vdgtuВестник Дагестанского государственного технического университета. Технические наукиHerald of Dagestan State Technical University. Technical Sciences2073-61852542-095XDaghestan State Technical University10.21822/2073-6185-2023-50-2-83-89vdgtu-1290Research ArticleИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ И ТЕЛЕКОММУНИКАЦИИINFORMATION TECHNOLOGY AND TELECOMMUNICATIONSОценка уровня защищенности (безопасности функционирования) автоматизированных систем на основе их уязвимостей, формализованная при помощи теории систем массового обслуживанияAssessment of the level of security (safety of functioning) of automated systems based on their vulnerabilities, formalized using the theory of queuing systemsЕфимовА. О.EfimovA. O.

Ефимов Алексей Олегович, адъюнкт очной формы обучения

394065, г. Воронеж, пр. Патриотов, 53

Aleksey O. Yefimov, Full-time adjunct

53 Patriotov Str., Voronezh 394065

ea.aleksei@yandex.ruРогозинЕ. А.RogozinE. A.

Рогозин Евгений Алексеевич, доктор технических наук, профессор, профессор кафедры автоматизированных информационных систем органов внутренних дел

394065, г. Воронеж, пр. Патриотов, 53

Evgeny A. Rogozin, Dr. Sci. (Eng.), Prof., Prof., Department of Automated Information Systems of Internal Affairs Bodies

53 Patriotov Str., Voronezh 394065

evgenirogozin@yandex.ruВоронежский институт МВД РоссииРоссияVoronezh Institute of the Ministry of Internal Affairs of RussiaRussian Federation2023310720235028389Copyright © Ефимов А.О., Рогозин Е.А., 20232023Ефимов А.О., Рогозин Е.А.Efimov A.O., Rogozin E.A.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://vestnik.dgtu.ru/jour/article/view/1290

Цель. Целью работы является разработка методологического аппарата, а также математической модели на основе теории систем массового обслуживания, предназначенных для оценки уровня защищенности автоматизированных систем.Метод. В качестве математического аппарата рассматривается теория систем массового обслуживания. В частности, проблема устранения уязвимостей рассматривалась как многоканальная СМО с неограниченной очередью. В качестве входящего потока заявок рассматривался поток обнаруженных уязвимостей автоматизированной системы. Система за счет возможности обнаружения множества уязвимостей за короткий срок обладает очередью из уязвимостей. В качестве каналов обслуживания рассматриваются специалисты информационной безопасности, ответственные за устранение уязвимостей в данной системе. Несмотря на возможность взаимопомощи между специалистами, в данной работе рассматривается ситуация, когда каждому сотруднику ставится задача по устранению конкретной уязвимости. Выходящим потоком заявок является поток устраненных уязвимостей автоматизированной системы.Результат. Разработан методологический и математический аппарат оценки уровня защищенности автоматизированных систем на основе их уязвимостей и процесса устранения уязвимостей. В качестве основы применялась теория систем массового обслуживания. Дана оценка уровней защищенности в зависимости от вероятности возникновения очереди из не устраненных уязвимостей.Вывод. Разработанная методика может применяться в целях оценки уровня защищенности автоматизированных систем. А также позволяет производить оценку достаточности ресурсов, затрачиваемых на устранение уязвимостей конкретной автоматизированной системы.

Objective. The aim of the work is to develop a methodological apparatus, as well as a mathematical model based on the theory of queuing systems designed to assess the level of security of automated systems.Method. The theory of queuing systems is considered as a mathematical apparatus. In particular, the problem of eliminating vulnerabilities was considered as a multi-channel CFR with an unlimited queue. The flow of detected vulnerabilities of the automated system was considered as an incoming flow of applications. The system, due to the possibility of detecting many vulnerabilities in a short time, has a queue of vulnerabilities. Information security specialists responsible for eliminating vulnerabilities in this system are considered as service channels. Despite the possibility of mutual assistance between specialists, this paper considers a situation where each employee is tasked with eliminating a specific vulnerability. The outgoing flow of applications is the flow of eliminated vulnerabilities of the automated system.Result. A methodological and mathematical apparatus for assessing the level of security of automated systems based on their vulnerabilities and the process of eliminating vulnerabilities has been developed. The theory of queuing systems was used as a basis. The assessment of security levels is given depending on the probability of a queue of unresolved vulnerabilities.Conclusion. The developed methodology can be used to assess the level of security of automated systems. And also allows you to assess the sufficiency of resources spent on eliminating vulnerabilities of a specific automated system.

