Нечёткая модель оценки защищённости подсистемы удалённого мониторинга в промышленном Интернете вещей с учётом непреднамеренных инсайдерских угроз

Введение

Широкое внедрение промышленного интернета вещей (Industrial Internet of Things, промышленный Интернет вещей) приводит к формированию распределенных киберфизических систем, включающих большое количество взаимосвязанных датчиков, контроллеров и сервисов аналитики. Подсистемы удаленного мониторинга в таких системах обеспечивают непрерывный сбор и передачу технологических параметров, играя ключевую роль в поддержании надежности технологических процессов и оперативном управлении производством.

Рост связности и интеграции промышленных систем с корпоративной и облачной инфраструктурой сопровождается расширением поверхности атак и появлением новых классов угроз информационной безопасности. Наряду с традиционными внешними нарушителями, использующими уязвимости в протоколах и программном обеспечении, значимым источником риска выступают внутренние пользователи, имеющие легитимный доступ к подсистемам управления и мониторинга. При этом существенную долю составляют непреднамеренные инсайдерские угрозы, обусловленные ошибками персонала, нарушением регламентов и недостаточной квалификацией, что особенно критично в условиях непрерывного функционирования технологических объектов.

Классические подходы к оценке защищенности промышленных систем, основанные на экспертных балльных оценках и жестких пороговых правилах, плохо учитывают неоднозначность и неполноту исходной информации, характерную для анализа человеческого фактора и сложных производственных сценариев. В этой связи целесообразно применение методов нечеткой логики, позволяющих формализовать экспертные представления в виде лингвистических переменных и нечетких правил, а также агрегировать разнородные показатели в интегральный уровень защищенности.

Целью данного исследования является разработка нечеткой модели оценки защищенности подсистемы удаленного мониторинга в промышленном Интернете вещей с учетом непреднамеренных инсайдерских угроз, возникающих при взаимодействии операторов и обслуживающего персонала с элементами подсистемы. Для достижения поставленной цели решаются следующие задачи:

описать архитектуру типовой подсистемы удаленного мониторинга и выделить критически важные узлы, подверженные влиянию действий персонала;

- сформировать перечень релевантных сценариев непреднамеренных инсайдерских угроз и параметров, характеризующих вероятность их реализации и возможный ущерб;

- разработать систему лингвистических переменных и функций принадлежности для нечеткой оценки уровня защищенности подсистемы;

- определить базу нечетких правил и схему агрегирования показателей в интегральный индекс защищенности и продемонстрировать работу модели на модельном примере.

Полученные результаты ориентированы на применение в рамках методик анализа рисков и моделирования угроз для объектов критической информационной инфраструктуры и промышленных систем управления, относящихся к области научной специальности 2.3.6 «Методы и системы защиты информации, информационная безопасность».

Материалы и методы исследования

Архитектура подсистемы удаленного мониторинга в промышленном Интернете вещей

Типовая подсистема удаленного мониторинга в промышленном Интернете вещей включает совокупность полевых датчиков, программируемых логических контроллеров, сетевой инфраструктуры передачи данных, серверов сбора и хранения информации, а также прикладных сервисов визуализации и аналитики. Датчики измеряют технологические параметры (давление, температура, вибрация и т.п.) и передают данные на контроллеры, которые осуществляют первичную обработку и маршрутизацию информации в верхний уровень.

Сбор и агрегация данных осуществляются на серверах мониторинга, развернутых в технологическом сегменте или в защищенной части корпоративной сети предприятия. Доступ операторов и обслуживающего персонала к информации и функциям подсистемы удаленного мониторинга реализуется через рабочие места, подключенные по проводным или беспроводным каналам связи, а также посредством удаленного доступа при техническом обслуживании и диагностике. Подсистема может интегрироваться с системами управления производством, аналитическими платформами и внешними сервисами технической поддержки оборудования.

В рассматриваемой постановке задачи основное внимание уделяется тем компонентам подсистемы, взаимодействие с которыми осуществляется персоналом: интерфейсам операторских рабочих мест, средствам удаленного доступа, инструментам конфигурирования контроллеров и настройкам уведомлений и оповещений. Эти элементы являются ключевыми точками, в которых непреднамеренные действия пользователей способны инициировать или усиливать угрозы нарушения конфиденциальности, целостности и доступности информации.

Для верификации предложенного подхода разработана программа на языке Python с использованием библиотеки нечеткой логики scikit-fuzzy. Выбор данного инструментария обусловлен полнотой реализации операций нечеткого вывода Мамдани, поддержкой треугольных и трапецеидальных функций принадлежности, а также возможностью интеграции с научными библиотеками для визуализации результатов. Модель работает в несколько этапов: сначала оцениваются входные данные (фазификация), затем применяются 15 нечетких правил, и на последнем шаге вычисляется итоговый показатель методом центра тяжести (дефаззификация).

