1-bob. "Xizmat ko'rsatishni rad etish" turidagi tarmoq taqsimlangan hujumlari ta'siridagi kompyuter tarmog’i qabul qilish tugunining konseptual modeli

Anormal tarmoq trafigini aniqlash

Hujum bor yoki yo'qligini bilish uchun birinchi navbatda qabul qiluvchi uy egasining telemetriyasiga murojaat qilish kerak. Muntazam ishlash sharoitida tarmoq resurslari va hisoblash resurslarini yuklash ko'rsatkichlari normal diapazonda bo'ladi. Parametrlarning har qanday og'ishi hujumning mavjudligini ko'rsatadi. Shu bilan birga, tarmoq hujumlarining tasnifi, agar u o'quv ma'lumotlar to'plamida tavsiflanmagan bo'lsa, hujumni aniqlamasligi mumkin. Bunday holatda, hujum tizim uchun yangi bo'ladi va asosiy kompyuter tarmog'i tugunlari uchun anomaliya bo'ladi.

Anormal tarmoq trafigini aniqlash jarayoni 2.1-rasmda tasvirlangan



2.2-rasm. Anormal trafikni aniqlash jarayoni
Foydalanuvchi faoliyatini monitoring qilish bosqichi talab qiladi hisoblashquyidagi variantlar:

• 
  arizaga javob berishning o'rtacha vaqtini hisoblash;
  
• 
  arizaga javob berishda xatolar yuzaga kelishini hisoblash;
  
• 
  soniyada so'rovlar sonini hisoblash.
  
• 
  Noyob foydalanuvchilarni hisoblash.
  

Kuzatilgan ma'lumotlarni tahlil qilish bosqichi tarmoq hujumining boshlanishini aniqlash uchun zarur. Ushbu bosqichda siz foydalanuvchi faolligi ko'rsatkichlari uchun chegara belgilashingiz kerak. Chegaradan oshib ketgan trafik qayd qilinadi va klasterlash uchun yuboriladi.
Oxirgi bosqich qabul qilingan tarmoq paketlarining muntazam oqimi uchun anomal bo'lgan obyektlar to'plamini qidirish bilan tavsiflanadi. Ushbu bosqich oldindan noma'lum tarmoq hujumining atributlarini (naqshlarini) tushunish, shuningdek, qonuniy trafikni blokirovka qilish mumkin bo'lgan noto'g'ri pozitivlarni yo'q qilish uchun zarurdir.

2. kabi ilgari noma'lum tarmoq hujumlarini aniqlash uchun ma'lumotlarni to'plash

"xizmatni rad etish"

Obyektlar to'plamini (kiruvchi tarmoq paketlarini) X deb belgilaymiz. Bu holda tarmoq hujumining mavjudligi klasterlarining teglar to'plamini Y deb belgilaymiz.

Masofa funksiyasi 𝜌(𝑥, 𝑥′) kirish toʻplamlari orasida berilgan. Tarmoq hujumlarining yakuniy o'quv to'plami quyidagi shaklga ega:
𝑋𝑚 = {𝑥1, 𝑥2, … 𝑥𝑚} ⊂ 𝑋 (2.24)
Har bir kiruvchi tarmoq paketi 𝑥𝑖 ∈ 𝑋𝑚 uchun tarmoq hujumi yorligʻi 𝑦𝑖 ∈ 𝑌 mos boʻlishi kerak, shunda har bir klaster ichidagi obʼyektlar metrikaga 𝜌 yaqin boʻlishi va turli klasterlar obʼyektlari sezilarli darajada farq qilishi uchun [139].
Klasterlash usuli tasniflash usulidan bilvosita farq qiladi, chunki o'quv namunasidagi 𝑦𝑖 obyektlarning teglari dastlab o'rnatilmagan va hatto 𝑌 to'plamining o'zi ham noma'lum bo'lishi mumkin [140]. Bu tasniflagichda ilgari tavsiflanmagan DDoS hujumlarini aniqlash uchun yetarli.
Har bir qurilgan paket vektor 𝑝 sifatida ifodalangan metamaʼlumotlar toʻplamiga ega:
𝑝 = (𝑖𝑑, 𝑑𝑎𝑡𝑒, 𝑥1, 𝑥2, … , 𝑥𝑛),(2.25) Bu erda n - vektorning o'lchami, id - sessiya identifikatori, sana - vaqt tamg'asi,
𝑥1,…,𝑥𝑛-yo'nalishlar, jo'natuvchi va qabul qiluvchi manzillari va portlari, paket hajmi, protokol turi, turli bayroqlar va xizmat ko'rsatish maydonlari [141].

3.