Традиционная модель атаки строится по принципу "один к одному" (рис. 1.) или "один ко многим" (рис. 2.), т. е. атака исходит из одного источника. Разработчики сетевых средств защиты (межсетевых экранов, систем обнаружения атак и т. д.) ориентированы именно на традиционную модель атаки. В различных точках защищаемой сети устанавливаются агенты (сенсоры) системы защиты, которые передают информацию на центральную консоль управления.

Это облегчает масштабирование системы, упрощает удаленное управление и т. д.

Однако такая модель не справляется с относительно недавно (в 1998 году) обнаруженной угрозой - распределенными атаками.

В модли распределенной или скоординированной (distributed или coordinated attack) атаки используются иные принципы. В отличие от традиционной модели "один к одному" и "один ко многим", в распределенной модели используются принципы "многие к одному" и "много ко многим" (рис. 3 и 4 соответственно).

Распределенные атаки основаны на "классических" атаках типа "отказ в обслуживании", которые будут рассмотрены ниже, а точнее, на их подмножестве, известном как Flood- или Storm-атаки (указанные термины можно перевести как "шторм", "наводнение" или "лавина"). Смысл данных атак заключается в посылке большого количества пакетов на заданный узел или сегмент сети (цель атаки), что может привести к выведению этого узла или сегмента из строя, поскольку он захлебнется в лавине посылаемых пакетов и не сможет обрабатывать запросы авторизованных пользователей. По такому принципу работают атаки SYN-Flood, Smurf, UDP Flood, Targa3 и т. д. Однако в том случае, если пропускная способность канала до цели атаки превышает пропускную способность атакующего или целевой узел некорректно сконфигурирован, то "успеха" такая атака не достигнет. Скажем, с помощью этих атак бесполезно пытаться нарушить работоспособность своего провайдера. В случае же распределенной атаки ситуация коренным образом меняется. Атака происходит уже не из одной точки интернета, а сразу из нескольких, что приводит к резкому возрастанию трафика и выведению атакуемого узла из строя. Например, по данным "России-Онлайн", в течение двух суток, начиная с 9 часов утра 28 декабря 2000 г. крупнейший интернет-провайдер Армении "Арминко" подвергался распределенной атаке. В данном случае к атаке подключилось более 50 машин из разных стран, которые посылали по адресу "Арминко" бессмысленные сообщения. Кто организовал эту атаку и в какой стране находился хакер, установить было невозможно. Хотя атаке подвергся в основном "Арминко", перегруженной оказалась вся магистраль, соединяющая Армению с Всемирной Паутиной. 30 декабря благодаря сотрудничеству "Арминко" и другого провайдера - "АрменТел" связь была полностью восстановлена. Компьютерная атака, правда, продолжалась, но с меньшей интенсивностью.

Этапы реализации атак

Можно выделить следующие этапы реализации атаки: предварительные действия, или сбор информации (information gathering), реализация атаки (exploitation) и завершение атаки. Обычно когда говорят об атаке, то подразумевают именно второй этап, забывая о первом и последнем. Сбор информации и завершение атаки ("заметание следов") в свою очередь также могут являться атакой и могут быть разделены на три этапа (рис. 5).

Основной этап - это сбор информации. Именно эффективность работы злоумышленника на данном этапе является залогом "успешности" атаки. В первую очередь выбирается цель атаки и собирается информация о ней (тип и версия операционной системы, открытые порты и запущенные сетевые сервисы, установленное системное и прикладное программное обеспечение и его конфигурация и т. д.). Затем идентифицируются наиболее уязвимые места атакуемой системы, воздействие на которые приводит к нужному злоумышленнику результату.

Межсетевые экраны неэффективны против множества атак.

