Заключение

В данном учебном пособии рассмотрено управление рисками как процесс, отечественные и международные стандарты в области защиты информации различного характера, а также качественные и количественные методики по управлению рисками систем.

Далее приведены методы анализа рисков на основе экспертных оценок и аппарата теории нечетких множеств, которые позволяют оценивать и управлять рисками систем и их компонентов в случае отсутствия либо недостаточной полноты статистических данных функционирования систем или ее компонентов.

В четвертой главе рассмотрена статическая риск-модель, описаны меры риска систем на основе вероятностных параметров и характеристик ущерба, приведены аналитические выражения риска и его параметров как для отдельных компонентов, так и для системы в целом, при реализации синхронных или асинхронных атак.

В заключительной главе рассматривается динамическая риск-модель систем, приведены формулы для расчета относительной и дифференциальной чувствительности систем, а также движения риска, что позволяет исследовать риски систем различного рода в динамике.

Библиографический список

1. Батищев Р.В. Методика формирования матрицы нечетких отношений для системы оценивания рисков / Р.В. Батищев, О.А. Середа, Ю.К. Язов // Информация и безопасность. 2001. №2. С. 34-36.

2. Большев Л.Н. Таблицы математической статистики. / Л.Н. Большев, Н.В. Смирнов. М.: Наука, 1983. 297 с.

3. Борисов А.Н. Обработка нечеткой информации в системах принятия решений / А.Н. Борисов, А.В. Алексеев, Г.В. Меркурьева М.: Радио и Связь, 1989.

4. Информационная безопасность и защита информации. Сборник терминов и определений. М. Гостехкомиссия России. 2001.

5. Кендалл М. Теория распределений/ М. Кендалл, А. Стьюарт. М.: Наука, 1966. 590 с.

6. Федеральный закон «Об участи в международном информационном обмене» № 850-ФЗ от 4 июля 1996 г. // собрание законодательства РФ: офиц. Изд. 1996. № 28. Ст. 3347.

7. Остапенко О.А. Опасность, ущербы и риски систем: учеб. Пособие / О.А. Остапенко, Р.В. Батищев. Воронеж: НОУВПО «Международный институт компьютерных технологий», 2007. 194 с.

8. Алтунин А.Е. Модели и алгоритмы принятия решений в нечетких условиях / А.Е. Алтунин, М.В. Семухин. Тюмень: ТГУ, 2000. 352 с.

9. Грэхем Р. Конкретная математика: Основание информатики/ Р. Грэхем, Д. Кнут, О. Паташник. М.: Мир, 1998. 703 с.

10. Буянов В.П. Рискология (управление рисками): Учебное пособие. 2-ое изд., испр. и доп. / В.П. Буянов, К.А. Кирсанов, Л.М. Михайлов. М.: Издательство "Экзамен", 2003. 384 с.

11. Куликов Е.И. Методы измерения случайных процессов/ Е.И. Куликов. М.: Радио и связь, 1986. 272 с.

12. Сулицкий В.Н. Методы статистического анализа в управлении / В.Н. Сулицкий. М.: Дело, 2002. 520 с.

13. Батищев Р.В. Методика выбора достаточного набора средств защиты с учетом их влияния на коэффициенты опасности угроз / Р.В. Батищев, О.А. Середа, Ю.К. Язов // Информация и безопасность. 2001. №2. с. 44-47.

14. Заде Л.А. Понятие лингвистической переменной и его применение к принятию приближенных решений / Л.А.Заде. М.:Мир, 1976. 165 с.

15. Защита от атак «Отказ в обслуживании» с помощью Cisco Guard, 2004.

16. Зыль С. Безопасность систем жесткого реального времени. Открытые системы / Зыль С. // СУБД. 2008, №7.

17. Информационная безопасность и защита информации. Сборник терминов и определений. // М.: Гостехкомиссия России. 2001.

18. Карайчев Г.В., Нестеренко В.А. Применение весовых функций для определения локальных статистических характеристик потока пакетов в сети // Известия высших учебных заведений. Северо-Кавказский регион. Серия: Естественные науки. 2008, №1, C.10-13.

19. Корн Г. Справочник по математике для научных работников и инженеров / Г. Корн. // М.: Наука, 1977. 832 с.

