Выявление нарушений информационной безопасности по данным мониторинга информационно-телекоммуникационных сетей

• Автор: Ковалев, Дмитрий Олегович
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2011
• Место защиты: Москва
• Количество страниц: 170 с. : ил.

Содержание
Введение.
1 Анализ применения современных систем мониторинга ИБ в рамках процесса обеспечения информационной безопасности информационно

телекоммуникационных сетей

. Мониторинг ИБ информационнотелекоммуникационных сетей

1.2 Архитектура и функциональное устройство систем мониторинга ИБ.

1.2.1 Высокоуровневая архитектура системы мониторинга ИБ

1.2.2 Обработка данных в системах мониторинга ИБ

1.3 Методы и алгоритмы, используемые в работе систем мониторинга И Б

1.3.1 Корреляционный анализ.

1.3.2 Контекстный анализ

1.3.3 Структурный анализ,.
1.3.4 Функциональный и поведенческий анализ.
. 4 Организационная структура систем мониторинга И Б
1.4.1 Подразделение И Б.
1.4.2 Ответная реакция и обработка инцидентов ИБ
1.5 Выводы по гчаве 1.
2 Метод выявления нарушений ИБ в потоке сообщений ИБ ИТС
2.1 Область действия
2.2 Исследование закона количества сообщений И Б
2.3 Метод выявления нарушений И Б в потоке сообщений И Б ИТС
2.3.1 Интерполяция значений оценок математического ожидания и дисперсии количества
сообщений ИБ в таблице моментов
2.3.2 Обновление значений таблицы моментов
2.3.3 Оценка количества сообщений ИБ
2.3.4 Расчет значения показателя количества сообщений ИБ
2.4 Алгоритм выявления нарушений ИБ в потоке сообщений И Б ИТС
2.5 Исследование вероятностных характеристик метода выявления нарушений ИБ в потоке
сообщений И Б ИТС
2.5.1 Исследование на предмет наличия ошибок первого рода.
2.5.2 Исследование на предмет наличия ошибок второго рода.
2.6 Выводы по главе 2.
3 Синтез системы мониторинга ИБ.
3.1 Методика получения консолидированной оценки результатов мониторинга ИБ
3.2 Интеграция блока адаптивной настройки средств защиты информации в систему мониторинга
3.3 Создание многоуровневой системы хранения сообщений И Б.
3.4 Развитие корреляционного анализа сообщений И Б.
3.5 Реализация межкорпоративной корреляции сообщений ИБ.
3.6 Выводы по ечаве 3
4 Практическая реализация методики получения консолидированной оценки результатов мониторинга ИБ.
4.1 Описание программной реализации для получения консолидированной оценки результатов
мониторинга И Б.
4.2 Описание лабораторного стенда.
4.3 Разработка вариантов настроек для средств защиты информации.
4.4 Результаты лабораторного эксперимента.
4.5 Обсуждение результатов работы.
4.6 Внедрение результатов работы
4.7 Выводы по главе 4.
Заключение
Список литературы


На основании сделанных заключений производится формальная постановка задачи диссертационного исследования. ИТС - ото интегрированная автоматизированная мульгисервисная система, обеспечивающую информатизацию функциональной деятельности организации и предоставляющая информационные и телекоммуникационные сервисы (услуги) должностным лицам и структурным подразделениям организации с применением современных информационных технологий, средств вычислительной техники и связи []. Основной целью создания ИТС является повышение эффективности деятельности организации на основе внедрения в ее функциональные процессы информационных и телекоммуникационных технологий на базе современных средств вычислительной техники и связи. ИТС []. Создание ИТС и их компонентов во многом зависит от функционального назначения и конкретных задач, возлагаемых на систему. Однако можно выделить наиболее существенные общие положения, характерные для построения современных ИТС. И'ГС при всем многообразии и различии решаемых задач, используется, в основном, стандартизированный набор решений, позволяющих выполнять функции ввода, размещения и отображения информации, а также защиты информации и управления функционированием ИТС []. В силу зависимости бизнсс-нроцсссов организации от ИТС обеспечение ИБ и ЗИ в ИТС является критичными. Для поддержания системы защиты на должном уровне в качестве оперативной меры используется мониторинг событий и инцидентов ИБ. Реакция на события и инциденты безопасности, полученные в результате мониторинга ИБ, позволяет избежать деградации и обеспечить требуемый уровень безопасности активов. Мониторинг ИБ - это постоянное наблюдение за объектами и субъектами, влияющими на ИБ ИТС, а также сбор, анализ и обобщение результатов наблюдений []. Процедуры мониторинга и анализа должны применяться на регулярной основе, например, ежедневно, ко всем выполненным операциям и транзакциям для выявления неправомерных или подозрительных действий и операций. В организации необходимо документально определить процедуры мониторинга и анализа данных регистрации, действий и операций, позволяющие выявлять неправомерные или подозрительные операции и транзакции. Для проведения процедур мониторинга и анализа данных регистрации, действий и операций рекомендуется использовать специализированные программные и технические средства - системы мониторинга ИБ. Система мониторинга ИБ представляет собой централизованную компоненту, предназначенную для автоматизации процесса анализа сообщений ИБ, поступающих от средств защиты информации, и повышения эффективности управления инфраструктурой ИТС в целом. В зависимости от размеров организации система мониторинга ИБ может представлять собой либо выделенный программный продукт, либо целый набор профаммных и аппаратных средств. Management (SIM), Arcsight Encrprise Security Manager (ESM), Symantec Security Information Manager и т. Их целыо являлось повышение уровня защищенности информационных и телекоммуникационных ресурсов, а, следовательно, и контроля за работой СЗИ. Принцип работы этих продуктов заключался в сборе, агрегации, корреляции и визуализации большого количества данных мониторинга ИБ, полученных от различных СЗИ: межсетевых экранов, маршрутизаторов, систем обнаружения и предотвращения вторжений (СОПВ), журналов регистрации событий операционных систем (ОС). Каждый раз, когда пользователь пытается получить доступ к ресурсу, прежде чем ответить, приложение запрашивает сервер аутентификации и авторизации, просматривающий политики и правила безопасности. Результат успешного или неуспешного обращения к ресурсу протоколируется на сервере учета. СОПВ) - это средства сетевого обнаружения вторжений осуществляют мониторинг сетевого трафика и оповещают о выявлении в трафике признаков, свидетельствующих о попытках сканирования, атаке «отказ в обслуживании» или других атаках. СОПВ уровня хоста - это программные средства, которые осуществляют мониторинг системы или лог-файлов приложений. DDoS-атак идентифицируют использование основной сети и выявляют аномалии, характерные для этого вида атак.