Використання метода пошуку аномалій для виявлення мережевих атак

Анотація

Стаття присвячена опису моделі виявлення мережевих вторгнень у трафіку мереж, побудованих з урахуванням стека протоколів TCP/IP. Аналізуються основні об'єкти локальної обчислювальної мережі. Описуються основні контрольовані параметри кожного типу об'єктів. У роботі розробляються методи пошуку аномалій, що ґрунтуються як на аналізі за правилами, так і на аналізі з використанням імовірнісних моделей.

Актуальність. У зв'язку з інтенсивним зростанням інформаційних технологій та їх впровадженням у різні галузі діяльності міського господарства питання інформаційної безпеки виходить на перше місце і стає дуже актуальним.

Методи дослідження. Під час вирішення поставлених завдань використовувалися методи теорії управління; методи побудови систем захисту; теорія графів; теорія ймовірності та математична статистика; методи аналізу часових рядів; методи прогнозної аналітики та обробки великих даних; методи побудови високонавантажених захищених програм. Основними методами дослідження є імовірнісне і верифікаційне моделювання.

Результати. Імовірнісне і верифікаційне моделювання мережевих атак підтвердило працездатність запропонованого підходу. Результати синтезу за допомогою САПР показали, що додаткові апаратні витрати не перевищують 20% порівняно з канонічною моделлю опису.

Висновки. Розроблена модель системи дозволяє виявляти атаки на ключові об’єкти, що моделюються. Отримані під час випробувань результати показали високу ефективність виявлення аномалій числових параметрів моделі. Для збільшення точності надалі планується перейти до моделювання поняття «сервіс» та моделювання протоколів HTTP, SMTP, POP3. Модель сесії також дозволяє виявляти існуючі та нові атаки на рівні сесії TCP, а також деякі види атак на відмову в обслуговуванні. Модель потоків мережевого трафіку дозволяє нам виявляти такі види атак, як: різні види сканування системи, установку троянських програм (бо зросте кількість байт у вихідному потоці), установку ICMP шелла (бо зросте кількість ICMP пакетів). Модель часових інтервалів дозволяє виявляти деякі види сканування системи, атаки на відмову в обслуговуванні та встановлення web-шеллу. Стаття присвячена опису моделі виявлення мережевих вторгнень у трафіку мереж, побудованих з урахуванням стека протоколів TCP/IP. Аналізуються основні об'єкти локальної обчислювальної мережі. Описуються основні контрольовані параметри кожного типу об'єктів. Розробляються методи пошуку аномалій, що ґрунтуються як на аналізі за правилами, так і на аналізі з використанням імовірнісних моделей.