На первом этапе злоумышленник пытается выявить все каналы взаимодействия цели атаки с другими узлами. Это позволит выбрать не только тип реализуемой атаки, но и источник ее реализации. Например, атакуемый узел взаимодействует с двумя серверами под управлением ОС Unix и Windows NT. С одним сервером атакуемый узел имеет "доверительные" отношения, а с другим - нет. От того, через какой сервер злоумышленник будет реализовывать нападение, зависит, какая атака будет задействована, какое средство реализации будет выбрано, и т. д. Затем, в зависимости от полученной информации и преследуемых целей, выбирается атака, дающая наибольший эффект. Например, для нарушения функционирования узла можно использовать SYN Flood, Teardrop, UDP Bomb и т. д., а для проникновения на узел и кражи информации - CGI-скрипт PHF для кражи файла паролей, удаленный подбор пароля и т. п. Затем наступает второй этап - реализация выбранной атаки.

Традиционные средства защиты, такие, как межсетевые экраны или механизмы фильтрации в маршрутизаторах, вступают в действие на втором этапе, совершенно "забывая" о первом и третьем. Это приводит к тому, что зачастую совершаемую атаку очень трудно остановить даже при наличии мощных и дорогих средств защиты. Пример тому - распределенные атаки. Логично было бы, чтобы средства защиты начинали работать еще на первом этапе, т. е. предотвращали бы саму возможность сбора информации об атакуемой системе, что могло бы существенно затруднить действия злоумышленника. Традиционные средства не позволяют также обнаружить уже совершенные атаки и оценить ущерб после их реализации (третий этап) и, следовательно, определить меры по предотвращению подобных атак в будущем.

В зависимости от искомого результата нарушитель концентрируется на том или ином этапе. Например, для отказа в обслуживании он в первую очередь подробно анализирует атакуемую сеть и выискивает в ней лазейки и слабые места для атаки на них и выведения узлов сети из строя. Для хищения информации злоумышленник основное внимание уделяет незаметному проникновению на анализируемые узлы при помощи обнаруженных ранее уязвимостей.

Рассмотрим основные механизмы реализации атак. Это необходимо, чтобы разобраться в методах обнаружения этих атак. Кроме того, понимание принципов действий злоумышленников - залог успешной обороны вашей сети.

Сбор информации

Первый этап реализации атак - это сбор информации об атакуемых системе или узле, т. е. определение сетевой топологии, типа и версии операционной системы атакуемого узла, а также доступных сетевых и иных сервисов и т. п. Эти действия реализуются различными методами.

Изучение окружения.

На этом этапе нападающий исследует сетевое окружение предполагаемой цели атаки, например узлы интернет-провайдера атакуемой компании или узлы ее удаленного офиса. Злоумышленник может пытаться определить адреса "доверенных" систем (скажем, сеть партнера) и узлов, которые напрямую соединены с целью атаки (например, маршрутизатор ISP) и т. д. Такие действия трудно обнаружить, поскольку они выполняются в течение довольно длительного времени, причем снаружи области, контролируемой средствами защиты (межсетевыми экранами, системами обнаружения атак и т. п.).

Идентификация топологии сети.

Можно назвать два метода определения топологии сети (network topology detection), применяемых злоумышленниками: изменение TTL (TTL modulation) и запись маршрута (record route). Программы traceroute для Unix и tracert для Windows используют первый способ определения топологии сети. Они используют для этого поле Time to Live ("время жизни") в заголовке IP-пакета, которое изменяется в зависимости от числа пройденных сетевым пакетом маршрутизаторов. Утилита ping подходит для записи маршрута ICMP-пакета. Зачастую сетевую топологию можно выяснить при помощи протокола SNMP, установленного на многих сетевых устройствах, защита которых неверно сконфигурирована. При помощи протокола RIP можно попытаться получить информацию о таблице маршрутизации в сети и т. д.

Множество атак безгранично.

Многие из этих методов используются современными системами управления (например, HP OpenView, Cabletron SPECTRUM, MS Visio и др.) для построения карт сети. И эти же методы могут быть с успехом применены злоумышленниками для построения карты атакуемой сети.

Идентификация узлов.

