Моделі та методи забезпечення якості обслуговування у захищених комп’ютерних мережах

Размещено на http://www.allbest.ru/

НАЦІОНАЛЬНИЙ АВІАЦІЙНИЙ УНІВЕРСИТЕТ

УДК 004.738 (043.3)

МОДЕЛІ ТА МЕТОДИ ЗАБЕЗПЕЧЕННЯ ЯКОСТІ ОБСЛУГОВУВАННЯ У ЗАХИЩЕНИХ комп'ютерних мережАХ

05.13.05 - комп'ютерні системи та компоненти

Автореферат

дисертації на здобуття наукового ступеня

кандидата технічних наук

Милокум Яна Валеріївна

Київ - 2009



Дисертацією є рукопис.

Робота виконана в Національному авіаційному університеті Міністерства освіти і науки України.

Науковий керівник: кандидат технічних наук, доцент Гузій Микола Миколайович, Національний авіаційний університет, завідувач кафедри комп'ютерних систем та мереж.

Офіційні опоненти: доктор технічних наук, професор Баранов Володимир Леонідович, Інститут проблем моделювання в енергетиці ім. Г.Є. Пухова НАН України, провідний науковий співробітник;

кандидат технічних наук Юрьєв Юрій Миколайович, Державне підприємство «Украерорух» Міністерства транспорту та зв`язку України, начальник відділу науково-дослідних робіт з АТМ.

Захист відбудеться "12" грудня 2009 р. о 12 годині на засіданні спеціалізованої вченої ради Д 26.062.07 Національного авіаційного університету за адресою: 03680, м. Київ, просп. Космонавта Комарова, 1.

З дисертацією можна ознайомитись у науково-технічній бібліотеці Національного авіаційного університету за адресою: 03680, м. Київ, просп. Космонавта Комарова, 1.

Автореферат розісланий "09" листопада 2009 р.

Вчений секретар

спеціалізованої вченої ради О. П. Мартинова



АНОТАЦІЯ

Милокум Я.В. Моделі та методи забезпечення якості обслуговування у захищених комп'ютерних мережах. - Рукопис.

Дисертація на здобуття вченого ступеня кандидата технічних наук за фахом 05.13.05. - Комп'ютерні системи і компоненти. Національний авіаційний університет. Київ, 2009.

Дисертація присвячена підвищенню якості обслуговування в захищених комп'ютерних мережах. Мета роботи полягає в розробці моделей і методів підвищення якості обслуговування, надійності функціонування захищених комп'ютерних мереж. Поставлені і вирішені задачі аналізу моделей і методів моніторингу параметрів трафіку комп'ютерних мереж; аналізу існуючих моделей систем захисту комп'ютерної мережі; розробки моделі інформаційної взаємодії комп'ютерних систем; розробки моделі інформаційного конфлікту в умовах невизначеності; розробки методів з конфліктним управлінням для захисту сегменту мережі; розробки моделі системи виявлення аномалій трафіку в комп'ютерних мережах; розробки багаторівневої системи захисту мережного периметра складеної мережі. Практичне значення отриманих результатів: теоретичні результати і виводи доведені до конкретних алгоритмів і обчислювальних програм; результати теоретичних досліджень характеристик мережі доведені до конкретних аналітичних виражень, по цих вираженнях побудовані відповідні графіки, які зручно використати при аналізі характеристик систем захисту гетерогенних мереж різного масштабу і призначення. Практичне значення мають: модель інформаційної взаємодії комп'ютерних систем; модель інформаційного конфлікту в умовах невизначеності.

Ключові слова: захищена комп'ютерна мережа, конфліктуючі комп'ютерні системи, аномалії трафіку, якість обслуговування.



АННОТАЦИЯ

Милокум Я.В. Модели и методы обеспечения качества обслуживания в защищенных компьютерных сетях. - Рукопись.

Диссертация на соискание ученой степени кандидата технических наук по специальности 05.13.05. - Компьютерные системы и компоненты. Национальный авиационный университет. Киев, 2009.

Диссертация посвящена повышению качества обслуживания в защищенных компьютерных сетях. Цель работы заключается в разработке моделей и методов повышения качества обслуживания, надежности функционирования защищенных компьютерных сетей. Поставлены и решены задачи анализа моделей и методов мониторинга параметров трафика компьютерных сетей; анализа существующих моделей систем защиты компьютерной сети; разработки модели информационного взаимодействия компьютерных систем; разработки модели информационного конфликта в условиях неопределенности; разработки методов конфликтного управления для защиты сегмента сети; разработки модели системы обнаружения аномалий трафика в компьютерных сетях; разработки многоуровневой системы защиты сетевого периметра составной сети. Практическое значение имеют: модель информационного взаимодействия компьютерных систем; модель информационного конфликта в условиях неопределенности; метод конфликтного управления для защиты сегмента сети; алгоритм обнаружения аномалий трафика в компьютерных сетях.

