Мониторинг работы пользователей корпоративных сетей

• Автор: Трошин, Сергей Владимирович
• Шифр специальности: 05.13.11
• Научная степень: Кандидатская
• Год защиты: 2010
• Место защиты: Москва
• Количество страниц: 170 с.

Содержание
СОДЕРЖАНИЕ
ВВЕДЕНИЕ
, I

ГЛАВА 1. МЕТОДЫ. ПОДХОДЫ И СИСТЕМЫ МОНИТОРИНГА

1.1. Существующие классы решений.

1.2. Критические параметры.

.з. Критерии сравнения

1.4. ВЫБОР РЕШЕНИИ ДЛЯ СРАВНЕНИЯ.

1.5. Сравнение решений.

1.5.1. Системы управления иформацией и событиями бкзопаст юсти

1.5.2. СИСТЕМЫ МОНИТОРИНГА РАБОТЫ ПЕРСО 1АЛА.
1.6. Выводы II РЕЗУЛЬТАТЫ
ГЛАВА 2. МОДЕЛЬ МОНИТОРИНГА ГАВОТЫ ПОЛЬЗОВАТЕЛЕЙ.
2.1. Исходные данные дли мои и I ори ига
2.1Л. СОЗДАИЕ ФАКТОВ АКТИВ1 ЮСТИ
2.1.2. Объединение фактов.
2.1.3. выборка и проекция.
2.2. Предлагаемый подходе мониторингу.
2.3. Шаблоны поведения пользователей и поиск аномалий.
2.3.1. Формальное описание шаблонов поведения.
2.3.2. поиск аномалий.
2.3.3. Решение практических задач.
2.4. ПРОФИЛИ ИСПОЛЬЗОВАНИЯ РЕСУРСОВ и поиск изменений в работе
2.4.1. ФОРМАЛЫЕ ОПИСАНИЕ РОФИЛЕЙ РАБОТЫ.
2.4.2. Визуализация профилей работы.
2.4.3. Поиск ИЗМПЕНИЙ В РАБОТЕ
2.5. Выводы И РЕЗУЛЬТАТЫ..
ГЛАВА 3. ПРОГРАММНАЯ РЕАЛИЗАЦИЯ
3.1. Архитектура системы мониторинга
3.2. подсистема сбора данных
3.2.1. Сбор журналируемых событий
3.2.2. Организация журналирования работы пользователей
3.2.3. Фильтрация журналируемых событий.
3.2.4. Организация буферизации и отправки данных на сервер
3.3. Консолидация и централизованное хранение данных.
3.3.1. ФОРМАТЫ представления данных и организация хранилища.
3.3.2. УСТОЙЧИВОСТЬ к СБОЯМ В РАБОТЕ СЕРВЕРА КОНСОЛИДАЦИИ.
3.3.3. Организация приема данных и очереди импорта на сервере консолидации
3.3.4. Настройка и контроль параметров сбора
3.3.5. Обновление исполняемых файлов установленных агентов
3.4. ПОДСИСТЕМА АНАЛИЗА ДАННЫХ.
3.4.1. Запрос данных для анализа
3.4.2. ПОСТРОЕНИЕ МОДЕЛЕЙ ПОВЕДЕНИЯ.
3.4.3. Планирование выполнения анализа данных.
3.5. Практические эксперименты.
3.5.1. Оценка производительности сервера консолидации
3.5.2. Производительность методов анализа данных.
3.5.3. Оценка качества обнаружения аномалий
3.6. ВЫВОДЫ И РЕЗУЛЬТАТЫ.
ЗАКЛЮЧЕНИЕ
ЛИТЕРАТУРА


Оперативная аналитическая обработка накопленной информации с целью вычисления явных зависимостей, статистических оценок параметров работы пользователей с ресурсами и поиска отклонений в работе. Применение методов интеллектуального анализа данных с целью обнаружения неявных (скрытых) зависимостей в работе пользователей и аномалий в работе. Минимизация дополнительной нагрузки на наблюдаемые системы и сеть передачи данных. Обеспечение надежности и защищенности собранных данных и компонентов системы мониторинга. Целью диссертации является исследование методов, алгоритмов и подходов проведения мониторинга и разработка, на основе результатов исследования, новой технологии построения специализированных систем мониторинга работы пользователей с ресурсами корпоративной сети. Технология должна основываться на использовании журналируемой информации и реализовывать моделирование поведения и поиск аномалий в работе пользователей. I [встроенные на. Постановка задачи. Модель должна реализовывать концепцию раннего обнаружения за счет поиска аномалий в работе пользователей. Исследование и разработка алгоритмических и программных решений, реализующих сбор, консолидацию, долговременное хранение и анализ журналируемых данных, позволяющих учитывать особенности конкретных корпоративных сетей, обладающих необходимой производительностью, обеспечивающих надежность работы и защищенность данных. XIII Международная конференция студентов, аспирантов и молодых учёных «ЛОМОНОСОВ-2СЮ6», МГУ, Москва, г. Конференция «Ломоносовские чтения », МГУ, Москва, г. Конференция «Тихоновские чтения», МГУ, Москва, г. First Spring Young Researches’ Colloquium on Software Engineering (SYRCoSE’), Moscow, Russia, . Вторая международная конференция «Системный анализ и информационные технологии» САИТ-, Обнинск, Россия, г. Всероссийская конференция «Математические методы распознавания образов», Зеленогорск, Россия, г. УкрПРОГ’», Киев, Украина, г. Основные результаты работы изложены в девяти научных публикациях [, ,,,, , , , ]. Диссертационная работа состоит из введения, трех глав, заключения, библиографии и приложений. Далее излагается краткое содержание работы. В первой главе формируется набор критических параметров для сравнения систем мониторинга, формируются критерии оценки систем, проводится сравнительный анализ существующих систем. Во второй главе описывается предложенная концепция мониторинга, основанная на моделировании поведения пользователей. Построенные модели поведения используются для поиска аномалий в действиях пользователей и изменений состава используемых ресурсов и параметров их использования. Найденные аномалии являются сигналом эксперту. Для описания законченных действий пользователей введено понятие факта активности, предложен метод построения фактов активности на основе журналируемой информации. Для решения задач построения моделей и поиска единичных аномалий используются алгоритмы интеллектуального анализа данных (data mining). Для построения профилей использования ресурсов применяется технология оперативной аналитической обработки OLAP. Так же в главе ставится ряд задач исследования и разработки методов, реализующих предложенную модель. В третьей главе приводится архитектура предлагаемого решения и методы построения систем мониторинга, реализующих предложенную модель. Описываются методы сбора журналируемой информации, унифицирующие представление, чтение, фильтрацию и агрегацию журналируемых данных. Описываются предложенные методы построения централизованного хранилища, методы защиты хранилища от аварийных ситуаций и противодействий. Описывается экспериментальная апробация и оценка производительности построенного хранилища, сервера консолидации и подсистемы анализа данных. Представлены оценки качества работы методов обнаружения аномалий на тестовых данных, а так же практические примеры работы экспериментальной системы мониторинга. В заключении приводится описание полученных результатов, данные об опытной эксплуатации и внедрениях систем мониторинга, построенных на основе предложенной технологии.