vdgtuВестник Дагестанского государственного технического университета. Технические наукиHerald of Dagestan State Technical University. Technical Sciences2073-61852542-095XDaghestan State Technical University10.21822/2073-6185-2023-50-3-57-65vdgtu-1341Research ArticleИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ И ТЕЛЕКОММУНИКАЦИИINFORMATION TECHNOLOGY AND TELECOMMUNICATIONSРекомендации по применению методики оценки защищённости автоматизированной системы управления критической информационной инфраструктуры от DDoS-атак на основе имитационного моделирования методом Монте-КарлоRecommendations for using a methodology for assessing the security of an automated control system for critical information infrastructure from DDoS attacks based on Monte Carlo simulationВоеводинВ. А.VoevodinV. A.

Воеводин Владислав Александрович, кандидат технических наук, доцент, доцент кафедры «Информационная безопасность»,

124498, г. Москва, г. Зеленоград, пл. Шокина, 1

Vladislav A. Voevodin, Cand. Sci.(Eng.), Assoc. Prof., Department of Information Security

1 Shokin Square, Moscow, Zelenograd 124498

vva541@mail.ruЧерняевВ. С.ChernyaevV. S.

Черняев Валентин Сергеевич, магистрант, 

124498, г. Москва, г. Зеленоград, пл. Шокина, 1

Valentin S. Chernyaev, Master’s student,

1 Shokin Square, Moscow, Zelenograd 124498

sergeich1997@yandex.ruВиноградовИ. В.VinogradovI. V.

Виноградов Иван Вадимович, студент, 

124498, г. Москва, г. Зеленоград, пл. Шокина, 1

Ivan V. Vinogradov, Student,

1 Shokin Square, Moscow, Zelenograd 124498

ivanvinogradov1111@gmail.comНациональный исследовательский университет «Московский институт электронной техники»РоссияNational Research University of Electronic TechnologyRussian FederationНациональный исследовательский университет «Московский институт электронной техники»Russian Federation2023271020235035765Copyright © Воеводин В.А., Черняев В.С., Виноградов И.В., 20232023Воеводин В.А., Черняев В.С., Виноградов И.В.Voevodin V.A., Chernyaev V.S., Vinogradov I.V.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://vestnik.dgtu.ru/jour/article/view/1341Цель

Цель. Целью исследования является разработка методики оценки защищённости автоматизированной системы управления критической информационной инфраструктуры от DDoS-атак. Данная методика позволяет лицу, принимающему решение (ЛПР), получить оценку риска подверженности вычислительной сети (ВС) DDoS-атакам и принять необходимые меры для снижения уровня риска реализации угрозы воздействия DDoS-атак.

Метод

Метод. Для достижения заявленной цели исследования использовалось имитационное моделирование на основе метода Монте-Карло, реализованное в рамках специализированного программного средства, а также метод расчёта интегрального риска.

Результат

Результат. Была предложена методика оценки защищённости автоматизированной системы управления критической информационной инфраструктуры от DDoS-атак с учётом значимости отдельных узлов её ВС.

Вывод

Вывод. Разработанная методика полезна при проведении аудита информационной безопасности (АИБ) для оценки интегрального риска реализации угрозы воздействия DDoS-атаки на ВС. Методика призвана помочь организации в достижении глобальных целей информационной безопасности (ИБ), а также для обоснования размера выплачиваемой страховой премии при страховании киберрисков.

Objective

Objective. The objective of the research is to develop a methodology for the security of an automated control system of critical information infrastructure from DDoS attacks. The methodology allows the decision-maker to obtain an assessment of the risk of exposure of the computer network (CN) to DDoS attacks and take necessary actions to reduce the risk of this threat.

Method

Method. To achieve the stated objective of the research, simulation modeling based on the Monte Carlo method was used, implemented within the framework of a specialized software environment, as well as a method for calculating integral risk.

Result

Result. A methodology was proposed for assessing the security of an automated control system for critical information infrastructure from DDoS attacks, taking into account the importance of individual nodes of its CN.

Conclusion

Conclusion. Thus, the developed methodology is useful when conducting an information security audit to assess the integral risk of impact implementation of a DDoS attack on a CN and is designed to help an organization achieve global information security goals, as well as to justify the amount of the insurance premium paid when insuring cyber risks.

