Метатехнология защиты информационных ресурсов от вредоносного поведения программ

• Автор: Косолапов, Феликс Александрович
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2006
• Место защиты: Таганрог
• Количество страниц: 180 с. : ил.

СОДЕРЖАНИЕ
ВВЕДЕНИЕ.

1. АНАЛИЗ СУЩЕСТВУЮЩИХ ТЕХНОЛОГИЙ БЛОКИРОВАНИЯ

ВРЕДОНОСНОГО ПОВЕДЕНИЯ ПРОГРАММ

1.1. Основные понятия и определения.

1.2. Актуальность систем блокирования поведения.

1.3. Цели и задачи систем блокирования поведения

1.4. Анализ типовых стадий компьютерной атаки.

1.5. Классификация технологий блокирования поведения

1.5.1. Технологии на основе политик безопасности

1.5.1. Технологии на основе сигнатур

1.5.1. Технологии на основе статистических данных.
Ф 1.6. Преимущества и недостатки технологий блокирования поведения
1.7. Выводы.
2. ИССЛЕДОВАНИЕ СИСТЕМ БЛОКИРОВАНИЯ ВРЕДОНОСНОГО ПОВЕДЕНИЯ ПРОГРАММ И ВЫЯВЛЕНИЕ ОБЩИХ ПУТЕЙ ИХ РАЗВИТИЯ
2.1. Теория решения изобретательских задач как инструмент исследования
2.1.1. Этапы формулировки задачи и ее решения.
2.1.2. Методика перехода от изобретательской ситуации к комплексу
задач.
2.2. Изобретательская ситуация в исследуемой проблеме.
2.3. Постановка задачи блокирования вредоносного поведения в виде системы противоречий
2.4. Решение поставленной задачи
2.4.1. Разделение противоречивых свойств в структуре путем изоляции поведения программ.
2.4.2. Разделение противоречивых свойств в структуре путем изоляции ресурсов.
2.4.3. Разделение противоречивых свойств во времени путем
Ф разделения работы
2.4.4. Разделение противоречивых свойств во времени путем оптимизации работы
2.5. Общие пути развития систем блокирования вредоносного поведения.
2.6. Выводы.
3. РАЗРАБОТКА МЕТОДОЛОГИЧЕСКОЙ И АЛГОРИТМИЧЕСКОЙ ОСНОВЫ МЕТАТЕХНОЛОГИИ ЗАЩИТЫ ОТ ВРЕДОНОСНОГО ПОВЕДЕНИЯ ПРОГРАММ
3.1. Метод логической изоляции поведения программ.
3.2. Внутреннее представление механизма логической изоляции.
3.3. Разработка алгоритмов логической изоляции
3.3.1. Способы обработки запросов к ресурсам
3.3.2. Способы выделения памяти для изолируемых ресурсов
3.3.3. Алгоритмы изоляции логических объектов.
3.3.4. Алгоритмы изоляции физических объектов.
3.4. Разработка концепции метатехнологии защиты.
3.4.1. Реализация доступности системы в условиях
неопределенности.
3.4.2. Интеграция механизма логической изоляции с существующими системами защиты
3.5. Выводы.
4. ОЦЕНКА ЭФФЕКТИВНОСТИ МЕТАТЕХНОЛОГИИ ЗАЩИТЫ В СТАТИСТИЧЕСКИХ СИСТЕМАХ.
4.1. Методика оценки эффективности механизма логической изоляции
4.2. Моделирование логической изоляции в системе обнаружения вторжений на основе динамики системных вызовов.
4.2.1. Построение классификатора на основе вероятностных суффиксных деревьев
4.2.2. Получение обучающего и тестового набора для классификатора.
4.2.3. Построение экспертной системы для оценки классификатора
4.2.4. Получение и сравнение характеристик качества классификатора
4.3. Выводы.
5. ПРОГРАММНАЯ РЕАЛИЗАЦИЯ И ПРАКТИЧЕСКАЯ ОЦЕНКА ОСНОВНЫХ МЕХАНИЗМОВ ПРЕДЛАГАЕМОЙ
МЕТАТЕХНОЛОГИИ
5.1. Подходы к реализации метода логической изоляции
5.1.1. Реализация на уровне фильтра системных сервисов
5.1.2. Реализация на уровне фильтра файловых операций.
5.1.3. Реализация на уровне фильтра дисковых операций.
5.2. Сравнительный анализ рассмотренных подходов реализации
5.3. Разработка механизма логической изоляции.
5.4. Практическая оценка механизма логической изоляции.
5.5. Выводы.
ЗАКЛЮЧЕНИЕ
СПИСОК ЛИТЕРАТУРЫ


