Разработка и исследование системы оперативного сетевого мониторинга событий безопасности

• Автор: Шелудько, Игорь Александрович
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2004
• Место защиты: Таганрог
• Количество страниц: 179 с. : ил.

ВВЕДЕНИЕ

1 АНАЛИЗ ПОДХОДОВ К ОБРАБОТКЕ ДАННЫХ АУДИТА СОБЫТИЙ БЕЗОПАСНОСТИ

1.1 Актуальность регистрации и анализа событий безопасности

1.2 Анализ существующих подходов к обработке данных о событиях безопасности

1.3 Цель и задачи диссертационной работы

1.4 Основные результаты и выводы

2 РАЗРАБОТКА И ИССЛЕДОВАНИЕ АРХИТЕКТУРЫ СИСТЕМЫ ОПЕРАТИВНОГО СЕТЕВОГО МОНИТОРИНГА СОБЫТИЙ БЕЗОПАСНОСТИ
2.1 Разработка структуры системы оперативного сетевого мониторинга событий безопасности

2.2 Анализ основных этапов обработки событий безопасности в системе

2.3 Постановка задачи эффективного распределения функций обработки событий безопасности между компонентами системы

2.4 Методика оценки эффективности обработки событий безопасности

в системе
2.5 Анализ решений задачи эффективного распределения функций обработки событий безопасности между компонентами системы
2.6 Основные результаты и выводы
3 РАЗРАБОТКА МЕТОДОВ И АЛГОРИТМОВ СИСТЕМЫ ОПЕРАТИВНОГО СЕТЕВОГО МОНИТОРИНГА СОБЫТИЙ БЕЗОПАСНОСТИ
3.1 Разработка методов и алгоритмов извлечения информации
о событиях безопасности из журналов аудита
3.2 Разработка методов и алгоритмов формализации данных
о событиях безопасности
3.3 Разработка методов и алгоритмов классификации и анализа
событий безопасности
3.4 Разработка структуры базы данных событий безопасности, методов
и алгоритмов сохранения результатов обработки событий безопасности
3.5 Разработка сетевого протокола и алгоритмов взаимодействия
агентов системы с монитором событий безопасности
3.6 Основные результаты и выводы
4 ПРОГРАММНАЯ РЕАЛИЗАЦИЯ И ЭКСПЕРИМЕНТАЛЬНОЕ ИССЛЕДОВАНИЕ СИСТЕМЫ ОПЕРАТИВНОГО СЕТЕВОГО МОНИТОРИНГА СОБЫТИЙ БЕЗОПАСНОСТИ
4.1 Программная реализация макета системы оперативного сетевого мониторинга событий безопасности
4.2 Экспериментальное исследование и сравнение эффективности разработанной системы с аналогами
4.3 Основные результаты и выводы
ЗАКЛЮЧЕНИЕ
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ


Указанные стандарты также определяют классы событий, подлежащих регистрации. Требования к наличию средств регистрации событий безопасности относятся к техническим требованиям, поэтому они, как правило, выполняются производителями базового ПО, используемого для построения сетевых информационных систем. Регулярный анализ зарегистрированных событий безопасности обычно относят к организационным мероприятиям, что является основной причиной недостаточного внимания производителей ПО к проблемам организации оперативного анализа событий безопасности в сети. Учет типичных объемов данных о событиях безопасности, а именно сотни и тысячи записей в день на одном компьютере в сети, позволяет утверждать, что при отсутствии специальных автоматизирующих программных средств анализ событий безопасности становится малоэффективным. По этой причине и обслуживающий персонал сетевых информационных систем зачастую пренебрежительно относится к задачам анализа зарегистрированных данных о событиях безопасности. Все это в значительной степени снижает эффективность регистрации событий безопасности, позволяющей выявить ошибки и недостатки в реализации политики безопасности сетевой информационной системы до того, как они будут использованы в злонамеренных целях. Средства управления доступом, существующие в программном обеспечении каждой сетевой информационной системы часто не могут обеспечить безопасность в полной мере, поскольку они не предназначены для предотвращения неквалифшшрованных или злонамеренных воздействий со стороны пользователей имеющих необходимые полномочия доступа. Своевременный анализ событий безопасности позволяет оперативно выявлять опасные ситуации, возникающие но причине недостаточно строгого разграничения доступа и предпринимать меры противодействия [1]. При настройке средств управления доступом могут быть допущены ошибки, которые зачастую трудно заметить при тестировании, однако эти ошибки становятся заметны при повседневной эксплуатации сетевой информационной системы. Своевременный анализ событий безопасности позволяет выявить такие ошибки до того, как они станут причиной нарушения безопасности [1]. Таким образом, оперативный анализ зарегистрированных событий безопасности в компьютерной сети позволяет повысить защищенность сетевой информационной системы от различных угроз информационной безопасности за счет своевременного обнаружения уязвимостей в системе защиты информации и политике безопасности. Процесс анализа зарегистрированных событий безопасности характеризуется необходимостью решения следующих основных задач. Объединение событий, полученных из различных источников, например зарегистрированных на различных компьютерах сетевой информационной среды. Устранение избыточности данных о событиях безопасности. Поиск событий, отвечающих определенным условиям. Классификация зарегистрированных событий безопасности по степени важности и информативности. Оперативное оповещение персонала, ответственного за безопасность, о фактах обнаружения особо важных событий, особенно в случае автоматической* обработки событий. Обнаружение взаимосвязей между событиями безопасности. Анализ зарегистрированных событий безопасности позволяет решать следующие основные задачи обеспечения информационной безопасности1 в компьютерных сетях. Оперативное обнаружение фактов злоупотребления доступом к информационным ресурсам пользователями сетевых информационных систем. Выявление причинно-следственных связей между событиями при расследовании инцидентов нарушения политики. Анализ недостатков, недоработок и ошибок в политике безопасности. Выявление фактов неэффективного или нерационального использования ресурсов пользователями сетевой информационной системы. Своевременное решение этих задач позволяет оперативно обнаруживать недостатки и уязвимости политики безопасности и системы обеспечения информационной безопасности, а также обнаруживать пользователей сетевых информационных систем, злоупотребляющих доступом к информации и сетевым ресурсам пли ведущих вредоносную деятельность по отношению к системе.