На сегодняшний день не существует общего подхода к решению задачи обнаружения аномальных ситуаций в процессе функционирования компьютерных систем (КС). Однако в условиях бурного развития информационных технологий и как следствия постоянной модернизации программного и аппаратного обеспечения КС, решение частных задач обнаружения аномалий не может обеспечивать безопасность системы [22]. Необходим более универсальный и вместе с тем научно обоснованный метод отслеживания состояний системы.
При решении задачи обнаружения аномалий область рассматриваемых событий, происходящих в системе, а следовательно, и область обнаруживаемых аномалий, существенно ограничивается [7][11−13]. Процесс нахождения решения для такой частной подзадачи состоит из следующих этапов. В первую очередь выделяется некоторый спектр свойств системы, среди которых необходимо производить наблюдения. Эти свойства подвергаются анализу с целью выявления общих тенденций в их изменениях, характера этих изменений и предположительных законов, которым эти изменения удовлетворяют. На основании результатов этого анализа производится выбор области методов, пригодных для эффективного отслеживания аномалий в поведении выделенных свойств. Далее осуществляется апробация конкретных методов из выбранной области или ищутся результаты опыта их применения в уже существующих системах обнаружения аномалий. В конечном итоге для обнаружения аномалий используется метод, способный наиболее полно учитывать все изменения свойств выбранной области и в то же время обеспечивающий оптимальную точность при отличии аномального их поведения от нормального.
Принципы обнаружения аномалий часто применяются для решения задач обнаружения атак на вычислительные системы. Таким образом, методы обнаружения аномалий выбираются применительно к конкретному набору параметров системы и их эффективность гарантирована исключительно для этого набора параметров.
Основа для этого направления обнаружения атак заложена в работах таких известных отечественных ученых как В. Будзко, В. Левин, Б. Поспелов, В. Пярин, А. Стрельцов, В. Шерстюк, и зарубежных ученых Д. Деннинг, Н. Кресси, Т. Рида, Ю. Спаффорда, Б. Шнаера и других.
Предлагаемая автором математическая модель и разработанная на ее основании методика предполагает применение для решения широкого класса задач информационной безопасности.
Автором рассматриваются аномалии в работе программного обеспечения системы, однако предложенные методики могут применяться и для аппаратной составляющей.
Актуальность проблемы подчеркивается еще и тем, что даже в случае более или менее полного покрытия всей области наиболее важных проблем, связанных с обнаружением аномалий в системе частными решениями, интеграция этих решений, представляет собой трудноразрешимую комплексную задачу.
Целью диссертационной работы является разработка математической модели сетевого и внутрисистемного поведения КС и методики выявления аномалий системы на основании статистического исследования изменений характеристик системы.
В соответствии с поставленной целью основными задачами исследования являются:
1. Анализ существующих видов аномалий в КС и их систематизация;
2. Разработка алгоритмов обнаружения аномалий и построение математической модели поведения системы;
3. Выбор объектов наблюдения, анализ и классификация характеристик ПО КС, в совокупности формирующих поведение системы;
4. Теоретико-вероятностное обоснование алгоритмов обработки данных;
5. Разработка методики обнаружения широкого класса аномалий на основе оценки однородности данных наблюдения;
6. Тестирование применимости предлагаемых статистических методов обнаружения аномалий на практике для различных типов КС.
Решение сформулированных задач строилось с помощью аппарата теории вероятности и математической статистики. Применялся также анализ научных разработок и результатов испытания систем, реализующих существующие подходы для решения частных задач обнаружения аномалий. Практическая применимость разработанных алгоритмов и методик исследовалась при помощи специально разработанного соискателем программного обеспечения в условиях моделирования разных типов поведения КС и применения его на эксплуатируемых в штанном режиме системах.
Научная новизна диссертационной работы состоит в следующем:
1. Предложена обобщенная модель аномалии как специфического признака нарушения безопасности информационных систем;
2. Впервые разработана математическая модель поведения информационных систем и методика, позволяющая обнаруживать широкий класс аномалий на основе анализа однородности наблюдаемых параметров системы;
3. Исследованы и обоснованы алгоритмы обнаружения аномалий;
4. Обоснован набор наблюдаемых характеристик, достаточных для обнаружения аномалий.
