Марковская модель антивирусной защиты в локальной сети с разной интенсивностью внешних вирусных атак

Размещено на http://www.allbest.ru/

ПРАВИТЕЛЬСТВО РОССИЙСКОЙ ФЕДЕРАЦИИ

ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ АВТОНОМНОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕВЫСШЕГО ОБРАЗОВАНИЯ

«НАЦИОНАЛЬНЫЙ ИССЛЕДОВАТЕЛЬСКИЙ УНИВЕРСИТЕТ

«ВЫСШАЯ ШКОЛА ЭКОНОМИКИ»

Московский институт электроники и математикиим. А.Н. Тихонова

Выпускная квалификационная работа

Марковская модель антивирусной защиты в локальной сети с разной интенсивностью внешних вирусных атак

по направлению 01.03.04 Прикладная математика

студента образовательной программы бакалавриата

«Прикладная математика»

Лазарев Евгений Сергеевич

Рецензент доцент А.Б. Лось

Научный руководитель

ст. преп. Ю.Б. Гришунина

Москва 2018

Аннотация

Объектом работы является модель антивирусной защиты в компьютерной сети с различными интенсивностями внешних вирусных атак для каждого компьютера. Целью работы - получение максимального дохода от функционирования сети и оптимизация периодичности обращений к вирусной базе обновлений. Также созданы математическая и имитационная модель данной системы, построены графики и проведен анализ полученных результатов. Для достижения данных целей были использованы следующие программы: высокоуровневый язык программирования Python для создания имитационной модели и сбора данных, для построения графиков был использован пакет Microsoft Office Excel, а также Wolfram Mathematica для подсчета полученных результатов. Также, в работе приводится обзор различных моделей, описанных известными учеными и исследователями. При определенной доработке данная работа может быть полезна при анализе и оптимизации работы реальных компьютерных систем, либо для дальнейших исследований по данной теме.

Abstract

The object of work is the model of antivirus protection in a computer network with different intensities of external virus attacks. The main aim of the work is to gain maximal income and optimizeperiodicity of calls to the virus database of updates. It is also necessary to create a mathematical and simulation model of this system, build the necessary graphs and diagrams, and analyze the obtained results. To achieve these goals, the following programs were used: a high-level Python programming language for creating a simulation model and data collection, for the construction of graphs was used Microsoft Office Excel, and Wolfram Mathematica for calculating the necessary results. Also, the work reviews various models described by well-known scientists and researchers. With a certain finalization, this work can be useful in analyzing and optimizing working process of real computer systems, or for further research on this topic.

Введение

Компьютерные технологии не стоят на месте и постоянно развиваются, практически у каждого человека есть смартфон или компьютер, но многие не задумываются о безопасности своих электронных гаджетов, что может сыграть с ними злую шутку в самый ответственный момент. Данная работа является актуальной в связи со всемирной популяризацией электронных носителей и IT технологий. Например, многие компании получают прибыль только когда вся их локальная компьютерная сеть исправна, если по ней будет ходить вирус и препятствовать нормальной работе компьютерных узлов, то фирма будет терпеть убытки. Поэтому важно не только постоянно заниматься компьютерной безопасностью, но и уметь грамотно ее оптимизировать, чем занимались и занимаются многие известные ученые.

Например, Х. Окамура и Т. Доха в своей работе [1], анализируют сетевой трафик связи, который называется Марковским процессом прибытия (MAP). Это один из самых общих классов стохастических считающих процессов, который содержит большинство обычно используемых процессов прибытия, таких как процесс Пуассона, процесс обновления фазового типа (PH) и Марковский модулированный пуассоновский процесс (MMPP). Более того, MAP, как известно, может аппроксимировать произвольный стохастический точечный процесс с заданной степенью точности. Он имеет разные свойства с точки зрения стохастических процессов. Марковский процесс используется для представления входного потока в системе очередей. Важной проблемой при моделировании трафика на основе MAP является оценка параметров модели в соответствии с наблюдаемыми данными трафика. В результате исследователи получили два алгоритма для подбора Марковского процесса прибытия с большими группами данных. Они также показали эффективность своих алгоритмов в разных ситуациях, в том числе в случае интернет-трафика.

