Толстых Марина Юрьевна — кандидат технических наук, доцент
Москва, 117997
Москва, 119034
Marina Yu. Tolstykh — PhD, Associate Professor, Associate Professor
Moscow, 117997
Moscow,119034
Коратаев Павел Дмитриевич — кандидат технических наук, старший преподаватель
Воронеж, 394064
Pavel D. Korataev – PhD, Senior Lecturer
Voronezh, 394064
Введение. Исследована роль технологии больших данных в процессах обеспечения безопасности объектов критической информационной инфраструктуры (КИИ) Российской Федерации в условиях роста кибератак и цифровой трансформации. Актуализируется задача перехода от реактивной к проактивной модели защиты. Представлена разработка оригинальных направлений интеграции больших данных в системы безопасности КИИ: моделирования каскадных киберфизических инцидентов на графах межсистемных зависимостей, анализа «темных данных» промышленного оборудования как источника индикаторов компрометации, гибридной архитектуры федеративного обучения для межотраслевой кооперации субъектов КИИ без передачи конфиденциальных данных за периметр организации. Метод. Предложен математический аппарат построения resilient-систем безопасности, основанный на представлении киберфизической инфраструктуры в виде динамического взвешенного ориентированного временного мультиграфа с байесовским обновлением весов в реальном времени. Динамика распространения воздействий моделируется непрерывными цепями Маркова с поглощением, а оптимизация размещения средств защиты формализуется как стохастическая игра «защитник атакующий» с поиском ε-приближенного равновесия Нэша методами обучения с подкреплением. Разработан двухэтапный итеративно-уточняющий алгоритм максимизации устойчивости при бюджетных, ресурсных и нормативных ограничениях. Основные результаты. Сформирован замкнутый data-driven контур проактивного управления безопасностью объектов КИИ, в котором потоки больших данных обеспечивают непрерывное обновление параметров модели и адаптацию защитных механизмов. Верификация подходов выполнена на цифровом двойнике фрагмента распределительной электросети с точностью классификации инцидентов 94,3 %. Обсуждение. В отличие от традиционных решений Security Information and Event Management и User and Entity Behavior Analytics, ориентированных на корреляцию известных событий, предложенный подход обеспечивает предиктивное моделирование киберфизических последствий атак с учетом межслойных зависимостей. Архитектура федеративного обучения позволяет формировать межотраслевые модели угроз без нарушения требований законодательства о защите информации. Перспективы применения разработанного подхода связаны с нормативным закреплением разработанных механизмов в качестве обязательных элементов систем безопасности на значимых объектах КИИ и созданием национальной платформы обмена обезличенными моделями угроз.
The role of big data technology in the processes of ensuring the security of objects of the critical information infrastructure (CII) of the Russian Federation in the context of increasing cyber-attacks and digital transformation is investigated. The task of moving from a reactive to a proactive protection model is being actualized. The scientific novelty of the research lies in the development of original directions for integrating Big Data into CII security systems: modeling cascading cyber-physical incidents on intersystem dependency graphs, analyzing the “dark data” of industrial equipment as a source of compromise indicators, and a hybrid architecture of federated learning for interdisciplinary cooperation of CII subjects without transferring confidential data beyond the organization perimeter. A mathematical apparatus for constructing resilient security systems is proposed, based on the representation of a cyber-physical infrastructure in the form of a dynamic weighted oriented time multigraph with Bayesian updating of weights in real time. The dynamics of impact propagation is modeled by continuous Markov chains with absorption, and optimization of the placement of protective equipment is formalized as a stochastic defender–attacker game with the search for an e-approximate Nash equilibrium using reinforcement learning methods. A two-stage iteratively refining algorithm for maximizing sustainability under budgetary, resource, and regulatory constraints has been developed. A closed data-driven loop of proactive security management of CII facilities has been formed, in which big data flows ensure continuous updating of model parameters and adaptation of protective mechanisms. Approach verification on a distribution grid digital twin demonstrated 94.3 % incident classification accuracy. Unlike traditional Security Information and Event Management and User and Entity Behavior Analytics solutions focused on the correlation of known events, the proposed approach provides predictive modeling of the cyber-physical consequences of attacks, taking into account interlayer dependencies. The architecture of federated learning allows for the formation of cross-industry threat models without violating the requirements of information protection legislation. The prospects for application are related to the regulatory consolidation of the developed mechanisms as mandatory elements of security systems at significant CII facilities and the creation of a national platform for the exchange of impersonal threat models.
The authors declare that there are no conflicts of interest present.