИБ (8) передаются на первый вход модуля формирования целей управления (9.5), на третий вход которого из второго выхода блока оценки рисков (4) поступают данные, содержащие информацию о прогнозируемом СЗ АС и соответствующей ему степени угрозы, а на его четвертый вход из выхода БД принятых решений (5.1) поступают данные, содержащие информацию о текущем СЗ АС и о принятых решениях по ликвидации последствий выявленных ИИБ (компьютерных атак (КА)) в АС.The degree of adaptability of the CCM units to achieve their goals, determined by the module for evaluating the effectiveness of the CCM SZ AS (9.4), as well as information on the types of NIB sources (8) are transmitted to the first input of the control objectives formation module (9.5), to the third input of which from the second output of the unit risk assessment (4), data is received containing information about the predicted NPP SOC and the corresponding degree of threat, and its fourth input from the output of the DB of decisions made (5.1) receives data containing information about the current SZ of the NPP and the decisions taken to eliminate the consequences of the identified ISS (computer attacks (CA)) in the AU.
Модуль формирования целей управления (9.5) на основе данных, поступивших на его входы, определяет состояния (поведение) блоков, входящих в СКК СЗ АС, к которым следует стремиться в процессе реализации управляющих воздействий на них.The module for the formation of control objectives (9.5), based on the data received at its inputs, determines the states (behavior) of the blocks included in the SCC SZ NPP, which should be aimed at in the process of implementing control actions on them.
Далее модуль формирования целей управления (9.5) во взаимодействии через свой второй вход с первым входом БД управляющих воздействий (9.8) осуществляет поиск соответствующих управляющих воздействий, удовлетворяющих сформированной цели управления. В случае нахождения соответствия между целью управления, сформированной модуль формирования целей управления (9.5), и управляющими воздействиями, хранящимися в БД управляющих воздействий (9.8), данные о необходимых управляющих воздействий через выход БД управляющих воздействий (9.8) передаются на вход модуля реализации управляющих воздействий (9.9).Further, the module for the formation of control objectives (9.5), in interaction through its second input with the first input of the DB of control actions (9.8), searches for the corresponding control actions that satisfy the formed control goal. If a correspondence is found between the control goal formed by the module for forming control goals (9.5) and the control actions stored in the DB of control actions (9.8), the data on the necessary control actions through the output of the DB of control actions (9.8) are transmitted to the input of the module for the implementation of control actions (9.9).
При отсутствии в БД управляющих воздействий (9.8) данных о необходимых управляющих воздействий, направленных на достижение сформированной цели управления СКК СЗ АС, модуль формирования целей управления (9.5) через свой первый выход передает на вход модуля формирования управляющих воздействий (9.6) параметры (характеристики, свойства) требуемого состояния (поведения) блоков, входящих в СКК СЗ АС, к которым следует стремиться в процессе реализации управляющих воздействий на них. На основе данных, поступивших от модуля формирования целей управления (9.5), модуль формирования управляющих воздействий (9.6) осуществляет синтез алгоритмов (четких недвусмысленных правил, инструкций, указаний), позволяющих достигнуть заданной цели управления СКК СЗ АС в текущих условиях эксплуатации.In the absence of control actions (9.8) in the DB of data on the necessary control actions aimed at achieving the formed control goal of the SCC SZ AS, the module for generating control objectives (9.5) through its first output transfers to the input of the module for generating control actions (9.6) parameters (characteristics, properties) of the required state (behavior) of the blocks included in the SCC SZ NPP, to which one should strive in the process of implementing control actions on them. Based on the data received from the module for generating control goals (9.5), the module for generating control actions (9.6) synthesizes algorithms (clear unambiguous rules, instructions, instructions) that allow achieving the specified control goal of the SZ NPP SCC in the current operating conditions.
Далее модуль определения оптимальности управляющих воздействий (9.7) на основе цели управления, поступающей на его второй вход со второго выхода модуля формирования целей управления (9.5), и алгоритмов (правил, инструкций, указаний), поступающих на его первый вход с выхода модуля формирования управляющих воздействий (9.6), осуществляет поиск оптимальных или близких к оптимальным решений, позволяющих обеспечить достижение необходимых параметров (характеристик, свойств), характеризующих требуемое состояние (поведение) блоков, входящих в СКК СЗ АС, в текущих условиях эксплуатации.Further, the module for determining the optimality of control actions (9.7) based on the control goal arriving at its second input from the second output of the module for generating control objectives (9.5), and algorithms (rules, instructions, instructions) arriving at its first input from the output of the module for generating controllers impacts (9.6), searches for optimal or close to optimal solutions to ensure the achievement of the necessary parameters (characteristics, properties) that characterize the required state (behavior) of the units included in the SCC SZ NPP under current operating conditions.