Проанализированы методы и модели защищенных компьютерных сетей. Результаты анализа используются для обоснования цели и постановки задачи данного исследования. Проанализировано современное состояние защиты компьютерных сетей от внешних и внутренних угроз, рассмотрены технические и организационные предпосылки построения системы управления безопасностью. Показано, что для эффективного противодействия атакам на сеть необходимо сочетать пассивные и активные методы защиты. комп'ютерний мережа трафік захист

Предложены методы и модели анализа динамики управления системами защиты. Рассмотрены классификации характеристик типовых удаленных атак. Для описания эволюции конфликта и получения асимптотических оценок эффективности используются марковские модели процессов несанкционированного проникновения через многослойные системы защиты, процессов взаимодействия конфликтующих компьютерных систем. Обоснован переход к статистическим методам анализа угроз и статистического синтеза систем защиты.

Построены динамические модели взаимодействия конфликтующих систем. С использованием методов теории марковских процессов и теории систем с переменной структурой получены уравнения и структурные схемы системы защиты со скользящим режимом смены структур.

Получены оценки потенциальной эффективности комбинированной системы защиты компьютерной сети.

Ключевые слова: защищенная компьютерная сеть, конфликтующие компьютерные системы, аномалии трафика, качество обслуживания.



ANNOTATION

Milokum Ya.V. Models and methods of providing of quality of service in the protected computer networks. - the Manuscript of Ph. D. thesis.

The dissertation on competition of a scientific degree of Cand.Tech.Sci. on a specialty 05.13.05. - Computer systems and components. National Aviation University. Kiev, 2009.

Dissertation is devoted to improving service in the protected computer networks. The purpose of work consists in development of models and methods of improving service, reliability of functioning of the protected computer networks. The tasks of analysis of models and methods of monitoring of parameters of traffic of computer networks were put and decided. Analysis of existent models of the systems of defense of computer network was completed. Developments of model of informative co-operation of the computers systems were made. The researches of the model of informative conflict in the conditions of ambiguity were developed. The methods of the conflict control for defense of segment of network were created. The system of the anomalies of traffic detection in computers networks is researched. The modified multilevel system of defense of network perimeter of protected network is done. Practical significance of the got results is next: theoretical results and conclusions are led to concrete algorithms and computer programs; the results of theoretical researches of descriptions of network are given in the closed-form analytical expressions. The proper diagrams are comfortable for use in the practical tasks of the analysis of descriptions of the systems of defense of heterogeneous networks of different scale and appliance are built. The model of informative co-operation of the computers systems, model of informative conflict in the conditions of vagueness, method of conflict control for defense with application to the segment of network.

Keywords: protected computer network, conflicting computers systems, anomalies of traffic, quality of service.



ЗАГАЛЬНА ХАРАКТЕРИСТИКА РОБОТИ

Актуальність теми. Телекомунікаційні і обчислювальні мережі є розподіленими системами з великим просторовим рознесенням, високим ступенем резервування, багаторівневою архітектурою, розділенням функцій обслуговування між мережними (комутаційними) і термінальними вузлами. Крім того, за визначенням і принципом побудови будь-яка мережа є відкритою системою, до якої за умови дотримання деякого набору правил (стандартів, протоколів доступу і ін.) може дістати доступ будь-який користувач.

Унаслідок відкритого принципу побудови мереж і доступу до них виникають специфічні особливості їх структури і процесів функціонування, такі як гетерогенність, відкритість, захищеність.

Гетерогенність - це невід'ємна властивість сучасних складених обчислювальних мереж. Окремі сегменти мережі можуть будуватися за різними схемами, мати різні топології, в них можуть використовуватися різні види устаткування, програмного забезпечення, стеки телекомунікаційних протоколів і т.д. Внаслідок відкритості мережі і простоти доступу до її ресурсів уразливість мережі до загроз з боку недобросовісних користувачів різко зростає.

Проблема захищеності регіональних, корпоративних і, тим більше, глобальних мереж практично не вирішена. Задача забезпечення гарантованої якості сервісу (Quality of Service - QoS) захищених комп`ютерних мереж на даний момент набуває все більшої актуальності.

Дослідженням проблем захисту комп'ютерних мереж, підвищення якості їхнього обслуговування й надійності займається багато вчених як індивідуально, так і в складі наукових колективів. Найбільш значимий внесок у розвиток даного наукового напрямку внесли: Палагін О.В., Баранов В.Л., Зайченко Ю.П., Вентцель Е.С., Луцький Г.М., Кулаков Ю.О., Городецький А.Я., Хорошко В.О., Домарєв В.В., Лукацький А.В., Ігнатов В.О., Дружинін В.В., Конторов Д.С., Соколов Д.Е., Осовецький Л.Г., Гольдштейн Б.С., Мінаєв Ю.М.,Скоропаденко А.П., Задоя Г.М., Вовк В.М., Клейнрок Л., Столлінгс В., Норткат С., Новак Дж., Оліфер В.Г., Оліфер Н.А., Cohen F. , Handley M. , Kreіbіch C., Paxson V., Лефевр В.А. та ін.

