Характеристики объекта анализа и алгоритм процесса

Статистические методы универсальны, поскольку для проведения анализа не требуется знания о возможных атаках и используемых ими уязвимостях и основаны на изменении некоторых статистических характеристик потока пакетов. Для решения задачи применения статистических методов анализа TCP/IP трафика, необходимо выделить основные показатели, характеризующие штатное функционирование сетевой инфраструктуры и осуществлять динамический контроль над их состоянием. В качестве таких показателей должна выступать информация, по которой можно проанализировать историю сетевого взаимодействия. К данным, которые могут быть проанализированы при захвате трафика TCP/IP, относятся поля заголовков протоколов IP, TCP, UDP, ICMP и содержимое полей данных [3]. Для сокращения времени на обработку и последующее извлечение показателей для формирования ШШФС и анализа, из всей поступающей информации необходимо выделить только информативные служебные ее части. В общем виде алгоритм процесса анализа сетевого трафика выглядит следующим образом (рис. 1).

Рис 1. Алгоритм процедуры контроля сети

При включении режима захвата сетевых пакетов, сетевой адаптер переводится в режим «Promiscuous mode» и фиксирует любой пакет, прошедший через интерфейс. Это обусловлено технологией передачи информации в сетях Ethernet. Установив определенные ограничения в режиме анализа, существует возможность уменьшить объем анализируемой информации, отсекая излишки неактуальных данных и увеличив быстродействие системы. Для решения задачи проведения анализа необходимо заблаговременно сформировать актуальный ШШФС. Для этого необходимо выполнить начальные шаги алгоритма, предшествующие процессу анализа и сохранить накопленную информацию. В качестве хранилищ используются как SQL-база данных, так и сформированные двоичные текстовые файлы, хранящие числовые характеристики. Корректность, актуальность данных и четкость временных интервалов ШШФС в данном случае определяются администратором системы и являются одной из основных составляющих получения корректных результатов анализа.

Для определения характеристик потока сетевого трафика, необходимо определить взаимодействующие логические сущности. Установим под логической сущностью потока IP-адреса и порты отправителя и получателя пакетов. Таким образом, методы статистического анализа будут применяться на определенном временном интервале для сетевых пакетов, имеющих одинаковые логические сущности, что позволит более детально проанализировать статистику сетевых взаимодействий. Также для использования в пороговой методике вместо количества полученных или отправленных пакетов будем фиксировать объемы данных, т. е. длину пакета. Это объяснимо стандартом формирования сетевых пакетов RFC, где каждый не фрагментированный кадр (Ethernet-frame) имеет определенную постоянную величину, что обуславливает использование не количественной характеристики по числу принятых или отправленных пакетов, а объемной по количеству информации обработанной сетевым интерфейсом.

Таким образом, получим следующую последовательность характеристик: сетевой безопасность трафик дисперсия.

• · Логические сущности: адреса источника/приемника — S/D.
• · Тип и порт пакета — Tp.
• · Длина пакета — L.
• · Время фиксации пакета — Tm.

Следовательно, любое зафиксированное событие можно описать вектором-объектом события Tr=. Время фиксации пакета необходимо для определения выборки событий, удовлетворяющих интервалу анализа. Зададим за T некий постоянный временной интервал. Его устанавливает администратор системы в зависимости от преследуемых целей. Анализируемая статистика может быть как текущей или частной (при малых значениях T), так и долговременной или глобальной (при значении T от нескольких часов или суток). Кроме временной составляющей присутствует и сам объект анализа. Его образует информация о сетевых взаимодействиях: источник, получатель, тип пакета, порт обращения. Таким образом, при анализе имеем выборку из потока зафиксированных событий по детектированию пакета, прошедшего через сетевой интерфейс. Данная выборка позволяет определить активность источника или приемника по количеству обращений, полученным отправленным пакетам, и образовывает объемную характеристику. Также информация о типах пакетов и тем более об используемых портах позволяет более детально персонифицировать процессы, происходящие в сети. Применим пороговую методику к объемной характеристике, а за основу частотного анализа применим критерий среднеквадратического отклонения.