Непреднамеренные инсайдерские угрозы в подсистемах удаленного мониторинга

Под непреднамеренными инсайдерскими угрозами в данном исследовании понимаются угрозы, обусловленные ошибочными действиями или бездействием внутренних пользователей, имеющих легитимный доступ к ресурсам подсистемы, при отсутствии у них умысла причинить вред безопасности. К числу таких угроз относятся, в частности, некорректное выполнение процедур удаленного доступа, неправильная интерпретация сигналов тревоги, несвоевременное реагирование на критические события, ошибочная конфигурация уровней доступа и параметров резервирования.

В промышленных системах непреднамеренные инсайдерские угрозы усугубляются высокой сложностью технологических процессов, необходимостью работы в условиях дефицита времени и информационной перегрузки операторов. Ошибки персонала могут приводить к длительным простоям оборудования, нарушению технологических режимов и значительным экономическим потерям, что сопоставимо по последствиям с успешными атаками внешних нарушителей.

Анализ существующих методик моделирования угроз для объектов критической информационной инфраструктуры показывает, что человеческий фактор зачастую рассматривается фрагментарно и описывается обобщенными вероятностными оценками без детальной дифференциации сценариев поведения сотрудников. В результате разработка эффективных мер снижения рисков, связанных с непреднамеренными действиями персонала, затрудняется, а оценка защищенности подсистемы оказывается недостаточно точной.

Обоснование использования нечеткой модели

Оценка риска реализации непреднамеренных инсайдерских угроз в подсистемах удаленного мониторинга связана с высокой степенью неопределенности исходных данных. Точные статистические сведения о частоте тех или иных ошибок персонала, их зависимости от условий эксплуатации и особенностей организации процессов зачастую отсутствуют или являются неполными. Вместе с тем у экспертов и специалистов по защите информации имеются качественные представления о типичных сценариях поведения операторов и относительной опасности различных комбинаций факторов.

Методы нечеткой логики позволяют формализовать такие экспертные знания с помощью лингвистических переменных, функций принадлежности и правил нечеткого вывода. Это обеспечивает возможность интегральной оценки уровня защищенности подсистемы на основе сочетания количественных и качественных параметров, описывающих вероятность ошибок, критичность ресурсов и эффективность существующих средств защиты. Применение нечетких моделей для анализа рисков информационной безопасности промышленных систем и систем управления уже демонстрирует свою результативность в ряде работ.

В рамках настоящего исследования принимается, что интегральный показатель защищенности подсистемы удаленного мониторинга должен отражать совокупное влияние:

– вероятности возникновения непреднамеренных ошибок персонала при выполнении конкретных сценариев взаимодействия с системой;

– критичности задействованных информационных и технологических ресурсов;

– уровня реализованных организационно‑технических мер защиты, включая регламенты, контроль доступа и мониторинг действий пользователей.

Для представления указанных величин используются лингвистические шкалы (например, «низкий», «средний», «высокий» уровень риска или критичности), что облегчает привлечение экспертов и адаптацию модели к условиям конкретного предприятия.

Результаты исследования

Система лингвистических переменных и функций принадлежности

В разработанной нечеткой модели оценка защищенности подсистемы удаленного мониторинга осуществляется на основе набора входных лингвистических переменных и одной выходной лингвистической переменной. Входные переменные отражают ключевые аспекты, влияющие на риск реализации непреднамеренных инсайдерских угроз, а именно:

Вероятность ошибки персонала при выполнении сценария – характеризует ожидаемую частоту допущения некорректных действий оператором или обслуживающим специалистом в рассматриваемой ситуации. Значения задаются в виде нечетких термов «низкая», «средняя», «высокая» на числовом интервале, например, [0;1], где 0 соответствует отсутствию ошибок, а 1 – максимально возможной частоте.

Критичность контролируемого узла или функции подсистемы – описывает степень влияния нарушения работы соответствующего элемента на технологический процесс и бизнес‑показатели предприятия. Для этой переменной используются термы «незначительная», «умеренная», «высокая», «критическая» критичность, определяемые с учетом роли узла в технологической цепочке и возможного ущерба.

Уровень организационно‑технической защищенности – отражает совокупное воздействие реализованных мер защиты, включая механизмы аутентификации и авторизации, разграничение прав доступа, регламенты работы, журналирование действий и контроль соблюдения процедур. Для этой переменной используются термы «низкий», «достаточный», «повышенный» уровень защиты.

