ЗМЕНШЕННЯ НЕВИЗНАЧЕНОСТІ ОЦІНКИ ЧАСУ КОМПРОМЕТАЦІЇ SERVER-SIDE WEB APPLICATION ОБ’ЄКТА КРИТИЧНОЇ ІНФРАСТРУКТУРИ

Анотація

На сучасному етапі розвитку методів і способів організації кіберзахисту об’єктів критичної
інфраструктури одним із дієвих підходів залишається систематичний пошук вразливостей таких об’єктів
у формі тестування на проникнення (penetration testing). Основною формою тестування на проникнення слід
вважати практичне доведення можливості несанкціонованого та віддаленого нав’язування виконання
демонстраційної шкідливої програми з авторизованими повноваженнями у складі одного з компонентів
системи об’єкта критичної інфраструктури. Показником ефективності організації процесу тестування на
проникнення запропоновано використовувати часові витрати досягнення тактичної цілі Compromise System.
Оцінка часових витрат досягнення тактичної цілі Compromise System в реальних умовах виконання
практичних завдань тестування на проникнення знаходиться під впливом багатьох факторів невизначеності.
Для зменшення впливу невизначеності пропонується два підходи. Перший підхід – шляхом впровадження
методів теорії інформаційної підтримки прийняття рішень, на етапах досягнення тактичних цілей
Reconnaissance та Resource Development. Другий – застосування критеріїв прийняття рішень в умовах
невизначеності для обробки результатів експериментальних випробувань демонстраційних шкідливих програм,
при проходженні казуального ланцюжка Initial Access – Execution. Обґрунтування сформульованих положень
здійснено шляхом дослідження структурно-казуальних відношень предметної області на основі аналізу
The Cyber Kill Chain, The Unified Kill Chain, Ethical Hacking Methodology та таксономій експертних знань
Adversarial Tactics, Techniques & Common Knowledge.
Викладено змістовний опис методики оцінки зменшення невизначеності, оцінки часу компрометації
компонентів Server-side Web Application при проходженні казуального ланцюжка Initial Access – Execution
(у контексті етапу досягнення тактичної цілі Gaining Access тестування на проникнення) за способом Exploit
Public-Facing Application на основі застосування критеріїв прийняття рішень в умовах невизначеності.