20. Криспин Л. Гибкое тестирование: практическое руководство для тестировщиков ПО и гибких команд / Л. Криспин, Д. Грегори // М.: «Вильямс», 2010. 464 с.

21. Ларкин Е.В. К вопросу о моделировании отказоустойчивых систем с помощью сетей Петри-Маркова / Е.В. Ларкин, В.В. Котов, Н.А. Котова, В.А. Соколов // Фундаментальные исследования. 2007, №5, C.37.

22. Лукацкий А.В. Атаки на информационные системы / А.В. Лукацкий // «Электроника. Наука. Технологии и Бизнес». 2000, 1, C.42-44.

23. Лукацкий А.В. Обнаружение атак / А.В. Лукацкий // СПб.: БХВ-Петербург, 2001. 624 с.

24. Матвеевский В.Р. Надежность технических систем. Учебное пособие / В.Р. Матвеевский // Московский государственный институт электроники и математики. М., 2002 г. 113 с.

25. Медведовский И. Атака на ИНТЕРНЕТ. Изд. 2-е/ И. Медведовский, П. Семьянов, Д. Леонов // М.: «ДМК», 1999, 180 c.

26. Медведовский И. Атака через ИНТЕРНЕТ. Под ред. П.Д. Зегжды. / И. Медведовский, П. Семьянов, В. Платонов // СПб.: Мир и семья, 1997. 200 с.

27. И.Д. Медведовский Атака на Internet. 3-е изд. / И.Д. Медведовский, П.В. Семьянов, Д.Г. Леонов // М.: Изд. ДМК, 2000.

28. Месарович М. Общая теория систем: математические основы / М. Месарович, Д. Мако, Я. Такахара. // М.: Мир, 1973. 344 с.

29. Милославская И.Г. Интрасети: обнаружение вторжений. Учебное пособие для вузов / И.Г. Милославская, А.И. Толстой // М.: ЮНИТИ-ДАНА. 2001. 400 с.

30. Мишин К.Н. Имитационное моделирование аномальных явлений в компьютерных сетях / К.Н. Мишин // Записки научных семинаров Санкт-Петербургского отделения математического института им. В.А. Стеклова РАН. 2007, C. 120-128.

31. Наместников Ю. Обзор DDoS-атак во втором квартале 2011 года. 2011, http://www.securelist.com/ru/analysis/208050712/Obzor_DDoS_atak_vo_vtorom_kvartale_2011_goda.

32. Ненашев С. Нагрузочное тестирование систем обеспечения информационной безопасности / С. Ненашев, Л. Ковтунович // Информационная безопасность. 2009, №1, C.28-29.

33. В.В. Никифоров Оценка времени отклика прикладных задач в системах реального времени с многоядерными процессорами / В.В. Никифоров В.И. Шкиртиль // Известия высших учебных заведений. Приборостроение. 2008, №12, C. 38-44.

34. Новейший словарь иностранных слов и выражений. // М.: АСТ, 2002.

35. В. Олифер. Компьютерные сети. Принципы, технологии, протоколы: Учебник для вузов. 4-е изд. / Олифер В., Олифер Н. // СПБ.: Питер, 2010. 944 с.

36. Орлов С. Системы хранения и серверы: технологические тенденции / С. Орлов // Журнал сетевых решений/LAN. 2010, №6.

37. Остапенко А.Г. Комплексная оценка эффективности защиты от угроз безопасности с использованием аппарата теории нечетких множеств / А.Г. Остапенко, Ю.К. Язов, Р.В. Батищев, О.А. Середа // Информация и безопасность, 2001. №2. С. 4-11.

38. Остапенко О.А. Методология оценки риска и защищенности систем/ О.А. Остапенко // Информация и безопасность, 2005. Вып. 2. С. 28-32.

39. Парфенов В.И. Защита информации (Словарь). // Воронеж: НП РЦИБ "Факел", 2003. 293 с.

40. Плешков А. Ошибки планирования в рамках стратегического управления проектами по информационной безопасности. Нагрузочное тестирование систем обеспечения информационной безопасности / А. Плешков // Информационная безопасность. 2009. №1. C.42-43.

41. Приходько А.Я. Словарь-справочник по информационной безопасности / А.Я. Приходько // М.: СИНТЕГ, 2001. 124 с.

42. Пугачев В.С. Теория вероятностей и математическая статистика: учеб.пособие. 2-е изд., исправл. и дополн // М.: ФИЗМАТЛИТ, 2002. 496 с.

