mireabulletinRussian Technological JournalRussian Technological Journal2782-32102500-316XRTU MIREA10.32362/2500-316X-2024-12-3-25-36LNWLOKmireabulletin-916Research ArticleИНФОРМАЦИОННЫЕ СИСТЕМЫ. ИНФОРМАТИКА. ПРОБЛЕМЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИINFORMATION SYSTEMS. COMPUTER SCIENCES. ISSUES OF INFORMATION SECURITYКритерии и показатели оценивания качества проведения расследования инцидента информационной безопасности при целевой кибератакеCriteria and indicators for assessing the quality of the investigation of an information security incident as part of a targeted cyberattackhttps://orcid.org/0000-0003-4387-0850СмирновС. И.SmirnovS. I.

Смирнов Станислав Игоревич, к.т.н., доцент, кафедра интеллектуальных систем информационной безопасности, Институт кибербезопасности и цифровых технологий

119454, Москва, пр-т Вернадского, д. 78

Scopus Author ID 57475289100, ResearcherID HZM-3994-2023

Stanislav I. Smirnov, Cand. Sci. (Eng.), Assistant Professor, Department of Intelligent Information Security Systems, Institute of Cybersecurity and Digital Technologies

78, Vernadskogo pr., Moscow, 119454 

Scopus Author ID 57475289100, ResearcherID HZM-3994-2023

smirnov_si@mirea.ruhttps://orcid.org/0000-0002-5511-4000ЕремеевМ. А.EremeevM. A.

Еремеев Михаил Алексеевич, д.т.н., профессор, кафедра информационно-аналитических систем кибер безопасности, Институт кибербезопасности и цифровых технологий

Scopus119454, Москва, пр-т Вернадского, д. 78

Author ID 57188205500

Mikhail A. Eremeev, Dr. Sci. (Eng.), Professor, Department of Information and Analytical Cybersecurity Systems, Institute of Cybersecurity and Digital Technologies

78, Vernadskogo pr., Moscow, 119454 

 

eremeev_m@mirea.ruhttps://orcid.org/0000-0001-8560-1937МагомедовШ. Г.MagomedovSh. G.

Магомедов Шамиль Гасангусейнович, к.т.н., доцент, заведующий кафедрой интеллектуальных систем информационной безопасности, Институт кибербезопасности и цифровых технологий

119454, Москва, пр-т Вернадского, д. 78

Scopus Author ID 57204759220, ResearcherID M-5782-2016

Shamil G. Magomedov, Cand. Sci. (Eng.), Associate Professor, Head of the Department of Intelligent Information Security Systems, Institute of Cyber Security and Digital Technologies

78, Vernadskogo pr., Moscow, 119454 

Scopus Author ID 57204759220, ResearcherID M-5782-2016

msgg@list.ruhttps://orcid.org/0000-0002-3174-4550ИзергинД. А.IzerginD. A.

Изергин Дмитрий Андреевич, к.т.н., доцент, кафедра цифровых технологий обработки данных, Институт кибербезопасности и цифровых технологий

119454, Москва, пр-т Вернадского, д. 78

Scopus Author ID 57224822181

Dmitry A. Izergin, Cand. Sci. (Eng.), Assistant Professor, Department of Digital Data Processing Technologies, Institute of Cybersecurity and Digital Technologies

78, Vernadskogo pr., Moscow, 119454

Scopus Author ID 57224822181

izergin@mirea.ruМИРЭА – Российский технологический университетРоссияMIREA – Russian Technological UniversityRussian Federation2024310520241232536Copyright © Смирнов С.И., Еремеев М.А., Магомедов Ш.Г., Изергин Д.А., 20242024Смирнов С.И., Еремеев М.А., Магомедов Ш.Г., Изергин Д.А.Smirnov S.I., Eremeev M.A., Magomedov S.G., Izergin D.A.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://www.rtj-mirea.ru/jour/article/view/916Цели

Цели. В настоящее время при нарастающем числе целевых атак задача расследования инцидента информационной безопасности (ИБ) приобретает важное значение. Компьютерные криминалисты, в зависимости от имеющихся средств защиты, применяют программные и программно-аппаратные средства форензики, проводят анализ цифровых артефактов различных операционных систем и сетевого трафика с построением хронологии событий (таймлайна) инцидента. На сегодняшний день отсутствует какой-либо формальный подход к оцениванию эффективности действий специалистов при проведении расследования инцидента ИБ в рамках целевой кибератаки. Целью работы является формирование частных показателей оперативности, результативности и ресурсоемкости в рамках критерия пригодности при расследовании инцидента ИБ.

