Vkb 01 2017 by valera655

ПРИМЕНЕНИЕ МЕТОДОВ ТЕОРИИ ВОЗМОЖНОСТЕЙ ПРИ МОДЕЛИРОВАНИИ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ Щербаков Е.С.1, Корчагин П.В.2 Дается математическое представление модели функционирования системы защиты информации, базирующееся на применении методов теории возможностей, что позволяет компенсировать методологические трудности, сопряжённые с применением в тех же целях классической теории вероятностей. При исследовании статистических данных о информационных инцидентах специалисты сталкиваются с таким неприятным с методической точки зрения фактом, как статистическая неоднородность указанных данных. Источники этой неоднородности достаточно многочисленны и разнообразны по своей природе, но главной причиной служит всё-таки человеческий фактор. Плохое знание инструкций, невнимательность, степень утомления, торопливость пользователей – вот весьма неполный перечень источника неоднородности исходных данных. Провести факторизованный анализ причин, порождающих информационные инциденты, администратору безопасности не представляется никакой возможности. Однако обобщать факты, характеризующие информационные инциденты, проводить моделирование информационных инцидентов, и делать адекватные выводы всё-таки нужно. Статистическая неоднородность исходных данных делает невозможным применения для их обобщения и моделирования классических методов статистического моделирования. В статье предлагается решить задачу моделирования систем защиты информации на основе методов теории возможностей. Ключевые слова: модель функционирования, вероятностные модели, моделирование систем защиты, статистическая неоднородность, интервальный анализ.

DOI: 10.21581/2311-3456-2017-1-2-5 Вероятностные модели широко используются для оценки эффективности функционирования систем защиты информации (СЗИ). Однако практика работы со случайными величинами убедительно доказывает, что вероятностные методы несостоятельны при моделировании сложных недетерминированных процессов, причём к этим процессам можно смело отнести действия по несанкционированному доступу к секретной информации. В работах [1, 2] показано, что теория вероятностей является частным случаем теории возможностей. В свою очередь математической основой последней является интервальный анализ и теория нечётких множеств. В интервальном анализе предполагается, что имеется измеренное неточным прибором значение х неизвестной измеряемой величины хo, и известна абсолютная ∆ (или относительная δ) ошибка измерения. Тогда границы интервала неопределённости измеряемой величины хo определяются из условия: [хo] = [х−, х+] = [х−∆; х+∆ ] = [х (1−δ); х (1+δ]. (1) В «классической» интервальной арифметике операции с положительными (не включающими

нуля) интервалами определяются следующим образом: [a]+[b] = [a−+b−; a++b+]; [a]−[b] = [a−−b+; a+−b−]; [a]×[b] = [a−×b−; a+×b+]; [a]/[b] = [a−/b+; a+/b−].

(2)

В интервальной арифметике не выполняется дистрибутивный закон: ([a]+[b]) [c] ≠ [a] [c]+[b] [c], отсутствуют обратные элементы ([a]/[a]=1, [a] − [a]=0). Отечественные учёные развивали методы интервального анализа [3, 4]. Базовый принцип интервального анализа формулируется следующим образом: интервал неопределённости результата есть множество всех его возможных значений, получаемых при варьировании переменных и параметров задачи в границах известных интервалов. В частности, если дана функция (или функционал) [y] = f([х]), интервального векторного аргумента [x] = ([x1],…[xi],…[xk]), то границы y−, y+ интервала неопределённо-

1 Щербаков Е.С., кандидат технических наук, профессор, Военная академия воздушно-космической обороны, г. Тверь, ses1828@rambler.ru 2 Корчагин П.В., кандидат технических наук, Военно-космическая академия имени А.Ф. Можайского, г. Санкт-Петербург, pavel.v.korchagin@gmail.com

Вопросы кибербезопасности №1(19) - 2017

результата есть множество всех его возможных значений, получаемых ([a]+[b]) [c] ≠ [a] [c]+[b] [c], интервалов. В переменных и параметров задачи в границах известных ([a]+[b]) [c] ≠ [a] [c]+[b] [c], утствуют обратные элементы на функция (или функционал) элементы i нтервального векторного аргумента [x]([a]/[a]=1, = ([x1],…[x ],…[xk]), методов теории возможностей ... ([a]/[a]=1, Применение [a]  [a]=0). нтервала неопределённости значения функции определяются как решение [a]  [a]=0). Отечественные учёные развивали методы интервального анализа [3, 4]. Базовый Таблица 1. сти значения функции определяются как решение ремум: учёные развивали методы интервального анализа [3, 4]. Базовый инцип интервального анализа формулируется следующим образом: интервал Варианты закона распределения, используемые двух задач на экстремум: ого анализа формулируется следующим образом: интервал определённости результата есть множество всех его возможных значений, получаемых  для оценки показателя эффективности СЗИ ультата есть множество всех значений, получаемых y = min ��возможных ), х∈Хего иеменных варьировании переменных и параметров задачи в границах известных В иy+ параметров задачи границах известных интервалов. (3) интервалов. ИндексВзакона Название закона ). вфункционал) = max (3) х∈Х �� тности, если дана функция (или ункция (или функционал) 1 k 1 аргумента i позволяk 1 экспоненциальный [y] = f([х]), интервального векторного [x] ],…[xi],…[x ]), Применение интервального анализа рвального векторного аргумента [x] = ([x ],…[x ],…[x ]), = ([xпроблемы интервального анализа позволяет снять многие и  + , y интервала неопределённости значения функции определяются как решение границы 2 гиперпоказательный етy снять многие проблемы и методические сложрвала неопределённости значения функции определяются как решение жности, возникающие при решении прикладных задач статистическими ух задач на экстремум: 3 Эрланга 2-го порядка ности, возникающие при решении прикладных м: 4 Эрланга 3-го порядка задач статистическими методами. исходных данных может иметь нтервального анализа неопределённость   5 Релея y = min �� ), В рамках интервального анализа неопределёнх∈Х y =Например, minх∈Х ��пусть ), и и природу. в процессе экспериментального (3) 6 Релея-Райса ность исходных иметь maxфункционирования ��).разные ис- одной и той (3) же х∈Х чении одного года y+ = max ��данных ). y+ = может х∈Хэффективности точники и природу. Например, пусть в процессе нформации (СЗИ), эксплуатируемой шестью различными пользователями, Ставится задача: получить и оценку показателя экспериментального исследования Применение интервального анализа позволяет снять многие проблемы атистические результаты, аппроксимируемые шестьюодразными законами нтервального анализа позволяет снятьв течении многие проблемы и эффективности СЗИ на основе обобщения данных ногосложности, годаэффективности эффективности функционирования одтодические возникающие при решении прикладных задач статистическими чения показателя СЗИ, перечисленными в таблице 1. сти, возникающие при решении прикладных задач статистическими пользователей. В силу статистической неной и той жешесть системы защиты информации указанных (СЗИ), дляввсех тодами. ом, анализируются законов распределения, таблице 1. однородности результатов получение подобной эксплуатируемой шестью различными пользоваВ рамках интервального анализа неопределённость исходных данных может иметь вального анализа неопределённость исходных данных может иметь ет обозначаться вариант закона распределения случайного значения при оценки методами теории вероятностей и матеисточники и получены природу. Например, в процессе экспериментального телями,Например, были результаиные природу. пустьстатистические в процессепусть экспериментального матической статистики невозможно. На основе следования в течении одного года эффективности функционирования одной и той же ты, года аппроксимируемые шестью разными законаии одного эффективности функционирования одной и той же (4) � � � ∈ 1, 2, 3, 4, 5, 6 , методов теории возможностей задача решается стемы информации (СЗИ), эксплуатируемой шестью различными пользователями, ми распределения значения показателя эффекрмациизащиты (СЗИ), эксплуатируемой шестью различными пользователями, следующим ли получены статистические результаты, аппроксимируемые шестью образом. разными законами тивности СЗИ, перечисленными в таблице 1. разными тические результаты, аппроксимируемые шестью законами она распределения (табл.). Для шести в табл. законов распредепределения значения показателя эффективности СЗИ, перечисленными вуказанных таблице 1. Таким образом, анализируются шесть законов я показателя эффективности СЗИ, перечисленными в таблице 1. рактеризуют эффективность функционирования СЗИ показателем, Для шести указанных в табл. законов распределения Таким образом, анализируются законов распределения, указанных в таблице 1.интервалы, строятся доверительные напри- строятся д распределения, указанных в шесть таблице 1. Символом анализируются шесть законов распределения, указанных вления таблице 1. кнутом интервале [0; 1], причём нуль соответствует абсолютно мер,случайного для вероятности интервалы, например, для доверительной вероятности � � строятся �,�5 (рис.доверител 1): Для шести указанных в доверительной табл. значения законов при распределения мволом Э� будет будетобозначаться обозначаться вариантзакона закона распределения вариант распредебозначаться вариант закона распределения случайного значения при ункционированию СЗИ, а единица  абсолютно эффективному. � � (рис. 1): Для шести указанных табл. законов распределения ления случайного значенияинтервалы, при �Э� ;вЭвероятности � для S �,�5 например, для доверительной ∈ ��1,�2, 3,4,(рис. 5, 6�1): . строятся до Таблица 1. � � � � табл. интервалы, например, доверительной ∈ 2,показателя 3,законов 4, 5, 6�, эффективности (4) 5, 6�� Э�для � для S ∈доверительные �1,вероятности ; Э(4) 2, 3,4, . � �,�5(5)(рис. 1): �1, 2, 3, ��, �СЗИ � ∈шести 4, 5, 6для (4) Для указанных в 1, распределения строятся распределения, используемые оценки � � �проводится Объединение всех �данных с использованием разработан � ; Э� для S ∈ 1, 2, 3,4, 5, 6�. Э� 1): интервалы, например, для доверительной вероятности �операции � Объединение �,�5 расслоения (рис. всех данных проводится с искона Название закона интервальной (рис. 2) где S − индекс закона распределения (табл.). ераспределения �  индекс закона распределения (табл.).Объединение всех данных проводится с использованием разработанной авто (табл.). �Э� �1, 2, 3,4,расслоения �. ;экспоненциальный Э� 5, 6�� пользованием � � интер� �� разработанной � эффективность � � для S ∈ функциДанные характеризуют интервальной операции Э(рис. ; Э� �. , Э� ; Э� , �савторами , (5) �Э всех �данных проводится использованием Данные характеризуют эффективность функционирования СЗИ показателем, � ; Э�2) � ; Э� �, � , �Э�разработанн теризуют эффективность функционирования Объединение СЗИ показателем, вальной операции расслоения (рис. 2) � � � � � � � � онирования СЗИ показателем, лежащим в замкнуинтервальной операции расслоения (рис. 2) жащим в замкнутом интервале [0; 1], причём �� нуль �Э�соответствует �Э� ; Э� �,абсолютно ; Э� �, разработанной � , �Э� ; Э� �, � , �Э� ; Э� ��. ом интервале [0; 1],всех причёмгиперпоказательный нуль соответствует абсолютно Объединение проводится с использованием � � � � � � � � �авторами том интервале [0; 1], данных причём нуль соответствует ффективному функционированию СЗИ, а единица  абсолютно эффективному. � 2-го порядка �� Э� ; Э� , Э� ; Э� �, � , �Э� ционированию СЗИ, а единица  Эрланга абсолютно эффективному. � ; Э� �, � , �Э� ; Э� ��. интервальной операции расслоения (рис. 2) абсолютно неэффективному функционированию Таблица 1. �Таблица�1. � � � � �3-го�порядка � Эрланга � �, �оценки (6) �� Э ; Э ; Э� ��. , Э� ; Э�для , �Э� СЗИ, а единица − абсолютно эффективному. � � � ; Эпоказателя � �, � , �Э�эффективности арианты закона распределения, используемые СЗИ (6) Релея ределения, используемые для оценки показателя эффективности СЗИ Релея-Райса Индекс закона Название закона Название закона 1 экспоненциальный экспоненциальный адача: получить оценку показателя эффективности СЗИ на основе гиперпоказательный х для всех2 пользователей. гиперпоказательный В силу статистической неоднородности 3 Эрланга порядка Эрланга 2-говероятностей порядка ение подобной оценки методами теории и 2-го математической 4 Эрланга 3-го можно. На основе методовЭрланга теории3-говозможностей задачапорядка решается порядка 5 Релея м. Релея 6 Релея-Райса Релея-Райса

Ставится оценку задача: показателя получить оценку показателяСЗИ эффективности а: получить эффективности на основе СЗИ на основе общения данных для всех пользователей. В силу статистической неоднородности ля всех пользователей. В силу статистической неоднородности ультатов подобнойтеории оценкивероятностей методами теории вероятностей и математической подобнойполучение оценки методами и математической тистики невозможно. На основе методов теории возможностей но. На основе методов теории возможностей задача решается задача решается дующим образом.

Рис. 1. Совмещённое рассмотрение доверительных интервалов оценок показателя эффективности СЗИ Вопросы кибербезопасности №1(19) - 2017

Меры и средства защиты информации

УДК 519.87(075.8)

Рис. 1. Совмещённое рассмотрение доверительных интервалов оценок показателя Рис. 1. Совмещённое рассмотрение доверительных интервалов оценок показателя эффективности СЗИ �Э�� ; Э�� 1, 2, 3,4, 5, 6� эффективности СЗИ �Э� ; Э� � �� 1, 2, 3,4, 5, 6� щённое рассмотрение доверительных интервалов оценокинтервалов показателя Рис. 1. Совмещённое рассмотрение доверительных оценок показателя � �� ффективности СЗИ ; Э Э �� 1, 2, 3,4, 5, 6 � � � � �Э� ; Эпоказателя эффективности СЗИ � � �� 1, 2, 3,4, 5, 6� мотрение доверительных интервалов оценок Рис. 1. Совмещённое рассмотрение доверительных интервалов оценок показателя ти СЗИ �Э�� ; Э�� 1, 2, 3,4, 5, 6� эффективности СЗИ �Э� ; Э� � �� 1, 2, 3,4, 5, 6� мотрение доверительных интервалов оценок показателя � � Рис. 1. Совмещённое рассмотрение доверительных интервалов оценок показателя ти СЗИ �Э�� ; Э�� 1, 2, 3,4, 5, 6� эффективности СЗИ �Э�� ; Э�� 1, 2, 3,4, 5, 6�

Рис. 2. Группирование интервальных оценок

Рис. 2. Группирование интервальных оценок Рис. 2. Группирование интервальных оценок На основе анализа эмпирических данных Операция DIL(....) (от англ. devide into Рис. 2. Группирование интервальных оценок частоты оценок эффекlayers − разделить на DIL(....) слои) определяется следуюоснове анализа эмпирических данных определяю Операция (отинтервальных англ. devide intoопределяются layersНа  разделить на попадания слои) определяется Рис. 2. Группирование оценок devide СЗИ into вlayers  разделить определяется эффективности СЗИ в А инаинтервалы В, тивности интервалы В, С.слои) Например, щимследующим образом: образом:Операция DIL(....) (от англ. следующим образом: Группирование интервальных оценок � � � � � � � � DIL(....) (от англ. devide into layers  разделить на слои) определяется ܲ ൌ Ͳǡͳ ; ܲ ൌ Ͳǡͷ ; ܲ ൌ ͲǡͶ . В этом случае интервал . В этом случае 2.�Группирование ஺определяется ஼ �Э� ;(от �Э� ; Эdevide �,Рис. Э� �,англ. ; Эlayers Э��; Эинтервальных … , �Э � ஻= на слои) Операция �� DIL(....) , �разделить �оценок � ��, � ��,�,… �Э�� ; Э�� ,into �Эгистограммы, �Э� �� =оценки �� ; Э ; Э … , ; Э … , �Э форме представленной на рис. 3. м: � � � � интервальные представляются в форме � � � � � � � � � следующим образом: �layers ��Э� ; Эразделить ��Э Э� , … , Э�� , �… , Э�� Э ,�Э� , … , Э�� , … , Эна � �интервальных � into � � � devide � �слои) � � �центр �� рис. � � �� ,� � �, �; Э �определяется ��| Э �� ,� Группирование оценок Далее масс (ЦМ) фигуры, нгл. на определяется гистограммы, представленной 3. � � Э ; Э �, … , Э ; Э = , … , �Э � � Э ; Э � ��Э , Э … , Э … , Э �; Э � ��Э , Э , … , Э , … , Э� | Э � � �(от2. Операция devide layers  разделить Рис. Группирование интервальных � �Э� ; Э�� , ��Э� ; Э� ��,� � ;�Э DIL(....) � , �� англ. �into � оценок � определяется �� на слои) � � �� , … Э ; Э = , � � � � ��Э � � � � � � ��Э ;… � � � � компонент гистограммы В, А и С, построенной без пробелов � Э � ��Э , Э , … , Э , … , Э �; � � ��Э , Э , … , Э , … , Э � � | � � � � � � � � � � �� определяется центр � � � � �; Э �� Э � … � � , Эмасс образом: �Э, Э ��Э , Э Э�layers , …��, Э� ,�Э �; Э ,… �,�даст ; Э, … ��Э , , ЭЭ� … Э,��…Далее ,… ,�Э,� �; � ,(ЦМ) Э� , …фигуры, , Э� | � � �� , … �, Э� , � � , следующим �� Э �слои) ��,� � �… � , …точную � � � ��Э� � � � � � � � ; Э � ��Э , Э , … , Э � ��Э , Э , Э , Э � � | Э итоговый результат  наиболее аппроксимацию англ. devide into разделить на определяется � � � �� Э � �� образованной �огибающей всех (7) ��; Э � Э� �, …��, �Э��; Э�� компонент гисто;��Э;��Э�| ��, …devide � �� Э;�англ. � ;Э ,,�… Э��, ЭЭ ;Э = �Э ��layers � ,� �=��Э��ЭОперация DIL(....) (от into �разделить на слои) определяется �Э�� ,� � � �| � Э ;,Э�…,��… � (7) ��Э � ��Э Э��Э,Э�… ,� Э��Э �, Э �� ,�… � � �� , Э � , Э� �, … , Э�� ; � � � ; Э �� , �; � �… � � � � �� Э ; Э � ��Э , Э , , Э , Э , … , Э , … , Э � � | � граммы В, А и С, построенной без пробелов. Про� ��Э �� образом: �� ,Э �� , Э� ,�… � следующим …�, Э�� , …� ,�Э�� ; Э , Э� , ��Э … � �� Э ; Э , Э , … , Э , … , Э �; Э � ��Э , Э , … , Э , … , Э � � | Э � �� (7) � � � � � �� Э� �� Э= � Э� ; Э �, … ,Э��ЭЭ�| Э�� екция � � �� ;�� ЦМ на� ось и даст итоговый резуль�� ; Э �; Э �, … Э��,�� (7)�абсцисс �� ; Э�| � ;�… Э� �, �,Э��…, … , �Э, Э��; Э = �Э �, Э� �� …��, ЭЭ��,; … �; � ��Э;��Э , Э Э , …� , Э��,,… � �� ,�Э �� Э � � �� Э � ��Э Э , �; � � ��Э , Э , … , Э , … , Э � � � � �� ,�Э , … , Э �, � �Э� � �� − наиболее �точную� � � аппроксимацию тат СЗИ (по , … , Э� , … , Э� �; Э� ��Э … , � � � �� , Э��, … , Э , … , Э �; Э � ��Э , Э , … , Э , … , Э� � � � � Э ��Э ��|�| Э �� ; Э �� (7) � � � � � � � � � �� Э ; Э � Э ; Э � Э �� (7) � � Мамдани [5]). � � … , Э�� , … , Э�� ; ��Э , Э� ,�… , Э�� , … , �Э� � � �� Э� ; Э�� | �� Э� �� , Э�� ,�… , Э�� , … , Э�� ; �� Э�� , Э�� методических , … , Э�� , … , Э�� приёмов, � Совокупность правил �� (7) � � � � � � ��Э� ; Э� �|�� Э� ; Э� � Э� �� (7) и операций представляют суть усовершенство(7)

Рисунок 3 – Обобщение статистически неоднородных р

Совокупность методических приёмов, правил и усовершенствованного метода применения теории возможн математического описании характера неопределённости и о моделирования функционирования СЗИ. На основе предложенного методического подхода д решить задачи: моделирования процесса функционирования средств методов имитационного моделирования, например, с примен классификации источников возникновения информа анализа статистически неоднородных признаков; распознавания в реальном масштабе времени по характеризуемые совокупностью статистически неоднородн разработки и уточнения рекомендации админ профилактике информационных инцидентов и выявлению ф Рис. 3 – Обобщение статистически неоднородных результатов моделирования ЛИТЕРАТУРА 1. Yager R. A foundation for a theory of possibility 10, №. 13.  P. 177209. Вопросы кибербезопасности №1(19) - 2017 2. Пытьев Ю. П., «Возможность. Элементы тео УРСС, 2000.  237 с.

Применение методов теории возможностей ... ванного метода применения теории возможностей и теории интервалов для математического описании характера неопределённости и обобщения исходных данных, для моделирования функционирования СЗИ. На основе предложенного методического подхода достаточно просто и эффективно решить задачи: -- моделирования процесса функционирования средств защиты информации на основе методов имитационного моделирования, например, с применением языка GPSS;

-- классификации источников возникновения информационных инцидентов на основе анализа статистически неоднородных признаков; -- распознавания в реальном масштабе времени потенциально опасных ситуаций, характеризуемые совокупностью статистически неоднородных признаков; -- разработки и уточнения рекомендации администраторам безопасности по профилактике информационных инцидентов и выявлению фактов нарушения.

Рецензент: Гамов Максим Викторович, доктор технических наук, профессор кафедры оценки эффективности боевых действий Военной академии воздушно-космической обороны г. Тверь, vavko@mil.ru Литература: 1. 2. 3. 4. 5.

Yager R. A foundation for a theory of possibility // J. of Cybernetics. − 1980. − Vol. 10, №. 1−3. − P. 177−209. Пытьев Ю. П., «Возможность. Элементы теории и применения», Эдиториал УРСС, 2000. − 237 с. Калмыков С. А., Шокин Ю.И., Юлдашев З.Х. Методы интервального анализа. − Новосибирск: Наука, 1986. − 354 с. Орлов А. И. Асимптотический линейный регрессионный анализ для интервальных данных − М.: Издательство стандартов, 1986. − 279 с. Прикладные нечёткие системы / Под. ред. Т. Тэрано, К. Асан, М. Сугэно. − М: Мир, 1993. − 368 с.

APPLICATION OF POSSIBILITY THEORY METHODS TO MODELLING INFORMATION SECURITY SYSTEMS E. Sherbakov3, P. Korchagin4 Abstract.The article gives mathematical representation of the model of the information security system operation, which is based on the possibility theory methods, which allows compensating for methodological difficulties associated with the use of the classic probability theory for the same purpose. The specialists studying static data on information incidents face such unpleasant methodical problem as static heterogeneity of the specified data. The sources of this heterogeneity are multiple and have various nature, however, the main cause is still the human factor. Poor knowledge of manuals, lack of attention, fatigue, hastiness of the users is just a small list of causes for the source data heterogeneity. The security manager simply cannot carry out a fact-based analysis of causes that lead to information incidents. Nevertheless, it is necessary to consolidate facts that describe information incidents, model information incidents, and make adequate conclusions. Static heterogeneity of the source data makes it impossible to use classic methods of static modelling for their consolidation and modelling. The article suggests solving the problem of the information security modelling using the probability theory methods. Keywords: operating model, probabilistic models, modeling systems of protection, statistical heterogeneity, interval analysis. References 1. 2. 3. 4. 5.

Yager R. A foundation for a theory of possibility, J. of Cybernetics. − 1980. − Vol. 10, №. 1−3. − P. 177−209. Pyt’ev YU. P., Vozmozhnost’. Elementy teorii i primeneniya, Editorial URSS, 2000. – 237 s. Kalmykov S. А., Shokin Y.I., Yuldashev Z.X. Metody interval’nogo analiza. – Novosibirsk: Nauka, 1986. – 354 s. Orlov А. I. Аsimptoticheskiy linejny regressionny analiz dlya interval’nykh dannykh – M.: Izdatel’stvo standartov, 1986. – 279 s. Prikladnye nechyotkie sistemy / Pod. red. T. Tehrano, K. Аsan, M. Sugehno. – M: Mir, 1993. – 368 p.

3 4

Evgeniy Sherbakov, Ph.D., professor, Military Academy of Aerospace Defense, Tver, Russia, ses1828@rambler.ru Pavel Korchagin, Ph.D., Military Space Academy named A.F.Mozhayskogo, St. Petersburg, Russia pavel.v.korchagin@gmail.com

Вопросы кибербезопасности №1(19) - 2017

МОДЕЛЬ ФУНКЦИОНИРОВАНИЯ СЕТИ СВЯЗИ С НЕИЗВЕСТНЫМ УРОВНЕМ ДОВЕРИЯ И ОЦЕНКИ ЕЁ ВОЗМОЖНОСТЕЙ ПО ПРЕДОСТАВЛЕНИЮ УСЛУГИ VPN С ЗАДАННЫМ КАЧЕСТВОМ Анисимов В.В.1, Бегаев А.Н.2, Стародубцев Ю.И.3 Использование виртуальных частных сетей позволяет обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети с меньшим или неизвестным уровнем доверия (например, Интернет). Использование криптографии позволяет защитить информацию от доступа, подмены и изменения. Наиболее эффективным в таком случае способом воздействия на логическую сеть со стороны злоумышленника является воздействие на узлы публичной сети для снижения качества обслуживания или прекращения информационного обмена между её абонентами (DDoS-атаки). Разработана аналитико-имитационная модель, одновременно учитывающая структурные и потоковые характеристики физической сети связи и развёрнутых на её основе логических сетей. Представленная модель позволяет имитировать функционирование сети связи в условиях DDoS-атак и получать зависимости количества узлов сети связи, производительности которых недостаточно для обеспечения услуг связи с заданным качеством, а также определять необходимое увеличение производительности критических узлов. С помощью модели можно решать задачи по выявлению слабых мест в существующих физических и логических сетях, по управлению и модернизации сети связи, при планировании развёртывания и заблаговременной подготовке к эксплуатации сети связи. Ключевые слова: сетевая структура, сетевой поток, критический узел, сеть связи, вероятность обслуживания, сетевой мониторинг, отказ в обслуживании, инкапсуляция, виртуальная частная сети, уровень доверия, криптографическая защита сообщения. DOI: 10.21581/2311-3456-2017-1-6-15 Введение Для управления важными системами развёртываемая система связи должна отвечать заданным к ней требованиям, например, по своевременности и вероятности обслуживания, по пропускной способности. При территориальном разносе элементов системы рационально использовать ресурсы сетей связи общего пользования Единой сети электросвязи РФ. В таком случае, сочетание технологий VPN и IPsec позволяет обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети с меньшим или неизвестным уровнем доверия [1, 2]. Уровень доверия к построенной логической сети не зависит от уровня доверия к базовым сетям благодаря использованию средств криптографии. Существующие сети связи обслуживают значительное число абонентов, малая часть которых

также принадлежит логическим сетям VPN с заданным требованиям. Используя средства сетевого мониторинга, злоумышленник с определённой долей вероятности к определённому моменту времени сможет выявить из общего информационного обмена, поток сообщений между абонентами сети VPN. Благодаря использованию средств криптографии он не получит доступа к семантической части сообщения. Наиболее эффективным в таком случае является воздействие на узлы публичной сети для снижения качества обслуживания или прекращения информационного обмена между её абонентами (DDoS-атаки) [2-6]. Требуется разработать модель, в которой учитываются структурные и потоковые характеристики физической сети и развёрнутой поверх её логической сети, а также их взаимосвязь. Целью моделирования является получение зависимо-

1 Анисимов Василий Вячеславович, Военная академия связи им. С.М.Будённого, г. Санкт-Петербург, Anisimov.VV-vas@yandex.ru 2 Бегаев Алексей Николаевич, кандидат технических наук, ЗАО «Эшелон-СЗ», г. Санкт-Петербург, a.begaev@nwechelon.ru 3 Стародубцев Юрий Иванович, доктор военных наук, профессор, Военная академия связи им. С.М.Будённого, г. Санкт-Петербург, ys@e-nw.ru

Вопросы кибербезопасности №1(19) - 2017

Модель функционирования сети связи ... стей количества узлов сети связи, производительности которых недостаточно для обеспечения услуги VPN с заданным качеством, от структуры сети связи, производительности её узлов, количества всех абонентов и создаваемой ими нагрузки на сеть связи, количества абонентов, использующих услугу VPN, их привязки к узлам сети связи и информационных направлений между ними, а также необходимое увеличение производительности выявленных узлов. Постановка задачи на исследование. Выходным результатом является множество пар , где — узлы сети связи, — необходимое увеличение производительности узлов для обеспечения услуги VPN с заданным качеством. Основными исходными данными модели являются: — граф, задающий структуру сети связи, где — множество узлов сети связи , и — множество линий связи между узлами сети связи и , ; — множество, задающее производительность каждого узла сети связи , ; — модель функционирования узла сети связи , ; — количество абонентов сети связи (пользователи), не использующие сеть VPN; — множество, задающее привязку пользователей , к узлам сети связи , ; — множество, задающее нагрузку от каждого пользователя в виде интенсивности потока сообщений от ‑го пользователя; — закон распределения интенсивности потока ; — матрица информационных направлений между пользователями размерности ; — закон формирования матрицы информационных направлений между пользователями, , , ; — количество абонентов сети связи (абонентов), использующих сеть VPN; — множество, задающее привязку абонентов , узлам сети , ; — множество, задающее нагрузку от каждого абонента в виде интенсивности потока от ‑го абонента; — матрица информационных направлений между абонентами размерности ; — требуемая вероятность обслуживания на ‑м информационном направлении из матрицы информационных направлений. Основными допущениями и ограничениями являются: структура сети связи задана и неизменна; узлы сети связи характеризуются заданной произВопросы кибербезопасности №1(19) - 2017

водительностью; для передачи сообщений между абонентами сети связи выбирается кратчайший маршрут по известному алгоритму; абоненты характеризуются только привязкой к узлу сети связи, интенсивностью и направлением информационного обмена; повышение производительности узлов сети связи происходит одновременно на определённое значение для каждого узла. Алгоритм моделирования функционирования сети связи, с учётом нагрузки от пользователей Моделирование функционирования сети связи, с учётом нагрузки от пользователей реализовано в виде алгоритма (рис. 1). Ниже описаны ключевые этапы алгоритма, которые раскрывают взаимосвязь структурных и потоковых характеристик. В блоке 1 задают исходные данные. Исходными данными является фрагмент сети связи, топологически инвариантный реальному фрагменту сети связи [7, 6]. Задают количество разнородных абонентов :

(1)

Задают распределение разнородных абонентов по узлам сети связи. Задают нагрузку от каждого пользователя в виде интенсивности потока и закон её распределения . Интенсивностью потока называют математическое ожидание числа событий в единицу времени в данный момент. Например, для пуассоновского (простейшего) потока закон распределения задаётся выражением [9]: ,

(2)

а для нормального распределения выражением [10]:

(3)

Задают закон формирования матрицы информационных направлений между пользователями. Задают требуемую вероятность обслуживания для каждого информационного направления , производительность для каждого узла сети связи , где — среднее время обслуживания в узле сети связи. Задают — количество статистических экспериментов. В блоке 8 рассчитывают кратчайший маршрут между пользователями q-го информационного направления, например, по известному алгоритму Дейкстры.

Системы, сети и устройства телекоммуникаций В блоке 9 рассчитывают и запоминают нагрузку на каждом узле маршрута:

(4)

— нагрузка на j-й узел сети связи, вхогде дящий в маршрут -го информационного направления, и — нагрузка от пользователей -го информационного направления. Если значение счётчика номера информационного направления больше количества информационных направлений между пользователями, то в блоке 11 рассчитывают нагрузку для каждого узла сети связи и запоминают её:

(5)

где — нагрузка -го узла сети связи в -ом статистическом эксперименте. В блоке 12 увеличивают значение счётчика количества статистических экспериментов на «1» и начинают новый статистический эксперимент. Если значение счётчика больше количества статистических экспериментов, то в блоке 13 рассчитывают среднюю нагрузку для каждого узла сети связи: ,

(6)

В блоке 14 рассчитывают вероятность обслуживания на каждом узле сети связи и прекращают моделирование. Рассчитывают вероятность обслуживания : , где , –– количество узлов в сети связи, — вероятность блокировки b-го узла. Расчёт вероятности блокировки зависит от принятой модели функционирования узла. Например, для системы с полными потерями, состоящей из ‑серверов, рассчитывается по формуле потерь Эрланга:

(7)

где , — нагрузка на j-м узле сети связи, — производительность -го узла сети связи. Для системы M/M/1:N рассчитывается по формуле: где

— размер буфера.

