Разработка методики выявления аномалий трафика в магистральных интернет-каналах

• Автор: Афонцев, Эдуард Вячеславович
• Шифр специальности: 05.13.01
• Научная степень: Кандидатская
• Год защиты: 2007
• Место защиты: Екатеринбург
• Количество страниц: 169 с. : ил.

Введение
ГЛАВА 1. СОВРЕМЕННОЕ СОСТОЯНИЕ МЕТОДОВ И СРЕДСТВ РЕШЕНИЯ ЗАДАЧИ ВЫЯВЛЕНИЯ АНОМАЛЬНОЙ СЕТЕВОЙ АКТИВНОСТИ.
1.1. Интернеттрафик и его количественные характеристики. Архитектура сетевых протоколов

1.2. Математические модели Интернеттрафика.

1.3. Технологии сбора информации о сетевой активности

1.4. Классификация сетевых аномалий.

1.5. Классификация программного обеспечения для выявления сетевых аномалий.

1.6. Математические методы выявления сетевых аномалий

1.7. Постановка задачи исследования

Глава 2. ОЦЕНКА РАБОТОСПОСОБНОСТИ МАТЕМАТИЧЕСКИХ МЕТОДОВ АНАЛИЗА ВРЕМЕННЫХ РЯДОВ В ЗАДАЧЕ ВЫЯВЛЕНИЯ АНОМАЛИЙ ИНТЕРНЕТТРАФИКА ПО ЭКСПЕРИМЕНТАЛЬНЫМ РЕЗУЛЬТАТАМ.

2.1. Методика получения экспериментальных реализаций Интернеттрафика

2.2. Применение методов классического статистического анализа в задаче выявления аномалий Интернеттрафика
2.2.1. Анализ функций распределения реального Интернетграфика
2.2.2. Анализ возможности использования корреляционного анализа для выявления аномалий Интернеттрафика
2.2.3. Анализ возможности использования кластерного анализа для выявления аномалий Интернеттрафика
2.2.4. Сравнительный анализ энтропии нормального и аномального Интернеттрафиков
2.3. Применение методов спектрального анализа в задаче выявления аномалий Интернеттрафика.
2.4. Анализ особенностей вейвлетспектров нормального и аномального Интернеттрафиков
2.5. Применение методов нелинейной динамики в задаче выявления аномалий Интернеттрафика
2.6. Прогнозирование сетевого трафика на основе моделирования временных
ВЫВОДЫ.
Глава 3. КОМПЛЕКСНАЯ МЕТОДИКА ВЫЯВЛЕНИЯ АНОМАЛИЙ ИНТЕРНЕТТРАФИКА
3.1. Сравнительный анализ методов выявления аномалий Интернеттрафика
3.2. Комплексная методика выявления аномалий Интернеттрафика.
3.3. Программная реализация комплексной методики выявления аномалий Интернеттрафика
3.4. Экспериментальная проверка комплексной методики выявления аномалий
Интернеттрафика
ЗАКЛЮЧЕНИЕ
Библиографический список
Приложение 1. Листинги программ для пакета Ма1ЬаЬ.
Приложение 2. Листинги программного комплекса АИТ.
Приложение 3. Акты внедрения программного комплекса АИТ.
Приложение 4. Справки
Список сокращений
АИТ Анализатор Интернет Трафика АКФ Автокорреляционная функция АР Авторегрессия
АРПСС Авторегрессия и Проинтегрированное Скользящее Среднее
АРСС Авторегрессия и Скользящее Среднее
ВР Временной Ряд
ДВЗ Долгоременная Зависимость
ИБ Информационная Безопасность
ИС Информационная Система
ИСП Интернет Сервис Провайдер
КВЗ Кратковременно Зависимый Процесс
МУЗ Медленно Убывающая Зависимость
МЭ Межсетевой Экран
ОС Операционная Система
ПО Программное Обеспечение
ПРВ Плотность Распределения Вероятностей
РТХ Распределение с Тяжелым Хвостом
СА Сетевая Аномалия
СКО Среднеквадратическая Ошибка
СОА Система Обнаружения Аномалий
СОВ Система Обнаружения Вторжений
СПВ Система Предотвращения Вторжений
СПД Сеть Передачи Данных
СПМ Спектральная Плотность Мощности
СС Скользящее Среднее
i
I i I vi v i vi v
I Ii i
V Viii x
i i
i vi
i vi
I Ii i
I Ii i vi
I Ii i
I I ii
I I
IIX I Ii x
I Ii vi
I Iii
I Ii ii ii
vi v
I Ii i
I Ii