Затем оптимальные управляющие воздействия через выход модуля определения оптимальности управляющих воздействий (9.7) поступают на второй вход БД управляющих воздействий (9.8), в которой они подлежат хранению, а через ее выход передаются на вход модуля реализации управляющих воздействий (9.9).Then the optimal control actions through the output of the module for determining the optimality of control actions (9.7) are fed to the second input of the DB of control actions (9.8), in which they are to be stored, and through its output they are transferred to the input of the module for the implementation of control actions (9.9).
Модуль реализации управляющих воздействий (9.9) через свой первый выход подает на входы источников СИБ оптимальные управляющие воздействия, направленные на приведение их текущего состояния (поведения) к требуемому, сообразно сформированной цели управления.The module for the implementation of control actions (9.9) through its first output feeds to the inputs of the NIB sources the optimal control actions aimed at bringing their current state (behavior) to the required one, in accordance with the formed control goal.
Кроме того, модуль реализации управляющих воздействий (9.9) через свой второй выход подает на первых вход блока сбора данных о СИБ (1) инструкции (указания), предоставляющие ему через его второй вход право приема и задания последовательности сбора с входов источников СИБ данных о СЗ АС.In addition, the module for the implementation of control actions (9.9) through its second output sends instructions (instructions) to the first inputs of the NIB data collection unit (1), giving it, through its second input, the right to receive and set the sequence for collecting data on SZ from the inputs of the NIB sources. AC.
Причем блок сбора данных о СИБ (1) обеспечивает получение потока данных от источников СИБ (8), в качестве которых могут выступать: файловые серверы, серверы БД, межсетевые экраны, автоматизированные рабочие места; системы обнаружения сетевых атак (вторжений), средства анализа защищенности АС, системы мониторинга СЗ АС, средства тестирования на проникновение, системы разграничения доступа, системы обеспечения и контроля целостности, антивирусные программы и т.д. При этом могут использоваться следующие основные методы:Moreover, the block for collecting data on the NIB (1) ensures the receipt of data flow from the NIB sources (8), which can be: file servers, database servers, firewalls, workstations; network attack (intrusion) detection systems, NPP security analysis tools, NPP monitoring systems, penetration testing tools, access control systems, integrity assurance and control systems, anti-virus programs, etc. In this case, the following basic methods can be used:
прямой связи (Pull) - источник СИБ самостоятельно посылает данные записи своих журналов в блок сбора данных о СИБ (1);direct communication (Pull) - the NIB source independently sends data from its logs to the NIB data collection unit (1);
обратной связи (Push) - блок сбора данных о СИБ (1) самостоятельно запрашивает данные из log-журналов источника СИБ.feedback (Push) - the NIB data collection unit (1) independently requests data from the log-logs of the NIB source.
Причем, задание последовательности сбора с входов источников СИБ данных о СЗ АС зависит от методов контроля СЗ АС, реализуемых источниками СИБ (8) в различных условиях эксплуатации, а именно:Moreover, the setting of the sequence for collecting data on the SZ NPP from the inputs of the NIB sources depends on the control methods of the SZ NPP implemented by the NIB sources (8) in various operating conditions, namely:
пассивный метод (Passive method), заключающийся в сборе (измерении), обработке и оценке (анализе) степени отклонения значений параметрических данных, характеризующих СЗ АС, от предварительно заданных значений, описывающих штатный режим ее функционирования. Другими словами, данный метод реализует процесс сканирования АС в целях выявления ее уязвимостей;Passive method, which consists in collecting (measuring), processing and evaluating (analyzing) the degree of deviation of the values of the parametric data characterizing the SZ of the nuclear power plant from the preset values describing the normal mode of its operation. In other words, this method implements the process of scanning the AU in order to identify its vulnerabilities;
активный метод (Active method), заключающийся в имитации КА на АС, использующих выявленные в результате сканирования ее уязвимости. Другими словами, данный метод реализует процесс зондирования АС.an active method, which consists in imitating a spacecraft on an AS using its vulnerabilities identified as a result of scanning. In other words, this method implements the process of sounding the speaker.