(8)

УДК 681.5.015.24

Алгоритм расчёта вероятности обслуживания на каждом информационном направлении между абонентами и изменения параметров модели под заданные требования Расчёт вероятности обслуживания на каждом информационном направлении между абонентами и изменение параметров модели под заданные требования реализовано в виде алгоритма (рис. 2). Ниже описаны ключевые этапы алгоритма, которые раскрывают взаимосвязь структурных и потоковых характеристик. В блоке 1 вводят исходные данные: распределение разнородных абонентов по узлам сети связи, матрица информационных направлений между абонентами и др. В блоке 4 рассчитывают все возможные маршруты между абонентами текущего информационного направления и запоминают их [11]. В блоке 5 рассчитывают вероятность обслуживания на каждом маршруте и запоминают их. Т.к. вероятность обслуживания на каждом узле сети связи — событие независимое, то вероятность обслуживания на -м маршруте рассчитывается по формуле:

(9)

где — количество маршрутов в i-м информационном направлении, — количество узлов сети связи в -м маршруте. В блоке 6 рассчитывают вероятность обслуживания на текущем информационном направлении, включающем себя маршрутов, по формуле, согласно теореме сложения вероятностей:

(10) Если значение вероятности обслуживания на информационном направлении меньше требуемой, то в блоке 9 формируют вариационный ряд, состоящий из вероятности обслуживания на узлах , входящих в маршруты текущего информационного направления. В блоке 10 рассчитывают разницы между значениями членов вариационного ряда и запоминают их. В блоке 11 рассчитывают среднюю разницу между значениями членов вариационного ряда и запоминают её. Среднее значение изменения Вопросы кибербезопасности №1(19) - 2017

Модель функционирования сети связи ...

Рис. 1 Блок-схема алгоритма моделирования функционирования сети связи с учётом нагрузки от пользователей Вопросы кибербезопасности №1(19) - 2017

Системы, сети и устройства телекоммуникаций

УДК 681.5.015.24

Рис. 2 Блок-схема алгоритма расчёта вероятности обслуживания на каждом информационном направлении между абонентами и изменения параметров модели под заданные требования

Вопросы кибербезопасности №1(19) - 2017

Модель функционирования сети связи ... вероятности обслуживания узлов производится по формуле:

(11)

— количество членов вариационного где ряда. В блоке 15 значения увеличивают вероятности обслуживания узлов сети связи, равных значению текущего члена вариационного ряда, на разницу между значением этого члена и следующего члена вариационного ряда. Если значения вероятностей обслуживания на узлах сети связи станут равны между собой, то в блоке 18 увеличивают значение вероятности обслуживания на среднюю разницу между вероятностями обслуживания узлов сети связи у всех узлов, входящих в маршруты текущего информационного направления. Изменения параметров модели производят до тех пор, пока вероятность обслуживания на текущем информационном направлении будет не меньше требуемой, для чего переходят к блоку 5. Реализация модели Алгоритм был реализован в программной среде имитационного моделирования «AnyLogic 7». Результаты оценки качества разработанной модели удовлетворяют общепринятым требованиям. На имитационной модели была проведена серия экспериментов, которые можно разделить на четыре группы – исследование зависимости качества функционирования сети VPN: 1. от общей потоковой нагрузки на сеть связи; 2. от собственной потоковой нагрузки;

3. от собственной потоковой структуры; 4. от структуры сети связи. Принятым показателем качества функционирования сети VPN в модели является отношение критических узлов сети связи к общему количеству узлов в сети связи. Под критическим узлом сети связи понимается узел сети связи, производительности которого недостаточно для функционирования сети VPN, удовлетворяющей требованию . Для экспериментов принято . К первой группе относятся серии экспериментов, в ходе которых последовательно увеличивалось количество узлов сети связи (рис. 3). Для моделирования сети с заданным количеством узлов сети, программой генерировался безмасштабный граф Барабаши-Альберта с параметром . Граф БА-2 достаточно точно описывает структуры сетей, например, Интернет, на сетевом уровне ЭМВОС [1, 11]. Исходными данными для каждого эксперимента были: ;

;

; ; ; . Количество пользователей растёт с количеством узлов. С количеством пользователей пропорционально растёт нагрузка в сети. При дости-

Рис. 3 Зависимость количества критических узлов от общего количества узлов в сети при Вопросы кибербезопасности №1(19) - 2017

Системы, сети и устройства телекоммуникаций жении определённого значения нагрузка в сети становится критичной для функционирования сети VPN. Т.к. , то количество критических узлов в этот момент составляет около 90% от общего числа узлов сети связи. С ростом количества узлов сеть связи лучше распределяет нагрузку, но количество критических узлов уменьшается не сильно и составляет 70%–80% от общего количества узлов в сети. Характер изменения качества функционирования сети VPN не зависит от нагрузки, создаваемой каждым пользователем сети связи. От неё зависит момент ухудшения качества функционирования сети VPN (при ; при ) и необходимое увеличение производительности выявленных узлов (рис. 4).

УДК 681.5.015.24

Ко второй группе экспериментов относятся эксперименты, в ходе которых последовательно увеличивалось количество абонентов сети VPN (рис. 5). При проведении экспериментов структура сети, количество пользователей, создаваемая ими нагрузка не менялись. К третьей группе экспериментов относятся эксперименты, в ходе которых последовательно увеличивалось количество информационных направлений между абонентами сети VPN (рис. 6). При проведении экспериментов структура сети, количество пользователей, количество абонентов, распределение их по узлам сети связи и создаваемая ими нагрузка не изменялись. К четвёртой группе экспериментов относятся эксперименты, которые при одинаковых исход-

Рис. 4 Зависимость увеличение производительности выявленных критических узлов от общего общей потоковой нагрузки в сети

Рис. 5 Зависимость количества критических узлов от количества абонентов сети VPN

Вопросы кибербезопасности №1(19) - 2017

Модель функционирования сети связи ...

Рис. 6 Зависимость количества критических узлов от количества информационных направлений между абонентами сети VPN

Рис. 7 Зависимость количества вычислительного ресурса от характеристики структуры сети ных данных проводились на графах сети связи разной структуры (рис. 7). Общими исходными данными для каждого эксперимента были: ; ; . ;

3. граф Барабаши-Альберта с ; 4. регулярная решётка. Количество пользователей и абонентов сети VPN, их распределение на узлах сети связи были одинаковыми для всех сетей связи с разными структурами. В качестве характеристики структуры сети взято отношение:

;

; ;

;

, ;

Для исходных данных были сгенерированы четыре структуры сети связи с : 1. граф Барабаши-Альберта с ; 2. граф — остовое дерево сгенерированного графа БА-2; Вопросы кибербезопасности №1(19) - 2017

(12)

— линейный функционал связанногде сти, — среднее медианное значение степеней (рангов, валентности) узлов (вершин) сети связи (графа). Отношение характеризует способность сети распределять нагрузку по своей структуре. Линейный функционал связанности рассчитывается по формуле:

Системы, сети и устройства телекоммуникаций

УДК 681.5.015.24

Таблица 1 Характеристика структуры сети связи № п/п

Тип графа сети связи

1 2 3 4

БА-2 Остовое дерево БА-3 Регулярная решётка

3,97 2,92 5,77 4,31

(13)

где — коэффициент веса ‑го узла; — номер узла в сети связи; — общее количество узлов сети связи; — степень узла в сети связи; — число узлов, с которыми ‑й узел может быть иметь связь в сети связи. Для всех структур связи были рассчитаны характеристики сети при условиях, что граф сети полносвязанный ( ) и узлы сети равноценны ( ) (табл. 1). Несмотря на то, что количество критических узлов растёт с , необходимое увеличение производительности выявленных узлов уменьшается (в отличии от экспериментов первой группы). Выводы Научная новизна разработанной модели заключается в одновременном учёте структурных и потоковых характеристик физической сети связи и развёрнутых на её основе логических сетей. Модель позволяет имитировать функционирование сети связи с разнородными абонентами в условиях DDoS-атак и получать зависимости

5,5 4,5 6 3

0,72 0,64 0,96 1,43

количества критических узлов сети связи, производительности которых недостаточно для обеспечения услуг связи с заданным качеством от основных структурных и потоковых характеристик физической и логической сети, а также определять необходимое увеличение производительности критических узлов. Последовательность действий, представленная в модели, реализована в заявке на предполагаемое изобретение «Способ целенаправленной трансформации модели» №2016119980 от 23.05.2016. Разработана программа для ЭВМ. Модель повышает адекватность моделирования функционирования сети связи путём учёта нагрузки, создаваемой неоднородными абонентами, и определение параметров сети связи, при которых обеспечивается обслуживание абонентов с заданным качеством. Представленное научно-методическое обеспечение является основой для разработки подходов и научно‑технических предложений по выявлению слабых мест в существующих физических и логических сетях, по управлению и модернизации сети связи, при планировании развёртывания и заблаговременной подготовке к эксплуатации сети связи.

Рецензент: Куделя Виктор Николаевич, доктор технических наук, профессор, главный специалист АО «Институт сетевых технологий», kvn@int.spb.ru

1. 2. 3. 4. 5. 6. 7. 8.

Литература Барабанов А.В., Дорофеев А.В., Марков А.С., Цирлов В.Л. Семь безопасных информационных технологий / Под ред. А. С. Маркова. М.: ДМК Пресс, 2017. 224 с. Гречишников Е.В., Добрышин М.М., Закалкин П.В. Модель узла доступа VPN как объекта сетевой и потоковой компьютерных разведок и DDoS-атак // Вопросы кибербезопасности. 2016. № 3 (16). С. 4-12. Калашников А.О., Бурса М.В., Остапенко Г.А. Мультисервисные сети: дискретная риск-модель HTTP-флуда // Вопросы кибербезопасности. 2015. № 1 (9). С. 49-54. Петренко А.А., Петренко С.А. Способ повышения устойчивости LTE-сети в условиях деструктивных кибератак // Вопросы кибербезопасности. 2015. №2 (10). С. 36-42. Стародубцев Ю. И., Чукариков А. Г., Анисимов В. В. Объективные условия превентивной защиты инфо-телекоммункационной системы // Актуальные проблемы защиты и безопасности: Труды восемнадцатой Всероссийской научно-практической конференции. Том 5. Проблемы безопасности инфо-телекоммуникационных систем специального назначения. — СПб.: РАРАН, 2015. С. 140-145. Чукариков А. Г., Анисимов В. В. Математическая формализация обеспечения превентивной защиты инфо-телекоммуникационных систем // Актуальные проблемы защиты и безопасности: Труды девятнадцатой Всероссийской научно-практической конференции. Том 1. Вооружение, военная и специальная техника. — СПб.: РАРАН, 2016. C. 203−209. Способ моделирования сетей связи / Алисевич Е.А., Синев С.Г., Стародубцев П.Ю., Сухорукова Е.В., Чукариков А.Г., Шаронов А.Н. Патент на изобретение RUS 2546318 04.02.2014. Стародубцев Ю.И., Сухорукова Е.В., Чукариков А.Г. Методика выявления критически важных элементов информационнотелекоммуникационных систем // Проблемы экономики и управления в торговле и промышленности. 2014. № 1. С. 95-101.

Вопросы кибербезопасности №1(19) - 2017

Модель функционирования сети связи ... 9. Марков А.С., Цирлов В.Л., Барабанов А.В. Методы оценки несоответствия средств защиты информации. М.: Радио и связь, 2012. 192 с. 10. Крылов В. В., Самохвалова С. С. Теория телетрафика и ее приложения. — СПб.: БХВ-Петербург, 2005. — 288 с. 11. Кристофидес Н. Теория графов. Алгоритмический подход / под ред. Г. П. Гаврилова ; пер. с англ. Э. В. Вершкова, И. В. Коновальцева. — М.: Издательство «Мир», 1978. — 432 с.

FUNCTIONAL MODEL FOR COMMUNICATION NETWORK WITH UNKNOWN ASSURANCE LEVEL AND EVALUATION OF ITS CAPABILITIES OF RENDERING VPN SERVICE OF THE SET QUALITY Anisimov V.V.4, Begaev A.N.5, Starodubtsev Y.I.6 Abstract. The use of virtual private networks allows for one or more network connections (logical network) above the other network with lower or unknown assurance level (for instance, Internet). Cryptography protects information from access, substitution or change. The most effective means for the ‘hacker’ to impact the logic network is to affect the public network nodes to lower the quality of service or terminate information exchange between its subscribers (distributed denial-of-service attacks, DDoS attacks). We have developed an analytical simulation model that simultaneously takes into account structural and streaming properties of a physical communication network and logical networks developed on its basis. The presented model allows simulating operation of the network in the conditions of DDoS-attacks and finding out dependence of the number of the communication network nodes, which performance is not sufficient to assure the set quality of communication, and determining the necessary increase in performance of the critical nodes. This model can help to identify vulnerabilities in the available physical and logical networks, manage and upgrade the communication network, plan deployment of the communication network and its timely preparation for operation. Keywords: network structure, network flow, critical node, communication network, likelihood of service, network monitoring, denial of service, encapsulation, virtual private network, level of trust, cryptographic protection posts. References 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11.

Barabanov A.V., Dorofeev A.V., Markov A.S., Tsirlov V.L. Sem’ bezopasnykh informatsionnykh tekhnologiy (Seven information security technologies), by ed. A.S. Markov, Moscow, DMK, 2017, 224 p. Grechishnikov E.V., Dobryshin M.M., Zakalkin P.V. Model’ uzla dostupa vpn kak ob’’ekta setevoy i potokovoy komp’yuternykh razvedok i DDoS-atak, Voprosy kiberbezopasnosti [Cybersecurity issues], 2016, No 3 (16), pp. 4-12. Kalashnikov A.O., Bursa M.V., Ostapenko G.A. Mul’tiservisnye seti: diskretnaya risk-model’ HTTP-fluda, Voprosy kiberbezopasnosti [Cybersecurity issues], 2015, No 1 (9), pp. 49-54. Petrenko A.A., Petrenko S.A. Sposob povysheniya ustoychivosti LTE-seti v usloviyakh destruktivnykh kiberatak, Voprosy kiberbezopasnosti [Cybersecurity issues], 2015, No 2 (10), pp. 36-42. Starodubtsev Yu. I., Chukarikov A. G., Anisimov V. V. Ob’’ektivnye usloviya preventivnoy zashchity info-telekommunkatsionnoy sistemy, Aktual’nye problemy zashchity i bezopasnosti: Trudy vosemnadtsa-toy Vserossiyskoy nauchno-prakticheskoy konferentsii. Tom 5. Problemy bezopasnosti info-telekommunikatsionnykh sistem spetsial’nogo naznacheniya, St-Peterburg, RARAN, 2015, pp. 140-145. Chukarikov A. G., Anisimov V. V. Matematicheskaya formalizatsiya obespecheniya preventivnoy zashchi-ty info-telekommunikatsionnykh sistem, Aktual’nye problemy zashchity i bezopasnosti: Trudy devyatna-dtsatoy Vserossiyskoy nauchno-prakticheskoy konferentsii. Tom 1. Vooruzhenie, voennaya i spetsial’naya tekh-nika, St-Peterburg, RARAN, 2016, pp.203-209/ Sposob modelirovaniya setey svyazi / Alisevich E.A., Sinev S.G., Starodubtsev P.Yu., Sukhorukova E.V., Chukarikov A.G., Sharonov A.N. Patent RUS 2546318 04.02.2014. Starodubtsev Yu.I., Sukhorukova E.V., Chukarikov A.G. Metodika vyyavleniya kriticheski vazhnykh ele-mentov informatsionnotelekommunikatsionnykh sistem, Problemy ekonomiki i upravleniya v torgovle i promyshlennosti, 2014, No 1, pp. 95-101. Markov A.S., Tsirlov V.L., Barabanov A.V. Metody otsenki nesootvetstviya sredstv zashchity informatsii, Moscow, Radio i svyaz’, 2012. 192 p. Krylov V. V., Samokhvalova S, pp. Teoriya teletrafika i ee prilozheniya. St-Peterburg, BKhV-Peterburg, 2005. 288 p. Kristofides N. Teoriya grafov. Algoritmicheskiy podkhod, by ed. G. P. Gavrilova ; per. s angl. E. V. Vershkova, I. V. Konoval’tseva, Moscow, Izdatel’stvo Mir, 1978, 432 p.

Vasiliy Anisimov, Federal State Public Educational Institution of Higher Professional Education Military Telecommunication Academy named after the Soviet Union Marshal Budienny S. M., Saint-Petersburg, Anisimov.VV-vas@yandex.ru 5 Alexey Begaev, Ph.D., CJSC «North-West Echelon», Saint-Petersburg, a.begaev@nwechelon.ru 6 Yuriy Starodubtsev, Dr.Sc., Professor, Federal State Public Educational Institution of Higher Professional Education Military Telecommunication Academy named after the Soviet Union Marshal Budienny S. M., Saint-Petersburg, ys@e-nw.ru

Вопросы кибербезопасности №1(19) - 2017

ИТЕРАЦИОННЫЙ МЕТОД ПОИСКА КЛОНИРОВАННОГО КОДА, ОСНОВАННЫЙ НА ВЫЧИСЛЕНИИ РЕДАКЦИОННОГО РАССТОЯНИЯ Кононов Д.С.1 В статье рассмотрены текстовые методы поиска клонированного кода в исходных кодах программ. Замечено, что подавляющее большинство таких методов основывается на аппроксимирующих алгоритмах вычисления редакционного расстояния вследствие высокой временной сложности точных алгоритмов локального выравнивания строк. Предложен метод поиска клонированного кода, заключающийся в последовательном применении алгоритмов локального выравнивания строк к промежуточным представлениям входных данных, полученных путём использования алгоритмов сжатия данных с потерей информации. После обработки сжатого промежуточного представления для следующей итерации выбираются только участки данных, соответствующие выравниваниям, вес которых больше заданного порога. Доказаны требования к используемым в предлагаемом методе алгоритмам сжатия данных с потерей информации. Выполнена оценка выигрыша в вычислительных затратах от коэффициента сжатия данных. Показано, что наибольший эффект даёт коэффициент сжатия на первой итерации, а в случае высокой схожести строк сжатого промежуточного представления следует сразу переходить к обработке неизменённых исходных данных. При условии редкости события появления клонированного кода предлагаемый метод позволяет достичь квадратичного выигрыша в зависимости от максимального коэффициента сжатия исходных данных. Ключевые слова: программная безопасность, некорректности программ, повторно используемый код, заимствованные программные компоненты, программная избыточность, локальное выравнивание строк, сжатие с потерей информации, временная сложность, динамическое программирование.

DOI: 10.21581/2311-3456-2017-1-16-21 При разработке программного обеспечения (ПО) зачастую применяется способ программирования известный под названием «скопировал - вставил» [1]. Этот способ приводит к появлению большого числа ошибок в ПО, которые, в свою очередь, приводят к уязвимостям информационных систем. Появившийся дубликат участка программного кода называют клонированным кодом. Отметим, что поиск клонированного кода может быть полезен и в задачах сертификации. Например, при проведении сертификационных испытаний новой версии ПО можно значительно сократить области исследования за счёт исключения найденных совпадений в программном коде новой версии ПО с версией, которая уже прошла сертификационные испытания. В этом случае процесс исключения уже изученных участков программного кода будет неотличим от поиска клонированного кода. Кроме того, проводя подобные исследования программного кода в рамках сертификации, можно будет обнаруживать недекларируемые возможности ПО [2], а также выявлять кражу интеллектуальной собственности [3, 4]. Важность и актуальность рассматриваемой задачи доказывает наличие боль1

шого числа исследований, посвящённых выявлению клонированного кода [5-7]. В то же время, в настоящий момент не существует универсального метода выявления клонированного кода [6, 8]. Данный факт является следствием противоречия между избирательностью выявления клонированного кода и вычислительной сложностью метода. Под избирательностью в контексте статьи будем понимать качественную оценку вероятности принятия правильного решения, или же, что эквивалентно, вероятность не совершения ошибок первого и второго рода. Одним из основных классов методов поиска клонированного кода являются текстовые методы (рис. 1) [6]. Этот класс характеризуется использованием математического аппарата вычисления редакционного расстояния между строками. Однако существующие методы вычисления редакционного расстояния имеют квадратичную временную сложность в зависимости от количества символов в строках (за исключение метода «четырёх русских», который не используется из-за значительной пространственной сложности) [9]. Поэтому, на практике, применяются алгоритмы, аппроксимирующие редакционное расстояние.

Кононов Дмитрий Сергеевич, кандидат технических наук, ФГУП «18 ЦНИИ» МО РФ, Москва, sdk516@yandex.ru

Вопросы кибербезопасности №1(19) - 2017

Итерационный метод поиска клонированного кода ... Методы поиска клонированного кода По представлению программного кода Текстовое

Структурное По глубине анализа программного кода Гибридные

Текстовые

Лексические

Синтаксические

Семантические

Деревья Метрики

Johnson DuDe SDD Simian Реализации

Dup CCFinder CP-Miner CPD

Leitao NICAD

CloneDr C2D2 Juillerat Coogle

Davey

Duplix GPLAG Gabel

Рис. 1. Классификация методов поиска клонированного кода Таблица 1. Классификация клонированного кода Тип клонированного кода 1 2 3

Описание Идентичные участки программного кода с изменениями в форматировании, пробелах и комментариях. Синтаксически идентичные участки программного кода с изменениями идентификаторов, литералов, типов. Включает изменения характерные для типа 1. Скопированные участки программного кода с изменениями, добавлением или удалением команд. Включает изменения характерные для типа 2.

Среди них можно выделить различные алгоритмы хеширования строк [10, 11], нормализации формата [6], визуального сопоставления [12-14], построения суффиксного дерева [14], частотного поиска подпоследовательностей [5, 6]. Уменьшение временной сложности используемых алгоритмов сказывается на избирательности методов, что выражается в практически полной несостоятельности методов из данного класса при поиске клонированного кода типа 3 (табл. 1) [6, 8]. В статье предлагается метод, позволяющий преодолеть отмеченный недостаток текстовых методов, за счёт ускорения работы алгоритма локального выравнивания. Этот алгоритм вычисляет точное значение локального выравнивания и заключается в обобщении редакционного расстояния между строками на случай поиска Вопросы кибербезопасности №1(19) - 2017

отдельных схожих участков строк с использованием настраиваемых параметров поиска: матриц замен и штрафов за делецию2 [9]. Языки высокого уровня отличаются наличием большой избыточности в тексте программ, что обусловлено удобством работы для человека. Если сократить избыточность в тексте программ, то длина текста программ сократится, соответственно, по квадратичной зависимости сократится и время работы алгоритмов локального выравнивания. Если развить рассмотренный подход, то можно сокращать длину текста программ за счёт использования алгоритмов сжатия данных с потерей информации. В этом случае предлагается использовать итеративный 2

Делеция — операция удаление символа.

вита

, при этом

, где

– количе-

Отчёт о найденном заимствованном программном коде Выбираются те участки текста программы, в которых был найден заимствованный программный код, остальные участки кода отбрасываются

Нет Сравнивался текст программы без сжатия?

Исходный текст программ

Задаются параметры сжатия текста с максимальной потерей информации

Формируется сжатое текстовое представление программного кода с потерей информации

Производится поиск заимствованного программного кода по сформированному тексту программы

Да Задаются параметры сжатия текста с меньшей потерей информации

метод поиска заимствований программного кода, представленный на рис. 2. Предлагаемый метод заключается в дополнительной обработке программного кода перед использованием алгоритмов вычисления редакционного расстояния с целью сокращения объёма обрабатываемых данных за счёт применения сжатия с потерей информации. Он состоит из следующих шагов: 1) формируется сжатое текстовое представление программного кода с потерей информации; 2) производится поиск клонированного кода по сформированному сжатому тексту программы; 3) выбираются те участки текста программы, в которых был найден клонированный код, остальные участки кода отбрасываются; 4) оставшиеся участки кода передаются в виде входных данных на первый шаг, затем итерация повторяется. В ходе применения рассматриваемого метода на первой итерации находятся участки программного кода, в которых может содержаться клонированный код. Однако из-за применённого сжатия исходных данных точная величина редакционного расстояния для них не известна. На каждой последующей итерации отклонение получаемых величин от истинной величины уменьшается за счёт снижения доли утрачиваемой информации, вплоть до обработки исходных данных. Это свойство можно интерпретировать как увеличение точности обнаружения клонированного кода с каждой итерацией. Важно отметить, что предлагаемый метод будет работоспособен только в случае невозможности для каждого из применяемых сжатых представлений пропуска клонированного кода, т.е. на каждой итерации должна быть дана оценка сверху для истинной величины редакционного расстояния. Другими словами, в ходе обработки соответствующих сжатых текстовых представлений не должны допускаться ошибки второго рода при нулевой гипотезе, заключающейся в отсутствии клонированного кода. Докажем, что в этом случае применение рассматриваемого метода позволит найти все участки клонированного кода, которые найдёт и алгоритм вычисления редакционного расстояния, применённый к несжатым исходным текстам программ. Лемма. Даны две строки и , из символов алфавита . Рассмотрим функцию , которая переводит строку в строку из символов алфа-

УДК.004.421.6 Формируется отчёт

Методы анализа программ и верификации

Рис. 2. Блок-схема итерационного метода поиска клонированного программного кода Вопросы кибербезопасности №1(19) - 2017

Итерационный метод поиска клонированного кода ... ство символов в строке. Обозначим через вес локального выравнивания, начинающегося соответственно с позиций и в исходных строках, причём . Рассмотрим множество пар координат начал локальных выравнивания для строк и , и — для и соответственно. Обозначим подмножество , такое что , где — заданное пороговое значение. Аналогично — для строк и . Пусть (1) Тогда существует инъекция между множествами и , переводящая . Доказательство. Рассмотрим множество . Пусть , тогда по определению. Пусть . Множества и — конечные, так как сравниваются конечные строки. Соответственно, и их подмножества и также конечные. Так как и конечно, то можно выбрать элемент . По условию леммы . В силу , то . Отсюда, по определению. Таким образом, мы построили требуемую инъекцию, ч.т.д. Теорема. Если все используемые в итеративном методе поиска клонированного кода сжатия с потерей информации функции соответствуют требованиям леммы, где — номер итерации. Тогда в результате работы метода будет получено тождественное , где — количество итераций. Доказательство. По индукции с использованием свойства функций — , получим

тода необходимо разработать сжатые представления программного кода с потерей данных, которые не допускают ошибок второго рода. С этих же позиций можно рассматривать и нормализацию программного кода перед поиском клонированного кода [6]. В качестве примера представлений, обладающих требуемыми свойствами, можно предложить замену конкретных элементов текста программ (переменных, функций, операций и других) на односимвольное обозначение класса этих элементов. Рассмотрим теперь выигрыш в сокращении вычислительных затрат от применения описанного метода. Как отмечено выше, алгоритмы локального выравнивания строк имеют квадратичную временную сложность. Введём меру сжатия исходных текстов программ, используемых представлений программного кода, как относительное сокращение длины исходной строки, которую обозначим как , где индекс показывает номер итерации. Согласно описанию метода . Тогда отношение вычислительных затрат при выполнении алгоритмов выравнивания строк на исходных и на сжатых данных для первой итерации равно . Теперь предположим, что на следующую итерацию была передана часть кода длиной от изначального. Согласно описанию метода . Тогда отношение вычислительных затрат на следующей итерации будет равно , где – относительное сжатие объёма обрабатываемых данных на -итерации с учётом исключённых участков кода на предыдущих итерациях. Можно записать временную сложность предлагаемого метода относительно сложности алгоритма локального выравнивания (обозначенного как )

Также, применяя лемму по индукции, придём к следующему (3) Кроме того, . Для функция является тождественной, то есть — есть координаты начал локальных выравниваний в исходных строках. Соответственно, . Но в входят все выравнивания , содержащиеся в исходных строках. Таким образом, , иначе формируется противоречие. С учётом вышеизложенного , соответственно тождественно по определению, ч.т.д. Таким образом, для работы предлагаемого меВопросы кибербезопасности №1(19) - 2017

(4)

Рассмотрим худший случай для этого алгоритма, когда сравниваются два идентичных программных кода. Тогда , для всех , а временная сложность метода будет определяться выражением

(5)

Как видно, в этом случае после обнаружения на первом этапе значительного совпадения программных кодов следует сразу переходить на обработку исходных текстов программ без сжатия

Методы анализа программ и верификации

УДК.004.421.6

для снижения вычислительных затрат. В случае если , то всеми , кроме можно пренебречь, тогда

(7) (6)

может быть вычисСогласно определению лено по рекуррентной формуле , где – часть кода, которая была удалена из рассмотрения при переходе от -итерации к следующей. Пусть , тогда представляет собой геометрическую последовательность. Соответственно, можно записать

дополнительные вычислительные При затраты метода не превысят . Если предположить, что наличие клонированного программного кода является редким событием, то в этом случае и выигрыш от использования метода в среднем асимптотически приближается к . Поэтому основное внимание необходимо уделять на максимальное сжатие на первой итерации. Предлагаемый метод при разработке соответствующих сжатых представлений программного кода позволит достичь компромисса между избирательностью и временной сложностью текстовых методов определения клонированного кода. При этом, учитывая опыт смежных научных дисциплин, где применяются алгоритмы локального выравнивания, можно ожидать значительного повышения избирательности в отношении наиболее сложных для обнаружения типов клонированного кода. Это в свою очередь приведёт к повышению качества как разработки программного кода, так и результатов сертификации.

Рецензент: Голов Игорь Юрьевич, кандидат технических наук, ФГУП «18 ЦНИИ» МО РФ, golovnew2@yandex.ru 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13.

Литература Demeyer S., Ducasse S., Nierstrasz O. Object-oriented reengineering patterns. Square Bracket associates, 2009. 360 p. Markov A.S., Fadin A.A., Tsirlov V.L. Multilevel Metamodel for Heuristic Search of Vulnerabilities in the Software Source Code // International Journal of Control Theory and Applications, 2016, Volume 9, No. 30, pp. 313-320. Barabanov A.V., Markov A.S., Tsirlov V.L. Methodological framework for analysis and synthesis of a set of secure software development controls // Journal of Theoretical and Applied Information Technology. 2016. Т. 88. № 1. С. 77-88. Кононов Д.С. Об улучшении избирательности одного алгоритма определения авторства вредоносного кода // Вопросы кибербезопасности. 2016. № 2 (15). С. 29-35. Zhenmin L., Shan L., Suvda M., Yuanyuan Z. CP-Miner: Finding Copy-Paste and Related Bugs in Large-Scale Software Code // IEEE Trans. on SE, v. 32, No. 3. Roy C.K., Cordya J.R., Koschke R. Comparison and Evaluation of Code Clone Detection Techniques and Tools: A Qualitative Approach // Science of Computer Programming, v. 74, No 7, May 2009, pp. 470–495. Svajlenko J., Chanchal K.R. Evaluating Modern Clone Detection Tools // Proceedings of the 30th International Conference on Software Maintenance and Evolution (ICSME). 2014. С. 10. Roy C.K., Cordy J.R. An Empirical Study of Function Clones in Open Source Software // WCRE ‹08 Proceedings of the 2008 15th Working Conference on Reverse Engineering. 2008. С. 81-90. Гасфилд Д. Строки, деревья и последовательности в алгоритмах. Информатика и вычислительная биология. СанктПетербург: Невский Диалект, БХВ-Петербург, 2003. 654 с. Toomey W. Ctcompare: Code Clone Detection Using Hashed Token Sequences. Zurich. // Proceedings of the 6th International Workshop on Software Clones (IWSC ‹12). 2012. С. 92-93. Uddin M.S., Roy C.K., Schneider K.A., Hindle A. On the Effectiveness of Simhash for Detecting Near-Miss Clones in Large Scale Software Systems // Proceedings of the 2011 18th Working Conference on Reverse Engineering (WCRE ‹11). 2011. С. 13-22. Ducasse S., Rieger M., Demeyer S. A Language Independent Approach for Detecting Duplicated Code // Proceedings of the IEEE International Conference on Software Maintenance (ICSM99). 1999. С. 109-119. Wettel R., Marinescu R. Archeology of Code Duplication: Recovering Duplication Chains from Small Duplication Fragments // Proceedings of the Seventh International Symposium on Symbolic and Numeric Algorithms for Scientific Computing (SYNASC ‹05). 2005. С. 63-71.

