Порівняльний аналіз методик виявлення аномального трафіку комп’ютерних мереж

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

Лагун А.Е., Грабан Ю.Ю.

В тезисах проанализированы методы анализа трафика в компьютерных сетях. Также были исследованы аномалии сетевого трафика и показана возможность определения типа атак на компьютерную сеть. Был выполнен сравнительный анализ методов для определения аномального сетевого трафика на основе вейвлет-анализа и нейронных сетей.

Ключевые слова: компьютерная сеть, аномальный трафик, вейвлет-анализ, нейронная сеть.

In theses was analysed the methods of traffic analysis in computer networks. Also were investigated anomalies of network traffic and was shown the possibility to define the type of attacks on the computer network. Was performed the comparative analysis of methods for determining the anomalous network traffic based on wavelet analysis and neural networks.

Keywords: computer network, anomalous traffic, wavelet analysis, neural network.

Вступ

З розвитком і ускладненням засобів, методів і форм автоматизації процесів обробки інформації підвищується залежність суспільства від ступеня безпеки інформаційних технологій. Актуальність і важливість проблеми забезпечення інформаційної безпеки обумовлена такими чинниками:

– сучасні рівні і темпи розвитку засобів інформаційної безпеки значно відстають від рівнів і темпів розвитку інформаційних технологій;

– збільшення кількості персональних комп'ютерів, що використовуються в різноманітних сферах людської діяльності;

– через сучасні методи накопичення, обробки і передачі інформації з'явилися загрози, пов'язані з можливістю втрати, спотворення і розкриття конфіденційної інформації.

Загроза безпеки - це можлива небезпека, здійснення будь-якої дії проти захищеного об'єкту, зокрема інформаційних ресурсів, що завдає збитків власникові або користувачеві. Реалізація загрози називається атакою, метою якої є:

– порушення конфіденційності - інформація в комп'ютерній мережі може мати значну цінність, тому її використання без дозволу власника завдає збиток його інтересам;

– порушення цілісності - передбачає повну або часткову компрометацію інформації шляхом її несанкціонованого видалення або модифікації;

– порушення доступності - виведення з ладу комп'ютерної мережі можуть призвести до отримання невірних результатів, відмов комп'ютерної мережі при обслуговуванні.

Таким чином, забезпечення інформаційної безпеки комп'ютерних систем і мереж є одним з провідних напрямів розвитку інформаційних технологій.

Одним із способів захисту комп'ютерних систем і мереж є виявлення і аналіз аномалій мережевого трафіку. Основною метою виявлення аномалій є виявлення відносно малого трафіку аномалії у відносно великому фоновому трафіку, тому виявлення аномалій мережевого трафіку гарантує безпеку і ефективну роботу мережі, а також захищає її від можливих атак.

Методи виявлення аномалій мережевого трафіку використовують виявлення на основі сигнатур і статистичних даних. Сигнатурні методи виявляють аномалії за відомими ознаками. Їх недоліком є здатність виявляти лише наперед відомі типи аномалій. Один з таких методів використовує нейронні мережі.

Статистичні методи визначають звичайну поведінку мережі, а все, що відрізняється від цієї поведінки, сприймається як аномальність. Перевагою цих методів є можливість виявлення відомих і невідомих аномалій на основі лише статистики мережі. Один із статистичних методів виявлення аномалій мережевого трафіку ґрунтується на вейвлет-аналізі.

аномальний трафік комп'ютерна мережа

Виявлення аномалій мережевого трафіку з використанням нейронних мереж

Нейронні мережі для виявлення аномалій навчаються протягом деякого періоду часу, коли вся спостережувана поведінка вважається нормальною. Після навчання нейронна мережа запускається в режимі розпізнавання. У ситуації, коли у вхідному потоці не вдається розпізнати нормальну поведінку, фіксується факт атаки.

Одними з найпоширеніших є нейронні мережі Кохонена [1]. Вони функціонують за стратегією, згідно з якою переможець отримує все, тобто тільки один нейрон активізується, а інші виходи шару обнулюються.

Нейромережевий детектор на основі багатошарової нейронної мережі з одним прихованим шаром нейронів Кохонена містить перший шар нейронних елементів, призначений для розподілу вхідних сигналів на нейрони шару Кохонена (рис. 1).

Рис. 1. Структура мережі Кохонена

Вхідними сигналами є параметри мережевого з'єднання. Виділяють 41 параметр мережевого з'єднання, які характеризують мережевий трафік і містять інформацію про час з'єднання, тип протоколу, кількість переданих байт, кількість помилок під час з'єднання та інше.

Другий шар нейронної мережі складається з нейронів Кохонена. Якщо кількість нейронів шару Кохонена дорівнює A, то

A = P + M (1)

де P - кількість нейронів шару Кохонена, які відповідають класу мережевої атаки; M - кількість нейронів шару Кохонена, які характеризують легітимне з'єднання.

Для навчання шару Кохонена використовується конкурентний метод навчання, який визначає нейронний елемент-переможець, що характеризує клас даних. Після закінчення навчання нейронної мережі при подачі вхідних значень активність нейрона-переможця приймається рівною одиниці, а інші значення обнулюються.

Третій шар складається з одного нейронного елемента, який відображає кластери, сформовані шаром Кохонена, в два класи, які характеризують легітимне з'єднання або атаку. Рівність вихідного нейрона значенню одиниця характеризує атаку, а нуль - нормальне з'єднання.

Використання вейвлет-аналізу для виявлення мережевих аномалій

Вейвлет-аналіз передбачає подання одновимірного цифрового масиву (мережевого трафіку) в різних масштабах, тобто при різній розрізняючій здатності.

Вейвлет-модель має вигляд [2]:

(2)

де ц_m,k(t) - масштабуюча функція для апроксимації мережевого трафіку; ш_m,k (t) - деталізуюча вейвлет-функція; c_m,k, d_m,k - апроксимуючі і деталізуючі коефіцієнти.

Якщо реалізувати модель (2) в режимах навчання і аналізу, то в першому випадку зафіксується еталонний ряд f^e(t_i), а в другому на програмно-керованому інтервалі буде реєструватися поточне завантаження мережі f^р(t_i). Різниця між f^e(t_i) і f^р(t_i) визначить поточний рівень аномальності мережі f_а(t_i).

Для оцінки ефективності застосування вейвлет-аналізу проводилося порівняння результатів схеми, що використовує вейвлет-перетворення зі схемою, яка використовує тільки статистичний аналіз. При рівні достовірності більше 95% вейвлет-аналіз дає значно кращі результати виявлення аномалій.

Висновок

Проведені дослідження довели доцільність застосування нейронних мереж та вейвлет-аналізу для виявлення аномального мережевого трафіку і захисту комп'ютерних мереж.

Перелік посилань

1. Комар М. Методы искусственных нейронных сетей для обнаружения сетевых вторжений / М. Комар // Збірник тез 7-ої Міжн. наук.-техн. конф. "Інтернет-Освіта-Наука" - Вінниця: ВНТУ, 2010. - С. 410-413.

2. Лагун І.І. Використання дискретного малохвильового перетворення для виявлення аномалій мережевого трафіку / Лагун І.І., Лагун А.Е. // Вісник НУ “Львівська політехніка” - “Автоматика, вимірювання та керування”. - 2011, 695. - C. 88-94.

Размещено на Allbest.ru