автоматизированная системазащита информациисистема массового обслуживанияоценка защищенностиуязвимостьautomated systeminformation securityqueuing systemsecurity assessmentvulnerabilityReferencesЩеглов, К. А. Защита от атак на уязвимости приложений. Модели контроля доступа / К. А. Щеглов, А. Ю. Щеглов // Вопросы защиты информации. – 2013. – № 2(101). – С. 36-43. – EDN QAVHRX.Shcheglov, K. A. Protection against attacks on application vulnerabilities. Access control models / K. A. Shcheglov, A. Yu. Shcheglov. Questions of information protection. 2013; 2(101):36-43. (In Russ)Плескунов, М. А. Теория массового обслуживания: Учебное пособие для студентов вуза, обучающихся по УГН 01.00.00 «Математика и механика» / М. А. Плескунов; Министерство науки и высшего образования Российской Федерации, Уральский федеральный университет имени первого Президента России Б.Н. Ельцина. – Екатеринбург: Издательство Уральского университета, 2022. – 264 с. – ISBN 978-5-7996-3539-8. – EDN RSQUKA.Pleskunov, M. A. Theory of queuing: A textbook for university students studying at the USN 01.00.00 “Mathematics and Mechanics” ; Ministry of Science and Higher Education of the Russian Federation, Ural Federal University named after the first President of Russia B.N. Yeltsin. – Yekaterinburg: Ural University Publishing House, 2022; 264. – ISBN 978-5-7996-3539-8.Вентцель, Е.С. Исследование операций / Е.С. Вентцель. – Москва: Советское радио, 1972. – 552 с.Wentzel, E.S. Operations research / E.S. Wentzel. Moscow: Soviet Radio, 1972; 552 .Вентцель, Е.С. Исследование операций: Задачи, принципы, методология: учеб. пособие / Е.С. Вентцель. – 5-е изд., стер. – Москва: КноРус, 2010. – 192 с.Wentzel, E.S. Operations research: Tasks, principles, methodology: textbook. manual / E.S. Wentzel. – 5th ed., erased. Moscow: KnoRus, 2010; 192.Саати, Т.Л. Элементы теории массового обслуживания и ее приложение / Т.Л. Саати. – Москва: Советское радио, 1965. – 510 с.Saati T.L. Elements of queuing theory and its application. Moscow: Sovetskoe radio, 1965; 510.Common Vulnerability Scoring System v3.0: Specification Document. FIRST Org. Inc, 2015. -21 p. (https://www.first.org/cvss/specification-document).Common Vulnerability Scoring System v3.0: Specification Document. FIRST Org. Inc, 2015; 21. (https:// www.first.org/cvss/specification-document).Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств: утв. ФСТЭК России 28 октября 2022 г.: Методический документ ФСТЭК России от 28.02.2022 г.Methodology for assessing the level of criticality of vulnerabilities of software, hardware and software: approved by the FSTEC of Russia on October 28, 2022: Methodological Document of the FSTEC of Russia dated 02/28/2022.Коноваленко С.А., Королев И.Д. Выявление уязвимостей информационных систем посредством комбинированного метода анализа параметрических данных, определяемых системами мониторинга вычислительных сетей. Альманах современной науки и образования. 2016, № 11(113), c. 60–66. – EDN XEEDXH.Konovalenko S.A., Korolev I.D. Identification of vulnerabilities of information systems by means of a combined method of analysis of parametric data determined by monitoring systems of computer networks, Al’manah sovremennoj nauki i obrazovaniya. 2016; 11(113): 60–66 (in Russ)Сердечный А.Л., Тарелкин М.А., Ломов А.А., Симонов К.