ВВЕДЕНИЕ 4
1 Исследование существующих систем мониторинга и анализа сетевого
трафика 6
1.1 Классификация средств мониторинга и анализа 6
1.2 Системы обнаружения и предотвращения вторжений 9
1.2.1 Методики обнаружения аномального и злоумышленного поведения
пользователей 11
1.2.2 Технологии обнаружения аномальной деятельности 12
1.2.3 Статистический анализ компьютерных атак 14
1.3 Анализ недостатков современных систем обнаружения вторжений 16
1.4 Вывод по главе 1 19
2 Проектирование системы 21
2.1 Задача перехвата трафика 21
2.2 Задача анализа трафика 23
2.3 Задача хранения трафика 25
2.4 Вывод по главе 2 26
3 Разработка прототипа системы анализа сетевого трафика 27
3.1 Модуль преобразования дампа сетевого трафика 28
3.1.1 Обоснование выбора программных средств 28
3.2 Модуль хранения сетевого трафика 31
3.2.1 Обоснование выбора программных средств 32
3.3 Модуль анализа и отображения 35
3.3.1 Аналитика сетевого трафика 36
3.3.1.1 Анализ временных интервалов между пакетами 36
3.3.1.2 Анализ частоты запросов по ip-адресам 38
3.3.2 Обоснование выбора программных средств 39
3.4 Вывод по главе 3 40
ЗАКЛЮЧЕНИЕ 41
СПИСОК СОКРАЩЕНИЙ 42
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ 43
ПРИЛОЖЕНИЕ А 46
ПРИЛОЖЕНИЕ Б
Стремительная популяризация и, соответственно, развитие сетей значительно усложнили вычислительные системы и сделали их связанными относительно друг друга, следовательно, менее защищенными от вредоносной деятельности. Рост уровня автоматизации процессов обработки, хранения и передачи информации также сказывается на возникновении проблем по обеспечению безопасности, а расходы на покрытие убытков от деятельности злоумышленников постоянно увеличиваются [10].
Стоит отметить, что складывается устойчивая тенденция к увеличению количества атак на вычислительные системы и сети [5]: способы и методики удаленного воздействия постоянно совершенствуются, а существующие системы защиты не позволяют своевременно реагировать на изменения в этой сфере, потому что сначала нужно обнаружить, а затем и изучить сетевую атаку. Из-за этого нет возможности полностью исключить вредоносный трафик. Эти обстоятельства придают большое значение вопросам выработки эффективных методик обнаружения несанкционированного трафика и разработки актуальных средств защиты информации.
Актуальность выбранной темы обусловлена тем, что на текущий момент активно разрабатываются и применяются различные методы по обнаружению и предотвращению вторжений, но они не всегда являются эффективными на практике. Вследствие этого все технологии защиты постоянно изучаются и улучшаются.
Существующие системы объединяет общая черта - защита локальной сети от злоумышленного воздействия извне. В моей работе рассматривается построение аналитики внутреннего трафика таким образом, чтобы на основе нее администратор мог принять решение о принятии своевременных действий и тем самым защитить внешнюю сеть от воздействия из локальной сети. Если распространить такую схему в работе большинства подсетей, то обеспечение безопасности сетевой инфраструктуры выйдет на новый уровень.
В связи с этим целью магистерской диссертации является разработка прототипа системы сбора сетевого трафика для анализа и выявления несанкционированной активности.
В рамках диссертации будут решены следующие задачи:
1) изучение проблемы обеспечения безопасности сети и исследование современных методик анализа сетевого трафика;
2) разработка оптимальной архитектуры системы;
3) создание алгоритмов статистической обработки полученных данных;
4) реализация прототипа программной системы обнаружения вредоносного трафика на основе разработанной архитектуры и алгоритмов
Изучение современных методик анализа сетевого трафика показало, что статистическое исследование трафика провайдера, исходящего из локальной сети во внешнюю сеть на текущий момент активно не используется в системах защиты. Основное направление подобных систем - это мониторинг работоспособности оборудования, нагрузки на каналы; а для локальных сетей - это защита от угроз приходящих из внешней сети.
Разработанная архитектура показала себя достойно в рамках прототипа, но для дальнейшей разработки необходимо исследовать другие базы данных, чтобы подобрать самую оптимальную из них для работы в заданных условиях, и продумать архитектуру хранящихся в ней данных.
Созданные алгоритмы статистической обработки являются первым приближением для серьезной аналитики. В будущем следует учесть, что получаемые данные имеют большой объем, добавить оптимизацию, а также проконсультироваться с предполагаемыми пользователями системы, чтобы реализовать актуальные для их нужд алгоритмы исследования трафика.
В рамках магистерской диссертации был разработан прототип системы анализа трафика, который решает следующие задачи:
- обрабатывает дамп трафика;
- преобразует и сохраняет сетевые пакеты в базу данных;
- отображает разработанную нами аналитику.
Предполагаемый эффект, в случае применения подобных систем у большого числа провайдеров, выглядит перспективным. Стоит учитывать, что назначение системы не защита трафика, а анализ большого потока и выявление возможных статистически некорректных случаев, на основе которых провайдер может принять решение о выполнении каких-нибудь противоборствующих действий.
