Нейросетевая система обнаружения аномального поведения вычислительных процессов микроядерных операционных систем

• Автор: Дьяконов, Максим Юрьевич
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2010
• Место защиты: Уфа
• Количество страниц: 154 с. : ил.

ОГЛАВЛЕНИЕ
ВВЕДЕНИЕ
ГЛАВА 1 АНАЛИЗ ЗАДАЧИ ВЫЯВЛЕНИЯ .АНОМАЛЬНОГО ПОВЕДЕНИЯ ПРОЦЕССОВ В ОПЕРАЦИОННЫХ СИСТЕМАХ

1.1 Введение.

1.2 Классификация основных признаков атак

1.3 Классификация основных источников признаков атак.

1.4 Классификация методов обнаружения атак.

1.5 Анализ основных методов обнаружения атак на основе поведения субъектов в операционной системе.

1.6 Основные принципы построения системы обнаружения аномального

поведения процессов в операционной системе.

Выводы по первой главе.

ГЛАВА 2. РАЗРАБОТКА АРХИТЕКТУРЫ СИСТЕМЫ ОБНАРУЖЕНИЯ АНОМАЛЬНОГО ПОВЕДЕНИЯ ПРОЦЕССОВ В МИКРОЯДЕРНОЙ ОПЕРАЦИОННОЙ СИСТЕМЕ.
2.1 Задача обнаружения аномального поведения процессов в МОС ВС
2.2 Нарушение свойств безопасности информации в ОС ВС
2.3 Анализ архитектуры исследовательской МОС МШ1Х 3
2.3.1 Архитектура процесса в МОС.
2.3.2 Менеджер процессов5 Г
2.3.3 Функции микроядра
2.3.4 Системное задание
2.3.5 Интерфейс системных вызовов
2.4 Классификация вредоносных программ.
2.4.1 Классификация по методике заражения системы
2.4.2 Классификация по наносимому ущербу.
2.4.3 Анализ функциональных и поведенческих характеристик вредоносных программ
2.5 Разработка архитектуры системы обнаружения аномального поведения процессов.
2.5.1 Статистическая модель процесса в операционной системе
2.5.2 Модульная структура СОАПП
Выводы по второй главе
ГЛАВА 3. РАЗРАБОТКА АЛГОРИТМОВ КЛАССИФКАЦИИ АНОМАЛЬНОГО ПОВЕДЕНИЯ ПРОЦЕССОВ В МИКРОЯДЕРНОЙ ОПЕРАЦИОННОЙ СИСТЕМЕ НА БАЗЕ НЕЙРОННОЙ СЕТИ.
3.1 Задача сбора статистики поведения процессов в МОС ВС
3.2 Алгоритм анализа состояния поведения процессов в МОС ВС
3.3 Задача классификации поведения процессов на базе нейронной сети 4 Выводы по третьей главе
ГЛАВА 4 РЕАЛИЗАЦИЯ СИСТЕМЫ ОБНАРУЖЕНИЯ АНОМАЛЬНОГО ПОВЕДЕНИЯ ПРОЦЕССОВ В МИКРОЯДЕРНОЙ ОПЕРАЦИОННОЙ СИСТЕМЕ
4.1 Реализация модуля сбора статистики поведения процесса
4.2 Реализация модуля анализа состояний процессов
4.3 Реализация нейросетевого модуля классификации
4.4 Сравнительный анализ классификаторов различных типов.
ЗАКЛЮЧЕНИЕ
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ


Всероссийская научно-техническая конференция студентов, аспирантов и молодых ученых, г. Томск, г. III Международная научно-практическая конференция «Актуальные проблемы безопасности информационных технологий», Красноярск, г. Научно-техническая конференция «Свободный полет», Уфа, г. Зимняя школа-семинар молодых ученых и аспирантов, Уфа, г. Результаты диссертационной работы отражены в публикациях: в научных статьях, в том числе 1 статья в рецензируемом журнале из списка периодических изданий, рекомендованных ВАК, в 5 тезисах докладов в материалах международных и российских конференций. Диссертационная работа состоит из введения, четырех глав, заключения, приложений, библиографического списка и изложена на 4 страницах машинописного текста. Библиографический список включает наименования литературы. Во введении обосновывается актуальность темы исследований в области повышения защищенности микроядерных операционных систем. Формулируется цель работы и решаемые в ней задачи, обсуждается научная новизна и практическая ценность выносимых на защиту' результатов. Также проанализированы различные технологии обнаружения атак, указаны достоинства и недостатки существующих методов. Делается вывод о целесообразности разработки новой архитектуры, методов и алгоритмов: системы обнаружения- аномального поведения процессов микроядерной- операционной системы,, позволяющей повысить эффективность защиты. Во второй* главе рассматривается задача разработки принципов построения системы обнаружения аномального поведения вычислительных процессов (СОАШ1). Рассматриваются^ особенности архитектуры; микроядерной операционной системы М1МХ 3, принципы организации взаимодействия процессов между различными компонентами МОС. Выполняется анализ основных поведенческих характеристик вредоносного ПО; построены модели типичного поведения при осуществлении атаки. Предлагается: иерархическая модель МОС и проводится анализ данной модели на предмет выяв-ления уровня, на котором задача обнаружения аномального поведенияфеша-ется более эффективно: Анализируются структуры, данных микроядра, с целью выделения значимых для СОАПП атрибутов при классификации поведения процессов. Предлагается статистическая модель поведения-вычислительного процесса в МОС, которая используется в качестве основы при формировании базы данных векторов поведения процессов. Предлагается модульная архитектура СОАПП, позволяющая эффективно решать задачи сбора статистики поведения процессов и их классификации. В третьей главе рассматриваются задачи разработки алгоритма сбора статистики поведения процессов, в МОС, алгоритма анализа состояний процесса, а также классификации на основе применения искусственных нейронных сетей. В качестве классификатора предлагается использовать самоорганизующиеся карты Кохонена. При построении векторов поведения процессов используется статистическая модель процесса, позволяющая выделить значимые для задачи классификации признаки. Модульная архитектура СОАПП позволяет реализовать способность к самообучению. В четвертой главе рассматриваются особенности реализация системы обнаружения аномального поведения процессов в МОС. Предлагаемая система обнаружения аномального поведения процессов встраивается в микроядро ОС, что повышает уровень защищенности МОС. Модульность и открытость архитектуры позволяют адаптировать систему при использовании на различных аппаратных и программных платформах, а также, при необходимости, производить замену отдельных модулей. Разработанная система обнаружения аномального поведения процессов размещается на исполнительном уровне предложенной иерархической структуры МОС, что позволяет осуществлять перехват всех возможных обращений с запросами на предоставление служб микроядра - системных вызовов. Таким образом, обеспечивается контроль поведения процессов в МОС с учетом статистики совершения системных вызовов и частотных характеристик поведения процессов СОАГШ. В заключении приводятся основные научные результаты, полученные в ходе выполненных исследований, а также представлены выводы по работе.