|
, |
||
|
где |
b = « PrintBursts » , |
|
|
Т = { «low », «medium », «high »}; |
||
|
X = [0,100] |
||
|
G = { Ж }; |
||
Рисунок 1 - Лингвистическая переменная «PrintBursts »
На рисунке 2 изображен график лингвистической переменной «PrintSusTiming ». Технический показатель выполнения печати в нерабочее время описывается тремя термами «low », «medium » и «high ». Данный показатель измеряется в часах, прошедших относительно окончания официального рабочего времени. В работе при создании переменной использовался стандартный восьмичасовой рабочий день (с 8.30 до 17.30). В случае, если сотрудник выполняет печать в течение трех часов с момента окончания рабочего дня, то такое поведение слабо относится к подозрительному, так как задержки на работе являются распространённым явлением. Самым подозрительным временем печати является ночное время, то есть спустя 12-14 часов после окончания рабочего дня. При этом по мере приближения времени к началу следующего рабочего дня значение показателя снижается, так как сотрудники часто приезжают на работу немного заранее.
|
, |
||
|
где |
b = « PrintSusTiming » , |
|
|
Т = { «low », «medium », «high »}; |
||
|
X = [0,16] |
||
|
G = { Ж }; |
||
Рисунок 2 - Лингвистическая переменная «PrintSusTiming »
На рисунке 3 изображен график лингвистической переменной «QueryHighDistCnt». Технический показатель наличия поисковых запросов на странные темы описывается двумя термами «low » и «high ». Данный показатель измеряется в процентах, относительно среднего объема запросов, выполняемых пользователем. В случае, если объем уникальных запросов от общего объема запросов не превышает 25%, то относить данный факт к подозрительному поведению не имеет смысла. Возрастание количества уникальных запросов до 30% и выше может свидетельствовать о том, что пользователь собирает информацию компании или компьютер пользователя заражен вредоносным программным обеспечением, которое выполняет автоматизированный поиск.
|
, |
||
|
где |
b = « QueryHighDistCnt» , |
|
|
Т = { «low », «high »}; |
||
|
X = [0,100] |
||
|
G = { Ж }; |
||
|
. |
Рисунок 3 - Лингвистическая переменная «QueryHighDistCnt»
Анализ данных показателей может выявить потенциально опасные инсайдерские действия, такие как осуществление доступа в нерабочее время, печать или скачивание больших объемов информации, обращение к информации, не требуемой для выполнения должностных обязанностей и д.р.
Заключение
Предложенный набор технических индикаторов (показателей) может быть использован для построения системы логических правил или правил нечеткого вывода, позволяющих осуществлять выявление инсайдеров в организации. Внедрение механизмов анализа предложенных индикаторов позволит повысить эффективность работы администратора информационной безопасности и позволит предотвращать инциденты, связанные с реализацией инсайдерских угроз и уменьшить время, требуемое для выявления их наличия.
Библиография
1. Insider Threat Report: 2018 - CA Technologies // CA Technologies URL: https://www.ca.com/content/dam/ca/us/files/ebook/insider-threat-report.pdf (дата обращения: 18.07.2018).
2. Kauh J. [и др.]. Indicator-based behavior ontology for detecting insider threats in network systems // KSII Transactions on Internet and Information Systems. 2017. № 10 (11). C. 5062-5079.
3. Smith J.A., Holloway R. Mitigating cyber threat from malicious insiders 2014. C. 1-8.
4. Thomas Georg, Patrick D., Meier M. Ethical issues of user behavioral analysis through machine learning // Journal of Information System Security. 2017. № 1 (13). C. 3-17.
5. Verizon 2015 Data Breach Investigations Report // Information Security. 2015. C. 1-70.
6. Аникин И.В. Управление внутренними рисками информационной безопасности корпоративных информационных сетей // Научно-технические ведомости СПбГПУ. Информатика. Телекоммуникации. Управление. 2009. №3 (80).
7. Заде Л. Понятие лингвистической переменной и его применение к принятию приближенных решений. - М.: Мир, 1976.
8. Кофман А. Введение в теорию нечетких множеств. - М.: Радио и связь, 1982. - 432 c.
9. Поляничко М.А., Королев А.И. Подход к выявлению инсайдерских угроз в организации // Естественные и технические науки. 2018. - №9., Выпуск (123). - 2018 - с. 152 - 154.
10. Поляничко М.А. Современное состояние методов обнаружения и противодействия инсайдерским угрозам информационной безопасности // Colloquium-Journal. 2018. № 9-1 (20). C. 44-46.
11. Поляничко М.А., Пунанова К.В. Основные проблемы практического применения человеко-ориентированного подхода к обеспечению информационной безопасности // «Фундаментальные и прикладные разработки в области технических и физико-математических наук» Сборник научных статей по итогам работы третьего международного круглого стола. - М.: Общество с ограниченной ответственностью «КОНВЕРТ». 2018. C. 57-60.
12. Поляничко М.А. Основные меры противодействия инсайдерским угрозам информационной безопасности // «Фундаментальные и прикладные разработки в области технических и физико-математических наук» Сборник научных статей по итогам работы третьего международного круглого стола. - М.: Общество с ограниченной ответственностью «КОНВЕРТ». 2018. C. 43-46.
13. Рутковская Д., Пилиньский М., Рутковский Л. Нейронные сети, генетические алгоритмы и нечеткие системы: Пер. с польск. И.Д. Рудинского, Том 452. - Москва: Горячая линия-Телеком, 2006.
14. Что такое SIEM - системы и для чего они нужны? // ANTI - MALWARE [Электронный ресурс]. URL: https://www.anti-malware.ru/analytics/Technology_Analysis/Popular-SIEM-Starter-Use- Cases (дата обращения: 25.07.2018).