В другой публикации [2] П. Мигем, Дж. Омик и Р. Коуи рассматривают простую модель с непрерывным временем распространения вируса в сети, одну из стандартных моделей антивирусной защиты компьютера - «восприимчивый к заражению-инфицированный-восприимчивый к заражению». В статье П. Ван Мигема число компьютеров равно N, а количество соединений между ними равно L. Модель распространения вируса в сети представлена в дискретное время в виде графа G = (N, L), где каждый узел либо инфицирован, либо здоров. Инфицированный узел может заражать соседей, но может быть излечен только с определенной скоростью излечения. После того, как компьютер вылечен, он становится уязвимым для вирусной атаки. Рассматриваются несколько параметров системы, от которых зависит вероятность заражения, например, период инкубации, скорость инфекции, время процесса излечения. Когда достигается предел эпидемии, компьютерная сеть становится неизлечимой, поэтому можно заключить, что такая цепь Маркова обладает поглощающим свойством. Кроме того, был проведен анализ, и была построена математическая модель антивирусной защиты. В результате исследователи понимают влияние распространения эпидемии на граф G.

В данной работе рассматривается похожая модель. Целью работы является оптимизация необходимых параметров системы для получения максимального дохода, моделирование жизненного цикла системы, анализ полученных данных. Задачи, решаемые в ходе этой работы: составить математическую модель антивирусной защиты, получить уравнение для вычисления прибыли от функционирования данной системы, оптимизировать интервалы между обращениями к базе обновлений для максимизации дохода сети, создать имитационную модель, построить графики доходов, провести сравнительный анализ. Объектом исследования является локальная компьютерная сеть, состоящая из 2 узлов между которыми периодически происходит взаимодействие. Основная часть работы состоит из 3 частей: в первой рассматривается математическая модель из 2 узлов без связи между ними, во 2 части работы в данную сеть добавляется взаимодействие между компьютерами, для обоих случаев оптимизирована периодичность обращений к базе обновлений и подсчитан максимальный доход, в третьей части идет обзор построенной имитационной модели.

антивирусный атака математический имитационный

1. Модель антивирусной защиты

1.1 Обзор литературы

Проблемы по данной теме также рассматриваются в других различных статьях, например, в статье [3] Э. Гурдин уже рассказывает не про изученные модели, а непосредственно про их оптимизацию. Исследователи считают, что количество защиты пропорциональное степени узла не является оптимальным решением, а скорее верхней границей. Сложность данной задачи может быть NP-полной. Ученым удалось решить данную проблему для 2 различных сетей реального размера, также они проанализировали некоторые простые графы, такие как: цикл, звезда, кольцо, полный двудольный граф, которые благодаря своей симметрии сводится к оптимизации одной переменной. Также ученые определили разницу между оптимальным решением и верхней границей для полного графа с 1000 узлами.

Численные эксперименты, в которых получились оптимальные решения, являются свидетельством того, что решение, в котором количество защиты пропорциональное степени каждого узла, является довольно эффективным, хотя и не всегда оптимальным.

Также, похожую проблему рассматривали Дж. О. Кипарт и С. Р. Уайт. Исследователи в своей работе [4] изучают распространение вируса в сети, описанное случайным графом, в котором N вершин, где случайными и независимыми решениями добавляются направленные ребра из N*(N-1) возможных, соединяющих 2 узла. Учитывая, что p - вероятность того, что конкретное ребро будет включено в граф, ожидаемое общее число ребер будет p*N*(N - 1).

В нашей версии модели «восприимчивый к заражению-инфицированный-восприимчивый к заражению» (SIS) каждое ребро ассоциируется со скоростью инфицирования (также называемую рождаемостью вируса), при которой зараженный узел j может заразить неинфицированного соседа k. Аналогично, каждый узел j имеет скорость лечения (или смертность вируса), при которой он будет излечен, если он инфицирован. Как только компьютер излечивается, он сразу же может быть повторно инфицирован.

Ученые ссылаются на работу Фрэда Коэна [5], где он показал, что идеальная защита от компьютерных вирусов невозможна, а исследователи получили, что это и не является необходимым. Механизмы защиты адекватны для предотвращения широко распространенных вирусов, если скорость нахождения и лечения от вирусов достаточно высока относительно скорости распространения между клиентами.

