Обнаружение инцидентов информационной безопасности как разладки процесса функционирования системы

• Автор: Баранов, Василий Александрович
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2012
• Место защиты: Санкт-Петербург
• Количество страниц: 156 с. : ил.

СОДЕРЖАНИЕ
ВВЕДЕНИЕ.

ГЛАВА 1. ИНЦИДЕНТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ КАК

ИЗМЕНЕНИЕ КОРРЕКТНОГО ПРОЦЕССА ФУНКЦИОНИРОВАНИЯ.

1.1 Систематизация инцидентов информационной безопасности в КС

1.2 Анализ действий инсайдера.

1.3 Обобщенная модель инцидентов информационной безопасности и направления защиты

ГЛАВА 2. ОПРЕДЕЛЕНИЕ ИНЦИДЕНТОВ ИНФОРМАЦИОННОЙ

БЕЗОПАСНОСТИ НА ОСНОВЕ ВЫЯВЛЕНИЯ РАЗЛАДКИ ПРОЦЕССА НАБЛЮДЕНИЙ.

2.1 Выявление разладки процесса наблюдений как метод определения вторжения

2.2 Оценка момента вторжения статистическими методами с обучением.

2.3 Методы выявления вторжения без предварительного обучения
ГЛАВА 3. МЕТОДИКА ОПРЕДЕЛЕНИЯ ИИБ КАК ОБНАРУЖЕНИЯ РАЗЛАДКИ ПРОЦЕССА НАБЛЮДЕНИЙ.
3.1. Априорный и апостериорный подход к обеспечению защиты информации
3.2. Теоретическое обоснование эффективности предлагаемых статистик.
3.3. Методика применения предлагаемого подхода к обнаружению инцидентов
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
ГЛАВА 4. ЭКСПЕРИМЕНТАЛЬНАЯ АПРОБАЦИЯ АЛГОРИТМОВ ВЫЯВЛЕНИЯ ВИРУСНОГО ЗАРАЖЕНИЯ КАК РАЗЛАДКИ.
4.1 Подготовка экспериментальной базы
4.2 Программная реализация компонент комплекса и проведение экспериментальной
апробации при предварительном обучении
4.3 Программная реализация компонент комплекса и проведение экспериментальной апробации без предварительного обучения
ЗАКЛЮЧЕНИЕ.
ЛИТЕРАТУРА


Я(& = ау) = я*у, / = I = в, . ИИБ предполагается наличие двух различных векторов вероятностей исходов: до инцидента это Р = (р1# . П = (7Г1# . Гдг), Я ^ /7. Такая теоретико-вероятностная схема в математической литературе называется «разладкой». Характеристика Я может рассматриваться как случайная ненаблюдаемая величина или как оцениваемый параметр. Ответ на вопрос о выявлении разладки при известном распределении для в (в < ? Н0 - моделирует штатную работу системы на всем периоде наблюдаемых данных, тогда А1,А2, . Аг - предположительно соответствует полиномиальной схеме с ? N исходами и вектором вероятностей возможных исходов Я, которая в работе обозначена через М(? Нг - моделирует возникновение ИИБ в момент 0 и'связанные с ним последствия на отрезке наблюдений в, в 4-1, . A1,A2,. Для различения простых гипотез в работе рассматривается критерий Неймана-Пирсона, основывающийся на статистике отношения правдоподобия, распределение которой в силу сложности Н0 и Нх исследовать не удается и вместо которой для различения гипотез соискателем предлагается использовать ее модификацию, обозначаемую через Статистика ( ориентирована на применение в ситуациях, когда возможно предварительное обучение в виде получения и накопления информации о распределении наблюдений до и после разладки, а так же о распределении момента появления вторжения. Проведенный асимптотический анализ статистики ? Предварительное обучение возможно не всегда, и его данные могут не переноситься на будущую работу КС. Тогда в силу неизвестности Р,Рд,П, гипотезы И0 и Нх становятся сложными, и критерий Неймана-Пирсона не работает. Ранее исследователями, разрабатывавшими методы определения разладки, был предложен ряд способов реализации критерия (3) на основе определенных классов статистик /'(/с). Распределения предлагаемых ранее статистик f(k) при к -> оэ и гипотезе И0 зависят от вектора вероятностей Р. Р. Приходится делать дополнительные предположения, проверить которые затруднительно. Вместе с тем, в критериях однородности выборок Ах,. Ак и ^л+1* — ,АС, например критерии хи-квадрат, такая зависимость от Р при Г -» оо пропадает. Критерии типа хи-квадрат инвариантны к Р при С -» со, т. Сф. М(Р,т); V*,V; = п - набор частот исходов в полиномиальной схеме М(/7, п); Я - некоторый действительный параметр, определяющий конкретный вид статистики Сг(/с,? Я), Я Ф 0,-1. При Я = 1 статистика Сг(к, Ь - к, Я) имеет вид хи-квадраг и была предложена ранее Ронжиным А. Ф. для выявления момента разладки. Далее в формуле (3) в качестве /(/с) автором использовались статистики Сг(к,Ь — к,Л) и г -/с) и исследовалось поведение распределения этих статистик при ? В случае отсутствия ИИБ, моделируемого разладкой, и строгой однородности процесса наблюдений предлагаемые автором статистики порождают процесс с малым средним (не больше N), не зависящим от вида исходного распределения. При возникновении ИИБ, моделируемого разладкой на отрезке пропорциональном объему наблюдений ? Изложенное позволяет теоретически заключить, что предложенная модель и метод статистического анализа могут быть использованы для обнаружения разладки. Третья глава диссертационной работы содержит описание методики применения рассмотренного во второй главе данной работы метода обнаружения ИИБ при моделировании их разладкой. Проводятся теоретические исследования эффективности предлагаемых статистик и описывается архитектура система ИБ, реализующая разработанную методику. Под эффективностью статистик при различении гипотез в работе понимаются величины ошибок первого и второго рода, соответственно аир. Чем меньше эти величины, тем статистика эффективнее. Для оценки величин аир используются предельные теоремы, доказанные в главе 2. Допредельные, сложные распределения статистики ? Н0 и Нг средним и дисперсией. Величины аир зависят от разности средних, деленых на дисперсии. При некоторых ограничениях на вектора вероятностей Р и П показано, что с ростом Г (Г -> оо) отмеченное отношение разности к дисперсии стремится к оо. Следовательно, аир стремятся к 0, т.