Розділ III. Методи дослідження складних систем

Система — сукупність взаємопов’язаних елементів, що утворюють цілісність і взаємодіють для досягнення мети. Системний підхід розглядає об’єкт через його склад, структуру, функції, середовище, цілі, обмеження та зворотні зв’язки.

Ознаки складної системи

• багато елементів і зв’язків;
• ієрархія та підсистеми;
• нелінійність;
• невизначеність;
• емерджентні властивості;
• адаптивність;
• часові затримки;
• взаємодія з середовищем.

Етапи системного аналізу

1. формулювання проблеми;
2. визначення стейкхолдерів, меж і цілей;
3. декомпозиція системи;
4. визначення критеріїв та обмежень;
5. побудова моделей;
6. генерування альтернатив;
7. оцінка наслідків і ризиків;
8. вибір рішення;
9. реалізація, моніторинг і коригування.

Експертний аналіз

Використовується, коли статистики недостатньо або проблема слабо формалізована. Методи: інтерв’ю, експертне ранжування, Delphi, сценарний аналіз, парні порівняння. Вимоги: компетентність, незалежність, різноманітність поглядів, фіксація невизначеності та контроль упереджень.

Приклад: оцінка кіберризику лікарні має враховувати не лише CVSS вразливості, а й клінічні процеси, резервні режими, залежність від електрики, персонал, постачальників і ціну простою.

Технічний аналіз — дослідження структури, параметрів, режимів, надійності та ефективності технічної системи для оцінки її відповідності вимогам і вибору рішень.

Основні етапи

• визначення функцій і технічних вимог;
• структурна та функціональна декомпозиція;
• аналіз інтерфейсів і потоків;
• моделювання режимів роботи;
• оцінка продуктивності, надійності та безпеки;
• аналіз відмов і граничних станів;
• тестування й верифікація;
• аналіз вартості життєвого циклу.

Методи

FMEA/FMECA, fault tree analysis, reliability block diagrams, performance testing, threat modeling, digital twins, статистичне моделювання, експеримент і прототипування.

У кібербезпеці

Технічний аналіз не обмежується скануванням вразливостей. Він охоплює архітектуру довіри, межі безпеки, протоколи, конфігурації, залежності, журнали, можливості виявлення, шляхи атаки і режими деградації.

Ймовірне уточнення: верифікація відповідає на питання «чи правильно ми побудували систему за специфікацією?», валідація — «чи ту систему ми побудували і чи вирішує вона реальну потребу?»

Інформаційна модель — формалізоване представлення об’єкта, його станів, параметрів, зв’язків і потоків даних, достатнє для аналізу або управління.

Види моделей

• концептуальні;
• структурні;
• функціональні;
• логічні та математичні;
• імітаційні;
• даних: ER-модель, онтологія, граф;
• процесні: BPMN, DFD;
• архітектурні та threat model.

Побудова

Мета → межі → сутності → атрибути → зв’язки → потоки → припущення → критерії адекватності → перевірка на реальних сценаріях.

Критичні місця

Single point of failure, вузькі місця продуктивності, довірчі межі, привілейовані облікові записи, незахищені API, неявні залежності, ручні операції, монопольний постачальник, відсутність телеметрії.

Методи пошуку: attack graph, dependency mapping, FMEA, fault tree, stress testing, tabletop exercise, аналіз потоків даних і прав доступу.

Практичний висновок: модель має бути настільки простою, наскільки можливо, але достатньою для рішення. Надмірна деталізація ускладнює аналіз, а недостатня приховує критичні залежності.

Основні поняття

• актив — те, що має цінність;
• загроза — потенційна причина інциденту;
• вразливість — слабкість;
• контроль — захід зміни ризику;
• властивий ризик — до застосування контролів;
• залишковий ризик — після контролів;
• ризик-апетит — рівень ризику, який організація готова прийняти.

Процес

1. встановлення контексту;
2. інвентаризація і оцінка активів;
3. ідентифікація загроз і вразливостей;
4. аналіз ймовірності та наслідків;
5. ранжування;
6. план обробки;
7. прийняття залишкового ризику власником;
8. моніторинг і переоцінка.

