Защитник: исследуем меры защиты¶

Эксперимент с марковской моделью · один эпизод атаки

Зафиксируем сценарий нарушителя, бюджет и горизонт наблюдения. Затем сравним меры защиты: как они меняют интенсивности переходов, вероятность вреда, время восстановления и ожидаемые потери.

Мера → механизм → интенсивность → вероятность и время → последствия.

Все цены и эффекты — условные данные модели. Они не являются тарифами или измеренной эффективностью продуктов. Один раунд — один эпизод угрозы на горизонте $T=72$ часа; покупки оплачиваются за раунд.

Два интерактивных опыта позволяют менять уровень реагирования и набор защитных мер. Сопоставим параметры с интенсивностями, графиками вероятностей и ожидаемыми последствиями.

Исходный вариант¶

Начнём с внешнего нарушителя, нацеленного на кражу данных. Горизонт — 72 часа, бюджет — 120 000 ₽. В сохранённом примере выбран дежурный аналитик: реагирование уровня 1, остальные меры не приобретены.

Одинаковые условия позволяют сравнивать решения по ожидаемому ущербу, цене мер и вероятности завершения эпизода. Один случайный исход сам по себе не определяет качество защиты.

Предположите: какой переход должен измениться при усилении реагирования?

1. Начальные условия и состояния¶

Рассматриваем один эпизод атаки: чем он закончится и что произойдёт до момента $T$? Новые атаки после его завершения в эту модель не входят.

Внешний нарушитель начинает с E, внутренний — с I, привилегированный — с P. Для кражи отключён переход P→D, для разрушения — P→L. Интенсивности измеряются в ч⁻¹; время — в часах. B, L, R — поглощающие состояния выбранного эпизода.

Сравните: какие вершины и стрелки остаются достижимыми при начале с I или P?

Матрица выбранного сценария¶

В числовой матрице ниже строка показывает исходное состояние, столбец — конечное. Сопоставим положительные элементы с рёбрами графа и проверим, что сумма каждой строки равна нулю. Затем прочитаем графики вероятностей на том же горизонте.

Попробуйте:

1. Найдите в числовой $Q$ строку I. Проверьте вручную её сумму и запишите оба выхода.
2. На графике найдите $p_L(24)$ примерно; затем посмотрите значение при $T$. Почему эта кривая не убывает?
3. Объясните, почему $p_D(T)$ не равно вероятности того, что разрушение уже происходило до $T$.

Что увидели: какие вероятности накапливаются, а какие могут сначала расти, затем уменьшаться? Где видна незавершённость эпизода?

Стационарные доли времени из модели повторных инцидентов здесь не используем. Нас интересуют конечный горизонт и вероятности поглощения.

2. Деньги меняют λ¶

Деньги оплачивают действие: проверку доступа, работу аналитика, подтверждение опасных операций или подготовку восстановления. Действие меняет механизм, а уже механизм — интенсивность.

Предположите: дополнительный аналитик должен уменьшить или увеличить λ блокировки? Что произойдёт со средним ожиданием?

Для выбранного уровня меры $m$ задаём безразмерный множитель $u_{mk}$ и добавку $v_{mk}$ в ч⁻¹:

$$ \lambda_k=\lambda_{k,0}\prod_m u_{mk}+\sum_m v_{mk}. $$

Если эффекта нет, множитель равен 1, добавка — 0. Затем отключаем не соответствующую сценарию цель. Это учебная таблица эффектов, а не универсальный закон преобразования рублей в λ. Уровни 0, 1, 2 взаимоисключающие; цена уровня полная, не доплата.

Два времени ожидания, которые важно различать¶

В I одновременно возможны продвижение с интенсивностью $b$ и блокировка с интенсивностью $c$. Для отдельных независимых экспоненциальных механизмов:

$$ E\tau_{\text{блок, отдельно}}=1/c,\qquad E\tau_{\text{след. событие}}=1/(b+c),\qquad P(I\to B\mid\text{выход из I})=c/(b+c). $$

Время $1/c$ нельзя назвать средним временем до фактической блокировки всего эпизода: раньше может произойти другое событие, в том числе ущерб.

Попробуйте:

1. Сравните уровни реагирования 0, 1, 2. Запишите цену, новую $c$, $1/c$ и $1/(b+c)$.
2. Найдите изменение вероятности ранней блокировки в процентных пунктах. Не смешивайте его с относительным изменением λ в процентах.
3. Объясните, почему ускорение любого выхода сокращает пребывание в I, но не обязательно улучшает защиту.

Что увидели: какие параметры определяют скорость, а какие — соотношение конкурирующих исходов?

Откуда взять λ вне учебной таблицы?¶

Оценка $\widehat\lambda_{ij}=N_{ij}/H_i$: число наблюдённых переходов $i\to j$, делённое на суммарное время пребывания в исходном состоянии $i$ по всем наблюдениям. Не делим на всё календарное время организации.

В условных наблюдениях до меры зарегистрировали 10 переходов к атаке за 200 часов в уязвимом состоянии. После меры — 6 переходов за 240 часов в том же состоянии. Это иллюстрация оценки интенсивности; причинный эффект нельзя подтвердить без сопоставимости условий и учёта неопределённости.

