Информационная безопасность - Форум по вопросам информационной безопасности

Итак, возвращаясь к тому, с чего начали - мы нашли первоисточник. Вопрос - можем ли мы ему доверять? Идей мало - можно, например, составить список белых сайтов, из которых инфа будет, как правило верна. Как это делается? Допустим, вначале мы вручную ищем все первоисточники. Со временем мы замечаем, что множество прецедентов, о которых мы узнаем, сводится к нескольким авторитетынм ресурсам, которые можно и внести в белый список на основе того, что они, как правило предоставяли ранее правдивую инфу, или просто ресурс очень авторитен и можем ему доверять де-факто. Кстати, выше говорилось как раз о том, что для автоматического поиска инфы необходимо фильтровать некоторый конечный и заранее известный, и, возможно, пополняемый список ресурсов. Наш белый список список может случить в этом качестве. На самом деле это видется единственно возможным правильным вариантом. Для неизвестных сайтов в качестве критерии истинности можно использовать существование у них ссылки на сайт из белого списка. Вообще интересен этот вопрос - возможно ли так работать с сайтами в Интернете, чтобы сравнительно легко получать оттуда источник информации. Аналогичным образом состалвяем черный список, хотя, как мне кажется, он будет довольно короткий. Однако, есть пара моментов. Если для нас важна скорость получения информации, то можно заметить, что, как правило (или только иногда?), на авторитетных источниках информация появляется несколько позже, чем на желтых страницах. Этот вопрос надо обдумать.

Итак, если инфа без политокраски то все норм. А если с политокраской, что скоро может стать актуально? Какому источнику тогда доверять. Если взять любую др область, необязательно ИБ, то видно, что авторитетные источники разных стран (как правило РФ, Европа, США, и возможно, КНР) по-разному трактуют\предоставляют информацию. А если еще есть и цензура (а она есть везде в той или иной степени), то это вообще становится большой проблемой, кому доверять. Однако есть пара идей. По большому счету, нам ведь неважно как трактуется информация. Нам важны только сами факты, проишествия. А трактовкой причин можно заняться и самим, хотя это и не надо будет, скорее всего, в рамках программы. Итак алгоритм такой - случае событие, прецедент. Анализируем несколько белых (из белого списка) источников, ищем те факты, которые одинаковы в них. Например, время происшествия, названия, причина, последствия. Конечно, как раз в этом то и будут различия информации, особенно в причинах\последствиях. Однако если мы обнаружим некоторые общие факты, то это можно считать истиной. Например последсвтие - убыток компании в источнике А 100 млн долларов, в источнике Б - незначительные убытки. Истина заключается в том что убытки были. Таким образом, можно предположить что инфа будет отличаться в цифрах, в том врема как факты существования потерь\взлома и т.п. везде будут указаны, стало быть будут истинными. Конечно, будет множество прецеднтов, инфа о которых в корне отличается. Так что этот вопрос стоит также проработать. Первоначальная идея пока что - допустим, разработана программа, автоматически анализирующая ресурсу в Интеренете и умеющая выделять нужные нам факты. Применяем ее для нескольких ресурсов, где есть совпадения - значит факт истинен. На самом деле, такой анализ можно применять к любым прецедентам, даже не имеющим политокрас. Просто к полипрецедентам нужен более тщательный подход.

Определение прецедента.
Выше мы рассмотрели проблему верификации прецедента. Однако парал. проблеме ферификации идет проблема определения прецедента. Что вообще можно считать за прецедент? Вопрос, казалось бы простой, и наверняка, в большинстве случаев он будет простым. Например, атака на банк\госучреждение, в результате которой случилась утечка информации - это прецедент. Однако существуют менее очевидные прецеденты. Вообще этот вопрос возник, потому что 1 - для написания программы для (полу)автоматического анализа текста крайне важно понимать, что такое прецедент, для составления того что списка ключевых слов например. 2 - в самом начале говорилось о том, что программа должна учитывать очень широкий круг проблем, связанных с информационной безопаностью и киберпреступностью, начиная от взлома пароля, заканичивая угрозой возникновения цветных революций в РФ, точнее использованием информационных технологий при подготовке к ним. Так вот проблема как раз в таких угрозах - которые напрямую не несут вред юридическому\физическому лицу, но которые лишь косвенно имеют отношение к угрозе в общем смысле этого слова. Пример, актуальный для РФ. Допустим есть группа лиц, которые хотят спланировать какую-нибудь, будем говорить, акцию, одним из ключевых критериев которой является участие в ней огромного количества людей (это может быть все что угодно - начиная от забастовки, заканчивая государсвенным переворотом, хотя в посл случае, группа лиц будет действовать более скрытно, чем мы в дальнейшем будем предполагать). Для них что важно? Агитация людей для того, чтобы склонить их учавствовать в акц

