Исследование профилей сетевого трафика приложений
ВВЕДЕНИЕ
Основной характеристикой интернет-трафика, которая показывает состав и соотношение используемых протоколов и пользовательских сервисов, является профиль трафика (traffic profile). Под профилем трафика понимается состав и соотношение используемых протоколов модели OSI определенного уровня и абсолютное значение входящего и исходящего трафика. Как правило, при использовании термина профиль трафика подразумевается распределение данных протоколов седьмого уровня модели OSI относительно общего объема трафика. Но в отдельных случаях целесообразно рассматривать профиль трафика на транспортном уровне модели OSI. Тогда профиль трафика показывает соотношение основных транспортных протоколов TCP и UDP в общем абонентском трафике. Как правило, среднее соотношение этих протоколов 95% на 5% для среднестатистического интернет-пользователя. Раньше детальный анализ абонентского трафика на прикладном уровне был сильно затруднен, так как у операторов связи не было достаточно мощных инструментов для анализа всего абонентского трафика в режиме реального времени. Обычно для получения статистических данных и профиля абонентского трафика используют технологию DPI (Deep Packet Inspection) на граничных маршрутизаторах, которая подразумевает "глубокий" анализ трафика. Использование технологии DPI позволяет анализировать и получать статистику по трафику не только на сетевом и транспортном уровнях модели OSI (IP и ТСР/UDP-протоколы), но и на прикладном уровне с детальным разбором пакетов прикладного протокола.
СОДЕРЖАНИЕ
Определения, обозначения и сокращения 7
Введение 8
1 Анализ распознавания сетевых атак на профиле сетевого трафика 11
1.1 Классификация угроз в информационных системах 11
1.2 Стадии реализации угроз в информационных системах 12
1.3 Особенности передачи сетевого трафика 13
1.3.1 Требования к разбору сетевого трафика 16
1.3.2 Проблема обнаружения аномалий на сетевом трафике 18
1.4 Методы обнаружения сетевых атак 20
1.4.1 Статистический анализ 21
1.4.2 Экспертные системы 21
1.4.3 Искусственные нейронные сети 21
1.5 Системы обнаружения и предотвращения вторжений 22
1.5.1 Свойства систем обнаружения и предотвращения вторжений 22
1.5.2 Функциональное наполнение СОВ 25
2 Разработка модели системы обнаружения аномалий на сетевом трафике 27
2.1 Особенности использования ИНС в анализе сетевых атак 27
2.2 Формализация задачи обнаружения аномальных запросов 31
2.2 Экземпляры аномальных и не аномальных запросов 32
2.3 Оценка влияния атрибутов на конечный результат 35
3 Проектирование и программная реализация системы 36
3.1 Описание программного продукта 36
3.2 Структурная схема сети 37
3.3 Диаграмма вариантов использования 39
3.3 Диаграмма классов 42
3.4 Разработка логической модели данных 44
4 Экспериментальные исследования автоматизированной системы 46
4.1 Разработка методики экспериментальных исследований автоматизированной системы 46
4.2 Обработка результатов экспериментальных исследований 47
Заключение 54
Список использованных источников 56
Приложение А 63
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ
1 TCP Metrics Report [Электронный ресурс]/ https://www.tenable.com/sc-report-templates/tcp-metrics-report
2 Thomas, C. Usefulness of DARPA Dataset for Intrusion Detection System Evaluation [Текст]/ C. Thomas, N. Balakrishnan, V. Sharma// Proceedings of SPIE - The International Society for Optical Engineering. – 2008. – C. 256-265.
3 Gu, Q. Denial of Service Attacks [Текст]/ Q. Gu, P. Liu// Handbook of Computer Networks: Distributed Networks, Network Planning, Control, Management, and New Trends and Applications. – 2012. – Vol. 3. – C. 454-468.
4 Lunt, T.F. Automated Audit Trail Analysis and Intrusion Detection: A Survey [Текст]/ T.F., Lunt// Proceedings of the 11th National Security Conference. – 1988. – С. 14.
5 Gordon, E.M. Cramming more components onto integrated circuits [Текст]/ E.M. Gordon// Electronics. – 1965. – Vol. 38. – № 8. – С. 4-5.
6 Deconstructing the Computer: Report of a Symposium [Текст]/ Committee on Deconstructing the Computer, Committee on Measuring and Sustaining the New Economy, Board on Science, Technology, and Economic Policy, Policy and Global Affairs, National Research Council// Washington: National Academies Press. – 2005. – С. 49-50.