Підходи

• якісний: low/medium/high;
• кількісний: очікувані втрати, частоти, Monte Carlo;
• напівкількісний: бали та матриці.

Класична формула річних очікуваних втрат: ALE = SLE × ARO, де SLE — разова очікувана втрата, ARO — очікувана річна частота.

Доказовий підхід

Оцінка має спиратися на інвентаризацію, журнали інцидентів, threat intelligence, результати тестувань, статистику відмов, аудит і експертні оцінки. «Точне» число без якісних даних створює ілюзію об’єктивності.

Основні групи

• теорія ймовірностей і математична статистика;
• теорія графів;
• оптимізація та дослідження операцій;
• марковські процеси;
• теорія ігор;
• байєсівські мережі;
• теорія інформації;
• машинне навчання;
• імітаційне моделювання.

Застосування

• оцінка ймовірності інциденту;
• виявлення аномалій;
• побудова графів атак;
• оптимальний розподіл бюджету безпеки;
• прогноз навантаження SOC;
• оцінка надійності;
• вимірювання ентропії паролів і ключів;
• моделювання стратегії нападника й захисника.

Вимоги до моделі

Адекватність предметній області, перевірювані припущення, якісні дані, оцінка похибки, інтерпретованість і стійкість до зміни параметрів.

Типове уточнення: кореляція не доводить причинність; низька базова частота атак може породжувати багато false positives навіть у моделі з високою точністю. Тому для систем виявлення важливі precision, recall, false positive rate та контекст вартості помилки.

Елементи задачі

Суб’єкт рішення, ціль, альтернативи, критерії, стани середовища, наслідки, обмеження, інформація і ризик.

Формалізація

1. визначити проблему і критерії;
2. сформувати альтернативи;
3. оцінити наслідки;
4. визначити ваги критеріїв;
5. порівняти альтернативи;
6. перевірити чутливість;
7. обрати й задокументувати рішення.

Умови

• визначеність: наслідок кожної альтернативи відомий;
• ризик: стани й імовірності відомі або оцінені;
• невизначеність: імовірності ненадійні чи невідомі.

Критерії за невизначеності

Maximax, Maximin/Wald, Hurwicz, Savage minimax regret, Laplace. За ризику — очікувана корисність, дерева рішень, Bayes updating.

У кібербезпеці

Рішення про патч або зупинку сервісу є багатокритеріальним: експлуатованість, критичність активу, доступність експлойту, наслідок простою, компенсуючі контролі. CVSS не замінює контекстне рішення.

Сильна теза: формальна модель не усуває відповідальність, а робить припущення, критерії та компроміси видимими.

Система масового обслуговування

Містить потік заявок, чергу, канали обслуговування, дисципліну черги та вихід. Параметри: інтенсивність надходження λ, інтенсивність обслуговування μ, кількість каналів, довжина черги, час очікування.

У простій M/M/1 системі стабільність потребує ρ = λ/μ < 1. Якщо події надходять швидше, ніж команда обробляє, backlog необмежено зростає.

Мережа масового обслуговування складається з кількох взаємопов’язаних вузлів, де вихід одного вузла стає входом іншого. Для SOC це може бути послідовність: первинний triage → поглиблений аналіз → форензика → відновлення. Оптимізація лише першого етапу не допоможе, якщо наступний вузол залишається bottleneck.

Застосування

• черга інцидентів SOC;
• обробка звернень CERT/CSIRT;
• продуктивність серверів;
• планування каналів зв’язку;
• розподіл експертів між задачами.

Імітаційне моделювання

Дискретно-подієве, агентне, системна динаміка, Monte Carlo. Дозволяє перевіряти сценарії без ризику для реальної системи.

Планування та оптимізація

Симплекс-метод застосовують до лінійного програмування; транспортна задача — для мінімізації вартості розподілу ресурсів; двоїста задача показує «тіньову ціну» обмежень; мережеві задачі — маршрути, потоки, критичний шлях.

Приклад: оптимізувати розміщення сенсорів і аналітиків так, щоб мінімізувати очікуваний час виявлення критичного інциденту за обмеженого бюджету.