On the concept of creating intelligent information security systems based on neural network intrusion detection systems in automated data processing systems

Simavoryan Simon Zhorzhevich PhD in Technical Science Associate Professor, Department of Applied Mathematics and Computer Science, Sochi State University 354003, Russia, Krasnodarskii krai, g. Sochi, ul. Plastunskaya, 94 simsim@mail.ru Other publications by this author     Simonyan Arsen Rafikovich PhD in Physics and Mathematics Associate Professor, Department of Applied Mathematics and Computer Science, Sochi State University 354000, Russia, g. Sochi, ul. Ostrovskogo, 37, kv. 91 oppm@mail.ru Other publications by this author     Ulitina Elena Ivanovna PhD in Physics and Mathematics Associate Professor, Department of Applied Mathematics and Computer Science, Sochi State University 354003, Russia, Krasnodarskii krai, g. Sochi, ul. Plastunskaya, 94 ulitina@rambler.ru Other publications by this author

Popov Georgii Aleksandrovich Doctor of Technical Science Head of the Department of Information Security, Astrakhan State Technical University 414025, Russia, Astrakhanskaya oblast', g. Astrakhan', ul. Tatishcheva, 16 popov@astu.org Other publications by this author

Введение. Система обнаружения вторжений (СОВ) или система обнаружение атак (СОА) - программное или аппаратное средство защиты информации, предназначенное для предупреждения несанкционированного доступа в автоматизированные системы обработки данных (АСОД) различного назначения ^[2]. Системы обнаружения вторжений обеспечивают дополнительный уровень защиты информации в АСОД и являются одним из основных компонентов системы защиты информации. Перспективными считаются СОВ построенные на основе нейросетевых технологий, которые способны провести анализ больших потоков данных из сети на наличие угроз и обнаружить их. Особенностью искусственных нейронных сетей является то, что эти сети поддаются обучению, и после обучения способны адаптироваться под новые типы угроз и распознавать их, даже если они до этого с ними не сталкивались. Сам термин «вторжение», в связи с его многозначностью по-разному трактуется специалистами по безопасности - нарушение безопасности, атака, проникновение, нападение и др. На основании терминологии ГОСТ ^[2] под атакой на информационную систему следует понимать один или несколько инцидентов информационной безопасности, связанных с человеческим фактором, которые в совокупности могут привести к реализации угроз путем использования уязвимостей этой информационной системы. Инцидент информационной безопасности - это любое непредвиденное или нежелательное событие, которое может нарушить деятельность или информационную безопасность.

В настоящее время, наиболее серьезные угрозы через Интернет исходят: 1) от атак, построенных на использовании уязвимостей таких приложений как сервисы HTTP (TCP порт 80) и HTTPS (TCP порт 443), которые во многих сетях открыты именно на уровне приложений модели OSI (Open Systems Interconnection), 2) от вирусов, 3) от Spyware и 4) от спама ^{[12, 13]}.

Задача интеллектуального противоборства злоумышленников и службы защиты информации актуальна и требует регулярного решения ^[6,7,9]. На сегодняшний день применение нейронных сетей в СОВ является перспективным направлением, и её дальнейшее развитие связано с совершенствованием процедур их обучения ^{[15, 16]}.

Решение задач по разработке эффективных СОВ может быть осуществлено только на базе системно-концептуального подхода к созданию интеллектуальных систем защиты информации ^{[10, 11, 17]}.

Основная часть

Концепцию создания интеллектуальных систем защиты информации на основе нейросетевых систем обнаружения атак в АСОД можно отнести к концепции создания систем дистанционной поддержки критических технологий ^[1]. Основу концепции составляет построение гибкой системы СОВ в узлах автоматизированных территориально распределенных информационно-вычислительных сетей и в сетях передачи данных между узлами сети. Поскольку компоненты СОВ, построенные на нейросетевых технологиях, а в дальнейшем, с добавлением механизмов искусственных иммунных систем, являются функционально самостоятельными и обучаемыми подсистемами систем защиты информации во всех структурных компонентах АСОД, то согласование их работы требует создания главного центра управления этими системами ^[1]. Основными концептуальными требованиями к системе СОВ являются адаптируемость и обучаемость. Адаптируемость достигается основными характеристиками предъявляемым к нейронным системам, а управляемость достигается регламентированным процессам реализации макропроцессов управления защитой информации.

На сегодняшний день, на современном рынке существует множество различных СОВ, например, OSSEC - является масштабируемой, мульти платформенной узловой СОВ, Bro - является сетевой системой обнаружения вторжений с открытым исходным кодом, CATNET - это интеллектуальная система для обнаружения, анализа и регистрации инцидентов в сети, Snort - это продукт с открытым исходным кодом для обнаружения и предотвращения вторжений. Эти СОВ сравниваются между собой по следующим свойствам: бесплатность, открытость исходного кода, мультиплатформенность, простота в настройке, наличие различных сообществ поддерживающих пользователей, включение в себя системы не только определения, но и предотвращения вторжений ^[12].

Разработкой и созданием современных СОВ занимаются и многие разработчики антивирусных программ, например, такие как: Kaspersky Lab, Dr. Web, McAfee, Nod32, Panda Adaptive Defense 360, Avast и многие другие ^[13].

В работе ^[14] приведен перечень СОВ (СОА), сертифицированных ФСБ или ФСТЭК России: Аргус (версия 1, версия 2), детектор атак «Континент», Рубикон, Ручей-М, Тор, Форпост (версия 1), ViPNet IDS.

