vdgtuВестник Дагестанского государственного технического университета. Технические наукиHerald of Dagestan State Technical University. Technical Sciences2073-61852542-095XDaghestan State Technical University10.21822/2073-6185-2026-53-1-64-72vdgtu-2002Research ArticleИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ И ТЕЛЕКОММУНИКАЦИИINFORMATION TECHNOLOGY AND TELECOMMUNICATIONSОптимизационные задачи, связанные с количественной оценкой уровня защищенности, на основе анализа уязвимостей автоматизированных системOptimization tasks related to quantifying the security level based on vulnerability analysis of automated systemsЕфимовА. О.EfimovA. O.

Ефимов Алексей Олегович, преподаватель кафедры автоматизированных информационных систем органов внутренних дел,

394065, г. Воронеж, пр. Патриотов, 53

Aleksey O. Efimov, Lecturer, Department of Automated Information Systems of Internal Affairs Bodies,

53 Patriotov St., Voronezh 394065

ea.aleksei@yandex.ruРогозинЕ. А.RogozinE. A.

Рогозин Евгений Алексеевич, доктор технических наук, профессор, профессор кафедры автоматизированных информационных систем органов внутренних дел,

394065, г. Воронеж, пр. Патриотов, 53

Evgeny A. Rogozin, Dr. Sci. (Eng.), Prof., Prof., Department of Automated Information Systems of Internal Affairs Bodies,

53 Patriotov St., Voronezh 394065

evgenirogozin@yandex.ruВоронежский институт МВД РоссииРоссияVoronezh Institute of the Ministry of Internal Affairs of RussiaRussian Federation2026300420265316472Copyright © Ефимов А.О., Рогозин Е.А., 20262026Ефимов А.О., Рогозин Е.А.Efimov A.O., Rogozin E.A.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://vestnik.dgtu.ru/jour/article/view/2002Цель

Цель. В статье решается проблема количественной оценки уровня защищённости автоматизированных систем органов внутренних дел в условиях постоянного роста числа выявляемых уязвимостей и ограниченности ресурсов, затрачиваемых на их устранение. Проведён анализ существующих подходов к оценке защищённости информационных систем, показаны их ограничения, связанные с отсутствием формализованного учёта ресурсных ограничений и взаимосвязей между уязвимостями.

Метод

Метод. В качестве метода решения поставленной задачи предложен математический аппарат, основанный на совокупности оптимизационных моделей. Рассмотрены три задачи: минимизация вероятности эксплуатации уязвимостей системы путём подбора оптимальных элементов АС ОВД; выбор наиболее уязвимых элементов для приоритетной проверки; выбор комплекта средств устранения уязвимостей с учётом их стоимости и допустимой ошибки. Для формализации применены методы динамического программирования и оптимизации.

Результат

Результат. Результаты вычислительного эксперимента на модельных данных демонстрируют эффективность предложенного подхода, позволяющего переходить от «жадных» алгоритмов устранения уязвимостей к оптимальным стратегиям обеспечения защищённости. Совместное решение оптимизационных задач обеспечивает более рациональное распределение ресурсов и снижение вероятности уязвимостей при ограничениях по времени и стоимости.

Вывод

Вывод. Разработанные метод и модели могут быть положены в основу практических механизмов управления защищённостью АС ОВД. Применение предложенного подхода открывает перспективу интеграции количественных методов в процессы оценки и повышения уровня защищённости автоматизированных систем правоохранительных органов.

Objective

Objective. The article discusses the problem of quantifying the level of security of automated systems of internal affairs bodies (AS) in the context of a constant increase in the number of identified vulnerabilities and limited resources spent on their elimination. An analysis of approaches to assessing the security of information systems is conducted, and their limitations associated with the lack of a formalized accounting of resource constraints and relationships between vulnerabilities are shown.

Method

Method. A mathematical apparatus based on a set of optimization models is proposed. Three tasks are considered: minimizing the likelihood of exploiting system vulnerabilities by selecting the optimal elements of the AS control system; selecting the most vulnerable elements for priority verification; selecting a set of vulnerability mitigation tools, taking into account their cost and error tolerance. Dynamic programming and optimization methods were applied.