Однією з важливіших задач підвищення якості обслуговування захищеної комп`ютерної мережі є розробка системи аналізу і прогнозування навантаження мережі, ступеня уразливості мережі в цілому, захищеності окремих сегментів мережі і окремих маршрутів. Це дасть можливість по різних критеріях вибирати якнайкращі маршрути, наперед виявляти можливі джерела загроз і вживати заходи по завчасній їх нейтралізації. Тому задача удосконалення методів та розробка моделей для забезпечення гарантованої якості обслуговування в захищених комп`ютерних мережах є актуальною.

Зв'язок роботи з науковими програмами, планами, темами. Виконання дисертаційної роботи пов'язане з реальними потребами області комп'ютеризації як на корпоративному, національному, так і на міжнародному рівнях.

Результати дисертаційних досліджень були використані при виконанні науково-дослідних робіт, що проводилися в Національному авіаційному університеті: № 389-ДБ07 "Методи та засоби для впровадження атак на комп'ютерні системи на базі аналізу та прогнозування трафіка як динамічної хаотичної послідовності в тензорному нейромережному базисі" (номер державної реєстрації №0107U002816) у період за 2008-2009 р.р.

Дисертантом, який був безпосереднім співвиконавцем зазначеної науково-дослідної роботи, був проведений аналіз існуючих методів оцінки та засобів забезпечення надійності та ефективності визначення характеристик якості сервісу в мережах передачі даних.

Мета і задачі дослідження. Метою дисертаційної роботи є розробка моделей і методів підвищення якості обслуговування, надійності функціонування захищених комп'ютерних мереж.

Для досягнення поставленої мети в дисертаційній роботі вирішуються наступні завдання:

- аналіз існуючих моделей і методів моніторингу трафіку комп'ютерних мереж;

- аналіз існуючих моделей систем захисту комп'ютерної мережі;

- розробка моделі інформаційної взаємодії комп'ютерних систем;

- розробка методів конфліктного управління для захисту сегменту мережі;

- розробка алгоритму виявлення аномалій трафіку в комп'ютерних мережах;

- розробка системи захисту мережного периметра складеної мережі.

Об'єкт дослідження. Процес обслуговування трафіку в захищених комп'ютерних мережах.

Предмет дослідження. Математичні моделі і методи обслуговування трафіку захищених гетерогенних комп'ютерних мереж.

Методи дослідження. У дисертаційній роботі автором застосовувалися методи системного аналізу, теорії імовірності і математичної статистики, дослідження операцій, теорії матриць, теорії конфлікту, імітаційне моделювання.

Наукова новизна одержаних результатів визначається наступними положеннями:

1. Запропонована нова модель інформаційної взаємодії розподілених відкритих систем на основі теорії напівмарківських процесів, використання якої дозволяє отримувати асимптотичні оцінки стану мережі для вхідних потоків з довільним розподілом часу надходження пакетів.

2. Вдосконалено метод обчислення ймовірностей стану системи захисту за допомогою застосування характеристик напівмарківського процесу, що дозволяє спростити рішення системи стохастичних диференційних рівнянь.

3. Розроблено новий метод ідентифікації ділянки мережі як дискретної динамічної системи із зосередженими параметрами на основі нової моделі ідентифікації параметрів мережних атак із застосуванням методів конфліктного управління, які дозволяють прогнозувати розвиток конфлікту.

4. На основі теорії марківських процесів і теорії систем із змінною структурою розроблено математичну модель та функціональну схему системи захисту зі змінною структурою управління об`єктом N-го порядку у ковзному режимі, яка дозволить переключення на ту або іншу структуру захисту, що є найбільш ефективною у поточний момент.

5. Розроблено новий метод покрокової ідентифікації перехідної матриці в процесі управління параметрами та станом системи захисту на основі алгоритму стохастичної апроксимації з адаптацією, що дозволяє виявляти помилки завдання перехідної матриці.

Практичне значення одержаних результатів. Теоретичні результати і висновки доведені до конкретних алгоритмів і обчислювальних програм.

Теоретичні та експериментальні результати досліджень впроваджені у науково-практичні та дослідницько-конструкторські розробки ZTE CORPORATION та застосовуються у навчальному процесі на кафедрі комп`ютерних систем та мереж Інституту комп`ютерних технологій Національного авіаційного університету при викладанні дисциплін «Мережеорієнтовані комп`ютерні технології» та «Мережі ЕОМ», що підтверджено відповідними актами про впровадження.