Методы

Методы. Использованы методы теории эффективности целенаправленных процессов, методы экспертных оценок и теории множеств.

Результаты

Результаты. Проведен анализ актуальных работ в области расследования компьютерных инцидентов. Представлены терминология и основные руководящие документы спецификации проведения расследования инцидента ИБ. Определены примеры цифровых артефактов в виде классификации. Обоснована целесообразность формирования критериев и показателей оценки качества проведения расследования инцидента ИБ. Выбраны критерий пригодности и следующие показатели оценивания качества проведения расследования: показатель результативности (полноты) выявления цифровых артефактов компьютерным криминалистом на основе проведенных мероприятий, показатель ресурсоемкости и показатель оперативности расследования инцидента ИБ.

Выводы

Выводы. Полученные результаты могут быть использованы не только руководителями подразделений, но и рядовыми специалистами по ИБ для объективного анализа имеющихся программных и человеческих ресурсов, времени, затраченного на эти мероприятия, и выявленных цифровых артефактов в рамках расследования киберинцидента.

Objectives

Objectives. The currently increasing number of targeted cyberattacks raises the importance of investigating information security incidents. Depending on the available means of protection, computer forensic experts use software and hardware tools for analyzing digital artifacts of various operating systems and network traffic to create an event chronology (timeline) of the incident. However, to date, there is no formal approach for assessing the effectiveness of expert activities when investigating an information security incident within the framework of a targeted cyberattack. The present study aims to develop partial indicators of promptness, effectiveness, and resource intensity as part of the suitability criterion for investigating an information security incident.

Methods

Methods. Methods informed by purposeful process efficiency and set theory are used along with expert evaluation approaches.

Results

Results. An analysis of works in the field of investigation of computer incidents is presented. The terminology and main guiding documents on specifics of conducting information security incident investigations are described along with examples of digital artifacts defined in the form of classification. The expediency of forming criteria and indicators for assessing the quality of an information security incident investigation is substantiated. The suitability criterion and subsequent indicators for assessing the quality of the investigation are selected: the effectiveness (completeness) indicator for detecting digital artifacts by a computer criminologist is based on the conducted activities, resource intensity indicator, and promptness indicator for investigating an information security incident.

Conclusions

Conclusions. The obtained results can be used not only by heads of departments but also by rank-and-file information security professionals for objective analysis of the available software and human resources, the time spent on these activities, and the identified digital artifacts as part of a cyber incident investigation.

