Применение комбинированного нейросетевого метода для обнаружения низкоинтенсивных DDoS-атак на web-сервисы
Разработка модели представления низкоинтенсивной атаки в виде аддитивного наложения атакующего воздействия и легального сетевого трафика. Исследование эффективности разработанного метода. Анализ современных техник противодействия низкоинтенсивным атакам.
| Рубрика | Программирование, компьютеры и кибернетика |
| Вид | статья |
| Язык | русский |
| Дата добавления | 30.07.2017 |
| Размер файла | 52,9 K |
Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
Размещено на http://www.allbest.ru/
Применение комбинированного нейросетевого метода для обнаружения низкоинтенсивных DDoS-атак на web-сервисы
Е.С. Абрамов1, Я.В. Тарасов2
1Южный федеральный университет, Ростов-на-Дону
2 ЗАО «Инфосистемы Джет», Москва
Аннотация
В статье представлены результаты разработки комбинированного нейросетевого метода обнаружения низкоинтенсивных (low-rate) атак типа «отказ в обслуживании» Разработана модель представления low-rate-атаки в виде аддитивного наложения атакующего воздействия и легального сетевого трафика. Задача разработки метода обнаружения атак представлена как последовательное решение задач выделения гомогенных групп временного ряда на основании моделей распознавания образов и последующего построения для каждой группы отдельной модели прогнозирования.
Ключевые слова: обнаружение атак; низкоинтенсивная атака; отказ в обслуживании, искусственная нейронная сеть; безопасность вычислительных сетей, распознавание образов.
Введение
Существующие методы обнаружения DoS-атак (denial of service, отказ в обслуживании), основанные на статистическом анализе пороговых значений, показали низкую эффективность для обнаружения нового класса DoS-атак прикладного уровня - низкоинтенсивных атак (low-rate-DoS) [1]. Общие сведения по проблеме и некоторые новые подходы рассматриваются в следующих работах: в [2] рассматриваются категории DoS-атак и общие подходы к обнаружению таких атак; в [3] и [4] представлен опыт создания лабораторной инфраструктуры для моделирования и изучения low-rate атак и результаты выделения характеристик атак, используемых в дальнейшем при разработке новых методов обнаружения; в [5] рассматриваются результаты исследований по разработке метода обнаружения на основе характеристик подобия атакующего трафика; вопросы эффективности типовых средств защиты информации против low-rate DDoS атак проанализированы в [1]; в [6] описывается использование многослойного персептрона (multi-layer perceptron, MLP) для обнаружения распределённых во времени сетевых событий с предварительной кластеризацией событий.
Характерными представителями рассматриваемого класса DDoS-атак являются атаки RUDY [3], SlowLoris [7] и HTTP-flood [4, 5]. В результате анализа сценариев низкоинтенсивных атак, приведённого в [8], было показано, что для рассматриваемых сценариев атак характерным является наличие определенных пакетов, повторяющихся с определенной частотой по малой временной шкале.
Все сценарии атак характеризуются следующими основными особенностями:
- генерация периодического трафика малого объёма;
- атакующее воздействие составляют однотипные элементы трафика;
- отдельный запрос или сетевой пакет нельзя определить как аномалию.
Во всех сценариях время между отправкой пакетов существенно меньше времени ожидания окончания соединения. Но поскольку значение ожидания окончания соединения (connection time out) является настраиваемым параметром, нельзя точно установить определенный период между отправкой пакетов. Таким образом, для проведения атаки достаточно, чтобы очередной пакет мог прийти в любой момент из интервала ожидания.
Модель низкоинтенсивной DoS- атаки
Для обнаружения атаки необходимо выявлять периодическое появление определённого однотипного набора пакетов во входящем трафике, после чего относить этот набор к нормальному или аномальному классу (под аномалией будем понимать наличие низкоинтесивной атаки). При этом порядок следования пакетов в сценарии ведущей роли не играет. Информация о времени прихода пакетов учитывается при разбиении входящего трафика на "окна".
Свойствами набора пакетов, позволяющими отнести его к аномальному классу, являются, по значимости, следующие:
1) Полезная нагрузка протокола HTTP.
2) Порядок поступления пакетов.
3) Дельта времени между соседними пакетами.
Первое свойство позволяет определить тип пакета, второе - отнести набор пакетов к определённому сценарию.
