Разработка математической модели информационного обмена в локальной вычислительной сети для реализации средств и метода сетевой защиты информации

• Автор: Пелешенко, Виктор Сергеевич
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2007
• Место защиты: Ставрополь
• Количество страниц: 199 с. : ил.

Введение

Глава 1. Обзор и анализ методов обнаружения сетевых атак.

1.1. Обзор моделей обнаружения и предотвращения сетевых атак

1.1.1. Хостовая модель обнаружения сетевых атак

1.1.2. Сетевая модель обнаружения сетевых атак.

1.1.3. Технологии обнаружения сетевых атак.

1.2. Обзор и анализ методик обнаружения и предотвращения сетевых атак

1.2.1. Анализ методик сигнатурного обнаружения атак

1.2.2. Анализ методик статистического обнаружения атак.

1.3. Обзор современных средств сетевой защиты

1.3.1. Обзор средств сетевой защиты внутри ЛВС.

1.3.2. Обзор средств сетевой защиты между ЛВС
1.4. Обзор параметров и характеристик защищаемой информационной системы
1.4.1. Обзор параметров и характеристик защищаемой ИС
1.4.2. Классификация атак на информационную систему
1.5. Обоснование разработки способа совместного обнаружения сетевых
атак. Постановка задачи па исследование
Выводы.
Глава 2. Разработка математической модели и способа обнаружения сетевых атак.
2.1. Критерии анализа сетевого трафика.
2.1.1. Обоснование выбора анализируемых параметров и характеристик
сетевого пакета данных.
2.2. Формализация множества необходимых и достаточных событий
для анализа
2.3. Построение математической модели информационного обмена в ЛВС.
2.3.1. Формальное представление сообщений между узлами в сети.
2.3.2. Построение модели информационного обмена в ЛВС.
2.4. Способ обнаружения сетевых атак сигнатурными и статистическими методами
2.4.1. Определение перечня рассматриваемых угроз сетевой безопасности
2.4.2. Общеизвестные проблемы при обнаружении и предотвращении сетевых атак .
2.4.3. Постановка задачи совместного обнаружения и отражения сетевых
Выводы
Глава 3. Практическая реализация способа совместного обнаружения сетевых атак
3.1. Разработка устройства автоматического обнаружения сетевых атак .
3.1.1. Общее описание и принцип работы устройства.
3.1.2. Функциональная схема и описание работы модулей устройства
3.1.3. Сравнение с аналогичными устройствами и область применения.
3.2. Разработка программной реализации разработанной методики совместного обнаружения и предотвращения сетевых атак.
3.2.1. Описание и принцип работы программной реализации ОПСА
3.2.2. Экспериментальное исследование программной модели
3.2.3. Описание применения нейронных сетей
3.3. Сравнение с аналогичными программными средствами и дальнейшие перспективы применения способа и совместной модели обнаружения п
предотвращения сетевых атак
Выводы.
Глава 4. Методика обнаружения сетевых атак.
Тестирование СОА.
4.1. Формализованное представление методики обнаружения сетевых атак.
4.2. Сравнительный анализ и тестирование разработанного средства
обнаружения сетевых атак.
4.3. Сравнительный анализ и формализация существующих методик
тестирования средств сетевой защиты
4.4. Разработка методики тестирования устройства автоматического обнаружения атак.
4.5. Разработка методики тестирования программного средства обнаружения и предотвращения атак
4.6. Определение наджности и производительности программного
средства обнаружения атак. Программноаппаратное обеспечение
Заключение
Список использованных источников


