Разработка и исследование метода весовых функций для решения задач интеллектуального анализа данных при выявлении аномальной сетевой активности

• Автор: Карайчев, Глеб Викторович
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2011
• Место защиты: Ростов-на-Дону
• Количество страниц: 153 с. : ил.

ОГЛАВЛЕНИЕ
ВВЕДЕНИЕ

Актуальность темы исследования.

Цель работы

Научная задача.

Задачи исследования

Объект исследования

Предмет исследования.

Методологическая основа исследования.

Информационная база исследования.

Научная новизна работы.

Основные положения, выносимые на защиту
Практическая ценность работы
Достоверность и обоснованность научных положений и результатов
Реализация и внедрение результатов
Апробация работы
Личный вклад автора.
Публикации.
Структура и объем диссертации1
ГЛАВА 1. АНАЛИЗ СУЩЕСТВУЮЩИХ СИСТЕМ ОБЕСПЕЧЕНИЯ СЕТЕВОЙ БЕЗОПАСНОСТИ И РАЗВИТИЯ МЕТОДОВ ИНТЕЛЛЕКТУАЛЬНОГО АНАЛИЗА ДАННЫХ.
1.1. Анализ первых работ в области обнаружения вторжений.
1.2. Анализ работ в области интеллектуального анализа данных
1.3. Анализ работ по проблеме выявления аномальной активности
Особенности современных методов обнаружения вторжений.
Общие принципы методов выявления аномальной активности
Выявление аномальной активности с обучением без учителя.
Статистические методы выявления аномалий
1.4. Анализ работ по проблеме уменьшения размерности вероятностного пространства характеристик
1.5. Анализ работ в области оценки эффективности существующих систем и методов обнаружения вторжений.
1.6. Выводы по первой главе
ГЛАВА 2. РАЗРАБОТКА МЕТОДА ВЕСОВЫХ ФУНКЦИЙ ДЛЯ КОМПАКТНОГО ПРЕДСТАВЛЕНИЯ НАБОРА СЕТЕВЫХ ХАРАКТЕРИСТИК
2.1. Введение в метод весовых функций
2.2. Весовая функцияна основе экспоненциальных соотношений.
2.3. Весовая функция на основе тригонометрических соотношений
2.4. Исследование сходимости весовых функций к точной
величине тетафункции.
2.5. Исследование погрешности, возникающей при использовании весовых функций
2.6. Выводы по второй главе
ГЛАВА 3. РАЗРАБОТКА МЕТОДА АДАПТИВНЫХ СЕТОК
ДЛЯ ВЫЯВЛЕНИЯ АНОМАЛЬНОЙ СЕТЕВОЙ АКТИВНОСТИ
3.1. Основные понятия метода адаптивных сеток
3.2. Снижение размерности пространства сетевых характерис тик, используя преобразование КархуненаЛоэва.
3.3. Обсуждение набора тестовых данных для оценки эффективности выявления сетевых аномалий методом адаптивных сеток
3.4. Применение метода построения кривых для оценки эффективности выявления сетевых аномалий методом
адаптивных сеток.
3.5. Применение весовых функций к методу адаптивных сеток
3.6. Выводы по третьей главе.
ГЛАВА 4. ЭКСПЕРИМЕНТАЛЬНОЕ ИССЛЕДОВАНИЕ РАЗРАБОТАННЫХ МЕТОДОВ И ОЦЕНКА ИХ ПРАКТИЧЕСКОЙ ЗНАЧИМОСТИ.
4.1. Применение весовых функций в случае вычислении локальных
СТАТИСТИЧЕСКИХ ХАРАКТЕРИСТИК В СЕТИ НА ПРИМЕРЕ РАСПРЕДЕЛЕНИЯ
ВРЕМЕННЫХ ИНТЕРВАЛОВ МЕЖДУ ПАКЕТАМИ
4.2. Применение весовых функций в случае статистического анализа
СЕТЕВЫХ ДАННЫХ НА ПРИМЕРЕ МЕТОДА РАСПРЕДЕЛЕНИЯ ПО 1РАДРЕСАМ
Применение критерия согласия Пирсона при оценке распределения
событий по 1Р адресам.
Применение критерия согласия КолмогороваСмирнова при оценке
распределения по 1Р адресам.
Сравнение эффективности критериев согласия Пирсона и КолмогороваСмирнова па тестовых данных.
4.3. Применение весовых функций в случае кластерного анализа
СЕТЕВЫХ ДАННЫХ НА ПРИМЕРЕ МЕТОДА АДАПТИВНЫХ СЕТОК
4.4.РОГРАММАЯ РЕАЛИЗАЦИЯ ПРЕДЛАГАЕМЫХ МЕТОДОВ
Программа статистики на основе весовых функций
Программа для анализа статистического распределения.
Программа анализа адаптивными сетками.
4.5. Выводы по четвертой главк.
ЗАКЛЮЧЕНИЕ.
ЛИТЕРАТУРА