Вопросы кибербезопасности №1(19) - 2017

Итерационный метод поиска клонированного кода ... 14. Lee S., Jeong I. SDD: High Performance Code Clone Detection System for Large Scale Source Code // Companion to the 20th Annual ACM SIGPLAN Conference on Object-oriented Programming, Systems, Languages, and Applications (OOPSLA ‹05) San Diego. 2005. С. 140-141. 15. CCFinder: A Multilinguistic Token-based Code Clone Detection System for Large Scale Source Code // IEEE Transactions on Software Engineering, Т. 28, № 7, июль 2002. С. 654-670.

ITERATIVE METHOD FOR CLONE CODE DETECTION BASED ON COMPUTING THE EDIT DISTANCE D. Kononov3 Abstract. In the article the lexical methods for code clone detection in source codes of programs are examined. Noticed, that the vast majority of such methods are based on approximation algorithms for computing the edit distance because of the high time complexity of exact algorithms, which perform local sequence alignment. A new method for clone code detection is suggested. This method consists in sequential applying of local sequence alignment algorithms on the intermediate representations of the input data obtained through the use of algorithms for data compression with loss of information. After processing the compressed intermediate representation for the next iteration only portions of the data corresponding alignments, which have weight greater than a predetermined threshold, are selected. The requirements for suitable algorithms for data compression with loss of information are proved. The estimation of gain in time depending on the data compression ratio is performed. It is shown that the greatest effect provides the compression ratio in the first iteration. In the case of high similarity of compressed intermediate representation strings one should go directly to the processing of unmodified input data. Considering the rareness of the occurrence of cloned code the proposed method allows to reach a quadratic payoff depending on the maximum compression ratio of input data. Keywords: clone code, edit distance, local sequence alignment, compression with loss of information, time complexity, dynamic programming. 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15.

References Demeyer S., Ducasse S., Nierstrasz O. Object-oriented reengineering patterns. Square Bracket associates, 2009. p. 360. Markov A.S., Fadin A.A., Tsirlov V.L. Multilevel Metamodel for Heuristic Search of Vulnerabilities in the Software Source Code. International Journal of Control Theory and Applications, 2016, Volume 9, Issue No. 30, pp. 313-320. Barabanov A.V., Markov A.S., Tsirlov V.L. Methodological framework for analysis and synthesis of a set of secure software development controls. Journal of Theoretical and Applied Information Technology, 2016, Volume 88, No 1, pp. 77-88. Kononov D.S. Ob uluchshenii izbiratel’nosti odnogo algoritma opredeleniya avtorstva vredonosnogo koda, Voprosy kiberbezopasnosti, 2016, No 2 (15), pp. 29-35. Zhenmin L., Shan L., Suvda M., Yuanyuan Z. CP-Miner: Finding Copy-Paste and Related Bugs in Large-Scale Software Code, IEEE Trans. on SE, v. 32, No. 3. Roy C.K., Cordya J.R., Koschke R. Comparison and Evaluation of Code Clone Detection Techniques and Tools: A Qualitative Approach, Science of Computer Programming, Vol. 74, No 7, 2009, pp. 470–495. Svajlenko J., Chanchal K.R. Evaluating Modern Clone Detection Tools. In Proceedings of the 30th International Conference on Software Maintenance and Evolution (ICSME), 2014, p. 10. Roy C.K., Cordy J.R. An Empirical Study of Function Clones in Open Source Software. WCRE ‹08 Proceedings of the 2008 15th Working Conference on Reverse Engineering, 2008, pp. 81-90. Gasfild D. Stroki, derev’ja i posledovatel’nosti v algoritmah. Informatika i vychislitel’naja biologija. St. Petersburg: Nevskij Dialekt, BHV-Peterburg, 2003, p. 654. Toomey W. Ctcompare: Code Clone Detection Using Hashed Token Sequences. In Proceedings of the 6th International Workshop on Software Clones (IWSC ‹12), Zurich. 2012. pp. 92-93. Uddin M.S., Roy C.K., Schneider K.A., Hindle A. On the Effectiveness of Simhash for Detecting Near-Miss Clones in Large Scale Software Systems. In Proceedings of the 2011 18th Working Conference on Reverse Engineering (WCRE ‹11), 2011, pp. 13-22. Ducasse S., Rieger M., Demeyer S. A Language Independent Approach for Detecting Duplicated Code. In Proceedings of the IEEE International Conference on Software Maintenance (ICSM99), 1999, pp. 109-119. Wettel R., Marinescu R. Archeology of Code Duplication: Recovering Duplication Chains from Small Duplication Fragments. In Proceedings of the Seventh International Symposium on Symbolic and Numeric Algorithms for Scientific Computing (SYNASC ‹05), 2005, pp. 63-71. Lee S., Jeong I. SDD: High Performance Code Clone Detection System for Large Scale Source Code. Companion to the 20th Annual ACM SIGPLAN Conference on Object-oriented Programming, Systems, Languages, and Applications (OOPSLA ‹05), San Diego. 2005, pp. 140-141. CCFinder: A Multilinguistic Token-based Code Clone Detection System for Large Scale Source Code, IEEE Transactions on Software Engineering, Vol. 28, No. 7, 2002, pp. 654-670.

3 Dmitrii Kononov, Ph.D., FGUP «18 CNII» MO RF, Moscow, sdk516@yandex.ru

Вопросы кибербезопасности №1(19) - 2017

РАЗБОР ЭКСПЛОЙТА УЯЗВИМОСТИ CVE-2015-7547 Касикин А.А.1 В данной статье проведен анализ уязвимости переполнения стека CVE-2015-7547, дано определение понятия «уязвимость», перечислены ключевые уязвимые операционные системы, описаны причины возникновения уязвимостей переполнения стека, а также их возможные последствия. Также проведен построчный анализ кода эксплойта данной уязвимости, написанный на языке python, подробно описаны очередность и устройство сетевых запросов, использующихся в самом эксплойте, подведены итоги о способе использования уязвимости. В завершающей части статьи приведены рекомендации от создателей уязвимой библиотеки по защите от атак, использующих данную уязвимость, а также сделана оценка возможности использования данной уязвимости для внедрения собственного исполняемого кода. Данная статья будет полезна студентам и начинающим в области информационной безопасности поскольку в ней подробно изложены суть и причины данного рода уязвимостей, также статья будет полезна для системных администраторов так как содержит рекомендации по защите от данной уязвимости. Ключевые слова: переполнение стека, Unix, DNS запрос, reverse engineering, python, UDP

DOI: 10.21581/2311-3456-2017-1-22-30 Введение Уязвимости – недостатки в компьютерной системе, использование которых приводит к нарушению целостности системы и некорректной работе. Они появляются в результате ошибок программирования, недостатков, которые допускались при проектировании системы, ненадежных паролей, вредоносных программ, скриптовых и SQL-инъекций. Их использование позволяет атакующему нарушить корректную работу приложения. Уязвимости были обнаружены во всех основных операционных системах, включая MicrosoftWindows, Mac OS, UNIX и OpenVMS. В данной статье мы рассмотрим одну из наиболее распространенных уязвимостей - уязвимость переполнения буфера. (1 место для поставщиков ОС и 2 место из общего числа уязвимостей по статистике cve.mitre.org) Переполнение буфера Переполнение буфера ( stackoverflow) - явление, возникающее, когда компьютерная программа записывает данные за пределами выделенного ей в памяти буфера. При переходе к подпрограмме буфер, как правило, имеет вид соответствующий (рис.1) Где 00401048 – адрес возврата, 0019ff28 - базовый указатель или указатель базы стекового кадра. Peter00 –данные для подпрограммы. В случае отсутствия проверок на размер передаваемых данных, они могут «выйти» за пределы обозначенной для них области (рис.2) 1

Рис. 1. Нормальное стояние буфера при переходе к подпрограмме В данном случае вместо Peter00 мы передали в подпрограмму большое количество символов A без проверок на размер вводимых данных, в результате чего адрес возврата был изменен на 0x41414141 (символ А в кодировке CP1251 соответствует байту 0х41). В случае, если в программе нет адреса 0x41414141 она вернет ошибку перехода, если же такой адрес в программе имеется, она перейдет к выполнению записанного по этому адресу кода. Злоумышленник может воспользоваться дан-

Касикин Алексей Андреевич, студент МГТУ им Н.Э. Баумана, г. Москва, arektar@mail.ru

Вопросы кибербезопасности №1(19) - 2017

Разбор эксплойта уязвимости CVE-2015-7547

Рис. 2. Переполнение буфера при переходе в подпрограмму ной уязвимостью и вместо символов «А» записать в буфер подпрограммы нужные ему данные и заменить адрес возврата на любой, ему удобный. Таким образом злоумышленник может передать управление в любую область исполняемой программы, при этом код в данной области будет выполнен от имени самой программы, со всеми имеющимися у нее привилегиями. На следующем изображении (рис.3) мы видим, как злоумышленник передал некий код на выполнение в области данных для подпрограммы, а затем перетер адрес возврата на адрес начала переданного им кода. Уязвимость CVE-2015-7547 CVE-2015-7547 - уязвимость в библиотеке glibc (GNU C Library) которая может привести к удалённому выполнению кода посредством переполнения буфера. Обнаружена независимо исследователями GoogleProjectZero и RedHat

Вопросы кибербезопасности №1(19) - 2017

Исследователи выяснили, что злоумышленники, оперирующие вредоносным DNS-сервером, могут направить в ответ на запрос излишнее количество данных, что вызовет переполнение буфера, скомпрометирует приложение или вообще всю систему в целом. Хакерам даже не обязательно заниматься компрометацией реального DNS-сервера: атаку можно осуществить и перехватив DNS-запрос пользователя и подделав ответ. Эксперты опубликовали код, демонстрирующий эксплуатацию уязвимости. Проблему заметили еще в июле 2015 года, однако выпускать исправление тогда никто не спешил. Только теперь, после того как эксперты ProjectZero и RedHat нашли столь простой и разрушительный способ её использования, команда разработки glibc 16 Февраля 2016 выпустила патч. Библиотека glibc используется в большом количестве популярных Linux-приложений — по утверждениям исследователей, уже подтверждена информация об уязвимости утилит wget, SSH, sudo и curl. Общее число уязвимых приложений столь велико, что составить полный список не представляется возможным — в разговоре с изданием ArsTechnica исследователь безопасности Кен Уайт заявил, что уязвимость содержится во всех дистрибутивах Linux, а также языках про-

Рис. 3. Адрес возврата буфера указывает на его содержимое

Методы анализа программ и верификации граммирования Python, PHP, RubyonRails. Есть сообщения о том, что ошибка содержится и в большей части приложений для работы с криптовалютой биткоин. Чтобы понять алгоритм использования данной уязвимости, рассмотрим опубликованный программный код: До 22 строки идут комментарии разработчиков, после чего следует импорт модулей (рис.4).

УДК 004.056

ответов необходимых для переполнения, логическая переменная, отвечающая за завершение работы программы и другие. С 35 по 45 строки (рис.6) задаются функции преобразования отправляемой информации в байты необходимой размерности

Рис. 4. Импорт модулей socket – библиотека для работы с сокетами time – библиотека для работы со временем struct – библиотека для обработки данных, представленных в виде байтов threading – библиотека для работы с многопоточностью С 27 по 32 строки (рис.5) задаются программные переменные, такие как ip цели, количество

Рис. 6. Функции преобразования информации С 47 строки (рис.7) начинается функция, отвечающая за обработку UDP пакетов.

Рис. 5. Объявление глобальных переменных

Рис. 7. Подключение к DNS сокету

Рис. 8. Получение DNS UDP запроса

Вопросы кибербезопасности №1(19) - 2017

Разбор эксплойта уязвимости CVE-2015-7547 Разберем ее подробнее. После объявления начала функции и импорта глобальной переменной следует подключение к 53 порту (порт DNS) с хостом, адрес которого определен еще в начале программы (строка 27 рис.5) С 55 строки (рис.8) объявляется список полученных запросов и переменные, необходимые для работы с этим списком, после чего с 60 строки объявляется цикл непосредственной обработки входящих пакетов. Он работает до тех пор, пока переменная terminate, отвечающая за завершение работы программы не примет значение True. В цикле мы видим получение пакета с последующим преобразованием в читаемый формат. В соответствии с устройством DNS запроса (рис.9) идет выделение id сообщения (первые 2 байта) и текста сообщения (все после 12 байт) После чего идет генерация ответного сообщения (рис.10).

Ответ мы специально заполняем большим количеством бесполезной информации (2500 раз пишем байт 0) и указываем во флаге сообщения (строка 68 рис.10) что ответ больше максимального размера UDP пакета. Это приводит к установке TCP соединения, с которым работать будет уже следующая функция. Устройство флагов побитно (рис.11). Байты 8380 = биты 1000001110000000 Таким образом мы устанавливаем 1 во флагах QR,TC, RD, RA QR – тип операции. 1 - отклик TC - равен 1 при укорочении сообщения. Для UDP это означает, что ответ содержал более 512 октетов, но прислано только первые 512. Именно в ответ на этот флаг устанавливается TCP соединение. RD - Равен 1, если для получения ответа желательна рекурсия.

Рис. 9. Состав DNS запроса

Рис. 10. Генерация ответного сообщения

Рис. 11. Устройство флагов DNS запроса Вопросы кибербезопасности №1(19) - 2017

Методы анализа программ и верификации RA - Равен 1, если рекурсия для запрашиваемого сервера доступна. Флаги RD и RA устанавливаются почти всегда и везде поэтому они нас не интересуют. После генерации ответа мы добавляем его в список (рис.12) и ждем повторного запроса от атакуемого приложения.

УДК 004.056

Стоит отметить, что: Ответы периодически меняются местами Сначала отправляется только один ответ, после чего функция ждет разрешение на отправку второго. После отправки ответов идет завершение цикла с закрытием сокетов (рис.14)

Рис. 14. Закрытие сокета Рис. 12. Добавление сгенерированного ответа в список на отправку При наличии повторного запроса мы отправляем имеющиеся в списке ответы (рис.13).

Рис. 13. Отправка ответов на DNS UDP запросы

На этом функция работы с UDP DNS запросами заканчивается. Основная цель данной функции на первом этапе использования уязвимости – получение UDP пакета с DNS запросом и отправка ответа с флагом, указывающим на нехватку свободного пространства в UDP пакетах, что приводит к установлению TCP соединения, после чего функция ожидает команды на продолжение работы. На втором этапе эксплуатации уязвимости функция отправляет второе сгенерированное сообщение, структурно аналогичное первому. Следующая функция отвечает уже за работу с TCP соединением. Для начала, как и в предыдущем примере (рис.7,8), идет объявление функции, и подключение к сокету (рис.15).

Рис. 15. Начало функции обработки TCP DNS запросов

Вопросы кибербезопасности №1(19) - 2017

Разбор эксплойта уязвимости CVE-2015-7547 Разница между данным участком кода и аналогичным участком (строки 47-64 рис.7,8) в предыдущей функции сводится к разнице между TCP и UDP. Подключение производится аналогично, к тому же сокету (23 порт, тот же IP адрес), считывание запроса, выделение id запроса и текста самого запроса идентичны. Поскольку при чтении из TCP соединения мы могли получить два подряд следующих запроса, первый запрос сохраняется в переменную data1, после чего проверяется наличие повторного запроса (рис.16). В случае, когда повторный запрос был получен, он записывается в переменную data2, аналогично первому запросу сохраняются id и текст запроса. Переходим к формированию ответа. Ответ формируется согласно общей схеме DNS сообщений описанный на рисунке (ранее): Сначала генерируем заголовок (12 октетов) (рис.17).

В качестве ID используем ID первого TCP сообщения, устанавливаем стандартные флаги, количество запросов = 1, количество ответов = переменной, определенной в начале программы (28 строка), по умолчанию = 184, в секции дополнительной информации пусто. В секцию запросов помещаем запросы из первого TCP сообщения. Формируем секцию откликов (рис.18). В нее записываем сообщения (количество которых мы указали ранее) со сжатыми именами (указание всех имен сжатыми является неправильным, поскольку сжатие происходит относительно целого имени), типом 1 == «А», что соответствует ответу на запрос IP адреса ресурса, класс == 1, что соответствует сети Интернет, время жизни =13, длина ответа устанавливается максимальной для типа «А» == 4, сами данные ответа забиваются символами «D». После чего секция откликов присоединяется к генерируемому ответу.

Рис. 16. Получение и обработка TCP запросов

Рис. 17. Формирование заголовка TCP первого ответа

Рис. 18. Формирование оставшейся части первого TCP ответа Вопросы кибербезопасности №1(19) - 2017

Методы анализа программ и верификации

УДК 004.056

Посчитав длину полученного сообщения, преобразовав ее в байты нужного типа и добавив их к началу генерируемого ответа (рис.19) его создание завершается. Рис. 19. Преобразование первого TCP ответа в формат для отправки После чего, в случае наличия повторного запроса по протоколу TCP, на него формируется некорректный ответ, заполненный символами «В» (рис.20)

Рис. 20. Генерация второго ответа в случае сдвоенного запроса Сгенерированный таким образом ответ имеет только одно поле, представленное корректным образом – поле ID. Активизируем функцию для работы с UDP протоколом для повторной отправки сохраненного в нем отклика, после чего отправляем свой TCP ответ. В случае, когда сгенерировано 2 ответа, отправляются оба (рис.21).

Рис. 21. Отправка TCP ответов После отправки ответов, функция разрывает соединение с сокетом (рис.22) и завершается.

Рис. 23. Код запуска функций на параллельное выполнение В случае запуска программы она отдельным потоком запускает функцию чтения UDP, после чего передает управление функции чтения из TCP, после завершения работы функции, считывающей TCP и возврата в основную функцию переменная, отвечающая за завершение работы принимает значение True, что приводит к завершению потока чтения из UDP (строка 60). На этом текст программы заканчивается. Подведем итоги По пунктам эксплойт делает следующее: Считывает 2 DNS UDP запроса Формирует и отправляет ответ на один из них с флагом на переполнение Считывает DNS TCP запрос, отправленный в ответ на переполнение, проверяет наличие сдвоенного запроса Формирует корректный ответ на первый TCP запрос (без полезной информации). В случае сдвоенного TCP запроса, формирует некорректный ответ на второй запрос, заполненный символами «B» Отправляет ответ на второй из DNS UDP запросов, аналогичный первому Отправляет ответы на TCP запросы. Результат использования эксплойта, опубликованный в GoogleSecurity Blog (рис.24). В результатах указывается ошибка в регистрах EIP/RIP. Данные регистры указывают на адрес в памяти следующей команды. Байты 0х42 попавшие в регистр соответствуют символу «В» в кодировке CP1251 (ее по умолчанию и использует наша программа). Таким образом мы перезатерли адрес возврата содержимым ответа на сдвоенный TCP запрос. В случае если TCP запрос не был сдвоенным программа попросту возвращает бесполезные данные.

Рис. 22. Завершение функции работы с TCP В конце программного кода находится основная функция (рис.23).

Как защититься В ответ на опубликованный эксплоит, 16 Февраля 2016 года разработчики выпустили патч, а также описали причины данной уязвимости, споВопросы кибербезопасности №1(19) - 2017

Разбор эксплойта уязвимости CVE-2015-7547

Рис. 24. Результат работы кода собы борьбы с ней (как на низком так и на высоком уровне программирования) и свои выводы. В выводах также содержатся способы, позволяющие снизить риски, такие как Ограничить все TCP ответы до 1024 байт. Распознавать не соответствующими требованиям UDP ответы. Избегать двойных запросов, и функций делающих подобные запросы. И т.д. Также на различных приведенных ресурсах подробно описан процесс установки патча. Выводы Таким образом мы разобрались с одной из современных уязвимостей, выяснили способ ее эксплуатации и основные способы защиты. Источники, описывающие установку патча, а также содержащие список уязвимых платформ читатель может увидеть в списке литературы. Наиболее полезна данная статья будет для начинающих вирусологов, так как подробно изла-

гает причины и способы использования одного из наиболее распространенных типов уязвимостей, а также для системных администраторов, так как содержит способы защиты от данной уязвимости, ссылки на патч и другие полезные ресурсы, касательно данной уязвимости. Стоит также отметить, что для использования данной уязвимости с какой-либо конкретной целью, необходимо разобраться, какая часть отправляемого сообщения перетирает адрес следующей команды, а также выяснить состояние процесса, использующего уязвимую библиотеку на момент срабатывания уязвимости и методы защиты, контролирующие поведение данного процесса. Все это позволит нам определиться с адресом, который мы передадим в регистр и с контекстом информации, отправляемой помимо этого адреса (ранее мы отправляли еще и символы «D» и байты 0x00 в качестве ответа на запрос. С учетом уровня защиты возможна их замена на собственный исполняемый код.)

Научный руководитель: Кесель Сергей Александрович, кандидат технических наук, доцент Университета машиностроения, доцент МГТУ им Н.Э.Баумана, начальник отдела Информационной безопасности ООО «ФИННЕТ-СЕРВИС». sakesel161@gmail.com Литература: 1. Аграновский А.В., Карнюша С.И., Селин Р.Н. Преобразование программного кода для использования уязвимостей переполнения буфера // Известия ЮФУ. Технические Науки. Издательство: Южный федеральный университет (Ростов-наДону) ISSN: 1999-9429 eISSN: 2311-3103. C. 92-94. 2. Куликов Сергей Сергеевич, Белоножкин Владимир Иванович Исследование характеристик уязвимостей информационнотелекоммуникационных систем // Информация и безопасность. Издательство: Воронежский государственный технический университет (Воронеж) ISSN: 1682-7813. 1 c. 3. Дубенко А.А., Самборский С.В., Носов П.С. Лабораторное тестирование роутеров на уязвимость от сбоев // Научные труды sworld. Издательство: ООО «НАУЧНЫЙ МИР» (Иваново) ISSN: 2224-0187 C. 3-4. 4. Касперски Крис Ошибки переполнения буфера извне и изнутри как обобщенный опыт реальных атак // Системный администратор. Издательство: Синдикат 13 (Москва) ISSN: 1813-5579 eISSN: 1813-5579 C. 68-70. 5. Касперски Крис Ошибки переполнения буфера извне и изнутри как обобщенный опыт реальных атак часть 2 // Системный администратор. Издательство: Синдикат 13 (Москва) ISSN: 1813-5579 eISSN: 1813-5579 C. 31-34. 6. Падарян В.А., Каушан В.В., Федотов А.Н. Автоматизированный метод построения эксплойтов для уязвимости переполнения буфера на стеке // Труды института системного программирования РАН. Издательство: Институт системного программирования РАН (Москва) ISSN: 2079-8156 eISSN: 2220-6426 C. 129-132.

Вопросы кибербезопасности №1(19) - 2017

Методы анализа программ и верификации

УДК 004.056

7. Фэрроу Рик Атаки на сеть через переполнение буфера: технологии и способы борьбы // Защита информации. инсайд. Издательство: Издательский Дом «Афина» (Санкт-Петербург) ISSN: 2413-3582 C. 54-55. 8. Ковалевский А.Е., Ефремов Е.А. Переполнение буфера с последующим перехватом управления программой // Новая наука: от идеи к результату. Издательство: Общество с ограниченной ответственностью «Агентство международных исследований» (Уфа) ISSN: 2412-9755 C. 160-161. 9. Информация по уязвимости в базе RedHat: URL: https://access.redhat.com/security/cve/cve-2015-7547 10. Информация по уязвимости в базе CVE URL: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-7547 11. Информация по уязвимости в базе NVD URL: https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7547 12. Реализация эксплойта URL: https://github.com/fjserna/CVE-2015-7547 13. Патч для библиотеки glibc с комментариями от разработчиков URL: https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html

CVE-2015-7547 EXPLOIT PARSING Kasikin A.А.2 Abstract. Tthis article contains the analysis of a stack overflow vulnerability CVE-2015-7547, the definition of «vulnerability» is provided, the main affected operating systems are listed, the causes of stack overflow vulnerabilities are described, and their possible consequences. Analysis of lines of this vulnerability exploit code written in the python programming language is also performed, the sequence of network requests are used in the exploit and their composition is described in detail, the results about the method of exploitation of a vulnerability are summed up. In the final part of the article recommendations from the creators of the vulnerable library to protect against this vulnerability attacks are provided, and assessment of the possibility of using this vulnerability for introduction of executable code is also done. This article will be useful to students and beginners in the field of information security because it describes in detail the nature and causes of these kinds of vulnerabilities, also the article will be useful to system administrators because it contains recommendations for protection from this vulnerability. Keywords: stack overflow, Unix, DNS request, reverse engineering, python, UDP References 1. Agranovskiy AV Karnyushin SI, Selin RN Converting code for buffer overflow vulnerabilities using // Proceedings of the SFU. Technical science. Publisher: Southern Federal University (Rostov-on-Don) ISSN: 1999-9429 eISSN: 2311-3103. pp. 92-94. 2. Sergey Kulikov, Belonozhkin Vladimir Ivanovich Research of characteristics of vulnerabilities of information and telecommunication systems // Information and Security. Publisher: Voronezh State Technical University (Voronezh) ISSN: 1682-7813. pp. 1. 3. Dubenko AA Samborski SV Nosov PS Laboratory testing of routers on the vulnerability of failures // Proceedings sworld. Publisher: OOO «scientific world» (Ivanovo) ISSN: 2224-0187 pp. 3-4. 4. Kasperski Chris Buffer overflow errors from the outside and from the inside as a generalized experience of real attacks // System Administrator. Publisher: Syndicate 13 (Moscow) ISSN: 1813-5579 eISSN: 1813-5579 pp. 68-70. 5. Kasperski Chris Buffer overflows outside and inside as a generalized experience of real attacks part 2 // System Administrator. Publisher: Syndicate 13 (Moscow) ISSN: 1813-5579 eISSN: 1813-5579 pp. 31-34. 6. Padaryan VA Kaushan VV, Fedotov AN An automated method for constructing exploits a buffer overflow vulnerability in the stack // Proceedings of Institute for System Programming of Russian Academy of Sciences. Publisher: Institute for System Programming of Russian Academy of Sciences (Moscow) ISSN: 2079-8156 eISSN: 2220-6426 pp. 129-132. 7. Rick Farrow Attacks on the network via a buffer overflow: technologies and methods of struggle // Information Security. insider. Publisher: Publishing House «Athena» (St. Petersburg) ISSN: 2413-3582 pp. 54-55. 8. Kovalevsky AE, Efremov EA Buffer overflow followed by an interception control program // The new science: from the idea to the result. Publisher: Limited Liability Company «Agency for International Studies» (Ufa) ISSN: 2412-9755 pp. 160-161. 9. Information about the vulnerability in the RedHat database: URL: https://access.redhat.com/security/cve/cve-2015-7547 10. Information about the vulnerability in the CVE database URL: https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-7547 11. Information about the vulnerability in the NVD database URL: https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7547 12. The exploit code URL: https://github.com/fjserna/CVE-2015-7547 13. The patch for the glibc library with the developers comments URL: https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html

Alexey Kasikin, student of Bauman State University, Moscow, Russia, arektar@mail.ru

Вопросы кибербезопасности №1(19) - 2017

ИССЛЕДОВАНИЕ СТРУКТУРЫ ГРАФА НАУЧНОГО СОАВТОРСТВА МЕТОДАМИ АНАЛИЗА СОЦИАЛЬНЫХ СЕТЕЙ Басараб М.А.1, Глинская Е.В.2, Иванов И.П.3, Колесников А.В.4, Кузовлев В.И.5 Методы анализа социальных сетей (SNA) являются эффективным инструментарием для качественного и количественного анализа связей в социальном графе, выделения подгрупп и ключевых элементов различного рода, прогнозирования состояний. В работе представлен обзор основных метрик SNA, позволяющих провести базовый анализ экспериментальных данных, выделить ключевые узлы, сделать качественный вывод о структуре сети. В результате оказывается возможным установить значимость отдельных лиц в общей картине социального взаимодействия, выделить подгруппы связанных узлов и принципы распространения информации в сети. В прикладной задаче исследования структуры социальной сети научного соавторства метрики SNA могут помочь в выделении наиболее продуктивных авторов, например, для дальнейшей мотивации, а также прогноза динамики такой сети для задач мониторинга и управления. В качестве примера представлены результаты анализа социальной сети, узлы которой соответствуют сотрудникам одной из кафедр МГТУ им. Н.Э. Баумана, находящимся в соавторстве при публикации статей. В пакете Gephi проведен анализ данных, накопленных с 2012 по 2015 гг. В отличие от других работ по данной тематике, сеть рассматривается как динамическая система, и проводится ее анализ за несколько последующих лет. Ключевые слова: технологии обработки больших массивов, социальный граф (SNA), граф сотрудничества, сеть соавторства, метрики SNA, электронная библиотека, киберпространство, продуктивные авторы.

DOI: 10.21581/2311-3456-2017-1-31-36

Введение Исследование технологий обработки больших массивов данных (концепция «извлечения данных» – англ. «data mining») является в настоящее время одним из важнейших направлений в обеспечении широкого спектра задач информационной безопасности, в частности, проблем косвенной доступности информации путем ее получения специализированными средствами анализа «больших данных» (англ. «big data»). К структурам, содержащим информацию такого рода относятся социальные сети. В методах анализа социальных сетей (англ. SNA – Social Network Analysis) сеть рассматривается в терминах теории графов как система, состоящая из узлов (люди, организации и т.д.) и различного рода связей между ними. Одной из мер сложности таких систем является количество связей между их элементами [1], однако метрики SNA позволяют получить не только статистические данные о связях в социальной сети, но и выделить сильно- и слабосвязанные элементы, определить ключевые узлы сети, выявить подгруппы, распознать пат1 2 3 4 5

терны в строении и эволюции сети. Методы SNA, возникнув на стыке социологии, статистики, теории графов, теории сетей и обработки больших массивов данных, нашли широкое применение во множестве сфер общественных отношений, от политологии, до борьбы с терроризмом, особенно на фоне бурного развития всевозможных онлайновых социальных сетей [2-4]. Одним из известных примеров социальных сетей является сеть соавторства или граф сотрудничества (англ. - Collaboration graph) [5, 12, 13], узлами которого являются участники сети, а ребро между двумя узлами говорит о наличии некоторого отношения ними. Одним из известнейших примеров таких графов является граф соавторства математиков или граф Эрдёша [5, 6]. В работе представлен обзор основных метрик SNA, позволяющих провести базовый анализ экспериментальных данных, выделить ключевые узлы, сделать качественный вывод о структуре сети. Представлены результаты анализа социальной сети, узлы которой соответствуют сотрудникам одной из кафедр МГТУ им. Н.Э. Баумана, на-

Басараб Михаил Алексеевич, доктор физико-математических наук, профессор, МГТУ им. Н.Э. Баумана, Москва, bmic@mail.ru Глинская Елена Вячеславовна, МГТУ им. Н.Э. Баумана, Москва, glinskaya-iu8@rambler.ru Иванов Игорь Потапович, доктор технических наук, МГТУ им. Н.Э. Баумана, Москва, ivanov@bmstu.ru Колесников Александр Владимирович, кандидат технических наук, МГТУ им. Н.Э. Баумана, Москва, avkolesnikov90@list.ru Кузовлев Вячеслав Иванович, кандидат технических наук, доцент, МГТУ им. Н.Э. Баумана, Москва, v.kuzovlev@bmstu.net

Вопросы кибербезопасности №1(19) - 2017

Социальные проблемы информационной безопасности

УДК 316.472.4: 519.17

ходящимся в соавторстве при публикации статей. где dij - расстояние между узлами i и j; Li - норНа основе информации, опубликованной на сайте мированное расстояние между узлом i и другими электронной библиотеки МГТУ им. Н.Э.Баумана6, вершинами графа. Через узлы с малой степенью в пакете Gephi [7] проведен анализ данных, нако- близости можно легче и быстрее достичь остальпленных с 2012 по 2015 гг. Исследование динами- ных вершин графа. Метрика собственных векторов (англ. eigenческого поведения сети отличает данную работу от ряда других исследований подобной тематики vector centrality) (см., например, [8]). 1 1 = xi = xj a x, Обзор основных метрик SNA λ j∈M (i ) λ j∈G ij j SNA располагает рядом метрик для опредегде M (i ) - набор соседей вершины i; λ - конления ключевых узлов, общей значимости отстанта (собственное число). Данная метрика определьных узлов, сильносвязанных узлов, групп и деляет, насколько хорошо узел i связан с другими подгрупп, а также направлений распространения информации в сети. Перечислим далее основные хорошо связанными узлами. Индекс PageRank [3] дает возможность сравметрики SNA [2]. нить относительную «важность» узлов на основе Степень центральности (англ. degree centrality) аналогии между гиперссылками веб-страниц и aij связями в сети. Рекурсивно определяется как

∑

= Di

∑

ki j∈G = N −1 N −1

PR( A) =(1 − d ) + d

определяется по матрице связности [aij ] графа, соответствующего социальной сети G, и равна количеству смежных вершин, нормированных на максимально возможное их количество ( N − 1 ); не зависит от размера сети N и изменяется в интервале от 0 до 1; согласно гипотезе вершина с большим значением параметра Di имеет высокую степень активности и информационного влияния в своей окрестности. Степень промежуточности (англ. betweenness centrality)

Bi =

∑n

i < k∈G

(i ) / n jk

( N − 1)( N − 2)

где n jk - количество всех кратчайших путей между узлами j и k; n jk (i ) - количество кратчайших путей между узлами j и k, проходящих через узел i. Узлы с высоким значением показателя Bi (так называемые «информационные брокеры») играют ключевую роль в распространении информации между двумя или более плотно связанными подмножествами сети; удаление таких вершин может оказать сильное негативное воздействие на всю сеть. Степень близости (англ. closeness centrality)

= Ci (= Li ) −1

N −1 , ∑ dij j∈G

6 Библиотека МГТУ им. Н.Э. Баумана. URL: http://library.bmstu.ru

∑

PA( B) , B∈M ( A ) L ( B )

∑

где M ( A) – множество соседей узла A; L( B ) – количество исходящих из узла B связей; d – коэффициент затухания. Обзор других типов метрик и различных типов исследуемых графов приведен в [4]. В работе [9] приведен достаточно полный обзор программных средств для SNA и визуализации сетевых графов. Для визуализации социального графа наиболее популярными в настоящее время являются алгоритмы, основанные на аналогиях физических принципов притяжения и отталкивания тел или частиц по закону Гука, Кулона и др. с целью минимизации энергии системы (Force-directed graph drawing) [10]. В частности, одним из широко используемых алгоритмов является Force Atlas 2 [11] и специализированное ПО Gephi [7], находящееся в открытом доступе. Сбор и предварительный анализ данных Сбор данных по публикациям проводился в течение 4 лет на одной из кафедр МГТУ им. Н.Э. Баумана по данным электронной библиотеки. Общие статистические данные по годам представлены в (табл.1), где узел – соавтор публикации, а связь между узлами формируется, если установлено соавторство ученых хотя бы в одной работе. На основе собранных данных мы можем сделать весьма поверхностный вывод о ежегодном увеличении числа публикуемых авторов при сохранении количества публикаций. Выделить ключевые узлы в сети, а также сделать некоторое количественное заключение об изменении характера сети научного соавторства помогут метрики SNA. Вопросы кибербезопасности №1(19) - 2017

Исследование структуры графа научного соавторства ... Таблица 1. Общая статистика узлов и связей сети соавторства Узлы Ребра

2012 27 54

2013 28 53

Анализ данных методами SNA В первую очередь визуализируем графы, соответствующие экспериментальным данным. Используем для этого программный пакет Gephi (рис.1). Данные предварительно были обезличены. Аббревиатуры на (рис.1) соответствуют

2012

2014 29 43

2015 30 56

Всего 41 150

«проф» – профессор; «доц» – доцент; «стпр» – старший преподаватель; «асс» – ассистент. Номер «№» указывает на порядковый номер сотрудника на данной должности по алфавиту в штатном расписании.