Нагруженность оператора и сложность интерфейса – учитывает влияние информационной перегрузки, многозадачности и особенностей человеко‑машинного интерфейса на вероятность допущения ошибок при взаимодействии с подсистемой. Значения задаются термами «низкая», «средняя», «высокая» нагруженность.

Выходная лингвистическая переменная «уровень защищенности подсистемы при данном сценарии» принимает термы «низкий», «средний», «высокий», «очень высокий» уровень защищенности. Для каждой переменной задаются соответствующие функции принадлежности, которые могут иметь треугольный или трапецеидальный вид и настраиваются исходя из экспертных оценок и особенностей рассматриваемого объекта.

Для проверки работоспособности предложенного подхода разработана программа на языке Python с использованием библиотеки нечеткой логики scikit-fuzzy. Треугольные функции принадлежности заданы для следующих лингвистических переменных (табл. 1).

Таблица 1 Описание переменных и заданного диапазона

Определение параметров функций принадлежности осуществляется на основе опроса экспертов по информационной безопасности и эксплуатации промышленных систем, анализа доступной статистики инцидентов и внутренних отчетов предприятия. Такой подход обеспечивает адаптируемость модели к конкретной отрасли и технологическому процессу.

База нечетких правил и схема вывода

Связь между входными и выходной переменными задается базой нечетких правил вида «если – то». Примеры типовых правил:

– «Если вероятность ошибки персонала высокая и критичность узла критическая, и уровень организационно‑технической защищенности низкий, то уровень защищенности подсистемы низкий».

– «Если вероятность ошибки персонала средняя и критичность узла высокая, и уровень организационно‑технической защищенности достаточный, то уровень защищенности подсистемы средний».

– «Если вероятность ошибки персонала низкая и критичность узла умеренная, и уровень организационно‑технической защищенности повышенный, то уровень защищенности подсистемы высокий».

– «Если нагруженность оператора высокая и критичность узла высокая, даже при достаточном уровне организационно‑технической защищенности уровень защищенности подсистемы не должен оцениваться выше среднего».

База правил формируется таким образом, чтобы отражать консервативную позицию при оценке сценариев с высокой критичностью и значительной неопределенностью поведения персонала. Для реализации нечеткого вывода может применяться, например, модель Мамдани с последующей дефаззификацией по центру тяжести, что обеспечивает получение числовой оценки уровня защищенности, сопоставимой для различных сценариев.

Алгоритм работы модели включает следующие шаги:

- приведение исходных количественных и качественных данных о сценарии эксплуатации подсистемы к значениям входных лингвистических переменных;

- вычисление степеней принадлежности каждой переменной соответствующим термам;

- активация релевантных нечетких правил и агрегирование их результатов;

- дефаззификация полученного нечеткого значения выходной переменной в числовой индекс уровня защищенности.

Полученный индекс может далее нормироваться и сопоставляться с установленными порогами для отнесения сценария к области допустимого или недопустимого риска.

Модельный пример оценки защищенности

Для демонстрации работы предложенной модели рассмотрим упрощенный сценарий эксплуатации подсистемы удаленного мониторинга, в котором оператор обслуживающей организации выполняет удаленное подключение к оборудованию для проведения диагностических операций. В ходе сценария оператор получает доступ к интерфейсу мониторинга, имеет возможность изменять параметры оповещений и просматривать текущие технологические показатели.

Экспертная оценка показала, что вероятность ошибки персонала в данном сценарии характеризуется как средняя, поскольку операции выполняются нерегулярно и требуют специальных навыков, а часть процедур регламентирована недостаточно подробно. Критичность узла, к которому осуществляется доступ, определяется как высокая, поскольку некорректная конфигурация уведомлений и задержка в реагировании на аварийные события способны привести к повреждению оборудования и простоям технологической линии.

Уровень организационно‑технической защищенности рассматриваемой подсистемы эксперты оценивают как достаточный: применяются механизмы аутентификации и регистрации действий пользователей, однако разграничение прав доступа и контроль соблюдения регламентов остаются недостаточно проработанными. Нагруженность оператора во время обслуживания оценивается как средняя, но в условиях высокой интенсивности заявок она может возрастать. Нагруженность оператора во время обслуживания оценивается как средняя, но в условиях высокой интенсивности заявок она может возрастать. Для сценария удаленного диагностического подключения (вероятность ошибки = 0,5; критичность = 85; уровень защиты = 50; нагруженность = 60)

На основе экспертных оценок сформирована база из 15 нечетких правил (рис. 1).