Формальная задача разработки метода обнаружения атаки заключается в разработке классификатора , который выдает метки классов (атакующее воздействие и легитимные данные) для временного ряда :
, (1)
где - длина истории событий, а событие представляет собой вектор атрибутов события т.е.
, V - количество рассматриваемых атрибутов.
Тогда задача обнаружения сводится к классификации многомерных временных рядов. Из работы [9] следует, что для решения поставленной задачи регрессионные и авторегрессионные модели и методы не подходят. Из используемых моделей наиболее перспективными представляются комбинированные модели с базовой моделью на основе нейронных сетей [8, 10, 11].
Для решения задач классификации временных рядов, представленных в виде последовательности атрибутов событий (т.е. собственно временного ряда) используется класс нейросетевых моделей на основе рекуррентных нейронных сетей (сеть Джордана, сеть Хопфилда и их варианты [12]).
Однако данные архитектуры сетей имеют ряд особенностей, делающих их использование нежелательными для решения задачи исследования:
1) Склонность рекуррентных нейронных сетей к переобучению.
2) Большой размер обучающей выборки. Специфика решаемой задачи делает сбор дополнительных обучающих векторов нежелательным, а иногда невозможным.
3) Низкая точность классификации или предсказания на коротких последовательностях событий с высоким уровнем шума [13].
Альтернативным подходом к классификации временных рядов является следующий:
- выделение признаков на скользящем окне;
- последующее обучение классификатора непосредственно для окна [12].
Поясним данную идею. Пусть имеется ряд , , где N - длина временного ряда. Тогда временной ряд разделяется на участки (окна) В, каждое окно представляет собой вектор определенной длины, длина окна имеет смысл длины истории событий Z (см. формулу 1).
1.
2. for i = 0:N-1:
3. (алгоритм 1)
4. if i mod Z == Z-1:
5. k = k + 1
Однако, для решения поставленной задачи основной проблемой при применении данного подхода является то, что элемент классифицируемого временного ряда является вектором, т.е. , V - количество рассматриваемых атрибутов. Полученные в результате «развертывания» многомерного временного ряда вектора будут иметь B значительную размерность , что отрицательно влияет на вычислительную сложность метода.
Данная частная проблема решается использованием методов снижения размерности данных и кластеризации.
Подробно применение методов снижения размерности данных в решаемой задаче рассматривается в [8,14,15].
Для определенности в дальнейшем и для проведения экспериментальных исследований мы будем использовать для понижения размерности алгоритм кластеризации на основе самоорганизующейся карты Кохонена (self-organizing map, SOM) [16].
Метод обнаружения низкоинтенсивных атак
Разрабатываемый метод, как и любой другой метод машинного обучения, может быть представлен в виде последовательности двух фаз: обучение и классификация.
Назначение фазы обучения заключается в построении классификатора путем итеративной настройки параметров на множестве обучающих примеров (т.н. обучающем множестве), а также оценке (верификации) полученной модели прогнозирования на множестве проверочных примеров (тестовом множестве). Необходимо отметить, что обучающее множество и тестовое множество должны быть предварительно классифицированы экспертом (хотя бы частично) [12].
Если результат проверки обученного классификатора на тестовом множестве совпадает с ожидаемыми и достаточен для классификации осуществляется переход к следующему этапу. Фаза обучения лежит в канве общего принципа построения моделей данных, приведенного в [8] и конкретизируется только обучением. Результатом фазы обучения является классификатор с настроенными параметрами.
Назначение фазы классификации заключается в вычислении меток классов для неизвестных ранее наборов данных с использованием обученного классификатора. Результатом фазы классификации является множество меток классов для неизвестных ранее наборов данных.
Сформулируем шаги метода.
1. Для каждого защищаемого сервиса построить отдельную гибридную ИНС. В дальнейшем рассматриваем обнаружение атаки на один сервис, остальные работают аналогично.
2. Для отдельного сервиса получить набор пакетов, число которых определено величиной окна.
3. Сформировать вектора для шага снижения размерности (самоорганизующейся карты).
4. Снизить размерность входных данных. В разрабатываемом методе - кластеризовать вектора при помощи SOM.
5. Построить вектора для MLP, в которых каждый компонент соответствует номеру кластера, которому принадлежит пакет. Т.о. входным вектором будет набор кластеризованных пакетов, сохраняющий информацию о порядке (последовательности) поступления. Для пакетов уже определена принадлежность к определённому типу.
