Диагностика деструктивных информационных вторжений на основе оценки производительности распределенных управляющих систем

Размещено на http://allbest.ru

Орловский государственный технический университет

Еременко Владимир Тарасович, к.т.н.

доцент кафедры «Информационные системы»,

Россия, г.Орел

Современный этап развития распределенных управляющих систем (РУС) характеризуется повышением их функциональной насыщенности. Для использования всех возможностей таких систем в полном объеме необходим ввод в них оперативных и достоверных данных с уровня технологических и производственных процессов. Оперативность получения производственной информации позволит всем уровням управления предприятием обеспечить текущий контроль и мониторинг основных и вспомогательных производственных процессов в реальном масштабе времени. Идеи интеграции подсистем уже сегодня находят свое воплощение в самых различных отраслях: в нефтехимии, нефтепереработке, металлургии, энергетике, транспортировке нефти и газа.

В настоящее время РУС представляют собой объект активных теоретических исследований. Исследователи, используя новый технологический уровень, вернулись к созданию моделей комплексной автоматизации процессов, производств и производственных структур, позволяющих управлять децентрализованными эволюционирующими структурами с ограниченным взаимодействием, способными поддерживать по мере потребностей механизм налаживания новых межуровневых информационных связей или углублять их взаимодействие. Серьезная проблема здесь состоит в создании системы протоколов информационного обмена. Если решение задач бухгалтерских, маркетинговых и прочих офисных приложений успешно решается при помощи протоколов стандартных локальных компьютерных сетей, то привнесение в РУС задач АСУТП предъявляет новые требования к ее функционированию: возможность работы в режиме реального времени, максимальный приоритет при работе с объектом управления, надежность протоколов связи с объектами и самотестирование системы на предмет утери связи с контролируемым процессом.

Указанные обстоятельства вызывают необходимость исследования путей совершенствования взаимосвязанных протоколов информационного обмена (ПИО), способных выполнять относительно независимые функции. Их представление, как совокупности формализованных синтаксических и семантических правил, определяет работу средств информационного обмена в процессе обработки данных, позволяет описать статические и динамические свойства взаимодействия протокольных объектов (функциональных модулей одного уровня) и может служить основой документирования. Выбор ПИО позволяет определить сигналы, форматы данных, способы проверки ошибок, а также алгоритмы для интерфейсов, включая принципы подготовки сообщений, передачи и анализа на различных уровнях детализации, обеспечить защиту от угроз, вносимых средой обработки данных. В этом смысле рассмотрение протоколов с точки зрения соглашений между двумя протокольными объектами о формате и содержании служебной информации управления позволяет осуществлять наблюдение за состоянием области обработки, а также определить последовательность управляющих сигналов и процедуры обмена данными в среде РУС. коммуникационный протокол сеть информационный

Анализ известных подходов к реализации приемов и способов информационного обмена в РУС показывает, что при его организации появляется ряд противоречий:

- действующие принципы и методы информационного обмена ориентированы на традиционные возможности доставки сообщений. Возможности воздействия на них через транспортную среду учитываются не в полном объеме;

- динамическое изменение технологий обработки в среде РУС не находит своего отражения в модернизации средств информационного обмена;

- существующие подходы к процессам информационного обмена игнорируют системный эффект проектирования и на практике логическая корректность и надежность реализаций ПИО на системном уровне не достигается и в них обнаруживаются дефекты разной степени тяжести.

Указанные противоречия, в первую очередь, выступают как результат основного противоречия между традиционными принципами и методами разработки средств информационного обмена и изменившимся содержанием процессов ее обработки в современных РУС. Это вызывает необходимость исследования путей решения проблемы увеличения спектра предоставляемых услуг в условиях возрастания масштабности и разнородности среды РУС, количества и качества информационных ресурсов, а также вероятности возможных несанкционированных воздействий на систему.

При исполнении последовательности действий, предписанных любым протоколом, имеют место различные ошибки, вследствие следующих причин [1,2]:

- сбоев и отказов при передаче по каналам связи информационных массивов, содержащих данные пользователя, и служебных массивов, содержащих информацию управления;

- сбоев и отказов технических средств узлов коммутации, воздействующих на информационные и служебные массивы при их обработке и пересылке.

- параллельного выполнения ряда процессов, участвующих в реализациях протоколов и протекающих в общем случае асинхронно из-за некорректного описания. Эта асинхронность и приводит к появлению неопределенных ситуаций.

Первые два источника ошибок, которые можно классифицировать как источники “физического” происхождения изучены достаточно глубоко [3,4] и в распоряжении разработчиков и исследователей протоколов имеется достаточно широкий набор методов их обнаружения и коррекции. Что касается третьего источника ошибок, являющихся по существу ошибками проектирования протоколов и профилей, то проблема его изучения возникла недавно в ходе испытаний протоколов в реальных условиях эксплуатации локальных сетей и сетей передачи данных, в частности, ориентированных на протоколы Х.25. Этот источник вызывает появление в протоколах некорректностей, обусловленных действиями разработчиков, которые получили название логических ошибок.