Для создания эффективных СОВ на базе системно-концептуального подхода требуется разработать 1) единые требования к анализу больших баз данных на основе единой методики их обработки ^[4]; 2) единые методы классификации вторжений ^[3]; 3) единые схемы технологических маршрутов обработки и анализа поступающей информации в АСОД ^[5].

Функции защиты от вторжений. Функциональный подход к разработке СОВ заключается в том, что за основу организации защиты принято понятие функции защиты информации, концептуальным требованием к которым является требование полноты. Под функцией защиты понимается однородная в функциональном отношении совокупность мероприятий и решений, осуществляемых в интересах обеспечения ЗИ ^[8]. Под полнотой функции понимается их свойство, заключающееся в том, что планомерное и регулярное выполнение этих функций помогает достичь требуемый уровень защищенности информации. Сформулируем полное множество функций защиты от вторжений в АСОД: 1) предупреждение условий, порождающих проникновение вторжений в АСОД; 2) предупреждение проникновений зловредного кода в сети АСОД; 3) обнаружение проявившихся вторжений; 4) предупреждение воздействия вторжения на информацию; 5) обнаружение воздействия вторжения на информацию; 6) локализация воздействия вторжения на информацию; 7) ликвидация последствий воздействия вторжения. В зависимости от исхода осуществления каждой из функций защиты от вторжений будет иметь место одно событие из множества итоговых событий по обнаружению, предупреждению воздействий, локализации и ликвидации последствий вторжения, которые в совокупности составляют полное множество несовместных случайных событий. Отсюда следует, что сумма вероятностей благоприятных итоговых событий выражает вероятность надежной защиты информации от вторжений. Этим и создаются объективные предпосылки для оптимального использования ресурсов, выделяемых на защиту информации от несанкционированных вторжений.

Задачи защиты от вторжений. Реализация функций защиты осуществляется решением репрезентативного множества специально разработанных задач защиты от вторжений. Репрезентативность множества задач определяется как такое их свойство, при котором имеются возможности эффективного осуществления всех функций защиты в соответствии с требованиями надежной защиты. Перечень и содержание конкретных задач на каждом структурном компоненте АСОД и каждой технологической схеме обработки информации определяется исходя из потенциально возможных способов защиты, а именно: а) препятствие; б) регламентация; в) управление; г) маскировка; д) принуждение; е) побуждение ^{[8, 11, 17]}. Перечень задач определяется экспертным путем.

Методы управления деятельностью СОВ. Одно из важнейших требований к системе СОВ заключается в создании в ней механизмов управления процессами защиты. В соответствии с теорией защиты информации СОВ относятся к системам организационно-технологического типа. Основными функциями управления в таких системах являются: а) планирование; б) оперативно-диспетчерское регулирование быстротекущих процессов; в) календарно- плановое руководство; г) обеспечение повседневной деятельности органов управления ^[17]. Применительно к СОВ, построенных на нейросетевых технологиях, необходимо взять за основу централизованно-децентрализованную схему управления защитой информации от вторжений, заключающейся в обеспечении узлов защиты АСОД возможностями осуществлять автономное управление своими средствами защиты от вторжений, а главному центру - централизованное управление всей сетью (всей или ее частью) при обработке информации по единой технологии. В целях обеспечения высокой эффективности оперативно-диспетчерского управления процессами обнаружения быстротекущих процессов вторжений (доля которых в общем объеме процессов управления защитой весьма большая и с течением времени возрастает) необходимо осуществить полную их структуризацию, а именно: а) классифицировать по единой методологии все потенциально возможные вторжения; б) все сообщения о вторжениях строго формализовать и разделить по степени срочности; в) строго регламентировать процесс генерирования, передачи и обработки сообщений о вторжениях как по вертикали, так и по горизонтали в структурных компонентах АСОД; г) разработать четкие алгоритмы работы службы безопасности по борьбе с потенциально возможными вторжениями. Планирование, календарно-плановое руководство о обеспечение повседневной деятельности службы защиты информации также являются неотъемлемой частью общего управления защитой информации от вторжений.

Заключение.

Из краткого изложения сделаны следующие выводы:

- в российских и в зарубежных СОВ используются в основном одни и те же принципы построения СОВ, основанные на сигнатурном, эвристическом и их комбинации анализе;

- сенсоры и детекторы с установленными на них программами анализа первичных источников информации о компьютерных атаках выполняют практически одни и те же функции;

- от сенсоров и детекторов информация о компьютерных атаках поступает в специальный центр, который обеспечивает хранение и обработку информации о вторжениях;

- для борьбы с несанкционированными вторжениями, как со злом в общенациональном и мировом масштабах, необходимо принять единый, системный подход, основанный на единых правовых, организационных и технических мерах защиты информации.

Таким образам, проблема надёжного обеспечения защиты информации с помощью СОВ, на основе нейросетевых систем обнаружения вторжений в АСОД, вытекает из общего фундаментального положения системно-концептуального подхода к защите информации регламентирующего заблаговременную и упреждающую тактику применения эффективных средств, методов и мероприятий по защите информации в АСОД.

Выводы. В концептуальном плане системно-концептуальный подход позволит создавать не просто сеть СОВ, а системы СОВ дистанционного обучения, системы взаимосогласованной (с управляемой) функциональной защитой данных в территориально-распределенных центрах по борьбе с хакерами и мошенниками в сети. Организационно сеть необходимо создавать в виде связанных сетью передачи данных локальных центров СОВ, объединенных с одним головным центром.

Благодарности

Работа выполнена при финансовой поддержке гранта РФФИ №19-01-00383.