3. Один бюджет — разные решения¶

Сначала собственный выбор. Внешний нарушитель хочет украсть данные; горизонт 72 часа, бюджет 120 000 ₽. Выберите меры и предположите, какие стрелки изменятся. Критерий миссии — минимальный ожидаемый ущерб при соблюдении бюджета; полную стоимость покажем отдельно.

Сравним сценарий, бюджет, горизонт и уровни мер. Панель ниже показывает цену, остаток, интенсивности до и после выбора защиты, прогноз и граф. Изменим параметры и сопоставим результаты. Временно не достигшие цели E/I/P — незавершённый эпизод, а не доказанная безопасность.

Теперь сравните два допустимых набора ровно за 120 000 ₽:

• А: права и сегментация, дежурный аналитик.
• Б: проверка внешнего доступа, дежурный аналитик, контроль критических сессий.

Горизонт и все остальные параметры одинаковы. В обоих случаях остаток равен нулю, но распределение денег разное.

Попробуйте:

1. Сравните А, Б и Ваш набор. Укажите различающиеся λ и ожидаемый ущерб.
2. Оставьте бюджет 120 000 ₽, но сравните сценарий привилегированного разрушения. Пересмотрите выбор.
3. Увеличьте бюджет до 200 000 ₽. Сначала назовите нужный механизм, потом выбирайте покупку.

Что увидели: гарантирует ли равенство расходов равный результат? Почему более высокий лимит не обязывает потратить весь остаток?

4. Нарушитель уже внутри¶

Рассмотрим усиленную проверку внешнего входа. Предположите до запуска, одинаково ли она полезна против внешнего нарушителя E и внутреннего I.

Сравним нулевые покупки и только уровень 2 периметра. При смене сценария меняется исключительно начальное состояние; после входа остальные механизмы совпадают.

Попробуйте:

1. Найдите изменившуюся $a$ на графе внутреннего нарушителя. Достижима ли её исходная вершина?
2. Сравните ожидаемый ущерб и общие расходы во внутреннем сценарии до и после покупки.
3. В скачиваемом ноутбуке замените периметр реагированием уровня 1. Как изменилась картина? Объясните через переходы.

Что увидели: изменились ли λ, вероятность утечки и общие расходы? Объясните результат по графу, без фразы «программа так посчитала».

Вывод относится к выбранному графу. Название «внешняя защита» не даёт дополнительных эффектов, отсутствующих в таблице. Как зависит Ваш вывод от начального состояния и выбранного горизонта?

5. Предотвращение, восстановление и деньги¶

Привилегированный нарушитель начинает в P и пытается разрушить сервис. Подготовка восстановления увеличивает $g$. Предположите: изменится ли вероятность разрушения, его длительность или оба показателя?

Различаем:

$$ P_{\text{кража}}=p_L(T),\qquad P_{\text{разрушение}}=p_D(T)+p_R(T),\qquad H_D=\int_0^T p_D(t)\,dt. $$

Вероятность вреда — сумма кражи и разрушения; в одном эпизоде учитывается первая вредоносная цель. $p_D(T)$ показывает, что сервис ещё восстанавливается, а не все случаи разрушения.

$$ J=K_Lp_L(T)+K_D[p_D(T)+p_R(T)]+c_DH_D,\qquad C_{\text{общ}}=C_{\text{мер}}+J. $$

$K_D$ — прямые потери без простоя, чтобы не учитывать один ущерб дважды. Все последствия обрезаются моментом $T$. Бюджет ограничивает только цену мер; ущерб не становится ретроспективной покупкой. Изменение горизонта здесь не меняет стоимость пакета за раунд.

Что увидели: какие кривые изменились, а какие совпали? Сопоставьте риск разрушения, простой и ущерб; объясните результат через переходы.

Один случайный исход и качество решения¶

Кнопка игры «Проверить систему →» запускает одну историю. Раскрытие «Показать прогноз» показывает средние показатели многих подобных эпизодов. Для одной истории из состояния $i$ ждём экспоненциальное время с интенсивностью $r_i=\sum_{j\ne i}\lambda_{ij}$, затем выбираем выход с вероятностью $\lambda_{ij}/r_i$. Если событие оказалось после $T$, оно не засчитывается. Простой также обрезается $T$.

Предположите: могут ли при неизменных покупках две истории закончиться по-разному? Изменится ли от номера проверки математический прогноз?

Сопоставим два решения¶

Выберите внутреннюю кражу, бюджет 120 000 ₽, горизонт 72 часа. Представьте два допустимых набора, сформулируйте прогноз и выберите один по ожидаемому ущербу. Посчитайте общие расходы. Объясните через конкретные стрелки, почему набор подходит этому нарушителю. Затем проверьте его против привилегированного разрушения, не меняя покупки.

Ниже показано сравнение двух наборов. В скачиваемом ноутбуке можно изменить уровни мер; программа проверит бюджет и рассчитает показатели.

