ВВЕДЕНИЕ 3
1. История возникновения сетевого вируса, сетевых червей 5
1.1 IP- сеть как предмет исследования 7
1.2 Сетевой червь как объект исследования 8
2. Современные методы обнаружения сетевого вредоносного ПО 9
2.1 Сигнатурный метод 11
2.2 Статистический метод 13
2.3 Эвристический метод 14
3. Энтропийный анализ для обнаружения сетевых червей 17
3.1 Информационная энтропия 18
3.2 Применимость информационной энтропии к обнаружению
быстро распространяющихся сетевых червей в IP — сетях 21
3.3 Структура PCAP файла 22
3.4 Заголовки сетевых пакетов 22
4. Энтропийные характеристики и анализ экспериментальных данных полученных на основе быстро распространяющихся сетевых червей 23
4.1 Экспериментальная часть 23
4.2 Энтропийные характеристики сетевого потока при условии распространения быстро распространяющегося сетевого червя ....24
4.3 Результаты исследования по обнаружению быстро
распространяющихся сетевых червей 25
4.4 Выводы сделанные на основе исследований 26
4.5 Преимущество энтропийного метода 28
ЗАКЛЮЧЕНИЕ 29
СПИСОК ЛИТЕРАТУРЫ
С каждым днем растет спрос на информационные технологии, это естественно, так как прогресс не стоит на месте и сейчас все построено на развитии информатизации. Мы не можем уже представить жизнь без компьютерных технологий, ужесточаются требования к информационной безопасности. С каждым днем увеличивается объем передаваемых данных, а с ним и угроза безопасности. Информационные технологии используют ресурсы компьютеров, серверов, не только для передачи информации или общения, но так же могут дать массу дополнительных возможностей. Незначительный простой в пару часов бездействия, даже самого безобидного интернет ресурса может достигать существенных затрат. Потому как в наше время все завязано на телекоммуникационных ресурсах и передаче данных, начиная от простейших социальных сетей и вплоть до обороны страны, все контролируется с помощью компьютеров подключенных к единой сети Интернет. С развитием технологий, злоумышленники так же модифицируют структуры вирусов, сетевых червей, вредоносных кодов. Рассмотрев элементарный пример атаке недавним вирусом прогремевшим на весь мир - «WannaCry», что в дословном переводе означает «Хочу плакать». Этот вирус пролетел весь мир и первая активность была зафиксирована 12 мая 2017 года, атака направленна была на основные органы государственных структур. Заражены были медицинские учреждения Великобритании, в свою очередь Испанские телекоммуникации и Министерство Внутренних Дел России сообщило об отражении атаки. В связи с этим необходимо улучшать и разрабатывать новые методы обнаружения атак, несмотря на постоянно изменяющиеся алгоритм вторжения.
«По сведениям аналитиков американской компании PC Tools, Россия сейчас является лидером в распространении компьютеров вирусов, вредоносного и шпионского обеспечения».
В связи с этим обнаружение сетевых червей методом энтропийного анализа является актуальным методом выявления вторжений в IP-сетях. Метод энтропийного анализа работает в реальном времени, не имеет базы данных и позволяет анализировать зашифрованный информационный поток, в отличие от большинства антивирусных программ, что и позволяет говорить о быстродействии. Как было упомянуто ранее, большинство антивирусов работают на основе базы данных, т.е. являются статистическими методами. Данный метод позволит незамедлительно оповестить об атаке или вторжении в систему или локальную сеть. В дальнейшем разработка и усовершенствования данного метода может принести свои плоды в усовершенствовании антивирусных программ.
Цель выпускной квалификационной работы бакалавра заключается в обозрении существующих методов обнаружения сетевых червей, сравнения методов между собой, выявление их преимуществ и недостатков, а так же пояснить, почему энтропийные методы обнаружения сетевых червей имеет преимущество над существующими методиками обнаружения
самораспространяющихся вирусов и сетевых червей. Определение и пояснение передачи самораспространающихся сетевых червей по IP протоколам. На основе экспериментальных данных определение состояния сети, с вероятность 95%. Описание формирования данных с использованием формулы информационной энтропии.
В связи со стремительным ростом и повседневным использованием компьютерных технологий, информационная безопасность становится одним из наиболее важным и востребованным направлением в сфере научного прогресса и исследований. Не смотря на все предостережения и попытки обезопасить себя от вредоносного программного обеспечения, новые угрозы появляются с каждым днем, невозможно создать абсолютно надежное оборудование для обнаружения сетевых червей. Но мы можем изучать и оптимизировать систему, устраняя изъяны.
В течение времени обучения в бакалавриате была проведена следующая работа:
1) проведен обзор научно-технической литературы по энтропийному анализу потоков данных цифровых информационных сетей;
2) просмотрены интернет ресурсы по теме быстро распространяющиеся сетевые черви в IP сетях. Проведен анализ возможных угроз со стороны быстро распространяющихся сетевых червей по всемирной сети Интернет.
3) рассмотрены основные методы обнаружения сетевых червей в сети Интернет.
4) рассмотрены классификации, даны описания и характеристики быстро распространяющихся сетевых червей.
5) описаны принципы работы основных протоколов, использующихся при передаче данных и проникновению через них сетевых червей, посредством нахождения в системе безопасности уязвимости
6) Рассчитаны энтропийные характеристики для различных параметров и при разных условий сети. Использовали 7 различных параметров, такие как длина пакета в условии распространения БРСЧ (быстро распространяющегося сетевого червя) и так и в отсутствии распространения БРСЧ. Рассчитали энтропийные характеристики для IP адреса источника в двух условиях и IP адрес получателя в случае распространения БРСЧ и отсутствия БРСЧ. Так же проанализировали полученные значения для MAC адреса источника при распространении БРСЧ и в случае отсутствия распространения БРСЧ. Энтропийные характеристики для MAC адреса получателя и точно так же в случае распространения БРСЧ и в отсутствии распространения БРСЧ. Рассчитали энтропийные характеристики для порта источника и порта получателя при распространении БРСЧ и отсутствии распространения БРСЧ. На основе выше изложенного и анализа данных проведенного исследования, можно сделать вывод, что состояния сети однозначно различимы при использовании метода, метода энтропийного анализа, с точностью не менее 95%.
