Формальная модель инцидента информационной безопасности

В статье предложен подход к формальному описанию инцидента информационной безопасности (ИБ). Сформированы критерии перехода от события ИБ к инциденту: событие → нарушение политики ИБ → нарушение ИБ → инцидент. Проведен анализ существующих методов и подходов к описанию инцидента ИБ, которые позволяют ранжировать, группировать, объединять действия злоумышленника в отношении атакуемого объекта, выстраивать корреляции, обосновывать момент начала применения активного реагирования. Предложено описание инцидента в виде упорядоченного кортежа, предназначенного для объединения атомарных инцидентов и подозрений в цепочки атаки с учетом динамики последствий и допустимого ущерба организации. Предложенный подход позволит объединять атомарные инциденты, реагирование на которые во многих случаях не требуется, в сложные цепочки атаки, продуктивно реализовать реагирование на возникающие инциденты с учетом динамики их развития в рамках цепочки атаки. Объединение атомарных инцидентов позволяет оптимизировать ресурсы, затрачиваемые подразделениями ИБ на противостояние атакам злоумышленников, акцентируя внимание только на те действия, которые непосредственно представляют угрозу в текущий момент времени, а не являются гипотетически возможными, что в результате смещает фокус подразделений ИБ на обеспечение практической защищенности организации. В качестве возможностей практического применения предложенного подхода рассмотрен пример с проведением атаки на домен через фишинг. На текущий момент модель имеет концептуальный характер, ожидаемые эффекты для автоматизации действий аналитиков в SOAR и оптимизации ресурсов требуют дополнительного тестирования.

1. Синцов М.И. Снижение вероятности последствий компрометации ИТ-инфраструктуры предприятия за счет синергии применения перспективных методов выявления угроз и последующего их ретроспективного анализа. Подходы к оценке качества разработанных правил корреляции для ретроспективного анализа. В сборнике: Актуальные проблемы защиты информации: современность и перспективы: Материалы II Научно-практической конференции, 09–10 апреля 2024 года, Москва, Россия. Москва: Московский государственный технический университет имени Н.Э. Баумана; 2025. С. 37–42.

2. Ракинцев Н.А. Инциденты информационной безопасности 1-го полугодия 2020 года в транспортной отрасли. Введение мер по их предотвращению. Молодой ученый. 2020;(27):61–63.

3. Котенко И.В., Федорченко А.В., Саенко И.Б., Кушнеревич А.Г. Технологии больших данных для корреляции событий безопасности на основе учета типов связей. Вопросы кибербезопасности. 2017;(5):2–16.

4. Кузнецов А.В. Организация раздельного хранения данных о событиях безопасности. Вопросы кибербезопасности. 2024;(2):22–28. https://doi.org/10.21681/2311-3456-2024-2-22-28

5. Букин А.В., Самонов А.В., Тихонов Э.И. Обнаружение инцидентов информационной безопасности на основе технологии нейронных сетей. Вопросы кибербезопасности. 2022;(5):61–73.

6. Landauer M., Skopik F., Wurzenberger M., Rauber A. System log clustering approaches for cyber security applications: A survey. Computers & Security. 2020;92:101739. https://doi.org/10.1016/j.cose.2020.101739

7. Brown A., Tuor A., Hutchinson B., Nichols N. Recurrent Neural Network Attention Mechanisms for Interpretable System Log Anomaly Detection. arXiv. URL: https://arxiv.org/abs/1803.04967 [Accessed 1st May 2026].

8. Тумоян Е.П. Метод моделирования компьютерных атак на основе вероятностных автоматов. Известия ЮФУ. Технические науки. 2008;(8):120–126.

9. Горев А.И., Горева Е.Г. Кибератаки: некоторые подходы к системному анализу. Математические структуры и моделирование. 2024;(1):110–116. https://doi.org/10.24147/2222-8772.2024.1.110-116

10. Котенко И.В., Саенко И.Б., Лаута О.С., Куракин А.С. Семантическая кластеризация инцидентов на основе алгоритма DBSCAN и большой языковой модели. Вопросы кибербезопасности. 2026;(2):2–15. https://doi.org/10.21681/2311-3456-2026-2-2-15

11. Жуков В.Г., Шаляпин А.А., Соколов М.М. Исследование алгоритма прецедентного анализа в задаче классификации инцидентов информационной безопасности. Вестник Сибирского государственного аэрокосмического университета им. академика М.Ф. Решетнева. 2015;16(3):572–579.

12. Резниченко С.А., Турабов Д.Р. Методология выбора критериев эффективности системы информационной безопасности при имитационных атаках Red Team. Вестник Дагестанского государственного технического университета. Технические науки. 2025;52(3):135–151. https://doi.org/10.21822/2073-6185-2025-52-3-135-151

13. Синцов М.И. Выбор подхода для расчета оптимального времени выявления и реагирования на угрозы информационной безопасности в условиях ограниченных ресурсов. Проблемы информационной безопасности. Компьютерные системы. 2025;(4):23–34. https://doi.org/10.48612/jisp/mp7a-vpp7-xu6f