МОДЕЛИ  ГРАФИЧЕСКОГО  ПРЕДСТАВЛЕНИЯ ИНФОРМАЦИИ  О  ЗАЩИЩЕННОСТИ  КОМПЬЮТЕРНОЙ  СЕТИ

Новикова  Евгения  Сергеевна

канд.  техн.  наук,  ст.  нучн.  сотр.,  Санкт-Петербургский  институт  информатики  и  автоматизации  РАН,

  г.  Санкт-Петербург

Е-mail:  novikova@comsec.spb.ru

VISUAL  MODELS  FOR  PRESENTATION  OF  THE  INFORMATION  ABOUT  NETWORK  SECURITY

Evgenia  Novikova

Senior  Researcher,  PhD,  St.  Petersburg  Institute  for  Informatics  and  Automation  of  the  Russian  Academy  of  Sciences,

  St.  Petersburg

Е-mail: 

Работа  выполняется  при  финансовой  поддержке  РФФИ,  программы  фундаментальных  исследований  ОНИТ  РАН,  Министер­ства  образования  и  науки  Российской  Федерации  (государственный  контракт  11.519.11.4008),  при  частичной  финансовой  поддержке,  осуществляемой  в  рамках  проектов  Евросоюза  SecFutur  и  MASSIF,  а  также  в  рамках  других  проектов.

АННОТАЦИЯ

В  статье  представлены  модели  визуализации  графов  атак,  приме­няемых  для  анализа  защищенности  компьютерных  сетей.  В  основе  предложенных  графических  способах  представления  информации  лежат  графы  и  плоские  карты  деревьев.  При  их  разработке  были  учтены  принципы  зрительного  восприятия  информации  человеком  и  аспекты  взаимодействия  пользователя  с  изображением,  благодаря  чему  повышается  эффективность  применения  разработанных  средств  визуализации.

ABSTRACT

In  the  paper  visual  models  for  representation  of  the  attack  graphs  used  for  network  security  assessment  are  presented.  The  suggested  models  are  based  on  graphs  and  treemaps.  The  principles  of  the  human  information  perception  and  user  interaction  issues  with  visual  displays  were  considered  when  designing  the  proposed  models  as  the  result  the  efficiency  of  the  developed  visualisations  increases. 

Ключевые  слова:  визуализация  графов  атак;  графы;  карты  деревьев;  методики  взаимодействия  с  изображением.

Keywords:  attack  graph  visualization;  graphs;  treemaps;  interaction  techniques.

Введение

Методики  визуализации  широко  используются  для  решения  различных  аналитических  задач,  в  том  числе  и  для  анализа  безопасности  информационной  системы.  В  настоящее  время  большая  часть  существующих  решений  предназначено  для  эффективного  контроля  периметра  сети,  вопросы  визуализации  данных  об  уровне  защищенности  компьютерной  сети,  поддержки  принятия  решений  проработаны  в  меньшей  степени[2].  В  настоящем  докладе  описы­ваются  методики  визуализации  графов  атак,  реализованные  в  системе  оценке  защищенности  компьютерных  сетей  [1,  3],  которая  позволяет  графически  определить  наиболее  уязвимые  места  информационной  системе,  сформировать  шаблоны  атак  в  зависимости  от  начальных  условий  атак,  и  на  основе  полученных  данных  соответствующим  образом  скорректировать  план  мероприятий  по  обеспечению  безопасности  системы. 

Модели  визуализации,  основанные  на  графах

Графы  атак  являются  важным  инструментом  для  оценивания  уровня  защищенности  сети  и  выявления  потенциальных  путей  проник­новения  в  систему  злоумышленником.  Естественным  представлением  результатов  моделирования  атак  являются  сами  графы,  вершинами  кото­рого  являются  действия  злоумышленника,  выполняемые  им  для  продви­жения  от  одной  скомпрометированной  машины  к  другой,  а  дуги  отражают  их  порядок  выполнения.  В  системе  [3]  используются  три  типа  действий  нарушителя:  1)  разведывающее  действие  пользователя;  2)  использование  атакующего  сценария,  включающего  совокупность  действий;  3)  атакующее  действие,  использующее  уязвимость.  Кроме  того,  для  каждого  узла  графа  атак  определены  такие  параметры,  как  текущее  положение  злоумышленника  (хост  сети),  атакуемый  хост,  набор  метрик  безопасности,  характеризующих  данное  действие  (критичность,  уровень  ущерба,  сложность  реализации).  Для  того,  чтобы  иметь  возможность  графически  представить  сразу  несколько  атрибутов  узла  графа  атак,  для  их  визуализации  используются  пиктограммы,  геометрическая  форма  которых  определяется  типом  действия  злоумышленника.  Цвет  может  быть  использован  для  обозна­чения  различных  метрик  безопасности,  которые  обычно  принимают  одно  значение  из  фиксированного  множества,  и  поэтому  легко  могут  быть  закодированы  цветом. 

В  [5]  показано,  что  в  общем  случае  для  компьютерной  сети,  состоящей  из  n  компьютеров,  сложность  графа  атак  равна  O(csn²),  где  с  —  это  среднее  число  эксплойтов  для  заданного  хоста,  а  s  —  это  среднее  число  условий,  способствующих  развитию  атаки.  Очевидно,  что  графическое  представление  такого  графа  будет  мало  информа­тивно.  Для  снижения  его  сложности  предлагается  использовать  механизм  агрегации  узлов  графа,  учитывающий  его  семантические  и  структурные  свойства.  Для  формирования  кластеров  графа  адаптирован  подход,  предложенный  в  работе  [4].  Действия  одного  типа,  выполняемые  на  одном  хосту  заменяются  на  мета-узел,  затем  полученные  множества  действий  могут  быть  объединены  вновь,  если  они  выполняются  на  одном  и  том  же  хосту.  Далее  полученные  узлы  могут  быть  сгруппированы,  если  они  имеют  одинаковое  значение  домена  сети.  Агрегирование  узлов  графа  выполняется  в  интерактивном  режиме.  Пользователь  имеет  возможность  определять  степень  агрегирования  графа,  задавая  свойства  и  их  последовательность  применения  для  формирования  мета-узлов. 

