bsuirДоклады БГУИРDoklady BGUIR1729-76482708-0382БГУИР10.35596/1729-7648-2019-124-6-12-20bsuir-1188Research ArticleЭЛЕКТРОНИКА, РАДИОФИЗИКА, РАДИОТЕХНИКА, ИНФОРМАТИКАELECTRONICS, RADIOPHYSICS, RADIOENGINEERING, INFORMATICSКОНЦЕПТУАЛЬНЫЕ ОСНОВЫ АНАЛИЗА МОДЕЛЕЙ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОБЛАЧНЫХ СИСТЕМ КЛАССА «ИНФРАСТРУКТУРА КАК УСЛУГА»CONCEPTUAL FRAMEWORK OF ANALYSIS OF INFORMATION SECURITY MODELS OF CLOUD SYSTEMS OF THE CLASS «INFRASTRUCTURE AS A SERVICE»ОлизаровичЕ. В.OlizarovichE. V.

Кандидат технических наук, доцент, начальник Информационно-аналитического центра

230023, г. Гродно, ул. Ожешко, 22  

PhD, associate professor, head of the Information and Analytical Center

230023, Grodno, Ozheshko str., 22  

БражукА. И.BrazhukA. I.

Бражук Андрей Иосифович, ведущий инженер-программист Информационно-аналитического центра

230023, г. Гродно, ул. Ожешко, 22  

Brazhuk Andrei Iosifovich , senior software engineer of the Information and Analytical Center

230023, Grodno, Ozheshko str., 22  

brazhuk@grsu.byГродненский государственный университет имени Янки КупалыGrodno State University named after Yanka Kupala201902102019061219Copyright © Олизарович Е.В., Бражук А.И., 20192019Олизарович Е.В., Бражук А.И.Olizarovich E.V., Brazhuk A.I.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://doklady.bsuir.by/jour/article/view/1188

Описан основанный на ролевом подходе процесс синтеза моделей информационной безопасности облачных компьютерных систем на основе прикладных моделей системы и угроз; результатом является модель защиты, выраженная, например, в рекомендациях по улучшению информационной безопасности или содержащая элементы конфигурации средств защиты. Предложена архитектура системы анализа моделей информационной безопасности облачных компьютерных систем, которая включает подсистему анализа и моделирования, базу знаний и подсистему интеграции с внешними источниками знаний. Система является ориентированной на модели (детальные, высокоуровневые, прикладные, синтезируемые) и предполагает автоматическую обработку знаний в сфере управления уязвимостями и настройки программного обеспечения. Предложен подход к решению задачи построения иерархий моделей архитектур и моделей угроз, реализующий комбинированный анализ функций и компонентов.  

A process based on the role approach for the synthesis of information security models of cloud computing systems based on applied system and threat models is described; the result is a security model, expressed, for example, in recommendations for improving information security or containing elements of the security configuration. The architecture of the system for analyzing models of information security of cloud computing systems is proposed. It includes a subsystem of analysis and modeling, a knowledge base and a subsystem of integration with external sources of knowledge. The system is model-oriented (detailed, high-level, applied, synthesized) and involves automatic processing of knowledge in the field of vulnerability management and software configuration. It is proposed an approach to solve the problem of constructing hierarchies of architectures models and threat models, realizing a combined analysis of functions and components.  