инцидент информационной безопасностицелевая кибератакарасследование киберинцидентаматрица MITRE ATT&CKцифровой артефактоценка угроз безопасности информациицеленаправленный процесскритерий и показатели оценки качестваinformation security incidenttargeted cyberattackcyber incident investigationMITRE ATT&CK matrixdigital artifactinformation security threat assessmenttargeted processquality assessment criteria and indicatorsReferencesСмирнов С.И., Еремеев М.А., Горбачев И.Е., Нефедов В.С., Изергин Д.А. Анализ техник и инструментов, используемых злоумышленником при горизонтальном перемещении в корпоративной сети. Защита информации. Инсайд. 2021;1(97):58–61. https://www.elibrary.ru/pltlpqSmirnov S.I., Eremeev M.A., Gorbachev I.E., Nefedov V.S., Izergin D.A. Analysis of techniques and tools used by an attacker when moving horizontally in the corporate network. Zashchita Informatsii. Insaid. 2021;1(97):58–61 (in Russ.). https://www.elibrary.ru/pltlpqСмирнов С.И. Методика расследования киберинцидента, основанная на интеллектуальном анализе событий безопасности домена. Защита информации. Инсайд. 2022;4(106):60–69. https://www.elibrary.ru/mefhpcSmirnov S.I. Cyber incident investigation methodology based on intelligent analysis of domain security events. Zashchita Informatsii. Insaid. 2022;4(106):60–69 (in Russ.). https://www.elibrary.ru/mefhpcСмирнов С.И., Киселев А.Н., Азерский В.Д., Карельский Д.В., Кумуржи Г.М. Комплексная методика проведения расследования инцидента информационной безопасности. Защита информации. Инсайд. 2023;2(110):14–26. https://www.elibrary.ru/fdhgzqSmirnov S.I., Kiselev A.N., Azerskii V.D., Karel’skii D.V., Kumurzhi G.M. Comprehensive methodology for conducting an information security incident investigation. Zashchita Informatsii. Insaid. 2023;2(110):14–26 (in Russ.). https://www. elibrary.ru/fdhgzqМакаренко С.И. Критерии и показатели оценки качества тестирования на проникновение. Вопросы кибербезопасности. 2021;3(43):43–57. https://www.elibrary.ru/udlknnMakarenko S.I. Criteria and parameters for estimating quality of penetration testing. Voprosy kiberbezopasnosti = Cybersecurity Issues J. 2021;3(43):43–57 (in Russ.). https://www.elibrary.ru/udlknnSmirnov S.I., Eremeev M.A., Pribylov I.A. Approach to Recognition of Malicious Behavior Based on Autoregression Model upon Investigation into Cyberincident. Aut. Control Comp. Sci. 2021;55(8):1099–1103. http://doi.org/10.3103/S0146411621080290, https://www.elibrary.ru/ubwpaiSmirnov S.I., Eremeev M.A., Pribylov I.A. Approach to Recognition of Malicious Behavior Based on Autoregression Model upon Investigation into Cyberincident. Aut. Control Comp. Sci. 2021;55(8):1099–1103. http://doi.org/10.3103/S0146411621080290, https://www.elibrary.ru/ubwpaiЗегжда Д.П., Лаврова Д.С., Павленко Е.Ю. Управление динамической инфраструктурой сложных систем в условиях целенаправленных кибератак. Известия РАН. Теория и системы управления. 2020;4(3):50–63. https://doi.org/10.31857/S0002338820020134Zegzhda D.P., Lavrova D.S., Pavlenko E.Y. Management of a Dynamic Infrastructure of Complex Systems Under Conditions of Directed Cyber Attacks. J. Comput. Syst. Sci. Int. 2020;59(3):358–370. https://doi.org/10.1134/S1064230720020124 [Original Russian Text: Zegzhda D.P., Lavrova D.S., Pavlenko E.Y. Management of a Dynamic Infrastructure of Complex Systems Under Conditions of Directed Cyber Attacks. Izvestiya Rossiiskoi akademii nauk. Teoriya i sistemy upravleniya. 2020;3:50–63 (in Russ.). https://doi.org/10.31857/S0002338820020134 ]Калинин В.Н., Ломако А.Г., Овчаров В.А., Петренко С.А. Расследование ИБ-инцидентов с использованием профилирования поведения динамических сетевых объектов. Защита информации. Инсайд. 2018;3(81):58–67. https://www.elibrary.ru/xqlampKalinin V.N., Lomako A.G., Ovcharov V.A., Petrenko S.A. Investigation of information security incidents using the behavior profiling of dynamic network objects. Zashchita Informatsii. Insaid. 2018;3(81):58–67 (in Russ.). https://www.elibrary.ru/xqlampОвчаров В.А., Романов П.А. Расследование компьютерных инцидентов на основе идентификации дискретных событий информационной безопасности и обратного анализа по конечным исходам. Труды Военно-космической академии имени А.Ф. Можайского. 2015;648:84–89. https://www.elibrary.ru/uzmkoxOvcharov V.A., Romanov P.A. Investigation of computer incidents based on the identification of discrete IS events and reverse analysis by final outcomes. Trudy Voenno-kosmicheskoi akademii imeni A.F. Mozhaiskogo = Proceedings of the Mozhaisky Military Aerospace Academy. 2015;648:84–89 (in Russ.). https://www.elibrary.ru/uzmkoxЛомако А.Г., Овчаров В.