В  системе  реализован  механизм  подсветки  элементов  графа,  который  позволяет  анализировать  выбранные  узлы  с  учетом  структуры  графа.  Для  этого  пользователь  выбирает  узел  графа,  представляющий  для  него  интерес,  после  чего  узлы,  рекурсивно  связанные  с  выбранным  узлом,  выделяются  цветом,  а  остальные  окрашиваются  в  черно-белые  тона. 

Модели  визуализации,  основанные  на  картах  деревьев

Альтернативным  способом  решения  задачи  упрощения  визуаль­ного  представления  результатов  анализа  защищенности  компьютер­ных  систем  является  использование  других  моделей  визуализации.  Представляется,  что  наиболее  перспективными  способом  визуали­зации  графов  являются  карты  деревьев.  Карты  деревьев  отображают  иерархические  структуры  данных  (деревья)  в  виде  множества  вложенных  прямоугольников.  Каждая  ветвь  дерева  представляется  в  виде  прямоугольника,  который  затем  заполняется  меньшими  прямоуголь­никами,  которые  в  свою  очередь  соответствуют  поддеревьям.  Площадь  прямоугольника,  соответствующая  листу  дерева,  и  его  цвет  опреде­ляются  значениями  двух  атрибутов  данного  узла.  При  одновременном  использовании  цвета  и  размера  прямоугольника  можно  легко  выявить  определенные  зависимости  между  свойствами  изучаемых  объектов.  Другим  достоинством  данной  модели  представления  является  эффективное  использование  пространства,  в  результате  с  помощью  карт  деревьев  можно  отобразить  тысячи  элементов  одновременно  на  одном  экране. 

Карты  деревьев  используются  для  анализа  достижимости  узлов  злоумышленником.  Каждый  вложенный  прямоугольник  соответствует  узлу  подсети,  а  размер  его  определяется  уровнем  их  критичности.  Если  согласно  результатом  анализа  защищенности  компьютерной  сети,  узел  может  быть  скомпрометирован,  то  соответствующий  ему  прямоугольник  закрашивается  красным  цветом,  в  противном  случае  зеленым.  Благодаря  такому  способу  представления,  специалист  может  соотносить  выявленные  уязвимости  в  компьютерной  сети  с  числом  потенциально  скомпрометированных  узлов,  оценивая  таким  образом  возможные  последствия  атаки.  Очевидно,  что  в  этом  случае  невозможно  отследить  последовательность  выполнения  действий  нарушителя  и  узнать,  какие  именно  уязвимости  были  использованы,  поэтому  необходимо  предоставить  пользователя  возможность  получения  дополнительной  информации  по  запросу,  например,  данные  о  всех  выявленных  уязвимостях  и  подсветкой  тех,  которые  были  задействованы  при  реализации  атаки.

Заключение

В  настоящей  работе  рассмотрены  графические  способы  представления  графа  атак,  использующие  графы  и  карты  деревьев.  Графы  позволяют  изучить  пошагово  развитие  атаки,  однако  в  большинстве  случаев  они  имеют  большую  сложность,  поэтому  для  их  практического  применения  был  реализован  механизм  агрегации  узлов  графа,  использующих  его  семантику.  Карты  деревьев  позволяют  наложить  результаты  моделирования  атак  на  компьютерную  сеть,  представляя  ее  в  виде  карты  деревьев.  Такое  представления  уменьшает  сложность  графов  атак  и  позволяет  проанализировать  достижимость  узлов  для  злоумышленника,  исходя  из  заданных  начальных  условий.  В  дальнейшем  планируется  расширить  механизмы  взаимодействия  пользователя  с  моделями  визуализации  для  повышения  эффективности  его  работы. 

Список  литературы: 

1. Котенко  И.В.,  Саенко  И.Б.,  Полубелова  О.В.,  Чечулин  А.А.  Применение  технологии  управления  информацией  и  событиями  безопасности  для  защиты  информации  в  критически  важных  инфраструктурах  //  Труды  СПИИРАН.  Вып.1  (20).  СПб.:  Наука,  2012.  С.  27—56.

2. Новикова  Е.С.,  Котенко  И.В.  Анализ  механизмов  визуализации  для  обеспечения  защиты  информации  в  компьютерных  сетях  //  Труды  СПИИРАН.  Вып.  4(23).  СПб.:  Наука,  2012.  C.  7—30.

3. Kotenko  I.,  Chechulin  A.,  Novikova  E.  Attack  Modelling  and  Security  Evaluation  for  Security  Information  and  Event  Management  //  SECRYPT  2012.  International  Conference  on  Security  and  Cryptography.  Proceedings.  Rome,  Italy.  24—27  July  2012.  P.  391-—394. 

4. Noel  S.,  Jajodia  S.  Managing  attack  graph  complexity  through  visual  hierarchical  aggregation  //  Proceedings  of  the  2004  ACM  workshop  on  Visualization  and  data  mining  for  computer  security  (VizSEC/DMSEC  '04).  ACM,  2004.  P.  109—118.

5. Noel  S.,  Jajodia  S.  Understanding  Complex  Network  Attack  Graphs  through  Clustered  Adjacency  Matrices  //  Proceedings  of  the  21st  Annual  Computer  Security  Applications  Conference  (ACSAC’05).  IEEE  Computer  Society,  2005.  P.  160—169.