Идентификация узла (host detection), как правило, осуществляется путем посылки при помощи утилиты ping команды ECHO_REQUEST протокола ICMP. Ответное сообщение ECHO_REPLY говорит о том, что узел доступен. Существуют свободно распространяемые программы, которые автоматизируют и ускоряют процесс параллельной идентификации большого числа узлов, например, fping или nmap. Опасность данного метода в том, что стандартными средствами узла запросы ECHO_REQUEST не фиксируются. Для этого необходимы средства анализа трафика, межсетевые экраны или системы обнаружения атак.

Это самый простой метод идентификации узлов, но он имеет ряд недостатков. Во-первых, многие сетевые устройства и программы блокируют ICMP-пакеты и не пропускают их во внутреннюю сеть (или, наоборот, не пропускают их наружу). Например, MS Proxy Server 2.0 не разрешает прохождение пакетов по протоколу ICMP. В результате не получается полной картины. С другой стороны, блокировка ICMP-пакета говорит злоумышленнику о наличии "первой линии обороны" - маршрутизаторов, межсетевых экранов и т. д. Во-вторых, использование ICMP-запросов позволяет с легкостью обнаружить их источник, в чем, разумеется, злоумышленник вовсе не заинтересован.

Существует еще один метод определения узлов сети - использование "смешанного" ("promiscuous") режима сетевой карты, который позволяет определить различные узлы в сегменте сети. Но он неприменим в тех случаях, когда трафик сегмента сети недоступен нападающему со своего узла, т. е. этот метод годится только для локальных сетей. Другим способом идентификации узлов сети является так называемая разведка DNS, позволяющая идентифицировать узлы корпоративной сети при помощи обращения к серверу службы имен.

Идентификация сервисов и сканирование портов.

Идентификация сервисов (service detection), как правило, осуществляется путем обнаружения открытых портов (port scanning). Такие порты очень часто связаны с сервисами, основанными на протоколах TCP или UDP. Например, открытый 80-й порт подразумевает наличие Web-сервера, 25-й порт - почтового SMTP-сервера, 31 337-й - серверной части "троянского коня" BackOrifice, 12 345-й или 12 346-й - серверной части "троянского коня" NetBus и т. д. Для идентификации сервисов и сканирования портов могут быть использованы различные программы, в том числе и свободно распространяемые, например nmap или netcat.

Идентификация операционной системы.

Основной механизм удаленного определения ОС (OS detection) - анализ ответов на запросы, учитывающие различные реализации TCP/IP-стека в различных операционных системах. Стек протоколов TCP/IP в каждой ОС реализован по-своему, что позволяет при помощи специальных запросов и ответов на них определить, какая ОС установлена на удаленном узле.

Другой, менее эффективный и крайне ограниченный, способ идентификации ОС узлов - анализ сетевых сервисов, обнаруженных на предыдущем этапе. Например, открытый 139-й порт позволяет сделать вывод, что удаленный узел, вероятнее всего, работает под управлением ОС семейства Windows. Для определения ОС могут быть использованы различные программы, например nmap или queso.

Определение роли узла.

Предпоследним шагом на этапе сбора информации об атакующем узле является определение его роли, скажем, в выполнении функций межсетевого экрана или Web-сервера. Делается этот шаг на основе уже собранной информации об активных сервисах, именах узлов, топологии сети и т. п. Допустим, открытый 80-й порт может указывать на наличие Web-сервера, блокировка ICMP-пакета - на потенциальное наличие межсетевого экрана, а DNS-имя узла proxy.domain.ru или fw.domain.ru говорит само за себя.

Определение уязвимостей узла.

Последний шаг - поиск уязвимостей (searching vulnerabilities). Злоумышленник при помощи различных автоматизированных средств или вручную определяет уязвимости, которые могут быть использованы для реализации атаки. В качестве таких автоматизированных средств могут быть использованы ShadowSecurityScanner, nmap, Retina и т. д.

Реализация атаки

После всего вышеперечисленного предпринимается попытка получить доступ к атакуемому узлу, причем как непосредственный (проникновение на узел), так и опосредованный, например, при реализации атаки типа "отказ в обслуживании". Реализация атаки в случае непосредственного доступа также может быть разделена на два этапа: проникновение и установление контроля.