А., Петренко С.А. Метод расследования инцидентов безопасности на основе профилей поведения сетевых объектов. В сб.: Дистанционные образовательные технологии: Материалы III Всероссийской научно-практической конференции, 17–22 сентября 2018 г. Ялта: ООО «Издательство Типография «Ариал»; 2018. С. 366–373. https://www.elibrary.ru/uzzdahLomako A.G., Ovcharov V.A., Petrenko S.A. Method for investigating security incidents based on behavior profiles of network objects. In: Distance Educational Technologies: Materials of the Third All-Russian Scientific and Practical Conference, September 17–22, 2018. Yalta: Arial; 2018. P. 366–373 (in Russ.). https://www.elibrary.ru/uzzdahСаенко И.Б., Лаута О.С., Карпов М.А., Крибель А.М. Модель угроз ресурсам ИТКС как ключевому активу критически важного объекта инфраструктуры. Электросвязь. 2021;1:36–44. https://doi.org/10.34832/ELSV.2021.14.1.004Saenko I.B., Lauta O.S., Karpov M.A., Kribel A.M. Model of threats to information and telecommunication network resources as a key asset of critical infrastructure. Elektrosvyaz. 2021;1:36–44 (in Russ.). https://doi.org/10.34832/ELSV.2021.14.1.004Быстров И.С., Котенко И.В. Анализ моделей поведения пользователей для задачи обнаружения кибер-инсайдеров. В сб.: Актуальные проблемы инфотелекоммуникаций в науке и образовании: сборник научных статей: в 4 т. Т. 1. СПб.: Санкт-Петербургский государственный университет телекоммуникаций им. проф. М.А. Бонч-Бруевича; 2021. С. 139–143. https://www.elibrary.ru/sqzvmaBystrov I.S., Kotenko I.V. Analysis of user behavior models for the task of detecting cyber insiders. In: Actual Problems of Infotelecommunications in Science and Education: collection of scientific articles: in 4 v. V. 1. St. Petersburg: Bonch-Bruevich St. Petersburg State University of Telecommunications; 2021. P. 139–143 (in Russ.). https://www.elibrary.ru/sqzvmaEremeev M.A., Smirnov S.I., Pribylov I.A. Detection of malicious actions of an attacker based on event logs when investigating an ongoing cyber incident. В сб.: Инновационные аспекты развития науки и техники: Сборник статей VII Международной научно-практической конференции. Саратов: НОО «Цифровая наука»; 2021. С. 22–28. https://www.elibrary.ru/ygoyfzEremeev M.A., Smirnov S.I., Pribylov I.A. Detection of malicious actions of an attacker based on event logs when investigating an ongoing cyber incident. In: Innovative Aspects of the Development of Science and Technologies: Collection of articles of the 7th International Scientific and Practical Conference. Saratov: Tsifrovaya nauka; 2021. P. 22–28 (in Russ.). https://www.elibrary.ru/ygoyfzАвраменко В.С., Маликов А.В. Нейросетевая модель диагностирования компьютерных инцидентов в инфокоммуникационных системах специального назначения. В сб.: Проблемы технического обеспечения войск в современных условиях: Труды IV Межвузовской научно-практической конференции. Т. 1. СПб.; 2019. С. 41–45. https://www.elibrary.ru/flomvhAvramenko V.S., Malikov A.V. Neural network model for diagnosing computer incidents in special purpose infocommunication systems. In: Problems of Technical Support of Troops in Modern Conditions: Proceedings of the Forth Interuniversity Scientific and Practical Conference. St. Petersburg; 2019. P. 41–45 (in Russ.). https://www.elibrary.ru/flomvhЛевшун Д.С. Построение модели атакующего для современной киберфизической системы. В сб.: Актуальные проблемы инфотелекоммуникаций в науке и образовании (АПИНО 2020). IX Международная научно-техническая и научно-методическая конференция: сборник научных статей. Т. 1. СПб.: Санкт-Петербургский государственный университет телекоммуникаций им. проф. М.А. Бонч-Бруевича; 2020. С. 679–682. https://www.elibrary.ru/krafgrLevshun D.S. Building an attacker model for a modern cyberphysical system. In: Actual Problems of Infotelecommunications in Science and Education (APINO 2020). The 9th International Scientific-Technical and Scientific-Methodological Conference: collection of scientific articles. V. 1. St. Petersburg: Bonch-Bruevich St. Petersburg State University of Telecommunications; 2020. P. 679–682 (in Russ.). https://www.elibrary.ru/krafgrПетухов Г.Б., Якунин В.И. Методологические основы внешнего проектирования целенаправленных процессов и целеустремленных систем. М.: АСТ; 2006. 504 с.Petukhov G.B., Yakunin V.I. Metodologicheskie osnovy vneshnego proektirovaniya tselenapravlennykh protsessov i tseleustremlennykh system (Methodological Foundations of External Design of Purposeful Processes and Purposeful Systems). Moscow: AST; 2006. 504 p. (in Russ.).

The authors declare that there are no conflicts of interest present.