sibsutisВестник СибГУТИThe Herald of the Siberian State University of Telecommunications and Information Science1998-6920СибГУТИsibsutis-9Research ArticleСтатьиСобытийная модель процесса идентификации воздействий на файлы при расследовании инцидентов информационной безопасности, основанная на математическом аппарате сетей ПетриEvent model of file impact identification process during information security incident response based on Petri NetsГайдамакинН. А.GaydamakinN. A.n.a.gaydamakin@urfu.ruГибилиндаР. В.GibilindaR. V.noemail@neicon.ruСинадскийН. И.SinadskiyN. I.n.i.sinadskiy@urfu.ruУрФУ им. первого Президента России Б.Н. ЕльцинаRussian Federation202018042022017388Copyright © Гайдамакин Н.А., Гибилинда Р.В., Синадский Н.И., 20222022Гайдамакин Н.А., Гибилинда Р.В., Синадский Н.И.Gaydamakin N.A., Gibilinda R.V., Sinadskiy N.I.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://vestnik.sibsutis.ru/jour/article/view/9

В статье рассмотреныпризнаки, идентифицирующие файлы, приведены примеры файловых операций, предложен алгоритм идентификации файловыхопераций, представлена разработанная модельпроцессаидентификациивоздействий на файлы. С учетом событийно-переходной природы процессовизменения признаков, идентифицирующих файлы, для моделирования использован аппарат сетей Петри. На основе моделивозможнареализация системы, применение которойпозволитавтоматизировать процесс идентификации воздействий на файлыс целью определения влияния на обрабатываемую информациюв рамкахрасследования инцидентовинформационной безопасности.Установление факта влияния на информацию позволяет упростить процедуру ликвидациипоследствий инцидента информационной безопасности.Использованиесистемы на основе разработанной модели позволит верифицировать источники информации, содержащиепризнаки, идентифицирующие файлы,и данныеофайловыхоперациях

The article introduces file identifying characteristics, describes file operation examples, offers file operation identification algorithm, presents developed file impact identification process model. There is a possibility to create system based on developed model that allows to automate file impact identification process to determine impact on stored information during information security incident response. Information impact determination makes incident result removing process easier. The system used allows to verify information sources that contain file identifying characteristics and file operations data

расследование инцидентов информационной безопасностисобытие информационной безопасностифайловая операциявоздействие на файлмодельсети Петриinformation security incident responseinformation security eventfile operationfile impactmodelPetri netsReferencesСтандарт Банка России СТО БР ИББС-1.3-2016 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Сбор и анализ технических данных при реагировании на инциденты информационной безопасности при осуществлении переводов денежный средств» [Электронный ресурс]. URLСтандарт Банка России СТО БР ИББС-1.3-2016 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Сбор и анализ технических данных при реагировании на инциденты информационной безопасности при осуществлении переводов денежный средств» [Электронный ресурс]. URLБакланов В. В., Князева Н. С., Хорьков Д. А. Анализ временных отметок файловой системы я Ntfs в операционной системе Microsoft Windows XP // Проблемы информационной безопасности. Компьютерные системы. 2012. № 4. С. 25-32Бакланов В. В., Князева Н. С., Хорьков Д. А. Анализ временных отметок файловой системы я Ntfs в операционной системе Microsoft Windows XP // Проблемы информационной безопасности. Компьютерные системы. 2012. № 4. С. 25-32Dwyer J., Marius Truta T. Finding Anomalies in Windows Event Logs Using Standard Deviation д // 9th IEEE International on Collaborative Computing: Networking, Applications and е Worksharing, 2013. P. 563-570Dwyer J., Marius Truta T. Finding Anomalies in Windows Event Logs Using Standard Deviation д // 9th IEEE International on Collaborative Computing: Networking, Applications and е Worksharing, 2013. P. 563-570Studiawan H., Payne C., Sohel F. Graph Clustering and Anomaly Detection of Access Control Log for Forensic Purposes // Digital Investigation. 2017.Studiawan H., Payne C., Sohel F. Graph Clustering and Anomaly Detection of Access Control Log for Forensic Purposes // Digital Investigation. 2017.ГОСТ Р ИСО/МЭК ТО 18044-2007. Информационная технология. Методы и средства р ©беспечения безопасности. Менеджмент инцидентов информационной безопасности. о М.: ФГУП «Стандартинформ», 2007. 50 с.ГОСТ Р ИСО/МЭК ТО 18044-2007. Информационная технология. Методы и средства р ©беспечения безопасности. Менеджмент инцидентов информационной безопасности. о М.: ФГУП «Стандартинформ», 2007. 50 с.Effendi Y. A., Sarno R Discovering Process Model from Event Logs by Considering Overlapping е Rules // EECSI 2017. Yogyakarta, Indonesia, 2017.Effendi Y. A., Sarno R Discovering Process Model from Event Logs by Considering Overlapping е Rules // EECSI 2017. Yogyakarta, Indonesia, 2017.Хорьков Д. А., Гайдамакин Н. А. Модель атакующего воздействия на автоматизированные а системы в рамках развития аппарата сетей Петри // Проблемы информационной Гезопасности. Компьютерные системы. 2013. № 1. С. 73-80.Хорьков Д. А., Гайдамакин Н. А. Модель атакующего воздействия на автоматизированные а системы в рамках развития аппарата сетей Петри // Проблемы информационной Гезопасности. Компьютерные системы. 2013. № 1. С. 73-80.GitHub - sarahtattersall/PIPE: PIPE - Platform Independent Petri Net Editor [Электронный e ресурс]. URL: https://github.com/sarahtattersall/PIPE (дата обращения: н uGitHub - sarahtattersall/PIPE: PIPE - Platform Independent Petri Net Editor [Электронный e ресурс]. URL: https://github.com/sarahtattersall/PIPE (дата обращения: н uDingle N., Knottenbelt W., Suto T. PIPE2: A tool for the Performance Evaluation of Generalized и Stochastic Petri Nets // ACM SIGMETRICS Performance Evaluation Review (Special Issue on Tools for Computer Performance Modeling and Reliability Analysis). 2009. № 36. P. 34-39.Dingle N., Knottenbelt W., Suto T. PIPE2: A tool for the Performance Evaluation of Generalized и Stochastic Petri Nets // ACM SIGMETRICS Performance Evaluation Review (Special Issue on Tools for Computer Performance Modeling and Reliability Analysis). 2009. № 36. P. 34-39.

The authors declare that there are no conflicts of interest present.