2013

2014 2015 Рис.1. Графы, соответствующие сети научного соавторства, по годам Вопросы кибербезопасности №1(19) - 2017

Социальные проблемы информационной безопасности

УДК 316.472.4: 519.17

Таблица 2. Основные метрики SNA, по годам

4,296 4,429 3,724 4,133

Взвешенная степень центральности 2,741 3,929 3,552 4,267

6,927

4,756

Степень центральности

Год 2012 2013 2014 2015 Общее

0,083 0,082 0,067 0,071

Глобальный коэффициент кластеризации 0,258 0,328 0,218 0,315

0,087

0,340

Плотность графа

Только на основе визуальной оценки графов уже можно сделать несколько достаточно интересных выводов, если учесть, что толщина связи на рисунке учитывает вес ребра графа, то есть количество работ в течение года, в которых были указаны одни и те же соавторы. Большинство публикаций связаны соавторством с «внутренними» сотрудниками (учеными из того же университета), внешними соавторами (сотрудники других организаций) и студентами. По весам, то есть количеству публикаций, выделяются доц№8, проф№4, проф№1. В заключении визуального анализа графов отметим, что из года в год остается 3 публикации на кафедре, выполненные без соавторов, разными учеными, за одним исключением – доц№15 отмечен на трех графах из четырех. Перейдем к анализу основных метрик SNA (табл.2). Усредненная степень центральности намеренно не была нормирована, т.к. оценивались показатели по разным годам, обладающим узлами с разным максимальным числом связей. Рейтинг узлов по некоторым метрикам представлен в (табл.3). На основании полученных данных можно сделать ряд выводов. Во-первых, в 2014 г. мы видим явный минимум количества публикаций – было снижено количество связей между узлами, что

Средняя степень промежуточности 2,175 1,630 1,707 1,681 3,054

отражает показатель степени центральности; получены минимальные значения плотности графа и среднего коэффициента кластеризации; при этом локально вырос показатель средней степени промежуточности, который в совокупности с оценкой рейтинга взвешенной мощности узлов (количества входящих и исходящих связей) позволяет сделать вывод о снижении числа публикаций для всей сети, кроме проф. №1 и проф№4, степень научного соавторства которых возросла и увеличила показатель средней промежуточности. Во-вторых, плотность графа снижалась на протяжении всей выборки, число исходящих связей с «внешними» соавторами увеличивалось, а число связей с «внутренними» (сотрудниками того же университета) сохранялась на прежнем уровне, что говорит об увеличении числа контактов публикуемых авторов с другими университетами. Коэффициент кластеризации в анализе используется чаще плотности графа, однако в данном случае небольшие размеры выборки и самой сети не позволяют сделать какой-то однозначный вывод о кластеризации узлов, можно лишь заметить, что количественно показатель принимает небольшие значения, что говорит об относительно равномерном распределении связей в графе. Показатели некоторых метрик для отдельных узлов позволяют выделить лидеров сети по количеству исходящих связей – то есть насколько часто

Таблица. 3 Рейтинг узлов по различным метрикам Исходящие связи

Степень промежуточности

Метрика собственных векторов

проф№4

доц№8

Внешние

проф№1

проф№4

Студенты

доц№3

проф№5

Аспиранты

доц№7

доц№3

проф№4

доц№8

доц№19

проф№1

Вопросы кибербезопасности №1(19) - 2017

Исследование структуры графа научного соавторства ... авторы статьи указывали других ученых в качестве соавторов – это проф№4, проф№1 и доц№3. Согласно степени промежуточности, отметим значимость доц№8, проф№4, проф№5 – это те узлы, через которые проходит максимальное число кратчайших путей между всеми узлами сети. Заключение Методы SNA предоставляют уникальный набор инструментов для обработки сложно структурированных больших объемов данных, позволяют не только качественно, но и количественно оценить характер протекающих процессов, заглянуть за рамки привычной статистики. Работа с социаль-

ной сетью с точки зрения теории графов позволяет установить значимость отдельных лиц в общей картине социального взаимодействия, выделить подгруппы связанных узлов и принципы распространения информации в сети. В прикладной задаче исследования структуры социальной сети научного соавторства метрики SNA могут помочь в выделении наиболее продуктивных авторов, например, для дальнейшей мотивации, а также прогноза динамики такой сети для задач мониторинга и управления. В дальнейшем интересной видится задача исследования такой социальной сети в динамике для всей организации, что потребует обработки гораздо больших объемов данных.

Рецензент: Матвеев Валерий Александрович, доктор технических наук, профессор, заведующий кафедры «Информационная безопасность» МГТУ им. Н.Э. Баумана, va.matveev@bmstu.ru Исследование выполнено при финансовой поддержке РФФИ в рамках научного проекта № 16-29-09517 офи_м.

Литература 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13.

Анфилатов В.С., Емельянов А.А., Кукушкин А.А. Системный анализ в управлении: Учебное пособие / Под ред. А.А. Емельянова. М.: Финансы и статистика, 2002. 368 с. Freeman L.C. Centrality in social networks conceptual clarification // Social networks. – 1979. – 1(3). – P. 215-239. Page L., Brin S., Motwani R., Winograd T. The pagerank citation ranking: bringing order to the web // January 29, 1998. URL: http:// ilpubs.stanford.edu:8090/422/1/1999-66.pdf (Дата обращения 01.07.2016). Hopkins A. Graph theory, social networks and counter terrorism. May 19, 2010. Univ. of Massachusetts Dartmouth. URL: https:// compmath.files.wordpress.com/2010/05/ ahopkins_freports10.pdf (Дата обращения 01.07.2016). Yegnanarayanan V., Umamaheswari G.K. A Note on the Importance of Collaboration Graphs // Int. J. of Mathematical Sciences and Applications // September 2011. - Vol. 1. - No. 3. – P.1113‑1121. Batagelj V., Mrvar A. Some analyses of Erdos collaboration graph // Social Networks. - 2000. - Vol. 22. - No.2. - P. 173–186. Bastian M., Heymann S. Gephi: an open source software for exploring and manipulating networks, ICWSM. – 8. – P. 361-362. Apanovich Z.V., Vinokurov P. S., Elagin V.A. An approach to visualization of knowledge portal content // Bulletin of NCC. – Issue 29. – 2009. – P.17-32. Choudhary P., Singh U. A survey on social network analysis for counter-terrorism // Int. Journal of Computer Applications. – Feb. 2015. – Vol. 112. – No. 9. – P. 24-29. Kobourov, S.G. Spring Embedders and Force-Directed Graph Drawing Algorithms. 2012. URL: http://arxiv.org/abs/1201.3011 (Дата обращения 01.07.2016). Jacomy M., Heymann S., Venturini T., Bastian M. ForceAtlas2, a graph layout algorithm for handy network visualization // Paris. August 29, 2011. URL: http://webatlas.fr/ tempshare/ForceAtlas2_Paper.pdf (Дата обращения 01.07.2016). Fernandes J.M., Authorship trends in software engineering // Scientometrics. – 2014. – 101. – P. 257-271. doi:10.1007/s11192014-1331-6. Arif. T., Mining and Analyzing Academic Social Networks // Int. J. of Computer Applications Technology and Research. – 2015. – Vol. 4. – Issue 12. – P. 878-883.

STUDY INTO THE STRUCTURE OF THE SCIENTIFIC COATHORSHIP GRAPH USING SOCIAL NETWORK ANALYSIS

Вопросы кибербезопасности №1(19) - 2017

Социальные проблемы информационной безопасности

УДК 316.472.4: 519.17

Basarab M.7, Glinskaya E.8, Ivanov I.9, Kolesnikov A.10, Kuzovlev V.11 Abstract.Social network analysis (SNA) is an effective tool for qualitative and quantitative analysis of connections in the social graph, identifying subgroups and various key elements, and forecasting conditions. This article reviews the main SNA metrics that enable basic analysis of the experimental data, identifying key nodes, and making qualitative conclusion about the network structure. This makes it possible to establish significance of certain people in the general picture of social interaction, identify subgroups of companion nodes and principles of the information distribution in the network. The application task of the study into the structure of the social network of the scientific co-authorship of SNA metrics can help to identify the most productive authors, for instance, for further motivation, and also forecasting dynamics of such network for monitoring and management tasks. For instance, we provide results of analysis into social network, which nodes correspond to the employees, co-authors of the published articles, working at one of the departments in N.E. Bauman Moscow State Technical University. Gephi package analyses data accumulated from 2012 to 2015. Unlike other works on this topic, the network is viewed as a dynamic system, and its analysis covers several years. Keywords: secure communication, social network, social network analysis, social graph, collaboration graph, co-authorship graph, co-authorship network analysis metrics, social interaction, cyberspace, dynamic system, electronic library References 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13.

Anfilatov V.S., Emel’yanov A.A., Kukushkin A.A. Sistemnyy analiz v upravlenii: Uchebnoe posobie, by ed. A.A. Emel’yanov. Moscow, Finansy i statistika, 2002. 368 P. Freeman L.C. Centrality in social networks conceptual clarification, Social networks, 1979, 1(3), pp. 215-239. Page L., Brin S., Motwani R., Winograd T. The pagerank citation ranking: bringing order to the web, January 29, 1998. URL: http:// ilpubs.stanford.edu:8090/422/1/1999-66.pdf. Hopkins A. Graph theory, social networks and counter terrorism. May 19, 2010. Univ. of Massachusetts Dartmouth. URL: https:// compmath.files.wordpress.com/2010/05/ ahopkins_freports10.pdf. Yegnanarayanan V., Umamaheswari G.K. A Note on the Importance of Collaboration Graphs, Int. J. of Mathematical Sciences and Applications, September 2011, Vol. 1, No. 3, pp. 1113-1121. Batagelj V., Mrvar A. Some analyses of Erdos collaboration graph, Social Networks, 2000, Vol. 22, No.2, pp. 173–186. Bastian M., Heymann S. Gephi: an open source software for exploring and manipulating networks, ICWSM, 8, P. 361-362. Apanovich Z.V., Vinokurov P. S., Elagin V.A. An approach to visualization of knowledge portal content, Bulletin of NCC, Issue 29, 2009, P.17-32. Choudhary P., Singh U. A survey on social network analysis for counter-terrorism. Int. Journal of Computer Applications, Feb. 2015, Vol. 112, No. 9, P. 24-29. Kobourov, S.G. Spring Embedders and Force-Directed Graph Drawing Algorithms. 2012. URL: http://arxiv.org/abs/1201.3011. Jacomy M., Heymann S., Venturini T., Bastian M. ForceAtlas2, a graph layout algorithm for handy network visualization, Paris. August 29, 2011. URL: http://webatlas.fr/ tempshare/ForceAtlas2_Paper.pdf. Fernandes J.M., Authorship trends in software engineering. Scientometrics, 2014, 101, P. 257-271. doi:10.1007/s11192-014-1331-6. Arif. T., Mining and Analyzing Academic Social Networks. Int. J. of Computer Applications Technology and Research, 2015, Vol. 4, Issue 12, pp. 878-883.

7 Basarab Mikhail, Dr.Sc., Professor, Bauman Moscow State Technical University, Moscow, bmic@mail.ru 8 Glinskaya Elena, Bauman Moscow State Technical University, Moscow, glinskaya-iu8@rambler.ru 9 Ivanov Igor, Dr.Sc., Bauman Moscow State Technical University, Moscow, ivanov@bmstu.ru 10 Kolesnikov Aleksandr, Ph.D., Bauman Moscow State Technical University, Moscow, vkolesnikov90@list.ru 11 Kuzovlev Vyacheslav, Ph.D., Assistant Professor, Bauman Moscow State Technical University, Moscow, v.kuzovlev@bmstu.net

Вопросы кибербезопасности №1(19) - 2017

ПРИМЕНЕНИЕ АЛГОРИТМА ВЫДЕЛЕНИЯ СООБЩЕСТВ В ИНФОРМАЦИОННОМ ПРОТИВОБОРСТВЕ В СОЦИАЛЬНЫХ СЕТЯХ Чесноков В.О.1 Социальные сети в настоящее время являются площадкой для информационного противоборства. При этом большинство существующих систем мониторинга ориентированы лишь на отслеживание количественных характеристик, поэтому они уязвимы для «вбросов» и «накручиваний» тем. Данная деятельность обычно осуществляется с помощью виртуальных пользователей (ботов), автоматических и автоматизированных. В статье представлен краткий обзор существующих методов обнаружения ботов, основанных на статистическом и семантическом анализе текстов, поведенческом анализе и теоретикографовом подходе. Кроме того, указан пример применения алгоритма выделения сообществ для решения сопутствующей задачи — поиска лидеров общественного мнения. Предлагается новый подход обнаружения ботов, основанный на анализе сообществ графа ближайшего окружения пользователя. Предложенный метод был опробован на двух выборках виртуальных пользователей из социальной сети Livejournal: управляемых ботов и ботов, собранных вручную одним из пользователей. Для проверки использовалась выборка из 700 легитимных пользователей. Эксперименты показали высокие значения точности, полноты и меры F1 обнаружения виртуальных пользователей. Разработанный метод может быть использован как часть системы обнаружения ботов и при широком применении может существенно повысить стоимость создания правдоподобных аккаунтов виртуальных пользователей для злоумышленника. Ключевые слова: информационное противоборство, безопасность коммуникаций, социальная сеть, социальный граф, выделение сообществ, боты, виртуальные пользователи, лидеры общественного мнения, виртуальные пользователи

DOI: 10.21581/2311-3456-2017-1-37-44

Введение Веб 2.01 стал новой формой потребления контента. Если раньше контент в интернете распространялся «по подписке», т.е. создавался владельцами сайта, его редакторами или журналистами, а посетители сайта были лишь его пассивными потребителями, то теперь контент создают сами пользователи. У них появилась возможность взаимодействия между собой и с контентом путем установления связей, оценок, комментариев, распространения информации и т.п. Ярчайший пример Веб 2.0 — онлайновые социальные сети. На данный момент интернетом по всему миру пользуется более 3,3 миллиарда человек2, в то время как число пользователей самой популярной в мире сети, Facebook, уже превышает полтора миллиарда3. При этом данное количество продолжает расти. В России, согласно данным ВЦИОМ4,большинство россиян пользуются социальными сетями. Пользователи самостоятельно предоставляют о себе массу данных: пол, возраст,

место проживания, место учебы и работы, предпочтения в литературе и музыке, хобби; связи с другими пользователями — дружественные и родственные; свои мнения и т.д. Социальные сети стали альтернативными СМИ. Многие пользователи доверяют информации, полученной из социальных сетей («сарафанному радио») больше, чем традиционным источникам новостей — телевидению и газетам5,6. Косвенно данный факт подтверждается недавно принятым федеральным законом № 97-ФЗ от 5 мая 2014 года, приравнивающим крупных блогеров к СМИ. Почти каждая крупная компания имеет представительство в нескольких социальных сетях, а некоторые мелкие представлены только таким образом. В последнее время все больше становится популярным мониторинг социальных сетей с точки зрения рейтинга какого-либо продукта или бренда7,8. На основе данных, автоматически собранных из социальных сетей, проводится оценка популярности и востребованности продукта или

1 Чесноков Владислав Олегович, МГТУ им. Н.Э.Баумнана, Москва, v.o.chesnokov@yandex.ru 2 http://www.internetlivestats.com/internet-users/ 3 http://www.statista.com/statistics/272014/global-social-networks-ranked-by-number-of-users/ 4 http://wciom.ru/index.php?id=236&uid=115294

5 http://www.interfax.ru/russia/485226 6 http://www.forbes.ru/sobytiya/vlast/92590-kak-vlasti-chitayut-vashi-blogi-rassledovanie-forbes 7 http://www.cossa.ru/149/17590/ 8 http://www.likeni.ru/analytics/upravlenie-reputaciej-v-setiavtomatizirovannij-i-ruchnoj-monitoring/

Вопросы кибербезопасности №1(19) - 2017

Социальные проблемы информационной безопасности УДК 004.056;519.178;51-74 услуги, а также реакции потребителей на проведенные акции и специальные предложения9. Многие политики имеют свои страницы в социальных сетях, а некоторые их записи вызывали большой резонанс. Социальные сети могут повлиять на исход выборов за счет влияния на общественное мнение [1]. В свою очередь, события «арабской весны» наглядно продемонстрировали, что социальные сети могут играть серьезную роль в развитии политических событий и являться площадкой для информационного противоборства [2,3]. Информационное противоборство в социальных сетях Разумеется, рост активности использования социальных сетей не может быть оставлен в стороне различными исследователями. Еще в конце 90-х начался поиск и изучение различных моделей взаимодействий в социальных сетях. Подробный обзор представлен в [4]. Однако существующие системы мониторинга (по крайней мере, предоставляющие информацию о своих возможностях), по большей части не используют богатое разнообразие математических моделей [5]. В основном мониторинг представляет собой сбор количественных показателей, таких как количество записей по теме, количество лайков к ним и т.п. Часто применяется анализ эмоционального окраса сообщений и строится тренд количественных характеристик10. Традиционно считается, что социальные сети почти не регулируются государством [2]. Однако еще в 2012 году служба внешней разведки России разместила заказ на разработку системы мониторинга и влияния на социальные сети11. В основном интерес спецслужбы состоял в мониторинге подозрительной активности в социальных сетях, создании систем раннего предупреждения о различных угрозах и формировании общественного мнения путем «вбросов» через сеть ботов. В середине этого года должны завершиться испытания системы мониторинга СМИ и социальных сетей Министерства обороны, предназначенной для отслеживания и анализа военно-политической, социально-экономической и общественно-политической обстановки в России и за рубежом12. По-

добные системы имеются у МВД, ФСБ13, у администрации президента, следственного комитета РФ и многих других федеральных служб РФ. В США разведка на основе открытых источников (OSINT) является одной из основных разведывательных дисциплин. Бывший глава Разведуправления минобороны США считает, что до 90% разведданных управление получало из открытых источников14. Пропаганда в интернете производилась британскими и американскими спецслужбами по поводу событий в Афганистане, Ираке и Пакистане. В 2011 году DARPA объявило тендер на разработку SMISC — системы для отслеживания пропаганды против США и помощи в ведении контрпропаганды. На мониторинг социальных сетей был заказ и у ФБР. В бюро отметили, что «социальные сети стали основным источником разведывательной информации, так как в них можно найти первую реакцию на ключевые события»15. В последние годы Россия находится в состоянии информационной войны с США, считает председатель следственного комитета РФ Александр Бастрыкин16, указывая в качестве основных приемов радикализацию идеологии и разжигание межэтнической розни и приводя в качестве примера вооруженный конфликт в Сирии. В качестве одной из мер противодействия он предлагает введение жесткого цензурирования Интернета по примеру Китая. Однако данная мера может быть довольно затратной и ненадежной: способы обхода блокировок постоянно совершенствуются (прокси, VPN, Tor, obfsproxy, передача информации по спутниковому телевидению в MPEG17 и т.д.). Возможно, более продуктивным будет мониторинг с оперативным реагированием на информационные воздействия. В Доктрине информационной безопасности РФ в качестве одной из угроз конституционным правам и свободам человека и гражданина указано «вытеснение российских информационных агентств, средств массовой информации с внутреннего информационного рынка и усиление зависимости духовной, экономической и политической сфер общественной жизни России от зарубежных информационных структур». ГОСТ Р ИСО/ МЭК 13335-1-2006 «Информационная технология. Методы и средства обеспечения безопасности.

9 http://www.cossa.ru/149/117540/ 10 http://www.bbc.com/russian/russia/2015/12/151224_smj_ sledcom_integrum 11 http://kommersant.ru/doc/2009256 12 https://lenta.ru/news/2015/01/28/monitor/

13 http://www.svoboda.org/content/article/24689413.html 14 http://vpk-news.ru/articles/7324 15 http://www.bbc.co.uk/russian/international/2012/01/ 120127_fbi_social_networks.shtml 16 http://kommersant.ru/doc/2961578 17 https://geektimes.ru/post/274827/

Вопросы кибербезопасности №1(19) - 2017

Применение алгоритма выделения сообществ ... Часть 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий» указывает достоверность информации как одно из свойств, подлежащих защите. Губанов и др. [4] выделяют задачу анализа и обеспечения информационной безопасности социальных сетей как двойственную к задаче информационного управления и манипулирования. Определение ботов и лидеров общественного мнения В условиях информационного противоборства можно выделить две задачи, которые можно решить с помощью анализа структуры социальной сети. Это задачи выявления лидеров общественного мнения – персон, которые имеют наибольшее влияние на других пользователей социальной сети – и виртуальных пользователей (ботов), которые могут влиять на численные показатели систем мониторинга путем создания большого количества сообщений с определенной тематикой. Обе задачи являются задачами бинарной классификации. Выделению лидеров общественного мнения посвящено множество исследований. Например, в социальной сети Twitter исследователи выделяют более 75 различных метрик влияния пользователей [6], среди которых заслуживают отдельного упоминания PageRank [7], промежуточность и близостная центральность (closeness centrality). Стоит обратить внимание на то, какой граф нужно анализировать. Очевидно, что проводить анализ графа всей сети затратно и нецелесообразно, как минимум потому, что эксперт в одной области может совершенно не разбираться в другой. Обычно рассматривается подграф, соответствующий некоторой теме или событию, вершинами которого являются участники обсуждения. Известно, что мнения агентов в рамках одной группы (сообщества) сходятся и практически не поддаются внешнему влиянию [4]. Поэтому в некоторых задачах помимо лидеров темы, имеет смысл предварительно определить в графе темы группы пользователей, имеющих одно мнение, с помощью алгоритма выделения сообществ и определить лидеров мнений в каждом сообществе независимо. Например, если тема биполярна, таким образом обнаруживаются лидеры мнения противника, на которых следует попробовать оказать влияние. Разработка универсального метода обнаружения ботов, по крайней мере в ближайшее время, не представляется возможной, поскольку виртуальные пользователи, управляемые человеком, могут быть практически неотличимы от реальВопросы кибербезопасности №1(19) - 2017

ных пользователей. В свою очередь, поведение новых или малоактивных пользователей порой очень схоже с поведением ботов. Кроме того, иногда реальные пользователи (обычно несовершеннолетние или малообеспеченные) готовы за небольшую плату или безвозмездно выполнять задачи ботов, используя свой реальный аккаунт в социальных сетях: накрутку постов, накрутку количества подписчиков, троллинг других пользователей и т.п. Тем не менее, необходимо постоянное совершенствование методов обнаружения ботов, что позволит существенно сократить количество виртуальных пользователей и повысить стоимость их создания, оставив возможность поддержания таких пользователей лишь единичным субъектам [8]. Отметим некоторые из основных таких способов. Во-первых, это поведенческий анализ. Его используют преимущественно сами социальные сети как один из внутренних механизмов. В основном таким образом происходит обнаружение пользователей, нарушающих тем или иным образом пользовательское соглашение социальной сети. Резкое изменение активности обычно ведет к появлению CAPTCHA; при получении неверного ответа происходит блокировка или заморозка аккаунта. Точные механизмы обнаружения подозрительной активности обычно составляют тайну, хотя при планомерном исследовании методом проб и ошибок злоумышленник может найти методы обхода данных ограничений. Извне проводить подобный анализ довольно затруднительно, однако так можно вычислить очень простых автоматических ботов. Например, некоторые из них проявляют свою активность по расписанию и их легко будет обнаружить по временному профилю активности [9]. Другой подход заключается в статистическом и семантическом анализе текстов [10]. В случае, если группа ботов управляется одним человеком и идет активное обсуждение некоторой темы, тексты управляемых пользователей могут быть схожи между собой или даже идентичны друг другу [11]. Кроме того, у каждого человека есть характерные особенности речи и лексикона, что позволяет на основе анализа корпуса текстов пользователя ставить ему в соответствие уникальный идентификатор. При мониторинге, охватывающем достаточно большую часть социальной сети возможно найти пользователей с одинаковым идентификатором. С большой вероятностью можно утверждать, что часть или все такие пользователи будут ненастоящими (ботами или «фейками»). В некоторых исследованиях с помощью анализа тональности

Социальные проблемы информационной безопасности УДК 004.056;519.178;51-74 сообщений составляется профиль эмоций пользователя [10]. Боты, предназначенные для «вбросов» обычно не обладают целостным профилем эмоций. Помимо этого, производится анализ количества ссылок в сообщениях и количества ответов другим пользователям [12]. Третий подход представляет собой анализ связей пользователя. Простейшие методы основаны на анализе количества связей пользователя и отношения количества входящих и исходящих связей [12]. Методы, используемые для определения ботнетов, подходят и для анализа социального графа. Зараженные сегменты сети можно определить с помощью алгоритма выделения сообществ [13, 14], примененного к графу взаимодействия узлов; боты определяются по аномальному трафику. Объединяет данные подходы комбинированный метод, заключающийся в использовании нескольких одновременно. Зачастую он строится на машинном обучении [10, 12], и позволяет на основе многих факторов выносить решение об обнаружении бота с некоторой долей уверенности. Основная задача заключается в отборе значимых факторов, подборе классификаторов и обучении модели. Даже если не использовать машинное обучение, использование нескольких методов повышает вероятность обнаружения поддельных аккаунтов. Стоит отметить, что описанные методы возможно использовать для выявления недобросовестных СМИ, которые занимаются цитированием друг друга и публикуют недостоверную информацию. Метод обнаружения ботов с помощью выделения сообществ Известно, что социальные связи человека имеют свои особенности. Например, число связей, которые человек может эффективно поддерживать, ограничено парой сотен. Данный предел был выведен антропологом Р.Данбаром [15] и назван в его честь. Человек естественным образом участвует в нескольких сообществах, соответствующих его сферам деятельности и интересам — у него есть одноклассники, коллеги по работе, родственники и т.д. Таким образом, степень каждой вершины в графе социальной сети ограничена сверху. Поэтому целесообразно вместо анализа графа всей социальной сети провести анализ графов ближайшего окружения пользователей. Скорее всего, графы реальных людей будут сильно отличаться от графов виртуальных пользователей,

ведь у последних граф будет сформирован искусственным образом. Для проверки гипотезы были использованы три списка пользователей социальной сети Livejournal: 1. 668 пользователей из утекшего списка управляемых ботов18; 2. боты, отобранные вручную одним из пользователей сети с помощью аккаунта-приманки19(1366 профилей); 3. выборка из 700 случайно выбранных пользователей, которые считались не ботами. Для каждого из пользователей был составлен граф ближайшего окружения, состоящий из всех друзей пользователя и связей между ними. Был использован граф сети Livejournal, полученный в работе [16], часть данных была собрана заново. После этого к каждому из графов был применен алгоритм выделения сообществ, основанный на максимизации модулярности. На рис. 1 представлен график количества сообществ для каждой из трех групп. В основном обычные пользователи имеют около пяти сообществ, в то время как для многих ботов их либо меньше четырех, либо больше десяти. Некоторые боты вообще не имеют сообществ либо имеют только одно. При этом средний размер сообществ (см. рис. 2) у ботов обычно либо больше, чем у нормальных пользователей, либо представляет величину, меньшую 5. У большинства ботов из числа управляемых средний размер сообщества превышает 100 человек, при этом количество их «друзей» может исчисляться несколькими сотнями пользователей, как видно на рис. 3. У большинства нормальных пользователей количество друзей лежит в интервале от 50 до 200, что согласуется с числом Данбара. Для определения ботов был использован набор из простых правил: 1. Если количество друзей пользователя больше максимального или меньше минимального, то пользователь — бот. 2. Сообщества размером меньше минимального не учитываются. 3. Если количество сообществ больше максимального или меньше минимального, то пользователь — бот. 4. Иначе пользователь не бот. В качестве параметров правил были выбраны следующие значения: максимальное количество сообществ — 9, 18 http://www.svoboda.org/content/transcript/26899521.html 19 http://che-love-chek.livejournal.com/profile

Вопросы кибербезопасности №1(19) - 2017

Применение алгоритма выделения сообществ ...

Рис. 1. Количество сообществ у пользователей. Учитывалось не более 20 сообществ.

Рис. 2. Средний размер сообществ у пользователей с шагом 5.

Рис. 3. Количество друзей у пользователей с шагом 50. Вопросы кибербезопасности №1(19) - 2017

Социальные проблемы информационной безопасности УДК 004.056;519.178;51-74 минимальный размер сообщества — 15, минимальное количество сообществ — 2, максимальное число друзей — 500, минимальное количество друзей — 30. Для каждой из выборок были рассчитаны значения (1)

(2)

(3)

(4)

где TP и TN — количество правильно определенных ботов и обычных пользователей соответственно; FP и FN — ошибки первого и второго рода; A — доля правильных ответов (accuracy); P — точность; R — полнота; F1 — F-мера. Результаты для всех выборок представлены в табл. 1. Таблица 1. Точность определения ботов. управляемые боты боты от che-love-chek все боты

0.93 0.93 0.94

0.88 0.94 0.96

0.98 0.95 0.96

0.93 0.95 0.96

Таким образом, даже простой анализ, затрагивающий лишь количество сообществ и их размер, позволяет отделить простых ботов от реальных людей. Большинство создателей виртуальных пользователей не утруждают себя таким уровнем проработки, поскольку подобный анализ почти невозможен без привлечения автоматизированных средств. Повысить качество обнаружения возможно с помощью качественного анализа полученных сообществ: людей в сообществе обычно объединяет некоторый внешний фактор: общее место учебы или работы, схожие интересы или взгляды. Поскольку социальные сети характеризуются богатыми профилями, заполняемыми пользователями, а также позволяют создавать виртуальные сообщества по интересам, можно предположить, что для большинства выделенных сообществ образующий внешний фактор будет определяться по профилям пользователей. Соответственно, если у большей части сообществ некоторого пользователя невозможно выделить общий атрибут, то это повышает вероятность того, что данный пользователь является ботом.