РостовнаДону, ООО АРК Коммерсаль г. Москва. Также работа стала лауреатом ЮФУ и была использованы при подготовке конкурсной документации на грант в рамках ФЦП Научные и научнопедагогические кадры инновационной России. Имеются соответствующие акты о внедрении. Результаты диссертационной работы были представлены и обсуждались на научнотехнической конференции Информационные системы и технологии ИАТЭ, Обнинск, IX, XI международных научнотехнических конференциях Информационная безопасность ТРТУ, Таганрог, , I Всероссийской молодежной конференции по проблемам информационной безопасности ПЕРСПЕКТИВА ТРТУ, Таганрог, на которой конкурсной комиссией доклад был признан лучшим и отмечен дипломом I степени. Все научные результаты получены автором лично. По теме диссертации опубликовано научных работ, из них 3 статьи в журналах, рекомендованных ВАК. Диссертация состоит из введения, четырех глав, заключения и списка литературы из 7 наименований. Работа содержит таблиц, рисунков и изложена на 3 страницах машинописного текста. ГЛАВА 1. Анализ первых работ в области обнаружения вторжений
Рядовые пользователи, подвергающиеся сетевым атакам, обычно не несут существенных потерь, кроме, быть может, какихто личных данных. Однако у крупных серьезных организаций и правительственных ведомств гораздо больше поставлено на карту киберпреступность может нанести им непоправимый урон от банкротств до разглашения совсекретной информации. И хотя по данным Консорциума безопасности вебприложений ii i i около всех кибератак имеют целью неосновательное обогащение, в новейшей истории есть много примеров когда сетевые атаки имели серьезные последствия для целых государств. К примеру, еще в г. Южной Осетии Вооруженные силы России с успехом провели ряд атак на компьютерные сети Грузии. В г. Национальной энергосистеме США было обнаружено заражение, которое могло привести к непредсказуемым веерным отключением электроэнергии по всей стране. В начале г. Китая. Не исключено, что в текущем, г. Существует несколько общеизвестных способов повышения сетевой безопасности, а именно предотвращение атак за счет использование сетевых экранов i, парольной защиты. Ii i , I. Несмотря на использование механизмов криптозащиты и протоколирования при взаимодействии компьютеров и пользователей, ряд авторов, и об этом будет подробно сказано далее, сходится во мнении, что защитить компьютерную сеть от всех угроз просто невозможно. И хотя сетевые экраны блокируют и фильтруют трафик с целью противодействия потенциальным угрозам, они не универсальны и могут, к примеру, не обнаружить атаки в трафике, который статистически приведен к виду нормального. С другой стороны и I не в состоянии заменить описанные выше средства, но могут дополнить их, создавая более защищенную сетевую среду. Ведь целью I, но большому счету, является выявление поведения пользователей, отличающегосяот ожидаемого. В х годах для обнаружения вторжений впервые начали использовать журналы регистрации. При огромном количестве информации и ручных методах обработки их анализ занимал много времени и администраторы вынуждены были использовать журналы регистрации уже после того, как нарушение защиты произошло. Но уже в х гг. Одной из основополагающих работ в области выявления вторжений ста
ловится статья 1 Джеймса Андерсона, опубликованная в г. Все угрозы в ней автор систематизирует по типам. I, определив критические секции компьютерной системы, требующие мониторинга. Для выявления вторжений Андерсон в качестве аксиомы допускает, что с высокой степенью вероятности можно отличить злоумышленника от авторизованного пользователя, но лишь в случае правильного определения класса условий при которых происходит несанкционированное использование ресурсов и данных. К сожалению, классы таких условий в работе указаны не были. Примечательно, что в г. Фред Коэн в своей работе Компьютерные вирусы теория и эксперименты 2 обосновывает тот факт, что каждое вторжение обнаружить невозможно и что, фактически, задача выявления компьютерных атак является алгоритмически неразрешимой.