Алгоритмы преобразования и классификации трафика для обнаружения вторжений в компьютерные сети

• Автор: Большев, Александр Константинович
• Шифр специальности: 05.13.11, 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2011
• Место защиты: Санкт-Петербург
• Количество страниц: 155 с. : ил.

Содержание
Введение

1 Обзор существующих методов обнаружения сетевых атак .

1.1 Определение и способы классификации атак с позиции построении систем их обнаружения

1.2 Общая характеристика систем обнаружении вторжений

1.3 Критерии оценки I

1.4 Обзор существующих моделей и систем

1.5 Выводы по первой главе

2 Выделение признаков вторжений из сетевого трафика .

2.1 Выбор извлекаемых признаков из трафика.

2.2 Алгоритм ТЕА1

2.3 Постобработка векторов
2.4 Выводы по второй главе.
3 Модель эвристической системы обнаружения вторжений . .
3.1 Применение классификации с обучением на одном классе к
обнаружению вторжений
3.2 Одноклассовый нейронный классификатор
3.3 Описание модели сетевой системы обнаружения вторжений на
базе алгоритма ТЕЛ1 и искусственных нейронных сетей
3.4 Обнаружение аномалий в поведении сложных динамических
объектов.
3.5 Выводы по третьей главе.
4 Исследование разработанных моделей и алгоритмов.
4.1 Испытание модели на эталонных данных Сир
4.2 Исследование модели на данных ОАБРА ГОЕ
4.3 Описание сетей, в которых проводилось испытание систем . . .
4.4 Система 1сеГО.
4.5 Система 1се1Г8
4.6 Выводы по четвертой главе.
Заключение
Литература


Вышеописанный метод классификации хорош с точки зрения детализации потом или иным критериям, но он выделяет отдельные классы, имеющие минимальное значение с точки зрения систем обнаружения атак. Например, в случае невозможности осуществления напрямую DoS-атаки, может быть выполнена атака на удалённое проникновение, после чего могут быть остановлены те или иные службы 1. Каждая фирма предпочитает классифицировать атаки по-своему, например, компания Internet Security Systems Inc [6|. System attack). Первые четыре категории относятся к удалённым атакам, а последняя -скорее к локальным, так как удалённое совершение системных атак затруднительно. Также в эту классификацию не попали некоторые атаки, например. Man-in-t,he-Middle. Современные атаки настолько разнообразны, что единой однозначно правильной классификации, учитывающей все нюансы, они не поддаются. Модель S. T.R. I.D. Для классификации угроз в году фирма Microsoft разработала модель S. T.R. I.D. E. |7]. S - Spoofing of Identity - возможность притвориться тем, чем атакующий не является, например, когда один физический пользователь тем или иным путем аутентифицируется в системе не под своим аккаунтом. Т - Tampering with Data - возможность изменить какие-то данные, которые атакующий не имеет права менять. R - Repudiation - скрытие воздействия на систему. Контрагент отказывается от совершенного им действия (или бездействия), пользуясь тем, что у другой стороны пет никакого способа доказать обратное. Например, в системе, где не ведется аудит, пользователь может выполнить запрещенную операцию и отказаться от ее «авторства», а администратору не удастся ничего доказать. Невозможность отрицания авторства (nonrepudiation) - это способность системы противостоять такой опасности. I - Information Disclosure - раскрытие информации, на которую пользователь не имеет нрав. D - Denial of Service - отказ в сервисе. В атаках такого типа взломщик пытается лишить доступа к сервису правомочных пользователей, например, сделав Web-сервер временно недоступным или непригодным для работы. Е - Elevation of Privilege - повышение уровня привилегий. В данном случае непривилегированный пользователь получает привилегированный доступ, позволяющий ему «взломать» или даже уничтожить систему. К повышению привилегий относятся и случаи, когда злоумышленник удачно проникает через защитные средства системы и становится частью защищенной и доверенной подсистемы. Таким образом, данная классификация очень удобна при разработке и защите программных систем, но явно недостаточна для защиты корпоративных сетей или выработки политик безопасности организации. Наиболее правильным подходом является классификация с точки зрения IDS, так как в этом случае более чётко можно отнести те или иные действия к тому или иному классу атак, указав реальные, а не гипотетические, атаки, и определить способы противодействия и обнаружения. Не имеет смысла классифицировать атаки по основным видам угроз: нарушение конфиденциальности, целостности, доступности, так как эти угрозы достаточно общие и реализуются по-разному, соответственно их обнаружение может быть осуществлено не единственным способом. Давайте рассмотрим различные классы атак вместе со средствами противодействия. С позиции IDS изначально атаки следует разделить на два больших класса: активные и пассивные [8|. Пассивные атаки - это различные способы сбора информации о какой-либо службе, узле или сети узлов без какого-либо воздействия на их работу. Например, прослушивание и перехват трафика. Также пассивной атакой считается анализ открытых источников, однако данный подкласс мы рассматривать не будем, так как это не прямая, а косвенная атака. Пассивные атаки являются наиболее сложными с точки зрения их обнаружения, так как грамотно организованная атака никак себя не обнаруживает. Работающие по такой схеме средства называются снифферами. Обычно снифферы запускаются на машинах, имеющих легитимные сетевые адреса и/или аппаратные адреса. Обнаружение снифферов чаще всего основывается на ошибках их работы либо косвенными методами.