Проникновение подразумевает преодоление средств защиты периметра (межсетевого экрана) различными путями - использованием уязвимости сервиса компьютера, "смотрящего" наружу, или передачей враждебной информации по электронной почте (макровирусы) или через апплеты Java. Такая информация может быть передана через так называемые туннели в межсетевом экране (не путать с туннелями VPN), через которые затем и проникает злоумышленник. К этому же этапу можно отнести подбор пароля администратора или иного пользователя при помощи специализированной утилиты (L0phtCrack или Crack).

Установление контроля.

После проникновения злоумышленник устанавливает контроль над атакуемым узлом. Это возможно путем внедрения программы типа "троянский конь" (NetBus или BackOrifice). После установки контроля над нужным узлом и "заметания следов" злоумышленник может осуществлять все необходимые несанкционированные действия дистанционно без ведома владельца атакованного компьютера. При этом установление контроля над узлом корпоративной сети должно сохраняться и после перезагрузки операционной системы - с помощью замены одного из загрузочных файлов или вставки ссылки на враждебный код в файлы автозагрузки или системный реестр. Известен случай, когда злоумышленник сумел перепрограммировать EEPROM сетевой карты и даже после переустановки ОС повторно реализовал несанкционированные действия. Более простой модификацией этого примера является внедрение необходимого кода или фрагмента в сценарий сетевой загрузки (скажем, для ОС Novell NetWare).

Цели реализации атак.

Необходимо отметить, что злоумышленник на втором этапе может преследовать две цели. Во-первых, получение несанкционированного доступа к самому узлу и содержащейся на нем информации. Во-вторых, получение несанкционированного доступа к узлу для осуществления дальнейших атак на другие узлы. Первая цель, как правило, осуществляется только после реализации второй. То есть сначала злоумышленник создает себе базу для дальнейших атак и только после этого проникает на другие узлы. Это необходимо для того, чтобы скрыть или существенно затруднить нахождение источника атаки.

Завершение атаки

Завершающим этапом атаки является "заметание следов". Обычно злоумышленник реализует это путем удаления соответствующих записей из журналов регистрации узла и других действий, возвращающих атакованную систему в исходное, "предатакованное" состояние.

Классификация атак

Существуют различные типа классификации атак. Например, деление на пассивные и активные, внешние и внутренние атаки, умышленные и неумышленные. Однако, дабы не запутать читателя большим разнообразием классификаций, мало применимыми на практике, хотелось бы предложить более "жизненную" классификацию:

Удаленное проникновение (remote penetration). Атаки, которые позволяют реализовать удаленное управление компьютером через сеть. Примером такой программы является NetBus или BackOrifice.

Локальное проникновение (local penetration). Атака, приводящая к получению несанкционированного доступа к узлу, на котором она запущена, например программа GetAdmin.

Удаленный отказ в обслуживании (remote denial of service). Атаки, позволяющие нарушить функционирование или перегрузить компьютер через интернет (Teardrop или trin00).

Локальный отказ в обслуживании (local denial of service). Атаки, которые позволяют нарушить функционирование или перегрузить атакуемый компьютер. Примером такой атаки является "враждебный" апплет, загружающий центральный процессор бесконечным циклом, что приводит к невозможности обработки запросов других приложений.

Сетевые сканеры (network scanners). Программы, которые анализируют топологию сети и обнаруживают сервисы, доступные для атаки, например система nmap.

Сканеры уязвимостей (vulnerability scanners). Программы, которые ищут уязвимости на узлах сети и могут быть использованы для реализации атак. К таким сканерам можно отнести систему SATAN или ShadowSecurityScanner.

Взломщики паролей (password crackers). Программы, которые "подбирают" пароли пользователей. Пример взломщика паролей - L0phtCrack для Windows или Crack для Unix.

Анализаторы протоколов (sniffers). Программы, которые "прослушивают" сетевой трафик. С их помощью можно автоматически искать такую информацию, как идентификаторы и пароли пользователей, информацию о кредитных картах и т. д. Из таких анализаторов протоколов стоит упомянуть Microsoft Network Monitor, NetXRay компании Network Associates или LanExplorer.

