Исследование и разработка комплексной методики обнаружения сетевых вторжений

• Автор: Шевченко, Александр Сергеевич
• Шифр специальности: 05.13.13
• Научная степень: Кандидатская
• Год защиты: 2007
• Место защиты: Москва
• Количество страниц: 136 с. : ил.

ОГЛАВЛЕНИЕ

Список сокращений

Введение.

ГЛАВА 1. Анализ методов и алгоритмов обнаружения сетевых атак . .

1.1. Анализ сетевых атак.

1.2. Основные методические подходы и системы обнаружения

сетевых вторжений.

1.3. Постановка научной задачи и частные задачи исследования

1.4. Выводы по главе.

ГЛАВА 2. Разработка комплексной методики обнаружения сетевых

вторжений .
2.1. Структура и составные части комплексной методики
2.2. Выбор показателя оценки обнаружения сетевых вторжений
2.3. Методика сегментации термов прикладного протокола.
2.3.1. Анализ методов сегментации
2.3.2. Выбор и обоснование методики сегментации
2.3.3. Разработка алгоритма сегментации
2.4. Методика восстановления стохастической грамматики прикладного протокола
2.4.1. Анализ методов восстановления грамматики
2.4.2. Выбор и обоснование методики восстановления грамматики .
2.4.3. Разработка алгоритма восстановления грамматики
2.5. Выбор методов обнаружения аномалий протоколов.
2.5.1. Анализ методов поиска исключений
2.5.2. Выбор и применение метода поиска исключения.
2.5.3. Оценка аномальности работы пользователя или программы .
2.6. Выводы но главе.
ГЛАВА 3. Эксперементальное обоснование научных результатов исследования
3.1. Технология проведения эксперементов
3.2. Исследование условий обнаружения аномальности протокола .
3.3. Программная реализация комплексной методики обнаружения сетевых вторжений
3.3.1. Архитектура и функциональность экспериментальной системы
обнаружения атак.
3.4. Верификация результатов исследования
3.5. Разработка рекомендаций использования комплексной методики обнаружения сетевых вторжений
3.6. Выводы по главе.
Заключение
Литература


Основной отличительной особенностью поставленной в диссертационной работе научной задачи является то, что она направлена на повышение эффективности ее решения в условиях отсутствия априорной информации о прикладном протоколе. С целью повышения эффективности обнаружения аномальности работы прикладного протокола разработана методика восстановления грамматики, позволяющая описывать исследуемый прикладной протокол. Произведен выбор метода поиска исключений и разработаны требования по применению его для оценки аномалий работы исследуемого прикладного протокола. Выбранный для диссертационного исследования метод базируется на применении локального фактора исключительности (LOF - local outlier factor), обеспечивающего поиск исключений. В третьей главе проведено экспериментальное обоснование эффективности методического аппарата и разработаны практические рекомендации по применению разработанной методики. В частности, осуществлена программная реализация комплексной методики обнаружения сетевых вторжений. В процессе проведения исследования получены результаты экспериментов оценки сегментации термов и поиска исключений, а также проведен их сравнительный анализ с существующими методами оценки аномалий прикладного протокола с неизвестной структурой. При проведении исследования предложено использовать новый для данной области научный подход, основанный на восстановлении грамматики прикладного протокола с неизвестной структурой. На основе полученных результатов исследования сформированы предложения по использованию методов обнаружения аномальности прикладных протоколов. Реализация и внедрение. Результаты диссертационного исследования реализованы в виде: модуля обнаружения сетевых вторжений на основе методов поиска исключений; межсетевого экрана с возможностью анализа сетевой активности; сетевого фильтра, осуществляющего анализ сетевого трафика с целью выявления злонамеренных действий и данных, способных оказать деструктивное влияние на работу компьютера; предложений по использованию локальных метрических алгоритмов в задачах обнаружения аномалий поведения пользователя или программ. Они использованы при разработке компонент обнаружения вторжений в комплексном решении обеспечения безопасности корпоративной сети компании ООО “Стокона” (г. Апробация работы, публикации по теме диссертации. Основные научные результаты диссертационного исследования опубликованы в 9 печатных работах. МИЭМ (Москва, - гг. XIV международная студенческая школа-семинар “НОВЫЕ ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ” (Судак, г. Г-8есиге(Хельсинки, г. Информационная сфера является системообразующим фактором жизнедеятельности современного общества и представляет собой совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и использование информации, а также системы регулирования возникающих при этом общественных отношений. Вместе с тем, возможность широкого использования информационных технологий и интеграция их во все сферы деятельности человека обуславливает его зависимость от них и формирует предпосылки для криминальных действий с целью получения определенной выгоды и нанесения ущерба. В этой связи злободневным становится вопрос обеспечения безопасности информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий, чреватых, прежде всего нанесением ущерба владельцам таких информационных ресурсов. Исследования в области разработки методов и алгоритмов обнаружения вторжений в информационные ресурсы сетей проводятся на протяжении более двух десятилетий. Особенностью этого периода является постоянное изменение видов и характерных признаков информационных воздействий на автоматизированные системы. В частности, в течение последних лет существенно возрастает количество уязвимостей и инцидентов [], что определяет актуальность задачи обнаружения сетевых атак и необходимость совершенствования методов и алгоритмов их обнаружения [5]. Исходя из актуальности данной проблемы, целесообразно провести анализ сетевых атак и основных методических подходов но их обнаружению, на основе которого следует сформулировать постановку научной задачи исследования.