7 Таненбаум, Э. Архитектура компьютера [Текст]// Э. Таненбаум. – СПб: Питер, 2010. – C. 43-47.
8 ГОСТ Р 53131-2008. Защита информации. Рекомендации по услугам восстановления после чрезвычайных ситуаций функций и механизмов безопасности информационных и телекоммуникационных технологий. Общие положения [Текст] – Введ. 2009-10-01. – М.: Стандартинформ, 2008. – С. 1-3.
9 Гатчин, Ю.А. Теория информационной безопасности и методология защиты информации [Текст]/ Ю.А. Гатчин, В.В. Сухостат. – СПб.: СПбГУ ИТМО, 2010. – C. 98-100.
10 IETF RFC 768. User Datagram Protocol [Текст] – Введ. 1980-08-28, 1980. – 3 с.
11 IEEE Standard for Ethernet, 802.3-2012 [Текст] – Введ. 2014-07-06. – 53 с.
12 Xiaoming , Z. Reordering of IP Packets in Internet [Текст]/ Z. Xiaoming, P. Van Mieghem// International Workshop on Passive and Active Network Measurement. – 2004. – С. 237-246.
13 Sathiaseelan, A. Improving the performance of TCP in the case of packet reordering [Текст]/ A. Sathiaseelan, T. Radzik// IEEE International Conference on High Speed Networks and Multimedia Communications. – 2004. – С. 63-73.
14 IETF RFC 5246. The Transport Layer Security (TLS) Protocol Version 1.2 [Текст] – Введ. 2008-08-01. – 104 с.
15 Никешин, А. Тестирование реализаций клиента протокола TLS [Текст]/ А. Никешин, Н. Пакулин, В. Шнитман// Труды Института системного программирования РАН. – 2015. – Т. 27. – Вып. 2. – С. 145-160.
16 Moore, A. Architecture of a Network Monitor [Текст]/ A. Moore, J. Hall, C. Kreibich, E. Harris, I. Pratt// International Workshop on Passive and Active Network Measurement. – 2003. – 11 с.
17 Pietro, R. Intrusion Detection Systems [Текст] // R. Pietro – Springer Science + Business Media LTD. – 2008. – 210 с.
18 Long, J. No Tech Hacking: A Guide to Social Engineering, Dumpster Diving, and Shoulder Surfing [Текст]// J. Long. – Syngress Publishing Inc. – 2011. – 281 с.
19 Scarfone, K. Guide to Intrusion Detection and Prevention Systems (IDPS) [Текст]/ K. Scarfone, P. Mell// Computer Security Resource Center (National Institute of Standards and Technology). – 2010. – 127 с.
20 Сетевые атаки и технологии их обнаружения. [Электронный ресурс]/ http://www.inf74.ru/safety/ofitsialno/setevyie-ataki-i-tehnologii-ih- obnaruzheniya/
21 Технологии обнаружения и предотвращения атак. [Электронный ресурс]/ http://www.cnews.ru/reviews/free/security/part8/
22 IDS/IPS - системы обнаружения и предотвращения вторжений и хакерских атак. [Электронный ресурс]/ http://www.altell.ru/solutions/by_technologies/ids
23 Астахов А. Актуальные вопросы выявления сетевых атак [Текст]/ А. Астахов// Jet Info – информационный бюллетень. – 2002. – № 3. – 28 с.
24 Васильев, В. Интеллектуальные системы защиты информации [Текст]/ В. Васильев. – М.: Машиностроение, 2012. – 171 с.
25 Eskin, E. Adaptive Model Generation for Intrusion Detection Systems [Текст]/ E. Eskin, M. Miller, Z. Zhong, G. Yi, W. Lee, S. Stolfo. – Department of Computer Science Columbia University, 2000. – 14 с.
26 Fuchs, C. Implications of Deep Packet Inspection (DPI) Internet Surveillance for Society [Текст]/ C. Fuchs. – Department of Informatics and Media Uppsala University, 2012. – 127 с.
27 Hong, H. Network Traffic Anomaly Detection [Текст]/ H. Hong, H. Al-Azzawi, H. Barani. – New Mexico State University, 2014. – 26 с.
