Алгоритм генетико-конкурентного обучения сети Кохонена для обнаружения аномальных сетевых соединений в автоматизированных системах управления и решения задач информационной безопасности
Информационная безопасность Сетевой трафик Сетевая аномалия Шаблон нормального поведения Сеть Кохонена
По способу интерпретации входных данных методы обнаружения сетевых атак (вторжений) классифицируются на методы обнаружения аномалий и методы обнаружения злоупотреблений.
Существуют различные методы обнаружения сетевых атак, так один из методов обнаружения предполагает, что злоумышленник может быть обнаружен посредством анализа содержимого журнала аудита контролируемой системы и наличием отклонений, извлеченных из него записей от установленных администратором. Другой метод предлагает рассмотреть статистическую модель, состоящую из шести компонент: субъекты (пользователь, процесс, система), объекты (файлы, программы, команды, устройства), записи журнала аудита, представляющие собой результат действия субъектов над объектами, шаблоны поведения субъектов, записи, генерируемые при обнаружении аномального поведения, и правила, задающие условия их срабатывания и последующие действия.
Алгоритм обнаружения сетевых аномалий может быть описан следующим образом. Данными для анализа является сетевой трафик, представленный как набор сетевых пакетов, в общем случае фрагментированных на уровне IP. Собранные сырые данные в дальнейшем послужат источником при формировании необходимой информации для последующего анализа. Так, полученные данные могут быть агрегированы за определенный временной интервал и нормализованы с целью задания признаковых атрибутов общего вида, которые потребуются при построении текущего профиля активности. Созданный набор признаков сравнивается с набором характеристик нормальной деятельности объекта (пользователя или системы) –– шаблоном нормального поведения. Если наблюдается существенное расхождение сравниваемых параметров, то фиксируется сетевая аномалия. В противном случае принимается решение о том, что данные характеристики трафика относятся к нормальному поведению. Добавление и изменение шаблонов нормального поведения может осуществляться как в ручном режиме, так и автоматически, причем некоторые параметры, задающие настройки текущего нормального профиля сетевой активности, могут изменяться в зависимости от времени суток.
Описанный алгоритм может включать несколько вариантов исполнения для реализации подсистемы проверки на соответствие шаблону нормального поведения. Простейшим из них является процедура сравнения с пороговой величиной, когда накопленные результаты, описывающие текущую сетевую активность, сравниваются с экспертно заданной числовой планкой. В этом подходе случай превышения значений рассматриваемых параметров указанной границы является признаком сетевой аномалии.
Стоит отметить, что построение шаблона нормального поведения является трудоемкой задачей и зачастую не всегда выполнимой. Так, на практике оказывается, что не каждое аномальное поведение является атакой. К примеру, администратор сети может применять отладочные утилиты, такие как ping, traceroute, mtr, для диагностики сетевого окружения. Действия подобного рода не преследуют каких-либо нелегальных умыслов, однако системы обнаружения аномалий распознают эту деятельность как свойственную нелегитимной сетевой активности.
Обнаружение злоупотреблений позволяет идентифицировать несанкционированные действия, если имеется их точное представление в виде шаблонов атак. Здесь под шаблоном атаки понимается некоторая совокупность явно описывающих конкретную атаку действий (к примеру правил сопоставления, или вывода), применение которых к полям идентифицируемого объекта позволяет получить однозначный ответ о его принадлежности к этой атаке. Как и в схеме обнаружения сетевых аномалий, при обнаружении злоупотреблений в сети (рисунок 2) первичными данными для анализа является сетевой трафик. Выделенные атрибуты сетевых пакетов передаются в модуль, который выполняет поиск и проверку на соответствие входных данных правилам и оповещает о наличии угрозы в случае положительного срабатывания одного из этих правил. Ключевой проблемой при создании любой системы обнаружения злоупотреблений является вопрос об эффективном проектировании механизма задания правил. На практике создание исчерпывающей базы правил для выявления всевозможных атак является невозможным, поскольку описание различных вариаций атакующих действий может негативно отражаться на производительности системы. Даже несущественные изменения в атаке приводят к невозможности ее обнаружения методами на основе злоупотреблений, поэтому задаваемые правила должны быть универсальными и покрывать как можно большее число известных модификаций сетевых атак. Тем самым методы обнаружения злоупотреблений являются эффективным инструментом для выявления известных типов атак, однако их применимость по отношению к новым атакам, а также к модификациям известных атак является безрезультативной.

В данном случае в качестве внутреннего представления иммунных детекторов были выбраны сети Кохонена (самоорганизующиеся карты). Такие сети представляют собой двухуровневые структуры, в которых входные сигналы, распределенные на внешний слой сети, сравниваются с весами нейронов выходного слоя. Как правило, нейроны выходного слоя организуются таким образом, чтобы они формировали прямоугольную решетку размером  . Для сетей Кохонена характерны обучение без учителя и классификация на основе соотнесения объектов к определенным областям на выходной решетке. После обучения сети в случае близкого соответствия входного вектора и весового вектора нейрона на выходной решетке первый вектор попадает в кластер, который образован этим нейроном и его окружением. Для интеграции сетей Кохонена в иммунную модель AISEA был разработан модифицированный алгоритм конкурентного обучения сети Кохонена, дополненный введением генетических операторов для скрещивания и мутации весовых коэффициентов отдельных нейронов на выходном слое сети.
Безопасность сетевого трафика от взлома
Дмитрий
Михайлов
Михайлович
Научный руководитель
Кандидат технических наук
Доцент
нет
нет
РОССИЯ
Аркадий
Заикин
Анатольевич
Генеральный директор
РОССИЯ
50.43.19
Системы автоматического контроля функционирования сложных систем
02.02.IQ
ENGINEERING, ELECTRICAL & ELECTRONIC
Наталья
Золотых
Михайловна
РОССИЯ
Анастасия
Хохлова
Дмитриевна
РОССИЯ
ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ УЧРЕЖДЕНИЕ "ФОНД СОДЕЙСТВИЯ РАЗВИТИЮ МАЛЫХ ФОРМ ПРЕДПРИЯТИЙ В НАУЧНО-ТЕХНИЧЕСКОЙ СФЕРЕ"
1027739479734
СЕРГЕЙ
ПОЛЯКОВ
ГЕННАДЬЕВИЧ
Организация
Федеральное государственное бюджетное учреждение "Фонд содействия развитию малых форм предприятий в научно-технической сфере"
Федеральные государственные бюджетные учреждения
ООО "АСП ЛАБС"
ОБЩЕСТВО С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ "АСП ЛАБС"
1157746436044
АРКАДИЙ
ЗАИКИН
АНАТОЛЬЕВИЧ
Организация
Организации, учрежденные юридическими лицами или гражданами, или юридическими лицами и гражданами совместно
Общества с ограниченной ответственностью