Сократим число возможных категорий до пяти:

сбор информации (Information gathering);

попытки несанкционированного доступа (Unauthorized access attempts);

отказ в обслуживании (Denial of service);

подозрительная активность (Suspicious activity);

системные атаки (System attack).

Первые четыре категории относятся к удаленным атакам, а последняя - к локальным, реализуемом на атакуемом узле. Можно заметить, что в данную классификацию не попал целый класс так называемых "пассивных" атак. Помимо "прослушивания" трафика, в эту категорию также попадают такие атаки, как "ложный DNS-сервер", "подмена ARP-сервера" и т. п.

Классификация атак, реализованная во многих системах обнаружения атак, не может быть категоричной. Например, атака, реализация которой для ОС Unix (например, переполнение буфера statd) чревата самыми плачевными последствиями (самый высокий приоритет), для ОС Windows NT может оказаться вообще неприменимой или иметь очень низкую степень риска..

2.2 Способ защиты от компьютерных атак

компьютерный атака информационный сеть

Способ относится к электросвязи и может быть использовано в системах защиты от компьютерных атак путем их оперативного выявления и блокирования в информационно-вычислительных сетях (ИВС).

Целью заявленного технического решения является разработка способа защиты ИВС от компьютерных атак, обеспечивающего повышение устойчивости функционирования ИВС в условиях несанкционированных воздействий за счет повышения достоверности обнаружения (распознавания) компьютерных атак путем расширения признакового пространства системы защиты, которое используется для выявления фрагментированных пакетов поступающих в ИВС из КС и анализа их параметров. Достижение сформулированной цели необходимо для своевременного предоставления сервисных возможностей абонентам ИВС, а также для обеспечения доступности⁵ обрабатываемой информации.

Способ-прототип заключается в том, что принимают из КС i-ый пакет, где i=1,2,3,… и запоминают его. Принимают (i+1)-ый пакет, запоминают его. Выделяют из заголовка i-го и (i+1)-го пакетов идентификационные признаки, анализируют их на предмет совпадения и по результатам анализа принимают решение о факте наличия компьютерной атаки.

По сравнению с аналогами, способ-прототип может быть использован в более широкой области, когда применяют совокупность признакового пространства, позволяющую определять семейство компьютерных атак определенного типа, что необходимо для повышения достоверности определения факта компьютерных атак на ИВС, проявляющихся в снижении устойчивости функционирования ИВС.

Недостатком прототипа является относительно низкая устойчивость функционирования ИВС в условиях воздействия компьютерных атак, связанная с тем, что сравнением двух пакетов сообщений - последующего и предыдущего, распознается только одно семейство компьютерных атак - «шторм⁴» ложных запросов на установление соединения, тогда как компьютерные атаки других типов, обладающие высокими деструктивными возможностями, не распознаются.

2.3 Коррекция целей по обнаружению атак

Стратегии нарушителя заключается в оптимальном распределении средств ПДВ по элементам ВС (источникам трафика, ИТ) с целью максимизации вероятности их подавления.

Стратегия ВС (СПРУ защитой) заключается в распределении средств защиты согласно стратегии обнаружения нарушителя, т. е. минимизация вероятности подавления источников трафика. Налицо конфликтная ситуация (антагонистический конфликт) с противоположными целями (схема строгого антагонизма). Для выбора обоснованных решений применима теория игр и сведение данной конфликтной ситуации к парной игре с нулевой суммой (если сумма выигрышей игроков равна нулю, т. е. каждый игрок выигрывает только за счет другого).

Нарушитель имеет стратегий = 1,2,...,, ВС имеет стратегий = 1,2,...,. Каждой паре стратегий (, ) определен выигрыш а. Значения выигрышей представлены в виде матрице А:

А = .

