Построение модульных нейронных сетей для обнаружения классов сетевых атак

• Автор: Жульков, Евгений Владимирович
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2007
• Место защиты: Санкт-Петербург
• Количество страниц: 155 с. : ил.

1.1. Системы обнаружения вторжений

1.2. Основы аппарата нейронных сетей

1.3. Обзор работ, посвящнных СОВ на базе нейросетей

1.4. Обзор СОВ, основанных на нейронных сетях.

ГЛАВА 2. МОДУЛЬНЫЙ ПОДХОД К ПОСТРОЕНИЮ СОВ

2.1. Недостатки поиска аномалий.

2.2. Недостатки рассмотренных СОВ.

2.3. Модульный подход.

2.4. Достоинства модульного подхода.

ГЛАВА 3. АРХИТЕКТУРА МОДУЛЬНОЙ СОВ

3.1. Архитекту ра модульной СОВ.

3.2. Методики обучения и тестирования.
3.3. Систематизация атак
3.4. Выбор актуальных атак
3.5. Выбор типа НС
3.6. Подготовка входных данных для обучения.
3.7. Анализ стека протоколов I.
3.8. Выбор параметров межсетевого взаимодействия и
формирование групп.
3.9. Модули первого уровня.
3 Модуль второго уровня
3 Обучение нейронных сетей.
Выводы.
ГЛАВА 4. РЕАЛИЗАЦИЯ МОДУЛЬНОЙ СОВ, РЕЗУЛЬТАТЫ
4.1. Реализация модульной СОВ
4.2. Алгоритм поиска вторжений.
4.3. Макет для проведения тестов.
4.4. Запись и интерпретация результатов
4.5. Тестирование СОВ
4.6. Работа СОВ
4.7. Результаты обучения модулей первого уровня
4.8. Результаты и их обсуждение
Выводы.
ГЛАВА 5. ЗАКЛЮЧЕНИЕ
ГЛАВА 6. ПРИЛОЖЕНИЕ 1. ОПИСАНИЕ АТАК.
ГЛАВА 7. СПИСОК 1УБЛИКОВАННЫХ РАБОТ
ГЛАВА 8. СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ
ВВЕДЕНИЕ


Во второй главе выявлены и проанализированы недостатки одного из подходов к анализу данных СОВ, использующий метод поиска аномалий, и обоснован выбор метода поиска злоупотреблений. Рассмотрены недостатки существующих работ, введено понятие монолитного подхода к построению СОВ на базе НС. Предложен новый модульный подход к построения СОВ па базе НС, использующий для анализа множество НС различного типа. В третьей главе представлена разработанная архитектура СОВ разработана методика по обучению, тестированию и оценке результатов СОВ. Выделены и описаны сетевые атаки, которые использовались для обучения и тестирования системы проведена их систематизация, и на основе анализа этих атак отобраны группы параметров межсетевого взаимодействия для обработки в СОВ. Разработаны методы обработки и подготовки значений параметров для подачи на вход СОВ обоснована необходимость реализации генератора сетевого шума и предложена его реализация, разработан метод скользящего окна для расчета средних значений параметров межсетевого взаимодействия. Четвертая глава посвящена экспериментальной проверке предложенного подхода, для чего разработан прототип СОВ. Проведн количественный анализ выбранных атак и множеств, которые используются для обучения модулей и тестирования СОВ. Представлены и проанализированы результаты обучения модулей первого и второго уровней. В результате выполнения работы были получены данные, подтверждающие эффективность использования модульного подхода для анализа восьми различных классов сетевых атак, а также получены численные оценки эффективности работы. ГЛАВА 1. При создании защищенной корпоративной сети необходима концепция комплексной защиты. Помимо использования межсетевых экранов, концепция комплексной защиты должна предусматривать также и системы обнаружения вторжений. Данные системы являются важным звеном, так как позволяют автоматизировать процессы выявления вторжений и реакции на эти вторжения. По статистике основным источником абсолютного большинства угроз являются авторизованные пользователи сотрудники, партнеры, клиенты и т. По данным С , количество атак авторизованных пользователей составляет около процентов от общего числа атак. Для того чтобы реализовать атаку, злоумышленник моделирует событие политики безопасности атакуемой системы, используя при этом средство реализации атаки 1. Цель злоумышленника получить желаемый результат, при этом он нарушает политику безопасности системы. Средства реализации атаки позволяют нарушителю провести противоправные действия. К таким средствам можно отнести сетевые анализаторы, сетевые сканеры и сканеры уязвимостей, иршраммы, использующие уязвимости систем, взломщики паролей и т. Для реализации одного из типа атак, например сетевое вторжение, удалнное выполнение команд или подбор пароля, нарушитель использует уязвимости систем. Возможность прослушивания сетевого трафика. Переполнение буфера, приводящее к удалнному выполнению команд. Уязвимости системы защиты узлов, уязвимости сценариев I или ошибки в прикладных программах. Подверженность атакам типа отказ в обслуживании. Допустимость загрузки враждебного кода. Во время проведения атаки нарушается политика безопасности системы. Понятие информационной безопасности базируется на основных свойствах информации конфиденциальности, целостности и доступности. Таким образом, нарушитель может моделировать события политики путм раскрытия конфиденциальности, нарушения целостности или при помощи отказа в досту пе. Основная цель большинства атак раскрытие секретной информации, например секретные файлы, пароли, базы данных. Сегментом сети называется физическое объединение хостов компьютеров, работающих в сети. В этом случае, между атакующим и его целью может находиться несколько маршрутизаторов. Таким образом, в данном типе расстояние между субъектом и объектом атаки может измеряться тысячами километров. Если атаку можно провести на уровне выше сетевого, то е можно назвать межсегментной атакой. Сигнатура атаки характерные признаки атаки, которые можно использовать для е обнаружения.