Помимо этого, чтобы повысить достоверность результатов, аналогичные действия стоит произвести со всеми вершинами графа ближайшего окружения пользователя, т.е. с друзьями рассматриваемого пользователя. Очевидно, что большинство профилей друзей тоже должно соответствовать правилу: иначе, если большинство друзей пользователя боты, то и сам он скорее всего бот. Кроме того, если объединение всех графов ближайшего окружения друзей пользователей образует компоненту связности общего графа социальной сети или имеет малое количество связей с ней, то данное множество вершин состоит как минимум из подозрительных аккаунтов. Таким образом, сложность создания правдоподобного виртуального пользователя возрастает на несколько порядков: злоумышленник должен не только создать правдоподобный профиль одного пользователя, но и для всех его «друзей», а также установить двусторонние связи со многими существующими пользователями социальной сети. Если изначально злоумышленнику нужно создать N профилей (1 «главный» профиль и N-1 друзей), то теперь ему придется создать O(Nd) друзей друзей, где N — среднее количество друзей пользователя, а d — диаметр анализируемого графа. При этом предлагаемый способ анализа не несет существенных дополнительных расходов при условии полномасштабного мониторинга социальной сети. Заключение Социальные сети завоевали доверие пользователей и стали для многих основным источником информации. В настоящее время социальные сети являются площадкой для информационного противоборства, и возникает необходимость выработки средств защиты от влияния и «вбросов» противника. Одна из основных задач заключается в поиске автоматических или автоматизированных виртуальных пользователей. В данной статье был предложен метод выявления ботов на основе анализа сообществ графов их ближайшего окружения. Разработанный метод был опробован на двух выборках ботов из социальной сети Livejournal и показал высокие значения численных мер оценки качества алгоритмов бинарной классификации. Метод может быть использован как один из элементов подсистемы обнаружения виртуальных пользователей в системе мониторинга социальных сетей.

Научный руководитель: Ключарёв Петр Георгиевич, к.т.н., доцент кафедры «Информационная безопасность» МГТУ им. Н.Э.Баумана. pgkl@yandex.ru

Вопросы кибербезопасности №1(19) - 2017

Применение алгоритма выделения сообществ ... Литература 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. 16.

Jacob Ratkiewicz, Michael Conover, Mark Meiss et al. Detecting and Tracking Political Abuse in Social Media. In Proceedings of the 5th International AAAI Conference on Weblogs and Social Media (ICWSM). 2011. Вельц С.В. Моделирование информационного противоборства в социальных сетях на основе теории игр и динамических байесовских сетей // Инженерный журнал: наука и инновации. Электронное научное техническое издание. 2013. № 11(23). C. 39. Haque Khondker Habibul. Role of the New Media in the Arab Spring. Globalizations. 2011. Vol. 8. No. 5. pp. 675–679. Губанов Д.А., Новиков Д.А., Чхартишвили А.Г. Модели информационного влияния и информационного управления в социальных сетях // Проблемы управления. 2009. № 5. С. 28-35. Базенков Н.И, Губанов Д.А. Обзор информационных систем анализа социальных сетей // Управление большими системами: сборник трудов. 2013. № 41. С. 357-394. Riquelme Fabian. Measuring user influence on Twitter: A survey. CoRR. 2015. No. abs/1508.07951. Tang‌Lei, Liu‌Huan. Community Detection and Mining in Social Media. Synthesis Lectures on Data Mining and Knowledge Discovery. 2010. Vol. 2. No. 1. pp. 1-137. Лыфенко Н.Д. Виртуальные пользователи в социальных сетях: мифы и реальность // Вопросы кибербезопасности. 2014. № 5(8). С. 17-20. Ghosh Rumi, Surachawala Tawan, Lerman Kristina. Entropy-based Classification of ‹Retweeting’ Activity on Twitter. CoRR. 2011. No. abs/1106.0346. Dickerson John P., Kagan Vadim, Subrahmanian V. S. Using sentiment to detect bots on Twitter: Are humans more opinionated than bots? In Proceedings of the IEEE/ACM International Conference on Advances in Social Networks Analysis and Mining, 2014, Beijing, China, August 17-20, 2014. pp 620-627. Yang Chao, Harkreader Robert Chandler, Gu Guofei. Recent Advances in Intrusion Detection. In Proceedings of the 14th International Symposium, 2011, Menlo Park, CA, USA, September 20-21, 2011. pp. 318-337. Wang Alex Hai. Data and Applications Security and Privacy XXIV. In Proceedings of the 24th Annual IFIP WG 11.3 Working Conference, Rome, Italy, June 21-23, 2010. pp. 335-342. Wang Jing, Paschalidis Ioannis Ch. Botnet Detection using Social Graph Analysis. CoRR. 2015. No. abs/1503.02337. Qiang Cao, Michael Sirivianos, Xiaowei Yang et al. Aiding the Detection of Fake Accounts in Large Scale Social Online Services. In Proceedings of the 9th USENIX Symposium on Networked Systems Design and Implementation (NSDI 12), San Jose, CA: USENIX, 2012. pp. 197-210. Dunbar R.I.M. Neocortex size as a constraint on group size in primates. Journal of Human Evolution. 1992. Vol. 22, No. 6. pp. 469-493 Ключарёв П.Г., Чесноков В.О. Исследование спектральных свойств социального графа сети LiveJournal // Наука и образование. Электронное научно-техническое издание. 2013. № 9. C. 391-400.

APPLICATION OF THE COMMUNITY ALLOCATION ALGORITHM IN THE INFORMATION CONFRONTATION IN THE SOCIAL NETWORKS Chesnokov V.O.20 Abstract.Social networks are currently a site for information confrontation. However, most of the available monitoring systems make a focus on tracking quantitative characteristics only, therefore they are vulnerable to a series of fibs and topic twisting. These activities are usually done by virtual users (bots), which are automatic and automated. The article provides a brief review of available methods of bot identification, which are based on static and semantic text analysis, behavioural analysis and theoretical graph approach. Moreover, it gives an example of applying community allocation algorithm to solve an accompanying problem – identification of the public opinion leaders. It suggests a new approach to bot identification, which is based on analysis of graph communities of the nearest user environment. The suggested method was tested on two samples of virtual users from Livejournal social network: managed bots and bots manually assembled by one of the users. The sample consisted of 700 legitimate users. The experiment had high values of accuracy, exhaustiveness and F1 measure of virtual user identification. The developed method can be used as a part of the bot identification system and, if applied widely, may significantly increase the cost of creating realistic virtual user accounts for the hackers. Keywords: information warfare, social network, social graph, ego-network, community detection, bots, virtual users, public opinion leaders. 20 Vladislav Chesnokov, Bauman Moscow State Technical University, Moscow, v.o.chesnokov@yandex.ru

Вопросы кибербезопасности №1(19) - 2017

Социальные проблемы информационной безопасности УДК 004.056;519.178;51-74 References 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. 16.

Jacob Ratkiewicz, Michael Conover, Mark Meiss et al. Detecting and Tracking Political Abuse in Social Media. In Proceedings of the 5th International AAAI Conference on Weblogs and Social Media (ICWSM). 2011. Vel’ts S.V. Modelirovanie informatsionnogo protivoborstva v sotsial’nyh setyah na osnove teorii igr i dinamicheskih bajesovskih setej // Inzhenernyj zhurnal: nauka i innovatsii. Elektronnoe nauchnoe tehnicheskoe izdanie. 2013. № 11(23), p. 39. Haque Khondker Habibul. Role of the New Media in the Arab Spring. Globalizations. 2011. Vol. 8. No. 5, pp. 675–679. Gubanov D.A., Novikov D.A., CHhartishvili A.G. Modeli informatsionnogo vliyaniya i informatsionnogo upravleniya v sotsial’nyh setyah // Problemy upravleniya. 2009. № 5, pp. 28-35. Bazenkov N.I, Gubanov D.A. Obzor informatsionnyh sistem analiza sotsial’nyh setej // Upravlenie bol’shimi sistemami: sbornik trudov. 2013. № 41, pp. 357-394. Riquelme Fabian. Measuring user influence on Twitter: A survey. CoRR. 2015. No. abs/1508.07951. Tang‌Lei, Liu‌Huan. Community Detection and Mining in Social Media. Synthesis Lectures on Data Mining and Knowledge Discovery. 2010. Vol. 2. No. 1, pp. 1-137. Lyfenko N.D. Virtual’nye pol’zovateli v sotsial’nyh setyah: mify i real’nost’ // Voprosy kiberbezopasnosti. 2014. № 5(8), pp. 17-20. Ghosh Rumi, Surachawala Tawan, Lerman Kristina. Entropy-based Classification of ‹Retweeting’ Activity on Twitter. CoRR. 2011. No. abs/1106.0346. Dickerson John P., Kagan Vadim, Subrahmanian V. S. Using sentiment to detect bots on Twitter: Are humans more opinionated than bots? In Proceedings of the IEEE/ACM International Conference on Advances in Social Networks Analysis and Mining, 2014, Beijing, China, August 17-20, 2014. pp 620-627. Yang Chao, Harkreader Robert Chandler, Gu Guofei. Recent Advances in Intrusion Detection. In Proceedings of the 14th International Symposium, 2011, Menlo Park, CA, USA, September 20-21, 2011, pp. 318-337. Wang Alex Hai. Data and Applications Security and Privacy XXIV. In Proceedings of the 24th Annual IFIP WG 11.3 Working Conference, Rome, Italy, June 21-23, 2010, pp. 335-342. Wang Jing, Paschalidis Ioannis Ch. Botnet Detection using Social Graph Analysis. CoRR. 2015. No. abs/1503.02337. Qiang Cao, Michael Sirivianos, Xiaowei Yang et al. Aiding the Detection of Fake Accounts in Large Scale Social Online Services. In Proceedings of the 9th USENIX Symposium on Networked Systems Design and Implementation (NSDI 12), San Jose, CA: USENIX, 2012, pp. 197-210. Dunbar R.I.M. Neocortex size as a constraint on group size in primates. Journal of Human Evolution. 1992. Vol. 22, No. 6, pp. 469-493 Klyucharev P.G., CHesnokov V.O. Issledovanie spektral’nyh svojstv sotsial’nogo grafa seti LiveJournal // Nauka i obrazovanie. EHlektronnoe nauchno-tehnicheskoe izdanie. 2013. № 9, pp. 391-400.

Вопросы кибербезопасности №1(19) - 2017

МЕТОД ПОСТРОЕНИЯ КРИПТОГРАФИЧЕСКИХ ХЭШ-ФУНКЦИЙ НА ОСНОВЕ ИТЕРАЦИЙ ОБОБЩЕННОГО КЛЕТОЧНОГО АВТОМАТА Ключарёв П.Г.1 В статье предлагается новый метод, предназначенный для построения криптографических хэшфункций. Метод основан на использовании обобщенных клеточных автоматов. Работа таких хэшфункций состоит из трех этапов: этапа абсорбирования, этапа дополнительного перемешивания и этапа выжимания. На этапе абсорбирования к заполнению обобщенного клеточного автомата раз в определенное количество шагов подмешивается очередной блок сообщения. На этапе дополнительного перемешивания выполняется определенное количество шагов автомата. А на этапе выжимания происходит съем выходных значений, также через определенное количество шагов. Такую схему можно рассматривать как аналог криптографической губки (Sponge). В качестве графа обобщенного клеточного автомата используются расширяющие графы, в особенности графы Рамануджана, такие как графы Любоцкого-Филипса-Сарнака. Согласно предварительным исследованиями производительности, хэшфункции, построенные с помощью предложенного метода, как и другие криптоалгоритмы, основанные на обобщенных клеточных автоматах, отличаются высокой производительностью при аппаратной реализации, например, на базе программируемых логических интегральных схем. Также уделено внимание вопросам использования хэш-функций, основанных на обобщенных клеточных автоматах, в качестве функций формирования ключа. Работа выполнена при финансовой поддержке РФФИ (проект № 16-07-00542). Ключевые слова: криптография, криптостойкость, криптографическая губка, граф Рамануджана, криптоалгоритмы, программируемые интегральные схемы, информационная безопасность, обобщенный клеточный автомат, локальная функция связи, способ построения криптографических хэш-функций, три этапа вычисления хэш-функции, коллизии в клеточных автоматах.

DOI: 10.21581/2311-3456-2017-1-45-50 Введение Во многих задачах управления и обработки информации существует необходимость быстро передавать большие объемы информации, обеспечивая при этом необходимый уровень информационной безопасности. Это приводит к необходимости разработки высокопроизводительных криптографических алгоритмов, в том числе, хэшфункций. Криптографическим хэш-функциям посвящено большое количество работ. Хороший обзор современного состояния этой области криптографии можно найти в работах [1, 2]. Данная статья является продолжением серии статей (в том числе, [3-9]), посвященных обобщенным клеточным автоматам и методам построения основанных на них криптографических алгоритмов. Целью статьи является построение нового семейства хэш-функций, в основе которого лежит процесс итераций обобщенного клеточного автомата. Схема построения таких хэш-функций имеет общие черты с концепцией криптографической губки (Sponge), которой посвящен целый ряд работ

[10-13]. В частности, хэш-функция Keccak [13], ставшая стандартом США SHA-3, основана на этой схеме. Автором уже предлагалось использовать обобщенные клеточные автоматы для построения криптографических хэш-функций, при этом использовалась древовидная схема [14]. Предлагаемый в данной статье метод построения хэшфункций обладает, по предварительным оценкам, значительно большей производительностью. Обобщенные клеточные автоматы Будем называть обобщённым клеточным автоматом ориентированный мультиграф A(V , E ) , где = - множество вершин, V {v1 , …, vN } а E -мультимножество ребер. С каждой вершиной vi этого графа ассоциированы: ●● булева переменная mi , которая называется ячейкой; ●● булева функция f i ( x1 , …, xdi ) , которая называется локальной функцией связи i -й вершины. При этом каждой паре (v, e) , где v - вершина, а e - инцидентное ей ребро, будет соответствовать номер аргумента локальной функции связи, вычисляемой в вершине v . Мы будем называть его номером ребра e относительно вершины v .

1 Ключарёв Петр Георгиевич, кандидат технических наук, доцент МГТУ им. Н.Э. Баумана, Москва, pk.iu8@yandex.ru

Вопросы кибербезопасности №1(19) - 2017

Методы и средства кодирования информации Обобщенный клеточный автомат работает пошагово. Перед началом работы автомата каждая ячейка mi , i = 1...N , имеет начальное значение mi (0) ∈ {0,1} . Далее, значения ячеек на шаге номер t вычисляются по формуле:

= mi (t ) fi (mη (i ,1) (t − 1), mη (i ,2) (t − 1),…, mη (i ,di ) (t − 1)),

(1)

где η (i, j ) – номер вершины, из которой исходит ребро, заходящее в вершину i и имеющее относительно этой вершины номер j . Заполнением клеточного автомата на шаге t будем называть набор значений ячеек (m1 (t ), m2 (t ), …, mN (t )) . Обобщенный клеточный автомат будем называть однородным, если для любого i ∈ {1,..., N } выполняется f i = f , то есть локальная функция связи для всех ячеек одинакова. Степени захода вершин такого клеточного автомата, очевидно, одинаковы: d1 = d 2 = … = d N = d . Назовем обобщённый клеточный автомат неориентированным, если для любого ребра (u , v) в его графе существует и ребро (v, u ) . Граф такого автомата можно рассматривать как неориентированный, если заменить каждую пару ориентированных ребер (u , v) и (v, u ) на неориентированное ребро {u , v} . Здесь мы будем использовать лишь неориентированные однородные обобщённые клеточные автоматы, для краткости называя их просто обобщёнными клеточными автоматами. N N Пусть Ft :{0,1} → {0,1} - функция, аргументом которой является начальное заполнение данного обобщенного клеточного автомата, а значением – заполнение этого автомата через t шагов. Хэш-функции Здесь мы предложим способ построения криптографических хэш-функций. Хэш-функция основана на итерациях обобщенного клеточного автомата. Принцип работы заключается в том, чтобы через определенное количество шагов обобщенного клеточного автомата подмешивать к его заполнению очередной блок хэшируемого сообщения, а затем, опять-таки через определенное количество шагов, снимать выходное значение. Опишем этот процесс более строго. Пусть k – длина блока хэш-функции. Тогда разделим набор ячеек клеточного автомата на два набора, один – длины k, а другой – длины N − k . Соответственно будем записывать преобразование, выполняемое за t шагов автомата, в виде: ( xi +1 , yi +1 ) = Ft ( xi , yi ) . Пусть M = ( M 1 , M 2 , , M q ) - разбитое на блоки сообщение, для которого вычисляется хэш.

УДК 519.713; 004.056.55

Тогда процесс вычисления хэш-функции состоит из трех этапов: 1. Этап абсорбирования:

(= xi , yi ) Ft1 ( xi −1 ⊕ M i , yi −1 )

(2)

2. Этап дополнительного перемешивания:

(h1 , z1 ) = Ft2 (x q , y q )

(3)

3. Этап выжимания:

(h j +1 , z j +1 ) = Ft3 (h j , z j )

(4)

При этом значением хэша является конечная последовательность вида h1 , h2 ,..., h s / k  , необхо  димой длины. Конкретная хэш-функция задается графом обобщенного клеточного автомата, локальной функцией связи, числом ячеек автомата, параметрами t1 , t2 , t3 , длиной блока и длиной хэша. Поэтому можно говорить как о методе построения хэш-функций, так и о семействе хэш-функций, которое порождается этим методом. Будем называть предлагаемое семейство GRACE-H2. Выбор параметров Наиболее нетривиальный вопрос – выбор графа обобщенного клеточного автомата и локальной функции связи. Вопрос их выбора для криптографических применений был подробно исследован автором, в частности, в работах [5, 10]. Исследования эти показали, что хорошим выбором графа клеточного автомата являются графы Рамануджана [21-25]. При этом, отношение числа вершин графа к длине блока должно быть не менее 4. Напомним, что графом Рамануджана называется регулярный граф, для которого справедливо неравенство

λ2 ≤ 2 d − 1, где λ2 - второй по величине компонент спектра графа, а d – степень графа. Такие графы имеют большой коэффициент реберного расширения, малый диаметр ( O (log N ) ) и ряд других свойств, делающих такие графы особенно подходящими для клеточных автоматов, применяющихся в криптоалгоритмах. Применение таких графов в криптографических примитивах подробно рассматриваются в работах автора [4, 6, 11]. В частности, там предлагается использовать семейство графов Любоцкого-Филипса-Сарнака (LPS). Кратко опишем здесь строение таких графов. Выберем простые числа p и q , для которых выполняются условия: Вопросы кибербезопасности №1(19) - 2017

Метод построения криптографических хэш-функций ...  p = 1 ( mod 4 )  q = 1 ( mod 4 )  p ≠ q   p  = 1,  q 

(5)

 p  - символ Лежандра. q

где 

Построим

неориентированный

мультиграф

G = (V , E ) . В качестве множества V вершин

возьмем проективную прямую над полем Галуа Fq , т.е., V = P1 (Fq )= Fq ∪ {∞} . В качестве мультимножества ребер E возьмем мультимножество, состоящее из всех пар ( u , v ) , таких, что выполняется:

(a0 + ia1 )u + (a2 + ia3 ) (−a2 + ia3 )u + (a0 − ia1 )

(6)

для всех таких четверок a0 , a1 , a2 , a3 ∈ � , что a0 - нечетное положительное число, a1 , a2 , a3 - четные числа и выполняется равенство a02 + a12 + a22 + a32 = p. Степенью графа является количество таких четверок, очевидно равное p + 1 . Здесь i ∈ Fq , такое, что i 2 = −1 . В построенном таким образом графе могут быть как кратные ребра, так и петли. От них необходимо избавиться так, чтобы граф оставался регулярным. После этого граф можно считать построенным. Кроме LPS-графов в качестве графа обобщенного клеточного автомата можно использовать и другие семейства графов Рамануджана. Можно генерировать такие графы и случайно, с последующей проверкой на принадлежность к графам Рамануджана (с помощью стандартных методов линейной алгебры), поскольку случайный регулярный граф является с большой вероятностью графом Рамануджана. В качестве локальной функции связи следует выбирать равновесную функцию, имеющую достаточно высокую нелинейность (т.е. возможно большее расстояние до множества аффинных функций), являющуюся шефферовой и обладающую некоторыми дополнительными свойствами. Подробно такие функции описаны в работах [9-11]. Параметры t1 , t2 , t3 имеет смысл выбирать так, чтобы каждый разряд выхода преобразования Fti зависел от каждого разряда входа и чтобы эти преобразования были неотличимы от псевдослучайных функций. Для того, чтобы обеспечить

Вопросы кибербезопасности №1(19) - 2017

выполнение этих условий, согласно работе [11], необходимо чтобы выполнялось неравенство ti ≥ 1.4 D , где D – диаметр графа. Заметим, что диаметр графа Рамануджана равен O (log(N)) . Таким образом, из соображений обеспечения высокой производительности, в качестве значения параметра t1 имеет смысл выбрать минимальное значение, удовлетворяющее вышеприведенному неравенству, т.е. 1.4D . При этом, в качестве значений параметров t2 и t3 следует взять большие величины, например, не меньшие трехкратного диаметра графа, с тем, чтобы обеспечить хорошее перемешивание информации и реализацию сложных зависимостей значения хэш-функции от ее входа. Использование в качестве функций формирования ключа Важное применение хэш-функций – их использование в качестве функций формирования ключа. Такие функции предназначены в первую очередь для выработки ключевой информации из паролей. Они должны обладать дополнительными свойствами, затрудняющими восстановление паролей методом грубой силы, такими как низкая способность к распараллеливанию и относительно высокая вычислительная сложность. Хэш-функции, основанные на обобщенных клеточных автоматах, прекрасно подходят в качестве таких функций, благодаря тому, что количество ячеек обобщенного клеточного автомата принципиально ничем не ограничено и, следовательно, может быть выбрано достаточно большим с тем, чтобы сделать невозможным эффективное распараллеливание вычислений. В частности, для того, чтобы сделать невозможным эффективное вычисление выходных значений клеточных автоматов с помощью графических процессоров (технологий OpenCL и CUDA), необходимо выбрать число ячеек большим, чем количество потоков в рабочей группе графического процессора, которое составляет от нескольких сотен до нескольких тысяч, в зависимости от конкретного графического процессора. Важно также обеспечить противодействие параллельной обработке на программируемых логических интегральных схемах (ПЛИС). Заметим, что для реализации одного клеточного автомата необходимо количество логических элементов, примерно равное количеству ячеек (в случае, если конкретной ПЛИС поддерживаются не менее чем d-местные логические элементы). У современных ПЛИС количество логических элементов

Методы и средства кодирования информации достигает нескольких миллионов. В любом случае, использование клеточных автоматов, состоящих из десятков и сотен тысяч ячеек, существенно ограничивает возможность распараллеливания с использованием ПЛИС, поскольку одновременно на такой ПЛИС можно будет реализовать не более  a / N  клеточных автоматов, где a – количество логических элементов ПЛИС, а N – число ячеек клеточного автомата. Увеличение количества ячеек клеточного автомата приводит к некоторому снижению производительности, однако, учитывая, что в случае использования графов Рамануджана необходимое число шагов оценивается как Ω(log N ) , вычислительная сложность растет достаточно медленно, что позволяет использовать такие функции на практике. Криптостойкость В работе [11] было обнаружено, что при достаточном числе шагов, преобразование, вычисляемое обобщенным клеточным автоматом, граф которого является графом Рамануджана, в случае правильного выбора локальной функции связи, неотличимо от псевдослучайной функции посредством стандартного набора статистических тестов NIST. Поэтому, как было сказано выше, мы будем считать, что функции Fti являются псевдослучайными при достаточно большом числе шагов (согласно работе [11] - не меньшим 1.4D , где D – диаметр графа). Это приводит к возможности тривиального переноса известного из теории конструкции криптографической губки результата о том, что в случае, если функция преобразования криптографической губки является случайной функцией либо случайной подстановкой и используется подходящая процедура дополнения сообщения, то в случае отсутствия внутренних коллизий, все разряды выхода являются независимыми и равномерно распределенными случайными величинами. Применительно к нашему случаю, для этого требуется отсутствие коллизий обобщенного клеточного автомата. Вопрос коллизий в клеточных автоматах исследовался в работе [13]. Там был получен метод построения обобщенных клеточных автоматов, устойчивых к определенным типам коллизий. В частности, предлагалось использовать локальную функцию связи, линейную по одной из перемен-

УДК 519.713; 004.056.55

ных, причем граф клеточного автомата должен быть таким, чтобы ребра, соответствующие переменным, по которым имеется линейная зависимость, вместе с инцидентными им вершинами, образовывали 2-фактор графа. Отметим, что одной из подходящих процедур дополнения сообщения, как это известно из теории схемы Sponge, является дополнение последовательностью вида 10*1 до длины кратной длине блока. Такую процедуру мы рекомендуем использовать и в нашем случае. Реализация Хэш-функции из предложенного семейства, как и другие криптоалгоритмы, основанные на клеточных автоматах, предназначены, прежде всего, для аппаратной реализации, в частности, на базе программируемых логических интегральных схем (ПЛИС). Поточные и блочные шифры, основанные на клеточных автоматах показали очень высокую производительность при реализации на ПЛИС [12]. В частности, такие поточные шифры показывали производительность до 1.1 Тб/с. Предварительные исследования показывают, что и рассматриваемые в этой статье хэш-функции также демонстрируют весьма высокий уровень производительности, доходящий до сотен гигабит в секунду, однако более подробное выяснение скоростных характеристик требует дополнительных исследований. Применение Рассматриваемые хэш-функции могут быть применены в различных приложениях, в частности в системах электронной подписи [15], системах организации доступа к данным [1,3,14] и другим задачам информационной безопасности [2]. Выводы Таким образом в статье представлен новый метод построения криптографических хэш-функций, основанных на обобщенных клеточных автоматах. Этот метод порождает целое семейство хэшфункций, каждая из которых задается набором параметров. Эти хэш-функции рассчитаны на аппаратную реализацию (например, на базе ПЛИС) и могут найти весьма широкое применение в различных задачах, связанных с обеспечением информационной безопасности.

Рецензент: Цирлов Валентин Леонидович, кандидат технических наук, доцент кафедры ИУ-8 «Информационная безопасность» МГТУ им.Н.Э.Баумана, v.tsirlov@bmstu.ru Работа выполнена при финансовой поддержке РФФИ (проект № 16-07-00542 а).

Вопросы кибербезопасности №1(19) - 2017

Метод построения криптографических хэш-функций ... Литература Al-Kuwari S., Davenport J.H., Bradford R.J. Cryptographic hash functions: recent design trends and security notions // 2010. URL: http://eprint.iacr.org/2011/565 2. Preneel B. The first 30 years of cryptographic hash functions and the NIST SHA-3 competition // Topics in Cryptology-CT-RSA 2010. 2010. — C. 1-14. 3. Ключарев П.Г. Клеточные автоматы, основанные на графах Рамануджана, в задачах генерации псевдослучайных последовательностей // Наука и образование. Электронное научно-техническое издание. 2011. № 10. URL: http://technomag. neicon.ru/doc/241308.html 4. Ключарев П.Г. Криптографические свойства клеточных автоматов, основанных на графах Любоцкого-Филипса-Сарнака // Безопасные информационные технологии. – М.: НИИ радиоэлектроники и лазерной техники. 2011. — C. 163-173. 5. Ключарев П.Г. Построение псевдослучайных функций на основе обобщённых клеточных автоматов // Наука и образование. Электронное научно-техническое издание. 2012. № 10. DOI: 10.7463/1112.0496381 6. Ключарев П.Г. Блочные шифры, основанные на обобщённых клеточных автоматах // Наука и образование. Электронное научнотехническое издание. 2012. № 12. DOI: 10.7463/0113.0517543 7. Ключарев П.Г. Обеспечение криптографических свойств обобщённых клеточных автоматов // Наука и образование. Электронное научно-техническое издание. 2012. № 3. URL: http://technomag.neicon.ru/doc/358973.html 8. Ключарев П.Г. NP-трудность задачи о восстановлении предыдущего состояния обобщенного клеточного автомата // Наука и образование. Электронное научно-техническое издание. 2012. № 1. URL: http://technomag.neicon.ru/doc/ 312834.html 9. Ключарев П.Г. О периоде обобщённых клеточных автоматов // Наука и образование. Электронное научно-техническое издание. 2012. № 2. URL: http://technomag.neicon.ru/doc/340943.html 10. Bertoni G., Daemen J., Peeters M., Van Assche G. Sponge functions. : Citeseer, 2007. 11. Bertoni G., Daemen J., Peeters M., Van Assche G. Keccak sponge function family main document. 2009. — 30 p. 12. Bertoni G., Daemen J., Peeters M., Van Assche G. Sponge-based pseudo-random number generators. : Springer, 2010. — P. 33-47. 13. Bertoni G., Daemen J., Peeters M., Van Assche G. Keccak. : Springer, 2013. — P. 313-314. 14. Ключарев П.Г. Криптографические хэш-функции, основанные на обобщённых клеточных автоматах // Наука и образование. Электронное научно-техническое издание. 2013. № 1. DOI: 10.7463/0113.0534640 15. Charles D.X., Goren E.Z., Lauter K.E. Families of Ramanujan graphs and quaternion algebras // Groups and symmetries: from Neolithic Scots to John McKay. 2009. Т. 47. — C. P. 53-63. 16. Davidoff G.P., Sarnak P., Valette A. Elementary number theory, group theory, and Ramanujan graphs. — New York : Cambridge University Press, 2003. — 144 p. 17. Lubotzky A., Phillips R., Sarnak P. Ramanujan graphs. 1988. — P. 261-277. 18. Sarnak P. Some applications of modular forms. — Cambridge ; New York : Cambridge University Press, 1990. — 111 p. 19. Ключарёв П.Г. Об устойчивости обобщенных клеточных автоматов к некоторым типам коллизий // Наука и образование. Электронное научно-техническое издание. 2014. № 9. — C. 194-202. DOI: 10.7463/0914.0727086 20. Ключарев П.Г. Производительность и эффективность аппаратной реализации поточных шифров, основанных на обобщенных клеточных атоматах // Наука и образование. Электронное научно-техническое издание. 2013. № 10. — C. 299-314. DOI: 1013.0624722 21. Лeбедев A.H. Электронная подпись: новый этап // Вестник Московско-го городского педагогического университета: серия Экономика. 2013. № 1. — C. 43-51. 22. Лeбедев A.H. Способ рассылки защищенных данных с регулировани-ем доступа к отдельным их разделам // Вопросы кибербезопасности. 2015. № 5. — C. 70-72. 23. Быков А.Ю. Алгоритмы распределения ресурсов для защиты информации между объектами информационной системы на основе игровой модели и принципа равной защищенности объектов // Наука и образование. Электронное научно-техническое издание. 2015. № 9. — C. 160-187. DOI: 10.7463/0915.0812283 24. Быков А.Ю., Панфилов Ф.А., Ховрина А.В. Алгоритм выбора классов защищенности для объектов распределенной информационной системы и размещения данных по объектам на основе приведения оптимизационной задачи к задаче теории игр с непротивоположными интересами // Наука и образование. Электронное научно-техническое издание. 2016. Т. 1. — C. 90107. DOI: 10.7463/0116.0830972 25. Быков А.Ю., Артамонова А.Ю. Модификация метода вектора спада для оптимизационно-имитационного подхода к задачам проектирования систем защиты информации // Наука и образование. Электронное научно-техническое издание. 2015. № 1. — C. 158-175. DOI: 10.7463/0115.0754845 1.