В работе Б. К. Мишры и Д. Саини [6] были разработаны различные математические модели с учетом различных случаев вероятностных вирусных атак. Рассмотрим одну из них, основные переменные данной модели:

- доля компьютеров, зараженных в момент времени t

r - коэффициент излечения

h - доля незараженных элементов, получающие атаки в единицу времени

- совокупность зараженного программного компонента, обнаруженного в момент времени t

- число наблюдаемых новых элементов сети

- количество компьютеров, которые были заражены в момент времени

N - общее количество компьютеров

- количество зараженных компьютеров в момент времени t

Основная цель этой модели - найти вероятность того, что в любое время t какое-то количество компьютеров будет заражено вирусом, предполагая, что скорость восстановления и доля незараженных элементов, со временем не меняются, но изменяется количество компьютеров в сети. Также в данной модели вирусные атаки происходят и на инфицированные, и на незараженные компьютеры.

В ходе исследований данной модели ученые выяснили, что они могут определить вероятность заражения системы любым компьютерным вирусом или группой компьютерных вирусов в любое время, конкретно касаясь скорости размножения вирусов. Модель может быть полезна при разработке защиты от вредоносных и злокачественных компьютерных вирусных атак.

1.2 Описание математической модели

В данной работе мы будем рассматривать локальную компьютерную сеть с 2 компьютерами. Каждый компьютер подвергается вирусным атакам, интервалы между которыми определяется случайной величиной с параметром ~ Exp( для первого компьютера и ~Exp( для второго. Каждая атака считается успешной, то есть компьютер становится зараженным после вирусной атаки. Чтобы удалить вирус на каждом компьютере имеется своя антивирусная база. Интервалы между обращениями к базе обновлений - независимые случайные величины с параметром? ~ Exp(?. Длительности обновлений - независимые случайные величины с параметром ? ~ Exp(?). Во время обращения к базе компьютер перестает работать и ждет окончания обновления. После обращения к базе обновлений компьютер лечится с заданной вероятностью или остается зараженным с вероятностью (1-). Компьютеры связаны между собой и периодически происходят сообщения между ними. Интервалы между связями компьютеров это независимые экспоненциальные случайные величины с параметром ?~ Exp(. После данной связи зараженный компьютер передает свой вирус незараженному, если оба компьютера чистые, то заражения не происходит.

1.3 Построение математической модели

Рассмотрим один компьютер независимо от другого. Для каждого узла существует 4 состояния, в которые он может попастьE = {1, 2, 3, 4}:

1. компьютер здоров и работает

2. компьютер заражен и работает

3. компьютер здоров и находится в процессе обращения к базе обновления

4. компьютер заражен и находится в процессе обращения к базе обновления

Построим граф переходов состоянийX(t):

Размещено на http://www.allbest.ru/

Рис. 1 Граф переходов состояний

Составим матрицу интенсивностей перехода из одного состояния в другое:

Выпишем интенсивности перехода для всех состояний:

Составим систему дифференциальных уравнений Колмогоровав общем виде:

Составим систему уравнений Колмогорова (2) для первого компьютера:



У процесса с конечным множеством состояний входа есть предельное распределение, поэтому перейдем к пределу: t >?.

Обозначим

Размещено на http://www.allbest.ru/

Из данной системы уравнений (3) получим предельные вероятности:

1.3 Определение прибыли и оптимального параметра ?

Исходя из полученных предельных вероятностей составим уравнение дохода, которое получается если вычтем из дохода убытки. Обозначим как доход, который приносит один компьютер в единицу времени, а - убытки в единицу времени, а прибыль - .

Пусть это уравнение дохода, который приносит 1 компьютер в единицу времени

Тогда получим формулу для :

Аналогично из формулы(4) определим прибыль :

Исходя из полученных формул найдем общую прибыль всей локальной сети, состоящей из 2 компьютеров:

Возьмем значения приближенные к реальности и для них найдем оптимальное и определим максимальный доход

Оптимальное получается:

Максимальный доход:

Подводя итог данной главы можно сказать, что математическая модель без взаимодействия была построена, оптимизирован нужный параметр и найден максимальный доход.

