Модель обнаружения и идентификации компьютерных атак в ИТКС на основе метода индуктивного прогнозирования состояний

Рассмотрим систему обнаружения атак с позиции теории динамических систем, которая изучает сложные структуры. По своей математической сущности ИТКС относится к динамическим системам и представляется в виде отношений множеств с определенными отношениями между элементами. Первое из этих множеств — совокупность входов (входных процессов, воздействий, возмущений — в нашем случае это компьютерные атаки) второе — множество выходов (выходных процессов, откликов, реакций системы — действий направленных на обнаружение и противодействие компьютерным атакам).

Отношение, заданное на этой паре множеств, устанавливает связь между элементами.

Обозначим множество входов — множество компьютерных атак (1.5), множество выходов —, множество действий, направленных на обнаружение и противодействие атакам (1.6), а множество состояний системы — (1.4).

Тогда динамическую систему можно определить как некоторый абстрактный оператор, отображающий в для фиксированных значений из :

(2.1).

(2.2).

(2.3).

Компьютерная атака в нашем случае рассматривается как последовательность действий, приводящих систему из начального состояния в скомпрометированное (конечное) состояние.

Поведение системы характеризуется изменением во времени ее состояния, которое зависит от начального состояния и входного воздействия .

Если начальное состояние определить как состояние в некоторый момент времени, то можно записать:

(2.5).

при этом реакция на выходе системы будет:

(2.6).

Соотношения (2.5) и (2.6) будут уравнением переменных состояний и уравнением наблюдения соответственно, а операторы и — операторами переходов и выходов системы.

Из непрерывности операторов и следует, что система может быть описана дифференциальным уравнением переменных состояния:

(2.7).

и уравнением наблюдения.

(2.8).

где и — функции переходов и выходов.

Модель обнаружения компьютерных атак в условиях применения компьютерного нападения на ИТКС представлена на рисунке 2.1.

Рисунок 2.1 Модель обнаружения и идентификации компьютерных атак на основе метода индуктивного прогнозирования состояний На рисунке представлен граф состояний, состоящий из положений:

• 1. Проведение компьютерной атаки.
• 2. Идентификация компьютерной атаки, т. е. распознавание признаков атаки на основании изменения и перехода состояний системы, где — состояния системы, — параметров и характеристик сетевого трафика, — информация о работе аппаратного и программного обеспечения, пользователей ИТКС, а также средств защиты.

Множество возможных компьютерных атак на ИТКС, хранящихся в базе данных атак (сигнатур, профилей и шаблонов) представим как распознаваемые образы атак для СОА в виде образов:

.

(2.9).

где — образы классов атак, а — классификационный признак образа атак .

Классификационный признак образа класса атаки характеризуется признаками для идентификации в виде.

:

где — множество состояний системы.

.

характеризуемое подмножеством состояний и переходов системы, например переход из состояния в:; - подмножество характеристик сетевого трафика; - подмножество характеристик о работе аппаратного и программного обеспечения, пользователей ИТКС, а также средств защиты; - подмножество сигнатур (признаков) или образов атак, хранимых в базе данных сигнатур и входящее в априорный алфавит классов компьютерных атак; - подмножество событий, например, событий НСД, обращений к системным файлам, события политики безопасности и т. д.

• 3. Классификация компьютерной атаки, т. е. отнесение ее к определенному классу атак.
• 4. Противодействие компьютерной атаке, например, в виде блокировки источника атаки.

Таким образом, в рамках моделирования обнаружения и идентификации компьютерных атак в ИТКС:

• — разработана модель на основе метода индуктивного прогнозирования состояний и получены зависимости состояний ИТКС, действий направленных на идентификацию, классификацию и противодействие компьютерным атакам;
• — обоснован метод индуктивного прогнозирования состояний для обнаружения компьютерных атак в ИТКС.