43. Разумов М. Введение в распределенные DoS атаки, 2002, http://www.securitylab.ru/analytics/216248.php.

44. Риндле К. Динамические инфраструктуры. Журнал сетевых решений // LAN. 2010, №7.

45. Выгодский М.Я. Справочник по высшей математике / М.Я. Выгодский. М.: Наука, 1973. 872 с.

46. Герасименко В.А. Основы защиты информации. Учебник для вузов / В.А. Герасименко, А.А. Малюк. М.: МИФИ, 1997. 537 с.

47. Герик Т. Информационная база для оценки риска / Т. Герик //LAN: журнал сетевых решений, 2006. №9. С. 22-25.

48. Гмурман В.Е. Теория вероятностей и математическая статистика / В.Е. Гмурман. 12-е изд., стереотип. М.: Высшая школа, 2005. 479 с.

49. Гончаренко Л.П. Риск-менеджмент: учебное пособие / Под ред. д-ра тех. наук. проф., засл. деятеля науки РФ Е.А. Олейникова; Л.П. Гончаренко, С.А. Филин. М.: КНОРУС, 2006. 216 с.

50. Гончарова Г.А. Элементы дискретной математики / Г.А. Гончарова. М.: 2003. 127с.

51. Гостехкомиссия РФ. Руководящий документ. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации. М.: Jet Info, 1996. №2.

52. Гражданкин А.И. Использование вероятностных оценок при анализе безопасности опасных производственных объектов. / А.И. Гражданкин, М.В. Лисанов, А.С. Печеркин // Безопасность труда в промышленности. 2001. № 5. С. 33-36.

53. Гранатуров В.М. Экономический риск: сущность, методы измерения, пути снижения / В.М. Гранатуров. М.: Издательство "Дело и Сервис", 2002. 160 с.

54. Грэхем Р. Конкретная математика: Основание информатики/ Р. Грэхем, Д. Кнут, О. Паташник. М.: Мир, 1998. 703 с.

55. Губарев В.В. Вероятностные модели / В.В. Губарев. Новосибирск: Новосибирский электротехнический институт, 1982. 164 с.

56. Жижелев А.В. К оценке эффективности защиты информации в телекоммуникационных системах посредством нечетких множеств / А.В. Жижелев, А.П. Панфилов, Ю. К. Язов, Р.В. Батищев // Приборостроение. 2003. №7. с. 22-29.

57. Заде Л.А. Основы нового подхода к анализу сложных систем и процессов принятия решений / Л.А. Заде. В кн.: Математика сегодня. - М.:Знание, 1974, с. 5-49.

58. Кокс Д. Статистический анализ последовательностей событий / Д. Кокс, Льюис П. М.: Издательство "МИР", 1969. 312 с.

59. Комаров Л.Б. Статистические методы обработки экспериментальных данных. Учеб. пособие. Часть 2 / Л.Б. Комаров. СПб.: Ленинград, 1972. 208 с.

60. Корн Г. Справочник по математике для научных работников и инженеров / Г. Корн М.: Наука, 1977. 832 с.

61. Корченко А.Г. Построение систем защиты информации на нечетких множествах. Теория и практические решения / А.Г. Корченко. К.: "МК-Пресс", 2006. 300с.

62. Кофман А. Введение в теорию нечетких множеств. Пер. с франц / А. Кофман. М.: Радиан связь, 1982. 432 с.

63. Новоселов А.А. Математическое моделирование финансовых рисков. Теория измерения / А.А. Новоселов. Новосибирск: Наука, 2001. 212 с.

64. Остапенко А.Г. Комплексная оценка эффективности защиты от угроз безопасности с использованием аппарата теории нечетких множеств / А.Г. Остапенко, Ю.К. Язов, Р.В. Батищев, О.А. Середа // Информация и безопасность. 2001. №2. с. 4-11.

65. Остапенко О.А. Методология оценки риска и защищенности систем/ О.А. Остапенко // Информация и безопасность: Вып. 2. 2005. С. 28 – 32.

66. Парфенов В.И. Защита информации (Словарь). В.: НП РЦИБ «Факел», 2003. 293с.

67. Пугачев В.С. Теория вероятностей и математическая статистика: Учеб. пособие.-2-е изд., исправл. и длполн / В.С. Пугачев. М.: ФИЗМАТЛИТ, 2002. – 496 с.