Практичне значення мають:

- модель інформаційної взаємодії комп'ютерних систем, яка може використовуватися у якості еталонної моделі багаторівневого мережного периметру;

- модель інформаційного конфлікту в умовах невизначеності, на основі якої створюються практичні системи попередження вторгнень, які базуються на аналізі аномалій у мережах;

- метод конфліктного управління для захисту сегменту мережі, який дозволяє впроваджувати активний захист проти розумного супротивника;

- алгоритм виявлення аномалій трафіку в комп'ютерних мережах, який легко реалізувати програмними або апаратними засобами.

Особистий внесок здобувача. Основні результати отримані здобувачем самостійно. У роботах, написаних та опублікованих у співавторстві, здобувачеві належить: [1] - модель перехідного режиму трафіку; [2] - алгоритмічна схема процесу виявлення мережних атак; [4] - методика побудови інтегрованої системи захисту інформації в гетерогенній комп'ютерній мережі; [5] - метод виявлення аномальної поведінки; [7] - метод конфліктного управління з прогнозуванням розвитку ситуації для розподілених систем.

Апробація результатів роботи. Основні результати проведених досліджень доповідалися та обговорювалися на наукових конференціях:

- VII Міжнародній науковій конференції студентів та молодих учених «Політ-2007» (Київ, 2007);

- Міжнародній науково-технічній конференції «Комп'ютерні системи та мережні технології» (Київ, 2008);

- Міжнародній науково-технічній конференції «Інтелектуальні технології лінгвістичного аналізу» (Київ, 2008);

- XI Міжнародній науково-технічній конференції «Системний аналіз та інформаційні технології» (Київ, 2009);

- II Міжнародній науково-технічній конференції «Комп'ютерні системи та мережні технології» (Київ, 2009).

Публікації. Основні результати дисертаційної роботи опубліковані в 8 наукових працях, серед яких 7 - у фахових наукових виданнях України [1 - 7], 1- в матеріалах конференцій [8].

Структура і об'єм дисертаційної роботи. Дисертаційна робота складається зі вступу, чотирьох розділів, висновку, які містять основні результати роботи, списку використаної літератури із 86 найменувань, 2 актів про впровадження, 37 рисунків та 4 таблиць - всього на 154 сторінках друкованого тексту. Основний текст дисертаційної роботи викладений на 132 сторінках.

ОСНОВНИЙ ЗМІСТ РОБОТИ

У вступі обґрунтовано актуальність теми дисертаційної роботи, сформульовано основну мету і задачі дослідження, приведено відомості про зв'язки наукового напряму досліджень з планами організації, де виконана робота. Приведено основні положення досліджень, визначена їх наукова новизна і практична цінність, приведено дані про апробацію і використання результатів досліджень, особистий внесок претендента.

Перший розділ присвячено аналізу методів та моделей захищених комп'ютерних мереж. Результати аналізу використовуються для обґрунтування цілі і постановки задачі даного дослідження. Проаналізований сучасний стан питання захисту комп'ютерних мереж від зовнішніх і внутрішніх загроз, розглянуті технічні і організаційні передумови побудови системи управління безпекою. Показано, що для ефективної протидії атакам на мережу необхідно поєднувати пасивні і активні методи захисту.

Поставлена загальна мета дослідження - розробити моделі і методи підвищення якості обслуговування і надійності функціонування захищених комп'ютерних мереж. Сформульовані задачі, які необхідно вирішити для її досягнення. Обкреслений круг питань, які розглядаються в роботі.

У другому розділі запропоновані методи і моделі аналізу динаміки управління захищеними комп`ютерними системами. Розглянуті класифікації характеристик типових видалених атак. Запропонована класифікація атакуючих дій в умовах апріорної невизначеності і можливої наявності конфлікту. Обґрунтований перехід до статистичних методів аналізу загроз і статистичного синтезу систем захисту.

Сформульована задача розпізнавання, яка в термінах теорії перевірки статистичних гіпотез визначається як перевірка простої гіпотези проти складної альтернативи . У даному випадку k₁ - клас об'єктів, які представляють загрозу (зловмисники), а k₀₁, k₀₂, …, k_0N - класи об'єктів, які не представляють загрози для системи захисту, але є перешкодами для системи розпізнавання. На рис. 1 зображений умовний розподіл підпросторів ознак об'єктів, які можуть потрапити в зону дії системи і підлягають розпізнаванню.

Щоб виключити або хоча б знизити залежність ефективності застосовуваних алгоритмів виявлення (розпізнавання), від абсолютних значень невідомих параметрів сигналів і перешкод, необхідно розробити методи нормування сигналів щодо цих параметрів. Таке завдання є однієї із ключових для побудови алгоритму розпізнавання аномалій в захищеній комп'ютерній мережі.

Розроблено математичну модель процесу несанкціонованого проникнення через ешелоновану систему захисту інформації в комп`ютерних мережах.

