ВВЕДЕНИЕ 4
1 ЭНТРОПИЙНЫЙ АНАЛИЗ 6
1.1 Пакетная передача данных 6
1.2 Энтропия. Связь информационной и термодинамической энтропии.
11
1.3 Связь энтропии и информации. Формула Шеннона 13
2 МОНИТОРИНГ IP СЕТЕЙ 15
2.1 Детектирование сетевой активности 15
2.2 Netflow 16
2.3 Wireshark. Структура PCAP файла 17
2.4 Примеры программ для мониторинга, основанных на
альтернативных методах 19
3 ИДЕНТИФИКАЦИИ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ 21
3.1 Класс детектируемого программного обеспечения 21
3.2 Измеряемые характеристики 22
3.3 Выводы 24
ЗАКЛЮЧЕНИЕ 25
СПИСОК ИСПОЛЬЗУЕМЫХ ИСТОЧНИКОВ 26
На сегодняшний день интернет является важной частью жизни человека. Он используется как различными компаниями в корпоративных целях, так и обычными пользователями в повседневной жизни. Но вместе с благами, которые он приносит в нашу жизнь, появляется также и множество новых угроз.
В силу своей универсальности допускается непрофильное его использование на рабочем месте, а иногда даже в противозаконном направлении. А ведь пользователь может и не подозревать о том, что его компьютер используется злоумышленниками. Их целью может являться: рассылка спама, атака на чужие сервера, кража данных и т.д.
В свете нарастающего числа угроз актуальной является задача мониторинга состояния сети и наблюдения пользовательской активности. В следствии, возникает еще одна задача: разработка новых методов выявления сетевой активности для обнаружения широкого диапазона сетевых аномалий, позволяющих не обращать внимания на шифрование данных передаваемых по сети.
В этой работе представлен метод энтропийного анализа. Этот метод универсален и не требует знаний определенных слабых мест, используемых червем, которые ставят под угрозу целевые компьютеры [1].
Таким образом целью данной работы является: “Рассмотрение метода энтропийного анализа, применимого для мониторинга состояния компьютерных сетей, выявления аномальных состояний сети и идентификации программного обеспечения, генерирующего
информационные потоки”.
Сложность применения программ мониторинга основанных на других методах обнаружения таких как: сигнатурный и фактический; заключается в неспособности всегда определять червя в зашифрованном виде и значительной ресурсопотребляемостью для сигнатурного и бесполезность фактического обнаружения, т.к. ПО уже используется на данном компьютере, а мы, наоборот, хотим это предотвратить.
Практически значимым является обнаружение вредоносного ПО в сети, мешающего ее нормальному функционированию.
Новым в данном случае является возможность детектирования даже для зашифрованных данных, а также минимальная ресурсоемкость подхода обнаружения и низкий уровень ложных срабатываний.
Несмотря на постепенное улучшение систем безопасности и программного обеспечения мониторинга IP сетей, прогресс информационных технологий порождает рост новых угроз передаваемых по интернету, и актуальной остаётся задача мониторинга состояния компьютерных сетей, выявления аномальных состояний сети и идентификации программного обеспечения, генерирующего информационные потоки.
За этот год:
1) были проведены измерения параметров программного обеспечения класса «мессненджер»
2) измерены энтропийные характеристики его IP и Mac адреса
3) проведен литературный обзор на тему энтропийного анализа в IP сетях.
Новизна работы состоит в том, что детектирование возможно даже для зашифрованных данных. Значит, возможно и обнаружение новых типов вредоносных ПО в сети, мешающих ее нормальному функционированию
