Модель бот-сетей и механизмов защиты

В работе проведена формализация описания различных аспектов общей модели бот-сети и механизмов защиты с использованием формальных теоретико-множественных конструкций.

Общая модель бот-сети и механизмов защиты представлена в виде кортежа Q=<N, L, S, O>, где N — узлы (хосты) вычислительной сети, L — связи между узлами вычислительной сети, S — сценарный компонент, O — компонент, описывающий наблюдателя (необходимого для оценки эффективности функционирования бот-сети и механизмов защиты).

Элементы множества N узлов вычислительной сети заданы в виде N=<T, R, P, F>, где T — множество типов оборудования, соответствующее узлу, R — множество функциональных ролей узла вычислительной сети, P — множество компонентов программного обеспечения, используемого узлами, — функция, реализующая отображение функциональных ролей узла на компоненты программного обеспечения.

Сценарный компонент S=_B, S_D, S_N> включает в себя сценарии S_B функционирования бот-сети, сценарии S_D сдерживания бот-сети и противодействия атакам, а так же сценарии S_N легитимной деятельности вычислительной сети.

Каждый сценарий S_B, S_D или S_N содержит следующие элементы: цель сценария; алгоритм достижения цели; узлы, участвующие в сценарии; множество включаемых в общий сценарий подсценариев.

Процесс детализации каждого сценария можно итеративно продолжить. В этом случае каждый промежуточный сценарий, входящий в состав данного сценария, становится объектом последующей декомпозиции (например, сценарий «распространение» может состоять из сценариев «сканирование» и «инфицирование»).

Таким образом, сценарий j-го уровня (S_j) представляется в виде:

.

где S_{j, n} _ n-й сценарий, уровня j; T_n _ цель сценария S_{j, n}; H_n _ множество узлов-участников сценария S_{j, n} (и соответственно агенты, реализующие сценарий S_{j, n}); AS_n _ алгоритм достижения цели, оперирующий объектами сценария; S_j-1,k _ k-й сценарий уровня j-1.

Алгоритм достижения цели отображает цель сценария в последовательность подсценариев более низкого уровня. Этот алгоритм может оперировать объектами и сущностями, участвующими в процессе как непосредственно, так и посредством более низкоуровневых сценариев. Таким образом, отношения между сценариями различных уровней образуют древовидную структуру, что позволяет применять методы структурного анализа.

В сценарии S_B функционирования бот-сети входят следующие типы агентов: «хозяин», «командный центр», узлы «зомби».

Сценарии S_D сдерживания бот-сети и противодействия атакам включают следующие классы агентов: первичной обработки информации («сенсор»); вторичной обработки информации («сэмплер»); обнаружения атаки («детектор»); фильтрации («фильтр»); «расследования»; управления нагрузкой на коммуникационные каналы («ограничитель»).

Сценарии S_B=_E, S_C, S_A> функционирования бот-сети состоит из сценариев S_E распространения бот-сети, сценариев S_C управления бот-сетью и сценариев S_A реализации атак.

Сценарии S_D=_DE, S_DC, S_DA> содержат подсценарии S_DE противодействия распространению бот-сети, подсценарии S_DC противодействия управлению бот-сетью и подсценарии S_DA противодействия реализации атак.

Сценарии S_N легитимной деятельности сети предназначены для генерации паттернов легитимного трафика.

Для представления и оптимизации механизмов функционирования команд агентов в настоящее время авторы используют различные комбинации моделей: (1) традиционные BDI-модели (BDI _ belief-desire-intention), определяемые схемами функционирования агентов бот-сети и команд защиты; (2) методы распределенной оптимизации на основе ограничений, использующие локальные взаимодействия при поиске локального или глобального оптимума; (3) методы распределенного принятия решений на основе частично-наблюдаемых Марковских сетей, позволяющие реализовать координацию командной работы при наличии неопределенности в действиях и наблюдениях; (4) теоретико-игровые модели, использующие «рыночные (аукционные)» механизмы принятия решений.