Практическая ценность работы состоит в том, что ее результаты позволяют:
• Проводить анализ защищенности информационных систем с точки зрения нового подхода к определению аномалии в системе, выявляя широкий класс нарушений безопасности;
• На основании предложенной методики разработать самостоятельную систему обнаружения аномалий в КС, ориентированную на анализ поведения элементов защищаемой системы и нацеленную на решение целого комплекса задач по защите информации.
Практическая ценность и новизна работы подтверждаются двумя актами внедрения: от ЗАО «Голлард» (результаты применены при проектировании защищенных систем обработки информации) и от ЗАО «Институт проблем информатики РАН» (результаты применены при анализе защищенности ведомственной компьютерной сети в связи с плановым обновлением обслуживающего ПО).
Основные теоретические и практические результаты работы обсуждались на XIV и XV общероссийских научно-технических конференциях «Методы и технические средства обеспечения безопасности информации» (С-Петербург, 2005;2006), на XIV Всероссийской научно-практической конференции «Проблемы информационной безопасности в системе высшей школы» (Москва, 2007).
По теме диссертации опубликовано 11 работ, в их числе 8 научных статей и 3 доклада на конференциях.
Основные положения, выносимые на защиту:
1. Предложено понятие обобщенной статистической модели аномалий поведения КС;
2. Подход к обнаружению аномалий путем применения статистического критерия степени рассеивания выборок при большом числе испытаний;
3. Метод отображения поведения произвольных характеристик системы на множество случайных выборок;
4. Исследование асимптотического поведения статистик различных критериев однородности выборок применительно к задаче обнаружения аномалий;
5. Теоретико-вероятностная модель поведения защищаемой системы и программные, реализующие выявление аномалий в соответствии с принятой моделью.
Структура работы. Диссертационная работа состоит из введения, четырех глав, заключения и списка литературы из 43 наименований.
Результаты работы программного комплекса на сервере.
Помимо рабочих станций испытания возможностей применения предложенной методики проводились на компьютерных системах типа «сервер». От таких систем можно ожидать более широкого спектра активных состояний совокупностей датчиков ввиду того, что службами сервера пользуется большее количество пользователей, нежели в случае с рабочей станцией. Несмотря на то, что активность отдельных рабочих станций и подчиняется стационарным статистическим законам, как было показано в предыдущем параграфе, остается открытым вопрос о том, является ли таким процессом их совокупная активность, фиксируемая на сервере, предоставляющим те или иные сетевые службы.
Наблюдения за системой типа «сервер» проводились на сервере локальной сети, осуществляющем функции брандмауэра. Сервер установлен в Институте Проблем Информатики РАН и выполняет роль фильтра входящего/исходящего трафика ведомственной сети. Сервер функционирует под управлением операционной системы Windows 2000. В качестве программного обеспечения, реализующего доступ локальной сети в Internet, использовался продукт Microsoft ISA server 2003. Локальная сеть насчитывает более 100 рабочих станций.
Параметры наблюдения подбирались на основании предварительных наблюдений за общей интенсивностью использования пользователями локальной сети тех или иных служб Internet. Был выделен ряд TCP-портов, на которых наблюдался интенсивный регулярный обмен трафиком. Было принято решение не вести наблюдение за всеми открытыми портами на сервере ввиду высокой вероятности возникновения «шумовых» составляющих результирующих выборок, то есть таких их членов, ценность значений которых недостаточна для того, чтобы утверждать наличие или отсутствие аномалий на данном канале связи.
Наблюдение проводилось за каналами связи, обслуживающими трансляцию запросов к следующим службам и сетевым ресурсам:
• Веб-серверам Интернета (также доступ с использованием локального прокси-сервера);
• Службы мгновенной передачи сообщений;
• Служба защищенного соединения с удаленным терминалом (по протоколу SSH);
• Служба сетевых имен (DNS);
• Файловым серверам (по протоколу FTP);
• Служба защищенного соединения по протоколу HTTPS;
• Служба удаленного терминала (по протоколу telnet);
• Серверам баз данных.