METHODS OF DESIGNING CRYPTOGRAPHIC HASH-FUNCTIONS BASED ON ITERATION OF THE UNIFORM CELLULAR AUTOMAT P. Klyucharev2 Abstract. The article suggests a new method of designing cryptographic hash-functions. The method is based on the use of uniform cellular automata. The work of such hash-functions consists of three stages: absorption stage, additional hashing stage and extraction stage. At the absorption stage, another message block is added to the fill of the uniform cellular automaton once in a certain number of steps. A certain number of 2 Petr Klyucharev, Ph.D., Bauman Moscow State Technical University, Moscow, pk.iu8@yandex.ru

Вопросы кибербезопасности №1(19) - 2017

Методы и средства кодирования информации

УДК 519.713; 004.056.55

the automaton steps is accomplished at the additional hashing stage. At the extraction stage, the output values are removed, also in a certain number of steps. Such scheme can be viewed as an analogue of cryptographic sponge (Sponge). The graph of the uniform cellular automaton in use is represented by the expander graphs, especially Ramanujan graphs, such as Lubotzky-Phillips-Sarnak graphs. Subject to the preliminary performance studies, hash-functions are built with the help of the suggested method, just like other encryption algorithms based on uniform cellular automata, which have high performance in hardware implementation, for instance, on the basis of programmable integrated logic circuits. The article also covers the issue of the use of hash-functions based on uniform cellular automata as the key generation function. Keywords: cryptography, cryptographic, cryptographic sponge, Ramanujan graph, cryptographic algorithms, programmable integrated circuits, information security, generalized cellular automaton, a local communication function, a method for constructing cryptographic hash functions, three steps of calculating hash collisions in cellular automat. References Al-Kuwari S., Davenport J.H., Bradford R.J. Cryptographic hash functions: recent design trends and security notions,2010. URL: http://eprint.iacr.org/2011/565 2. Preneel B. The first 30 years of cryptographic hash functions and the NIST SHA-3 competition,Topics in Cryptology-CT-RSA 2010. 2010. — C. 1-14. 3. Klyucharev P.G. Kletochnye avtomaty, osnovannye na grafakh Ramanudzhana, v zadachakh generatsii psevdosluchaynykh posledovatel’nostey,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2011, No 10. URL: http://technomag. neicon.ru/doc/241308.html 4. Klyucharev P.G. Kriptograficheskie svoystva kletochnykh avtomatov, osnovannykh na grafakh Lyubotskogo-FilipsaSarnaka,Bezopasnye informatsionnye tekhnologii. – M.: NII radioelektroniki i lazernoy tekhniki. 2011. — C. 163-173. 5. Klyucharev P.G. Postroenie psevdosluchaynykh funktsiy na osnove obobshchennykh kletochnykh avtomatov,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2012, No 10. DOI: 10.7463/1112.0496381 6. Klyucharev P.G. Blochnye shifry, osnovannye na obobshchennykh kletochnykh avtomatakh,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2012, No 12. DOI: 10.7463/0113.0517543 7. Klyucharev P.G. Obespechenie kriptograficheskikh svoystv obobshchennykh kletochnykh avtomatov,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2012, No 3. URL: http://technomag.neicon.ru/doc/358973.html 8. Klyucharev P.G. NP-trudnost’ zadachi o vosstanovlenii predydushchego sostoyaniya obobshchennogo kletochnogo avtomata,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2012, No 1. URL: http://technomag.neicon.ru/ doc/312834.html 9. Klyucharev P.G. O periode obobshchennykh kletochnykh avtomatov,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2012, No 2. URL: http://technomag.neicon.ru/doc/340943.html 10. Bertoni G., Daemen J., Peeters M., Van Assche G. Sponge functions. : Citeseer, 2007. 11. Bertoni G., Daemen J., Peeters M., Van Assche G. Keccak sponge function family main document. 2009. — 30 p. 12. Bertoni G., Daemen J., Peeters M., Van Assche G. Sponge-based pseudo-random number generators. : Springer, 2010. — P. 33-47. 13. Bertoni G., Daemen J., Peeters M., Van Assche G. Keccak. : Springer, 2013. — P. 313-314. 14. Klyucharev P.G. Kriptograficheskie khesh-funktsii, osnovannye na obobshchennykh kletochnykh avtomatakh,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2013, No 1. DOI: 10.7463/0113.0534640 15. Charles D.X., Goren E.Z., Lauter K.E. Families of Ramanujan graphs and quaternion algebras,Groups and symmetries: from Neolithic Scots to John McKay. 2009. T. 47. — C. P. 53-63. 16. Davidoff G.P., Sarnak P., Valette A. Elementary number theory, group theory, and Ramanujan graphs. — New York : Cambridge University Press, 2003. — 144 p. 17. Lubotzky A., Phillips R., Sarnak P. Ramanujan graphs. 1988. — P. 261-277. 18. Sarnak P. Some applications of modular forms. — Cambridge ; New York : Cambridge University Press, 1990. — 111 p. 19. Klyucharev P.G. Ob ustoychivosti obobshchennykh kletochnykh avtomatov k nekotorym tipam kolliziy,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2014, No 9. — C. 194-202. DOI: 10.7463/0914.0727086 20. Klyucharev P.G. Proizvoditel’nost’ i effektivnost’ apparatnoy realizatsii potochnykh shifrov, osnovannykh na obobshchennykh kletochnykh atomatakh,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2013, No 10. — C. 299-314. DOI: 1013.0624722 21. Lebedev A.H. Elektronnaya podpis’: novyy etap,Vestnik Moskovsko-go gorodskogo pedagogicheskogo universiteta: seriya Ekonomika. 2013, No 1. — C. 43-51. 22. Lebedev A.H. Sposob rassylki zashchishchennykh dannykh s regulirovani-em dostupa k otdel’nym ikh razdelam, Voprosy kiberbezopasnosti, 2015, No 5, pp. 70-72. 23. Bykov A.Yu. Algoritmy raspredeleniya resursov dlya zashchity informatsii mezhdu ob’’ektami informatsionnoy sistemy na osnove igrovoy modeli i printsipa ravnoy zashchishchennosti ob’’ektov,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2015, No 9. — C. 160-187. DOI: 10.7463/0915.0812283 24. Bykov A.Yu., Panfilov F.A., Khovrina A.V. Algoritm vybora klassov zashchishchennosti dlya ob’’ektov raspredelennoy informatsionnoy sistemy i razmeshcheniya dannykh po ob’’ektam na osnove privedeniya optimizatsionnoy zadachi k zadache teorii igr s neprotivopolozhnymi interesami,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2016. T. 1. — C. 90-107. DOI: 10.7463/0116.0830972 25. Bykov A.Yu., Artamonova A.Yu. Modifikatsiya metoda vektora spada dlya optimizatsionno-imitatsionnogo podkhoda k zadacham proektirovaniya sistem zashchity informatsii,Nauka i obrazovanie. Elektronnoe nauchno-tekhnicheskoe izdanie. 2015, No 1. — C. 158-175. DOI: 10.7463/0115.0754845 1.

Вопросы кибербезопасности №1(19) - 2017

АНАЛИЗ И СРАВНЕНИЕ АЛГОРИТМОВ ЭЛЕКТРОННОЙ ЦИФРОВОЙ ПОДПИСИ ГОСТ Р 34.10-1994, ГОСТ Р 34.10-2001 И ГОСТ Р 34.10-2012 Комарова А.В.1, Менщиков А.А.2, Коробейников А.Г.3 Современные требования к электронной цифровой подписи регламентируются в нашей стране национальными стандартами линейки ГОСТ Р 34.10. В работе был выполнен сравнительный анализ национального стандарта ГОСТ Р 34.10-2012 с его предшественниками ГОСТ Р 34.10–2001 и ГОСТ Р 34.10-1994 на предмет актуальности, криптостойкости и трудоемкости. Для этого были произведены оценки скорости и производительности процедур генерации и проверки подписи, выполнены оценки сложности взлома российских государственных стандартов, рассчитаны предположительные оценки продолжительности взлома, обосновано преимущество нового ГОСТ Р 34.10-2012 перед его предшественниками. Отмечено, что именно использование аппарата эллиптических кривых позволяет в значительной степени повысить стойкость нового алгоритма электронной цифровой подписи. При этом доказано, что новый стандарт требует в несколько раз больше времени и для формирования хэш-функции и для процесса формирования самой подписи. В работе отмечена актуальность оптимизации реализаций библиотек данных криптографических алгоритмов под существующие языки программирования. Ключевые слова: хэш-функция, дискретное логарифмирование, асимметричная криптография, эллиптическая кривая, криптостойкость, криптографическая защита информации, национальный стандарт, средства криптографической защиты, контроль целостности

DOI: 10.21581/2311-3456-2017-1-51-56 Введение Информационные технологии на сегодняшний день имеют огромное значение для функционирования различных предприятий [1]. Безопасные информационные технологии применяются в таких областях, как производственная, экономическая, финансовая, военная [2]. Вся информация, обрабатывающаяся в компьютерных сетях и в интернете, должна быть хорошо защищена. Этот факт требует непрерывного совершенствования механизмов защиты информации. Наиболее востребованы на сегодняшний день криптосистемы с открытым ключом. Наиболее стойкими и трудоемкими из них, по мнению ученых, являются криптосистемы на эллиптических кривых [3]. Данный факт послужил одной из причин смены ГОСТ Р 34.10–1994 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи» его аналогом в 2001 году и далее последующим усовершенствованным аналогом в 2012 году. Алгоритмы ЭЦП ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-2012 являются усовершенствованием алгоритма ЭЦП ГОСТ Р 34.10-1994.

В отличие от старого стандарта, основанного на сложности дискретного логарифмирования в конечном простом поле, новые алгоритмы построены на базе математического аппарата эллиптических кривых. Исследование хэш-функций по ГОСТ Р 34.111994 и ГОСТ Р 34.11-2012 Стойкость ЭЦП складывается из надежностей используемой хэш-функции и непосредственно алгоритма ЭЦП [4]. Исследуем хэш-функции, используемые в старом и новых алгоритмах ЭЦП. Алгоритмы ЭЦП ГОСТ Р 34.10-1994 и ГОСТ Р 34.10-2001 использует хэш-функцию по ГОСТ Р 34.11-1994. Для нового стандарта ЭЦП ГОСТ Р 34.10-2012 был разработан и новый стандарт выработки хэш-функции ГОСТ Р 34.11-2012. Непосредственно на скорость выработки ЭЦП и процесса подписания документа влияет и время, затраченное на выработку хэша сообщения. Для оценки времени генерации хэш-функции был написан программный код на языке Python с использованием библиотеки Pygost, функциональные выдержки из которого приведены ниже:

1 Комарова Антонина Владиславовна, аспирант, Университет ИТМО, Санкт-Петербург, piter-ton@mail.ru 2 Менщиков Александр Алексеевич, аспирант, Университет ИТМО, Санкт-Петербург, menshikov@corp.ifmo.ru 3 Коробейников Анатолий Григорьевич, доктор технических наук, профессор, Университет ИТМО, Санкт-Петербург, korobeynikov_a_g@mail.ru

Вопросы кибербезопасности №1(19) - 2017

Методы и средства кодирования информации from os import urandom import time from pygost.gost34112012 import GOST34112012 from pygost.gost341194 import GOST341194 def test_hash_94(message): GOST341194(message).digest() def test_hash_2012(message): GOST34112012256(message).digest() def test(callback): for ll in [32, 64, 128, 256, 512]: start = time.clock() callback(urandom(ll)) finish = time.clock()

Для каждой длины шифротекста было выполнено по 100 повторов генерации хэш-функции для каждого ГОСТ. Вычисления проводились на персональном компьютере с процессором Intel Core i5-3317U. На (Рис.1) можно видеть экспоненциальную зависимость времени работы от длины шифруемых данных. Так же, не трудно заметить, что время, требуемое на выработку хэша при одинаковой длине шифротекста, в ГОСТ Р 34.11-2012 возросло в два раза по сравнению с предыдущим ГОСТ. Так, при длине сообщения в 512 байт (4096 бит) по старому ГОСТ потребуется столько же временных ресурсов, что и при длине 80 байт (640бит) по новому стандарту. Пояснить такое положение вещей можно особенностями реализации Python модуля. Необходимо упомянуть, что в зависимости от требований к среде исполнения результаты могут быть разными, поэтому актуальным является также и дальнейшие исследования в области оптимизации реализаций библиотек данных алгоритмов под существующие языки программирования.

УДК 004.056

Далее проверим вычислительную стойкость хэш-функций. Как известно, стойкая хэш-функция должна обладать следующими тремя свойствами: 1. Стойкость к вычислению прообраза – невозможность нахождения неизвестного прообраза для любых предварительно заданных хэш-значений, т.е. для заданной хэш-функции h вычислительно невозможно найти неизвестный прообраз x при предварительно заданном хэшзначении y =h(x) для любого значения y. 2. Стойкость к вычислению второго прообраза – невозможность нахождения любого другого прообраза, который давал бы такое же хэш-значение, как и заданный, т.е. для заданной хэш-функции h и прообраза x вычислительно невозможно найти другой прообраз x’≠ x, для которого выполнялось бы условие h(x) =h(x’). 3. Стойкость к коллизиям – невозможность нахождения двух прообразов, для которых вырабатывалось бы одинаковое значение, т.е. для заданной хэш-функции h вычислительно невозможно найти два прообраза x и x’, x ≠ x’, для которых выполнялось бы условие h(x) =h(x’) [5]. Самая распространенная атака на хэш-функции – это атака методом перебора [6]. Реализовать данную атаку можно двумя способами. Первый способ предполагает взлом второго свойства хэшфункции: то есть, создание другого документа с таким же хэш-значением. Второй способ предполагает взлом третьего свойства хэш-функции: поиск двух документов с одинаковыми хэш-значениями. Вероятность взлома хеш-функции можно оценить на основании статьи [7], в которой были выведены формулы для оценки вероятности взлома хэш-функции методом перебора. Первый способ,

Рис.1. Сравнительное время выработки хэш-функций по ГОСТ

Вопросы кибербезопасности №1(19) - 2017

Анализ и сравнение алгоритмов электронной цифровой подписи ... осуществляющий взлом второго свойства хэшфункций дал вероятность P = 21− k , где k - число разрядов хэш-кода. Второй метод, направленный на взлом третьего свойства хэш-функций дал вероятность P = 2 − k / 2 , где k-число разрядов хэш-кода. Если одна MIPS (Million Instruction Per Second) машина хэширует миллион сообщений в секунду. При таких условиях число хэш-кодов, вычисленных одной MIPS машиной за один год составит D=60 × 60 × 24 × 365 × 106=3,15×1013[6]. В (табл. 1) приведена оценка вероятности взлома хэш-функции для двух рассмотренных способов атаки при различных значениях длины выходного хэш-кода. Российский стандарт хэш-функций ГОСТ Р 34.11-1994 использовал 256-битное хэш-значение сообщения. Его преемник стандарт хэш-функции ГОСТ Р 34.11-2012 позволяет создавать как 256-битное, так и 512-битное хэш-значение сообщения, что позволяет утверждать, что при современных вычислительных мощностях его вскрытие вычислительно невозможно. При длине хэшзначения 512 бит, продолжительность взлома вторым, более быстрым методом, составит 3,68 × 1063 MIPS-лет. А для взлома ГОСТ Р 34.11-1994 при длине хэш-значения 256 бит соответственно потребуется 1,08 × 1025 MIPS-лет, что в значительной степени уступает предыдущему значению. Оценка и сравнение алгоритмов формирования ЭЦП Основной отличительной особенностью нового ГОСТ Р 34.10-2012 от ГОСТ Р 34.10-2001 является наличие дополнительных вариантов параметров

схем (соответствующего длине секретного ключа порядка 512 бит). Применительно для практического использования того или иного алгоритма ЭЦП, конечно, одним из первых вопросов поднимается проблема быстродействия, а именно времени, требующегося на процессы генерации ключа, подписывания документа, и, в последующем, проверки подписи. Эти три аспекта и были нами рассмотрены. Для этого был создан программный код так же на языке Python с использованием библиотеки Pygost, функциональные выдержки из которого приведены ниже: from os import urandom import time \

from pygost.gost3410 import CURVE_PARAMS, prv_unmarshal, pub_marshal, verify from pygost.gost3410 import GOST3410Curve from pygost.gost3410 import public_key from pygost.gost3410 import sign

def test_generate_key(n): prv_raw = urandom(n) prv = prv_unmarshal(prv_raw) c = GOST3410Curve (*CURVE_PARAMS[«GostR3410_2001_ ParamSet_cc»]) pub = public_key(c, prv) return c, pub, prv def test_sign_key(c, prv): sign(c, prv, b»some data») def test_verify_key(c, pub, s): verify(c, pub, b»some data», s)

Для каждого из рассматриваемых стандартов было выполнено по 100 повторов генерации

Таблица 1. Оценка вероятности взлома хэш-функции двумя разными способами

k - длина хэш-кода, бит

Первый способ (создание другого документа с таким же хэшзначением)

Второй способ (поиск двух документов с одинаковыми хэшзначениями)

Вероятность взлома

Продолжительность взлома, MIPS-лет

Вероятность взлома

Продолжительность взлома, MIPS-лет

P = 21− k

T = 2 k −1 ÷ D

P = 2 −k / 2

T = 2k / 2 ÷ D

64 128 256 512 1024

Вопросы кибербезопасности №1(19) - 2017

Методы и средства кодирования информации

УДК 004.056

Время работы (100 повторов), сек.

40 35 30 25 20 15 10 5 0 Генерация

Подпись

Проверка

Рис.2. Сравнительное время работы пр Рис.2. Сравнительное время работы процессов ГОСТ

подписи, непосредственно подписания документа и проверки подписи. Вычисления проводились на персональном компьютере с процессором Intel Core i5-3317U. Подпись вырабатывалась длиной 256 бит, так как лишь этот параметр остался прежним (ГОСТ P 34.10-2012 позволяет вырабатывать подпись длиной и 256 бит и 512 бит). На основании проведенных экспериментов выяснилось, что ГОСТ Р 34.10.2012 требует самых больших временных ресурсов для всех трех процессов (Рис.2), в несколько раз больше, чем его предшественники. Как уже отмечалось выше, надежность цифровой подписи определяется стойкостью к криптоаналитическим атакам алгоритма ЭЦП [2]. Далее определим криптостойкость российских стандартов ЭЦП. Стойкость стандарта ГОСТ Р 34.10-1994 основана на сложности решения частной задачи дискретного логарифмирования в простом поле GF(p). Стойкость же стандартов ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-

уже отмечалось выше, надежность 2012 Как основана на сложности решения задачи цифров стойкостью криптоаналитическим Э дискретногок логарифмирования в атакам группе алгоритма тоДалее определим криптостойкость российских ст чек эллиптической кривой. стандарта ГОСТ Р 34.10-1994 основана сложности Рассчитаем вычислительную сложностьна алдискретного логарифмирования в простом поле GF(p) горитмов ЭЦП нового и старых стандартов. ГОСТ 34.10-2001 Р 34.10-2012 основана на Одним Р из наиболееи ГОСТ эффективных алгоритмов дискретного логарифмирования группе точек эллипти решения задачи дискретного в логарифмироРассчитаем вычислительную сложность вания в простом поле GF(p) является обоб-алгоритм стандартов. Одним из наиболее алг щенный метод решета числового эффективных поля [8]. дискретного логарифмирования в простомкак поле GF Сложность данного метода оценивается метод решета числового поля [8]. Сложность данног 1 2     64  O exp  3  O1 ln p q 3 ln ln p q 3   ,      9   , где O 1  1 , а  Для вычисления задачи дискретного логарифм → ∞ [9]. где (1) → 1 , а pкривой O эллиптической воспользуемся методом p-Полл Для вычисления задачи дискретного логарифO p оценивается [10]. мирования в как группе точек эллиптической кривой В (табл. 2) приведена оценка сложность вычислительной воспользуемся методом p-Полларда, дискретного логарифмирования в простом поле и в гр которого оценивается как O p [10]. кривой.







 

( )

Таблица 2. Сложность взлома российских стандартов ЭЦП Сложность взлома российских стан Порядок числа p и порядок q группы точек эллиптической кривой 128 256 512 1024

ГОСТ Р 34.10-2001,

ГОСТ Р 34.10-1994

Порядок числа p и порядок q ГОСТ Р 34.10-2012 группы точек эллиптической ГОСТ Р 34.10-1994 кривой 128 ૚ǡ ૜૞ ൈ ૚૙૚૙ 256

૚ǡ ૚૛ ൈ ૚૙૚૝

2048

Вопросы кибербезопасности №1(19) - 2017

Анализ и сравнение алгоритмов электронной цифровой подписи ... В (табл. 2) приведена оценка вычислительной сложности решения задач дискретного логарифмирования в простом поле и в группе точек эллиптической кривой. Так, при 512-разрядных p и q, сложность взлома нового стандарта составляет 1,16 × 1077, а старого – 1,76 × 1019. Заключение Согласно оценкам, полученным при анализе, можно сделать вывод, что схемы ЭЦП ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-2012 являются более стойкими по сравнению со схемой ЭЦП ГОСТ Р 34.10-1994. Использование аппарата эллиптических кривых позволяет в значительной степени повысить стойкость алгоритма ЭЦП при одинаковом порядке p и q. Это означает, что в новом российском стандарте ЭЦП можно использовать меньшую длину ключа, чем в старом, без понижения безопасности всей системы. В свою очередь, новый ГОСТ Р 34.10-2012 является более

функциональным по сравнению с ГОСТ Р 34.102001 благодаря возможности применения разных порядков q циклической подгруппы группы точек эллиптической кривой. Но, не смотря на все преимущества в стойкости, новый стандарт требует в несколько раз больше времени и для формирования хэш-функции и для процесса формирования самой подписи. Эту проблему можно решить попыткой подбора стойкой и в то же время доступной для использования в реальных криптографических приложениях эллиптической кривой. Данный вопрос показывает актуальность дальнейших исследований и разработок в области ЭЦП и асимметричной криптографии в целом. Во многом время и производительность зависят от устройств, на которых они выполняются. В связи с этим так же актуальной задачей для будущих исследований является оптимизация реализаций библиотек данных алгоритмов под существующие языки программирования.

Рецензент: Бондаренко Игорь Борисович, кандидат технических наук, доцент Университета ИТМО, igorlitmo@rambler.ru Литература 1.

Сабанов А.Г. Аутентификация при электронном обмене документами // Доклады Том. гос. ун-та систем управления и радиоэлектроники. 2011. № 2(24). С. 263-266. 2. Елисеев Н.И. Анализ и синтез перспективной системы электронного документооборота Министерства обороны Российской Федерации // Наукоемкие технологии в космических исследованиях Земли. 2016. Т. 8. № 2. С. 76-84. 3. Пискова А.В. Разработка алгоритма электронной цифровой подписи, основанного на задачах факторизации и дискретного логарифмирования на эллиптических кривых // Сборник трудов IV Всероссийского конгресса молодых ученых – СПб: Университет ИТМО, 2015. С. 322-326. 4. Функции хэширования: классификация, характеристика и сравнительный анализ [Электронный ресурс] / В.Н. Вервейко, А.И. Пушкарев, Т.В. Цепурит. Режим доступа: http://bezopasnik.org/article/book/94.pdf (дата обращения 06.02.2015). 5. Вихман В.В., Панков М.А. Исследование криптостойкости алгоритмов многоитерационного хэширования в подсистемах аутентификации МИС // Актуальные проблемы электронного приборостроения (АПЭП–2014): труды 12 международной конференции. Новосибирск: Изд-во НГТУ. 2014. Т. 2. С. 193–199. 6. Ferguson N., Lucks S., Schneier B., Whiting D., Bellare M., Kohno T., Callas J., Walker J. The Skein Hash Function Family. Submisson to NIST. 2008. Available at: http://www.skem-hash.info/sites/default/files/skein1.1.pdf, accessed 27.11.2016. 7. Ключарев П.Г. Криптографические хэш-функции, основанные на обобщённых клеточных автоматах // Наука и образование. Электронное научно-техническое издание. 2013. №1. DOI: 10.7463/0113.0534640 8. Вихман В.В., Панков М.А. Повышение стойкости хеш-функций в информационных системах на основе алгоритма многоитерационного хеширования с несколькими модификаторами // Труды СПИИРАН. 2014. Вып. 5(36). 9. Горбенко, И.Д. Методы распараллеливания алгоритма Полларда решения задачи дискретного логарифмирования для систем с общей памятью / И.Д. Горбенко, Е.Г. Качко, К.А. Погребняк // Высокопродуктивные вычисления (HPC-UA’2012): труды международной научной конференции (Киев, 8-10 октября, 2012 г.). - Киев: НАНУ, 2012. -С. 152-157. 10. Качко Е.Г., Погребняк К.А. Параллельный метод Полларда решения задачи дискретного логарифмирования в группе точек эллиптической кривой // Параллельные вычислительные технологии (ПАВТ–2012): труды международной научной конференции (Новосибирск, 26–30 марта, 2012 г.). Челябинск: Издательский центр ЮУрГУ, 2012. – С. 723.

Вопросы кибербезопасности №1(19) - 2017

Методы и средства кодирования информации

УДК 004.056

ANALYSIS AND COMPARISON OF ELECTRONIC DIGITAL SIGNATURE ALGORITHMS GOST R 34.10-1994, GOST R 34.10-2001 AND GOST R 34.10-2012 Komarova A.V.4, Menshchikov A.A.5, Korobeynikov A.G.6 Abstract. Nowadays information systems that use asymmetric cryptography or public key cryptography are widely spread all over the world. The reason of this fact is a rather high reliability of existing algorithms. In the direction of information security we can distinguish the following important tasks: ensuring the availability of information, ensuring the authenticity of information,ensuring the confidentiality of information. All these problems can be solved with the help of electronic digital signature (hereinafter-EDS). It ensures the integrity of information, its confidentiality, authenticity and the authenticity of authorship. EDS is widely used in various commercial and governmental organizations which in their activities are obliged to follow the state standard GOST R 34.10–2012 «Information technology. Cryptographic protection of information. The processes of forming and checking electronic digital signature». In view of the above a comparative analysis of the GOST R 34.10-2012 with its predecessors the GOST R 34.10–2001 and the GOST R 34.10-1994 was performed for finding its relevance, reliability and complexity. According to these the estimation of speed and performance procedures generation and signature verification were made. Also the assessments of the hacking complexity of the Russian state standards were realized. The approximate durations of forced entry were calculated and the advantage of the new GOST R 34.10-2012 before its predecessors was justified . Keywords: digital signature, hash function, discrete logarithm, elliptic curve, resistance, asymmetric cryptography, GOST R 34.10-2012. References 1. Sabanov A.G. Autentifikacija pri jelektronnom obmene dokumentami // Doklady Tom. gos. un-ta sistem upravlenija i radiojelektroniki [The Reports Tom. state University of control systems and Radioelectronics]. - 2011. - № 2(24). - S. 263-266. 2. Eliseev N.I. Analiz i sintez perspektivnoj sistemy jelektronnogo dokumentooborota Ministerstva oborony Rossijskoj Federacii // Naukoemkie tehnologii v kosmicheskih issledovanijah Zemli [Science intensive technologies in space research Earth]. 2016. Т. 8. № 2. С. 76-84. 3. Piskova A.V. Razrabotka algoritma ehlektronnoj cifrovoj podpisi, osnovannogo na zadachah faktorizacii i diskretnogo logarifmirovaniya na ehllipticheskih krivyh // Sbornik trudov IV Vserossijskogo kongressa molodyh uchenyh [Proceedings of the IV all-Russian Congress of young scientists] – SPb: ITMO university, 2015. – S. 322-326. 4. Funkcii hehshirovaniya: klassifikaciya, harakteristika i sravnitel’nyj analiz [Elektronnyj resurs]/ V.N. Vervejko, A.I. Pushkarev, T.V. Cepurit. Rezhim dostupa: http://bezopasnik.org/article/book/94.pdf (data obrashcheniya 06.02.2015). 5. Vihman V.V., Pankov M.A. Issledovanie kriptostojkosti algoritmov mnogoiteracionnogo hjeshirovanija v podsistemah autentifikacii MIS // Aktual’nye problemy jelektronnogo priborostroenija (APJeP–2014) [Actual problems of electronic instrument making (of APEP–2014)]: tr. 12 mezhdunar. konf.Novosibirsk : Izd-vo NGTU. 2014. T. 2. S. 193–199. 6. Ferguson N., Lucks S., Schneier B., Whiting D., Bellare M., Kohno T., Callas J., Walker J. The Skein Hash Function Family. Submisson to NIST. 2008. Available at: http://www.skem-hash.info/sites/default/files/skein1.1.pdf, accessed 27.11.2016. 7. Kljucharjov P.G. Kriptograficheskie hjesh-funkcii, osnovannye na obobshhennyh kletochnyh avtomatah // Nauka i obrazovanie. MGTU im. N.Je. Baumana [Science and education. MGTU im. N. Uh. Bauman]. Elektron. zhurn. 2013. №1. DOI: 10.7463/0113.0534640 8. Vihman V.V., Pankov M.A. Povyshenie stojkosti hesh-funkcij v informacionnyh sistemah na osnove algoritma mnogoiteracionnogo heshirovaniya s neskol’kimi modifikatorami // Trudy SPIIRAN. [SPIIRAS Proceedings]. - 2014. Issue 5(36). ISSN 2078-9181 9. Gorbenko, I.D. Metody rasparallelivanija algoritma Pollarda reshenija zadachi diskretnogo logarifmirovanija dlja sistem s obshhej pamjat’ju / I.D. Gorbenko, E.G. Kachko, K.A. Pogrebnjak // Vysokoproduktivnye vychislenija (HPC-UA’2012): trudy mezhdunarodnoj nauchnoj konferencii (Kiev, 8-10 oktjabrja, 2012 g.) [Highly productive computing (HPC-UA’2012): proceedings of international scientific conference (Kyiv, 8-10 October, 2012).]- Kiev: NANU, 2012. -S. 152-157. 10. Kachko E.G., Pogrebnjak K.A. Parallel’nyj metod Pollarda reshenija zadachi diskretnogo logarifmirovanija v gruppe tochek jellipticheskoj krivoj // Parallel’nye vychislitel’nye tehnologii (PAVT–2012): trudy mezhdunarodnoj nauchnoj konferencii ‚ (Novosibirsk, 26–30 marta, 2012 g.) [Parallel computational technologies (PCT –2012): proceedings of international scientific conference (Novosibirsk, March 26-30, 2012)]. Cheljabinsk: Izdatel’skij centr JuUrGU, 2012. – S. 723.

4 Antonina Komarova, postgraduate student, St. Petersburg National Research University of Information Technologies, Mechanics and Optics, St. Petersburg, piter-ton@mail.ru 5 Aleksandr Menshchikov, postgraduate student, St. Petersburg National Research University of Information Technologies, Mechanics and Optics, St. Petersburg, menshikov@corp.ifmo.ru 6 Anatoly Korobeynikov, Dr.Sc., Professor, St. Petersburg National Research University of Information Technologies, Mechanics and Optics, St. Petersburg, korobeynikov_a_g@mail.ru

Вопросы кибербезопасности №1(19) - 2017

РАСПОЗНАВАНИЕ ДИСКРЕТНОГО СИГНАЛА В АДДИТИВНОМ ШУМЕ ДЛЯ ДВУХ КАНАЛОВ ПЕРЕДАЧИ ИНФОРМАЦИИ Троицкий И.И.1, Якубов Р.Ж.2 Предлагаемый метод основан на корреляционной связи шумов в каналах передачи данных. Для компенсации шума решается задача выбора линейной функции взаимосвязи шумов и определяется ее параметр на основе максимума отношения сигнал/шум. Дискретный полезный сигнал содержится лишь в одном из каналов. Наличие посторонних шумов, возникающих при передаче информации, моделируется путем ввода линейных комбинаций нормальных случайных величин, связанных статистически. Это позволяет определить теоретическую (т.е. верхнюю границу) вероятности распознавания сигнала, путем аналитического выделения соотношения сигнал/шум. В работе определены отношения сигнал/ шум для каналов, представлена модель результирующего канала, представляющего собой линейную комбинацию исходных, с параметрами, позволяющими достичь максимального отношения сигнал/ шум. Эксперименты проводились с использованием метода k ближайших соседей, имеющего ряд преимуществ, таких как простота реализации, высокая эффективность, возможность варьирования количества учитываемых соседей при классификации. В работе графически представлено влияние изменения некоторых параметров математической модели на вероятность распознавания сигнала, а также дана сравнительная характеристика распознавания сигнала при наличии двух каналов передачи информации, результирующего канала с оптимально подобранным коэффициентом компенсации шума и интеграла вероятности, позволяющего определить теоретическую вероятность распознавания. Представленная работа позволяет провести анализ представленной модели передачи данных с точки зрения влияния взаимосвязи каналов на распознавание сигнала и наглядно убедиться в эффективности работы метода k ближайших соседей. Ключевые слова: компенсация шума, отношение сигнал/шум, интеграл вероятности распознавания, коэффициент корреляции, компьютерное моделирование, статистика, полезный сигнал, канал передачи данных.

