Модель и методика проектирования адаптивной системы обнаружения компьютерных атак с использованием нейросетевых средств

Актуальность обеспечения информационной безопасности (ИБ) корпоративных сетей обусловлена высокими темпами роста (как качественного, так и количественного) компьютерных атак на локальные вычислительные сети (ЛВС)[1].

К традиционным средствам обеспечения ИБ корпоративных сетей относят антивирусы, детекторы уязвимостей, межсетевые экраны и детекторы вторжений [2, 3]. Функции подобных систем защиты информации (СЗИ) специфичны и решают отдельные задачи обеспечения ИБ корпоративной сети и, как правило, могут быть преодолены при командной работе квалифицированной группы нарушителей [4, 5]. Подобные группы осведомлены о возможностях средств защиты, используемых в корпоративной сети, реагируют на обновления базы уязвимостей широко применяемого программного обеспечения (ПО), публикуемые в специальных изданиях и Интернете, оперативно обмениваются результатами зондирования защиты атакуемой корпоративной сети и гибко изменяют тактику осуществления вторжения.

СЗИ, размещаемые на сетевых узлах, можно представить в виде иерархии уровней защиты, на которых размещены механизмы защиты (МЗ) [6−8]. Подобные СЗИ содержат такие МЗ, как: средства идентификации и аутентификации пользователей системы, антивирусные средства, средства контроля сетевого трафика [3]. Каждый из уровней защиты успешно нейтрализует известные угрозы безопасности системы, однако оказывается малоэффективным при расширении поля угроз или обнаружении новых уязвимостей системы. Кроме того, слабое взаимодействие уровней защиты не позволяет успешно противостоять комбинированным компьютерным атакам.

Информационная безопасность ЛВС все в большей степени обеспечивается за счет включения интеллектуальных средств в состав систем обнаружения компьютерных атак (СОА) [9 — 16]. Придание механизмам защиты СОА таких качеств, как адаптивность и самоорганизация, свидетельствует о новом этапе в развитии СЗИ — автоматизации обеспечения информационной безопасности корпоративных сетей.

В работе предлагается задачу автоматизации обеспечения ИБ корпоративной сети от компьютерных атак решать за счет включения интеллектуальных средств в состав СЗИ, а систему обнаружения компьютерных атак организовывать в виде иерархии уровней адаптивной системы защиты [11, 12]. Объединение отдельных механизмов защиты в единый адаптивный комплекс, обладающий сведениями о состоянии защищаемой системы и происходящих в системе процессах, представляется актуальным.

В последнее время для снижения вероятности несанкционированного проникновения в корпоративную сеть используют средства автоматизации управления СЗИ, к которым относят корреляторы событий, системы обновлений, средства ЗА (аутентификации, авторизации и администрирования) и системы управления рисками [17]. Корреляторы событий по результатам анализа системных журналов выделяют признаки атак, системы обновления автоматизируют процедуру оперативного устранения выявленных ошибок и поиска скрытых уязвимостей ПО. Средства ЗА позволяют управлять идентификационной информацией и допуском пользователей к информационным ресурсам, а системы управления рисками — моделировать и оценивать ожидаемый ущерб атаки на корпоративную среду.

Известны примеры применения средств интеллектуальной защиты [15, 16, 18, 19], на которые в меньшей степени влияют тактические приемы нарушителей, т. к. работа подобных средств защиты основана на выявлении в анализируемой информации скрытых закономерностей — интеллектуальном анализе первичных (входных, «сырых») данных. Достоинством интеллектуальных средств защиты является наличие элементов самоорганизации и эволюции, которые используются для оперативных действий в СЗИ по классификации угроз и нейтрализации последствий вторжения.

Общей чертой большинства существующих систем защиты информации является наличие средств идентификации атак (задача классификации) и оперативной реакции на несанкционированные проникновения в корпоративную сеть, а общим недостатком — отсутствие в системах защиты функций накопления и обобщения опыта взаимодействия корпоративной сети с внешней средой и нейтрализацию угроз.

Для успешного решения проблемы автоматизации обеспечения ИБ корпоративной сети необходим комплексный подход и, прежде всего, иерархическая организация СЗИ с применением интеллектуальных средств для автоматической идентификации атак и накопления опыта нейтрализации угроз ИБ корпоративной сети.

При решении задач защиты информации интеллектуальные методы и средства позволяют учитывать профессиональный опыт экспертов ИБ, принимать решения в условиях неполной достоверности и искажения информации, адаптировать СЗИ к изменению угроз.

Решаемая в диссертации научно-техническая проблема — разработка и исследование модели адаптивной системы обнаружения атак в локальных вычислительных сетях на основе интеллектуальных средств и методики проектирования защищенных ЛВС.

Цель диссертационной работы.

Целью диссертационной работы является разработка модели адаптивной системы обнаружения компьютерных атак на ЛВС и методики проектирования защищенных локальных вычислительных сетей, использующих интеллектуальные средства для оперативной и достоверной классификации атак на корпоративную информационную систему.

Задачи исследования.

В диссертационном исследовании решаются следующие задачи: — разработка принципов построения защищенных локальных сетей с использованием адаптивных средств обнаружения компьютерных атак на ЛВС;

— разработка модели адаптивной системы обнаружения компьютерных атак на локальную вычислительную сеть;

— разработка методики проектирования защищенной локальной вычислительной сети от компьютерных атак на базе нейросетевых и нейро-нечетких средств классификации;

— разработка программных средств для моделирования адаптивной системы обнаружения компьютерных атак на ЛВС и поддержки методики проектирования защищенной локальной вычислительной сети.

