Требования. Вопрос 15. Свойства сигнатур

Вопрос 15. Свойства сигнатур. Методы обнаружения сигнатур.

Вопрос 14. Сигнатурный метод обнаружения атак

Сигнатурный метод определяется тем, что все атаки на систему известны и развиваются по схожим сценариям.

Сигнатуры атак определяют характерные особенности и взаимосвязь событий.

Сигнатурный метод применим, когда существует ограниченный алфавит, позволяющий описывать происходящие в системе процессы.

Сигнатурные методы описывают каждую атаку в виде специальной модели или сигнатуры.. В качестве сигнатуры может быть строка символов, семантическое выражение, математическая конструкция. Задача формулируется как поиск сигнатур в объеме.

+ Быстро

- Не можем определить то, чего нет в базе; база растет.

Существуют разные методы, которые позволяют выявить мутации известных атак.

База данных сигнатур хранятся в форме md5, чтобы один антивирус не ругался на другой антивирус.

Сигнатурный метод эффективен тогда, когда существует небольшой алфавит описания событий.

Требования:

· Общность – обнаруживать все известные атаки.

· Производительность

· Эффективность – должна распознавать быстро. И по возможности работать в реальном времени.

· Переносимость – хорошо поддерживать поиск сигнатур в различных файлах аудита.

· Расширяемость – хорошо иметь язык описания.

· Масштабируемость.

· Эффективность использования ресурсов.

Проблемы:

· Зашумление данных

· Противоречие общности и специфичности описания

· Неудачное составление сигнатуры может привести к большему количеству ложных срабатываний или к пропуску атак

Сигнатура с одной стороны должна быть достаточно узкой, чтобы описывать только атаки.

Скорость распознавания – O(N*M).

● n - количество сигнатур

● m - размер сигнатур

· общность - сигнатура должна распознавать все известные атаки и модификации

· производительность - в реальном времени по возможности

· эффективное использование ресурсов

· переносимость

· расширяемость - язык описания сигнатур неплохо бы

· масштабируемость - доб. новых сигнатур не должно существенно замедлять систему.

Свойства сигнатур:

· Линейность событий. Если сигнатура линейна, то последовательность событий, составляющих сигнатуру должна быть строго определенной цепочкой событий без операции объединения, выбора и повторения.

· Нелинейность событий - частично упорядоченные цепочки событий (позволяет описывать более сложные атаки)

· Унификация событий – свойство сигнатур описывать события с использованием переменных.

· Временные характеристики

o время появлений событий

o начало и продолжительность распознавания

· Динамический ввод данных – требование неизвестности потока данных до начала распознавания.

· Динамическое множество сигнатур (можно добавлять и удалять сигнатуры во время распознавания)

· Распознавания всех сигнатур или единственной. Единственной – процесс распознавания оканчивается при обнаружении первой сигнатуры. Всех – ищем, пока не найдем все необходимые сигнатуры.

1. Существование – распознавание некоторого факта достаточно для обнаружения факта атаки.
2. Последовательность – факт распознавания строгой последовательности событий достаточен для распознавания атаки.
3. Частичный порядок – последовательность событий, составляющих сигнатуру является частично упорядоченной. Интервал времени учитывает временные зависимости между событиями.

Основные алгоритмы:

1. Регулярные выражения.
2. Конечный автомат детерминированный.
3. Контекстно-свободные грамматики.
4. Грамматики атрибутов.

Методы обнаружения:

· Совпадение с шаблоном

· Совпадение с шаблоном состояния

· Анализ на основе используемого протокола

· Эвристический анализ

Дата добавления: 2014-01-15