6. Проанализировать вектора на MLP, классифицировать выявленные в трафике наборы. В данном случае происходит разделение на два класса - атака или норма.
Необходимо отметить, что разделение входящих пакетов по адресам источников представляется ненужным, т.к. в решаемой задаче не влияет ни на последовательность поступления пакетов, ни на их содержимое.
Подробно шаги метода рассматриваются в [8]. Отметим следующее:
1. Для проведения исследований используются предварительно сохранённые наборы векторов двух типов - полученные на основе "чистого" трафика, и полученные на основе атакующих пакетов, содержащих трафик низкоинтенсивной атаки. Сохранённые пакеты разбивались на интервалы-окна в соответствии с алгоритмом 1формулой 2.
, (2)
где Sbyte - скорость передачи информации в сети в байтах в секунду,
Pmin - минимальный теоретический размер пакета,
u - коэффициент, показывающий уровень утилизации канала передачи информации.
Окно сдвигается на определённую величину на каждой итерации работы метода, обеспечивая перекрытие с предыдущим окном. Величина сдвига зависит от аппаратной производительности платформы и подбирается на этапе экспериментального исследования (развёртывания системы в реальной защищаемой сети на фазе обучения). Это позволяет точно установить факт начала атаки.
Каждый пакет из окна преобразуется в формат входного вектора для SOM. Состав компонентов входного вектора следует из перечня свойств, позволяющих определить наличие атаки.
Таблица № 1. Состав компонентов входного вектора
|
№ байта |
Содержание |
|
|
1 |
Дельта временной метки от предыдущего пакета, приведённая в диапазон 0-1 |
|
|
2 - 51 |
Порция строковых данных пакета в ASCII-2 кодировке, приведённая в диапазон 0-1 [6, 17] |
2. SOM используется для кластеризации событий в узлы матрицы, в которых будут сгруппированы события (пакеты) определённых типов.
На этапе классификации на вход SOM последовательно подаются вектора из текущего окна, которые распределяются по кластерам. В результате каждая компонента выходного вектора SOM соответствует сетевому пакету. Выходной вектор SOM имеет вид <N1, N2,…, Ni>, где i определяется размером окна, а N указывает на то, к какому кластеру сети Кохонена принадлежит данный пакет.
3. Выходной вектор SOM является входным вектором MLP.
4. После этого вектора подаются на вход многослойного персептрона, обученного распознавать атакующие последовательности пакетов, но уже с учётом информации о событии, т.е. принадлежности пакета той или иной группе-сценарию.
На этапе классификации MLP будет анализировать очередное окно пакетов, классифицируя его как нормальный или атакующий сценарий. Ответы интерпретируются следующим образом:
- если yn>0.7 и ya<0.3, то набор пакетов нормальный;
- если yn<0.3 и ya>0.7, то набор пакетов атакующий;
- иначе - ИНС не может классифицировать пакет.
Результаты анализа («норма», «атака», «невозможно классифицировать») выводятся по каждому окну.
Для экспериментального исследования разработанного метода был разработан прототип системы обнаружения низкоинтенсивных атак на web-сервисы на основе протокола http.
Система использует сенсор, работающий на основе библиотеки libpcap [18].
Экспериментальное исследование и оценка эффективности разработанного метода
Обучение SOM происходит на отдельных пакетах, последовательно выбираемых из окна. Перед подачей на SOM и MLP все данные нормирe.ncz в диапазон [0,1]. Сеть Кохонена имеет гексагональную структуру связей нейронов и размеры 25 на 20.
Размер окна вычисляется по формуле 2 и зависит от ограничений технологии Ethernet [19] и загруженности полосы пропускания сети. Используются следующие значения:
- размер окна 1500 пакетов - нормальной утилизации в 1% при скорости сети 100 Мбит/с [19,20];
- размер окна 30 пакетов - минимальное значение, встречающееся в правилах IDS Snort для низкоинтенсивных атак.
- размер окна 180 - соответствует скорости поступления 1 пакет в секунду.
Персептрон имеет следующую структуру - два скрытых и выходной слой, активационная функций в скрытый слоях - гиперболический тангенс, в выходном слое - линейная. Число нейронов в скрытых слоях - 21 и 7 (подобрано в ходе экспериментов). Метод обучения - trainlm.