Анализ логических ошибок в профилях протоколов особенно важен для цифровых систем с интеграцией служб, так как цифровые каналы характеризуются существенно меньшей степенью группирования ошибок, чем используемые в настоящее время аналоговые каналы. Следовательно, при организации служб, ориентированных на применение цифровых каналов, влияние источников ошибок “физического” происхождения сократится, тогда, как интенсивность логических ошибок в общем случае останется такой же, как и в случае аналоговых каналов. Обозначенная тенденция характерна для разработки любого программного обеспечения, базирующегося, в значительной степени, на квалификации и интуиции конкретного специалиста и становится исключительно актуальной для реализаций распределенных управляющих систем предприятий. Генерация коллизий и типичные ошибки, вызванные вследствие деструктивных информационных воздействий со стороны злоумышленников, приведены ниже:

Локальная коллизия (Local Collision). Является результатом одновременной передачи двух или более узлов, принадлежащих к тому сегменту, в котором производятся измерения.

Удаленная коллизия (Remote Collision). Эти коллизии происходят на другой стороне повторителя (по отношению к тому сегменту, в котором установлен измерительный прибор). Не все анализаторы протоколов и средства мониторинга одинаковым образом фиксируют удаленные коллизии. Это происходит из-за того, что некоторые измерительные средства и системы не фиксируют коллизии, происходящие при передаче преамбулы.

Поздняя коллизия (Late Collision). Это коллизия, которая происходит после передачи первых 64 байт кадра (по протоколу Ethernet коллизия должна обнаруживаться при передаче первых 64 байт кадра). Результатом поздней коллизии будет пакет, который имеет длину более 64 байт и содержит неверное значение контрольной суммы. Этот пакет обязательно был сгенерирован в локальном сегменте. Чаще всего это указывает на то, что сетевой адаптер, являющийся источником конфликта, оказывается не в состоянии правильно прослушивать линию и поэтому не может вовремя остановить свою передачу.

Анализ деструктивных информационных вторжений на работу коммуникационных протоколов. Кроме явных ошибок в работе сети, проявляющихся в появлении кадров с некорректными значениями полей, существуют ситуации, являющиеся следствием несогласованной установки параметров протоколов в разных узлах или портах сети. Ввиду большого количества протоколов, применяемых в РУС на различных уровнях стека, а также большого количества их параметров, невозможно описать все встречающиеся на практике ситуации рассогласования. Ниже приводятся только некоторые из них.

Нарушение форматов кадров. Использование различных форматов кадров может привести к полному отсутствию взаимодействия между узлами. Многие современные операционные системы и коммуникационное оборудование умеют одновременно работать с различными типами кадров, распознавая их автоматически. Автоматическое распознавание типа кадра избавляет пользователей сети от неприятных проблем, однако та же ОС или маршрутизатор могут быть настроены на поддержку только одного типа протоколов, и в этом случае проблема несовместимости может проявляться. Сетевые анализаторы и средства мониторинга умеют автоматически различать форматы кадров. В некоторых сетях, например TokenRing и FDDI, всегда используются кадры стандартного формата, поэтому в этих сетях не возникают проблемы, связанные с несовместимостью форматов кадров.

Инициация потерь пакетов и квитанций. Регулярные потери пакетов или кадров могут иметь очень тяжелые последствия для РУС, так как протоколы нижнего уровня (канальные протоколы) рассчитаны на качественные кабельные каналы связи и работают поэтому в дейтаграммном режиме, оставляя работу по восстановлению потерянных пакетов протоколам верхнего уровня. К значительному снижению производительности могут приводить также потери служебных сообщений - квитанций подтверждения доставки, сообщений типа keepalive и т.п. Обычно протоколы более чувствительны к подобным потерям и даже разовые ситуации подобного рода могут вызывать серьезные последствия. Это легко объясняется особым значением для протокола служебной информации.

Нарушение способов маршрутизации в составной сети. Маршрутные таблицы, используемые маршрутизаторами для продвижения пакетов определенного сетевого протокола, всегда имеют одинаковую структуру, однако способ их получения может быть разным - ручной, по протоколу RIP, по протоколу OSPF или же еще по какому-нибудь другому протоколу динамического обмена информацией. Если в разных частях составной сети используются различные протоколы обмена маршрутной информации, то это может приводить к несогласованной работе маршрутизаторов и, следовательно, к отсутствию достижимости некоторых сетей для пользователей. Каждый протокол обмена маршрутной информации использует свой формат служебных сообщений для распространения своих знаний о топологии сети. Поэтому, если не предпринимать дополнительных мер, то части сети, использующие разные протоколы маршрутизации, вообще не смогут автоматически взаимодействовать. Для обеспечения совместимости протоколов маршрутизации рекомендуются использовать специальные протоколы, которые передают маршрутные данные между различными частями сети в унифицированном формате.