Объектом исследований являются локальные вычислительные сети и системы обнаружения компьютерных атак на ЛВС, а предметом исследования — адаптивные системы обнаружения атак на ЛВС, а также модели адаптивных систем обнаружения компьютерных атак и методики проектирования систем обнаружения компьютерных атак на ЛВС.

Методы исследований.

Методы исследования, примененные в диссертации, включают в себя методы теории компьютерных сетей и информационной безопасности, теории нечетких множеств, нейронных сетей, математический аппарат линейной алгебры, теории графов, а также моделирование и исследование нейро-нечетких систем обнаружения атак на ЛВС.

Научная новизна исследований.

По результатам исследований в диссертационной работе отражены следующие новые научные результаты:

— сформулированы принципы построения защищенных локальных сетей;

— разработана модель адаптивной системы обнаружения компьютерных атак на локальную вычислительную сеть, отличающаяся применением иерархии адаптивных средств для оперативного распознавания компьютерных атак и накопления опыта обнаружения атак на ЛВС;

— разработана методика проектирования защищенной локальной сети от компьютерных атак, использующая адаптируемые экспертные оценки, системы нечетких продукционных правил, нейросетевые и нейро-нечеткие средства для оперативной и достоверной классификации атак ЛВС.

Практическая значимость.

Практическая значимость полученных результатов состоит в следующем:

— разработаны диалоговые программные средства для поддержки модели адаптивной системы обнаружения компьютерных атак на локальную сеть и методики проектирования защищенной локальной сети;

— разработана методика использования диалоговых программных средств для оптимизации адаптивной системы обнаружения компьютерных атак на ЛВС.

Достоверность основных положений диссертационной работы подтверждается результатами проведенных исследований и компьютерным моделированием. Научные и практические результаты, отраженные в диссертации, использованы при выполнении научно-исследовательских работ, выполненных в НФ СЦПС «СПЕКТР» в период с 2002 по 2006 год, а также при разработке перспективных образцов СЗИ.

Основные положения, выносимые на защиту: а) методика проектирования защищенной локальной вычислительной сети от компьютерных атак, использующая экспертные оценки, системы нечетких продукционных правил, нейросетевые и нейро-нечеткие средства для оперативной и достоверной классификации атак на корпоративную информационную системуб) модель адаптивной системы обнаружения компьютерных атак на локальную сеть, отличающаяся применением иерархии адаптивных средств для оперативного распознавания компьютерных атак на корпоративную информационную систему и накопления опыта обнаружения атак на ЛВС.

Апробация работы.

Основные положения диссертационной работы докладывались, обсуждались и нашли одобрение научной общественности на восьми международных, всероссийских конференциях и семинарах.

Публикации.

Результаты работы, полученные в диссертации, нашли отражение в 17 научных работах по теме диссертации.

Внедрение.

Результаты диссертационной работы использованы в научно-исследовательских работах, выполненных в НФ СЦПС «СПЕКТР» для ряда организаций. Результаты также внедрены в учебном процессе СПбГУ ИТМО при подготовке студентов по специальности 75 300 — «Организация и технология защиты информации».

Структура и объем работы.

Диссертация состоит из введения, трех глав, заключения и приложений. Основное содержание изложено на 93 страницах, включая 30 рисунков и графиков, 6 таблиц.

Список литературы

содержит 84 наименования на 8 страницах. Общий объем диссертации — 108 страниц.

Основные результаты.

Основные научные и практические результаты диссертационной работы состоят в следующем.

1) Исходя из анализа источников научно-технической информации сформулированы принципы построения защищенных локальных вычислительных сетей с использованием адаптивных средств для обнаружения компьютерных атак на ЛВС.

2) Предложена методика проектирования защищенной локальной вычислительной сети от компьютерных атак:

— использующая экспертные оценки, системы нечетких продукционных правил, нейросетевые и нейро-нечеткие средства для оперативной и достоверной классификации атак на корпоративную информационную систему;

— отличающаяся применением иерархии адаптивных средств для оперативного распознавания компьютерных атак и накопления опыта обнаружения атак на ЛВС;

— обладающая полезностью вследствие адаптации системы обнаружения атак на ЛВС к изменению перечня уязвимостей и угроз, способностью к обучению и накоплению опыта в информационных полях, образованных системой взвешенных межнейронных связей нейронных и нейро-нечетких сетей.

3) Разработана модель адаптивной системы обнаружения атак на ЛВС, использующая нейронные и нейро-нечеткие средства для обеспечения адаптации к изменению уязвимостей локальных вычислительных сетей и угроз, основным достоинством которой являются динамическая коррекция адаптивной системы обнаружения атак при изменении характера компьютерных атак и выявлении ранее неизвестных уязвимостей.

4) Разработаны программные модели нейросетевых средств обнаружения атак на локальные вычислительные сети, а также диалоговые программные средства для поддержки модели адаптивной системы обнаружения компьютерных атак на локальную вычислительную сеть и методики проектирования защищенной локальной сети.

ЗАКЛЮЧЕНИЕ

.

Результатом диссертационной работы является решение научно-технической задачи разработки и исследования модели адаптивной системы обнаружения компьютерных атак на ЛВС и методики проектирования защищенных локальных вычислительных сетей, использующих интеллектуальные средства для оперативной и достоверной классификации атак на корпоративную информационную систему.