DOI: 10.21581/2311-3456-2017-1-57-62

Введение Распознавание дискретного сигнала в аддитивном шуме может решаться различными методами: параметрическими, непараметрическими (в т.ч. методами потенциальных функций и k ближайших соседей), с использованием быстрого преобразования Фурье, вейвлет-преобразований, методы с использованием второго канала передачи информации: корреляционные, адаптивной фильтрации и т.д. [1-9]. В отличие от перечисленных методов распознавания сигналов по двум каналам передачи информации, в данной работе второй канал используется для учета статистической взаимосвязи шумов с первым. Будем считать, что во втором канале содержится только шум, а в первом полезный сигнал и аддитивный шум. Если второй канал передачи информации отсутствует, то в ряде случаев его можно искусственно ввести. Математическое представление исследуемой модели В связи с простотой реализации и наличием 1 2

опыта проведенных исследований [10] для решения задачи классификации полученных данных в работе был использован метод ближайших соседей [11]. Данный метод является одним из наиболее простых алгоритмов классификации. Классифицируемому объекту присваивается тот класс (i=1 ...l, где l – количество классов), к которому относится большинство из ближайших элементов обучающей выборки. Оценка успешного распознавания бинарного сигнала в канале представляется в виде величины , где количество успешно определенных классов сообщения, – общая длина выборки. Будем считать, что метод k ближайших соседей работает эффективно, если 0, где теоретическая вероятность правильного распознавания сигнала [11,12]:

, где

(1)

– соотношение сигнал/шум для каналов

Троицкий Игорь Иванович, кандидат технических наук, доцент, МГТУ им. Н.Э. Баумана, Москва, iitroickiy@mail.ru Якубов Рустам Жафарович, МГТУ им. Н.Э. Баумана, Москва, yakubov_rustam@inbox.ru

Вопросы кибербезопасности №1(19) - 2017

Теоретические основы информатики

УДК 004.056:519.237

передачи данных. Выражение (1) верно для дискретного сигнала, принимающего два значения. Исходная модель:

пределенных случайных величин имеет нормальное распределение [14], для компенсации шума целесообразно рассматривать случайную величину : , (5)

где , ,

(2)

где – неизвестный параметр. Определим дисперсию и условное математическое ожидание случайной величины :

– случайные величины,

- шум в первом канале, - шум во втором канале, и статистически взаимосвязаны, их коэффициент корреляции; – общий шум в каналах, h – константа; и – случайные величины, независимые от и , и от друг друга; и – естественные шумы, присутствующие в каналах передачи данных, – шум, появляющийся в каналах передачи данных при определенных технических условиях; - дискретный сигнал; – нормальный закон распределения . с параметрами Условные плотности распределения вероятностей

(3)

Для упрощения расчетов введем следующие обозначения: (4) , Так как линейная комбинация нормально рас-

(6)

Определим

(7)

имеют

нормальный закон распределения с соответствующими параметрами и . Данная модель используется для определения вероятности распознавания сигнала методом k ближайших соседей. Отметим, что модель, рассматриваемая в работе [12], отличалась отсутствием шума . Определение теоретической вероятности распознавания сигнала предлагается проводить с помощью механизма компенсации шума [12, 13]. Механизм компенсации шума В основе механизма компенсации шума лежит решение задачи выбора функции взаимосвязи центрированных случайных величин и , где

(8)

Поскольку

(9)

(10) можно представить в виде:

(11) Следовательно, отношение сигнал/шум:

(12)

является функцией от . На основании работы [12], принимает наибольшее значение при , следовательно, можно представить в следующем виде:

�

��

�σ�� σ��

(13)

�

� ∙ σ� � σ� � � ⋅ � ⋅ � σ�� ⋅ �hВопросы � кибербезопасности � �� ⋅ σ � ⋅ σ� � � σ � №1(19) - 2017 � � σ� � h ∙ σ��

�

Подставив выражение (14) в формулу (1), м

� � σ�� 13) �� σ�� ( (( � � � � � � � � � � �� σ� ⋅ �h �∙ σ� � σ� � � ⋅ � ⋅ �� ⋅ σ� ⋅�σ� � � σ� ⋅ σ� ⋅ �� ( � 14) � � � � σ� � � �� 13) � � � � ∙ σ� σ � �� 13) ( ( �� σ �� σ� �� σ� � hдискретного � � � � � Распознавание сигнала в аддитивном шуме � � σ � σ � � � 13) � � �� ⋅ �h � � ∙�σ 13) ... �σ�� σ�� σ� � � ⋅ � ⋅�� ⋅ σ� ⋅ σ� � � σ� ⋅ σ� ⋅ �� 14) � � выражение (14) в формулу � можно вычислить теоретическую � �σ�� h� (1), �� ∙ σ � �Подставив � � (( � � � σ�� ⋅ �h �� ∙ σ� � вероятность распознавания сигнала. � � � σ � � ⋅⋅ � ⋅⋅ �� ⋅⋅ σ ⋅⋅ σ �� σ ⋅⋅ σ ⋅⋅ �� (14) �� ⋅ �h� σ ∙ σ � σ � � � σ σ � σ σ �� ( � � � � � � � �� вычислить Подставив выражение можно теоретическую14) ⋅вσ формулу �� h� ∙∙ σ σ� � σ �� ⋅ � ⋅⋅�(14) �� для ��σ(1), ∞ и Проанализируем поведение �� ⋅⋅σ� 14) ( � σσ�� ⋅⋅ �h ⋅ ��σдвух σ��случаев: σ� ��⋅ ⋅σσσ��⋅ → ⋅ �� σ �� → �0. � � � σ�� ⋅ � σ �� ∙ σ� 14) � �� h � � вероятность распознавания сигнала. σ � h ∙ σ � � 14) � σσ�� hh��∙ ∙σσ�� для случаев: σ → ∞ и σ → 0. Проанализируем поведение � �в � � двух � ⋅ � Подставив выражение (14) формулу (1), можно вычислить теоретическую � � � Подставив выражение (14) вв формулу формулу(1), (1),можно можновычислить вычислитьтеоретическую теоретическую � lim � Подставив выражение сигнала. (14) � � распознавания выражение (14) в формулу (1), можно вычислить теоретическую �вероятность →� Подставив (15) рас� вероятность распознавания сигнала. Подставив выражение (14) формулу можно вычислить теоретическую вероятность � ∙ σ� � σ� вероятность распознавания � �в⋅сигнала. ��⋅ ⋅�� ⋅ для σ(1), �hраспознавания � �⋅σ � � Проанализируем поведение двух случаев: σ → ∞ и σ → 0. вероятность сигнала. � � � � limсигнала. �� Проанализируем длядвух двух случаев: → ∞ и σ → 0.и Проанализируем поведение �поведение �� для познавания для двух случаев: . σσ � � �→ ∞ и σ� �→ 0. �Проанализируем (15) � →� � �поведение � двухслучаев: Проанализируем поведение � для случаев: σ → ∞ и σ → 0. � � � � � �� h ∙ σ� � �σ�⋅ �� ⋅ � ⋅ �� ⋅ σ� ⋅ σ� lim � �⋅� �� →� � lim � � � � (16)(15) σ�� ⋅ σ�� ⋅ �� ⋅⋅�� σ� �� lim � � lim � � � →� � � � � →� � �� ∙ σ� ��σ�� ⋅ � ⋅ � �⋅ σ ⋅ σ lim �� (15)(15) �� →�� (15) lim � �h � � � � � �� σ�σ � � σ � � ⋅ � ⋅ � ⋅ σ ⋅ σ �� →� �� →� �h (15) σ � � � ⋅ � ⋅ � ⋅ σ ⋅ σ � � � �� h�� ∙∙ σ � � � � �� (16) σ� � ⋅ σ��⋅ �� σ� �⋅ �σ � �� ∙σ �h � �� σ � � �� ⋅ � ⋅ �� ⋅ σ�� : Определим характерσзависимости �� от изменения σ� . Продифференцируем � � lim � � � � � lim � � �� lim � →� � �lim �� σ�� ⋅ σ�� ⋅ �� σ� �� →� →�� (16) �� (16) σ� ⋅ σ�� ⋅ ��характер (16) � �� от изменения σ . Продифференцируем(16) �� зависимости σσ�� →� : Определим � � � � � � � � �� σ� ⋅ σ� ⋅ �� (16) � σ � � � � σ � � �� σ�� σ� � σ� �� Определим � �� от изменения характер зависимости � .. Продифференцируем � � � � от σ�σ .��Продифференцируем :�� :: Определим характер зависимости � характер зависимости � изменения σ Продифференцируем � зависимости �отизменения Определим характер от изменения : � � � �Определим � Продифференцируем � � � �� ⋅� ⋅ σ� ⋅ �σ� ⋅ σхарактер �� ⋅ σ� � ⋅ σ�от⋅ �h ∙ σ� � σ�σ�. Продифференцируем � ⋅ � ⋅ �� ⋅ σ� ⋅ σ� � �� (17) �: � � ⋅ �� зависимости �� σОпределим изменения � � � �� ⋅ �� ⋅ σ ⋅ �σ� ⋅ σ�� ⋅ �� ⋅ σ� ⋅ σ�� ⋅ �h� ∙ σ�� σ�� ⋅ � ⋅ �� ⋅ σ� ⋅ σ� � (17) � � �� σ� � h� ∙ σ� �⋅ ��σ�� ⋅ �h ∙ σ� � σ� � � ⋅ � ⋅ �� ⋅ σ� ⋅ σ� � � σ� ⋅ σ� ⋅ �� (17) �� σ �σ�� σ �� hзависит ⋅ ��σ ∙ σ��σ⋅�σ�⋅�σ�⋅��⋅ ⋅�h ��∙ ⋅σ�σ��⋅ σσ � � σ⋅� �⋅ σ⋅ �� ⋅ ��⋅ σ � � �� (17) � �σ�� ⋅ ��Знак � от � знака �� ∙⋅σσ�� σ� � � ⋅� � �� числителя: ⋅⋅ �σ � ��h �� ⋅⋅ �� ⋅⋅σσ��⋅⋅σσ��⋅ ⋅�h ∙ ∙σσ� ��σσ ⋅ �⋅ �⋅ �⋅�� ⋅ σ⋅ �σ⋅��σ⋅⋅�� σ � �� ⋅⋅ �� ⋅⋅⋅ σ σσ�� σ �� h � � σ�� (17) � ⋅ σ� (17) � � �� ⋅ � ⋅ σ ⋅ �σ ⋅ σ ⋅ �� ⋅ σ ⋅ σ ⋅ �h ∙ σ � σ � � ⋅ � ⋅ � ⋅ σ ⋅ σ �� (17) � � Знак� � ��знака числителя: � � � �� зависит от � � числителя: � � �� знака � от �� зависит � �Знак � � � �� ⋅� � � ⋅��σ� � �σ ⋅⋅⋅⋅σ�� ⋅⋅ σ σσ�σ �h⋅��σ∙ σ � σ � ⋅⋅�� ⋅⋅σσ ⋅⋅σ�σ �� σ ⋅⋅� �� σ � � �� ⋅ h h�� ∙∙⋅ σ σ � � ⋅ � � ⋅ σ⋅⋅� ⋅0�� σ �� ⋅⋅ � �� σσ�� h� σσ�� ⋅⋅ � σ � σ � � � σ σ � σ σ �� σ � � �� ⋅ �h� ∙∙�σ � � � �� h ∙�� σ� ⋅ � �тн�шен�е � ⋅ �h ∙ σ� ��σ уменьшается. � � ⋅ � ⋅ �� ⋅ σ� ⋅ σ� � � σ� ⋅ σ� ⋅� �� При �σ�увеличении σ � � � ��σ �� ⋅ σ� ⋅� � от � знака �знака ⋅ � ⋅ числителя: σчислителя: �� ⋅��зависит � ⋅ σ� � �σ� ⋅ σ� ⋅ �� ⋅ σ� ⋅ �� σ� � � 0 � Знак Знак от знака числителя: Знак �� отношение уменьшается. При увеличении �� зависит �� При � зависит � � уменьшается. �� тн�шен�е � изнака lim� числителя: Сравним lim� →� � Знакувеличении σ от →� �� .� Сравним

��

и�

.�

��

�� ⋅ σ ⋅ � � � ⋅ � ⋅ σ ⋅ σ�� σ ��σσ 0 0�� σ ⋅⋅σ�σ �� ⋅⋅и⋅σ ��⋅� �� . ��⋅ ⋅⋅�� ⋅⋅⋅ � ��Сравним ⋅ σ�� ⋅ � �lim � �⋅ ��→�⋅⋅ σ σ� σ��lim � σ ��⋅ ⋅⋅σσ σ� ��⋅ ⋅⋅�� σ →� � � �� σ� � �� 0 � � � � � При увеличении σ увеличении σ уменьшается. σ� ⋅ � �� тн�шен�е � � ⋅ � ⋅ σ� ⋅ σ� �� σ� ⋅ σ� ⋅ ��⟹ ⋅ σ� ⋅ �� σ� � � 0 � � ⋅� ⋅∨ �тн�шен�е � уменьшается. При При увеличении σ � �тн�шен�е � � уменьшается. � � � � σПри � �� h �∙ �тн�шен�е � σ� � σ� � � ⋅ �� уменьшается. ⋅ ⋅�� ⋅ σ� ⋅ σ� � ��увеличении σ ⟹ � � � � и lim � � Сравним lim lim∨�� →� Сравним и lim � � � →� ��. .. � � (18) � �� →� � Сравним lim и� lim � ��→� �⋅� ⋅�� ⋅�� →� � � →� � � � � � � � � � � � (18) �� σ � σ∨�0�⟹ �� ⋅ �. ⋅ �� ⋅ σ� ⋅ σ� �∙�σи � �� lim σСравним ⋅ �� lim��h � �� →� � →� � � �� ⋅�� (18) � � �⋅� ⋅� ⋅� � � � ⋅⋅ � �� ∨ �� ⟹ �� 0 ⟹ lim � ⟹lim�� →�⟹ �� 0 � � � →� �. ∨� ⟹ � ∨ � � �� ⋅σσ��⋅∨ � ⋅ � � �� σ � � ∙ σ � σ � � ⋅ � ⋅ � ⋅ σ ⋅ σ � �h � ∨ ⟹ �� ⋅ σ �� σ � � σ�� ⋅ � ⋅ �� ⋅⋅ σ �h � ∙∙ σ �� от зависимость отношения � � � σ� � � ⋅ � ⋅ �� σ�� На � �� σ��продемонстрирована �� h �� σ �� . ��⋅ σ � �� (рис.1) ⋅ σ�� 0 �зависимость ⟹ lim��→� lim � � �� →� � (18) � На (рис.1) продемонстрирована отношения от среднеквадратичного отклонения σ � � � � ∙ σ � σ � � ⋅ � ⋅ � ⋅ σ ⋅ σ �⋅� ⋅� ⋅� (18) � � � � �h � � � �� среднеквадратичного отклонения шума σ ( � � � lim ): � � lim � � � � � � �� ⋅� (18) � �� →� � �� →� � � ⋅� � �� ⋅� �� ∨ 0 ⟹ � � σ ⋅ � � �⋅� ⋅� ⋅� � � � � � �� (рис.1) от На продемонстрирована зависимость отношения � ⋅ � � ∨ 0 ⟹ шума ( σ ): � � � � � (18) � σ� ⋅ �� ⋅�� ⋅��⋅�� ∨ 0 ⟹ � � � � �� среднеквадратичного отклонения шума σ ( � � � lim ): � � lim � � σ�� ⋅ � � � ∨ 0 ⟹ � � →� � �� →� � � � � � �� ⋅ �� →� � � �� 00 ⟹ lim lim �lim � � �� →� �� . . � � � � →� � ⋅ σσ� � ⟹ � lim �� 0 ⟹ lim � lim � . � →� � � →� �� ⋅ σ� � � �� →� � �� от �� lim��зависимость �� . На� �� ⋅ σ(рис.1) (рис.1) отношения � �� 0 ⟹ lim��→� � � � � � � �продемонстрирована от На продемонстрирована зависимость отношения � � →� �� от На (рис.1) продемонстрирована зависимость отношения � �� lim� →� � �� ): среднеквадратичного отклонения шума σ� (� � lim�� →� � � � � � от На (рис.1) продемонстрирована зависимость отношения � среднеквадратичного отклонения шума σ � � lim � � ( � � � lim ): � � � � � →� � � →� � среднеквадратичного отклонения шума σ� (� � lim�� →� �� lim�� →� �� ): �� lim� →� � �� ): среднеквадратичного отклонения шума σ� (� � lim��→� � �

3 3 3 3 3 Рис.1. Зависимость отношения сигнал/шум от 3 Вопросы кибербезопасности №1(19) - 2017

Теоретические основы информатики

УДК 004.056:519.237

Рис.2. Исследование влияния общего шума на распознавание сигнала в каналах X и Y методом k ближайших соседей Эксперименты Для исследования метода k ближайших соседей и механизма компенсации шума был проведен ряд экспериментов, позволяющих выявить влияние различных факторов на распознавание сигналов. Эксперименты проводились на основе моделей (2) и (5). Целью экспериментов являлось выявление зависимости вероятности распознавания передаваемого дискретного сигнала от изменения коэффициента корреляции шумов и и коэффициента h. При исследовании коэффициент корреляции и принимал значения от -1 до 1 с шагом 0.1. Было проанализировано изменение вероятности распознавания дискретного сигнала при варьировании коэффициента h. Средне-

квадратическое отклонение величины значительно больше среднеквадратичного отклонения и . Учитывая результаты, достигнутые в ходе работы [10], количество учитываемых ближайших соседей k = 13. Данное значение позволяет достичь оптимального соотношения качества распознавания сигнала и вычислительных затрат. Для наглядности графически представлены теоретические результаты распознавания (значение ), а также данные, полученные при использовании метода k ближайших соседей для (5), характеризуемой наиболее высоким соотношением сигнал/шум (что было доказано выше). Исходя из полученных результатов, представленных на (рис.2), можно определить, что наличие в каналах передачи данных шума отрицатель-

Рис.3. Сравнительная характеристика распознавания сигнала в канале Z методом k ближайших соседей и 60

Вопросы кибербезопасности №1(19) - 2017

Распознавание дискретного сигнала в аддитивном шуме ...

Рис.4. Сравнительная характеристика распознавания сигнала методом k ближайших соседей для каналов X,Y и Z но сказывается на распознавании дискретного сигнала. Наилучших результатов распознавания можно достичь при величине коэффициента h=1 и коэффициенте корреляции . При вероятность распознавания сигнала усредняется для различных значений коэффициента корреляции, и приближается к 0.8. На (рис.3) приведены результаты работы алгоритма k ближайших соседей для модели (5), а также теоретическая вероятность распознавания сигнала для соответствующих параметров . Как видно из графиков, метод k ближайших соседей работает наилучшим образом при приближении коэффициента корреляции к . На (рис.4) представлены данные, позволяющие сравнить вероятность распознавания с использованием метода k ближайших соседей в случае двух каналов X,Y и одного канала, представляемого случайной величиной Z.

Выводы В ходе данной работы с использованием имитационного моделирования и математической статистики были исследованы метод k ближайших соседей и модель каналов передачи данных (2). Полученные результаты позволяют дать высокую оценку эффективности методу k ближайших соседей, как методу распознавания дискретного сигнала, при его передаче по каналам связи с присутствующими шумами. Использование данного метода позволило достичь высокой, приближенной к верхней, «теоретической», границе, вероятности распознавания сигнала P. По результатам эксперимента можно говорить о значительном влиянии коэффициента корреляции между шумами на распознавание сигнала. Кроме того, шум в каналах значительно снижает P, при этом его влияние можно контролировать за счет варьирования коэффициента h.

Рецензент: Басараб Михаил Алексеевич, доктор физико-математических наук, профессор кафедры «Информационная безопасность» МГТУ им. Н.Э. Баумана, bmic@mail.ru Литература 1. 2. 3. 4. 5.

Горелик А.Л., Скрыпник В.А. Методы распознавания. М.: Высшая школа, 1989. 232 с. Даджион Д., Мерсеро Р. Цифровая обработка многомерных сигналов. Пер. с англ. М.: Мир, 1988. 488 с. Малла С. Вейвлеты в обработке сигналов. Пер. с англ. М.: Мир, 2005. 671 с.: Афонский А.А., Дьяконов В.П. Цифровые анализаторы спектра, сигналов и логики. М.: Солон-Пресс, 2009. 247 с. Сергиенко А.Б. Цифровая обработка сигналов. 2-е изд. СПб: Питер, 2002. 606 с.

Вопросы кибербезопасности №1(19) - 2017

Теоретические основы информатики 6. 7. 8. 9. 10. 11. 12. 13. 14.

УДК 004.056:519.237

Шахтарин Б.И. Случайные процессы в радиотехнике: учебное пособие для вузов. Т.1. Линейные преобразования. М.: Горячая линияТелеком, 2010. 518 с. Тихонов В.И., Шахтарин Б.И., Сизых В.В. Случайные процессы. Примеры и задачи. Том 5 - Оценка сигналов, их параметров и спектров. Основы теории информации: учебное пособие для вузов. 2-е изд., стереотип. М.: Горячая линия-Телеком, 2012. 400 с. Перов А.И. Статистическая теория радиотехнических систем. М.: Радиотехника, 2003. 400 с. Джиган В.И. Адаптивная фильтрация сигналов. Теория и алгоритмы. М: Техносфера, 2013. 527 с. Якубов Р.Ж. Двумерное распознавание сигнала на основе метода k ближайших соседей // Молодежный научно-технический вестник. 2015. № 7. С. 40. Дуда Р., Харт П. Распознавание образов и анализ сцен. М.: Мир, 1976. 509 с. Троицкий И.И., Басараб М.А., Матвеев В.А. Использование двух каналов передачи информации для решения задачи распознавания дискретного сигнала в аддитивном шуме // Вестник Московского государственного технического университета им. Н.Э. Баумана. Серия: Приборостроение. 2015. № 4 (103). С. 106-112. Троицкий И.И., Матвеев В.А. К вопросу об использовании двух каналов передачи информации для решения задачи распознавания дискретного сигнала в аддитивном шуме // Теоретические и прикладные аспекты современной науки. 2014. № 2-1. С. 103-105. Левин Б.Р. Теоретические основы статистической радиотехники. 3-е изд., перераб. и доп. М.: Радио и связь, 1989. 656 с.

RECOGNITION OF A DISCRETE SIGNAL IN THE ADDITIVE NOISE FOR TWO DATA TRANSMISSION CHANNELS I. Troitskii3, R.Yakubov4 Abstract. The method is based on the correlation of noises in the data transmission channels. To compensate for the noise, the problem of selecting a linear function for the noise interaction is solved and its parameter is defined based on the signal/noise maximum. A discrete useful signal is contained in only one of the channels. Unwanted sounds that occur during transmission of the information are modelled by the input of linear combinations of normal random variables that are statistically related. This allows for defining theoretical (i.e. upper) limit of the signal recognition probability by analytical definition of the signal/noise ratio. The work defines signal/noise ratio for the channels, provides a model of the resulting channel, which is a linear combination of references, with parameters that allow achieving maximum signal/ noise ratio. The experiments were held using k-nearest neighbour algorithm, which has certain advantages, such as simplicity of implementation, high efficiency, and possibility to vary the number of neighbours taken into account during classification. The work graphically represents the influence of the change in certain parameters of a mathematical model on the probability of signal recognition, and compares the signal recognition, when there are two data transmission channels, resulting channel with optimum noise compensation factor and probability integral, which allows defining theoretical probability of recognition. This work allows analysing the submitted data transmission model from the point of view of influence of the channel interconnection on the signal recognition and seeing visual proof of k-nearest neighbour algorithm efficacy. Keywords: signal recognition, signal-to-noise ratio, integral of probability of recognition, correlation coefficient, computer modeling, statistics

14.

References Gorelik A.L., Skrypnik V.A. Metody raspoznavaniya. M.: Vysshaya shkola, 1989. 232 P. Dadzhion D., Mersero R. Tsifrovaya obrabotka mnogomernykh signalov. Per. s angl. M.: Mir, 1988. 488 P. Malla S. Veyvlety v obrabotke signalov. Per. s angl. M.: Mir, 2005. 671 P. Afonskiy A.A., D’yakonov V.P. Tsifrovye analizatory spektra, signalov i logiki. M.: Solon-Press, 2009. 247 P. Sergienko A.B. Tsifrovaya obrabotka signalov. 2-e izd. SPb: Piter, 2002. 606 P. Shakhtarin B.I. Sluchaynye protsessy v radiotekhnike: uchebnoe posobie dlya vuzov. T.1. Lineynye preobrazovaniya. M.: Goryachaya liniyaTelekom, 2010. 518 P. Tikhonov V.I., Shakhtarin B.I., Sizykh V.V. Sluchaynye protsessy. Primery i zadachi. Tom 5 - Otsenka signalov, ikh parametrov i spektrov. Osnovy teorii informatsii: uchebnoe posobie dlya vuzov. 2-e izd., stereotip. M.: Goryachaya liniya-Telekom, 2012. 400 P. Perov A.I. Statisticheskaya teoriya radiotekhnicheskikh sistem. M.: Radiotekhnika, 2003. 400 P. Dzhigan V.I. Adaptivnaya fil’tratsiya signalov. Teoriya i algoritmy. M: Tekhnosfera, 2013. 527 P. Yakubov R.Zh. Dvumernoe raspoznavanie signala na osnove metoda k blizhayshikh sosedey, Molodezhnyy nauchno-tekhnicheskiy vestnik. 2015. No 7, pp. 40. Duda R., Khart P. Raspoznavanie obrazov i analiz stsen. M.: Mir, 1976. 509 P. Troitskiy I.I., Basarab M.A., Matveev V.A. Ispol’zovanie dvukh kanalov peredachi informatsii dlya resheniya zadachi raspoznavaniya diskretnogo signala v additivnom shume, Vestnik Moskovskogo gosudarstvennogo tekhnicheskogo universiteta im. N.E. Baumana. Seriya: Priborostroenie. 2015. No 4 (103), pp. 106-112. Troitskiy I.I., Matveev V.A. K voprosu ob ispol’zovanii dvukh kanalov peredachi informatsii dlya resheniya zadachi raspoznavaniya diskretnogo signala v additivnom shume, Teoreticheskie i prikladnye aspekty sovremennoy nauki. 2014. No 2-1, pp. 103-105. Levin B.R. Teoreticheskie osnovy statisticheskoy radiotekhniki. 3-e izd., pererab. i dop. M.: Radio i svyaz’, 1989. 656 P.

3 4

Igor Troitskii, Ph.D, Associated Professor, Bauman Moscow State Technical University, Moscow, iitroickiy@mail.ru Rustam Yakubov, Bauman Moscow State Technical University, Moscow, yakubov_rustam@inbox.ru

1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13.

Вопросы кибербезопасности №1(19) - 2017

СОВРЕМЕННЫЕ ТРЕБОВАНИЯ К НАУЧНЫМ СТАТЬЯМ Макаренко Г.И.1 Кратко сформированы требования к научным статьям, выдвигаемые различными организациями. Современные научные статьи должны по своей структуре содержать введение в проблему, постановку задачи, предлагаемые решения и полученные результаты, а также обязательно выводы и заключение. Кроме собственно содержания статьи, должна строго соблюдаться форма, чему в западных научных изданиях придается большое значение, непривычное для российского автора, воспитанного на советском опыте. На примере статей настоящего журнала можно видеть, что в некоторых работах аннотаций фактически нет, ключевые слова повторяют термины из названия, в статьях нередко отсутствуют выводы, не выделена научная новизна. В таких случаях статья даже с выдающимися научными результатами не будет принята, например, в Scopus. Задачей настоящей публикации является привлечение внимания к строгому следованию излагаемых правил. Ключевые слова: структура статьи, перечень ВАК, DOI, научный аппарат, требования к аннотации, индекс Хирша, импакт-фактор журнала, плагиат, научная новизна.

DOI: 10.21581/2311-3456-2017-1-63-66 В настоящее время перед научными и высшими учебными заведениями России стоит задача не только подготовки кадров высшей квалификации, но и превращение ВУЗов в полноценные научноисследовательские центры, которые со временем, возможно, заменят институты Академии наук. Не вдаваясь в обсуждение правильности такой концепции, отметим, что уже сегодня ВУЗы и научные организации должны отчитываться по множеству показателей, среди которых научные публикации занимают значительный вес. Кроме того, значимость научных публикаций определяется и формальным статусом научного издания [1-7]. Для издания в журналах из Перечня ВАК публикуемые статьи должны обладать новизной, предлагать новые или развивать значимые научные положения, иметь научный и практический смысл, вызывать интерес научной общественности. Статьи, на которые никто не ссылается, бессмысленно публиковать. Научные статьи должны быть подготовлены в соответствии с некоторыми формальными правилами, иметь научный аппарат. Научным аппаратом статьи являются: название и автор, ключевые слова, аннотация, DOI, список литературы и рецензия. В свою очередь, к каждому элементу научного аппарата статьи есть свои мотивированные требования. Название должно быть точным и кратким, с учетом того, что триада: название, ключевые слова, аннотация представляют собой единую структуру, термины в которой не должны дублировать друг друга. Российские авторы, особенно старшее поколение, часто дают длиннейшие названия

своим статьям, что вызывает потом проблемы с ключевыми словами (см. ниже). Однако следует помнить, что к научным публикациям советского периода предъявлялись другие требования, а аннотации среди авторов считались неким необязательным довеском, почему и стремились авторы в название поместить смысловое содержание статьи. К тому же в научных журналах советского периода всегда не хватало места, статьи нещадно сокращались, что и выработало соответствующее отношение к аппарату статьи как бесполезному поглотителю журнальной площади. Автор. Принято практически во всех международных системах представлять автора фамилией с инициалами и постраничной ссылкой, размещенными под названием статьи, а в постраничной ссылке полные фамилия, имя, отчество, ученая степень и ученое звание, место работы (без сокращений и аббревиатур), занимаемая должность, населенный пункт и страна, E-mail. Электронная почта в России часто не указывается, а между тем в мировой науке статья рассматривается как элемент научного диалога. Но диалог невозможен, если автор не указывает свою почту. Кроме того, необходимо отметить, что перевод фамилии, имени и ученых степеней часто делают, опираясь на рекомендации советских лет. Необходимо сказать, что имя автора по-английски указывают ИМЯ_ФАМИЛИЯ, или ФАМИЛИЯ запятая ИМЯ. Этому есть простое объяснение – например, Дитрих Вернер. Тут трудно понять сразу, где имя, а где фамилия. Так, как выше написано, Дитрих - имя. Если написать Дитрих, Вернер,

1 Макаренко Григорий Иванович, начальник лаборатории развития научной периодики ФБУ «Научный центр правовой информатики при Минюсте России», шеф-редактор научных журналов «Мониторинг правоприменения» и «Вопросы кибербезопасности», г. Москва, monitorlaw@yandex.com

Вопросы кибербезопасности №1(19) - 2017

Методические вопросы и информирование то Дитрих – фамилия, а Вернер имя. Маленькая условность, а как сразу снимается проблема распознавания. Отчество или не указывают, или указывают одну начальную буквы отчества или второго имени. Разумеется, никаких кандидатов наук в международной науке нет – есть доктор философии. Мы придерживаемся стиля Ph.D (in Tech., например) – кандидат технических наук, и Doctor of Technical Sciences – доктор технических наук. Автор, разумеется, знает советский ГОСТ по правилам перевода ученых степеней – не применяйте его, если не хотите выглядеть провинциалами от науки (тем более, что стандарты в современной России только рекомендация, а не обязанность).2 DOI – международный индекс, по которому статья будет найдена, если она помещена хотя бы в одну базу (например, в GrossRef). По сути, DOI — это путь к документу в общем информационно-виртуальном пространстве, для получения необходимой информации. DOI нашего журнала имеет вид: DOI: 10.21581/2311-3456-2016-5-XX-XX где до косой черты – индивидуальный префикс издателя, далее ISSN журнала, далее год издания, номер журнала, а последние четыре символа ХХХХ после верстки заменяются на номера начала и окончания страниц конкретной статьи в этом издании. За DOI надо платить, эта оплата предъявляется издателю после размещения статьи в информационную базу. Журналы без DOI в международные базы не размещают. Ключевые слова. Как упоминалось выше, ключевые слова являются элементом триады, представляющей суть статьи. При длинном названии статьи, как это было принято в советской научной периодике, трудно сформулировать оригинальные ключевые слова, которых должно быть больше 11, так как повторы в триаде недопустимы. Здесь мировая практика выработала понятную логику: название дает грубое представление о сути статьи, ключевые слова расширяют это знание, аннотация дает дополнительное представление. После ознакомления с триадой статьи 2 Достаточно уже того, что при путешествии по Европе на автомобиле мы громко заявляем, что мы деревенщина – у нас на номерах автомобилей страна обозначена как RUS, что на древнегерманских языках обозначало «деревня». Зачем ГАИ выбрало такое обозначение, можно только догадываться. Ведь к тому времени в международных базах и в Интернете наша страна уже имело признанный в мире домен RU, который не несет никакой негативной ассоциации.

