Разработка математической модели информационного обмена в локальной вычислительной сети для реализации средств и метода сетевой защиты информации

В последние годы обнаружение и предотвращение сетевых атак стало неотъемлемой частью любой информационной системы. В локальных вычислительных сетях, имеющих доступ к сети Internet, вопрос сетевой безопасности стоит особенно остро.

При использовании современных компьютерных технологий несанкционированный доступ к информации становится возможным после удачного осуществления компьютерных сетевых атак.

В настоящее время интенсивное появление и разрастание информационного пространства приводит к появлению необходимости не только несанкционированно поделить это пространство, но и контролировать и управлять протекающими в нем процессами. Для этого используется, так называемое, информационное оружие, которое представляет собой средства уничтожения, искажения или хищения информацииограничения санкционированного допуска пользователейсредства преодоления систем сетевой защитысредства организации отказов в обслуживании технических средств, компьютерных систем. Обороноспособность от такого атакующего информационного оружия как компьютерные вирусы, логические бомбы, средства подавления информационного обмена в телекоммуникационных сетях, фальсификации информации в каналах государственного и военного управления, средств нейтрализации тестовых программ, напрямую зависит от правильности и надежности систем сетевой защиты информации, в том числе средств обнаружения и предотвращения сетевых атак.

Использование информации, циркулирующей в глобальных и корпоративных сетях, со временем приобрело высокую степень риска с точки зрения ее несанкционированного раскрытия и модификации.

В большинстве, современные организации, имеющие выход в Internet, не достаточно полно оценивают свою защитную систему, что, в свою очередь, является основной уязвимостью для существующих и реализуемых компьютерных атак. Наибольшее внимание ошибочно уделяется защите от злоумышленников извне, а внутренние угрозы, как более опасные, не рассматриваются. По последним статистическим данным от 70% до 80% всех компьютерных атак происходят внутри организации. Но большинство современных организаций от таких угроз остаются беззащитными.

Большинство преодолений средств защиты, таких как системы аутентификации, межсетевые экраны и т. д., установленных для разграничения доступа к ресурсам корпоративной сети, являются печальной основой мировой статистики по компьютерным преступлениям. С увеличением квалификации злоумышленники становятся более изощренными в разработке и применении методов проникновения обходящих средства сетевой защиты. Они маскируются под авторизованных пользователей, используют промежуточные узлы для сокрытия своего реального местоположения, осуществляют атаки, распределенные во времени от нескольких часов до минут и даже секунд, что не позволяет обнаружить и предотвратить их стандартными защитными средствами.

Это связано с тем, что подавляющее большинство компьютерных защитных систем построено на классических моделях разграничения доступа, эффективность которых была актуальна с 70-х по 90-е года.

При решении задач, связанных с обеспечением сетевой защиты информации от несанкционированного доступа, в настоящее время используют средства обнаружения и предотвращения сетевых атак. Основными и наиболее перспективными методами, используемыми в разработке и работе таких средств, являются сетевое и хостовое обнаружение сетевых атак на основе статистических и сигнатурных методик.

Таким образом, актуальность темы диссертационной работы обусловлена тем, что в настоящее время средства и методы обнаружения сетевых атак базируются, в основном, на аналитических методиках, позволяющих обнаруживать известные атаки. Методология обнаружения сетевых атак, как система всех тех методов, которые применяются в области защиты информации, представляет собой достаточно разнородные описания как средств и методов, так и системы их применения в теории и на практике.

Анализ публикаций в открытой печати показал разрозненное применение методик обнаружения и предотвращения сетевых атак, не дающее желаемой эффективности средств и методов данной научной области.

Объектом диссертационных исследований являются статистические и сигнатурные методы, применяющиеся в средствах сетевого и хостового обнаружения и предотвращения сетевых атак.

Предметом диссертационных исследований является разработка методики обнаружения и предотвращения сетевых атак, базирующейся на математической модели информационного обмена между узлами в локальной вычислительной сети за счет применения известных и разработанных методик обнаружения враждебных воздействий.

Целыо диссертационной работы является повышение эффективности обнаружения вторжений в компьютерную сеть за счет разработки и реализации математической модели информационного обмена между узлами в локальной вычислительной сети и методики обнаружения сетевых атак.