i i
i vi
ii
i
ii i
i i
I i i Ii

i
i

i i

ii
i

ВВЕДЕНИЕ
Актуальность


Результаты сравнительного анализа работоспособности ряда математических методов статистический анализ, спектральный анализ, вейвлетанализ, методы нелинейной динамики, методы моделирования временных рядов в задаче выявления сетевых аномалий по интегральным характеристикам Интернеттрафика, определяющие отличительные признаки сетевых аномалий. Комплексная методика выявления аномалий Интернеттрафика, основанная на комбинировании методов корреляционного анализа параметров потоков Интернеттрафика и моделирования временных рядов, позволяющая выявлять наиболее значимые для операторов связи аномальные состояния трафика по интегральным характеристикам. Результаты экспериментальной апробации комплексной методики выявления аномалий Интернеттрафика по интегральным характеристикам, подтверждающие ее эффективность. Достоверность полученных результатов обеспечена обоснованным применением методов теории вероятности, математической статистики, анализа временных рядов, нелинейной хаотической динамики, вейвлетанализа и подтверждена экспериментальными результатами. Апробация работы. Основные положения и результаты диссертации представлялись на Международной научнопрактической конференции СВЯЗЬПРОМ , проводимой в рамках 2го ЕвроАзиатского международного форума СВЯЗЬПРОМ ЭКСПО Международной научнопрактической конференции СВЯЗЬПРОМ в рамках 3го ЕвроАзиатского международного форума СВЯЗЬПРОМ ЭКСПО научных семинарах УГТУУПИ технических совещаниях ЗАО Корус ИСП и ООО Совинтел. Работа поддержана Российским фондом фундаментальных исследований проект 8а. Публикации. По результатам исследований опубликовано работ, из них 3 входит в перечень изданий, рекомендованных ВАК РФ для публикации материалов, отражающих основные результаты на соискание кандидатских и докторских диссертаций. Структура диссертационной работы. Текст диссертационной работы состоит из введения, трех глав, заключения, приложений и списка литературы. ГЛАВА 1. Интсрнегтрафик и его количественные характеристики. Инженерные основы Интернеттрафика изложены в доступных источниках 1, 2, , , , , , , , достаточно разрозненно, поэтому автор считает целесообразным привести краткое обобщенное описание архитектуры сетевых протоколов. В основе современных сетевых технологий лежит разработанная Международной организацией по стандартизации Ii ii ii, I коммуникационная модель Взаимодействие Открытых Систем Ii, I, являющаяся эталоном для описания принципов взаимодействия устройств в сетях передачи данных СПД 1. Существует семь основных уровней модели I рис. Каждый уровень обеспечивает транспортные услуги для более высокого уровня. Рис. Архитектура модели 1 Рассмотрим функционирование каждого уровня модели 1 более подробно. Первый уровень 1 называется физическим уровнем. Это самый нижний уровень в модели I. На данном уровне определяются следующие параметры реализации физической связи электрические, механические и функциональные. К физическому уровню относятся характеристики сигналов сред передачи. Базовой единицей информации на физическом уровне является бит. Второй уровень 2, или канальный уровень обеспечивает надежную передачу данных через физический канал. Базовым блоком передачи информации на канальном уровне является кадр или фрейм, . Третий уровень называется сетевым 3. Сетевой уровень служит для соединения между собой сетей произвольных топологий, осуществляя маршрутизацию потока данных в виде дейтаграмм . Четвертый уровень является транспортным 4. Данный уровень предназначен для управления и оптимизации передачи данных между конечными участниками соединения. Сеансовый уровень 5 управляет диалогом между взаимодействующими сторонами. Уровень представления 6 выполняет согласование и преобразование данных между устройствами с различными форматами, а так же осуществляет шифрование и дешифрование при необходимости. Прикладной уровень 7 является пользовательским интерфейсом с сетью передачи данных. Пользовательские сетевые прикладные программы взаимодействуют между собой через прикладной уровень I. Все другие уровни служат, в конечном счете, для поддержки данного уровня. Так как основой глобальной сети Интернет является стек протоколов I, представляется целесообразным рассмотреть архитектуру I более подробно. Протокол I соответствует третьему уровню 3 I.