Отметим, что системные данные о состоянии процесса функционирования блока сбора данных о СИБ (1) через его второй выход передаются на первый вход модуля контроля состояния блоков СКК СЗ АС (9.3), который предоставляет возможность контроля текущего состояния блоков, включенных в состав СКК СЗ АС, а также оценивает эффективности процессов их функционирования в различных условиях эксплуатации. Результаты функционирования модуля контроля состояния блоков СКК СЗ АС (9.3) через его выход передаются на второй вход модуля оценки эффективности СКК СЗ АС (9.4).Note that the system data on the state of the process of functioning of the NIB data collection unit (1) is transmitted through its second output to the first input of the module for monitoring the state of the SCK SZ AS units (9.3), which makes it possible to monitor the current state of the units included in the SCK SZ AS and also evaluates the efficiency of their functioning processes in various operating conditions. The results of the functioning of the module for monitoring the state of the units SCK SZ AS (9.3) are transmitted through its output to the second input of the module for evaluating the effectiveness of the SCK SZ AS (9.4).
Далее данные о СЗ АС через первый выход блока сбора данных о СИБ (1) передаются на вход модуля нормализации (2.1), обеспечивающего приведение СИБ к единообразному виду для последующей централизованной обработки.Further, the data on the SZ AS through the first output of the data collection unit about the NIB (1) is transmitted to the input of the normalization module (2.1), which ensures the NIB is brought to a uniform form for subsequent centralized processing.
Модуль нормализации (2.1) использует для своей работы алгоритмы трансформации данных такие, как сортировка, замена данных, квантование, слияние, кросс-таблица, свертка столбцов, скользящее окно, конечные классы (см. описание алгоритмов трансформации данных, например, на официальном сайте компании BaseGroup™ Labs [Электронный ресурс]. - Режим доступа. - URL: https://basegroup.ru).The normalization module (2.1) uses data transformation algorithms for its work, such as sorting, data replacement, quantization, merging, crosstab, column folding, sliding window, final classes (see the description of data transformation algorithms, for example, on the official website of the company BaseGroup ™ Labs [Electronic resource]. - Access mode. - URL: https://basegroup.ru).
Нормализованные данные о СЗ АС через выход модуля нормализации (2.1) направляются на вход модуля фильтрации (2.2), который обеспечивает требуемую полноту представления данных обо всех потенциальных критических СИБ. Наиболее важным в фильтрации поступающего потока данных является обеспечение возможности исключения дублирующих СИБ, ошибочной и избыточной информации. Это позволяет снижать нагрузку, связанную с дальнейшей обработкой СИБ, и облегчает решение задач по обнаружения ИИБ. Модуль фильтрации (2.2) использует для своей работы алгоритмы очистки данных такие, как фильтрация, заполнение пропусков, редактирование выбросов, спектральная обработка, корреляционный и факторный анализ, устранение дубликатов и противоречий (см. описание алгоритмов очистки данных, например, на официальном сайте компании BaseGroup™ Labs [Электронный ресурс]. - Режим доступа. - URL: https://basegroup.ru).The normalized data on the SOC of the nuclear power plant is sent through the output of the normalization module (2.1) to the input of the filtering module (2.2), which provides the required completeness of the presentation of data on all potential critical NIB. The most important thing in filtering the incoming data stream is to ensure the possibility of eliminating duplicate ISS, erroneous and redundant information. This allows you to reduce the load associated with further processing of the ISS, and facilitates the solution of tasks for the detection of ISS. The filtering module (2.2) uses data cleaning algorithms for its work, such as filtering, filling in gaps, editing outliers, spectral processing, correlation and factor analysis, elimination of duplicates and inconsistencies (see the description of data cleaning algorithms, for example, on the official website of BaseGroup ™ Labs [Electronic resource]. - Access mode. - URL: https://basegroup.ru).