Result

Result. The results of the computational experiment on model data demonstrate the effectiveness of the proposed approach, which makes it possible to move from "greedy" algorithms for eliminating vulnerabilities to optimal security strategies. Joint solution of optimization problems ensures rational allocation of resources and reduction of the probability of vulnerabilities under time and cost constraints.

Conclusion

Conclusion. The developed method and models can be used as a basis for practical mechanisms for managing the security of ATS automated systems. The application of the proposed approach opens up the prospect of integrating quantitative methods into the assessment processes and increasing the level of security of automated law enforcement systems.

автоматизированные системыинформационная безопасностьуязвимостиколичественная оценка защищённостиоптимизационные задачидинамическое программированиекомбинаторная оптимизацияautomated systemsinformation securityvulnerabilitiesquantitative assessment of securityoptimization tasksdynamic programmingcombinatorial optimizationReferencesАветисян А.И., Белеванцев А.А., Чукляев И.И. Технологии статического и динамического анализа уязвимостей программного обеспечения // Вопросы кибербезопасности. – 2014. – № 3(4). – С. 20–28. – EDN SSYPXV.Avetisyan A.I., Belevantsev A.A., Chuklyaev I.I. Technologies of Static and Dynamic Analysis of Software Vulnerabilities. Cybersecurity Issues. 2014;3(4): 20–28. – EDN SSYPXV.Бокова О.И., Дровникова И.Г., Етепнев А.С. [и др.] Методики оценивания надежности систем защиты информации от несанкционированного доступа в автоматизированных системах//Труды СПИИРАН. – 2019. – Т. 18, № 6. – С. 1301–1332. DOI 10.15622/sp.2019.18.6.1301-1332. – EDN YBHXOB.Bokova O.I., Drovnikova I.G., Etepnev A.S. [et al.] Methods for Assessing the Reliability of Information Security Systems against Unauthorized Access in Automated Systems. SPIIRAS Proceedings. 2019;18(6): 1301–1332. – DOI 10.15622/sp.2019.18.6.1301-1332. – EDN YBHXOB.ГОСТ Р 53114-2008. Информационная технология. Защита информации. Основные термины и определения. – Введ. 2009-01-01. – М.: Стандартинформ, 2009. – 14 с.GOST R 53114-2008. Information Technology. Information Security. Basic Terms and Definitions. – Effective from 2009-01-01. – Moscow: Standartinform, 2009. – 14 p.ГОСТ Р 56546-2015. Информационная безопасность. Защита информации. Показатели защищённости информационных систем. – Введ. 2016-01-01. – М.: Стандартинформ, 2016. – 12 с.GOST R 56546-2015. Information Security. Information Protection. Security Indicators of Information Systems. – Effective from 2016-01-01. – Moscow: Standartinform, 2016. – 12 p.ГОСТ Р 58142-2018. Информационная безопасность. Методы и средства защиты информации. Общие положения. – Введ. 2018-12-01. – М.: Стандартинформ, 2018. – 24 с.GOST R 58142-2018. Information Security. Methods and Means of Information Protection. General Provisions. – Effective from 2018-12-01. – Moscow: Standartinform, 2018. – 24 p.Дойникова Е.В., Чечулин А.А., Котенко И.В. Оценка защищенности компьютерных сетей на основе метрик CVSS // Информационно-управляющие системы. – 2017. – № 6(91). – С. 76–87. – DOI 10.15217/issn1684-8853.2017.6.76. – EDN ZXWUWH.Doinikova E.V., Chechulin A.A., Kotenko I.V. Assessment of Computer Network Security Based on CVSS Metrics. Information and Control Systems. 2017;6(91):76–87. DOI 10.15217/issn1684-8853.2017.6.76. – EDN ZXWUWH.Дровникова И.Г., Етепнев А.С., Рогозин Е.