Рисунок 1. База нечетких правил

После подстановки указанных значений во входные переменные модели, вычисления степеней принадлежности и активации соответствующих нечетких правил выходной индекс защищенности принимает значение, соответствующее нижней границе среднего уровня (43,5 из 100) (рис. 2).

Рисунок 2. Результат нечеткого вывода.

Это указывает на необходимость дополнительного усиления защиты для рассматриваемого сценария – например, за счет более жесткого разграничения прав, уточнения регламентов действий оператора и внедрения дополнительных механизмов контроля изменения параметров оповещений.

Таким образом, модель позволяет не только количественно оценить уровень защищенности подсистемы в заданном сценарии, но и выявить наиболее значимые факторы, влияющие на снижение защищенности, что важно для обоснования приоритетов совершенствования системы защиты.

Обсуждение результатов

Предложенная нечеткая модель оценки защищенности подсистемы удаленного мониторинга обеспечивает учет специфики непреднамеренных инсайдерских угроз, связанных с поведением персонала, в контексте промышленного Интернета вещей. В отличие от традиционных подходов, опирающихся на детерминированные пороговые значения и усредненные вероятности, модель позволяет использовать лингвистические описания и неоднозначные экспертные оценки, что повышает реалистичность анализа риска.

Сравнение с существующими методиками оценки рисков в промышленных системах и системах управления показывает, что применение нечетких моделей дает возможность более точно дифференцировать сценарии с близкими количественными параметрами, но различной степенью неопределенности и качественных особенностей поведения персонала. Например, два сценария с одинаковой вероятностью ошибки и критичностью узла могут иметь различный уровень риска в зависимости от нагруженности оператора и эргономики интерфейса, что учитывается через дополнительные лингвистические переменные.

Важным преимуществом предложенного подхода является его адаптируемость: параметры функций принадлежности и база правил могут настраиваться под конкретное предприятие, отрасль и тип подсистемы удаленного мониторинга. Это позволяет интегрировать модель в существующие процедуры анализа рисков и моделирования угроз для объектов критической информационной инфраструктуры, расширяя их за счет более детальной проработки непреднамеренных инсайдерских сценариев.

В то же время модель имеет ряд ограничений. Во‑первых, ее точность и полезность зависят от качества экспертных оценок и полноты учета релевантных факторов, влияющих на поведение персонала. Во‑вторых, применение нечеткой логики требует аккуратной настройки базы правил, чтобы избежать противоречий и обеспечить интерпретируемость результатов для специалистов, не являющихся экспертами в области математического моделирования. Наконец, в текущей постановке задачи модель ориентирована на оценку сценариев, связанных преимущественно с ошибками операторов и обслуживающего персонала, и не охватывает в полной мере комбинированные сценарии, где непреднамеренные действия инсайдера сочетаются с активностью внешнего нарушителя.

Несмотря на указанные ограничения, результаты исследования демонстрируют, что использование нечеткой модели для оценки защищенности подсистемы удаленного мониторинга является перспективным направлением развития методов анализа рисков информационной безопасности в промышленном Интернете вещей.

Заключение

В работе решена задача разработки нечеткой модели оценки защищенности подсистемы удаленного мониторинга в промышленном Интернете вещей с учетом непреднамеренных инсайдерских угроз. В качестве объекта исследования рассмотрена типовая подсистема, обеспечивающая сбор и передачу технологических данных в распределенной промышленной среде, а в качестве основных источников риска – ошибочные действия операторов и обслуживающего персонала.

Предложена система лингвистических переменных, описывающих вероятность ошибок персонала, критичность контролируемых узлов, уровень организационно‑технической защищенности и нагруженность оператора, а также разработана база нечетких правил, связывающих эти параметры с интегральным показателем уровня защищенности подсистемы. Продемонстрировано применение модели на модельном сценарии удаленного обслуживания оборудования, что позволило выявить уязвимые аспекты организации доступа и обосновать направления усиления защиты.

Научная значимость проведенного исследования заключается в развитии методов оценки защищенности критически важных информационных и киберфизических систем за счет интеграции анализа непреднамеренных инсайдерских угроз и применения нечеткой логики для обработки неопределенных и качественных данных. Практическая значимость результатов состоит в возможности использования предложенной модели в качестве компонента методик анализа рисков и моделирования угроз для объектов промышленного Интернета вещей и критической информационной инфраструктуры, а также в качестве инструмента поддержки принятия решений при совершенствовании регламентов работы персонала и организационно‑технических мер защиты.

В дальнейшем планируется расширить модель за счет учета комбинированных сценариев, включающих как непреднамеренные действия инсайдеров, так и воздействие внешних нарушителей, а также провести валидацию подхода на основе данных о реальных инцидентах информационной безопасности в промышленных системах.