Процесс анализа. 
Анализ трафика TCP/IP на основе методики допустимого порога и отклонения

На этапе процесса анализа трафика, на основе пороговой методики, из события Tr извлекаем объект X=Tr, что соответствует длине зафиксированного пакета. Пусть событие из множества событий X, в момент времени, при, где T заранее установленный период анализа. Событие определяется изменением состояния сетевого адаптера: прием-отправка пакета с постоянной логической сущностью. Тогда аналогичный набор событий из множества, составляющего шаблон штатного функционирования сети. Пороговую методику применим в два этапа. На первом этапе сопоставим значения и в момент времени. При заданном уровне «чувствительности» определяется допустимое значение возможного отклонения. В работе применяется значение коэффициента чувствительности k=0,8. Тогда нижний порог определяется как, а верхний как. На втором этапе использования пороговой методики необходимо определить краевые значения допустимых интервалов. Для этого определим выборочное среднее из элементов множества (функция 1):

Допустимый диапазон определяется следующим неравенством:. Аналогичные операции применяются к множеству Y, и определяют границы полуинтервалов на основе среднего значения выборки (рис. 2). Основываясь на характеристике потока трафика многократное выявление отклонений от заданного интервала, определенно свидетельствует об изменениях в процессе функционирования сети. Это могут быть, как и легальные изменения в нагрузке на узлы сети, так и иные несанкционированные действия.

Рис 2. Спектр сетевого потока

Таким образом, имеем три признака: «пороговый на основе ШШФС», «доверительного интервала», «доверительного интервала на основе ШШФС». Использование трех признаков сравнения характеристик позволяет с более высокой степенью вероятности выявить именно действия, направленные на нарушение безопасного сетевого взаимодействия. В результате система оповещает администратора набором следующих сообщений: «В период T у сущностей Tr обнаружены отклонения от потока событий и/или по признаку [1 (0,1), 2 (0,1), 3 (0,1)]».

Далее рассмотрим иные детектируемые характеристики трафика. Пусть имеется набор типов пакетов, тогда значения — количество зафиксированных пакетов-типа. При этом — общее количество пакетов. Тогда частота фиксации определенного типа пакетов вычисляется как. Аналогично определяется частота использования протоколов (служб) при взаимодействии в сети. В общем случае номера портов лежат в диапазоне значений от 0 до 65 536. Данная информация составляет характеристику сетевых процессов более детально, т.к. позволяет персонифицировать логические сущности по использованию конкретных служб и приложений. При этом определяются значения, лежащие в интервале.

В данном случае в качестве критериев пороговой методики используем математическое ожидание и среднеквадратичное отклонение. При этом критерий математического ожидания определяется по функции 2:

где при достаточно большом размере выборки математическое ожидание стремится к среднему значению. Также критерий среднеквадратичного отклонения выборки определяем с использованием функции 3, для событий текущего потока:

Среднеквадратичное отклонение является наиболее распространённым показателем рассеивания значений случайной величины относительно её математического ожидания. Получаем, что любое анализируемое событие является аномальным, если оно не попадает в границы ожидаемых значений (рис. 3).

Рис 3. Области ожидаемых значений

В случае использования ШШФС необходимо анализировать характеристики потока с данными заложенными в шаблон. В этом случае среднеквадратическое отклонение определяется по функции 4.

Обычно в качестве выступает некоторое ожидаемое значение, определяемое как выборочное среднее, а именно. Однако, имея ШШФС, ожидаемым значением определяется характеристика потока сети в момент времени соответствующий характеристике из шаблона. Таким образом, имеем два признака: «отклонение потока», «отклонение потока от ожидаемого ШШФС».

При статистическом анализе необходимо учитывать, что трафик компьютерных сетей обладает свойством масштабной инвариантности — имеет особую фрактальную (самоподобную) структуру, сохраняющуюся на разных масштабах [5]. В процессе передачи возникают большие всплески при относительно низком среднем уровне трафика, что крайне важно учитывать при статистическом анализе.

Анализ результатов указывает на то, что значения критерия математического ожиданий отдельных характеристик для выборок, характеризующих штатное функционирование, принимают меньшие значения по сравнению с данными, содержащими отклонения, как и значения выборочных средних. Аналогично, анализ значений среднеквадратических отклонений, для данных, содержащих отклонения, показывает преобладание больших по величине, чем для значений, характеризующих штатное функционирование. Это указывает на то, что при появлении отклонения к общему штатному режиму функционирования вливаются значения, большие по абсолютной величине, что вызывает колебания уровней характеристик и является причиной увеличения дисперсии и отклонений.

Производя периодический или постоянный анализ состояния сетевой инфраструктуры, появляется возможность идентифицировать действия злоумышленников, направленные на подготовку к проведению атак: сканирование портов, службы, получение информации об используемом прикладном, системном программном обеспечении и системах защиты (на этапе рекогносцировки). Четко зафиксировать время начала негативного воздействия на объект атаки (вторжение), из-за его краткосрочности, достаточно затруднительно (что не исключает такой возможности), однако, определить наличие последующего воздействия на объект при помощи методов реализованных в системе является возможным, после чего по отношению к источнику угрозы необходимо применять иные меры воздействия. В итоге даже визуальный анализ построенных характеристик позволяет выделить информацию об изменениях в долях используемых протоколов (служебных, прикладных, пользовательских), фиксируются изменения в нагрузке на узлах сети (ICMP-Flood, запросы), по количеству зафиксированных пакетов, определяется объем переданной/полученной информации, регистрируется теневое использование ресурсов сети и т. п.

При реализации вышеописанных методов в автоматизированной системе были созданы хранилища данных, содержащие характеристики сетевого потока — ШШФС. Для улучшения визуального восприятия получаемых результатов анализа разработана двумерная динамическая характеристика сетевой активности. У администратора системы имеется по два динамических поля отображающих как текущую характеристику сети, так и информацию загруженную администратором из ШШФС (рис. 4).

Рис 4. Характеристика TCP/IP: объемная

Рис 5. Характеристика TCP/IP: частотная

Описанные выше методы обнаружения попыток нарушения безопасности в сети основаны на том обстоятельстве, что в этом случае могут изменяться некоторые статистические характеристики потока пакетов. Например, в случае определенного вида воздействия изменяется отображаемая характеристика сетевого трафика. Так при сканировании сети, увеличивается доля пакетов типа ICMP, для получения доступных компонентов сети, а также пакетов TCP с предустановленными флагами контроля и т. п. В этом случае обнаружение нарушений основывается на визуальном сравнении текущих характеристик потока пакетов, с характеристиками положенными в ШШФС, а также анализе сообщений автоматического контроля сетевой активности. Необходимо также учитывать актуальность и корректность построения ШШФС, т.к. ошибки в его построении могут оказывать влияние на процесс анализа, непосредственно связанного с сопоставлением характеристик из ШШФС.