А. Основные виды уязвимостей и взаимосвязь компонентов безопасности при обосновании показателей надёжности системы защиты информации от несанкционированного доступа в автоматизированных системах // Приборы и системы. Управление, контроль, диагностика. – 2019. – № 3. – С. 59–64. – EDN VWGOHY.Drovnikova I.G., Etepnev A.S., Rogozin E.A. Main Types of Vulnerabilities and the Relationship of Security Components in Justifying the Reliability Indicators of Information Protection Systems against Unauthorized Access in Automated Systems. Devices and Systems. Control, Diagnostics. 2019;3:59–64. EDN VWGOHY.Ефимов А.О., Лившиц И.И., Мещерякова Т.В., Рогозин Е.А. Концептуальные основы оценки уровня защищенности автоматизированных систем на основе их уязвимости // Безопасность информационных технологий. – 2023. – Т. 30, № 2. – С. 63–79. DOI 10.26583/bit.2023.2.04. – EDN LGPQZP.Efimov A.O., Livshits I. I., Meshcheryakova T.V., Rogozin E.A. Conceptual Framework for Assessing the Security Level of Automated Systems Based on Their Vulnerabilities // Information Technology Security. – 2023. – Vol. 30, No. 2. – P. 63–79. – DOI 10.26583/bit.2023.2.04. – EDN LGPQZP.Коноваленко С.А., Королев И.Д. Выявление уязвимостей информационных систем посредством комбинированного метода анализа параметрических данных, определяемых системами мониторинга вычислительных сетей//Альманах современной науки и образования. – 2016. – № 11(113). – С. 60–66. – EDN XEEDXH.Konovalenko S.A., Korolev I.D. Detection of Vulnerabilities in Information Systems Using a Combined Method of Analyzing Parametric Data Determined by Computer Network Monitoring Systems. Almanac of Modern Science and Education. 2016;11(113): 60–66. – EDN XEEDXH.Кравченко, А.С. Аппаратно-программные средства и информационные процессы защиты систем предоставления пользователям доступа к программным ресурсам/А. С. Кравченко, С. В. Родин, Т. Е. Смоленцева//Современные проблемы науки и образования. – 2015. – № 1-1. С.357. EDN VIDYLR.Kravchenko A.S., Rodin S.V., Smolentseva TE. Hardware and Software Tools and Information Processes for Protecting Systems Providing Users with Access to Software Resources. Modern Problems of Science and Education. 2015;1-1:357. – EDN VIDYLR.Кубарев А.В. Подход к формализации уязвимостей информационных систем на основе их классификационных признаков//Вопросы кибербезопасности. – 2013. – № 2(2). – С. 29–33. EDN SZEDHH.Kubarev A.V. An Approach to the Formalization of Information System Vulnerabilities Based on Their Classification Features. Cybersecurity Issues. 2013;2(2): 29–33. – EDN SZEDHH.Ланкин О.В., Сумин В.И., Воронова Е.В. Системно-комплексный кибернетический подход к формированию методологических основ интеллектуальной защиты информации от несанкционированного доступа // Вестник Воронежского государственного технического университета. – 2011. – Т. 7, № 8. – С. 174–176. – EDN NYIJQT.Lankin O.V., Sumin V.I., Voronova E.V. A System-Complex Cybernetic Approach to the Formation of Methodological Foundations for Intelligent Information Protection against Unauthorized Access. Bulletin of Voronezh State Technical University. 2011; 7(8):174–176. – EDN NYIJQT.Лившиц И.И. Метод оценивания безопасности облачных ИТ-компонент по критериям существующих стандартов//Труды СПИИРАН. – 2020. – Т. 19, №2. – С.383–411. DOI 10.15622/sp.2020.19.2.6. EDN DPCIDQ.Livshits I.I. A Method for Assessing the Security of Cloud IT Components According to Existing Standards. SPIIRAS Proceedings. 2020;19(2):383–411. – DOI 10.15622/sp.2020.19.2.6. – EDN DPCIDQ.Математическая модель локальной политики безопасности с учетом структурных особенностей автоматизированной информационной системы информационного центра/ В.И. Сумин, А.В. Душкин, С.В. Родин, М.А. Жукова//Математические методы и информационно-технические средства: материалы IX Всероссийской научно-практической конференции, Краснодар, 21–22 июня 2013г./редколлегия: И.Н. Старостенко ответственный редактор, С.А. Вызулин, Е.