28 Pietro, R. Intrusion Detection Systems [Текст]/ R. Pietro. – Springer Science + Business Media LTD, 2008. – 210 с.
29 Long, J. No Tech Hacking: A Guide to Social Engineering, Dumpster Diving, and Shoulder Surfing [Текст]/ J. Long. – Syngress Publishing Inc, 2011. – 281 с.
30 Scarfone, K. Guide to Intrusion Detection and Prevention Systems (IDPS) [Текст]/ K. Scarfone, P. Mell. – Computer Security Resource Center (National Institute of Standards and Technology), 2010. – 127 с.
31 Roebuck, K. Ips - Intrusion Prevention System [Текст]/ K. Roebuck. – Emereo Pty Limited, 2011. – С. 3-4.
32 Пирогов, В.Ю. Информационные системы и базы данных: организация и проектирование [Текст]: учебное пособие/ В.Ю. Пирогов. – СПб.: БХВ Петербург, 2009. – 528 с.
33 Шаньгин, В.Ф. Защита информации в компьютерных системах и сетях [Текст]/ В.Ф. Шаньгин. – М.: Litres, 2013. – 581 с.
34 IDS/IPS — Системы обнаружения и предотвращения вторжений [Электронный ресурс]/ http://netconfig.ru/server/ids-ips/
35 Mehdi Bahrami, M.B. An overview to Software Architecture in Intrusion Detection System [Текст]/ M.B. Mehdi Bahrami. – International Journal of Soft Computing and Software Engineering. – 2011. – С. 1-8.
36 Gurley, R. Intrusion Detection [Текст]/ R. Gurley. – Bace Sams Publishing, 2000. – С. 107-108.
37 Bhattacharyya, D.K. Network Anomaly Detection: A Machine Learning Perspective [Текст]/ D.K. Bhattacharyy, J.K. Kalita. – CRC Press, 2013. – 191 С.
38 Kazienko, P. Intrusion Detection Systems (IDS) Part 2 - Classification; methods; techniques [Электронный ресурс]/ http://www.windowsecurity.com/articles-tutorials/intrusion_detection/IDS-Part2- Classification-methods-techniques.html .
39 Обзор корпоративных IPS-решений на российском рынке [Электронный ресурс] / http://www.anti- malware.ru/IPS_russian_market_review_2013
40 Denning, D. An Intrusion-Detection Model [Текст]/ D. Denning.// IEEE Transactions on Software Engineering. – 1987. – Vol. SE-13. – № 2. – С. 27-41.
41 Бурлаков, М.Е. Двухклассификационная искусственная иммунная система [Текст]/ М.Е. Бурлаков// Вестник Самарского государственного университета. – 2014. – №7(118). – С. 207-221.
42 Youn, S. A Comparative Study for Email Classification [Текст]/ S. Youn, D. McLeod. – University of Southern California, 2013. – С. 1-5.
43 Kiritchenko, S. Email Classification with Co-Training [Текст]/ S. Kiritchenko, S. Matwin. – CASCON. – 2014. – 29 с.
44 Martin,S. Analyzing Behavioral Features for Email Classification [Текст]/ S. Martin, A. Sewani, B. Nelson. – University of California. – 2013. – 8 с.
45 Awad, W. A. Machine learning methods for spam e-mail classification [Текст]/ W. A. Awad, S. M. ELseuofi// International Journal of Computer Science and Information Technology. – 2012. – № 3. – С. 316-328.
46 Jones, B.B. The Rootkit Arsenal: Escape and Evasion in the Dark Corners of the System [Текст]/ B. B. Jones. – Bartlett Publishers, 2013. – С. 3-4.
47 Витенбург Е.А. Архитектура программного комплекса интеллектуальной поддержки принятия решений при проектировании системы защиты информационной системы предприятия [Текст]/ Е.А. Витенбург// Вестник кибернетики. – 2019. – № 4(36). – С. 46-51.
48 Актуальные киберугрозы: IV квартал 2021 года [Электронный ресурс]/ https://www.ptsecurity.com/ru-ru/research/analytics/cybersecurity-threatscape-2021-q4
49 Толстых, А.А. Выбор архитектуры искусственной нейронной сети для обнаружения утечки информации [Текст]/ А.А. Толстых, А.Р. Ртищев, В.А. Никитенко// Пожарная безопасность: проблемы и перспективы. – 2018. – Т. 1. – № 9. – С. 887-888.
