ВВЕДЕНИЕ 4
Глава 1. Теоретические основы функционирования систем обнаружения вторжений 7
1.1. Системы обнаружения вторжений 7
1.2. Классификация систем обнаружения вторжений 8
1.3. Архитектура систем обнаружения вторжений 9
1.4. Технологии построения систем обнаружения вторжений 11
1.5. Слабые стороны систем обнаружения вторжений 13
1.6. Обзор существующих решений для задачи обнаружения вторжений 14
Глава 2. Методы машинного обучения в задаче обнаружения вторжений .... 17
2.1. Исследование методов, применимых к решению задачи обнаружения
вторжений 17
2.1. Описание алгоритмов машинного обучения, реализуемых в рамках
выпускной квалификационной работы 18
Глава 3. Реализация прототипа системы обнаружения вторжений на основе методов машинного обучения 25
3.1. Архитектура прототипа системы обнаружения вторжений 25
3.2. Реализация подсистемы сбора и управления данными 27
3.2.1. Описание данных 27
3.2.2. Реализация компоненты предобработки данных 31
3.3. Реализация подсистемы анализа данных 32
3.4. Реализация подсистемы представления данных 37
Глава 4. Эксплуатация прототипа и исследование его эффективности 44
4.1. Проведение экспериментов и оценка эффективности прототипа 44
4.3. Эксплуатация прототипа на удаленном узле 49
4.4. Вывод о применимости исследованных методов машинного обучения для
задачи обнаружения вторжений 51
ЗАКЛЮЧЕНИЕ 52
СПИСОК ЛИТЕРАТУРЫ 54
ПРИЛОЖЕНИЕ 57
Повсеместная интеграция информационных технологий в человеческий мир приводит к острой необходимости решения задач, связанных с защитой обрабатываемой информации. В свою очередь Интернет, одна из главных составляющих информационных технологий, как система, объединяющая огромное множество компьютерных сетей воедино и позволяющая обмениваться информацией, хранить ее и обрабатывать, является наиболее уязвимым местом. Так, из-за постоянного увеличения потока сетевого трафика и его значимости для предоставления повсеместных услуг в сети кибератаки ставят под угрозу главные принципы информационной безопасности: конфиденциальность, доступность, целостность. Поэтому перед специалистами могут быть поставлены следующие задачи [1]:
— диагностика работы сети, подключаемых серверов, программного обеспечения (ПО);
— защита ресурсов от несанкционированной деятельности злоумышленников, целью которых является нарушение конфиденциальности, целостности и доступности информации. Поскольку сфера информационных технологий и Интернет, как ее часть,
развивается довольно стремительно, становятся высокими риски совершения ранее не обнаруженных атак, которые во избежание получения ущерба необходимо выявлять своевременно. К сожалению, скорость разработки и реализации средств защиты от несанкционированных действий злоумышленников несопоставима со скоростью появления новых уязвимостей и угроз в сети. Для обеспечения информационной безопасности необходимо принятие совокупности мер, связанных как с техническими составляющими, так и организационными, поскольку обычные пользователи сети интернет зачастую сами являются виновниками совершения кибератак (использование нелицензионного ПО, отказ от обновления базы сигнатур антивируса, переход по сомнительным ссылкам).
Другая проблема программных средств защиты информации заключается в используемых методах: современное программное обеспечение нацелено на обнаружение и устранение только определенных видов атак, зачастую в виде не одного программного продукта, а нескольких независимых, что в некоторых случаях может привести к конфликтным ситуациям. К тому же современные антивирусы и системы обнаружения вторжений (IDS) на основе сигнатурных методов требуют постоянного обновления базы данных известных атак и вирусов. К сожалению, такие программы не способны реагировать на модификации существующих кибератак, поэтому достаточно незначительного изменения в их структуре для обхода средств защиты. Несмотря на огромное количество доступного миру ПО в сфере информационной безопасности актуальна задача поиска более эффективных альтернатив, способных в перспективе к выявлению новых, ранее неизвестных атак и вторжений.