В. Карты источников, содержащих сведения об уязвимостях программного обеспечения. Информация и безопасность. 2019, т. 22, № 3, с. 411–422. – EDN ZOUMGN.Serdechnyj A.L., Tarelkin M.A., Lomov A.A., Simonov K.V. Maps of sources containing information about software vulnerabilities. Informaciya i bezopasnost’. 2019; 22( 3): 411–422 (in Russ).Федорченк А.В., Чечулин А.А., Котенко И.В. Исследование открытых баз уязвимостей и оценка возможности их применения в системах анализа защищенности компьютерных сетей. Информационно-управляющие системы. 2014, № 5(72), с. 72–79. – EDN SXXXKH.Fedorchenko A.V., CHechulin A.A., Kotenko I.V. Research of open databases of vulnerabilities and assessment of the possibility of their application in systems of security analysis of computer networks. Informacionnoupravlyayushchie sistemy. 2014; 5(72):72–79 (in Russ).Сердечный А.Л.,. Герасимов И.В,. Макаров О.Ю и др. Технология выявления сведений об уязвимостях сторонних компонентов программного обеспечения с открытым исходным кодом. Информация и безопасность. 2020, т. 23, № 3, с. 347–364. DOI: http://dx.doi.org/10.36622/VSTU.2020.23.3.003. – EDN PYXOUT.Serdechnyj A.L., Gerasimov I.V., Makarov O.YU. i dr. Technology for identifying information about vulnerabilities of third-party components of open source software. Informaciya i bezopasnost’. 2020; 23 (3):347–364 (in Russ.).Аветисян А.И., Белеванцев А.А., Чукляев И.И. Технологии статического и динамического анализа уязвимостей программного обеспечения. Вопросы кибербезопасности. 2014, № 3(4), с. 20–28. – EDN SSYPXV.Avetisyan A.I., Belevancev A.A., Chuklyaev I.I. Technologies of static and dynamic analysis of software vulnerabilities. Voprosy kiberbezopasnosti. 2014; 3(4): 20–28 (in Russ).Russell R. et al. Automated Vulnerability Detection in Source Code Using Deep Representation Learning. 17th IEEE International Conference on Machine Learning and Applications (ICMLA), Orlando, FL, USA. 2018, p. 757–762. DOI: http://dx.doi.org/10.1109/ICMLA.2018.00120.Russell R. et al. Automated Vulnerability Detection in Source Code Using Deep Representation Learning. 17th IEEE International Conference on Machine Learning and Applications (ICMLA), Orlando, FL, USA. 2018; 757–762. DOI: http://dx.doi.org/10.1109/ICMLA.2018.00120.Wang T., Wei T., Gu G. and Zou W. TaintScope: A Checksum-Aware Directed Fuzzing Tool for Automatic Software Vulnerability Detection. IEEE Symposium on Security and Privacy, Oakland, CA, USA. 2010, p. 497–512. DOI: http://dx.doi.org/10.1109/SP.2010.37.Wang T., Wei T., Gu G. and Zou W. TaintScope: A Checksum-Aware Directed Fuzzing Tool for Automatic Software Vulnerability Detection. IEEE Symposium on Security and Privacy, Oakland, CA, USA. 2010;. 497–512. DOI: http://dx.doi.org/10.1109/SP.2010.37.Lin G., Wen S., Han Q. -L., Zhang J. and Xiang Y. Software Vulnerability Detection Using Deep Neural Networks: A Survey in Proceedings of the IEEE. Oct. 2020, vol. 108, no. 10, p. 1825–1848. DOI: http://dx.doi.org/10.1109/JPROC.2020.2993293.Lin G., Wen S., Han Q. -L., Zhang J. and Xiang Y. Software Vulnerability Detection Using Deep Neural Networks: A Survey in Proceedings of the IEEE. Oct. 2020;108(10):1825–1848. DOI: http://dx.doi.org/10.1109/JPROC.2020.2993293.

The authors declare that there are no conflicts of interest present.