имитационное моделированиеметод Монте-КарлоDDoS-атакааудит информационной безопасностиоценка риска информационной безопасностиsimulation modelingMonte Carlo methodDDoS attackinformation security auditinformation security risk assessmentReferencesDDoS-атаки на банки в России. [Электронный ресурс]: https://www.tadviser.ru/index.php/Статья:DDoSатаки_на_банки_в_РоссииDDoS attacks on banks in Russia. Available at: https://www.tadviser.ru/index.php/Статья:DDoS-атаки_на_банки_в_России (In Russ).ГОСТ Р ИСО/МЭК 27001— 2021 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования. Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 30 ноября 2021 г. № 1653-ст. Москва Российский институт стандартизации 2021, - 24 с.GOST R ISO/IEC 27001—2021 Information technology. Methods and means of ensuring safety. Information security management systems. Requirements. Approved and put into effect by Order of the Federal Agency for Technical Regulation and Metrology dated November 30, 2021 No. 1653-st. Moscow Russian Institute of Standardization 2021; 24. (In Russ).Implementing capacity management according to ISO 27001:2013 control A.12.1.3 [Электронный ресурс]: https://advisera.com/27001academy/blog/2016/02/22/implementing-capacity-management-according-toiso-270012013-control-a-12-1-3/Implementing capacity management according to ISO 27001:2013 control A.12.1.3 [Electronic resource]: https://advisera.com/27001academy/blog/2016/02/22/implementing-capacity-management-according-to- iso-270012013-control-a-12-1-3/(In Russ).Стандарт Банка России СТО БР ИББС-1.1-2007 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Аудит информационной безопасности». Введен в действие распоряжением ЦБР от 28 апреля 2007 г. N Р-345.Standard of the Bank of Russia STO BR IBBS-1.1-2007 “Ensuring information security of organizations of the banking system of the Russian Federation. Information security audit.” Put into effect by order of the Central Bank of Russia dated April 28, 2007;345. (In Russ).ГОСТ Р ИСО 19011–2021 Руководящие указания по проведению аудита систем менеджмента. Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 21 апреля 2021 г. N261-ст. М.: Стандартинформ, 2021. – 42 с.GOST R ISO 19011–2021 Guidelines for conducting audits of management systems. Approved and put into effect by Order of the Federal Agency for Technical Regulation and Metrology dated April 21, 2021 N261-Art. M.: Standartinform, 2021; 42. (In Russ).Информационная безопасность автоматизированных систем / А.В. Солодянников - СПб. Изд-во СПбГЭУ, 2020 - 108 с.Information security of automated systems / A.V. Solodyannikov - St. Petersburg. : Publishing house of St. Petersburg State Economic University, 2020;108. (In Russ).Макаренко С. И. Аудит информационной безопасности: основные этапы, концептуальные основы, классификация мероприятий // Системы управления, связи и безопасности. 2018. № 1. С. 1–29. Электронный ресурс: http://sccs.intelgr.com/archive/2018-01/01-Makarenko.pdfMakarenko S.I. Information security audit: main stages, conceptual foundations, classification of activities. Management, communication and security systems. 2018;1:1–29. Electronic resource: http://sccs.intelgr.com/archive/2018-01/01-Makarenko.pdf(In Russ).ГОСТ Р ИСО/МЭК 27005-2010 Информационная технология. Методы и средства обеспечения безопасности. Менеджмент риска информационной безопасности. Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 30 ноября 2010 г. N 632-ст. М.: Стандартинформ, 2012, - 91 с.GOST R ISO/IEC 27005-2010 Information technology. Methods and means of ensuring safety. Information security risk management. Approved and put into effect by Order of the Federal Agency for Technical Regulation and Metrology dated November 30, 2010 N 632-st. M.: Standartinform, 2012; 91.Вычислительные системы, сети и телекоммуникации: учебник. В 2 ч. Ч. 2. Сети и телекоммуникации / В. П. Галас ; Владим. гос. ун-т им. А. Г. и Н. Г. Столетовых. – Владимир: Изд-во ВлГУ, 2017. − 284 с.Computing systems, networks and telecommunications: textbook. In 2 hours. Part 2. Networks and telecommunications. V. P. Galas; Vladim. state University named after A. G. and N. G. Stoletov. Vladimir: VlSU Publishing House, 2017; 284. (In Russ).