satНАУКА и ТЕХНИКАScience & Technique2227-10312414-0392Belarusian National Technical Universitysat-743Research ArticleПРИБОРОСТРОЕНИЕ. ИНФОРМАТИКАINSTRUMENT ENGINEERING. INFORMATICSМЕТОДИЧЕСКИЙ ПОДХОД К АНАЛИЗУ И ОЦЕНКЕ ЗАЩИЩЕННОСТИ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ, ОСНОВАННЫЙ НА ОПАСНОСТИ УЯЗВИМОСТЕЙMETHODOLOGICAL APPROACH TO ANALYSIS AND EVALUATION OF INFORMATION PROTECTION IN INFORMATION SYSTEMS BASED ON VULNERABILITY DANGERКротюкЮ. М.KrotiukY. M.

Кандидат технических наук

sat@bntu.byКамлюкВ. А.KamliukV. A.sat@bntu.byОбъединенный институт проблем информатики НАН БеларусиЛаборатория КасперскогоRussian Federation200806122008064146Copyright © Кротюк Ю.М., Камлюк В.А., 20082008Кротюк Ю.М., Камлюк В.А.Krotiuk Y.M., Kamliuk V.A.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://sat.bntu.by/jour/article/view/743

Рассматривается методический подход к анализу и оценке безопасности информации в информационных системах, основанный на анализе уязвимостей и степени их опасности. Под опасностью уязвимости понимается сложность ее эксплуатации в составе информационной системы. Определены необходимые и достаточные условия эксплуатации уязвимостей. Предлагается обобщенная модель реализации атаки, на основе которой строится модель реализации атаки для эксплуатации конкретной уязвимости. Сформулирован критерий оценки защищенности информации в ИС, основанный на оценке опасности уязвимости. Предлагаемый подход позволяет получить количественную оценку защищенности ИС на основе предлагаемых схем реализации типовых атак для выделенных классов уязвимостей.

Методический подход использован при выборе вариантов реализации механизмов защиты в ИС, а также при оценке безопасности информации в действующих ИС.

The paper considers a methodological approach to an analysis and estimation of information security in the information systems which is based on the analysis of vulnerabilities and an extent of their hazard. By vulnerability hazard it is meant a complexity of its operation as a part of an information system. The required and sufficient vulnerability operational conditions  have  been  determined in the paper. The paper proposes a generalized model for attack realization which is used as a basis for construction of an attack realization model for an operation of a particular vulnerability. A criterion for estimation of information protection in the information systems which is based on the estimation of vulnerability hazard is formulated in the paper. The proposed approach allows to obtain a quantitative estimation of the information system security on the basis of the proposed schemes on realization of typical attacks for the distinguished classes of vulnerabilities.

The methodical approach is used for choosing variants to be applied for realization of protection mechanisms in the information systems as well as for estimation of information safety in the operating information systems.

ReferencesАстахов, А. А. Анализ защищенности корпоративных систем / А. А. Астахов // Открытые системы. – 2002. – №7/8. – С. 44–49.Астахов, А. А. Анализ защищенности корпоративных систем / А. А. Астахов // Открытые системы. – 2002. – №7/8. – С. 44–49.Вихорев, С. В. Как узнать откуда напасть и откуда исходит угроза безоапасности / С. В. Вихорев, Р. Ю. Кобиев // Конфидент. – 2002. – №1. – С. 44–49.Вихорев, С. В. Как узнать откуда напасть и откуда исходит угроза безоапасности / С. В. Вихорев, Р. Ю. Кобиев // Конфидент. – 2002. – №1. – С. 44–49.Симонов, С. Современные технологии анализа рисков в информационных системах / С. Симонов // PC Week/RE = Компьютерная неделя. – 2001. – № 37 (307).Симонов, С. Современные технологии анализа рисков в информационных системах / С. Симонов // PC Week/RE = Компьютерная неделя. – 2001. – № 37 (307).

The authors declare that there are no conflicts of interest present.