Для обучения искусственной нейронной сети моделировались два типа сетевого трафика - нормальный и аномальный. Первый содержал пакеты, появляющиеся в сети при обычной работе, а второй имитировал распределённую низконтенсивную атаку с 10 адресов.
Размер нормального набора - 459565 пакетов.
Размер атакующего набора - 428890 пакетов.
Распознавание осуществлялось на тестовой выборке. Оценивалась близость к эталону. Распознавание считалось успешным, если абсолютная разница между эталонными и фактическими значениями для каждой компоненты выходного вектора не превосходила 0.3.
Результаты экспериментального исследования представлены в таблице 2.
Таблица 2. Результаты работы прототипа системы обнаружения атак
|
№ |
Длина строки |
Величина обуч. выборки для SOM, пакетов |
Величина обуч. выборки для FFNET, окон |
Размер окна |
Размер сдвига |
Результат на тестовой выборке |
||
|
Ошибка 1 рода |
Ошибка 2 рода |
|||||||
|
1. |
20 |
5000 |
4000 |
30 |
3 |
8.1827e-04 |
0.0050 |
|
|
2. |
50 |
30000 |
24000 |
30 |
3 |
0.0367 |
0.0172 |
|
|
3. |
20 |
5000 |
800 |
180 |
18 |
0 |
3.4378e-04 |
|
|
4. |
50 |
30000 |
4800 |
180 |
18 |
0.0449 |
0.0449 |
|
|
5. |
20 |
5000 |
90 |
1500 |
150 |
0.0554 |
0.5287 |
|
|
6. |
50 |
30000 |
540 |
1500 |
150 |
0 |
0.0033 |
|
|
7. |
20 |
5000 |
900 |
30 |
15 |
0.0118 |
0.0900 |
|
|
8. |
50 |
30000 |
5400 |
30 |
15 |
0.0289 |
0.0232 |
|
|
9. |
20 |
5000 |
160 |
180 |
90 |
0.0011 |
0.1124 |
|
|
10. |
50 |
30000 |
960 |
180 |
90 |
0 |
0.1447 |
|
|
11. |
20 |
5000 |
20 |
1500 |
750 |
0.1154 |
0.8386 |
|
|
12. |
50 |
30000 |
120 |
1500 |
750 |
0 |
0.0471 |
Наихудший результат ложных срабатываний не превышает 0,12% в эксперименте № 11. Значение пропуска цели (т.е. эффективность распознавания) поднималось до 0,84% в том же эксперименте. Данный результат предсказуемо обусловлен минимальным размером анализируемых данных и обучающей выборки, использовавшимся в анализируемом эксперименте. низкоинтенсивный атака сетевой трафик
Наилучшие результаты разработанный метод показал в экспериментах 1, 6, 12, что подтверждает теоретические предположения. Результаты 12 эксперимента показывают теоретическую возможность эффективного применения метода на высоких скоростях поступления пакетов [25,26].
Анализ техник противодействия низкоинтенсивным атакам
Рассмотрим техники, применяемые сегодня для обнаружения и противодействия low-rate DDoS атакам. Для этого используют конфигурирование правил межсетевых экранов и систем обнаружения вторжений (IDS). Правила межсетевого экранирования рассматриваются на примере iptables [21], правила систем обнаружения вторжений - на примере Snort [22].
1) Статический лимит соединений
iptables -I INPUT -p tcp --syn --dport 80 -m connlimit \
--connlimit-above 5 --connlimit-mask 32 -j DROP
iptables -I INPUT -p tcp --dport 80 -j ACCEPT
Правила ограничивают число соединений пятью с одного узла. При превышении этого лимита попытка соединения запрещается. Если у атакующего достаточно большой ботнет, он всё равно может успешно атаковать. Также значение connlimit должно быть очень низким, чтобы защитить web-сервер. Это может существенно затруднить использование сервера легитимными клиентами и вызывает большое число ложных срабатываний (false positives). Такие правила затрудняют или исключают использование NAT и proxy-серверов.