2. Модель антивирусной защиты с взаимодействием узлов

2.1 Построение математической модели с взаимодействием узлов

До этого рассматривались компьютеры, которые не были связаны между собой, теперь добавляется случайная величина с параметром ? ~ Exp(, которая определяет интервалы между сообщениями между компьютерами. Для данной локальной сети выпишем все возможные состояния:

1. (1,1) - оба здоровы

2. (1,2) - первый здоров, второй заражен

3. (1,3) - первый здоров, второй здоров и на обновлении

4. (1,4) - первый здоров, второй заражен и на обновлении

5. (2,1) - первый заражен, второй здоров

6. (2,2) - оба заражены

7. (2,3) - первый заражен, второй здоров и на обновлении

8. (2,4) - первый заражен, второй заражен и на обновлении

9. (3,1) - первый здоров и на обновлении, второй здоров

10. (3,2) - первый здоров и на обновлении, второй заражен

11. (3,3) - оба здоровы и на обновлении

12. (3,4) - первый здоров и на обновлении, второй заражен и на обновлении

13. (4,1) - первый заражен и на обновлении, второй здоров

14. (4,2) - первый заражен и на обновлении, второй заражен

15. (4,3) - первый заражен и на обновлении, второй здоров и на обновлении

16. (4,4) - оба заражены и на обновлении

Для данного случая составим свою матрицу интенсивностей перехода:



Составим систему уравнений Колмогорова (2):



У процесса с конечным множеством состояний входа есть предельное распределение, поэтому перейдем к пределу: t >?.

Обозначим

2.2 Определение прибыли и оптимального параметра ?

Обозначим как доход, который приносит один компьютер в единицу времени, а - убытки в единицу времени. Величина - прибыль, которую получает локальная сеть в единицу времени. Получаем формулу для подсчета дохода сети:

)

Для данных значений найдем оптимальное и определим максимальный доход :

Оптимальное получается:

Максимальный доход :

2.3 Определение зависимости оптимальной ? от ?

По полученным результатам (5) - (6) можно определить, что если взаимодействия происходят редко, то и оптимальная периодичность отличается не сильно.

Из (7) - (8) следует?

где .

Предположим, что связи между компьютерами очень редки, тогда запишем следующее уравнение:

где - возмущение , матрицы и не зависят от



где это матрица и для нее выполняется условие, что для .

Рассмотрим . Определим

Лемма. Пусть - непрерывная функция. Предположим, что

1. равномерно сходится к на промежутке , при

2. имеет единственный абсолютный максимум в области

Тогда получим, что:

Из данной леммы следует, значения дохода и оптимальной периодичности обращений к базе при получаются приближенными к значениям сети без взаимодействий, а значит можно использовать первую модель для расчета оптимальной периодичности обращений к базе обновлений.

Для различных значений в диапазоне [0, ] был построен график зависимости оптимального значения параметра (рис. 2). Видно, что при стремлении значения к нулю оптимальные интервалы между обращениями к базе обновлениями совпадают с результатами локальной системы без взаимодействия. Заметим, что начиная со значения и меньше оптимальное отличается на несколько сотых.

Рис. 2 График зависимостиоптимальной от

Также был построен график зависимости дохода от различных значений (рис. 3), что опять же показывает, что при значении графики уже идентичны с графиком при .



Рис. 3 График зависимости дохода от периодичности доступов к базе при разных

Математическая модель была построена, был найден оптимальный параметр и была выведена лемма о том, что при оптимальная периодичность обновлений не сильно отличается от системы без взаимодействий. Также были построены графики зависимости значения оптимального параметра от и дохода сети от оптимального значения обращений к базе обновлений .

