Разработанная структура СОА ИТКС на основе метода индуктивного прогнозирования состояний

Разработанная структура СОА ИТКС включает в себя следующие компоненты (см. рисунок 6.1):

• 1. Модуль сбора данных (интеллектуальные датчикидатчик сенсор) для сбора исходных данных: сетевые пакеты, настройки, состояния системы, события, сообщения в системных журналах.
• 2. Модуль выявления атак на основе метода индуктивного прогнозирования состояний, предназначенного для идентификации компьютерных атак. Основные его задачи:

формирование пространства признаков;

построение модели исследуемого класса в алгебраической форме и выбора целевого признака в виде характеристической функции — булева функции запрета или в виде дизъюнктивной нормальной форме запрета;

снижением размерности задачи за счет логических вычислений и декомпозиции ее на простые решения, решения задачи прямыми логическими вычислениями и упрощением до «неразрешенной» задачи.

• 3. Модуль хранения данных (сигнатур, шаблонов), предназначенный для классификации компьютерных атак.
• 4. База знаний, предназначенная для формирования классификационных признаков новых атак.
• 5. Модуль реагирования, предназначенный для противодействия компьютерным атакам.
• 6. Модуль управления, предназначенный для выдачи информации управления модулям СОА.
• 7. Библиотека «неразрешенных задач», предназначенная для отправки на анализ более мощной внешней системе обнаружения компьютерных атак.

Допускается, чтобы все эти компоненты функционировали на одном компьютере. Управление разработанной СОА ИТКС может осуществляться с технологического места администратором. В целом, разработанная структура СОА позволяет повысить эффективность обнаружения компьютерных атак в реальном масштабе времени, что важно для ИТКС за счет:

• — ограниченного сокращенного перебора классификационных признаков известных атак в имеющейся базе данных признаков атак (сигнатур, шаблонов, профилей);
• — формирования выборки обучающих примеров в базу знаний СОА, посредством сгенерированных правил;
• — пополнения базы данных классификационными признаками новых атак.

Рисунок 6.1 Разработанная структура СОА ИТКС на основе метода индуктивного прогнозирования состояний Для оценки устойчивости функционирования СОА ИТКС представлена как система массового обслуживания с отказами, которая состоит из 1 обслуживающего прибора, в который поступает пуассоновский поток компьютерных атак с интенсивностью л для обнаружения и идентификации. Сравнение проводилось с общедоступной системой СОА Snort. Полученные результаты позволили сделать вывод о том, что применение метода индуктивного прогнозирования состояний для обнаружения и идентификации компьютерных атак в ИТКС в реальном масштабе времени позволило повысить вероятность обнаружения компьютерных атак на 18%, тем самым повысить устойчивость функционирования ИТКС к компьютерным атакам.