Представимо поточний стан процесу атаки на мережу як елементарну частку, а процес переходу з одного стану в інший - як процес випадкового блукання цієї частки. Нехай число екранів ешелонованої системи захисту дорівнює N. Стан s₀ - відбиття атаки від зовнішнього екрана, стан s_1i - проходження атакуючого суб'єкта через i-й екран, а стан s₂ - подолання всіх захисних екранів і проникнення в ядро захищаємого об'єкта.

Переміщення частки може відбуватися зі стану s₀ через стани s_1i у стан s₂ і назад. Очевидно, стан s_1i є якимось ідеальним станом, імовірність якого p_1i = P (s = s_1i) дорівнює нулю. Тому розглянутий процес, строго говорячи, не є марківським. Для формального приведення процесу до марківського введемо деякі додаткові стани s_1i+ і s_1i-. Імовірності p_1i+ = P (s = s_1i+) і p_1i- = P (s = s_1i-) цих станів (так звані фіктивні ймовірності) є величинами другого порядку малості в порівнянні з ймовірностями p₀ = P (s = s₀) і p₂ = P (s = s₂) станів s₀ і s₂ відповідно. Тут s_1i - мала околиця точки s_1i.

Процес можна розглядати як блукання частки між пружними жорсткими екранами S₀ і S_1i і поглинаючим екраном S₂. Наявність екранів означає наступне:

- якщо частка попадає в точку S₀, то в наступний момент часу частка з імовірністю r потрапить у точку S_{0 +} або з імовірністю 1 - r залишиться в точці S₀;

- якщо частка попадає в точку S₂, то в наступний момент часу частка з імовірністю q потрапить у точку S_{2 -} або з імовірністю 1 - q залишиться в точці S₂.

Без усякої втрати спільності можна для обчислення стаціонарних ймовірностей стану системи розглянути окремий випадок N=1. Тоді s_1i =s₁, s_1i = s₁ .

З огляду на те, що ймовірність стану s₁ дорівнює нулю, розглянемо можливі стани s₀, s_1-, s₁₊, s₂. На рис. 2 зображений розмічений граф станів системи. Проти кожної стрілки проставлена відповідна ймовірність переходу.

Зміни в часі відповідних ймовірностей стану p₀, p_1-, p₁₊, p₂ задовольняють рівнянням Колмогорова.

Інтегруючи цю систему рівнянь при заданих початкових умовах, одержуємо ймовірності станів як функції часу. Початкові умови вибираються залежно від того, який був стан системи в момент початку відліку (t = 0).

У випадку змінної інтенсивності трафіку одержуємо систему параметричних диференціальних рівнянь першого порядку, загальне рішення якої має такий вигляд (приведемо рішення для ймовірності p₀):



де C - постійна, що визначається з початкових умов.

У розподілених системах захисту запропоновано використання методів конфліктного управління з прогнозуванням розвитку ситуації та корекції за результатами її поточного аналізу.

Для опису процесів несанкціонованого проникнення крізь багатошарові системи захисту, процесів взаємодії конфліктуючих комп`ютерних систем та отримання асимптотичних оцінок ефективності було використано марківські моделі.

У третьому розділі побудовані динамічні моделі взаємодії конфліктуючих комп`ютерних систем.

Розроблена схема моделі конфлікту між атакуючою S_icm і захищаємою S_ids інформаційними системами.

У відповідності до загальної теорії конфлікту процеси взаємодії між системами описуються наступними рівняннями:

де z_ids та z_icm - вектори станів систем S_ids та S_icm відповідно;

u₁(t) та u₂(t) - вектори управління в S_ids та S_icm відповідно;

₁(t) - вектор дій S_ids на S_icm;

₂(t) - вектор дій S_icm на S_ids;

та - вектори випадкових впливів, що діють на S_ids та S_icm відповідно;

₁ та ₂ - запізнення в S_ids та S_icm відповідно.

Ефективність Э₁ системи S_ids та ефективність Э₂ системи S_icm на інтервалі спостереження T у загальному випадку являють собою нелінійні функціонали станів z_ids, z_icm та векторів , відповідно.



.

Ціль кожної системи - максимально підвищити свою ефективність за рахунок зниження ефективності супротивної сторони. Відповідно до класичної теорії конфлікту взаємодію між розглянутими сторонами можна класифікувати як антагонізм із можливим переходом у строге суперництво, а якщо в процесі протиборства ефективність противної сторони зменшується швидше, ніж ефективність першої, можливий перехід у нестроге суперництво.

Задача протидії об'єкту, що атакується, спробам несанкціонованого проникнення і нанесення збитку розв'язується в умовах апріорної невизначеності початкових даних і в умовах, коли наперед невідомі цілі супротивника. Ці цілі можуть мінятися безпосередньо в процесі протиборства. Тому розвиток конфлікту носить циклічний характер.