облачные компьютерные системыинфраструктура как услугамодель информационной безопасностиcloud computing systemsInfrastructure as a ServiceIaaSinformation security modelReferencesЛистопад Н.И., Олизарович Е.В., Бражук А.И. Практические аспекты внедрения облачных технологий в учреждении образования // Информатизация образования. 2014. № 2 (74). С. 55–65.Listopad N.I., Olizarovich E.V., Brazhuk A.I. Prakticheskie aspekty vnedrenija oblachnyh tehnologij v uchrezhdenii obrazovanija // Informatizacija obrazovanija. 2014. № 2 (74). S. 55–65. (in Russ.)ГОСТ Р 57100-2016/ISO/IEC/IEEE 42010:2011. Системная и программная инженерия. Описание архитектуры.GOST R 57100-2016/ISO/IEC/IEEE 42010:2011. Sistemnaja i programmnaja inzhenerija. Opisanie arhitektury. (in Russ.)СТБ 34.101.1-2014. Информационные технологии и безопасность. Критерии оценки безопасности информационных технологий. Ч. 1. Введение и общая модель.STB 34.101.1-2014. Informacionnye tehnologii i bezopasnost'. Kriterii ocenki bezopasnosti informacionnyh tehnologij. Ch. 1. Vvedenie i obshhaja model'. (in Russ.)Toward a unified ontology of cloud computing. / L. Youseff [et al.] // Grid Computing Environments Workshop. 2008. P. 1–10.Toward a unified ontology of cloud computing. / L. Youseff [et al.] // Grid Computing Environments Workshop. 2008. P. 1–10.Moscato F., Di Martino B., Aversa R. Enabling model driven engineering of cloud services by using mosaic ontology //Scalable Computing: Practice and Experience. 2011. Vol. 13. №. 1. P. 29–44.Moscato F., Di Martino B., Aversa R. Enabling model driven engineering of cloud services by using mosaic ontology //Scalable Computing: Practice and Experience. 2011. Vol. 13. №. 1. P. 29–44.Intercloud architecture for interoperability and integration / Y. Demchenko [et al.] // Cloud Computing Technology and Science. 2012. P. 666–674.Intercloud architecture for interoperability and integration / Y. Demchenko [et al.] // Cloud Computing Technology and Science. 2012. P. 666–674.Dukaric R., Juric M. Towards a unified taxonomy and architecture of cloud frameworks // Future Generation Computer Systems. 2013. Т. 29. №. 5. P. 1196–1210.Dukaric R., Juric M. Towards a unified taxonomy and architecture of cloud frameworks // Future Generation Computer Systems. 2013. T. 29. №. 5. P. 1196–1210.SEcure Cloud computing for CRitical infrastructure IT [Electronic resource]. URL: https://www.seccrit.eu/. (date of access: 20.04.2018).SEcure Cloud computing for CRitical infrastructure IT [Electronic resource]. URL: https://www.seccrit.eu/. (date of access: 20.04.2018).Scandariato R., Wuyts K., Joosen W. A descriptive study of Microsoft’s threat modeling technique // Requirements Engineering. 2015. Т. 20, №. 2. P. 163–180.Scandariato R., Wuyts K., Joosen W. A descriptive study of Microsoft’s threat modeling technique // Requirements Engineering. 2015. T. 20, №. 2. P. 163–180.A semantic-web approach for modeling computing infrastructures / M. Ghijsen [et al.] // Computers & Electrical Engineering. 2013. № 39 (8). P. 2553–2565.A semantic-web approach for modeling computing infrastructures / M. Ghijsen [et al.] // Computers & Electrical Engineering. 2013. № 39 (8). P. 2553–2565.Common Information Model [Electronic resource]. / DMTF. URL: https://www.dmtf.org/standards/cim (date of access: 20.04.2018).Common Information Model [Electronic resource]. / DMTF. URL: https://www.dmtf.org/standards/cim (date of access: 20.04.2018).Управление программным обеспечением и архитектура отказоустойчивого IaaS-облака на основе универсальных узлов. / Ю.И. Воротницкий [и др.] // Электроника ИНФО. 2013. № 9. С. 21–24.Upravlenie programmnym obespecheniem i arhitektura otkazoustojchivogo IaaS-oblaka na osnove universal'nyh uzlov. / Ju.I. Vorotnickij [i dr.] // Jelektronika INFO. 2013. № 9. S. 21–24. (in Russ.)Cloud Computing Risk Assessment [Electronic resource]. / ENISA, 2009. URL: https://www.enisa.europa.eu/publications/cloud-computing-risk-assessment/at_download/fullReport (date of access: 20.04.2018).Cloud Computing Risk Assessment [Electronic resource]. / ENISA, 2009. URL: https://www.enisa.europa.eu/publications/cloud-computing-risk-assessment/at_download/fullReport (date of access: 20.04.2018).Saripalli P., Walters B. Quirc: A quantitative impact and risk assessment framework for cloud security // 2010 IEEE 3rd International Conference on Cloud Computing. 2010. P. 280–288.Saripalli P., Walters B. Quirc: A quantitative impact and risk assessment framework for cloud security // 2010 IEEE 3rd International Conference on Cloud Computing. 2010. P. 280–288.Takahashi T., Kadobayashi Y. Reference ontology for cybersecurity operational information // The Computer Journal. 2014. Vol. 58, № 10. P. 2297–2312.Takahashi T., Kadobayashi Y. Reference ontology for cybersecurity operational information // The Computer Journal. 2014. Vol. 58, № 10. P. 2297–2312.Security Content Automation Protocol [Electronic resource] / NIST. URL: https://csrc.nist.gov/projects/security-content-automation-protocol (date of access: 20.04.2018).Security Content Automation Protocol [Electronic resource] / NIST. URL: https://csrc.nist.gov/projects/security-content-automation-protocol (date of access: 20.04.2018).

The authors declare that there are no conflicts of interest present.