ПОДХОД К ПРОГНОЗИРОВАНИЮ СВОЙСТВ УЯЗВИМОСТЕЙ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ

Сергей А. Будников, Михаил А. Тарелкин, Юрий К. Язов

Аннотация


Разработан вероятностный подход к прогнозированию свойств выявляемых уязвимостей программного обеспечения. Подход основан на представлении процесса смены значений базовых метрик обнаруживаемых программных уязвимостей CVSS v3.0 в виде случайного марковского процесса с дискретными состояниями и непрерывным временем. При построении систем уравнений Колмогорова учитывалась динамика изменения средней интенсивности смены значений базовых метрик, зависящая от текущего времени. Получены аналитические линейные функции, аппроксимирующие средние значения мгновенной интенсивности смены значений базовых метрик в пределах квартала года, начиная с 1 января 2017 г. В интересах краткосрочного прогнозирования проведено вероятностное моделирование появления уязвимостей операционной системы Astra Linux Special Edition с заданными свойствами в виде значений базовых метрик CVSS v3.0 в зависимости от дня с момента обнаружения последней программной уязвимости. Начальными условиями моделирования установлены значения базовых метрик последней опубликованной программной уязвимости. Показана возможность расчета значений стационарных вероятностей появления заданных значений базовых метрик CVSS v3.0 уязвимостей для долгосрочного прогнозирования в течение года. Совпадение статистических данных за IV квартал 2023 г. и результатов моделирования процесса появления уязвимостей с этими свойствами подтвердили адекватность моделей и достоверность результатов прогнозирования. Областью применения разработанного подхода могут являться сфера разработки программного обеспечения и средств защиты информации, а также создаваемые и эксплуатируемые системы обеспечения информационной безопасности значимых объектов критической информационной инфраструктуры.

Ключевые слова


критическая информационная инфраструктура, линейная регрессия, марковский случайный процесс, оценка уязвимостей, прогнозирование, уравнения Колмогорова.

Полный текст:

PDF

Литература


1. Саркисян С.А., Ахундов В.М., Минаев Э.С. Анализ и прогноз развития больших технических систем. М.: Наука, 1982. – 280 p.

2. Yasasin E., Prester J., Wagner G., & Schryen G. (2020). Forecasting IT security vulnerabilities - An empirical analysis. Comput. Secur., v. 88, 101610. DOI: https://doi.org/10.1016/j.cose.2019.101610.

3. Augustine M.T. and Patil D.U. A Computationally Efficient LQR based Model Predictive Control Scheme for Discrete-Time Switched Linear Systems. 60th IEEE Conference on Decision and Control (CDC), Austin, TX, USA. 2021, p. 2480–2485.
DOI: 10.1109/CDC45484.2021.9683689.

4. Roumani Yaman, Joseph K. Nwankpa, Yazan F. Roumani (2015). Time series modeling of vulnerabilities. Computers & Security.
V. 50, p. 32–40. DOI: https://doi.org/10.1016/j.cose.2015.03.003.

5. Movahedi Y., Cukier M., Andongabo A. and Gashi I. Cluster-Based Vulnerability Assessment Applied to Operating Systems. 13th European Dependable Computing Conference (EDCC), Geneva, Switzerland. 2017,
p. 18–25. DOI: 10.1109/EDCC.2017.27.

6. Соловьев С.В., Мамута В.В. Применение экспертных методов при прогнозировании угроз безопасности информации с использованием баз данных уязвимостей. Информация и безопасность. 2014, т. 17, № 3,
с. 460–463. – EDN: SZGPPP.

7. Movahedi Y., Cukier M., & Gashi I. (2019). Vulnerability prediction capability: A comparison between vulnerability discovery models and neural network models. Computers & Security. V. 87, 101596.
DOI: https://doi.org/10.1016/j.cose.2019.101596.

8. Deb A., Lerman K., & Ferrara E. (2018). Predicting Cyber Events by Leveraging Hacker Sentiment Information. 9(11), 280.
DOI: https://doi.org/10.3390/info9110280.

9. Кучер В.А., Агранович В.С. Использование методов теории вероятностей и математической статистики для оценки вероятностей обнаружения уязвимостей в информационных автоматизированных системах. Информационное противодействие угрозам терроризма. 2005, № 5, c. 187–191. – EDN: IBMFAD.

10. Бокс Дж. Анализ временных рядов. Прогноз и управление = Time Series Analysis. Forecasting and control: перевод с английского. Д. Бокс, Г. Дженкинс ; под ред. В. Ф. Писаренко. М.: Мир, 1974. – 197 p.

11. Калашник Е.О. Анализ и прогнозирование динамики уязвимостей. Научно-технический вестник Санкт-Петербургского государственного университета информационных технологий, механики и оптики. 2007, № 39, с. 94–95. – EDN: JSPVGP.

12. Сирота А.А., Вялых А.С., Вялых С.А. Прогнозирование динамики обнаружения уязвимостей программного обеспечения при помощи нейросетевых алгоритмов обработки информации. Информатика: проблемы, методология, технологии: Материалы XIII Международной научно-методической конференции, Воронеж, 07–08 февраля 2013 года. Том 3. Воронеж: Воронежский государственный университет. 2013, с. 224–228. ISBN: 978-5-9273-2015-8. URL: https://www.cs.vsu.ru/ipmt-conf/conf/2013/Программа_2013_конф_шк_v4.pdf (дата обращения: 25.04.2024).

13. Язов Ю.К., Соловьев С.В. Методология оценки эффективности защиты информации в информационных системах от несанкционированного доступа: монография. СПб: Наукоемкие технологии, 2023. – 258 с.

14. Будников С.А., Бутрик Е.Е., Соловьев С.В. Моделирование APT-атак, эксплуатирующих уязвимость Zerologon. Вопросы кибербезопасности. 2021, № 6(46), c. 47–61. – EDN: XRMBZD.

15. Андронов А.М., Копытов Е.А., Гринглаз Л.Я. Теория вероятностей и математическая статистика: Учебник для вузов. СПб.: Питер, 2004. – 461 с.

16. Вентцель Е.С., Овчаров Л.А. Теория случайных процессов и ее инженерные приложения. М.: Высшая школа, 2000. – 383 с.




DOI: http://dx.doi.org/10.26583/bit.2024.4.01

Ссылки

  • На текущий момент ссылки отсутствуют.


Лицензия Creative Commons
Это произведение доступно по лицензии Creative Commons «Attribution» («Атрибуция») 4.0 Всемирная.