Побудовано модель конфліктних ситуацій в умовах невизначеності на базі альтернуючого процесу відновлення з двома незалежними послідовностями моментів {₁, ₂, ₃, …} атакуючих дій і {₁, ₂, ₃, …} захисних (контратакуючих) дій. Випадкові величини кожної з цих послідовностей незалежні між собою та мають однакові щільності ймовірності і відповідно. Якщо почергово брати випадкові величини з двох послідовностей, отримуємо точковий процес. Процес починається з інтервалу ₁ першого типу, в кінці якого відбувається подія першого типу - реалізація атаки. За ним слідує інтервал ₁ другого типу, що закінчується подією другого типу (нейтралізація конфліктної взаємодії) у момент часу ₁ + ₁ і т.д.; (2k - 1)-а подія першого типу відбувається в момент часу

,



а 2k-та подія другого типу, що відбувається в момент часу

.

Випадковий точковий процес , що отримується, є альтернуючим процесом відновлення.

Розроблена система захисту мережі в умовах конфлікту. Стосовно задачі конфлікту системи захисту мережі і атакуючого супротивника один із станів відповідає повній відмові системи, а інші - функціонуванню з різним ступенем ефективності. Перенумерувавши всі структури в можливій послідовності від найефективнішого стану до стану відмови, одержимо кінцеве число N можливих структур. Перехід системи з одного стану в будь-який інший характеризується відповідною імовірністю. Перехідна імовірність не залежить від поведінки системи до моменту часу t і визначаються тільки імовірністю стану системи і тривалістю інтервалу t - величини другого порядку малості.

У мультиструктурній системі з матричними функціями поглинання і відновлення реалізацій (t) типу стохастичних матриць імовірності стану p_i(t) визначаються з рівнянь

. (1)

Імовірність стану системи визначається тільки матрицями потоків поглинання і відновлення (t), не залежної від станів системи. Якщо все інтенсивності переходів на інтервалі спостереження постійні (_lr = const, _rl = const), то рішення рівнянь (1) є рішення повної проблеми власних значень. Воно повністю визначається початковими умовами і корінням характеристичного рівняння



. (2)

Для нестаціонарного випадку (_lr (t) = var, _rl (t) = var) матриця в правій частині рівняння (2) є несиметричною. Проте і в цьому випадку чисельне рішення рівняння (2) не представляє надзвичайних труднощів. Існують добре розроблені методи обчислення власних значень і власних векторів несиметричної матриці шляхом приведення її до верхньої майже трикутної форми Гессенберга і застосування методів LR- або QR-ітерацій. У зв'язку з підвищенням обчислювальних потужностей в мережне комутаційне устаткування така задача може розв'язуватися в реальному масштабі часу навіть на граничних вузлах мережного периметра.

Як випливає з рівняння (1), система захисту як об'єкт управління описується рівнянням N-го порядку. З теорії систем із змінною структурою витікає, що система є повністю керованою, якщо для об'єкту управління, описуваного рівнянням N-го порядку застосовується управляючий пристрій з N - 1 ланкою змінної структури.

Схема системи захисту із змінною структурою управлінь об'єктом N-го порядку зображена.. Тут - елементарні нелінійні ланки змінної структури.

Ланки управління тут є перемикачами на структуру, яка є найбільш ефективною для ліквідації аномалії трафіку у поточний момент. Перемикання здійснюється по зміні знаку управляючого сигналу. Рівняння, якими описується робота системи, мають вигляд



(3)

де , , , , X(t) - випадкова перешкода з параметрами, в загальному випадку залежними від часу: середнім значенням m_x(t) і спектральною щільністю S_x(,t); f(t) - детермінована функція управління; p - оператор Лапласа.

Рівняння - чарунки мають наступний вигляд:

де y_i = (p) y₁ - сигнали, що перемикаються;

l₁, l₂ - коефіцієнти передачі ланцюга управління, що перемикається;

g = Q(p) y - сигнал перемикання;

_i(p), Q(p) - оператори формування сигналів y_i, g відповідно.

Нелінійність - чарунки є нелінійністю мультиплікативного релейного типу, що описується рівнянням вигляду

.

Сигнал перемикання може формуватися різними способами залежно від виду системи. Загальне рівняння гіперплощини перемикання має вигляд

,



де - кутовий коефіцієнт перемикання.

Залежно від вибору величини кутового коефіцієнта перемикання регулювання системи може здійснюватися в різних режимах:

- c_i = _i - режим руху по вироджених траєкторіях;

- c_i > _i - режим перемикань;

- c_i < _i - ковзний режим.

Система, що описується рівнянням (3), має теоретично 2^N-1 структур, відмінності між якими полягають тільки в різних рівняннях управлінь. Тому її можна розглядати як систему з моноструктурою і складним нелінійним управляючим пристроєм.

У четвертому розділі одержані оцінки потенційної ефективності комбінованої системи захисту комп'ютерної мережі.