На следующем этапе отфильтрованный поток данных о СИБ через выход модуля фильтрации (2.2) поступает на первый вход модуля классификации и кластеризации (2.3), обеспечивающего выявление логических связей между анализируемыми СИБ. Модуль классификации и кластеризации (2.3) сначала обеспечивает присвоение каждому СИБ специального признака приоритета, определяющего степень (значимость) его угрозы. От значения приоритета, присвоенного СИБ, зависит то, насколько оперативно будет производиться его обработка, расследование и какие ресурсы будут задействованы. Данная процедура происходит на основании заложенных либо определяемых администратором СКК СЗ АС признаков. Затем модуль классификации и кластеризации (2.3) обеспечивает разбиение множество СИБ на кластеры. Внутри каждой группы должны оказаться «похожие» СИБ, а события разных группы должны быть отличны. Главная особенность выполняемой процедуры кластеризации состоит в том, что перечень групп четко не задан и определяется в процессе работы алгоритма. Границы различных категорий (кластеров) зачастую являются нечеткими, расплывчатыми, и обычно сама категория СИБ понимается не через формальное определение, а только в сравнении с другими категориями (кластерами).At the next stage, the filtered flow of information about the NIB through the output of the filtering module (2.2) goes to the first input of the classification and clustering module (2.3), which ensures the identification of logical connections between the analyzed NIB. The classification and clustering module (2.3) first ensures that each ISS is assigned a special priority attribute that determines the degree (significance) of its threat. The value of the priority assigned by the ISS determines how quickly it will be processed, investigated and what resources will be involved. This procedure takes place on the basis of the signs laid down or determined by the administrator of the CCC SZ AS. Then the module of classification and clustering (2.3) provides a partition of the set of NIBs into clusters. Within each group there should be “similar” NIBs, and the events of different groups should be different. The main feature of the performed clustering procedure is that the list of groups is not clearly specified and is determined during the operation of the algorithm. The boundaries of various categories (clusters) are often indistinct, vague, and usually the NIB category itself is understood not through a formal definition, but only in comparison with other categories (clusters).
Задачей модуля классификации и кластеризации (2.3) является формирование обобщающих признаков в совокупности СИБ. При увеличении числа примеров СИБ несущественные, случайные признаки сглаживаются, а часто встречающиеся - усиливаются, при этом происходит постепенное уточнение границ категорий. Модуль классификации и кластеризации (2.3) использует для своей работы иерархические алгоритмы, которые строят не одно разбиение выборки на непересекающиеся кластеры, а систему вложенных разбиений, то есть на выходе получается дерево кластеров, корнем которого является вся выборка, а листьями - наиболее мелкие кластера. Наиболее подходящими для задачи разбиения множества СИБ на кластеры следует считать восходящие алгоритмы, в которых объекты (СИБ) объединяются во все более и более крупные кластеры. Реализация этого подхода может быть представлена агломеративным алгоритмом Ланса-Вильямса (Мандель, И.Д. Кластерный анализ. / И.Д. Мандель. - М.: Финансы и статистика, 1988, с. 69-74). При этом расчет расстояний между кластерами предлагается вести на основе расстояния Уорда (Мандель, И.Д. Кластерный анализ. / И.Д. Мандель. - М.: Финансы и статистика, 1988. - С. 70).The task of the classification and clustering module (2.3) is the formation of generalizing features in the aggregate of the NIB. With an increase in the number of examples of NIB, insignificant, random signs are smoothed out, and frequently encountered ones are amplified, while there is a gradual clarification of the boundaries of categories. The classification and clustering module (2.3) uses hierarchical algorithms for its work, which build not one partition of the sample into disjoint clusters, but a system of nested partitions, that is, the output is a tree of clusters, the root of which is the entire sample, and the leaves are the smallest clusters. The most suitable for the problem of dividing a set of NIB into clusters should be considered ascending algorithms, in which objects (NIB) are combined into larger and larger clusters. The implementation of this approach can be represented by the Lance-Williams agglomerative algorithm (Mandel, ID Cluster analysis. / ID Mandel. - M .: Finance and statistics, 1988, pp. 69-74). At the same time, it is proposed to calculate the distances between clusters based on the Ward distance (Mandel, ID Cluster analysis. / ID Mandel. - M .: Finance and statistics, 1988. - S. 70).