2) Динамический лимит соединений
iptables -I INPUT -p tcp -m state --state NEW --dport 80\
-m recent --name slowloris --set
iptables -I INPUT -p tcp -m state --state NEW --dport 80\
-m recent --name slowloris --update \
--seconds 15 --hitcount 10 -j DROP
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
Первые два правила проверяют новые соединения и число соединений с одного ip-адреса. Если с одного ip-адреса создаётся более 10 соединений в течение 15 секунд, то такие пакеты блокируется. Для такого набора правил характерно неприемлемо большое число ложных срабатываний [23]. Легитимные подключения хостов через один NAT и proxy-сервер также будут удовлетворять этим правилам и будут блокироваться межсетевым экраном.
3) Применение правил IDS
Правила Snort, входящие в состав набора правил по умолчанию [24], основаны на поиске строковых шаблонов, специфичных для определённых сценариев атак, и контроле пороговых значений пакетов в единицу времени.
alert tcp any any -> any any (msg:"low-rate DDoS";
flow:to_server,established; content:”some DoS tool user-agent specific content”
detection_filter:track by_src, count 20, seconds 20;
metadata:service http; classtype:attempted-dos; sid:1234572; rev:2;)
Такие правила легко обходятся, поскольку параметры сценария и user-агента легко реконфигурируются. Кроме того, как и в случае правил межсетевого экрана, основанных на контроле числа соединений, эти правила IDS генерируют много ложных срабатываний.
Заключение
В статье представлено описание разработанного метода обнаружения низкоинтенсивных атак «отказ в обслуживании», основанного на использовании гибридной нейронной сети.
Результаты сравнительного анализа применяемых методов обнаружения low-rate атак показывают, что методы защиты серверов, основанные на изменении конфигурации сервера или применении правил межсетевых экранов и IDS не позволяют эффективно защищаться от low-rate DDoS. Для этих методов характерно высокий уровень ложных срабатываний (ошибок первого рода).
Экспериментальная оценка эффективности предложенного в статье метода показала высокий процент обнаружения атак за счёт снижения числа необнаруженных атак (ошибок второго рода) и низкий уровень ложных срабатываний, при этом скорость работы метода зависит лишь от скорости обработки поступающих пакетов.
Литература
1. Moustis D., Kotzanikolaou P. Evaluating security controls against HTTP-based DDoS attacks Fourth International Conference on Information, Intelligence, Systems and Applications (IISA), 2013. URL: ieeexplore.ieee.org/abstract/document/6623707/
2. C. Douligeris and A. Mitrokotsa, “DDoS attacks and defense mechanisms: classification and state-of-the-art,” Elsevier Computer Networks, vol. 44, no. 5, pp. 643-665, April 2004.
3. E. Damon, J. Dale, E. Laron, J. Mache, N. Land, and R. Weiss, “Hands-on denial of service lab exercises using slowloris and rudy,” in Proceedings of the 2012 Information Security Curriculum Development Conference, ser. InfoSecCD '12. New York, NY, USA: ACM, 2012, pp. 21-29. URL: doi.acm.org/10.1145/2390317.2390321
4. Ievgen Duravkin; Anastasiya Loktionova; Anders Carlsson Method of slow-attack detection 2014 First International Scientific-Practical Conference Problems of Infocommunications Science and Technology URL:http://ieeexplore.ieee.org/document/6992341/
5. Maurizio Aiello; Enrico Cambiaso; Silvia Scaglione; Gianluca Papaleo A similarity based approach for application DoS attacks detection 2013 IEEE Symposium on Computers and Communications (ISCC). URL: ieeexplore.ieee.org/document/6754984/
6. Абрамов Е.С., Сидоров И.Д., Метод обнаружения распределённых информационных воздействий на основе нейронной сети // Известия ЮФУ. Технические науки, 2009, №. 11 (100) С. 154-164.
7. “Slowloris http dos,” URL: ha.ckers.org/slowloris, Tech. Rep.
8. Тарасов Я.В. Модель низкоинтенсивной сетевой атаки "отказ в обслуживании" // МГТУ им. Баумана, В сборнике трудов VII всероссийской научно-технической конференции "Безопасность информационных технологий " (BIT - 2016).
9. Chuchueva I.A. Model prediction of time series based on a sample of maximum similarity // PhD degree work. M.:2012.
10. Fogler H.R. A pattern recognition model for forecasting // Management science. 1974, No.8. pp. 1178 - 1189.
11. Discovering Patterns in Electricity Price Using Clustering Techniques / F. Martinez Alvarez [at al.] // ICREPQ International Conference on Renewable Energies and Power Quality, Spain, Sevilla, 2007: URL:http://www.icrepq.com/icrepq07/245-martinez.pdf.