Несуществующий адрес и дублирование адресов. Отправка пакета по несуществующему адресу естественно не может привести к нормальному взаимодействию узлов в сети. Несуществующие адреса могут появиться в сети только в том случае, когда они хранятся постоянно в базе данных стека протоколов. При этом может наступить момент, когда хранящийся адрес устареет и не будет соответствовать действительности. В случае, когда адреса изучаются динамически, путем анализа пакетов служебного протокола, подобного SAP, использование несуществующего адреса практически исключается, так как информация об адресе только что поступила от узла, которому этот адрес присвоен. Серьезные проблемы в сети создает дублирование адресов, то есть наличие в сети двух узлов с одним и тем же адресом. Такая ситуация чаще всего приводит к недостижимости обоих узлов с одинаковым адресом, или же к нарушению нормальной работы всей сети, если дублируются не адреса узлов, а адреса сетей. Проблема дублирования адресов характерна в большей степени для адресов верхних уровней, начиная с сетевого, где адреса назначаются администратором и поэтому могут повторяться в результате действий человека. Адреса канального уровня (МАС-адреса) присваиваются сетевым адаптерам, портам маршрутизаторов и агентам SNMP-управления компаниями-производителями, поэтому их дублирование маловероятно (только в случае переназначения адреса, что возможно путем его программирования). Для обнаружения повторяющихся адресов в сетях необходимо использовать анализатор протоколов, настроив его на захват пакетов с определенным адресом сети и/или узла. Некоторые протоколы локальных сетей используют специальную процедуру для проверки дублирования адресов на канальном уровне (например, TokenRing, FDDI).

Рассогласование значения тайм-аутов протоколов. Тайм-ауты - очень важные параметры многих протоколов, так как их непредвиденное превышение обычно приводит к серьезным последствиям. Например, превышение тайм-аута может привести к разрыву логического соединения между сервером и клиентом, или же к ненужным повторным передачам данных, которые и так уже благополучно дошли до получателя. Разрыв логического соединения приводит к большим временным потерям, а значит и к значительному снижению пропускной способности сети, так как процедура установления соединения может включать обмен сотнями пакетов, передающих аутентификационную и другую служебную информацию.

В РУС превышение тайм-аута наблюдается гораздо реже, чем в глобальных, но при большой загрузке сети может также иметь место. Нестабильный характер проявления ошибок истечения тайм-аутов затрудняет диагностику, так как ошибка проявляется в случайных потерях связи пользователей с серверами и может наблюдаться только в периоды большой нагрузки сети РУС, никак не проявляя себя в остальное время. К аналогичным последствиям приводят несогласованные значения тайм-аутов у взаимодействующих узлов или коммуникационных устройств.

Средняя интенсивность коллизий в нормально работающей сети должна быть меньше 5%. Большие всплески (более 20%) могут быть индикатором деструктивных информационных вторжений.

Если интенсивность коллизий больше 10%, то уже необходимо применять методы обнаружения деструктивных информационных вторжений.

Рекомендуется следующий порядок формирования базового уровня РУС:

1. Если это возможно, то разделить РУС на функционально независимые части и исследовать каждую часть с помощью анализатора протоколов.

2. С помощью генератора трафика создать фоновый трафик небольшой интенсивности (100 кадров в секунду) и наблюдать за результатами измерений.

3. Плавно увеличивать среднюю интенсивность трафика и одновременно замерять уровень ошибок и коллизий.

4. Решение проблем, связанных с коллизиями является достаточно сложной задачей, так как результаты наблюдений зависят от точки подключения сетевого анализатора (с точностью до нескольких метров). Поэтому необходимо делать много измерений в различных точках.

5.

Литература

1. Еременко В.Т. Математическое моделирование процессов информационного обмена в распределенных управляющих системах. : Монография / Под общей редакций Константинова И.С. - м.: Машиностроение - 1, 2004. - 224 с.

2. Еременко В.Т., Туякбасарова Н. А. Теоретические основы построения распределенных управляющих систем с использованием структурно-функционального подхода: Монография. - Курск: Курский институт менеджмента, экономики и бизнеса, 2004. - 122 с.

3. Зайцев С.С., Кравцунов М.И., Ротанов С.В. Сервис открытых информационно-вычислительных сетей. Справочник. М. Радио и связь, 1990. - 236 с.

4. Злотников Ю.С. Построение протоколов цифровых сетей с интеграцией служб связи. - М.: Институт повышения квалификации МПСС, 1987. - 72 с.

Аннотация

Диагностика деструктивных информационных вторжений на основе оценки производительности распределенных управляющих систем. Еременко Владимир Тарасович, Доцент кафедры «Информационные системы», к.т.н. Орловский государственный технический университет. Россия, г. Орел

В статье рассмотрены основные положения диагностики деструктивных информационных вторжений распределенные управляющие системы предприятий. Предложен прядок формирования базового уровня

Размещено на Allbest.ru