Последовательный анализ трафика вычислительной сети

• Автор: Журавлев, Денис Николаевич
• Шифр специальности: 01.01.09
• Научная степень: Кандидатская
• Год защиты: 2004
• Место защиты: Петрозаводск
• Количество страниц: 119 с.

Глава I. Принципы моделирования вычислительной сети

§ 1. Основные сложности построения математической

модели вычислительной сети

§ 2. Теорема об ON/OFF процессе

ГЛАВА II. О методе кумулятивных сумм в задаче

обнаружения изменения свойств трафика

§ 1. Постановка задачи

§ 2. Определение аналитического вида Мот для распределения Парето

§ 3. Определение аналитического вида М^т для распределения Парето

§ 4. Имитационное моделирование процедуры поиска

разладки
§ 5. Применение метода кумулятивных сумм для обнаружения компьютерных атак
Глава III. Теоретико-игровые методы в задачах исследования трафика
§ 1. Основные определения
§ 2. Определение момента прекращения поиска сигнатуры
§ 3. Определения оптимального поведения для повышения уровня загрузки телекоммуникационного оборудования
Глава IV. Задача оптимального выбора для памяти телекоммуникационного оборудования
§ 1. Использование урновых моделей при проектировании ATM коммутатора

§ 2. Основные определения
§ 3. Оптимальная политика выбора в урновой модели
с двумя типами шаров
§ 4. Парадокс сравнения урн
Литература

В настоящее время существует два основных подхода для моделирования трафика вычислительной сети. При первом подходе фиксируется время и измеряются текущие характеристики сети. Далее, исходя из полученных данных, строит-
‘ ся и исследуется математическая модель [36, 81].
Основными недостатками данного подхода являются:
1. привязанность модели ко времени;
2. на этапе выделения существенных характеристик получается большое количество параметров одного порядка значимости;
3. большой размер сети делает сложным получение стати-
* I »
стически значимого результата (в смысле репрезентативности выборки”).
Второй подход известен как принцип экономии (principle of parsimony) [50, 56]. Его основная идея состоит в нахождении таких характеристик, которые остаются инвариантными для различных сетей. Поиск подобных характеристик привел к достаточно неожиданным результатам. Прежде всего, было обнаружено большое количество параметров с бес-
* конечной дисперсией (Noah effect) [47, 80, 93, 94]. К таким параметрам относятся: время работы процессора, размеры файлов, времена между приходами пакетов имели функцию распределения с тяжелым хвостом.
Вторая инвариантная характеристика была впервые обнаружена в 1993 году группой ученых (Leland W., Taqqu М., Willinger W. и Wilson D.), которые исследовали Ethernet
* трафик в сети Bellcore и обнаружили, что он обладает самоподобием [66]. Под самоподобием подразумевается повторя-

другой стороны, автономный анализ имеет также немалое значение. Он позволяет проводить более подробное исследование того, когда и как злоумышленники проникли в систему. Это, в свою очередь, позволит выработать эффективные меры противодействия нападавшим.
В данном параграфе для обнаружения атак используется аномальный подход. При этом применяется метод кумулятивных сумм, что позволяет обнаруживать аномалии в реальном времени. Одной из характеристик, при помощи которой оценивается качество правила остановки для данного метода, является среднее время до ложной тревоги MqoT. Правило остановки для метода кумулятивных сумм определяется таким уровнем д, при котором М^т не было меньше некоторого значения R > 0, выбираемого экспертом, а среднее время задержки определения разладки Мог было минимальным. Выбором конкретного значения R можно задать допустимое среднее количество ложных тревог. Это, в свою очередь, позволит контролировать главный недостаток для данных систем — большое количество ложных тревог.
Рассмотрим пример использования данного метода для обнаружения аномалий в трафике, передаваемом по протоколу
Согласно документу RFC 2068, выпущенному группой проектирования Internet (IETF), протокол передачи Гипертекста