12. Haykin. Neural Networks: A Comprehensive Foundation. Prentice Hall, Upper Saddle River, New Jersey, 2nd edition, 1999, 842 p.
13. Lee Giles, Steve Lawrence, Ah Chung Tsoi Noisy Time Series Prediction using Recurrent Neural Networks and Grammatical Inference // Machine Learning July 2001, Volume 44, Issue 1, pp 161-183.
14. Fodor, I. (2002) "A survey of dimension reduction techniques". Center for Applied Scientific Computing, Lawrence Livermore National, Technical Report UCRL-ID-148494
15. Van der Maaten, L.J.P.; Hinton, G.E. (Nov 2008). "Visualizing High-Dimensional Data Using t-SNE" (PDF). Journal of Machine Learning Research 9: pp. 2579-2605.
16. Kohonen, T. Self-Organizing Maps. Third, extended edition. Springer, 2001.
17. Ghost, A.K., et al. “Detecting Anomalous and Unknown Intrusions Against Programs in Real-Time”. DARPA SBIR Phase I Final Report. Reliable Software Technologies.
18. Command-line packet analyzer tcpdump. URL: tcpdump.org/
19. Robert Graham, "What's the max speed on Ethernet?" // URL: blog.erratasec.com/2013/10/whats-max-speed-on-ethernet.html#.UlbwuNK8Dp8
20. Stephen Northcutt, Judy Novak (2002) “Network Intrusion Detection An Analyst's Handbook” // Sams Publishing, 346 pp.
21. “The netfilter iptables project,” URL: netfilter.org/projects/iptables/index.html.
22. “The snort project,” URL: snort.org.
23. “Slowloris dos mitigation guide,” URL:.funtoo.org/wiki/Slowloris DOS Mitigation Guide.
24. “Snort: snort-rules,” URL: snort.org/snort-rules/.
25. Бабенко Г.В., Белов С.В. Анализ трафика TCP/IP на основе методики допустимого порога и отклонения // Инженерный вестник Дона, 2011, №2 URL: ivdon.ru/ru/magazine/archive/n2y2011/446.
26. Георгица И.В., Гончаров С.А., Мохов В.А. Мультиагентное моделирование сетевой атаки типа DDoS // Инженерный вестник Дона, 2013, №3 URL: ivdon.ru/ru/magazine/archive/n3y2013/1852.
References
1. Moustis D., Kotzanikolaou P. Evaluating security controls against HTTP-based DDoS attacks. Fourth International Conference on Information, Intelligence, Systems and Applications (IISA), 2013 URL:http://ieeexplore.ieee.org/abstract/document/6623707/
2. C. Douligeris and A. Mitrokotsa, “DDoS attacks and defense mechanisms: classification and state-of-the-art,” Elsevier Computer Networks, vol. 44, no. 5, pp. 643-665, April 2004.
3. E. Damon, J. Dale, E. Laron, J. Mache, N. Land, and R. Weiss, “Hands-on denial of service lab exercises using slowloris and rudy,” in Proceedings of the 2012 Information Security Curriculum Development Conference, ser. InfoSecCD '12. New York, NY, USA: ACM, 2012, pp. 21-29. URL: doi.acm.org/10.1145/2390317.2390321
4. Ievgen Duravkin; Anastasiya Loktionova; Anders Carlsson Method of slow-attack detection 2014 First International Scientific-Practical Conference Problems of Infocommunications Science and Technology URL: ieeexplore.ieee.org/document/6992341/
5. Maurizio Aiello; Enrico Cambiaso; Silvia Scaglione; Gianluca Papaleo A similarity based approach for application DoS attacks detection 2013. IEEE Symposium on Computers and Communications (ISCC) URL: ieeexplore.ieee.org/document/6754984/
6. Abramov E.S., Sidorov I.D., Izvestiya YuFU. Tekhnicheskie nauki, 2009, No. 11 (100).
7. “Slowloris http dos,” URL: ha.ckers.org/slowloris, Tech. Rep.
8. Tarasov Y.V. MSTU Bauman, in proceedings of VII All-Russian Scientific and Technical Conference "Safety of information technology" (BIT - 2016).
