Модуль анализа

Основные модули

· сбора данных – во многом ключ к построению всей системы. Он должен:

o Осуществлять дополнительную фильтрацию трафика после его предварительной обработки СОВ на основе сигнатур

o Передавать модулю анализа только тот трафик, который является атакой и на который нет сигнатуры.

· хранения (там хранятся данные).

· анализа, строящий сигнатуры. Он должен:

o Осуществлять сборку подключений из переданных пакетов

o Проводить анализ полей пакетов и подключений

o Сформировать набор признаков, который мог использоваться модулем создания сигнатур

o Хранить подключения и пакеты в базе данных для последующего анализа

o Создание первичной сигнатуры атаки

· создания сигнатур. Он должен:

o осуществлять формирование окончательных сигнатур из первичных;

o определять множество сигнатур, которое может быть получено из текущей сигнатуры;

o обрабатывать первичные данные сигнатуры, чтобы сигнатура соответствовала предъявленным к ней требованиям.

· вывода. Он должен:

o проверять качество созданной сигнатуры посредством тестирования;

o видоизменять запись сигнатуры в термины, понятные СОВ на основе сигнатур;

o осуществлять запись сигнатуры в БД СОВ.

За то, что нет человека, мы платим предположениями. То есть у нас есть модуль сбора данных. На выходе этого модуля хорошего трафика нет.

Каким модулям мы можем доверять, раз нет человека? Альтернативным методам выявления – нейронная сеть и тд. Honeypot – вся активность в данной системе аномальна.

Итого. Задача модуля сбора – отфильтровать интрузивный трафик.

Возможно два способа осуществлять кластеризацию записей. Кластеризация основывается на том, что данные атак являются измеримо схожими. Соответственно алгоритм кластеризации может их классифицировать как одну атаку. Данные, соответствующие различным атакам, являются различимыми и алгоритм кластеризации может их различить.

Для каждой сессии из множества

Есть набор коннекшнов. Они нехорошие. Есть эффективный метод измерения, например, длина пакета, распределение символов, наличие структуру и их порядок. Мы пытаемся кластеризовать эти характеристики и построить на основе них сигнатуру. Сигнатура для каждого кластера – набора.

Считается, что информации о структуре прикладного протокола нет – просто поток данных.

Существует два алгоритма обнаружения.

Алгоритм горизонтального обнаружения:

1. Выбираются два подключения из хранилища подключений;

2. Выбирается первый пакет в подключении с полезной нагрузкой (после пакетов установления соединения);

3. Выбирается пакет под таким же номером в другом подключении;

4. Сравниваются последовательности байтов в полезной нагрузке пакетов;

5. Если одинаковые последовательности байт – они заносятся в сигнатуру;

6. После сравнения этих пакетов выбираются следующие пакеты подключений.

Алгоритм вертикального обнаружения:

1. Выбираются два подключения из хранилища подключений;

2. Выбираются входящие пакеты в подключениях с полезной нагрузкой (после пакетов установления соединения);

3. Сравниваются последовательности пакетов с полезной нагрузкой между подключениями;

4. Если одинаковые последовательности байт – они заносятся в сигнатуру;

сформировали сигнатуру.

Затем сигнатура передается в модуль создания сигнатур. С одной стороны проверяется, нет ли уже такой сигнатуры.

Начинаем тестировать сигнатуру – есть набор аномальных и нормальных коннекшенов. Если эта сигнатура подходит к коннекшенам хорошим, то плохо – у нас ошибка второго рода. Если все нормально – передаем в основную систему.

Модуль вывода:

· На вход получает протестированную сигнатуру;

· Если в записи сигнатуры не содержится к-л данных, то обработка сигнатуры прекращается;

· Если в сигнатуре содержатся данные, то проверяется как сигнатура может использоваться, чтобы улучшить существующее объединение сигнатур.

Эта штука хорошо работает для создания сигнатур червей и вирусов.

Ключ технологии – модуль сбора.

Проблема метода – ложные срабатывания и пропуски.

Дата добавления: 2014-01-15