Сопоставим результаты опытов¶

• Какую интенсивность меняет каждая мера и какой поток на графе она усиливает или ослабляет?
• Почему одинаковые расходы не гарантируют одинаковую вероятность вреда?
• Какие меры полезны при данном начальном состоянии нарушителя?
• Какие показатели меняет восстановление: вероятность разрушения, простой или ущерб?
• Чем один случайный исход отличается от ожидаемого результата?

Интенсивность, вероятность за 72 часа, среднее время и ожидаемый ущерб отвечают на разные вопросы. Отсутствие утечки к концу горизонта ещё не означает блокировки нарушителя.

Дополнительные опыты¶

Продолжим исследование: сравним бюджеты, экономические критерии и несколько сценариев.

A. Какой результат доступен при разных бюджетах?¶

Всего $3^5=243$ конфигурации. Для каждого бюджета перебираем варианты с $C_{\text{мер}}\le B$. Критерий первого графика — минимальный ожидаемый ущерб. При равенстве показателей выбираем меньшую цену, затем лексикографически меньшие уровни в порядке мер.

Предположите: обязана ли каждая прибавка бюджета улучшать результат? Может ли оптимальная кривая ожидаемого ущерба идти вверх?

Линии соединяют рассчитанные бюджеты для чтения; между ними доступны только дискретные пакеты. Множество допустимых решений при росте бюджета расширяется, поэтому минимум ожидаемого ущерба не возрастает. Возможны плато и скачки. Убывающая отдача отдельных мер и форма оптимального портфеля — разные утверждения; универсальную вогнутость/выпуклость этой кривой не предполагаем.

Попробуйте: для внутреннего нарушителя найдите бюджет, после которого выбранный набор уже не меняется. Объясните, почему оптимум может не содержать дорогую меру. Для бюджета 200 000 ₽ сопоставьте два критерия ниже.

B. Когда покупка экономически оправдана?¶

Экономические коэффициенты не меняют $Q$, пока не меняются покупки. Они меняют оценку последствий и предпочтительный набор. В этом опыте отдельно варьируем денежную оценку утечки как исследовательское допущение. Канонический model.json не редактируем.

Для пакета определим экономию ущерба $\Delta J=J_0-J$, чистую ожидаемую выгоду $\Delta J-C$ и условную отдачу $(\Delta J-C)/C$, если $C>0$. Это не гарантированный доход.

Попробуйте: объясните выбор при нулевой цене утечки, затем при большой. Почему изменение $K_L$ не является изменением интенсивности атаки? Какие общественные, правовые и репутационные последствия могут не поместиться в одну денежную оценку?

C. Ансамбль: почему одной истории недостаточно?¶

Зафиксируйте сценарий и покупки. Проведём 2 000 независимых имитационных историй. Частота конечного состояния должна приближаться к $p_i(T)$, но не обязана совпадать до последнего знака. Для бинарного исхода стандартная ошибка частоты примерно $\sqrt{p(1-p)/N}$.

Попробуйте: замените $N=2000$ на 200. Что происходит с расхождениями? Оставьте параметры защиты прежними. Почему несколько удачных запусков не доказывают эффективность покупки?

D. Предельный случай: остановить нарушителя нечем¶

Исследовательский режим: внутренний нарушитель, кража, блокировка выключена $c=d=0$, но $b>0$ и $e>0$. Это не покупаемая конфигурация, а мысленный опыт. Исходная модель и покупки остаются неизменными.

Предположите, что произойдёт при увеличении $T$. Конечные 72 часа и предел $T\to\infty$ — разные вопросы.

При положительных $b,e$, отсутствии блокировки и единственной достижимой цели вероятность кражи стремится к 1. За конечное время она может быть меньше 1, потому что нарушитель ещё движется по этапам. Если убрать достижимость цели, этот вывод уже неверен.

E. Сценарий заранее неизвестен¶

Один пакет выбирается до того, как станет известен сценарий. Сравним два критерия при бюджете 405 000 ₽:

• средний ожидаемый ущерб $\sum_s w_sJ_s$, где веса — учебное предположение из общего файла;
• наибольший ожидаемый ущерб среди сценариев $\max_s J_s$.

Это сравнение нескольких CTMC, а не усреднение матриц $Q$. Максимум берётся по ожидаемым ущербам сценариев, не по случайному ущербу истории. Цена единого пакета добавляется один раз, если выбран критерий общих расходов.

Предположите: почему лучший набор может зависеть от критерия, даже при одном бюджете?

Попробуйте: повторите с бюджетами 120 000 и 200 000 ₽. Обязаны ли решения различаться? Что нужно обосновать, прежде чем доверять весам сценариев?

Проверяем границы вывода¶

Здесь один эпизод, постоянные интенсивности, одинаковое поведение после получения доступа, фиксированные эффекты покупок и отсутствие новых атак после поглощения. Учёт неопределённости λ, нескольких нарушителей, повторных инцидентов или адаптивной защиты — отдельное расширение модели. Отсутствие вреда к $T$ не означает его невозможность после $T$.

Сформулируйте границу своего вывода: «При таких-то предположениях мой набор …; если изменится …, решение нужно пересмотреть».