Так, в настоящее время высокий научный интерес представляет исследование алгоритмов машинного обучения для задачи обнаружения сетевых вторжений. Алгоритмы машинного обучения и методы интеллектуального анализа данных показывают хорошие результаты при решении многих нетривиальных задач (фильтрация спама, распознавание образов по изображению, распознавание речи, искусственный интеллект), поэтому становится все сложнее представить многие процессы без их применения. Однако в сфере информационной безопасности, в частности в задаче обнаружения вторжений, использование таких алгоритмов не развито, а ограничено областью теоретических знаний без повсеместного внедрения. Главной причиной тому является количество ложных срабатываний, обусловленное высокой сложностью проектирования системы.
Цель данной выпускной квалификационной работы - разработать модель системы обнаружения вторжений, аналитическая компонента которой построена на основе методов машинного обучения. Для достижения данной цели были поставлены следующие задачи:
— исследование технологий машинного обучения, применимых в задаче обнаружения вторжений;
— проектирование архитектуры прототипа системы обнаружения вторжений;
— сбор и обработка данных для проведения обучения и тестирования;
— реализация аналитической компоненты, в основе которой лежат методы машинного обучения;
— экспериментальное исследование применимости рассмотренных алгоритмов и оценка их эффективности в задаче обнаружения вторжений.
В результате выпускной квалификационной работы был создан прототип системы обнаружения вторжений, аналитическая составляющая которого основана на применении методов машинного обучения. Оценка эффективности разработанной модели свидетельствует о том, что методы машинного обучения для решения задач информационной безопасности, в частности для решения задачи обнаружения вторжений, являются перспективным направлением для внедрения и реального использования, однако требуют дополнительных научных исследований в области подбора хороших обучающих данных и параметров.
В ходе разработки прототипа были решены следующие задачи:
— исследование технологий, применяющихся в задаче обнаружения вторжений. В результате чего были подобраны наиболее перспективные методы машинного обучения;
— разработка архитектуры прототипа системы обнаружения вторжений, основанной на принципе модульности, главное преимущество которого в возможности реализации различных компонент ПО как отдельных независимых программ, что положительно сказывается на отладке;
— сбор и предобработка данных для обучения: с этой целью был использован набор данных UNSW NB15, разработанный на основе необработанных сетевых пакетов. Для предварительной обработки данных был разработан ряд методов, кодирующих строковую информацию, приводящих данные к нормальному виду и так далее;
— реализация компоненты анализа данных, основанной на таких методах машинного обучения, как нейронная сеть, дерево решений, машина опорных векторов;
— тестирование разработанной модели и проведение ряда испытаний с целью оценки эффективности применения методов машинного обучения в задаче обнаружения вторжений;
— анализ полученных результатов и вывод о применимости исследованных методик в рамках решаемой задачи.
Одним из основных этапов настоящей выпускной квалификационной работы был подбор наилучших методов для решения исследуемой задачи. Так, по результатам проведенных испытаний были получены сведения о том, что при анализе сетевого трафика хороши деревья решений и машины опорных векторов, однако лучшие результаты показывают нейронные сети. Стоит отметить, что нейросетевое прогнозирование требует проведения сложных научно-исследовательских экспериментов, связанных с определением наилучших параметров: количества входных и выходных нейронов,
количества скрытых слоев и нейронов на них, параметры сигмоиды, шага обучения, подготовка хорошей обучающей выборки. Экспериментально было выяснено, что сеть с одним скрытым слоем с высокой точностью классифицирует данные, правильный подбор параметров в перспективе способен увеличить точность до максимального уровня. К тому же применение метода главных компонент вкупе с нейронной сетью за счет сокращения анализируемых данных способно увеличивать скорость обработки данных и обучения в среднем приблизительно в 2 раза, что очень важно при построении сложных моделей сети.
Также был проверен факт обнаружения неизвестных атак. Как оказалось, методы машинного обучения действительно способны на это. Наиболее отличительные результаты показала нейронная сеть: в среднем было выявлено 990 неизвестных системе атак из 1000. Это дает весомое преимущество алгоритмам машинного обучения в сравнении с сигнатурными методами.
Таким образом, можно сделать вывод о том, что применение алгоритмов машинного обучения в области информационной безопасности допустимо и имеет хорошие перспективы, но требует дополнительных исследовательских испытаний с целью улучшения результатов классификации.
Помощь студентам и аспирантам в выполнении работ от наших партнеров
