Ii bob. Anomal tarmoq trafigini aniqlash va baholash usullari va vositalarining tahlili

II BOB. Anomal tarmoq trafigini aniqlash va baholash usullari va vositalarining tahlili

2.1. Siklik tahlil asosida anomal tarmoq trafigini aniqlash usul va vositalari

Tarmoq texnologiyalari zamonaviy jamiyat hayotining ajralmas qismiga aylandi. Shu bilan birga, tarmoqlarning samarali ishlashi uchun aloqa kanallari orqali ma'lumotlarni uzatishning ishonchliligi katta ahamiyatga ega.

Tarmoq anomaliyalari - bu kompyuter tarmog'ining samaradorligiga ta'sir qiluvchi asosiy sabablardan biri (BC). Paket harakatlanishidagi anomaliyalar tarmoq uskunalarining nosozligi, qonuniy foydalanuvchilar tomonidan tasodifiy yoki qasddan qilingan harakatlar, ilovalarning noto'g'ri ishlashi, bosqinchilarning harakatlari va hk.

Shunday qilib, paketga ma'lumotlarni ishonchli uzatish uchun anomaliyani o'z vaqtida aniqlash, uning manbaasini yoki manbalarini qidirish va uni yo'q qilish choralarini ko'rish (choralar nosozligi to'g'risida xabar berish, g'ayritabiiy trafikni filtrlash) choralarini ko'rish mumkin. Binobarin, paketga ma'lumotlarni ishonchli uzatilishini ta'minlash uchun anomaliyalarni aniqlashning yangi usullari va uni yo'q qilish choralarini ishlab chiqish juda muhimdir.

Bugungi kunda anomaliyalarni aniqlash uchun ishlatiladigan eng keng tarqalgan vositalardan biri bu hujumni aniqlash vositalari (SOA). Ushbu vositalar kompyuter yoki tarmoq resurslariga yo'naltirilgan shubhali faoliyatni aniqlaydi va unga javob beradi.

Biroq, mavjud bo'lgan hujumni aniqlash vositalarining hech biri paket transportida anomal faollikni to'liq aniqlay olmaydi. Statistik ma'lumotlarga ko'ra, 80 foizga yaqin qoidabuzarliklar ichki qoidabuzarlar tomonidan sodir etiladi, ya'ni. tashkilot xodimlari tomonidan amalga oshiriladi. Ichki tajovuzkorlarning salbiy ta'sirini aniqlashda ishlatiladigan hujumni aniqlash vositalari samarasiz. Umuman olganda, paketga hujumlarni aniqlash vositalarining quyidagi kamchiliklarini ajratish mumkin:

1. 
   kirishni tijorat tizimida aniqlash tizimlarining yuqori narxi;
   
2. 
   soxta ijobiy sonlarning ko'pligi, shuningdek, kompyuter tarmoqlarida real hujumlarning yo'qolishining yuqori darajasi;
   
3. 
   yangi va o'zgartirilgan hujumlarni aniqlash qobiliyati zaifligi;
   
4. 
   buzilish manbai va antropogen xavf tug'ilganda hujumchining maqsadlarini aniqlashdagi muammolar;
   
5. 
   dastlabki bosqichlarda ba'zi qonunbuzarliklarni aniqlashning mumkin emasligi;
   
6. 
   real vaqtda ishlaydigan tizimlarning hisoblash resurslariga katta talablar;
   
7. 
   SOAni amalga oshirish uchun zarur bo'lgan hujumlarni aniqlash bo'yicha mutaxassislarning yuqori malakasi yo’qligi.
   

Zamonaviy SOA-ning mavjud kamchiliklari bilan bog'liq holda, anomaliyaning kattaligini aniqlash va baholash, shuningdek, uni yo'q qilish zarurligi to'g'risida qaror qabul qilish imkonini beradigan anomal tarmoq trafigini aniqlashning yangi usullarini ishlab chiqish zarur bo'lib qoladi.

Birinchi bosqichda trafikdan bashorat qilish uchun zarur bo'lgan barcha ma'lumotlar olinadi. Tarmoq bo'yicha mavjud ma'lumotlarga asoslanib bashorat qilishning maqsadi kelajakda ma'lum vaqt davomida trafik hajmining qiymatini olish bo'lganligi sababli, IP-paketdan paketning umumiy uzunligi haqida ma'lumot olish kerak. Sarlavhasi, shuningdek paketni qabul qilish sanasi va vaqtini saqlanadi. Filtrlashda manba manzili va IP-paketning manzili haqida ma'lumot ishlatilishi mumkin. Shunday qilib, trafikni bashorat qilish uchun IP-paketdan quyidagi ma'lumotlar olinadi:

• 
  IP-paket hajmi;
  
• 
  Manba IP-manzili;
  
• 
  Belgilangan IP-manzil;
  
• 
  IP-paketni qabul qilish sanasi;
  
• 
  IP-paketni qabul qilish vaqti.
  

Yig'ilgan statistika tarmoq trafigini bashorat qilish uchun ishlatiladi. Vaqt qatorlarini siklik tahlil qilish asosida trafikni bashorat qilishning matematik modeli tuziladi. Tarmoq trafigini taxmin qilish algoritmi [3] da keltirilgan g'oyalarga asoslanishi mumkin.