Одновременно отфильтрованный поток данных о СИБ в нормализованном виде через второй вход модуля классификации и кластеризации (2.3) передается на вход репозитория триплетов (2.4) для хранения и последующего использования при принятии решений. Репозиторий триплетов (2.4) может быть создан на основе реляционной системы управления БД, XML-ориентированной СУБД или хранилища триплетов.At the same time, the filtered stream of data on the NIB in normalized form through the second input of the classification and clustering module (2.3) is transmitted to the input of the triplet repository (2.4) for storage and subsequent use in decision making. The triplet repository (2.4) can be created on the basis of a relational database management system, an XML-oriented DBMS, or a triplet repository.
Кроме всего, отфильтрованный поток данных о СИБ в нормализованном виде через выход репозитория триплетов (2.4) передается на первый вход блока анализа решений (6), являющегося базой знаний об известных методах противодействия КА, способах закрытия уязвимостей и других аспектах проведения мероприятий по повышению уровня ИБ АС.In addition, the filtered flow of information about the IS in a normalized form through the output of the repository of triplets (2.4) is transmitted to the first input of the decision analysis block (6), which is a knowledge base about the known methods of countering CAs, methods of closing vulnerabilities and other aspects of measures to increase the level of IS AC.
Далее информация о полученных кластерах, их количестве и входящих в их состав СИБ через выход модуля классификации и кластеризации (2.3) поступает на вход модуля корреляции (2.5), который обеспечивает выявление скрытых отношений между различными СИБ, происходящими в разное время и на разных узлах АС, что позволяет в режиме реального времени обнаруживать графы КА, включающие в себя распределенные СИБ. Построение модуля корреляции (2.5) на основе рекуррентных нейронных сетей Херольта-Джуттена (Осовский, С. Нейронные сети для обработки информации / С. Осовский, 2-е изд., перераб. и доп. - М.: Финансы и статистика, 2017. - С. 343-347) существенно повышает качество анализа главных компонентов, так как такие сети имеют адаптивную линейную структуру, обрабатывающую сигналы в режиме реального времени, и применяются именно в задачах с плохо структурированной информацией.Further, information about the obtained clusters, their number and their constituent NIBs through the output of the classification and clustering module (2.3) is fed to the input of the correlation module (2.5), which ensures the identification of hidden relationships between different NIBs occurring at different times and on different nodes of the AS , which allows real-time detection of spacecraft graphs, including distributed NIB. Construction of the correlation module (2.5) based on recurrent neural networks of Herolt-Jutten (Osovsky, S. Neural networks for information processing / S. Osovsky, 2nd ed., Revised and enlarged - M .: Finance and statistics, 2017. - P. 343-347) significantly improves the quality of the analysis of the main components, since such networks have an adaptive linear structure that processes signals in real time, and are used precisely in problems with poorly structured information.
Отметим, что системные данные о состоянии процесса функционирования блока управления данными (2) через его первый выход передаются на второй вход модуля контроля состояния блоков СКК СЗ АС (9.3), а соответствующие оптимальные управляющие воздействия, направленные на достижение сформированной цели управления СКК СЗ АС, поступают с третьего выхода модуля реализации управляющих воздействий (9.9) на его вход, тем самым, обеспечивая приведение текущего состояния (поведения) блока управления данными (2) к требуемому.Note that the system data on the state of the process of functioning of the data control unit (2) is transmitted through its first output to the second input of the module for monitoring the state of the CCC SZ AS units (9.3), and the corresponding optimal control actions aimed at achieving the formed control goal of the SCC SZ AS, come from the third output of the module for implementing control actions (9.9) to its input, thereby ensuring that the current state (behavior) of the data control unit (2) is brought to the required one.
Затем обработанный поток данных о СИБ через второй выход блока управления данными (2) направляется на первый вход блока анализа СИБ (3), который обнаруживает или регистрирует факт возникновения ИИБ, в том числе посредством моделирования СИБ, КА и их последствий, анализа уязвимостей и СЗ АС, определения параметров нарушителей, оценки риска, прогнозирования СИБ и ИИБ. Блок анализа СИБ (3) обеспечивает приоритезацию, определяя значимость и критичность СИБ на основании правил, определенных в системе.Then the processed NIB data stream through the second output of the data control unit (2) is sent to the first input of the NIB analysis unit (3), which detects or registers the fact of the ISS occurrence, including by modeling NIB, SC and their consequences, vulnerability analysis and SZ AS, defining the parameters of offenders, risk assessment, forecasting ISS and ISS. The NIB analysis unit (3) provides prioritization, determining the importance and criticality of the NIB based on the rules defined in the system.
