Пространство признаков и расстояния

Вопрос 13. Обработка данных. Выделение признаков. Выделение главных компонентов.

Вопрос 12. Модуль сбора данных. Хостовые системы

Так как атаки, эксплуатирующие локальные уязвимости конкретной машины на сетевом уровне не отследить (т.к. например при этом вообще может не быть сетевого взаимодействия - воткнули в анус флэшку, три дня кровавого поноса и загадочная смерть на унитазе) необходим сенсор - модуль сбора данных на хосте.

Приведем классификацию модулей сбора данных при построении хостовой системы обнаружения и предотвращения вторжений:

● По области наблюдения - куда ориентированы

○ На всю систему

○ На подсистему

○ На приложение

● По месту и особенностям внедрения в ОС

○ По уровню расположения в ОС

■ Уровня ядра

● основанные на драйверах подсистем

● основанные на перехватах системных вызовов и прерываний

■ Уровня приложений

● основанные на стандартных средствах аудита

● основанные на перехватах вызовов API

○ По модификации среды:

■ Программной среды

● без модификации

● с модификацией

○ при выполнении

○ при компиляции

■ Контролируемых приложений

● без модификации

● с модификацией

○ переменных окружения

○ с использованием программ-оболочек

Хостовая система обнаружения вторжений — это система обнаружения вторжений, которая ведет наблюдение и анализ событий, происходящих внутри системы (в отличие от сетевой СОВ, которая отслеживает в первую очередь сетевой трафик).

Целью хостовой СОВ является слежение за всеми событиями, происходящими в компьютерной системе и проверка их на соответствие модели безопасности. В то время, как сетевая СОВ отслеживает проходящие сетевые пакеты, хостовая СОВ проверяет, какая программа к каким ресурсам обращается и может обнаружить, что, например, текстовый процессор вдруг начал менять системную базу паролей. Хостовая СОВ просто ведет наблюдение за текущим состоянием системы, за хранимой информацией (как в оперативной памяти, так и в файловой системе), за данными системных логов и проверяет, насколько это состояние соответствует «нормальному».

Можно сказать, что хостовая СОВ — это агент, наблюдающий за тем, чтобы никто не смог нарушить (снаружи или изнутри системы) политику безопасности, установленную операционной системой.

Свойства событий:

· Частотные свойства (может быть получено из временного представления системы и из представления, связанного с порядком событий);

· Временные свойства: длительность событий;

· Свойства порядка: последовательность событий.

Теорема Ковера О разделимости образов

задача классификации данных в пространстве более высокой размерности с большей вероятностью удовлетворяет требованию линейной разделимости

«Нелинейное преобразование сложной задачи классификации образов в пространство более высокой размерности повышает вероятность линейной разделимости образов».

Дата добавления: 2014-01-15