Завдання прогнозування процесу взаємодії атакуючого суб'єкта і системи захисту об'єкту зводиться до завдання прогнозування дискретного тимчасового ряду. Відповідно до загальної теорії прогнозу випадкових процесів процес такої взаємодії можна представити у вигляді

y(n) = x(n) + (n) ,

де x(n) - деяка невипадкова складова, що характеризує тенденцію розвитку процесу (тренд), а (n) - складова, якою описується вплив випадкових чинників самого різного характеру. Завдання прогнозування процесу захисту (у тому числі і активного захисту) розглядається як невід'ємний компонент завдання динамічного управління мережними ресурсами системи захисту. Оцінку C^µ(n) ресурсу обчислювальної мережі, в якій розвивається процес, розраховуватимемо у вигляді суми динамічної складової на n-м кроці, деякої постійної складової b_x - статичного компоненту ресурсу системи захисту і



.

Якість прогнозування оцінюється нормалізованим енергоінформаційним відношенням сигнал/шум q, яке напряму пов'язане з середньоквадратичною помилкою оцінки прогнозу

:

,

де M[x(n)] - математичне очікування, а M[(n)²] - дисперсія помилки оцінки прогнозу відповідно.

Розглянуті окремо складові помилки (n) : помилка переоцінки прогнозу

,

якою характеризується використовування надмірних ресурсів, і помилка недооцінки прогнозу

,

пов'язана з недостатнім використовуванням ресурсів. Відповідно введені коефіцієнт недооцінки - недостатнього використовування ресурсів

, (4)



і коефіцієнт переоцінки - використовування надмірних ресурсів

. (5)

При заданому способі оцінювання ефективності наявних ресурсів захисту коефіцієнтом недооцінки визначається відношення кількості надмірних, марних ресурсів захисту до загальної кількості інформації, збереження якої забезпечується в мережі. Відповідно, коефіцієнт переоцінки - відношення кількості недовикористаних ресурсів захисту до загальної кількості інформації, збереження якої забезпечується в мережі. Чим вище точність прогнозу розвитку процесу захисту, тим менше по абсолютній величині коефіцієнти (4- 5). У свою чергу, точність прогнозу залежить від типу алгоритму прогнозу як апарату аналізу тимчасових рядів. Розглянуті найбільш широко вживані алгоритми прогнозу:

- статичне завдання ресурсів захисту;

- динамічне завдання ресурсів з простим передбаченням;

- динамічне завдання ресурсів з авторегресійним (АР) передбаченням першого порядку;

- динамічне завдання ресурсів з АР передбаченням другого порядку;

- динамічне завдання ресурсів з передбаченням на основі моделі авторегресії і ковзного середнього (АРКС) порядку (1,1);

- динамічне завдання ресурсів з передбаченням на основі проінтегрованої моделі АРКС (1,d,1).

Розраховані помилки оцінювання ресурсів і прийняття рішень про їх відносну важливість (недооцінки і переоцінки) залежно від величини складової ресурсу системи захисту. Розраховані залежності помилок недооцінки ресурсів для різних моделей прогнозу процесів захисту. Приведені результати моделювання алгоритму ідентифікації перехідної матриці процесу захисту. За розрахунками були отримані наступні результати:

1. Помилки оцінки коваріаційних матриць Q і R суттєво не впливають на результуючу точність ідентифікації параметрів системи.

2.При ненульовому векторі управління (віддалений контроль зомбованого комп'ютера, перехід на резервний комп'ютер або управління комп'ютером лояльного партнера, введення псевдо-сервісів і ін.) нев'язності вимірювань не завжди сходяться до нуля, зокрема при некоректному завданні елементів перехідної матриці. Тому задача ідентифікації перехідної матриці актуальна.

Одержані результати моделювання конфлікту системи захисту з атакуючим суб'єктом.

Результати моделювання свідчать про те, що виграш залежить як від співвідношення ресурсів сторін конфлікту, так і від ефективності вибраної стратегії. Часто затягування супротивника в процес атаки помилкових об'єктів вигідніше за просте нарощування власного енергоінформаційного ресурсу.

На рис. 8-11 наведені графіки зміни відносного виграшу сторони, що захищається, у конфлікті:

- на рис.8 - при однакових ресурсах сторін;

- на рис.9 - ресурси захисту перевищують ресурси атакуючої сторони в три рази;

- на рис.10 - ресурси захисту менше ресурсів атакуючої сторони у два рази;

- на рис.11 - ресурси захисту менше ресурсів атакуючої сторони у три рази, виграш при попаданні супротивника на псевдосервіс.

Аналіз результатів моделювання показав, що при ресурсі захисту, у три рази меншому ресурсу атаки, має місце нульовий виграш і, відповідно, P_QoS 0,5. P_QoS - імовірність падіння якості сервісу нижче гарантованого рівня.