Стратегия обнаружения нарушителя является оптимальной, если применение этой стратегии обеспечивает ей наибольший гарантированный выигрыш при всевозможных стратегиях системы защиты СС:

, (1)

и наоборот - оптимальная стратегия системы защиты СС:

.(2)

Реальная и ложная структуры ВС представляют собой совокупность N элементов и связей между ними. Структуры ВС описывают матрицами связности со значениями интенсивностей потоков соответственно _ реальная и _ ложная, i, j = 1, 2, …, N.

На ВС и воздействуют потоки событий, поступающие от суперсистем (СВ, СПРУ, ЕСЭ, Нарушитель), что схематично представлено на рис. 1, где ±a_ij - установление/ отключение связи в ВС; ±- установление/ отключение связи в .

Поток событий от СВ поступает только на ВС (реальную структуру) и представляет собой последовательность установлений, отключений связей ±a_ij.

Поток событий от СПРУ поступает только на и представляет собой последовательность установлений, отключений ложных связей ±. Установление ложных связей может быть как с уже существующими элементами структуры , так и с еще не существующими, для чего их дополнительно формируют.

Поток событий от ЕСЭ поступает как на реальную , так и на ложную структуры СС и представляет собой последовательность отключений связей _a_ij, _ (поток отказов). Поток событий от ЕСЭ, представляющий собой восстановление связей не воздействует на структуры ВС, а учитывается как ресурс при формировании и реализации .

Поток событий от Нарушителя поступает только на и представляет собой последовательность отключений связей _ как следствие ПДВ Нарушителя.

Перечисленные потоки событий приводят к изменению значения корреляции между структурами |R (ВС, ВС')| (см. табл. 1). Характеристикой потоков событий является их интенсивность ? - среднее число событий, приходящееся на единицу времени.

Таблица 1 Потоки событий от суперсистем поступающие на структуры ВС

4. Состояния процесса принятия решения на управление логической структурой СС.

Пусть имеется СПРУ S, которая с течением времени меняет свое состояние (переходит из одного состояния в другое). Необходимые для исследования состояния СПРУ S₁, S₂, … перечислены в табл. 2. Моменты возможных переходов СПРУ из состояния в состояние неопределенны (случайны) и происходят под действием потоков событий, характеризующиеся интенсивностями (см. табл. 1). Потоки событий являются простейшими. Таким образом, процесс принятия решения на управление логической структурой СС можно представить как Марковский случайный процесс с дискретными состояниями и непрерывным временем.

Распоряжения от системы вышестоящего уровня иерархии на изменение структуры СВ, которая является развивающейся системой в связи с планами управления, приводит к масштабированию структуры ВС, то есть установление или отключение связей в реальной структуре СС ±a_ij.

Таблица 2 Дискретные состояния СПРУ структурой СС

До начала функционирования ВС известна ее структура (план операции, схема организации связи), что позволяет на этом этапе формировать и оценивать значение корреляции |R(ВС, ВС')| ? R_доп. Таким образом, первоначально оценивают значение корреляции R между структурами СС, что соответствует состоянию СПРУ S₁.

Состояние СПРУ S₂ соответствует формированию с |R(ВС,ВС')| ? R_доп и ее реализации.

На рис. 2 представлен граф состояний СПРУ с интенсивностями переходов. Переход из S₁ в S₂ означает момент окончания оценки кор(франментация)реляции между структурами СС |R (ВС, ВС')| и начала формирования и реализации ложной логической структуры . Обратный переход из S₂ в S₁, означает момент окончания реализации и начала оценки значения корреляции |R (ВС, ВС')|.

Потоки событий переводят СПРУ в состояния S₃, S₄, S₅ соответственно. Окончания реализаций этих состояний переводят СПРУ в состояние оценки значения корреляции R между структурами ВС S₁, что и показано на графе с соответствующими интенсивностями. По полученному размеченному графу состояний СПРУ, посредством решения СДУ Колмогорова-Чепмена

синтезируется математическая модель данного процесса. Для решения СДУ задаются начальные условия. Вектор вероятностей начальных состояний Марковской цепи с учетом отсутствия воздействий на СПРУ в начальный момент времени имеет вид , что соответствует оценке значения корреляции R между структурами СС.

