Метод обнаружения аномалий телекоммуникационных данных на основе математических моделей оптимизации алгоритмов спектрального и спектрально-временного анализа

• Автор: Будько, Марина Борисовна
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2009
• Место защиты: Санкт-Петербург
• Количество страниц: 140 с. : ил.

Содержание

Список сокращений

Введение.

Глава 1. Исследование систем обнаружения вторжений.

1.1. Системы обнаружения вторжений и их место в задачах обеспечения безопасности.

1.2. Обоснование подхода к формированию системы обнаружения

аномалий на основе анализа интенсивностей потоков данных в сети

1.3. Основы спектрального анализа.

1.4. Основы спектральновременного анализа

Выводы по главе 1.

Глава 2. Этапы формирования метода обнаружения аномалий телекоммуникационных данных.

2.1. Общая структура метода.
2.2. Содержание этапов
Этап накопления и отбора информации.
Этап анализа готовых наборов
Этап обнаружения аномалий в потоках данных
Выводы по главе 2.
Глава 3. Оптимизация спектральных и спектральновременных алгоритмов и
представлений.
3.1. Оптимизация спектрального преобразования.
Математические модели оптимизации кратковременных ДПФ и ДПХ при
сдвиге последовательности.
Теоретический расчет вычислительной сложности преобразований
Результаты применения.
. Оптимизация спектральновременного преобразования
Определение видов углов влияния и достоверности на картине вейвлеткоэффициентов дискретного, дискретного диадиого и
дискретизированного представлений.
Выполнение дискретизированного по времени и диадного по масштабам разложения на основе быстрого алгоритма диадного кратномасштабного анализа
Математические модели оптимизации спектральновременного
разложения при сдвиге последовательности.
Формирование доверительного пространства вейвлеткоэффициентов
Выводы по главе 3
Глава 4. Реализация метода обнаружения аномалий телекоммуникационных
данных.
Выводы по главе 4
Заключение.
Список литературы


Во многих простых СОВ все компоненты реализованы в виде одного модуля или устройства. Обнаружение аномалий - динамический метод работы антивирусов, хостовых и сетевых СОВ []. Использование только методов обнаружения аномалий не гарантирует выявление всех нарушений безопасности, поэтому в большинстве СОВ существует технологии распознавания злоупотреблений []. Обнаружение вторжений-злоупотреблений основывается на прогностическом определении атак и последующим наблюдением за их появлением. В отличие от обнаружения аномалии, где образ - это модель нормального поведения системы, при обнаружении злоупотребления он необходим для представления несанкционированных действий злоумышленника. Такой «образ» применительно к обнаружению злоупотреблений называется сигнатурой вторжения. Формируется сигнатура на основе тех же входных данных, что и при обнаружении аномалий, то есть на значениях параметров оценки. Сигнатуры вторжений определяют окружение, условия и родство между событиями, которые приводят к проникновению в систему или любым другим злоупотреблениям. Они полезны не только при обнаружении вторжений, но и при выявлении попыток совершения незаконных действий. Частичное совпадение сигнатур может означать, что в защищаемой системе имела место попытка вторжения. История разработок СОВ. Первая концепция СОВ появилась благодаря Джеймсу Андерсону и статье []. В Фред Коэн сделал заявление о том, что каждое вторжение обнаружить невозможно и ресурсы, необходимые для обнаружения вторжений, будут расти вместе со степенью использования компьютерных технологий. Дороти Деннинг, при содействии Питера Неймана, опубликовали модель СОВ в , сформировавшую основу для большинства современных систем []. Ее модель использовала статистические методы для обнаружения вторжений и называлась IDES (Intrusion detection expert system - экспертная система обнаружения вторжений). Система работала на рабочих станциях Sun и проверяла как сетевой трафик, так и данные пользовательских приложений []. Тереза Лунт [] предложила использовать искусственную нейронную сеть как третий компонент для повышения эффективности обнаружения. Вслед за IDES в вышла NIDES (Next-generation intrusion detection expert system -экспертная система обнаружения вторжений нового поколения). MIDAS (Multics intrusion detection and alerting system), экспертная система, использующая P-BEST и LISP, была разработана в году на основе работы Деннинга и Неймана [1]. В этом же году была разработана система Haystack, основанная на статистических методах [2]. W&S (Wisdom & Sense - мудрость и чувство), основанный на статистических методах детектор аномалий, был разработан в году в Лос-Аламосской Национальной лаборатории [4]. W&S создавал правила на основе статистического анализа и затем использовал эти правила для обнаружения аномалий. В , в TIM (Time-based inductive machine) было реализовано обнаружение аномалий с использованием индуктивного обучения на основе последовательных паттернов пользователя на языке Common LISP [5]. Программа была разработана для VAX . Примерно в то же время был разработан NSM (Network Security Monitor - монитор сетевой безопасности), сравнивающий матрицы доступа для обнаружения аномалий на рабочих станциях Sun-3/ []. В том же году был разработан ISOA (Information Security Officer's Assistant), содержащий в себе множество стратегий обнаружения, включая статистику, проверку профиля и экспертную систему [7]. ComputerWatch, разработанный в AT&T Bell Labs, использовал статистические методы и правила для проверки данных и обнаружения вторжений []. Далее, в , разработчики Университета Калифорнии разработали прототип распределенной системы DIDS (Distributed intrusion detection system), которая также являлась экспертной системой [3]. Также в сотрудниками Национальной Лаборатории Встроенных Вычислительных Сетей (ICN) была разработана система NADIR (Network anomaly detection and intrusion reporter). На создание этой системы оказало большое влияние работа Деннинга и Люнт []. NADIR использовала основанный на статистике детектор аномалий и экспертную систему.