Кроме того, в общем случае, процесс анализ СИБ, реализуемый в блоке анализа СИБ (3), может основываться на качественных и количественных оценках. Количественная оценка является более точной, но требует заметно больше времени, что не всегда допустимо. Чаще всего бывает достаточно быстрого качественного анализа, задача которого заключается в распределении факторов риска по группам.In addition, in the general case, the NIB analysis process, implemented in the NIB analysis unit (3), can be based on qualitative and quantitative assessments. The quantitative assessment is more accurate, but it takes much more time, which is not always acceptable. Most often, there is a fairly rapid qualitative analysis, the task of which is to distribute risk factors by groups.
Заметим, что системные данные о состоянии процесса функционирования блока анализа СИБ (3) через его второй выход передаются на четвертый вход модуля контроля состояния блоков СКК СЗ АС (9.3), а соответствующие оптимальные управляющие воздействия, направленные на достижение сформированной цели управления СКК СЗ АС, поступают с четвертого выхода модуля реализации управляющих воздействий (9.9) на его второй вход, тем самым, обеспечивая приведение текущего состояния (поведения) блока анализа СИБ (3) к требуемому.Note that the system data on the state of the process of functioning of the NIB analysis unit (3) is transmitted through its second output to the fourth input of the module for monitoring the state of the SCS SZ AS units (9.3), and the corresponding optimal control actions aimed at achieving the formed control goal of the SZ AS AS SCS, come from the fourth output of the module for implementing control actions (9.9) to its second input, thereby ensuring that the current state (behavior) of the NIB analysis unit (3) is brought to the required one.
Блок анализа СИБ (3) через свой первый выход передает обнаруженные ИИБ на первый вход блока оценки рисков (4), процесс функционирования которого направлен на прогнозирование СЗ АС и определение соответствующей ему степени угрозы на основании анализа последствий ИИБ.The ISS analysis unit (3), through its first output, transmits the detected ISS to the first input of the risk assessment unit (4), the operation of which is aimed at predicting the SZ NPP and determining the corresponding degree of threat based on the analysis of ISS consequences.
Блок оценки рисков (4) через свой первый выход передает системные данные о состоянии процесса своего функционирования на третий вход модуля контроля состояния блоков СКК СЗ АС (9.3), а соответствующие оптимальные управляющие воздействия, обеспечивающие приведение текущего состояния (поведения) блока оценки рисков (4) к требуемому, поступают с пятого выхода модуля реализации управляющих воздействий (9.9) на его второй вход.The risk assessment unit (4), through its first output, transmits system data about the state of its functioning process to the third input of the module for monitoring the state of the SCK SZ AS units (9.3), and the corresponding optimal control actions that ensure the current state (behavior) of the risk assessment unit (4 ) to the required one, come from the fifth output of the module for implementing control actions (9.9) to its second input.
Кроме того, блок анализа СИБ (3) через свой третий выход передает обнаруженные ИИБ на первый вход блока поиска решений (5), на второй вход которого с выхода блока анализа решений (6) поступают данные, содержащие информацию о предварительном анализе известных методов повышения уровня ИБ АС, основанном на базе репозитория триплетов (2.4).In addition, the NIB analysis unit (3), through its third output, transmits the detected ISS to the first input of the solution search unit (5), to the second input of which data is received from the output of the decision analysis unit (6) containing information on the preliminary analysis of known methods for increasing the level IS AS based on the triplet repository (2.4).
Блок поиска решений (5) на основе данных, поступивших на его входы, обеспечивает определение текущего СЗ АС и поддержку и принятие решений на ликвидацию последствий выявленных ИИБ (КА) в АС, которые сохраняются в БД принятых решений (5.1). Причем блок анализа решений (6) является вспомогательным блоком для блока поиска решений (5).The decision search unit (5), based on the data received at its inputs, ensures the determination of the current SZ of the nuclear power plant and support and decision-making for eliminating the consequences of the identified ISS (SC) in the automated system, which are stored in the database of decisions made (5.1). Moreover, the solution analysis unit (6) is an auxiliary unit for the solution search unit (5).
