Исследование алгоритма прецедентного анализа в задаче классификации инцидентов информационной безопасности

Представлено решение актуальной практической задачи определения стратегии реагирования на инциденты информационной безопасности в информационных системах с помощью прецедентного анализа. Рассмотрен процессный подход к управлению инцидентами и его основные стадии. Процесс управления инцидентами, согласно требованиям нормативных документов, включает четыре этапа: обнаружение инцидента, реагирование на инцидент, расследование, корректирующие действия. На втором этапе процесса управления инцидентами существует актуальная проблема оперативного реагирования на инциденты информационной безопасности. Необходимо решить, какую стратегию из множества заданных выбрать, либо определить, что подходящей стратегии не существует и ее необходимо сформировать. В качестве решения проблемы выбора стратегии реагирования предлагается использовать аппарат прецедентного анализа. Для решения данной задачи предполагается применение упрощенного цикла рассуждения на основе прецедентов, который не включает этап адаптации сценариев реагирования. Классификация основана на количестве найденных аналогий и значении степени подобия. Инциденты сопоставляются классам прецедентов на основе найденных аналогий в каждом классе. По значению степени подобия инциденту ставится в соответствие конкретный прецедент из класса и связанная с ним стратегия реагирования. В соответствии с предложенной концепцией анализа инцидентов разработан новый алгоритм классификации инцидентов информационной безопасности в информационных системах на базе прецедентного и статистического анализа. Разработанный алгоритм отличается от известных автоматизированным выбором оптимального порогового значения с помощью ROC-анализа. Алгоритм предусматривает возможность выбора критерия максимального качества классификатора в зависимости от допустимого значения ошибок первого и второго рода. Проведена оценка эффективности разработанного алгоритма на множестве тестовых данных. Предложенная концепция построения системы прецедентного анализа позволяет повысить оперативность реагирования и многократно использовать ранее накопленный опыт в процессе управления инцидентами информационной безопасности.