Общее количество наблюдаемых каналов составило 12. Таким образом, максимальное теоретически возможное количество членов результирующей 10 выборки = 2, т. е. 4048. В связи с этим, а также ввиду постоянной активности каналов передачи данных решено было увеличить число промежутков наблюдений по сравнению с наблюдениями, проводимыми в отношении рабочих станций путем уменьшения их продолжительности до 1 секунды. Продолжительность интервала наблюдений равняется 30 минутам. Сервер работает круглосуточно, следовательно, количество интервалов наблюдений на протяжении дня равно 48. Исследованию на однородность подлежат результирующие выборки, характеризующие активность пользователей локальной сети в периоды, соответствующие отдельно выбранным временным отрезкам длиной в 30 минут. Например, для формирования полного набора из пяти выборок, характеризующих активность каналов связи за время 00.00 — 00.30, необходима одна рабочая неделя наблюдений.
Наличие атак кроме модуля статистической обработки фиксировалось штатной системой защиты и обнаружения атак.
Исследовались критерии, соответствующие различным значениям параметра Я из (3.20). Исследовались диапазоны значений 0.01−0.1, 0.1−0.5, 0.5−1, и значения Я > 1.
На графиках, изображенных на рисунках 4.9−4.10 представлены значения критериев однородности, получаемых по мере продвижения исследований. Перед началом получения результатов было произведено предварительное накопление статистики в течение 5 дней для того, чтобы иметь возможность полностью сформировать профиль нормального поведения локальной сети.
4000 тш.
1000 500.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20.
Дни наблюдения.
Рисунок 4.9. Результаты наблюдений активности передачи пакетов в системе типа сервер".
Рисунок 4.10. Результаты наблюдений активности установки соединений в системе типа «сервер».
Среднее количество активных состояний совокупностей значений датчиков и соответствующие границы теоретической однородности для разного времени суток собраны в таблице 4.3.
Тип активных датчиков Кол-во ненулевых составляющих Границы однородности (теор.).
Датчики сетевых пакетов -250 ~ ±150.
Датчики установки соединений -180 ~ ±130.
Заключение
.
В диссертационной работе рассмотрена возможность анализа процесса функционирования компьютерной системы методом выявления аномалий. Показана роль задачи обнаружения аномалий в решении проблем информационной безопасности. Систематизированы типы аномалий, возникающих при нарушении информационной безопасности в компьютерных системах. Осуществлена формализация и систематизация метода обнаружения аномалий как выявления неоднородности процесса наблюдений над состояниями датчиков активности компонент компьютерной системы. Предложена математическая модель функционирования совокупности датчиков активности. В штатном режиме это однородная последовательность случайных величин, при реализации элементов внешнего воздействия, например, вирусного заражения, возникает неоднородность, сопровождающаяся изменением распределений случайных величин.
Построен алгоритм отображения абсолютных значений датчиков на пространство результирующих выборок и проведена классификация характеристик системы, подлежащих статистическому анализу. На основе классификации характеристик предложены и обоснованы принципы выбора параметров математической модели. Построение математической модели позволило использовать статистические методы анализа и выявления неоднородности наблюдений. В диссертации развивается направление, связанное с применением критериев однородности и многомерных статистических методов выявления неоднородности. Получены теоретические обоснования оценок эффективности рассматриваемых критериев однородности, в том числе выражения для вероятности ошибок первого и второго рода для применяемых критериев. Эти исследования позволяют определить необходимые объекты наблюдений, позволяющих с заданными вероятностями ошибок выявлять аномалии и следовательно, определять проявление признаков несанкционированного воздействия.
Произведенное автором тестирование подхода позволяет подтвердить работоспособность статистического метода выявления аномалий. Для реализации тестирования разработано специальное программное обеспечение, которое устанавливалось на реальные компьютерные системы, функционирующие в рабочем режиме. Испытаниям подвергались компьютерные системы, ориентированные на выполнение широкого спектра прикладных задач. Отдельно проводилось тестирование методики при искусственно созданных аномальных условиях.
Получено практическое подтверждение применимости ряда критериев для обнаружения аномалий при проверке заведомо отобранных наблюдаемых параметров системы. Выданы рекомендации по выбору параметров критериев и объемов необходимых наблюдений.
Таким образом, результаты, полученные в результате теоретических исследований и свидетельствующие о состоятельности предлагаемого в диссертации метода обнаружения аномалий, подтвердились на практике. Этим доказывается применимость критериев однородности в отношении обнаружения аномалий в функционировании компьютерных систем.