Под понятием блокирование поведения понимается совокупность мер и технологий позволяющих идентифицировать и блокировать угрозы безопасности до их непосредственного появления. Важной особенностью систем блокирования поведения является возможность предотвращать вредоносные действия новых и пока еще неизвестных вредоносных программ и вирусов. Под понятием компьютерная атака будем понимать любое действие, выполняемое нарушителем путем использования уязвимостей в компьютерной системе для реализации угрозы безопасности. Под понятием парадигма доступности системы понимается такая модель постановки задачи защиты от вредоносного поведения программ и ее решения, которая предполагает неизбежность реализации угроз безопасности и указывает на необходимость наличия контрмер для восстановления системы после сбоев. В связи со стремительным развитием и усложнением современных информационных технологий и программного обеспечения все острее и актуальнее становится проблема защиты от вредоносного поведения программ. На рынке информационной безопасности регулярно появляются новые решения для защиты ог вредоносного поведения программ, однако количество новых уязвимостей в информационных системах согласно данным 1 ежегодно растет см. Рис. I. I. Актуальной становится задача обнаружения и блокирования новых и неизвестных вредоносных программ, а также предотвращение их автоматического распространения. Именно на решение данных задач нацелены технологии блокирования поведения. Системы блокирования поведения всегда работают в режиме реального времени, и способны блокировать вредоносные действия до того как они произойдут. Несомненно, что такие развитые технологии как контроль доступа, обнаружение вторжений и антивирусное сканирование, могут рассматриваться в рамках парадигмы блокирования поведения, поскольку они способны предотвращать новые угрозы безопасности. Несмотря на то, что перечисленные технологии основаны на различных принципах, все они позволяют защитить информационные ресурсы пользователя от повреждения, искажения и удаления. Здесь возникает вопрос о том, каковы предельные возможности систем блокирования поведения в борьбе с новыми угрозами безопасности. Очевидно, что в практическом плане данные возможности ограничены, поскольку современные операционные систем очень сложны и постоянно меняются. В этой связи более уместно ставить вопрос не о том, как построить абсолютную систему защиты, а о том, как построить адекватную систему противодействия. Для этого важно обратить внимание на причины инцидентов безопасности. По данным комиссии ii ii 2 самой главной причиной инцидентов безопасности являются пользователи компьютерных систем см. Рис. Данная статистика показывает, что пользователи не справляются с огромным наплывом новой информации, который имеет место в настоящее время. В результате некомпетентности или ошибок пользователи в большинстве случаев сами наносят ущерб своей информации. Отсюда можно сделать вывод, что первостепенной задачей для разработчиков должна стать задача создания простого и понятного пользовательского интерфейса для систем защиты, а также разработка новых средств защиты с более простыми и понятными концепциями. Не смотря на то, что потребность в принципиально новых технологиях защиты всегда существует, актуальной задачей является усовершенствование существующих концепций и систем защиты. Как показывает статистика от 1п1хгта1юпУеек 3, наиболее популярными являются программы, решающие задачи противодействия вирусам, контроля доступа и обнаружения вторжений см. Рис. Опираясь на данные статистики, можно также отметить, что новые решения в области информационной безопасности, на основе новых концепций очень медленно внедряются в реальную жизнь и не всегда сразу завоевывают доверие пользователей. Можно предположить, что дальнейшее развитее технологий защиты от вредоносного поведения программ будет проходить по пути интеграции различных средств защиты в единую многофункциональную систему. Блокирование вирусовпаразитов. Блокирование троянских программ. Блокирование сетевых червей.