Задавая численные значения интенсивностей ? (см. табл. 3) и переходя к непрерывному времени , решается СДУ с постоянными коэффициентами (однородный Марковский процесс).

Таблица 3 Интенсивности потоков событий

Процесс защиты ВС в соответствии с данной моделью сводится к выбору такого управления структурой, при котором обеспечивается максимальное время нахождения значения корреляции между структурами ВС и в допустимых пределах , что минимизирует вероятность вскрытия ВС (и СВ) .

Управление в условиях воздействия ЕСЭ предполагает поиск стратегий защиты в зависимости от изменяющихся стратегий обнаружения нарушителя во времени, а так же от масштабирования СВ.

Оценка эффективности защиты путем исследования динамики управления структурой ВС () в условиях технологического единства ВС с ЕСЭ наряду с использованием информационных оценок связана с необходимостью моделирования процесса в реальном времени, что обусловливает целесообразность использования математического аппарата Марковских процессов.

В качестве исходных данных для моделирования выступают:

система линейных ДУ;

вектор вероятностей начальных состояний;

значения интенсивностей потоков событий;

нормировочное условие.

Системой линейных ДУ называется система уравнений , которая связывает независимую переменную t, искомые функции и их производные.

Решения задач для системы ЛДУ разделяют на:

приближенно-аналитические методы;

графические или машинно-графические методы;

численные методы.

Применение цифровой вычислительной техники позволяет применить наиболее значимые численные методы решения СДУ, предполагающие получение числовой таблицы приближенных значений p_i искомых решений p(t) на некотором интервале . Аппроксимация значений p_i, например, методом сплайн-интерполяции, позволяет иметь приближенное решение p(t) на заданном интервале времени. Недостатки методов Эйлера и других численных методов решения более высоких порядков, заключающиеся в необходимости вычисления на каждом шаге (приводит к большой вычислительной сложности) частных производных функции , предопределили выбор в качестве метода решения системы ЛДУ классический метод четвертого порядка - метод Рунге-Кутты с фиксированным шагом интегрирования, имеющий вид:

где h - приращение, соответствующее шаговой поправке Эйлера, _ средневзвешенная величина поправок каждого этапа интегрирования (с весовыми коэффициентами соответственно).

Приводим исходную систему ЛДУ к векторному представлению - столбец D, где каждый элемент соответствует правой части определенного ДУ в системе:

.

Используя известный порядок решения системы ЛДУ методом Рунге-Кутты, учитывая вектор вероятностей начальных состояний p_i(0), интервал интегрирования и число этапов интегрирования n, производится расчет для заданных значений интенсивностей событий ?_ij = const (Марковский однородный процесс), что позволяет получить числовую таблицу приближенных значений p_i искомых решений p(t) на некотором интервале (табл. 4).

Таблица 4

Применяя к полученной числовой таблице значений p_i сплайн-интерполяцию, имеем приближенное решение p(t) на заданном интервале времени. Таким образом, получены ВВХ процесса (управляемого) взаимодействия ВС и КР, которые составляют основу для исследования данного процесса при различных стратегиях противодействующих сторон (табл. 5).

Таблица 5 Значения интенсивностей событий в зависимости от стратегий

Для иллюстрации продуктивности предложенной модели рассмотрим следующий пример расчета ВВХ процесса (управляемого) взаимодействия ВС и КР. Значения интенсивностей потоков событий задаем постоянными (табл. 6) в соответствии с выбранной стратегией (например стратегией С₁).

Таблица 6 Интенсивности потоков событий для стратегии

Определяем интервал интегрирования, например: и число этапов интегрирования, например n = 10000. Приводим систему ЛДУ к векторному представлению, где каждый элемент соответствует правой части определенного дифференциального уравнения в системе с заданными значениями интенсивностей событий:

.

Производим расчет по методу Рунге-Кутты с средневзвешенной величиной поправок каждого этапа интегрирования и получаем числовую таблицу приближенных значений p_i на интервале с фиксированным шагом интегрирования 10³ (табл. 7). Расчет произведен с помощью пакета математического программирования «MathCAD 2003».