В. Михайленко, Ю.Н. Сопильняк. – Краснодар: Федеральное государственное казенное образовательное учреждение высшего профессионального образования "Краснодарский университет Министерства внутренних дел Российской Федерации", 2013. – С. 305-307. – EDN YTBIAH.Sumin V.I., Dushkin A.V., Rodin S.V., Zhukova M.A. Mathematical Model of Local Security Policy Considering the Structural Features of an Automated Information System of the Information Center // Mathematical Methods and Information-Technical Tools: Proceedings of the IX All-Russian Scientific and Practical Conference, Krasnodar, June 21–22, 2013 / Editorial Board: I.N. Starostenko (ed.), S.A. Vyzulin, E.V. Mikhailenko, Yu.N. Sopilnyak. – Krasnodar: Krasnodar University of the Ministry of Internal Affairs of the Russian Federation, 2013; 305–307. – EDN YTBIAH.Родин, С.В. Моделирование систем защиты информации в информационных системах вневедомственной охраны: специальность 05.13.18 "Математическое моделирование, численные методы и комплексы программ", 05.13.19 "Методы и системы защиты информации, информационная безопасность": автореферат диссертации на соискание ученой степени кандидата технических наук / Родин Сергей Владимирович. – Воронеж, 2009. – 17 с. – EDN NKXWRJ.Rodin S.V. Modeling of Information Security Systems in the Information Systems of the Non-Departmental Security Service: Specialty 05.13.18 "Mathematical Modeling, Numerical Methods and Software Complexes", 05.13.19 "Methods and Systems of Information Security, Information Security": Abstract of Dissertation for the Degree of Candidate of Technical Sciences. Rodin Sergey Vladimirovich. Voronezh, 2009;17– EDN NKXWRJ.Сумин, В.И. Разработка сетевой модели целевых установок сложных организационных систем специального назначения / В.И. Сумин, А.С. Кравченко, С.В. Родин // Моделирование систем и процессов. – 2024. – Т. 17, № 3. – С. 79-87. – DOI 10.12737/2219-0767-2024-77-85. – EDN QIRWOK.Sumin V.I., Kravchenko A.S., Rodin S.V. Development of a Network Model of Target Settings of Complex Organizational Systems for Special Purposes. Modeling of Systems and Processes. 2024;17(3):79–87. – DOI 10.12737/2219-0767-2024-77-85. – EDN QIRWOK.ФСТЭК России. Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств. – Утв. 28 октября 2022 г. – URL: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnyenormativnye-dokumenty/metodicheskij-dokument-ot-28-oktyabrya-2022-g-2 (дата обращения: 04.10.2024).FSTEC of Russia. Methodology for Assessing the Criticality of Vulnerabilities of Software and Hardware-Software Tools. – Approved on October 28, 2022. https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-28-oktyabrya-2022-g-2 (accessed: 04.10.2024).Щеглов К.А., Щеглов А.Ю. Защита от атак на уязвимости приложений. Модели контроля доступа // Вопросы защиты информации. – 2013. – № 2(101). – С. 36–43. – EDN QAVHRX.Shcheglov K.A., Shcheglov A.Yu. Protection Against Application Vulnerability Attacks. Access Control Models. Information Security Issues. 2013;2(101):36–43. – EDN QAVHRX.Forum of Incident Response and Security Teams. Common Vulnerability Scoring System version 4.0: Specification Document [Электронный ресурс]. – URL: https://www.first.org/cvss/specification-document (дата обращения: 16.01.2025).Forum of Incident Response and Security Teams. Common Vulnerability Scoring System Version 4.0: Specification Document [El.resource]. – URL: https://www.first.org/cvss/specification-document (accessed: 16.01.2025).Lin G., Wen S., Han Q.-L., Zhang J., Xiang Y. Software Vulnerability Detection Using Deep Neural Networks: A Survey // Proceedings of the IEEE. – 2020. – Vol. 108, no. 10. – P. 1825–1848. – DOI: http://dx.doi.org/10.1109/JPROC.2020.2993293.Lin G., Wen S., Han Q.