Методы повышения показателей качества фильтрации dlp-систем на основе предметно-ориентированной морфологической модели естественного языка

2.5.2 Формальное описание метода 
Рассмотрим множество D защищаемых данных и множество I защищаемых 
фактов (п. 2.1) 
Пусть L = { l
i 
}, i=1,..., n – множество связей, полученных в результате 
анализа защищаемых данных D. 
Пусть L
t
= { l
i 
}, i=1,..., n – множество связей, полученных в результате 
анализа сообщений, передаваемых по одному из разрешенных каналов связи C. 
Пусть функция 
– функция выявления похожести множества
связей 
с одним из подмножеств множества связей 
.
, (2.5.2.1) 
где 
– мера похожести множеств связей
и 
.
Если 
, где 
– некая константа для данного 
, то считается что 
множество связей
похоже на одно из подмножеств множества связей 
. 
Применительно к анализу угрозы утечки защищаемой информации это говорит о 
наличии в передаваемом сообщении одного из защищаемых файтов I. 
Предлагаемый метод идентификации защищаемых данных в передаваемых 
сообщениях состоит из следующих этапов:  
1. Формирование множества связей L защищаемых данных в результате 
анализа множества защищаемых данных D 
2. Формирование множества связей L
t
передаваемых сообщений в результате 
анализа ЕЯ-текстов, передаваемых по одному из каналов C 
3. Вычисление функция 
и константы
, сравнение результатов

---

76 
2.5.3 
Существенная 
особенность 
анализа 
естественноязыковых 
сообщений с целью выявления угрозы утечки информации 
Важной особенностью и отличием задачи выявления угрозы утечки 
информации от других задач анализа естественного языка (например, поисковых 
задач) является то, что на каждом уровне анализа мы можем и должны учитывать 
все возможные гипотезы. Например, при невозможности разрешить 
неоднозначность в определении части речи или других морфологических 
характеристик слова, на следующий уровень анализа должны передаваться все 
возможные гипотезы.
Таким образом, на уровне синтаксического анализа с большой вероятностью 
будет иметься множество различных гипотез описания передаваемого сообщеия и 
защищаемых данных.
При анализе естественноязыковых сообщений с целью выявления угроз ИБ 
нет ничего плохого в том, что будут обнаружены неестественные или 
неочевидные трактовки передаваемого текста: если передаваемое сообщение 
можно тракотовать как защищаемый текст, то не важно, что именно имел ввиду 
отправитель. Система защиты от утечек должна безусловно блокировать передачу 
такого сообщения.
Таким образом, неверная (точнее, непредполагаемая), но формально 
допустимая интерпретация передаваемого сообщения не может вызвать ошибку 
при выявлении утечек информации – «ложное» срабатывание в данном случае не 
является ложным.