9. Chuchueva I.A. PhD degree work. M.:2012.
10. Fogler H.R. Management science. 1974, No.8. pp. 1178 - 1189.
11. Discovering Patterns in Electricity Price Using Clustering Techniques. F. Martinez Alvarez [at al.] ICREPQ International Conference on Renewable Energies and Power Quality, Spain, Sevilla, 2007: URL:http://www.icrepq.com/icrepq07/245-martinez.pdf.
12. Haykin. Neural Networks: A Comprehensive Foundation. Prentice Hall, Upper Saddle River, New Jersey, 2nd edition, 1999, 842 pages.
13. Lee Giles, Steve Lawrence, Ah Chung Tsoi Machine Learning July 2001, Volume 44, Issue 1, pp. 161-183.
14. Fodor,I. (2002) "A survey of dimension reduction techniques". Center for Applied Scientific Computing, Lawrence Livermore National, Technical Report UCRL-ID-148494.
15. Van der Maaten, L.J.P.; Hinton, G.E. (Nov 2008). "Visualizing High-Dimensional Data Using t-SNE" (PDF). Journal of Machine Learning Research 9: 2579-2605.
16. Kohonen, T. Self-Organizing Maps. Third, extended edition. Springer, 2001.
17. Ghost, A.K., et al. “Detecting Anomalous and Unknown Intrusions Against Programs in Real-Time”. DARPA SBIR Phase I Final Report. Reliable Software Technologies.
18. Command-line packet analyzer tcpdump. URL: tcpdump.org/.
19. Robert Graham, "What's the max speed on Ethernet?" URL: blog.erratasec.com/2013/10/whats-max-speed-on-ethernet.html#.UlbwuNK8Dp8
20. Stephen Northcutt, Judy Novak (2002) “Network Intrusion Detection An Analyst's Handbook”. Sams Publishing, 346 pp.
21. “The netfilter iptables project,” URL: netfilter.org/projects/iptables/index.html.
22. “The snort project,” URL: snort.org.
23. “Slowloris dos mitigation guide,” URL: funtoo.org/wiki/Slowloris DOS Mitigation Guide.
24. “Snort: snort-rules,” URL: snort.org/snort-rules/.
25. Babenko G.V., Belov S.V. Inћenernyj vestnik Dona (Rus), 2011, №2. URL: ivdon.ru/ru/magazine/archive/n2y2011/446.
26. Georgica I.V., Goncharov S.A., Mohov V.A. Inћenernyj vestnik Dona (Rus), 2013, №3. URL: ivdon.ru/ru/magazine/archive/n3y2013/1852.
Размещено на Allbest.ru
...Подобные документы
Анализ основных атак на протокол TLS и определение методов противодействия этим атакам. Разработка метода перехвата и расшифровки трафика, передаваемого по протоколу HTTPS. Расшифровка передаваемых данных в режиме, приближенному к реальному времени.
статья [1013,4 K], добавлен 21.09.2017Методы противодействия сетевым атакам. Алгоритм действия на сетевом уровне. Методы осуществления парольных атак. Атаки типа Man-in-the-Middle. Сетевая разведка, несанкционированный доступ. Переадресация портов. Вирусы и приложения типа "троянский конь".
курсовая работа [110,1 K], добавлен 20.04.2015DDoS атаки. Спасение от DDoS атак. Предотвращение DDoS атак. Аппаратная защита программного обеспечения, компьютера и информации, сети. Хакинг, как сфера исследования. Типы хакеров. Методы хакинга. Защита от программ Microsoft. CMOS SETUP.
курсовая работа [39,5 K], добавлен 06.02.2007Модели нарушителей глобальной информационной системы Интернет. Классификация угроз в соответствии с IT-Baseline Protection Manual. Реализация DoS/DDos атак. Программная реализация Snort: установка, препроцессоры и структура модулей обнаружения и вывода.
дипломная работа [509,5 K], добавлен 05.06.2011Компьютерные атаки и технологии их обнаружения. Сетевые системы нахождения атак и межсетевые экраны. Программные средства анализа защищенности и отражения угроз. Внедрение программных средств выявления атак для информационной системы предприятия.
курсовая работа [53,6 K], добавлен 16.03.2015Обобщенная модель процесса обнаружения атак. Обоснование и выбор контролируемых параметров и программного обеспечения для разработки системы обнаружения атак. Основные угрозы и уязвимые места. Использование системы обнаружения атак в коммутируемых сетях.