-L., Zhang J., Xiang Y. Software Vulnerability Detection Using Deep Neural Networks: A Survey. Proceedings of the IEEE. 2020;108(10):1825–1848. DOI: http://dx.doi.org/10.1109/JPROC.2020.2993293.OWASP Foundation. OWASP Risk Rating Methodology [Электронный ресурс]. – URL: https://owasp.org/www-community/OWASP_Risk_Rating_Methodology (дата обращения: 16.01.2025).OWASP Foundation. OWASP Risk Rating Methodology [Electronic resource]. – URL: https://owasp.org/wwwcommunity/OWASP_Risk_Rating_Methodology (accessed: 16.01.2025).Russell R. et al. Automated Vulnerability Detection in Source Code Using Deep Representation Learning // 17th IEEE International Conference on Machine Learning and Applications (ICMLA), Orlando, FL, USA. – 2018. – P. 757–762. – DOI: http://dx.doi.org/10.1109/ICMLA.2018.00120.Russell R. et al. Automated Vulnerability Detection in Source Code Using Deep Representation Learning // 17th IEEE International Conference on Machine Learning and Applications (ICMLA), Orlando, FL, USA. – 2018;757–762. – DOI: http://dx.doi.org/10.1109/ICMLA.2018.00120.Serdechny A. L., Tarelkin M. A., Lomov A. A., Simonov K. V. Карты источников, содержащих сведения об уязвимостях программного обеспечения // Информация и безопасность. – 2019. – Т. 22, № 3. – С. 411–422. – EDN ZOUMGN.Serdechny A.L., Tarelkin M.A., Lomov A.A., Simonov K.V. Maps of Sources Containing Information on Software Vulnerabilities. Information and Security. 2019;22(3):411–422. – EDN ZOUMGN.Wang T., Wei T., Gu G., Zou W. TaintScope: A Checksum-Aware Directed Fuzzing Tool for Automatic Software Vulnerability Detection // IEEE Symposium on Security and Privacy, Oakland, CA, USA. – 2010. – P. 497–512. – DOI: http://dx.doi.org/10.1109/SP.2010.37.Wang T., Wei T., Gu G., Zou W. TaintScope: A Checksum-Aware Directed Fuzzing Tool for Automatic Software Vulnerability Detection. IEEE Symposium on Security and Privacy, Oakland, CA, USA. 2010;. 497–512. – DOI: http://dx.doi.org/10.1109/SP.2010.37Ефимов, А.О. Об осуществлении управления уязвимостями автоматизированных систем //Вестник Воронежского института МВД России. – 2023. – № 3. – С. 186-196.EDN MAYURS.Efimov, A.O. On the implementation of vulnerability management of automated systems. Herald of the Voronezh Institute of the Ministry of Internal Affairs of Russia. 2023;3:186-196. EDN MAYURS.Ефимов, А.О. Оценка уровня защищенности (безопасности функционирования) автоматизированных систем на основе их уязвимостей, формализованная при помощи теории систем массового обслуживания/ А.О. Ефимов, Е.А. Рогозин//Вестник Дагестанского государственного технического университета. Технические науки. – 2023. – Т. 50, № 2. – С. 83-89.DOI 10.21822/2073-6185-2023-50-2-83-89.Efimov A.O., Rogozin E.A. Assessment of the level of security (safety of functioning) of automated systems based on their vulnerabilities, formalized using the theory of queuing systems. Herald of Dagestan State Technical University. Technical sciences. 2023;50():83-89. – DOI 10.21822/2073-6185-2023-50-2-83-89.Ефимов, А.О. Прогнозирование количества выявляемых уязвимостей информационной безопасности на основе теории «серых систем» / А.О. Ефимов, С.А. Мишин, Е.А. Рогозин // Вестник Дагестанского государственного технического университета. Технические науки. – 2023. – Т. 50, № 3. – С. 72-82. – DOI 10.21822/2073-6185-2023-50-3-72-82. – EDN JEDBYH.Efimov, A.O. Forecasting the number of identified information security vulnerabilities based on the theory of "gray systems" / A.O. Efimov, S.A. Mishin, E.A. Rogozin. Herald of Dagestan State Technical University. Technical sciences. 2023;50(3):72-82. DOI10.21822/2073-6185-2023-50-3-72-82. EDN JEDBYH.

The authors declare that there are no conflicts of interest present.