Постановка задачи. 
Методика обнаружения и идентификации компьютерных атак в информационно-телекоммуникационных системах на основе метода индуктивного прогнозирования состояний

Обеспечение защищенности и устойчивости функционирования ИТКС в условиях массированного воздействия компьютерных атак осуществляется путем повышения вероятности обнаружения новых компьютерных атак и снижением времени распознавания признаков известных атак путем ограниченного перебора признаков атак в базе данных на основе применения метода индуктивного прогнозирования состояний [1].

При этом обнаружение компьютерных атак, ограниченный перебор признаков атак в базе данных и формирование базы знаний может осуществляться по известным [2, 4, 6, 7] методикам. ИТКС является объектом защиты от компьютерных атак. Анализ выполнения технологических циклов управления (ТЦУ) ИТКС и массированного воздействия компьютерных атак на узлы ИТКС показывает, что узлы будут выведены из строя и не смогут выполнять возложенные на себя функции по выполнению ТЦУ [2]. Необходимым элементом СЗИ от НСД в ИТКС при выполнении ТЦУ для обнаружения и противодействия массированного воздействия компьютерных атак должны быть средства обнаружения компьютерных атак. Выявленные недостатки существующих методов обнаружения компьютерных атак показали, что ни один из методов не способен обнаруживать новые атаки в реальном масштабе времени. Временной параметр обнаружения компьютерных атак в ИТКС является одним из основных для оценки обстановки и принятия решения [2, 4].

Таким образом, используемые в настоящее время методы, алгоритмы и методики обнаружения компьютерных атак в ИТКС не разрешают противоречие между ограниченным временем на выполнение регламентов ТЦУ в условиях массированного воздействия компьютерных атак, с одной стороны, и временем, необходимым для обнаружения и противодействия компьютерных атак существующими методами, с другой. Попытка решить данное противоречие традиционными методами ведет к утрате устойчивости функционирования ИТКС. компьютерный атак индуктивный персональный Показатели и критерии. Под устойчивостью ИТКС понимается комплексное свойство ИТКС, характеризуемое живучестью, помехоустойчивостью и надежностью [8]. Где, под надежностью ИТКС понимается комплексное свойство ИТКС сохранять во времени в установленных пределах значения всех параметров, характеризующих способность ИТКС выполнять свои функции в заданных режимах и условиях эксплуатации. Под живучестью понимается свойство ИТКС, характеризуемое способностью выполнять установленный объем функций в условиях воздействий внешней среды и отказов компонентов системы в заданных пределах. Под помехоустойчивостью понимается свойство ИТКС, характеризуемое способностью выполнять свои функции в условиях воздействия помех [8]. Таким образом, устойчивость представляет собой слагаемое эффективности систем, которое характеризуется способностью противостоять внешним воздействиям. Под уровнем устойчивости функционирования ИТКС будем понимать качественный критерий, характеризующий интегральное свойство ИТКС выполнять целевую функцию при воздействии компьютерных сетевых атак.

Поэтому качественный критерий устойчивости должен согласовываться с критерием эффективности. Так как в качестве критерия эффективности как меры успешности выполнения заданной задачи принимается вероятность ее выполнения, то в качестве критерия устойчивости принята вероятность выполнения заданной задачи системой в условиях воздействия компьютерных атак.

Если обозначить — вероятность вывода из строя (функциональное поражение [2]) ИТКС в результате воздействий компьютерных атак. Тогда от критерия вывода из строя зависит способность ИТКС выполнять целевую функцию в условиях воздействия компьютерных атак. Поэтому величина.

может быть принята в качестве критерия устойчивости. Этот критерий определяет вероятность выполнения системой задачи в условиях воздействия компьютерных атак. Однако, вероятность вывода из строя зависит от системы защиты ИТКС от компьютерных атак, которую возможно выразить следующим образом,.

(1.1).

где — вероятность противодействия компьютерным атакам, а — вероятность обнаружения компьютерных атак.

В связи с тем, что критерий противодействия зависит от обнаружения компьютерных атак, то примем допущение, что критерий вывода из строя ИТКС согласно (1.1) равен.

тогда ,.

следовательно, критерий устойчивости равен критерию обнаружения компьютерных атак.

. (1.2).

(1.3).

где — количество обнаруженных атак;- общее количество атак.

Теоретической основой методики являются теории множеств, распознавания образов, аппарат математической логики, теория графов, системного анализа, вычислительной математики, методов инженерии знаний и построения экспертных систем, теория принятия решений и теории вероятностей, методы экспертных оценок и математического моделирования.

Исходные данные. Множество состояний ИТКС при реализации технологических циклов управления ИТКС:

(1.4).

Множество компьютерных атак, которое содержит матрицу классов атак.

.

а каждый класс атак, например,.

включает в себя подмножество объектов атак данного класса, характеризуемых различными классификационными признаками в зависимости от сложности, типа и формы компьютерной атаки.

(1.5).

где — классы атак; - объект атаки с классификационным признаком mn.

Множество возможных действий по обнаружению компьютерных атак, которое включает в себя подмножество действий. Где Иподмножество действий по идентификации компьютерной атаки, К — подмножество действий по классификации компьютерной атаки, т. е. отнесение идентифицированной атаки к определенному классу атак; П — подмножество действий, направленных на противодействие определенного класса атак. Индексы относятся к определенным классам атак. Например, — подмножество действий по идентификации класса атаки; - подмножество действий по идентификации класса атаки; - подмножество действий по классификации объекта атаки; - подмножество действий, направленных на противодействие объекта атаки .

(1.6).

где — подмножество действий по идентификации, классификации и противодействию компьютерным атакам.

Компьютерные атаки приводят к нарушению доступности информации пользователями ИТКС за счет нарушения ТЦУ, искажению информации, выдаче ложной информации и другие нарушения целостности и доступности информации в ИТКС.

Обеспечение устойчивого функционирования ИТКС в произвольный момент времени в условиях воздействия компьютерных атак достигается реализацией отображения:

(1.7).

где — множество разрешенных состояний ИТКС, соответствующих устойчивому функционированию при выполнении ТЦУ;

Ограничения. Функционал, определяющий обобщенный показатель эффективности обнаружения и противодействия компьютерным атакам и характеризующий устойчивость функционирования ИТКС, представим в следующем виде:

(1.8).

где — множество компьютерных атак; - множество распознаваемых образов компьютерных атак; - множество состояний ИТКС при выполнении ТЦУ; - время выполнения ТЦУ ИТКС; - параметр управления ИТКС; - метод обнаружения компьютерных атак; - средства обнаружения и противодействия компьютерным атакам.

При формировании набора параметров должны быть учтены ограничения на те параметры, от которых зависят критерии эффективности обнаружения, идентификации и противодействия компьютерным атакам, в следующем виде:

… (1.9).

где , — начальная и конечная стадия выполнения ТЦУ; - время обнаружения компьютерной атаки; - время идентификации компьютерной атаки; - время классификации атаки.

Таким образом, подход к разработке методики сведен к выбору допустимых множеств параметров управления ИТКС, методов обнаружения компьютерных атак, направленных на идентификацию, классификацию и противодействие компьютерных атак для достижения максимума обобщенного показателя эффективности противодействия компьютерному нападению, обеспечивающего устойчивость функционирования ИТКС.