Нейросетевая система обнаружения атак на WWW-сервер

• Автор: Хафизов, Артем Фоелевич
• Шифр специальности: 05.13.11
• Научная степень: Кандидатская
• Год защиты: 2004
• Место защиты: Уфа
• Количество страниц: 172 с.

ВВЕДЕНИЕ

ГЛАВА 1. АНАЛИЗ СУЩЕСТВУЮЩИХ СИСТЕМ ОБНАРУЖЕНИЯ АТАК НА ИНФОРМАЦИОННЫЕ СИСТЕМЫ

1.1 Классификация атак на информационные системы

1.1.1 Информационная система

1.1.2 Атака как дестабилизирующий фактор в работе информационной системы .мни.нимми.м

1. Противодействие атаке.

1.1.4 Система обнаружения атак СОА

1.2 Обзор современных СОА

1.2.1 Основные характеристики современных СОА

1.2.2 Сравнительный анализ харакгсристик современных СОА

Нсйросстсвые технологии как перспективное направление создания СОА

1.3.1 Доказательство преимуществ нсйросетевых технологий для
решения задачи обнаружения атаки ааааааааааааааааааааааааааааааа0аааааа
.2 Проблемы применения нейросетевыхтехнологий
3 Недостатки существующих подходов к созданию ненросстсвых СОА
1.4 Выводы по первой главе. Постановка задачи исследования .
ГЛАВА 2. ФОРМАЛИЗАЦИЯ ЗАДАЧИ СОЗДАНИЯ СОА
2.1 Среда функционирования VV приложения.
2.2 Запрос пользователя в информацноппую систему .
Ответ нпформациоппой системы пользователю аааааааааааааааааааааааааааваааа
2.4 Анализ уязвимостей информационной системы, оспованных на них атак н способов борьбы с ними.
Формализация задачи обнаружепня атак .
2.6 Анализ методов обнаружения
2.6.1 Технология обнаружения атак
2.6.2 Метод обнаружения атак, основанный на поиске сигнатуры атаки 2. Метод обнаружения атак, оспованный на поиске аномалий
2.6.4 Комбинированный метод обнаружения атак.
2.7 Подход к построению модели информационной системымммн.
2.8 Формализация безопасной модели действий пользователя.
2.9 Формализация задачи противодействия атаке
2. Синтезированная структура СОА
2. Выводы по второй главе. ГЛАВА 3. НЕЙРОСЕТЕВАЯ РЕАЛИЗАЦИЯ МОДУЛЯ АНАЛИЗА ВХОДНЫХ ДАННЫХ
3.1 Модель представления знаний
3.2 Выбор топологии нейросети .
Апалнз подходов к формированию обучающей выборки
3.4 Экспериментальные исследования зависимости характеристик обнаружения атак от реализации нейронной сети а
3.4.1 Формирование репрезентативной выборки.
3.4.2 Исследования процесса обучения пейронной сети
Выводы по третьей главе.
ГЛАВА 4. РАЗРАБОТКА ИССЛЕДОВАТЕЛЬСКОГО ПРОТОТИПА НЕЙРОСЕТЕВОЙ СОА
4.1 Выбор программно аппаратной платформы для реализации исследовательского прототипа СОА в
4.2 Анализ возможности применения пейросетевого эмулятора
Анализ возможности применения сервера
.1 Архитектура сервера .
.2 Взаимодействие модуля СОА с сервером 7 3 Взаимодействие модуля СОА с информационной системой .
4.4 Реализация модуля СОА для сервера .
4.4.1 Модуль обработчика входных данных.
4.4.2 Блок взаимодействия с нейросстсвой логи кой.
4. Блок противодействия атаке.
4.5 Оценка характеристик разработанной нсйросетевой СО А.
4.5.1 Методика тестирования
4.5.2 Лпалнз возможности использования современных сканеров
уязвимостей для тестирования СОА
4. Анализ полученных характеристик разработанного прототипа нейросетевой СОА в сравнепии с характеристиками современных СОА
4.6 Выводы по четвертой главе
ЗАКЛЮЧЕНИЕ
ЛИТЕРАТУРА


Но непреднамеренные действия легального пользователя информационной системы, которые также могут привести к реализации угрозы например, случайное нажатие на клавишу перед вводом суммы платежа,повлекшее не списание, а зачисление средств на счет клиента, также могут нанести ущерб безопасности информации. Атака на информационную систему это действие, преднамеренно либо случайно осуществляемое в информационной системе лицом, которое заключается в поиске либо использовании той или иной уязвимости. Как правило, преднамеренные атаки осуществляются посредством специализированных программно аппаратных средств. Под субъектом атаки будем понимать атакующую сторону, а под объектом атаки атакуемую сторону, которые могут быть представлены в виде программного продукта, отдельно стоящего компьютера, сетевого сегмента либо всей информационной системы в целом. Важным фактором, который необходимо учитывать в процессе создания СОА, является то, что очень трудно а зачастую, практически невозможно формализовать, что такое атака в каждом конкретном случае 5. Любая неточность, допущенная в процессе формализации атак, может привести к тому, что часть атак может быть нераспознана, а на некоторые безопасные действия система обнаружения атак может дать ложное срабатывание. Это означает, что система обнаружения атак может быть спроектировапа и применима только под каждый конкретный случай. Универсальность системы автоматически подразумевает низкую эффективность борьбы с атаками. Основной целью создания системы защиты информации является обеспечение информационной безопасности информационной системы 2, 6, . Оно не может состоять только из пассивной стороны, то есть обнаружения попыток несанкционированного доступа. Важна именно активная сторона защиты выполнение комплекса мер, направленных па снижение последствий от действия атаки. Противодействие атаке может осуществляться как автоматически, так и с участием оператора. Под дезинформированием злоумышленника понимаются действия, направленные на введение его в заблуждение с целью прекращения атаки с его стороны. Под деорганизацией действий злоумышленника понимаются меры, направленные на блокирование его действий в информационной системе. Задача борьбы с атакой подразумевает не только ее эффективное обнаружение, но и принятие правильного решения, которое позволит исключить негативные последствия атаки . А, 0, К, г, ге, 1. К множество агрегированных признаков или коалиций, К с операция чгзадает отношение упорядоченности на множестве А. Рис. Взаимосвязь этапов противодействия атаке. Множествоосновой любой задачи принятия решения. К , то задача сводится к задаче принятия группового решения если упорядочения представлены в форме целевых функций, то возникает проблема векторной оптимизации , и т. Существует большое количество исследований по данной тематике , 9, . До того момента, когда станет возможным автоматическое принятия решения, необходимо проделать значительную работу. Ii предлагает выделить 6 этапов противодействия атаке рисунок 1. Подготовка. Данный этап включает в себя разработку политики безопасности организации, которая предусматривает направления развития информационных систем предприятия интеграция информационных систем с системами защиты информации, настройку правил разграничения доступа в информационной системе, процедуру установки исправлений известных дыр и т. Идентификация. На данном этапе определяется, действительно ли была атака, и если она подтверждена, то определяются ее характеристики время начала атаки, адрес злоумышленника, наличие неопределенных атак, доказательства атаки и т. Блокирование. Устранение. На этом этапе устраняется сам источник проблемы т. Восстановление. Обратная связь. На данном этапе подробно описывается и изучается зафиксированная атака с тем, чтобы в случае се повтора своевременно предпринять ответные меры. Как видно из вышеперечисленного, не весь комплекс мер ПО противодействию атаке может быть выполнен в автоматическом режиме. Однако, и идентификация, и блокирование атаки могут быть реализованы в СОА .