читатель уже принимает решение, переводить ли ему статью на родной язык. Без соблюдения этого требования изданию невозможно попасть в международные информационные системы, например, в SCOPUS [4]. Аннотация. Этот элемент статьи является весьма важным, ибо только после ознакомления с нею читатель решает, представляет ли статья для него интерес, что особенно важно для иностранного читателя, как упомянуто выше. Структура аннотации должна соответствовать структуре статьи и не может быть меньше 100 слов (обычно и не больше 250 слов). Естественно, что объем научных статей должен быть более 10000 символов (до 40 000 символов). Текст объемом 3-5 тысяч символов может быть только кратким сообщением (по крайней мере, так принято в нашем журнале). К сожалению, очень часто аннотации формальны, не отражают содержание, повторяют фактически название, нередко начинаются со слов «В статье автором предложено…» вместо энергичного «Предложен метод определения….». Ну конечно, статья пишется автором и ему принадлежит, к чему лишние слова. А между тем на английский язык переводится только триада: название, ключевые слова, аннотация и по ним зарубежный читатель судит о содержании статьи и решает, стоит ли ее переводить на родной язык. Надеемся изжить этот недостаток. Литература. Этот элемент статьи в свете современных требований учета научных публикаций ученых приобрел едва ли не самое важное значение для некоторых авторов. Во-первых, в список Литература ВАК не рекомендует помещать источники старше 5 лет, а также источники, которых нет в научных электронных базах (российские – это Elibrary, CyberLeninka). Это важно, так как в последние годы появилось много монографий, изданный за свой счет автором тиражом 20-80 экземпляров и не помещенных ни в одну библиотеку, хотя издатель обязан представить в ИТАР-ТАСС (Книжную Палату) 16 экземпляров книги. Такая монография, по сути, является рукописью, исполненная полиграфическими средствами, сослаться на нее нельзя. Во-вторых, сюда не нужно помещать анонимные источники (законы, ГОСТы, инструкции и т.п.). Их, при необходимости ссылки в тексте статьи, помещают либо в постраничной ссылке, либо указывают прямо по тексту. Недопустимы также получившее распространение ссылки вместо оригинала на Консультант. В-третьих, в научной статье недопустимо ссылаться на учебники. Статьи ученых не преднаВопросы кибербезопасности №1(19) - 2017

Современные требования к научным статьям значены для читателей без специального образования. На учебники допустимо ссылаться только в обзорных статьях. Помещая в список литературы статью коллеги, автор и дискутирует с ним, и одновременно указывает информационной системе о своем интересе к коллеге, тем самым повышая ему индекс Хирша, а также импакт-фактор журналу. До сих пор встречаются авторы, которые в список Литература помещают ссылку на Словарь русского или иного языка. Какая дискуссия может быть со словарем?3 Раздел Литература в российских журналах следует представлять как на кириллице (для ссылок на издания на русском языке), так и в транслитерированном виде (ни в коем случае не переводя ссылку на статью на русском языке на английский язык, как это делалось в советский период). Есть несколько стандартов преобразования раздела Литература (которое следует переводит как References) в транслитерированное представление. Впрочем, часто редакции транслитерацию делают сами, не утруждая авторов научных статей. Следует твердо уяснить, что список Литература вовсе не библиографический список, который приводится в диссертациях или иных научных работах [6]. Редакция все статьи проверяет на заимствование. При обнаружении заимствования без ссылки в разделе Литература статья безусловно отклоняется редакцией.

Рецензия. Все статьи должны иметь рецензию компетентного специалиста по публикуемой теме, независимо от регалий авторов статьи. В соответствии с рекомендациями ВАК компетентным рецензентом считается специалист, имеющей в своем активе публикации по рецензируемой теме и не старше 5 лет. Рецензия специалиста, имеющего высокие научные титулы, но не имеющего собственных научных трудов по рассматриваемой теме, считается юридически ничтожной. Теперь это определяется в редакции весьма просто: просмотром трудов в научных электронных базах. Это обстоятельство следует всегда иметь в виду. Кроме рецензии, представляемой вместе со статьей, редакция проводит свое рецензирование в соответствии с рекомендациями Scopus по крайней мере двумя рецензентами (слепое рецензирование, при котором автор не знает имена рецензентов). Таким образом, каждая статья рецензируется трижды, прежде чем будет опубликована. Соблюдение перечисленных требований, научное рецензирование, DOI-индексирование, высокий научный уровень статей, высококачественный перевод названия, ключевых слов и аннотации на английский язык позволят редакции представить журнал для включения в международную базу SCOPUS.

Литература 1.

2. 3. 4. 5. 6. 7.

Боргест Н.М. Информационная поддержка издательской деятельности на примере выпуска научного журнала «Онтология проектирования» // В сборнике: Информационные технологии и системы, труды Пятой Международной научной конференции. ФГБОУ ВПО «Челябинский государственный университет»; Федеральный исследовательский центр «Информатика и управление»; ИСА РАН ФГБОУ ВПО «Уфимский государственный авиационный технический университет»; ФГБОУ ВПО «Уральский федеральный университет». 2016. С. 72-75. Еременко Г.О. Elibrary.ru: курс на повышение качества контента // Университетская книга. 2016. № 3. С. 62-68. Кабанова Н.Н. Компаративный анализ структуры статьи российских и зарубежных научных журналов, индексируемых Scopus и Web of Science // В мире научных открытий. 2014. № 11.6 (59). С. 2143-2161. Кириллова О.В., Кузнецов А.Ю., Диментов А.В., Лебедев В.В., Шварцман М.Е. Категории и критерии оценки российских журналов и программы их развития // Научная периодика: проблемы и решения. 2014. № 5 (23). С. 20-34. Пруглова М.Н. Некоторые рекомендации по опубликованию материалов в международных базах Scopus и Web of Science // Актуальные проблемы российского права. 2014. № 12. С. 2948-2952. Чехович Ю.В. Об обнаружении заимствований при экспертизе научных статей // Научная периодика: проблемы и решения. 2013. № 4 (16). С. 22-25. Pislyakov V., Shukshina E. Measuring Excellence in Russia: Highly Cited Papers, Leading Institutions, Patterns of National and International Collaboration // Journal of the Association for Information Science and Technology. 2014. Т. 65. № 11. С. 2321-2330.

3 В то же время часто аспиранты, используя идеи своего научного руководителя, забывают дать ссылку на работы научного руководителя. Я полагаю, что это весьма прискорбно и не так далеко от плагиата и выражение крайней неблагодарности своему учителю.

Вопросы кибербезопасности №1(19) - 2017

Методические вопросы и информирование

UP-TO-DATE REQUIREMENTS FOR SCIENTIFIC ARTICLES G.Makarenko4 Abstract. This article briefly describes requirements for the scientific articles of various organizations. The structure of a modern scientific article shall consist of the introduction to the problem, problem definition, suggested solutions and results, and mandatory conclusions and summary. Aside from the content, the article shall also have a strict form, which is very significant for the western scientific publications and unusual for the Russian authors, who adopted the Soviet school traditions. Based on the example of the articles in this magazine, we can see that certain works have no abstracts or have very small abstracts, the key words repeat the terms from the title, the articles frequently lack conclusions, the scientific novelty is not identified. In such cases, the article with the most prominent scientific results will not be accepted, for instance, in Scopus. The purpose of this article is to draw attention to strict compliance with the identified rules. Keywords: article structure, list of HAC, DOI, scientific apparatus, requirements for abstracts, Hirsch index, journal impact factor, plagiarism, novelty. References 1. Borgest N.M. Informatsionnaya podderzhka izdatel’skoy deyatel’nosti na primere vypuska nauchnogo zhurnala «Ontologiya proektirovaniya», V sbornike: Informatsionnye tekhnologii i sistemy, trudy Pyatoy Mezhdunarodnoy nauchnoy konferentsii. FGBOU VPO «Chelyabinskiy gosudarstvennyy universitet»; Federal’nyy issledovatel’skiy tsentr «Informatika i upravlenie»; ISA RAN FGBOU VPO «Ufimskiy gosudarstvennyy aviatsionnyy tekhnicheskiy universitet»; FGBOU VPO «Ural’skiy federal’nyy universitet». 2016, pp. 72-75. 2. Eremenko G.O. Elibrary.ru: kurs na povyshenie kachestva kontenta, Universitetskaya kniga. 2016, No 3, pp. 62-68. 3. Kabanova N.N. Komparativnyy analiz struktury stat’i rossiyskikh i zarubezhnykh nauchnykh zhurnalov, indeksiruemykh Scopus i Web of Science, V mire nauchnykh otkrytiy. 2014, No 11.6 (59), pp. 2143-2161. 4. Kirillova O.V., Kuznetsov A.Yu., Dimentov A.V., Lebedev V.V., Shvartsman M.E. Kategorii i kriterii otsenki rossiyskikh zhurnalov i programmy ikh razvitiya, Nauchnaya periodika: problemy i resheniya. 2014, No 5 (23), pp. 20-34. 5. Pruglova M.N. Nekotorye rekomendatsii po opublikovaniyu materialov v mezhdunarodnykh bazakh Scopus i Web of Science, Aktual’nye problemy rossiyskogo prava. 2014, No 12, pp. 2948-2952. 6. Chekhovich Yu.V. Ob obnaruzhenii zaimstvovaniy pri ekspertize nauchnykh statey, Nauchnaya periodika: problemy i resheniya. 2013, No 4 (16), pp. 22-25. 7. Pislyakov V., Shukshina E. Measuring Excellence in Russia: Highly Cited Papers, Leading Institutions, Patterns of National and International Collaboration, Journal of the Association for Information Science and Technology. 2014. V. 65, No 11, pp. 23212330.

4 Grigory Makarenko, Head of the laboratory development of scientific periodicals, budgetary institution «Scientific center for legal informatics of the Ministry of Justice», chief-editor of the scientific magazine Monitoring of law enforcement and Cybersecurity Issues, Moscow, Russia. monitorlaw@yandex.com

Вопросы кибербезопасности №1(19) - 2017

РЕЦЕНЗИЯ НА КНИГУ «СЕМЬ БЕЗОПАСНЫХ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ» Петренко С.А.1 В самом начале 2017 года вышла в свет книга «Семь безопасных информационных технологий / А.В. Барабанов, А.В. Дорофеев, А.С. Марков, В.Л. Цирлов; под ред. А.С. Маркова. – М.:ДМК Пресс, 2017. – 224 с.», подготовленная группой авторов, успешно сочетающих научную и практическую работу, лидеров предприятия АО «НПО-Эшелон». Темпы развития современных информационных и коммуникационных технологий («облачных» и мобильных, аппаратных и программных гипервизоров, больших данных Big Data и прогнозной аналитики Big Data Analytics, программно-конфигурируемых сетей SDN и виртуализации сетевых функций NFV, индустриального Интернета IIoT и Интернета вещей IoT и пр.) значительно опережают темпы разработки отечественной нормативно-правовой базы в области информационной безопасности. DOI: 10.21581/2311-3456-2017-1-67-72

Поэтому вопрос, «как обеспечить надлежащий уровень информационной безопасности предприятия», – обязательно влечет за собой следующие: в соответствии с какими критериями и показателями необходимо оценивать информационную безопасность, как планировать и управлять информационной безопасностью, как экономически оправдать организационные и технические мероприятия обеспечения информационной безопасности? Вследствие этого, в дополнение к хорошо известным требованиям регуляторов, приходится использовать так называемые лучшие практики международных стандартов (ISO 38500, 27001, 9001, 15408, 22301, 27031, СobIT и пр.). В том числе, методики количественного анализа рисков, планирования и управления экономической эффективностью инвестиций в защиту информации. В настоящее время в технологически развитых странах мира появилось новое поколение стандартов информационной безопасности, посвященных практическим вопросам обеспечения и аудита информационной безопасности. Это прежде всего международные и национальные стандарты оценки и управления информационной безопасностью ISO 38500, 27001, 9001, 15408, 22301, 27031; стандарты аудита информационных систем и информационной безопасности COBIT, SAC, COSO, SAS 55/78 и некоторые другие, аналогичные им. В соответствие с этими стандар1

тами обеспечение информационной безопасности в любой компании предполагает следующее. Во-первых, определение целей и задач обеспечения информационной безопасности. Во-вторых, создание эффективной системы управления информационной безопасностью. В-третьих, расчет совокупности детализированных не только качественных, но и количественных показателей информационной безопасности. В-четвертых, применение инструментария обеспечения информационной безопасности и оценки ее текущего состояния. В-пятых, использование методик (с обоснованной системой метрик и мер обеспечения информационной безопасности) проведения аудита информационной безопасности, позволяющих объективно оценить текущее состояние дел. Новое поколение стандартов отличается как от предыдущего, так и от хорошо известных руководящих документов ФСТЭК России, большей формализацией аудиторской деятельности и более детальным комплексным учетом качественно и количественно проверяемых показателей информационной безопасности компании. Комплексный учет показателей предполагает комплексный подход к аудиту, когда на соответствие определенным правилам проверяется не только программно-техническая составляющая информационной безопасности компьютер-

Петренко Сергей Анатольевич, доктор технических наук, профессор, Университет Иннополис, г. Иннополис, Татарстан, Россия. s.petrenko@rambler.ru

Вопросы кибербезопасности №1(19) - 2017

Методические вопросы и информирование ной системы, но и организационно-административные меры по ее обеспечению. В совокупности, такой подход к обеспечению информационной безопасности отечественных государственных и коммерческих предприятий позволяет: •• произвести количественную оценку текущего уровня безопасности, задать допустимые уровни рисков, разработать план мероприятий по обеспечению требуемого уровня безопасности на организационно-управленческом, технологическом и техническом уровнях с использованием современных методик и средств; •• рассчитать и экономически обосновать перед руководством или акционерами размер необходимых вложений в обеспечение безопасности на основе технологий анализа рисков, соотнести расходы на обеспечение безопасности с потенциальным ущербом и вероятностью его возникновения; •• выявить и провести первоочередное блокирование наиболее опасных уязвимостей до осуществления атак на уязвимые ресурсы; •• определить функциональные отношения и зоны ответственности при взаимодействии подразделений и лиц по обеспечению информационной безопасности предприятия, создать необходимый пакет организационно-распорядительной документации; •• разработать и согласовать со службами организации, надзорными органами проект внедрения необходимых комплексов защиты, учитывающий современный уровень и тенденции развития информационных технологий; •• обеспечить поддержание внедренного комплекса защиты в соответствии изменяющимся условиям работы организации, регулярными доработками организационно-распорядительной документации, модификацией технологических процессов и модернизацией технических средств защиты. Актуальность книги подтверждается основными положениями новой Доктрины информационной безопасности Российской Федерации (утверждена Указом Президента Российской Федерации от 5 декабря 2016 № 646), которая развивает основные положения современной Концепции внешней политики Российской Федерации (утверждена Указом Президента Российской федерации от 30 ноября 2016 г. № 640) в области информационной безопасности. Ориентация учебного материала книги на выполнение основных положений новой Доктрины

информационной безопасности Российской Федерации крайне важна и своевременна. Дело в том, что предыдущая Доктрина информационной безопасности Российской Федерации, принятая еще в 2000 году, уже заметно устарела. В связи с этим потребовалась разработка нового документа, адекватного современному уровню развития информационных и коммуникационных технологий. Кроме того, за прошедшие 17 лет список актуальных угроз информационной безопасности заметно расширился, изменились взаимоотношения на мировой арене, несравнимо большими стали возможности киберпротивников. Более того, угрозы информационной безопасности вышли на уровень межгосударственного противостояния. При этом такие понятия как информационные операции, программно-аппаратные и психологические воздействия стали реальностью современных международных отношений. По сравнению с прошлой редакцией Доктрины (2000г.) и вариантом новой Доктрины, обсуждавшейся в Совете Безопасности РФ летом 2016 года, текст утвержденной Доктрины информационной безопасности Российской Федерации был существенно дополнен и переработан. Новая Доктрина отличается четкой структурой и содержит: требуемый набор основных понятий (национальные интересы РФ в информационной сфере, информационная безопасность РФ, угроза информационной безопасности РФ, система обеспечения информационной безопасности РФ, критическая информационная инфраструктура РФ и др.); изложение национальных интересов России в информационной сфере; перечень основных угроз и оценку состояния информационной безопасности Российской Федерации; описание стратегических целей и основных направлений обеспечения информационной безопасности государства; описание организационных основ обеспечения информационной безопасности Российской Федерации. От прошлой Доктрины документ отличается краткостью, четкостью изложения, и в то же время широтой охвата рассматриваемых вопросов. В том числе, впервые сформулированы задачи доведения до российской и международной общественности достоверной информации о государственной политике РФ и ее официальной позиции по социально значимым событиям в стране и мире, задачи повышения защищенности критической информационной инфраструктуры (ст.23), ликвидации зависимости отечественной промышленности от зарубежных информационных технологий и средств обеспечения ИБ (ст.25), Вопросы кибербезопасности №1(19) - 2017

Рецензия на книгу «Семь безопасных информационных технологий» поддержки инновационного и ускоренного развития системы обеспечения ИБ, отрасли ИТ и электронной промышленности (ст.26). Авторами книги рассмотрены все основные разделы учебной литературы по подготовке и сдаче известных международных сертификационных экзаменов в области информационной безопасности: CISSP (Certified Information Systems Security Professional), CSSLP (Certified Secure Software Lifecycle Professional), поддерживаемых международным консорциумом (ISC)2 – International Information Systems Security Certification Consortium; CISM (Certified Information Security Manager), CISA (Certified Information Systems Auditor), организуемых международной ассоциацией ISACA (Information Systems Audit and Control Association), а именно: 1. Менеджмент информационной безопасности. В этом разделе введены базовые понятия менеджмента информационной безопасности. Детально рассмотрены основные этапы жизненного цикла СМИБ на примере процессной модели PDCA – «Plan (планирование), Do (реализация), Check (проверка) – Act (совершенствование)», получившей название цикл Шухарта–Деминга. В том числе, показана специфика разработки политик, регламентов и процедур ИБ на стадии планирования и особенности оценки информационных рисков. Рассмотрено, как на стадиях: −− реализации - осуществляется внедрение и поддержка политики ИБ, обработка рисков, осуществление контрмер, установка защитных средств и сервисов; −− проверки - выполняется контроль факторов ИБ, оценка и анализ эффективности процессов управления ИБ; −− совершенствования - реализуется выработка и принятие корректирующих и превентивных действий, проводятся переоценка рисков, пересмотр политики и т. д. 2. Обеспечение безопасного доступа. В этом разделе показано, что управление доступом (access control) является одной из ключевых задач ИБ. Обращено внимание на то, что понятие управления доступом в рамках международных учебных курсов носит более широкий смысл, чем просто санкционированное разграничение доступа, и включает аспекты организации безопасного доступа пользователя к ресурсам системы вообще, например: с учетом защиты от вредоносных программ, легитимной деятельности пользователей, заданной готовности или восстанавливаемости системы. Рассмотрены все основные категории и особенности управления доступом Вопросы кибербезопасности №1(19) - 2017

на практике. Приведены основные типы средств идентификации и аутентификации. Рассмотрены особенности реализации известных протоколов сетевого доступа. Выделены отличия дискреционного, мандатного и ролевого методов управления доступом. 3. Обеспечение сетевой безопасности. Здесь представлены основные типы и архитектуры компьютерных сетей, особенности реализации методов доступа к среде передачи данных, типовые сетевые спецификации. Подробно рассмотрена базовая эталонная модель взаимодействия открытых систем на практике. Показаны ключевые архитектурные особенности стека протоколов TCP/IP на практике. Представлена типовая классификация средств обеспечения сетевой безопасности. 4. Криптографическая защита информации. В этом разделе приведены базовые понятия и методы криптографической защиты информации. Подробно рассмотрены криптографические примитивы: симметричные криптосистемы, криптосистемы с открытым ключом, криптографические хэш-функции, электронные подписи; цифровые сертификаты. Показаны особенности реализации симметричного и асимметричного шифрования на практике. 5. Разработка безопасных программ. Подробно рассмотрена специфика различных концептуальных моделей жизненного цикла: модель отладки, V-образная (через классы тестирования), каскадная (последовательная, детерминированная), каскадная с промежуточным контролем и обратной связью, инкрементальная (последовательная), итерационная (версионная), гибкая (agile), спиральная (PDCA-модель ПО) и др. Рассмотрена практика реализации безопасного жизненного цикла программного обеспечения. Приведены рекомендации для проектирования архитектуры безопасного программного обеспечения. 6. Моделирование и оценка соответствия. Здесь рассмотрены базовые понятия, определяющие безопасную архитектуру с концептуальной точки зрения: доверенная среда; доверенный маршрут передачи данных; периметр безопасности; монитор безопасности; ядро безопасности. Показаны особенности реализации доверенной средой вычислений (Trusted Computing Base,TCB), под которой понимается совокупность программных и технических средств, создаваемых и поддерживаемых для обеспечения выполнения политик ИБ – подмножество защищаемой информационной системы, обеспечивающее защиту

Методические вопросы и информирование информации и выполнение требований, установленных политиками ИБ. Показаны отличия известных моделей управления доступом. Рассмотрены принципы безопасной архитектуры ЭВМ. Подробно рассмотрены обязательные процедуры оценки соответствия. 7. Обеспечение непрерывности бизнеса и восстановления. В этом разделе подробно рассмотрены две составные части менеджмента непрерывности бизнеса: планирование непрерывности бизнеса (Business Continuity Planning, BCP); планирование аварийного восстановления после аварий (Disaster Recovery Planning, DRP). Рассмотрена специфика решения задач: −− планирования (Plan) - подготовка планирования, оценка влияния прерываний на бизнес, определение стратегий обеспечения непрерывности бизнеса, разработка документации, определение необходимости внедрения мер ИБ (controls) для минимизации остаточных рисков; −− исполнения (Do) - внедрение разработанных документов и необходимых технических решений; обучение персонала; −− проверки (Check) - тестирование разработанных планов; −− действия/исправления (Act) - исправление выявленных в ходе тестирования проблем; совершенствование системы BCM. В приложениях книги представлен свод типовых компьютерных атак, а также почитаемые за рубежом этические правила, раскрывающие рассмотренные международные принципы ИБ. Представленный материал книги в совокупности определяют значительный вклад авторов в прикладные вопросы теории защиты информации. Тема книги и направленность изложенных вопросов соответствует специальности 05.13.19 – «Методы и системы защиты информации, информационная безопасность»: п. 1. Теория и методология обеспечения информационной безопасности и защиты информации; п. 3. Методы и модели выявления, идентификации и классификации угроз нарушения информационной безопасности объектов различного вида и класса; п. 9. Модели и методы оценки защищенности информации и информационной безопасности объекта; п. 5. Методы и средства (комплексы средств) информационного противодействия угрозам нарушения информационной безопасности в открытых компьютерных сетях, включая Интернет;

п. 11. Технологии идентификации и аутентификации пользователей и субъектов информационных процессов. Системы разграничения доступа; п. 13. Принципы и решения (технические, математические, организационные и др.) по созданию новых и совершенствованию существующих средств защиты информации и обеспечения информационной безопасности и др. Материалы книги были апробированы в образовательной деятельности МГТУ им. Н. Э. Баумана (курс «Сертификация специалистов по информационной безопасности»), в Финансовом университете при Правительстве РФ (курс «Организационные основы информационной безопасности») и в Учебном центре «Эшелон» (курс «Подготовка к CISSP за 12 сиреневых вечеров»). Также материалы книги апробированы в научно-исследовательской деятельности авторов книги по направлениям: −− анализ безопасности программных ресурсов, в т.ч. веб-приложений, −− аудит безопасности исходного кода (поиск уязвимостей), −− аудит защищенности компьютерных систем и сетей, −− аудит защищенности автоматизированных систем управления технологическими процессами, −− анализ защищенности беспроводных сетей, −− доверенная загрузка операционных и виртуальных сред, −− разработка распределенных систем по управлению ложными сетевыми объектами и ловушками (honeypot), −− разработка систем обнаружение вторжений, −− создание программно-аппаратных межсетевых экранов, −− оценка и контроль эффективности система защиты от утечек данных и др. В качестве замечаний и рекомендаций по книге стоит отметить следующее. В настоящее время большинством российских компаний определены следующие приоритетные задачи развития и совершенствования своей деятельности: −− минимизация рисков бизнеса путем защиты своих интересов в информационной сфере; −− обеспечение безопасного, доверенного и адекватного управления предприятием; −− планирование и поддержка непрерывности бизнеса; −− повышение качества деятельности по обеспечению информационной безопасности; −− снижение издержек и повышение эффективности инвестиций в информационную безопасность; Вопросы кибербезопасности №1(19) - 2017

Рецензия на книгу «Семь безопасных информационных технологий» −− повышение уровня доверия к компании со стороны акционеров, потенциальных инвесторов, деловых партнеров, профессиональных участников рынка ценных бумаг, уполномоченных государственных органов и других заинтересованных сторон. Здесь успешное выполнение перечисленных задач в условиях воздействия внутренних и внешних факторов, а также действий конкурентов и злоумышленников проблематично. Поэтому важно учитывать следующее: −− в разрабатываемых политиках безопасности отечественных компаний необходимо учитывать в равной мере нормативные, экономические, технологические, технические и организационноуправленческие аспекты планирования информационной безопасности и управления ею. Только в этом случае можно достигнуть разумного баланса между стоимостью и эффективностью разрабатываемых правил политик безопасности. При этом упомянутые политики безопасности не должны противоречить отечественной нормативной базе в области защиты информации, в том числе нормативно-правовым документам (федеральным законам, указам Президента, постановлениям Правительства) и нормативно-техническим документам; −− желательно учитывать текущие реформы действующей Государственной системы стандартизации (ГСС) согласно Федеральному закону № 184-ФЗ «О техническом регулировании», рекомендации ГОСТ Р ИСО/МЭК 15408, рекомендации функционального стандарта ГОСТ Р 51583-2014, описывающего этапность построения защищенных информационных систем, рекомендации ФСТЭК России для выработки требований по технической защите конфиденциальной информации; −− при отражении нормативного аспекта рекомендуется следовать требованиям новой российской национальной системы стандартизации, основанной на системе технического регулирования в соответствии с рекомендациями Федерального закона № 184-ФЗ «О техническом регулировании». Это отвечает последним веяниям формирования в Российской Федерации технического законодательства, обеспечивающего выполнение Соглашений Всемирной торговой организации (ВТО) по техническим барьерам в торговле (ТБТ) и санитарным и фитосанитарным мерам (СФС) с учетом принципов нового подхода к технической регламентации в Европейском союзе (ЕС). −− при отражении экономического подхода к планированию информационной безопасности Вопросы кибербезопасности №1(19) - 2017

и управлению ею на основе концепции управления рисками рекомендуется обратить внимание на методы: прикладного информационного анализа (Applied Information Economics, AIE); расчета потребительского индекса (Customer Index, CI); расчета добавленной экономической стоимости (Economic Value Added, EVA); определения исходной экономической стоимости (Economic Value Sourced, EVS); управления портфелем активов (Portfolio Management, РМ); оценки действительных возможностей (Real Option Valuation, ROV); поддержки жизненного цикла искусственных систем (System Life Cycle Analysis, SLCA); расчета системы сбалансированных показателей (Balanced Scorecard, BSC); расчета совокупной стоимости владения (Total Cost of Ownership, TCO); функционально-стоимостного анализа (Activity Based Costing, ABC). В частности, для расчета расходной части на техническую архитектуру обеспечения информационной безопасности рекомендуется использовать метод совокупной стоимости владения (ТСО), а для обоснования инвестиций в корпоративную систему защиты информации – методы ожидаемых потерь, оценки свойств системы безопасности, а также анализа дерева ошибок. При этом следует учитывать, что только метод ожидаемых потерь позволяет получить количественную оценку стоимости и выгод от контрмер безопасности; −− при разработке системного облика проектов безопасности в отечественных компаний целесообразно воспользоваться стандартами BSI IT Protection Manual (www.bsi.de), NIST США серии 800 (www.nist.gov) CIS (www.cisecurity.org), NSA (www.nsa.gov). Однако перечисленные замечания и рекомендации носят частный характер и не оказывают существенного влияния на общую положительную оценку книги. В целом книга представляет собой логически завершенный методологический труд, в котором достаточно полно раскрыты практические вопросы менеджмента информационной безопасности на основе лучшей международной практике. Материал книги изложен грамотно, логически последовательно и сопровождается интересными примерами и контрольными вопросами, а также оригинальными рисунками. Вывод. Книга «Семь безопасных информационных технологий / А.В. Барабанов, А.В. Дорофеев, А.С. Марков, В.Л. Цирлов; под ред. А.С. Маркова. – М.: ДМК Пресс, 2017. – 224 с.» написана на актуальную тему, отличается практической значимостью и имеет завершенный характер.

Методические вопросы и информирование Упомянутая книга подготовлена на основе материалов известных международных сертификационных экзаменов в области информационной безопасности, адаптированных под отечественную специфику обеспечения информационной безопасности. Авторами книги являются известные отечественные специалисты в области информационной безопасности. По мнению рецензента, книга является первым полным русскоязычным практическим руководством по подготовке и сдаче международных сертификационных экзаменов CISSP и CSSLP (ISC)2, а также CISM и CISA ассоциации ISACA и выгодно отличается от других источников, преимущественно изданных за рубежом, тем, что в ней последовательно изложены все основные принципы, подходы, методы и методики управления информационной безопасностью, специальным образом адаптированные для практики отечественных предприятий. Эта книга может быть полезна следующим основным группам читателей: −− руководителям служб автоматизации (СIO) и служб информационной безопасности (CISO), ответственным за организацию режима секретно-

сти, адекватного текущим целям и задачам бизнеса компании; −− внутренним и внешним аудиторам, которым приходится комплексно оценивать текущее состояние системы менеджмента информационной безопасности предприятия на соответствие некоторым национальным и международным стандартам, например ISO 27001, 9001, 15408, 22301, 27031, COBIT, SAC, COSO, SAS 55/78 и пр.; −− менеджерам высшего эшелона управления компанией (ТОР-менеджерам), которым приходится разрабатывать и внедрять систему менеджмента информационной безопасности предприятия; −− администраторам безопасности, системным и сетевым администраторам, администраторам БД, которые отвечают за соблюдение правил безопасности в отечественных корпоративных информационных системах. Книга также может использоваться в качестве учебного пособия студентами и аспирантами соответствующих технических специальностей, тем более что материалы многих глав основаны, в том числе, и на опыте преподавания авторов книги в МГТУ им. Н.Э.Баумана и Финансовом университете при Правительстве РФ.

BOOK REVIEW: SEVEN INFORMATION SECURITY TECHNOLOGIES Petrenko S.A.2 The book is the first full guidance manual in Russian for preparing for and taking exams for international certificates CISSP as well as CISM and CISA (ISACA). The main advantages of the book in comparison with other sources that are mainly published abroad is that it consistently describes the main principles, approaches, methods and procedures for managing information security, which are specially adapted for practical use by the Russian audience! This CISSP-guide is an excellent manual for those, who want to be successful in information security and increase its professional status in accordance with the international requirements. The authors chose the study topics that provide maximum coverage of the requirements to the applicants for CISSP. The book gives many interesting pictures, positive questions with answers on each topic, many original classifications and explanations of the terms in English. The book is well-structured and is easy to read. It provides short comparison of international practices with the national reality for the Russian reader.

2 Sergey Petrenko, Dr.Sc., Professor, University of Innopolis, Innopolis, Tatarstan, Russia. s.petrenko@rambler.ru

Вопросы кибербезопасности №1(19) - 2017