Вычислительные системы, сети и телекоммуникации: учебник для студ. учреждений высш. проф. образования / А. И. Гусева, В.С. Киреев – М.: Издательский центр «Академия», 2014 – М. Издательский центр «Академия», 2014. – 288с. – (Сер. Бакалавриат).Computing systems, networks and telecommunications: a textbook for students. institutions of higher education prof. education. A.I. Guseva, V.S. Kireev. M.: Publishing center “Academy”, 2014 - M.: Publishing center “Academy”, 2014; 288 (Ser. Bachelor’s degree). (In Russ).Губарева О. Ю. Разработка методики оценки рисков информационной безопасности корпоративных телекоммуникационных сетей специальность 05.12.13 «Сети, системы и устройства телекоммуникаций» автореферат диссертации на соискание учёной степени кандидата технических наук. Федеральное государственное бюджетное образовательное учреждение высшего образования «Поволжский государственный университет телекоммуникаций и информатики» – Самара, 2018. – 176 с.Gubareva O. Yu. Development of a methodology for assessing the risks of information security of corporate telecommunication networks, specialty 05.12.13 “Networks, systems and devices of telecommunications”: abstract of the dissertation for the degree of candidate of technical sciences. Federal State Budgetary Educational Institution of Higher Education “Volga Region State University of Telecommunications and Informatics”. Samara, 2018; 176. (In Russ).Воеводин В.А., Буренок Д.С., Черняев В.С. 2021, Программа для оценки защищенности сервера от DDoS-атак свидетельство официальной регистрации компьютерной программы номер 2021615403.Voevodin V.A., Burenok D.S., Chernyaev V.S. 2021, Program for assessing server security against DDoS attacks, certificate of official registration of the computer program number 2021615403. (In Russ).Воеводин В.А., Черняев В.С., Буренок Д.С., Виноградов И.В. Методика оценки защищённости автоматизированной системы управления критической информационной инфраструктуры от DDoSатак на основе имитационного моделирования методом Монте-Карло. Вестник Дагестанского государственного технического университета. Технические науки. 2023;50(1):62-74.Voevodin V.A., Chernyaev V.S., Burenok D.S., Vinogradov I.V. Methodology for assessing the security of an automated control system for critical information infrastructure from DDoS attacks based on Monte Carlo simulation. Herald of Daghestan State Technical University. Technical Science. 2023; 50(1):62-74. DOI: 10.21822/2073-6185-2023-50-1-62-74 (In Russ).Воеводин В. А., Маркин П. В., Маркина М. С., Буренок Д. С. Методика разработки программы аудита информационной безопасности с учетом весовых коэффициентов значимости свидетельств аудита на основе метода анализа иерархий // Системы управления, связи и безопасности. 2021. № 2. С. 96–129. DOI: 10.24412/2410-9916-2021-2-96-129.Voevodin V. A., Markin P. V., Markina M. S., Burenok D. S. Methodology for developing an information security audit program taking into account the weighting coefficients of the significance of audit evidence based on the hierarchy analysis method. Management Systems, Communications and security. 2021; 2. 96–129. DOI: 10.24412/2410-9916-2021-2- 96-129. (In Russ).Воеводин В. А., Карманьян А. И., Суханов Е. Э., Штанг К. С. О методике оценки значимости аудиторских свидетельств информационной безопасности // Интеллектуальные системы в информационном противоборстве: сборник научных трудов Российской научной конференции. 2019. С. 40-44.Voevodin V. A., Karmanyan A. I., Sukhanov E. E., Shtang K. S. On the methodology for assessing the significance of audit certificates of information security. Intelligent systems in information warfare: collection of scientific papers of the Russian scientific conference. 2019; 40-44. (In Russ).Кибербезопасность АСУ ТП: вести с передовой / [Электронный ресурс]. Режим доступа: https://www.kaspersky.ru/blog/ics-report-2017/17812/Cybersecurity of automated process control systems: news from the front lines / [Electronic resource]. Access mode: https://www.kaspersky.ru/blog/ics-report-2017/17812/(In Russ).

The authors declare that there are no conflicts of interest present.