68. Пустыльник Е.И. Статистические методы анализа и обработки наблюдений / Е.И. Пустыльник. М.: Наука, 1971. 192 с.

69. Рыжов А.П. Элементы теории нечетких множеств и ее приложений / А.П. Рыжов. М.: Диалог-МГУ, 1998. 81 c.

70. Самарский А.А. Математическое моделирование: Идеи. Методы. Примеры /А.А. Самарский, А.П. Михайлов. М.:ФИЗМАТЛИТ, 2005. 320 с.

71. Саульев В.К. Математическая обработка результатов наблюдений / В.К. Саульев. М.: Изд-во МАИ, 1974. 357 с.

72. Сачков В.Н. Введение в комбинаторные методы дискретной математики/ В.Н.Сачков. М.: МЦНМО, 2004. 421 с.

73. Севастьянов Б.А. Вероятностные модели / Б.А. Севастьянов. М.: Наука, 1992. 176 с.

ОГЛАВЛЕНИЕ

ВВЕДЕНИЕ 3

1. МЕТОДЫ УПРАВЛЕНИЯ РИСКАМИ 7

1.1. Общая характеристика процесса управления рисками 7

1.2. Качественные методики управления рисками 9

1.2.1. Методика COBRA 11

1.2.2. Методика RA Software Tool 12

1.3. Количественные методики управления рисками 12

1.3.1. Метод CRAMM 13

1.3.2. Метод RiskWatch 17

1.3.3. Метод ГРИФ 19

1.3.4. Метод OCTAVE 23

1.3.5. Метод MITRE 24

2. СТАНДАРТЫ В ОБЛАСТИ ОЦЕНКИ И УПРАВЛЕНИЯ РИСКАМИ 25

2.1. ГОСТ Р ИСО/МЭК 17799-2005 25

2.2. Стандарт СоbiТ 30

2.3. Стандарт SCORE 32

2.4. Стандарт SysTrust 34

2.5. Анализ руководства по анализу и управлению рисками NIST 800-30 (США) 35

3. МЕТОДЫ АНАЛИЗА РИСКОВ НА ОСНОВЕ ЭКСПЕРТНЫХ ОЦЕНОК И АППАРАТА ТЕОРИИ НЕЧЕТКИХ МНОЖЕСТВ 39

3.1. Классификация методов получения субъективной вероятности 40

3.2. Методы получения субъективной вероятности 43

3.3. Методы оценок непрерывных распределений 44

3.4. Некоторые рекомендации 47

4. МЕРЫ РИСКА СИСТЕМ НА ОСНОВЕ ВЕРОЯТНОСТНЫХ ПАРАМЕТРОВ И ХАРАКТЕРИСТИК УЩЕРБА 49

4.1. Аналитический подход к расчету параметров рисков для компонентов систем 49

4.2. Расчет параметров риска для компонент систем 56

4.3. Алгоритмическое обеспечение риск-анализа систем в диапазоне ущербов 75

4.4. Оценка рисков сложных систем на основе параметров рисков их компонентов 81

4.4. Интегральная оценка риска системы, ущерб которых имеет гамма-распределение 95

5. ИССЛЕДОВАНИЕ ДВИЖЕНИЯ ПАРАМЕТРОВ РИСКА ПРИ ИЗМЕНЕНИИ ПАРАМЕТРОВ АТАКИ 109

5.1. Построение матрицы чувствительности рисков системы 109

5.1.1. Анализ чувствительности модели информационного риска системы к изменению параметров риска 109

5.2. Разработка динамических моделей рисков систем при изменении параметров атак 112

5.2.1. Уравнение движения вероятностной модели информационного риска системы относительно параметров риска 112

5.2.2. Исследование влияния функций чувствительности информационного риска на его движение 116

ЗАКЛЮЧЕНИЕ 118

БИБЛИОГРАФИЧЕСКИЙ СПИСОК 119

Учебное издание

Остапенко Александр Григорьевич

Бурса Максим Васильевич

МАТЕМАТИЧЕСКИЕ ОСНОВЫ РИСК-АНАЛИЗА

В авторской редакции

Подписано к изданию 18.11.2013.

Объем данных 446 Kбайт.

ФГБОУ ВПО «Воронежский государственный

технический университет»