Научная задача состоит в разработке средств и методов защиты локальной вычислительной сети для повышения вероятности обнаружения сетевых атак.

Для решения поставленной общей научной задачи проведена ее декомпозиция на ряд следующих частных задач.

1. Разработка математической модели, на основе которой возможно рассмотрение обнаружения сетевых атак в формализованном представлении.

2. Разработка способа обнаружения сетевых атак, совместно использующего статистический и сигнатурный методы обнаружения вторжений.

3. Разработка устройства и программной системы для обнаружения известных и неизвестных ранее сетевых атак.

4. Разработка методики обнаружения сетевых атак, повышающей процент обнаружения враждебных воздействий.

5. Проведение сравнительного анализа выявления вторжений в компьютерную сеть с помощью разработанных средств обнаружения сетевых атак по отношению к известным.

Методы исследования. При решении поставленных в диссертационной работе задач использованы методы теории вероятностей и математической статистики, теории нейронных сетей, теории математического моделирования, теории информации, теории вычислительных систем и сетей.

Научная новизна работы заключается в разработке новых средств и метода обнаружения сетевых атак, базирующихся на разработанной к математической модели информационного обмена в локальной вычислительной сети и применении нейронных сетей прямого распространения, Кохонена, классификаторах Карпентера-Гроссберга и сигнатурного анализатора, сочетании сигнатурных и статистических методов, что в результате позволяет выявлять известные и неизвестные сетевые атаки и повысить процент обнаружения атак, не повышая процент ложных срабатываний.

Достоверность и обоснованность полученных в диссертационной работе результатов обеспечивается строгостью математических выкладок, схожими результатами проводимых экспериментов в данной области, разработкой действующей программы, на которую получено свидетельство о регистрации программы для ЭВМ № 2 007 610 367, разработанным устройством, на которое подана заявка на изобретение № 2 006 137 745/20(41 073). Справедливость выводов, относительно эффективности, подтверждается строгостью методики оценки и практическими опытами.

Практическая значимость и внедрение результатов заключается в следующем.

1. Разработанная математическая модель информационного обмена в локальной вычислительной сети может использоваться в науке и технике при разработке методик, способов, программных и аппаратных средств обнаружения и предотвращения сетевых атак. Эта модель также может * применяться при разработке и использовании систем сетевой защиты информации.

2. Предложенный способ обнаружения сетевых атак сигнатурными и статистическими методами может применяться при разработке и усовершенствовании систем защиты информации.

3. Предложенная методика тестирования и определения надежности программного средства обнаружения атак может применяться сотрудниками подразделений по защите информации для определения качества используемых или разрабатываемых средств сетевой защиты. к 4. Разработанные модель, способ, методика, средства и результаты исследований используются в процессе разработки системы сетевой защиты финансового управления администрации Шпаковского муниципального района Ставропольского края и в учебном процессе кафедры защиты информации СевКавГТУ при изучении дисциплины «Теоретические основы компьютерной безопасности».

Основные научные результаты, выносимые на защиту.

1. Математическая модель информационного обмена между узлами в локальной вычислительной сети, позволяющая однозначно определить формализовано представленные параметры и характеристики сетевых пакетов, необходимые для обнаружения сетевых атак.

2. Способ обнаружения вторжений, позволяющий определять как известные, так и неизвестные сетевые атаки, основанный на выявлении сетевых атак сигнатурными и статистическими методами.

3. Устройство и программное средство обнаружения вторжений, позволяющие применять разработанный способ и математическую модель информационного обмена между узлами в локальной вычислительной сети для выявления сетевых атак.

4. Методика обнаружения сетевых атак, использующая разработанные устройство и программное средство обнаружения сетевых атак, повышающая эффективность обнаружения вторжений в локальную вычислительную сеть.

5. Результаты сравнительного анализа выявления вторжений в компьютерную сеть с помощью разработанных и известных средств обнаружения сетевых атак.

Публикации.

По теме диссертации опубликовано 5 научных статей и 5 тезисов докладов- 1 статья опубликована в журнале «Известия ТРТУ», входящем в перечень, рекомендованный ВАК РФ для публикации результатов докторских диссертационных работ.

Апробация работы.