Системные данные о состоянии процессов функционирования блока анализа решений (6) и блока поиска решений (5) через второй выход блока поиска решений (5) передаются на пятый вход модуля контроля состояния блоков СКК СЗ АС (9.3), а соответствующие оптимальные управляющие воздействия, обеспечивающие приведение текущего состояния (поведения) блока анализа решений (6) и блока поиска решений (5) к требуемому, поступают с шестого выхода модуля реализации управляющих воздействий (9.9) на второй вход блока анализа решений (6), тем самым, достигая сформированной цели управления СКК СЗ АС.System data on the state of the processes of functioning of the decision analysis unit (6) and the solution search unit (5) through the second output of the solution search unit (5) are transmitted to the fifth input of the module for monitoring the state of the SCC SZ AS units (9.3), and the corresponding optimal control actions providing bringing the current state (behavior) of the decision analysis unit (6) and the solution search unit (5) to the required one, come from the sixth output of the control action implementation module (9.9) to the second input of the decision analysis unit (6), thereby achieving the formed control goal SKK SZ AS.
Принятые решения на ликвидацию последствий выявленных ИИБ (КА) в АС и данные о текущем СЗ АС через первый выход блока поиска решений (5) передаются на вход блока регистрации ИИБ (7), обеспечивающего визуализацию, то есть представление в графическом виде данных, характеризующих результаты функционирования СКК СЗ АС, а именно результаты анализа СИБ и СЗ АС в целом и ее элементов.The decisions made to eliminate the consequences of the identified ISS (CA) in the AS and the data on the current SZ of the AS through the first output of the solution search unit (5) are transmitted to the input of the ISU registration unit (7), which provides visualization, that is, the presentation in a graphical form of data characterizing the results the functioning of the SCC SZ AS, namely the results of the analysis of the NIB and SZ AS as a whole and its elements.
Таким образом, благодаря новой совокупности существенных признаков в заявленной полезной модели обеспечивается повышение достоверности и адаптивности процесса контроля СЗ АС в различных условиях ее эксплуатации за счет идентификации и аутентификации источников СИБ, оценки эффективность процесса функционирования СКК СЗ АС, а также формирования цели управления и оптимальных управляющих воздействий, с последующей их реализацией.Thus, thanks to a new set of essential features in the claimed utility model, an increase in the reliability and adaptability of the control process of the SZ NPP in various operating conditions is ensured by identifying and authenticating NIB sources, assessing the efficiency of the process of functioning of the SZ SZ NPP, as well as forming the control goal and optimal controllers. impacts, with their subsequent implementation.
Claims (1)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2020123495U RU204094U1 (en) | 2020-07-09 | 2020-07-09 | Device for comprehensive monitoring of the security status of automated systems |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2020123495U RU204094U1 (en) | 2020-07-09 | 2020-07-09 | Device for comprehensive monitoring of the security status of automated systems |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| RU204094U1 true RU204094U1 (en) | 2021-05-06 |
Family
ID=75851250
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| RU2020123495U RU204094U1 (en) | 2020-07-09 | 2020-07-09 | Device for comprehensive monitoring of the security status of automated systems |
Country Status (1)
| Country | Link |
|---|---|
| RU (1) | RU204094U1 (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU220304U1 (en) * | 2023-04-03 | 2023-09-06 | Федеральное государственное бюджетное учреждение "4 Центральный научно-исследовательский институт" Министерства обороны Российской Федерации | Device for calculating probabilistic characteristics |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU98267U1 (en) * | 2010-06-01 | 2010-10-10 | Государственное образовательное учреждение высшего профессионального образования "Краснодарское высшее военное училище (военный институт) имени генерала армии С.М. Штеменко" Министерства обороны Российской Федерации | DEVICE FOR PROTECTION AGAINST COMPUTER ATTACKS IN AUTOMATED SYSTEMS |
| RU141239U1 (en) * | 2013-06-04 | 2014-05-27 | Федеральное государственное казенное военное образовательное учреждение высшего профессионального образования "ВОЕННАЯ АКАДЕМИЯ СВЯЗИ имени Маршала Советского Союза С.М. Буденного" Министерства обороны Российской Федерации | DEVICE FOR DETECTING COMPUTER ATTACKS TO MILITARY INFORMATION-TELECOMMUNICATION NETWORKS |