3. Имитационная модель

3.1 Описание модели

Также была разработана имитационная модель антивирусной защиты в локальной сети с различными интенсивностями вирусных атак на высокоуровневом языке программирования Python. Были смоделированы вирусные атаки, которые создаются вызовом функции virusAttackArray(event, session, periodicity), где eventэто название события, например, “virusattack 1”,session -это промежуток времени на котором будет рассматриваться модель и periodicity- это периодичность вирусных атак, для каждого компьютера она своя. Также были сконструированы обращения к базе обновлений функцией baseUpdateArray(event, session, periodicity, duration), первые три параметра аналогичные, а duration- это длительность обращения к базе, распределенная экспоненциально. Далее был воспроизведен жизненный цикл компьютеров с помощью функции antivirus Work(session, antivirus Periodicity, antivirus Duration, healProb, virus AttackPeriodicity, virusAttackPeriodicity2, connection Periodicity, income, outcome, anti Virus Cost) с аналогичными параметрами, только появилась связь между компьютерами - connection Periodicity, и параметры определяющие доход и убытки компьютеров: income, outcome.В ходе выполнения программы мы получаем таблицу событий и состояний компьютерной сети.

Можем заметить, что в данной таблице (рис. 4) 8 столбцов: первый это номер события, которое происходит в данный момент времени, второй это время старта события, третий - название события, следующий это счетчик событий одного типа, нужен для внутренних вычислений, 5 и 6 это состояния компьютеров в момент определенного события, 7 и 8 это доход компьютера, который считается от предыдущего события до нынешнего, начинается всё с события startи кончается событием end.



Рис. 4. Пример таблицы состояний компьютерной сети

Изначально компьютеры не заражены и готовы к работе. Если происходит вирусная атака на один компьютер, то он заражается, а другой продолжает работать в своем режиме, как и на рис. 3 в состоянии 1. Всего у каждого компьютера 3 состояния: “clear”, “infected”, “curing” - чистый, зараженный, в процессе обновления соответственно. Когда компьютер находится в процессе обновления, то все вирусные атаки на этот компьютер и сообщения внутри сети не производят никакого действия. События бывают 7типов: “virus attack 1”, “virus attack 2”, “base update start/end”, “base update 2 start/end”, “connection”. Компьютер получается доход, когда находится в состоянии “clear” и “infected”, но, когда он в состоянии “infected”, он также терпит убытки, заданные заранее. Во время обновления узел не приносит никакого дохода и не терпит убытков. Также компьютер лечится с заданной вероятностью healProb.

3.2 Прибыль и оптимизация

После воссоздания жизненного цикла компьютера программа считывает данные и на основе данной статистики создает график зависимости дохода от периодичности доступов к базе обновления

Рис. 5 График зависимости дохода от периодичности доступов к базе

Данный график (рис. 5) построен на основе собранных на практике данных с такими же параметрами, как и в теоретической части работы. Для сравнения был создан такой же график, но по теоретическим формулам (рис. 6). Как можно заметить, графики практически совпадают, это говорит о том, что программа составлена верно, как и значения: , что практически совпадает с , разница появляется из-за того, что на практике при увеличении кол-ва тестов и уменьшении шага между значениями, а также при увеличении рассматриваемого промежутка будут приближать к теоретическому результату.

Рис. 6 Теоретический результат графика для

На основе полученных данных можно сказать, что построена имитационная модель верно, практические результаты совпадают с теоретическими, был описан жизненный цикл локальной компьютерной сети, на которую происходят атаки с различными интенсивностями.

Заключение

В ходе выполнения данной работы были получены следующие результаты:

1. Построена математическая модель антивирусной защиты локальной компьютерной сети с различными интенсивностями внешних вирусных атак

2. Была оптимизирована периодичность обращений к базе обновлений в компьютерной сети и найден максимальный доход

3. Имитационная модель была сконструирована

4. Был проведен сравнительный анализ теоретических и практических результатов

На основе данных результатов можно сказать, что работа выполнена полностью, научная новизна заключается в том, что комбинируется создание математической и имитационной модели для полного анализа данной сети.

Практическая значимость работы заключается в том, что при должной доработке данную работу можно применять к реальным компьютерным сетям и получать максимальный доход компании. И данная работа может стать базисом для дальнейших исследований по схожим темам.

Список использованных источников

1. E. Gourdin, J. Omic and P. Mieghem, Optimization of network protection against virus spread, Design of Reliable Communication Networks (DRCN), 8th International Workshop, 86-93 2011/

2. Fred Cohen, “Models of practical defenses against computer viruses” Computers €4 Security, vol. 8, pp. 149-160 1989

Приложение



Размещено на Allbest.ur

...