Модель обнаружения сетевой атаки это формальное описание сетевой атаки и алгоритмов е обнаружения с помощью математического или иного теоретического аппарата, которое с помощью теоретического обоснования доказывает, что конечным результатом совместной работы алгоритмов, способов и технологий является обнаружение сетевой атаки. Модели обнаружения и предотвращения сетевых атак делятся на два
хостовая модель обнаружения сетевых атак подразумевает анализ данных, получаемых и передаваемых в сеть, и анализ различных журналов регистрации, имеющихся на конкретном узле хосте путм применения соответствующих методик и алгоритмов. Наиболее точно локальная архитектура СОА показана в 7. На уровне агентов сенсоров может выполняться фильтрация данных с целью уменьшения их объема. Это требует от агентов некоторого интеллекта, но зато разгружает остальные компоненты системы. Основные элементы локальной архитектуры систем обнаружения вторжений показаны на рисунке 1. Рисунок 1. Если в процессе статистического или экспертного анализа выявляется подозрительная активность, соответствующее сообщение направляется решателю, который определяет, является ли тревога оправданной, и выбирает способ реагирования. Содержательный активный аудит начинается со статистического и экспертного компонентов. Агенты передают информацию в центр распределения, который приводит ее к единому формату, возможно, осуществляет дальнейшую фильтрацию, сохраняет в базе данных и направляет для анализа статистическому и экспертному компонентам. Один центр распределения может обслуживать несколько сенсоров. Ii I, разработана Вахби ii Ii, на i i i ii, . Это механизм создания vподобных ограниченных сред для динамической загрузки произвольных кодов, независимым от языка способом. В отличие Vсистем, он может применяться независимо от исходного языка и компилятора. Вагнером и Деканом Ii i vi i i, I i i iv. Эта модель выполняет статический анализ программы, чтобы создать абстрактную, недетерминированную модель функций и системных запросов. Во время выполнения всех программ Ii i I сравнивает системные вызовы с имеющимися шаблонами. I i i iii Ii . Механизм ix основан на двух ключевых концепциях ii и отделении механизмов наблюдения от полицейских программ. В хостовой модели при обнаружении атак используются хостовые СОА. К хостовым относят СОА клиентсерверной архитектуры и архитектуры клиентклиент. СОА клиентсерверной архитектуры сенсорная часть располагается на узлах ЛВС и выполняет только сбор данных и передачу на сервер СОА, где эти данные анализируются, и принимается решение по действию, рассчитанному на конкретный тип атаки. Общая схема хостовых СОА архитектуры клиентсервер приведена на рисунке 1. Узел 1, . Узел хосты ЛВС, а Агент 1, . Агент элементы сенсоры СОА, присутствующие на хостах узлах ЛВС. Сервер СОА и система реагирования основная часть СОА, на которой возложена задача обработки данных, поступающих от сенсоров. Рисунок 1. Общая схема хостовой СОА архитектуры клиент
К недостатку такой архитектуры СОА относится то, что при удачном осуществлении атаки, направленной на систему защиты, сенсор может быть выведен из строя до того, как он отправит информацию на сервер СОА. Такая атака постепенно может вывести из строя все узлы ЛВС, будучи своевременно не обнаруженной, во время и после осуществления. К достоинствам архитектуры относится то, что СОА, а точнее ее сенсоры, не загружают вычислительную мощность узлов, т. СОА. СОА архитектуры клиентклиент сенсоры и анализаторы присутствуют на каждом узле ЛВС рисунок 1. Рисунок 1. Такая СОА может состоять из одного, двух и т. На каждом узле независимо от остальных происходит сбор, анализ и обработка данных, поступаехмых на сенсоры. К недостаткам архитектуры можно отнести большую нагрузку на вычислительные ресурсы узлов ЛВС, т. СОА СОА1, . СОА осуществляются на каждом узле Узел ,. Узел . К достоинствам относят то, что такие подсистемы более устойчивы к разрушению всей СОА в целом. Работа таких СОА не зависит от сети передачи данных между собой, т. СОА хранятся на каждом элементе СОА. В такой модели СОА контролируют пакеты, проходящие через среду передачи данных и каналообразующее оборудование, тем самым, обнаруживая сетевые атаки в защищаемой ИС. Эти СОА работают с сетевыми потоками данных .