| RU180178U1 (en) * | 2017-11-08 | 2018-06-05 | Федеральное государственное казенное военное образовательное учреждение высшего образования "Краснодарское высшее военное училище имени генерала армии С.М. Штеменко" Министерство обороны Российской Федерации | Integrated security assessment system for automated military control systems |
| US10601854B2 (en) * | 2016-08-12 | 2020-03-24 | Tata Consultancy Services Limited | Comprehensive risk assessment in a heterogeneous dynamic network |
-
2020
- 2020-07-09 RU RU2020123495U patent/RU204094U1/en active
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU98267U1 (en) * | 2010-06-01 | 2010-10-10 | Государственное образовательное учреждение высшего профессионального образования "Краснодарское высшее военное училище (военный институт) имени генерала армии С.М. Штеменко" Министерства обороны Российской Федерации | DEVICE FOR PROTECTION AGAINST COMPUTER ATTACKS IN AUTOMATED SYSTEMS |
| RU141239U1 (en) * | 2013-06-04 | 2014-05-27 | Федеральное государственное казенное военное образовательное учреждение высшего профессионального образования "ВОЕННАЯ АКАДЕМИЯ СВЯЗИ имени Маршала Советского Союза С.М. Буденного" Министерства обороны Российской Федерации | DEVICE FOR DETECTING COMPUTER ATTACKS TO MILITARY INFORMATION-TELECOMMUNICATION NETWORKS |
| US10601854B2 (en) * | 2016-08-12 | 2020-03-24 | Tata Consultancy Services Limited | Comprehensive risk assessment in a heterogeneous dynamic network |
| RU180178U1 (en) * | 2017-11-08 | 2018-06-05 | Федеральное государственное казенное военное образовательное учреждение высшего образования "Краснодарское высшее военное училище имени генерала армии С.М. Штеменко" Министерство обороны Российской Федерации | Integrated security assessment system for automated military control systems |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU220304U1 (en) * | 2023-04-03 | 2023-09-06 | Федеральное государственное бюджетное учреждение "4 Центральный научно-исследовательский институт" Министерства обороны Российской Федерации | Device for calculating probabilistic characteristics |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN111475804B (en) | Alarm prediction method and system | |
| US9369484B1 (en) | Dynamic security hardening of security critical functions | |
| US20210067531A1 (en) | Context informed abnormal endpoint behavior detection | |
| CN105376193B (en) | The intelligent association analysis method and device of security incident | |
| CN111310139A (en) | Behavior data identification method and device and storage medium | |
| CN111698241A (en) | Internet of things cloud platform system, verification method and data management method | |
| RU148692U1 (en) | COMPUTER SECURITY EVENTS MONITORING SYSTEM | |
| CN117670023A (en) | Customer service center call platform data security risk assessment method based on artificial intelligence | |
| Radivilova et al. | Intrusion detection based on machine learning using fractal properties of traffic realizations | |
| Liu et al. | Multi-step attack scenarios mining based on neural network and Bayesian network attack graph | |
| RU180789U1 (en) | DEVICE OF INFORMATION SECURITY AUDIT IN AUTOMATED SYSTEMS | |
| Kotenko et al. | Parallelization of security event correlation based on accounting of event type links | |
| Kanumalli et al. | A scalable network intrusion detection system using bi-lstm and cnn | |
| Wang et al. | Automatic multi-step attack pattern discovering | |
| CN111726351A (en) | Improved GRU parallel network traffic anomaly detection method based on bagging | |
| CN118509214B (en) | An information security monitoring method and system based on industrial Internet | |
| RU204094U1 (en) | Device for comprehensive monitoring of the security status of automated systems | |
| Ferdaus et al. | X-Fuzz: An Evolving and Interpretable Neuro-Fuzzy Learner for Data Streams | |
| CN113032774A (en) | Training method, device and equipment of anomaly detection model and computer storage medium | |
| CN117725575A (en) | Asset management method based on middleware access log | |
| Mohammad et al. | A novel local network intrusion detection system based on support vector machine | |
| Tan et al. | MVOPFAD: Multi-view Online Passenger Flow Anomaly Detection | |
| Lee et al. | Intelligent intrusion detection system | |
| Kansra et al. | Cluster Based detection of Attack IDS using Data Mining | |
| CN118972162B (en) | Network resource access control method and system based on identity authentication and port perception |