Таблица 7 Числовая таблица приближенных значений p_i(t) для ? стратегии С₁

Проверяем условие нормировки: например для t = 10

.

Применяя к полученной числовой таблице значений p_i сплайн-интерполяцию, имеем приближенное решение p(t) на заданном интервале времени. Графики зависимостей вероятностей состояний процесса (управляемого) взаимодействия ВС и КР в условиях ЕСЭ РФ от времени p₁(t), p₂(t), …, p₅(t) для значений интенсивностей событий, соответствующих стратегии С₁, представлены на рис. 3.

На интервале времени [0, 0.3] система находится в переходном режиме функционирования, где наблюдается всплеск значений вероятности состояния p₂(t), что соответствует нахождению системы в состоянии формирования при допустимых значениях корреляции структур и ее реализация (установление/отключение связей в ±).

При в системе устанавливается стационарный режим, когда система случайным образом меняет свои состояния и ее вероятности p₁(t), p₂(t), …, p₅(t) уже не зависят от времени и равны финальным (предельным) вероятностям. Полученные значения финальных вероятностей: p₁ = 0,269, p₂ = 0,141, p₃ = 0,169, p₄ = 0,188, p₅ = 0,234.

Для исследования процесса противодействия ИЦПСС и компьютерной разведки при перечисленных стратегиях противодействующих сторон (табл. 5) и соответствующих им значений интенсивностей событий производится расчет вероятностных и временных характеристик согласно вышеизложенному примеру.

Получаем числовую таблицу приближенных значений p_i на интервале с фиксированным шагом интегрирования 10³ (табл. 8) для значений интенсивностей потоков событий стратегии С₂ (табл. 9), сплайн-интерполяция значений которой представлена на графиках зависимостей вероятностей состояний от времени (рис. 4).

Таблица 8 Числовая таблица приближенных значений p_i(t) для ? стратегии С₂

Рисунок 4. Пример зависимости вероятностей состояний от времени для значений интенсивностей событий соответствующие стратегии С₂

Приближенные значения p_i на интервале с фиксированным шагом интегрирования 10³ для значений интенсивностей потоков событий стратегии С₃ (табл. 9) представлены в числовой таблице 10, сплайн-интерполяция значений представлена на графиках зависимостей вероятностей состояний от времени (рис. 5).

Таблица 10 Числовая таблица приближенных значений p_i(t) для ? стратегии С₃

Рисунок 5. Пример зависимости вероятностей состояний от времени для значений интенсивностей событий соответствующие стратегии С₃

Приближенные значения p_i(t) для значений интенсивностей потоков событий стратегии С₄ (табл. 9) представлены в числовой таблице 11, сплайн-интерполяция значений представлена на графиках зависимостей вероятностей состояний от времени (рис. 6).

Таблица 11 Числовая таблица приближенных значений p_i(t) для ? стратегии С₄

Рисунок 6. Пример зависимости вероятностей состояний от времени для значений интенсивностей событий соответствующие стратегии С₄

Выводы по разделу

1. Описаны способы по обнаружению компьютерных атак в ИВС.

2. Проведенный анализ способов по обнаружению компьютерных атак позволил определить основные направления совершенствования методического обеспечения повышения защищенности информационных ресурсов.

3. Выявлены недостатки описанных способов.

4. Сделан вывод об актуальности проблемы и необходимости разработки нового способа.

5. Рассмотрена Марковская модель управления взаимодействием системы связи и компьютерной разведки телекоммуникаций.

3. Алгоритмизация задачи обнаружения компьютерных атак в масштабируемой информационно-вычислительной сети

3.1 Разработка алгоритма защиты масштабируемых информационно-вычислительных сетей

Алгоритм может быть использован в системах защиты от компьютерных атак путем их оперативного выявления и блокирования в информационно-вычислительных сетях (ИВС). Например, в сетях передачи данных (СПД) типа «Internet», основанных на семействе коммуникационных протоколов TCP/IP (Transmission Control Protocol / Internet Protocol)