ВВЕДЕНИЕ 4
ГЛАВА 1. ОБЗОР АНОМАЛИИ СЕТЕВОГО ТРАФИКА И СПОСОБЫ ИХ ОБНАРУЖЕНИЯ 5
1.1 Аномалии сетевого трафика 5
1.2 Виды аномалий в сети и техники обнаружений 6
1.3 Современные инструменты для выявления аномалий в сетевом трафике 9
1.4 Обзор известных сетевых СОВ 10
1.5 Базовое устройство ССОВ 13
ГЛАВА 2. ИЗВЕСТНЫЕ ПРОБЛЕМЫ В ОБЛАСТИ ОБНАРУЖЕНИЯ АНОМАЛИЙ СЕТЕВОГО ТРАФИКА 17
2.1 Недостатки и ограничения сетевых систем обнаружения вторжений 17
2.2 Модели сетевого трафика 20
2.2.1 Самоподобные модели 21
2.2.2 Классическая модель 23
2.2.3 Ранние модели 24
2.3 Разбор структуры дампа 28
ГЛАВА 3. ОПИСАНИЕ МЕТОДА ОБНАРУЖЕНИЯ АНОМАЛИЙ, СВОЙСТВА И ОСОБЕННОСТИ. 34
3.1 Обоснование выбора метода 34
3.2 Общие сведения об алгоритме (принцип работы) в составе метода обнаружения аномалий 37
3.3 Алгоритм обнаружения аномалии 39
3.3.1 Логические компоненты и этапы работы 40
3.3.2 Содержание таблиц и теория расчета 43
3.4 Пример расчетов для заполнения таблицы на этапе обучения системы 50
ГЛАВА 4. АНАЛИЗ ПОЛУЧЕННЫХ РЕЗУЛЬТАТОВ И ПРОВЕРКА РАБОТОСПОСОБНОСТИ МЕТОДА 55
4.1 Выбор метода нагрузочного тестирования 55
4.2 Процесс сбора информации и тестовый стенд 58
4.3 Расчеты и графики 61
4.3.1 Тестирование метода для TCP SYN-flood 61
4.3.2 Тестирование метода для UDP - flood 69
ЗАКЛЮЧЕНИЕ 75
СПИСОК ЛИТЕРАТУРЫ 77
Приложение 1 80
Приложение 2 81
Приложение 3
Объектом исследования является сетевой трафик. Предмет исследования - характерные аномалии для сетевого трафика. Актуальность темы в том, что в настоящее время одним из активно востребованных и развивающихся в области обеспечения информационной безопасности является обнаружение атак и предотвращение вторжений злоумышленника в компьютерные сети. Проблема обнаружения аномалии в сетевом трафике стоит остро как никогда.
Значение данной темы для большинство организаций описывается тем, что всё большему числу внутренних и внешних сотрудников для работы необходим доступ в интернет. И если внешние угрозы можно обнаружить еще как то вначале, то внутренние угрозы (например: в случае заражения компьютера вирусом с целью хищения информации или злонамеренная передача информации наружу одним из сотрудников) зачастую обнаружить довольно сложно.
Целью работы заключается в реализации одного из методов позволяющего с достаточной точностью оценить наличие в сетевом трафике аномальных свойств.
Задачами работы являются:
- изучение свойств сетевого трафика;
- изучение методов нахождения аномалий в сети и структуры элементов трафика;
- реализация одного из методов обнаружения аномалий и проверка данного метода.
Обозначенной целью данной работы являлось реализация одного из методов обнаружения аномалий сетевого трафика.
Задачами работы являлись:
- изучение свойств сетевого трафика;
- изучение методов нахождения аномалий в сети и структуры элементов трафика;
- реализация одного из методов обнаружения аномалий и проверка данного метода.
Можно сказать, что поставленная цель в начале работы осуществлена и задачи были выполнены.
Во время работы были исследованы свойства сетевого трафика, методы нахождения аномалий в сети и структуры элементов трафика. Оказалось, что невзирая на огромное количество имеющихся исследований в данной области проблема никак не утратила актуальности, а у имеющихся решений до сих пор имеется несколько значительных недочетов. Таким образом в процессе изучения были выявлены несколько фактов и закономерностей.
Мною был реализован метод, опирающий на подсчет параметра Херста в качестве цифрового значения с целью обозначения нормальности или аномальности сетевого трафика. Представленный мной метод нацелен на работу в составе поведенческих систем обнаружения аномалий.
Значимым заключением стало то, что расчет показателя херста с целью небольших выборок количественных показателей способен, с моей точки зрения при соблюдения неких условий, принятых в алгоритме, описанные в третьей главе, отображать состояние сетевого трафика.
Имеется ряд способов подсчета параметра Херста. Принимая во внимание достаточно небольшой период, отведенный на выполнение работы, я ограничилась R/S - анализом, несмотря на то, что общеизвестно, что он предоставляет только лишь приближенное значение показателя Херста. В рамках будущей работы допустимо изучение применимости иного, наиболее точного способа - кратно масштабного вейвлет - анализа.
Интересным заключением в процессе тестирования метода стало и то, что результаты работы алгоритма, разработанные мной, сильно зависят от не скольких факторов, к примеру от типа сетевого трафика. Таким образом, можно сказать, что заложенные в метод идеи дали возможность установить атаку типа UDP - flood. В то же время с типом атаки TCP SYN-flood результаты не столь наглядны.
Так же в главе посвященной тестированию фрактального метода, было наглядно продемонстрировано отличие в подходах к обнаружению отклонений в сетевом трафике в поведенческих и сигнатурных систем обнаружения вторжений. Однако, общей методики тестирования систем обнаружения вторжений разной природы обнаружения отсутствует, по этой причине данное сравнение осит лишь демонстрационный характер.
В совокупности подводя результаты, можно отметить то, что установленная цель - реализация одного из методов обнаружения аномалий в сетевом трафике - достигнута. Способ и алгоритм в составе метода показали вероятность отображать состояние сетевого трафика, не избегая, однако, слабых мест, свойственных практически всем поведенческим систем обнаружения вторжений.
В качестве будущей работы можно обозначить изучение возможности кратно масштабного вейвлет-анализа для подсчета параметра Херста, работа над более точным обнаружением аномалий в сетевом трафике.