Для них что важно? Агитация людей для того, чтобы склонить их учавствовать в акции. Современные средства массовой связи, в особенности, интернет (соц сети, рассылка сообщений и тп) предоставляют огромные возможности для такого рода действий. Самое простое, что напрашивается - создать группу в соцсети с веселым названием и невеселой целью. По факту, все гораздо сложнее. Так вот, в этом смысле - создание такой группы - это прецедент. Теперь можно видеть сложность определения прецедентов. Идей опять таки мало - взаймодействие с соцсетями, хотя их руководство навряд ли предоставит более менее полезную инфу (если только не для спецслужб). Причины этого - политика руководства соцсетей и огромное количество иформации. Хотя, можно, например, предоставить возможность для более избирательного\специфического поиска в соцсетях, если стандартных средсв не хватает. Однако это идея лишь на простом примере с созданием плогой группы в соцсети. По факту, повторюсь, все гораздо сложнее. Необходимо более подробно проработать этот вопрос, и вообще сделать какой нибудь отчет (здесь еще будет дополнение), основанный на примерах уже происходивших в мире "акций".

Вообще, изначально я хотел написать комменарии по общей проблеме (точность полученной информации о прецеденте, и вообще, что считать за прецендент), которые относились к возможности автоматического анализа текста для выявления прецедентов. Однако по ходу дела отвлекся довольно сильно, и возможно привел несколько аргументов, чтобы поменять концепцию программы. Осталось понять что менять?
На самом деле, отвечая на вопрос "Что есть?", пока что уделил внимание лишь пополнению базы данных инфой из сети. Не рассмотрены пока что след вопросы - с учетом того что прецеденты - это класс в БД, в которой есть еще и другие классы и связи между ними, как вообще все между собой связано. Пока что это неважно. Вопрос в след - такая концепция вообще хороша для главного вопроса из 1 абзаца? (основные моменты след - главное - есть база прецедентов, связанные с ней угрозы, уязвимости и тп, юзер вбивает инфу о том что что то не работает, программа говорит что случилось то и то, делать надо то и то, и как с этим связать вопросы, поднятые в абзаце, посвященному определению прецедента?)

Что ЭТО было?
В чем вопрос?

присоединяюсь к вопросу секира
Что ЭТО было?
В чем вопрос?
Может мы не доросли до уровня понимания элементароного бреда ...
он тут продублировал свой-же ...
закольцевал....

Судя по времени публикации кто-то с ... ээээ... спиртным переборщил сильно

http://www.itsec.ru/forum.php?sub=7670&from=-1 - это начало.
Смысл в следующем. Есть некоторая программа, которая разрабатывалась для решения определенных задач. Программа работает так, если утрированно: входные данные - что-то случилось с компом\сетью. Эту информацию программа воспринимает как симптомы некоторого прецедента. Есть база данных прецедентов. Дальше следует анализ этих симптомов по некоторым критериям и поиск в базе. Результат анализа и поиска - предоставление списка похожих прецедентов, и, как следствие, методов решения проблемы.
Однако теперь задача усложнилась.
Если изначально информационная безопасность рассматривалась в узком смысле, т.е только технический ее аспект (взлом, кража даннах, и т.п.), то теперь добавилась, если утрированно, политическая составляющая (т.е. информационные технологии - теперь средство не только киберпреступлений, но и средство в информационной войне в классическом понимании этого слова - пропаганда, поддержка оппозии и т.п.), о чем было написано в этом действительно довольно бессвязном тексте.
Вопрос состоит в следующем - надо менять концепцию программы (т.е. то как она работает), которая есть. Или просто ее доработать.

Г-н аспирант, не сочтите за труд, просветите, что есть "прецедент"?

"Дирак любил выражаться точно и требовал точности от других. Однажды он выступал с докладом на семинаре. Закончив сообщение, Дирак обратился к аудитории: «Вопросы есть?». — «Я не понимаю, как вы получили это выражение», спросил один из присутствующих. «Это утверждение, а не вопрос, — ответил Дирак. — Вопросы есть?»

Прецедент - некоторое событие, случившееся в прошлом, и служащее примером или основанием для аналогичных действий в настоящем.
По аналогии с судебным прецедентом.
Надо понимать как реализовавшаяся угроза.