ВИСНОВКИ

Основні наукові та практичні результати полягають у наступному:

1. Запропоновано нову модель інформаційної взаємодії розподілених відкритих систем на основі теорії напівмарківських процесів, використання якої дозволяє отримувати асимптотичні оцінки стану мережі для вхідних потоків з довільним розподілом часу надходження пакетів.

2. Вдосконалено метод обчислення ймовірностей стану системи захисту комп`ютерних мереж за допомогою застосування характеристик напівмарківського процесу, що дозволяє спростити рішення системи стохастичних диференційних рівнянь.

3. Розроблено алгоритм процесу виявлення мережних атак на основі ймовірнісної моделі цього процесу із застосуванням детермінованих та статистичних методів, який дозволяє виявляти аномальну поведінку інформаційної системи та розпізнавати конкретні атаки на об`єкти за найбільш прийнятних критеріїв швидкодії при навчанні та експлуатації системи захисту.

4. На основі теорії марківських процесів і теорії систем із змінною структурою розроблено математичну модель та функціональну схему системи захисту зі змінною структурою управління об`єктом N-го порядку у ковзному режимі, яка дозволяє переключення на ефективну на поточний момент структуру захисту.

5. Розроблено новий метод ідентифікації ділянки мережі як дискретної динамічної системи із зосередженими параметрами на основі нової моделі ідентифікації параметрів мережних атак із застосуванням методів конфліктного управління, які дозволяють удосконалити методи захисту та прогнозувати розвиток конфлікту.

6. Розроблено новий метод покрокової ідентифікації перехідної матриці в процесі управління параметрами та станом системи захисту комп`ютерної мережі на основі алгоритму стохастичної апроксимації з адаптацією, що дозволяє виявляти помилки завдання перехідної матриці.

7. Отримані результати моделювання алгоритму ідентифікації перехідної матриці, які свідчать про те, що при ненульовому векторі управління нев'язки вимірювань не завжди зводяться до нуля, зокрема при некоректному завданні елементів перехідної матриці.

8. Вирішена задача оптимізації розподілу ресурсів конфліктуючих комп'ютерних систем для забезпечення заданої якості сервісу при обмеженому загальному ресурсі, що є у наявності.

9. Розраховані помилки оцінювання ресурсів та прийняття рішень про їх відносну важливість (недооцінки і переоцінки) залежно від величини складової ресурсу системи захисту, що дозволить ефективно підбирати алгоритми розподілу ресурсів системи захисту з мінімальними помилками переоцінки або недооцінки статистичних ризиків.



СПИСОК ОПУБЛІКОВАНИХ ПРАЦЬ ЗА ТЕМОЮ ДИСЕРТАЦІЇ

1. Методи і алгоритми оптимального управління трафіком в обчислювальних мережах / [Гузій М.М., Ігнатов В.О., Даниліна Г.В., Милокум Я.В.] // Проблеми інформатизації та управління: зб.наук.пр. - 2006.- Вип.2(17). - С. 32-37;

2. Данилина Г.В. Комбинированный метод обнаружения сетевых атак на основе анализа и распознавания аномальных состояний сети / Г.В. Данилина, Я.В. Милокум // Проблеми інформатизації та управління: зб.наук.пр.- 2008.- Вип.1(23). - С. 163-168;

3. Милокум Я.В. Метод последовательного обнаружения угроз компьютерной сети / Я.В. Милокум // Наукові записки Українського науково-дослідного інституту зв'язку. - 2008. - Вип.4(6). - С. 79-88;

4. Гузий Н.Н. Система защиты сетевого периметра на основе обнаружения аномалий / Н.Н. Гузий, Г.В. Данилина, Я.В. Милокум // Вісник інженерної академії України. - 2008. - Вип.3-4. - С. 61-67;

5. Данилина Г.В. Характеристики сетевой системы обнаружения вторжений на основе методов анализа и выявления аномалий / Г.В. Данилина, Я.В. Милокум // Вісник інженерної академії України. - 2008. - Вип.3-4. - С. 68-71;

6. Милокум Я.В. Характеристики системи виявлення вторгнень на основі методів виявлення мережевих аномалій / Милокум Я.В. // Вісник Державного університету інформаційно-комунікаційних технологій. - 2009. - Вип.7(3).

7. Даниліна Г.В. Статистичний підхід до аналізу комп'ютерних погроз / Г.В. Даниліна, Я.В. Милокум // Проблеми інформатизації та управління: зб.наук.пр. - 2009.- Вип.3(27). - С. 52-56;

8. Милокум Я.В. Метод конфликтного управления системой распределенной активной защиты от компьютерных угроз / Я.В. Милокум // Системний аналіз та інформаційні технології: ХІ міжнар. наук.-техн. конф., 26-30 травня 2009 р.: тезисы докл. - К., 2009. - С. 525.

Размещено на Allbest.ru

...