Модели на основе анализе рисков.

Игровая модель

Разработчик создает первоначальный вариант системы защиты. После этого аналитик-“злоумышленник” начинает его преодолевать. Если к моменту времени Т, в который злоумышленник преодолел систему защиты, у разработчика нет нового варианта, система защиты преодолена, если есть – процесс продолжается. Данная модель описывает процесс эволюции системы защиты в течение времени.

Как правило, данная модель реализуется на уровне “техническое задание – эскизный проект системы” и описывает рекурсивную процедуру совершенствования защитных механизмов. Основным недостатком предлагаемого подхода является тесная зависимость принятия системы защиты от мнения экспертов-аналитиков системы защиты (т.е. если аналитик не придумал способ обхода защиты, то это не значит, что его объективно не существует).

Модель системы безопасности с полным перекрытием

Основным положением данной модели является тезис (аксиома) о том, что система, спроектированная на основании модели безопасности с полным перекрытием, должна иметь, по крайней мере, одно средство (субъект) для обеспечения безопасности на каждом возможном пути проникновения в систему.

В модели точно определяется каждая область, требующая защиты (объект защиты), оцениваются средства обеспечения безопасности с точки зрения их эффективности и вклада в обеспечение безопасности во всей ИС. Считается, что несанкционированный доступ к каждому из набора защищаемых объектов сопряжен с некоторой величиной ущерба и этот ущерб может (или не может) быть определен количественно. Если ущерб не может быть определен количественно, то его полагают равным некоторой условной (как правило, средней) величине. Количественная характеристика ущерба может быть выражена в стоимостном (ценовом) эквиваленте либо в терминах, описывающих системы (например, единицах времени, необходимых для достижения тех или иных характеристик ИС после злоумышленного воздействия). Ущерб может быть связан с целевой функцией системы (например, для финансовой системы ущерб от конкретного злоумышленного действия есть сумма финансовых потерь участников системы).

С каждым объектом, требующим защиты, связывается некоторое множество действий, к которым может прибегнуть злоумышленник для получения несанкционированного доступа к объекту. Основной характеристикой набора угроз является вероятность проявления каждого из злоумышленных действий. В любой реальной системе эти вероятности можно вычислить с ограниченной степенью точности.