Confidentiality threat modelling for data exchange in distributed systems

Abstract

he relevance of the study is determined by the increasing complexity of contemporary distributed environments, in which sensitive data passes through multiple nodes, communication channels, application services, message brokers, and storage subsystems. Under such conditions, confidentiality assurance requires not only the use of separate cryptographic mechanisms, but also a formalised assessment of cumulative confidentiality risk along the entire data exchange route. The aim of the study was to develop a route-oriented mathematical model for the quantitative assessment of confidentiality breach risk in distributed systems, taking into account node compromise probability, channel interception probability, data sensitivity, and the effectiveness of security mechanisms. The study employed methods of system analysis, mathematical modelling, and scenario-based evaluation. The data exchange process was formalised as a sequence of stages, each of which was assigned a local confidentiality breach risk and an adjusted risk considering the effectiveness of cryptographic protection, access control, and monitoring. The proposed integral risk function made it possible to aggregate local risks along the entire exchange route and determine the contribution of individual architectural elements to the cumulative risk. According to the results of scenario-based modelling, the integral risk was 0.01405 for the baseline scenario, 0.00223 for the intermediate scenario, and 0.000196 for the comprehensive protection scenario. The transition from the baseline scenario to the intermediate scenario reduced the integral risk by more than six times, whereas the application of comprehensive protection ensured its reduction by more than seventy times. The analysis of local risks showed that the client application and the data storage subsystem made the largest contribution to cumulative risk in the baseline scenario. This substantiates the need to prioritise the strengthening of protection measures at these stages of the exchange route. The practical significance of the obtained results lies in the possibility of using the proposed model to compare alternative architectures of distributed systems, identify critical stages of data exchange, and justify the selection of a set of security mechanisms.

Актуальність дослідження зумовлена зростанням складності сучасних розподілених середовищ, у яких чутливі дані проходять через множину вузлів, каналів зв’язку, прикладних сервісів, брокерів повідомлень і підсистем зберігання. За таких умов забезпечення конфіденційності потребує не лише застосування окремих криптографічних механізмів, а й формалізованого оцінювання сукупного ризику втрати конфіденційності на всьому маршруті обміну даними. Метою дослідження було побудувати маршрутно-орієнтовану математичну модель кількісного оцінювання ризику порушення конфіденційності в розподілених системах з урахуванням імовірності компрометації вузлів, імовірності перехоплення в каналах передавання, чутливості даних та ефективності механізмів захисту. У роботі використано методи системного аналізу, математичного моделювання та сценарного оцінювання. Процес обміну даними було формалізовано як послідовність етапів, для кожного з яких визначено локальний ризик порушення конфіденційності та скоригований ризик з урахуванням ефективності криптографічного захисту, контролю доступу й моніторингу. Запропонована інтегральна функція ризику дала змогу агрегувати локальні ризики вздовж усього маршруту обміну та визначити внесок окремих архітектурних елементів у сукупний ризик. За результатами сценарного моделювання встановлено, що для базового сценарію інтегральний ризик становив 0,01405, для проміжного сценарію – 0,00223, а для сценарію комплексного захисту – 0,000196. Перехід від базового до проміжного сценарію зменшив інтегральний ризик більш ніж у шість разів, тоді як застосування комплексного захисту забезпечило його зниження більш ніж у сімдесят разів. Аналіз локальних ризиків показав, що найбільший внесок у сукупний ризик у базовому сценарії формували клієнтський застосунок і підсистема зберігання даних. Це обґрунтовує доцільність пріоритетного посилення захисту саме на цих етапах маршруту обміну. Практичне значення отриманих результатів полягає у можливості використання запропонованої моделі для порівняння альтернативних архітектур розподілених систем, визначення критичних ділянок обміну даними та обґрунтування вибору комплексу захисних механізмів.