Система выявления и блокирования аномалий трафика корпоративных сетей на основе вейвлет-пакетов

• Автор: Тишина, Наталья Александровна
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2012
• Место защиты: Оренбург
• Количество страниц: 153 с. : ил.

СОДЕРЖАНИЕ
ВВЕДЕНИЕ
1. АНАЛИЗ СОВРЕМЕННЫХ ТЕХНОЛОГИЙ ОБНАРУЖЕНИЯ И ПРЕДОТВРАЩЕНИЯ ВТОРЖЕНИЙ
1.1. Анализ современного состояния систем обнаружения и предотвращения вторжений
1.2. Анализ угроз инфраструктуры корпоративной сети
1.2.1. Угрозы на уровне межсетевого взаимодействия
1.2.2. Угрозы на транспортном уровне
1.2.3. Угрозы на прикладном уровне
1.2.4. Угрозы на уровне сетевых интерфейсов
1.2.5. Результаты анализа угроз инфраструктуры корпоративной сети
1.3. Анализ методов обнаружения аномалий трафика сети
1.4. Постановка научной задачи и её формализация
Выводы
2. РАЗВИТИЕ МЕТОДА КРАТНОРАЗРЕШАЮЩЕГО АНАЛИЗА В ЗАДАЧЕ ВЫЯВЛЕНИЯ АНОМАЛИЙ ТРАФИКА КОРПОРАТИВНОЙ СЕТИ
2.1. Выбор методического аппарата выявления аномалий трафика
корпоративной сети
2.2. Разработка модели сетевого трафика как объекта управления системы обнаружения аномалий
2.3. Прогнозирование текущего состояния трафика корпоративной
сети
2.4. Методика идентификации уровня аномальности трафика корпоративной сети
2.5. Разработка алгоритмов мониторинга информационных процессов
Выводы
3. ОБОСНОВАНИЕ ПОРОГА АНОМАЛЬНОГО СОСТОЯНИЯ ТРАФИКА КОРПОРАТИВНОЙ СЕТИ
3.1. Проверка гипотезы о виде распределения результатов мониторинга информационных процессов сети
3.2. Методика обоснования порогового уровня аномального
СОСТОЯНИЯ сети
3.3. Разработка алгоритмов расчета порогового уровня аномальности трафика корпоративной сети
Выводы
4. РАЗРАБОТКА ПРОТОТИПА СИСТЕМЫ ВЫЯВЛЕНИЯ И БЛОКИРОВАНИЯ АНОМАЛИЙ И ОЦЕНКА ЕГО ЭФФЕКТИНОСТИ
4.1. Разработка прототипа системы выявления и блокирования аномалий
4.1.1. Разработка архитектуры программной системы
4.1.2. Разработка структуры данных программной системы и программных модулей её обработки
4.2. Оценка эффективности прототипа системы выявления и ‘блокирования аномалий
4.2.1. Планирование имитационного эксперимента
4.2.2. Обработка результатов имитационного эксперимента
4.2.3. Сравнительная характеристика эффективности СОА
4.3. Направления дальнейших исследований
Выводы
ЗАКЛЮЧЕНИЕ
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ
ПРИЛОЖЕНИЯ

ВВЕДЕНИЕ
В условиях финансовой неустойчивости рынка ведущие корпорации России избавляются от непрофильных видов деятельности, включая поддержку и сопровождение информационно-телекоммуникационных систем, технической основой которых является корпоративная компьютерная сеть (ККС). Задача обеспечения информационной безопасности (ИБ) ККС становится одной из центральных для корпоративных предприятий, имеющих территориально-распределенную структуру и вынужденных использовать сети общего пользования.
Проблемам обеспечения ИБ ККС посвящены работы таких известных российских ученых как Бородакий Ю.В., Васильев В.И., Гаценко О.Ю., Герасименко В.А., Гузаиров М.Б., Зегжда П.Д., Ковалев В.В., Машкина И.В., Остапенко А.Г., Расторгуев С.П. и зарубежных исследователей Андерсона Д., Деннига Д., Лендвера К., МакЛина Д., Сандху Р. и других. В Оренбургском государственном университете эти вопросы исследовались в работах Соловьева H.A., Саюшкина A.A., Цыганкова A.C., Юркевской Л.А
Обобщая результаты исследований, можно сделать вывод, что в настоящее время сложилась методологическая база выявления угроз нарушения ИБ ККС, разработаны методы, модели и средства, позволяющие решать широкий спектр задач защиты информации. Вместе с тем, существующие средства обнаружения вторжений, являющиеся первым рубежом систем защиты, надежно работают лишь в условиях стационарности и однородности информационных процессов (ИИ). В связи с ростом числа фактов нарушения конфиденциальности, целостности или доступности информации в ККС, исполь-“зующих сети общего пользования, возникает необходимость разработки принципиально иных подходов к обнаружению вторжений, позволяющих повысить достоверность принимаемых решений. Это определяет актуаль-

составление подобной выборки является сложной задачей. Кроме того, классические нейронные сети имеют высокую вычислительную сложность обучения, что затрудняет их применение на больших потоках данных.
Искусственные иммунные системы. Иммунные методы являются одним из перспективных способов обнаружения аномалий [3,11,22,60,149]. На этапе обучения создаются шаблоны-строки, описывающие нормальное поведение объекта, всё, что не соответствует нормальным шаблонам, считается чужеродным, т.е. вторжением. Так как количество примеров нормального поведения обычно на порядки превышает число примеров атак, использование иммунных систем для обнаружения аномалий имеет большую вычислительную сложность.
Таким образом, анализ публикаций показывает, что для большинства методов обнаружения аномалий характерны следующие достоинства и недостатки.
Преимущества поведенческих подходов состоят в том, что они обнаруживают попытки использования новых и заранее непредвиденных уязвимостей и способны обнаруживать новые атаки, не нуждаются в обновлении и генерируют информацию, которая может быть использована в системах обнаружения злоумышленного поведения.
Основные недостатки поведенческих подходов следующие:
-требуют длительного и качественного обучения;
-генерируют большое количество ошибок второго рода (ложных срабатываний);
-работают не в режиме реального времени и требуют большого количества вычислительных ресурсов.
Главным недостатком является: большое число ложных срабатываний, важнейшей причиной данного недостатка является отсутствие адекватной модели нормального состояния трафика, учитывающей особенность ИП корпоративных сетей, использующих сети общего пользования, заключающуюся в существенной неопределенности ИП, что оказывает существенное влияние на адекватность описания моделирующего аппарата.