Основные положения и результаты диссертационной работы докладывались и обсуждались на:

1. Международной конференции «Инфокоммуникационные технологии в науке, производстве и образовании» (Инфоком -2), Ставрополь, 2006;

2. Международной научно-практической конференции «Информационные системы, технологии и модели управления производством», Ставрополь, 2005;

3. Научно-технической конференции «Вузовская наука — СевероКавказскому региону», Ставрополь, 2005;

4. Научно-практической конференции «Совершенствование методов управления социально-экономическими процессами и их правовое регулирование», Ставрополь, 2005;

5. Научно-технической конференции «Вузовская наука — СевероКавказскому региону», Ставрополь, 2005;

6. Международной научно-практической конференции «Информационная безопасность», Таганрог, 2006.

Выводы.

1. В данной главе проведен сравнительный анализ и формализация существующих методик тестирования средств сетевой защиты. Показано, что существующие методики тестирования полностью не охватывают всех желаемых параметров тестирования. Данный недостаток устранен и предложена формальная методика тестирования СОА, представленная в виде попытки обхода процедур обнаружения и предотвращения сетевых атак. Т. е. каждой процедуре ОПСА ставится в соответствие процедура обхода. Показано множество таких соответствий.

2. Разработана методика тестирования устройства автоматического обнаружения атак. Обосновано и показано, что при использовании методики, результатом является, так называемая, высокая «выживаемость» узлов ЛВС.

3. Определена надёжность и производительность программного средства обнаружения атак. Показано, что при общем числе наблюдаемых событий в количестве 70 и 3-х отказах значение функции надежности по методу Каплана-Мейера не менее 0,947 131, а при общем числе событий 10 и 1-м отказе значение функции надежности не менее 0,888 889.

4. Приведено программно-аппаратное обеспечение используемое в экпериментах. Представлена общая схема ЛВС для тестирования и то, что ее применение для тестирования удовлетворяет поставленным требованиям полноты тестирования СОА.

5. Предложено и обосновано использование разработанной поэтапной процедуры тестирования.

Основываясь на поставленных задачах исследования и разработанных методиках, моделях и способах тестирования, рассмотренного в данной главе, возможна и предложена практическая реализация разработанных способа, методики и модели.

Заключение

.

В диссертации проведена работа, заключающаяся в разработке методики и способа обнаружения сетевых атак, основанных на математической модели информационного обмена в локальной вычислительной сети с одновременным применением статистических и сигнатурных методов. В результате этих исследований получены следующие научные и практические результаты.

1. Разработана математическая модель информационного обмена между узлами в локальной вычислительной сети, в которой представлены сообщения, передаваемые в ЛВС, вероятности их передачи, состояния узлов, статистические и сигнатурные параметры, позволяющая рассматривать процесс обнаружения сетевых атак, использующий такую формализацию.

2. Разработан способ обнаружения сетевых атак, позволяющий обнаруживать как известные, так и не известные ранее сетевые атаки, основанный на обнаружении сетевых атак сигнатурными и статистическими методами, использующими нейросети прямого распространения, сеть Кохонена, сеть теории адаптивного резонанса и сигнатурный анализатор.

3. Разработаны устройство обнаружения сетевых атак в виде функциональных схем, на которое подана заявка на изобретение № 2 006 137 745/20(41 073) и программное средство обнаружения вторжений, на которое получено свидетельство о регистрации в Роспатенте, позволяющие выявлять известные и неизвестные ранее сетевые атаки.

4. Разработана методика обнаружения сетевых атак, использующая разработанный способ, устройство и программное средство обнаружения сетевых атак для выявления вторжений в локальную вычислительную сеть, повышающая эффективность обнаружения аномалий и злоупотреблений.

5. Проведен сравнительный анализ надежности обнаружения сетевых атак по методу Каплана-Майера, позволяющий оценить процент выявления атак на любом количестве временных интервалов наблюдения.

Разработанные модель, способ, методики и результаты исследований могут быть применены при разработке и тестировании средств и методов обнаружения и предотвращения сетевых атак, разработке способов и методов улучшения качества обнаружения и предотвращения сетевых атак, использовании аппарата нейросетей для исследований в области сетевой безопасности.

Разработанные модели, способы, методики и результаты исследований внедрены в процесс разработки системы сетевой защиты финансового управления администрации Шпаковского муниципального района Ставропольского края и в учебный процесс кафедры защиты информации СевКавГТУ при изучении дисциплины «Теоретические основы компьютерной безопасности».