50 Коцыняк, М.А. Управление системой обеспечения безопасности информационно-телекоммуникационной сетью на основе алгоритмов функционирования искусственной нейронной сети [Текст]/ М.А. Коцыняк, М.А. Карпов, О.С. Лаута, В.Е. Дементьев// Известия Тульского государственного университета. Технические науки. – 2020. – № 4. – С. 3-10.
51 Тимочкина, Т.В. Применение нейронных сетей для обнаружения сетевых атак [Текст]/ Т.В. Тимочкина, Т.М. Татарникова, Е.Д. Пойманова// Изв. вузов. Приборостроение. – 2021. – Т. 64. – № 5. – С. 357-363.
52 Симаворян, С.Ж. Обучение нейронной сети в системах информационной безопасности [Текст]/ С.Ж. Симаворян, А.Р. Симонян, Г.А. Попов, Е.И. Улитина// Обозрение прикладной и промышленной математики. – 2021. – Т. 28. – № 2. – 4 с.
53 Иванов, А.Д. Разработка приложения для анализа сетевого трафика и обнаружения сетевых атак [Текст]/ А.Д. Иванов, А.А. Кутищев, Е.Ю. Никитина// Вестник Пермского университета. Математика. Механика. Информатика. – 2021. – № 2 (53). – С. 57-64.
54 Кочетов, Д.А. Нейросетевая технология обнаружения сетевых вторжений [Текст]/ Д.А. Кочетов, Е.П. Лукащик// Прикаспийский журнал: управление и высокие технологии. – 2018. – № 2 (42). – С. 104-112.
55 Симаворян, С.Ж. Процедура выявления вторжений в системах информационной безопасности на основе использования нейронных сетей [Текст]/ С.Ж. Симаворян, А.Р. Симонян, Г.А. Попов, Е.И. Улитина// Программные системы и вычислительные методы. – 2020. – № 3. – 9 с.
56 Симаворян, С.Ж. Общая концепция выявления вторжений неизвестного типа на основе нейронных сетей [Текст]/ С.Ж. Симаворян, А.Р. Симонян, Г.А. Попов, Е.И. Улитина// Программные системы и вычислительные методы. – 2021. – № 4. – С. 23-45.
57 Мельников, П.В. Интеллектуальная система оценки угроз информационной безопасности [Текст]/ П.В. Мельников, Р.А. Ешенко// Вестник науки. – 2020. – Т. 1. – № 6 (27). – С. 179-184.
58 Козин, И.С. Метод обеспечения безопасности информации при её обработке в информационной системе на основе машинного обучения/ И.С. Козин, А.А. Рощин// Техника средств связи. – 2019. – № 4 (148). – С. 70-82.
59 Жук, Р.В. Определение актуальности угроз информационной безопасности в информационных системах обработки персональных данных с использованием математического аппарата нейронных сетей [Текст]/ Р.В. Жук, П.И. Дзьобан, А.В. Власенко// Прикаспийский журнал: управление и высокие технологии. – 2020. – № 1 (49). – С. 169-178.
Вариант использования – внешняя спецификация последовательности действий, которые система или другая сущность могут выполнять в процессе взаимодействия с актерами. Цель спецификации варианта использования заключается в том, чтобы зафиксировать некоторый аспект или фрагмент поведения проектируемой системы без указания особенностей реализации данной функциональности. В этом смысле каждый вариант использования соответствует отдельному сервису, который предоставляет моделируемая система по запросу актера, т. е. определяет один из способов применения системы. Сервис, который инициализируется по запросу актера, должен представлять собой законченную последовательность действий. Это означает, что после того, как система закончит обработку запроса актера, она должна возвратиться в исходное состояние, в котором снова готова к выполнению следующих запросов [70]. На рисунке 5 представлена диаграмма вариантов использования системы. Для начала работы пользователь должен авторизовать в системе. Если у него ранее не была создана учетная запись, тогда необходимо пройти регистрацию. После – создать классификатор, для этого необходимо создать нейросеть и протестировать её. Для создания нейросети необходимо задать параметры нейросети, такие как число внутренних слоёв, число нейронов в них и пороговое значение функции активации. Также необходимо загрузить обучающую выборку и подготовить её набор данных для обработки нейросетью. Также необходимо задать параметры обучения: допустимую ошибку и максимальное число итераций. После обучения сети её необходимо протестировать, для этого необходимо загрузить тестовый набор данных и так же, как и с обучающей выборкой, подготовить к обработке нейросетью.