дипломная работа [7,7 M], добавлен 21.06.2011Исследование криптографического протокола, способного обеспечить надежную взаимную аутентификацию и обмен ключами, оставаясь наименее уязвимым к DDoS атакам. Анализ существующих аналогичных протоколов. Программная реализация схемы, платформа разработки.
дипломная работа [850,3 K], добавлен 11.07.2012- Разработка и исследование метода сетевого оператора для адаптивного управления динамическим объектом
Понятие адаптивного управления как совокупности действий и методов, характеризующихся способностью управляющей системы реагировать на изменения внешней среды. Применение метода сетевого оператора для синтеза адаптивного управления мобильным роботом.
дипломная работа [1,4 M], добавлен 17.09.2013 Концепция адаптивного управления безопасностью. Средства анализа защищенности сетевых протоколов и сервисов. Компоненты и архитектура IDS. Классификация систем обнаружения атак. Поиск уязвимостей в современных системах IDS. Методы реагирования на атаки.
курсовая работа [488,5 K], добавлен 13.12.2011Исследование основ метода движения трафика в сети. Ознакомление с IP адресацией и IP пакетами, протоколами. Определение понятия и функций сокета. Создание программного приложения мониторинга трафика (поступления и отправки пакетов между абонентами).
курсовая работа [474,7 K], добавлен 20.04.2015Анализ современных информационно-вычислительных сетей предприятия. Построение модели незащищенной информационно-вычислительной сети предприятия. Виды удаленных и локальные атак. Анализ сетевого трафика. Методы защиты информационно-вычислительной сети.
курсовая работа [640,2 K], добавлен 26.06.2011Сущность интеллектуальных систем. Запись математического выражения в виде ориентированного графа. Особенности разработки генетического алгоритма для решения задачи аппроксимации логического вывода экспертной системы на основе метода сетевого оператора.
дипломная работа [1,0 M], добавлен 17.09.2013Классификация сетевых атак по уровню модели OSI, по типу, по местоположению злоумышленника и атакуемого объекта. Проблема безопасности IP-сетей. Угрозы и уязвимости беспроводных сетей. Классификация систем обнаружения атак IDS. Концепция XSpider.
курсовая работа [508,3 K], добавлен 04.11.2014Обзор области генерации сетевого трафика. Описание выбранных методов, моделей, алгоритмов решения задач. Создание модели поведения пользователя, распределение количества посещённых страниц сайта. Выбор средств реализации программного продукта (проекта).
курсовая работа [1,3 M], добавлен 30.06.2017Способы применения технологий нейронных сетей в системах обнаружения вторжений. Экспертные системы обнаружения сетевых атак. Искусственные сети, генетические алгоритмы. Преимущества и недостатки систем обнаружения вторжений на основе нейронных сетей.
контрольная работа [135,5 K], добавлен 30.11.2015Удобство и возможности системы предотвращения атак Snort, типы подключаемых модулей: препроцессоры, модули обнаружения, модули вывода. Методы обнаружения атак и цепи правил системы Snort. Ключевые понятия, принцип работы и встроенные действия iptables.
контрольная работа [513,3 K], добавлен 17.01.2015Анализ проблемных ситуаций на предприятии "Ставропольский ЦСМ" и разработка метода защиты его базы данных. Спецификация разработанного программного продукта и расчет затрат на его создание. Коэффициент повышения оперативности управления информацией.
дипломная работа [2,1 M], добавлен 01.07.2011Классификации атак на отказ, их характеристики: тип, направление, схема и способ. Отраженные распределенные атаки на отказ. Назначение и проведение непрямой компьютерной атаки, функции IRC-ботнетов. Виды прямых атак (HTTP Flood, SYN Flood и прочие).
реферат [122,2 K], добавлен 22.01.2014Анализ современного состояния общей проблемы синтеза моделей многофакторного оценивания и подходов к ее решению. Разработка математической модели метода компараторной идентификации модели многофакторного оценивания. Описание генетического алгоритма.
дипломная работа [851,7 K], добавлен 11.09.2012Общая характеристика информационных технологий и модели угроз компьютерной сети. Изучение средств защиты периметра сети и построение системы активного отражения атак в корпоративных сетях. Система обнаружения вторжений и автоматического отражения атаки.
дипломная работа [770,6 K], добавлен 19.10.2011