Siklik tahlilni o'tkazish uchun zarur bo'lgan asosiy bosqichlarni ko'rib chiqiladi.

Ma'lumotlarni tanlash. Birinchi bosqichda bashorat qilinadigan ma'lumotlarning shakli va miqdorini aniqlash kerak. Siklni tahlil qilish ma'lumotlar bir xilligiga juda bog'liq. Amaldagi ma'lumotlar bir xil tuzilishga ega bo'lishi kerak, aks holda tahlildagi ma'lumotlarning bir xil emasligi sikllarning tuzilishini o'zgartirishi mumkin. Shunday qilib, anomaliyani izlash va baholashda sikllar shaklini o'zgartirishi mumkin bo'lgan paket operatsiyasidagi keskin o'zgarish (masalan, ko'p sonli xostlar ulanganligi yoki jadvalning o'zgarishi) hisobga olinishi kerak.

Siklik tahlil bir qator ma'lumotlar bilan ishlashni o'z ichiga olganligi sababli, vaqt o'tishi bilan trafik hajmining o'zgarishini tavsiflovchi bir qator qiymatlar shaklida tarmoq trafigi bo'yicha mavjud ma'lumotlarni shakllantirish zarur. Buning uchun transport oqimining namunasini olish kerak. Endi ushbu jarayonni misolda ko’rib chiqildi (1 – rasm).

1 – rasm. Trafik diskratezatsiyasi

Rasmda tarmoq trafigi oqimini aks ettiruvchi grafik ko'rsatilgan: abstsissa t vaqtni, ordinat trafik hajmini bildiradi V vaqt oralig'ida trafik statistikasi to'plansin. Bir qator ma'lumotlarni olish uchun vaqt oralig'ini ajratib oling. T ga Q teng intervalgacha Δt;

;

Keyin har bir Δt oralig'i uchun berilgan vaqt oralig'iga tushgan tarmoq paketlari hajmini qo'shing:

,

bu erda: R - Δt oralig'iga tushadigan tarmoq paketlari soni, q - interval soni, q = , – vaqt o'tishi bilan trafik hajmining o'zgarishini tavsiflovchi qator ma'lumotlar to'plami, namuna olish chastotasi Dt.

Ma'lumotlarga qaror qilib, trafikdagi tasodifiy tebranishlarni istisno qilish kerak. Buning uchun ma'lumotlarni tekislash bosqichi taqdim etiladi.

Tasodifiy tebranishlarni bartaraf etish uchun ma'lumotlar seriyasining qisqa muddatli markazlashtirilgan harakatlanuvchi o'rtacha usuli qo'llaniladi.

Ma'lumotlarni L ga tenglashtiradigan ballar sonini olamiz, harakatlanuvchi o'rtacha qiymatlarni ballar bo'yicha hisoblashda ballari dastlabki ma'lumotlar seriyasidan o'chiriladi: qatorning boshi va oxiri. Shunday qilib, yangi ma'lumotlar seriyasining uzunligi ga teng:

, ;

.

Mumkin bo'lgan tsikllarni qidirilib tasodifiy tebranishlarni bartaraf qilib, sikllarni to'g'ridan-to'g'ri qidirishga o'tish mumkin. Ko'rib chiqilayotgan qatorning chastota komponentlarini aniqlash uchun spektral tahlil usulidan foydalaniladi. Spektral analizning matematik asosini Furye konvertatsiyasi tashkil etadi [4]. Tarmoq trafigining qayta ishlangan statistikasi raqamli qatorga ega bo'lganligi sababli, diskret Furye konvertatsiya qilish usuli chastota komponentlarini aniqlash uchun javob beradi. To'g'ridan-to'g'ri diskret Furye konvertatsiyasidan foydalanib, ma'lumotlar qatorining murakkab amplitudalarini topiladi :

,

Bu erda N - ma'lumotlar seriyasining elementlari soni va parchalanish komponentlari soni, i – xayoliy birlik.

Murakkab sonning modulini quyidagicha topish mumkin:

.

Murakkab amplituda asosida quvvat spektri hisoblanadi:

.

Quvvat spektrini grafik ravishda namoyish etamiz (2-rasm) [3].

2 – rasm. Ma'lumotlarning quvvat spektri

Rasm shuni ko'rsatadiki, yuqori qiymatlar ba'zi chastotalar atrofida to'planadi.

Yuqori qiymatlar to'plangan joylardagi do'ngliklar mumkin bo'lgan sikllarni ko'rsatadi. Qiymat sikl chastotasi yuqori ko'rsatkich kuzatiladigan n indeks bo'ladi quvvat spektri .

Mumkin bo'lgan sikllarni va ularning chastotalarini aniqlab, odatiy amplituda A va faza φ ni hisoblaymiz. Chastotalari S to'plamini tashkil etadigan b mumkin bo'lgan sikllar topilsin, ya'ni yuqori spektral qiymatlar klasteri mintaqasida do’nglik kuzatiladigan har bir chastota qiymati S to'plamining elementidir.

Keyin topilgan sikllarning amplitudalari va fazalarini quyidagi formulalar bo'yicha hisoblash mumkin:

,

,

Bu yerda xayoliy raqam funksiyasi: xayoliy sonning (radianda) mos keladigan burchagi .

Функция, описывающая цикл, выглядит как:( Loop funksiyasi shunga o'xshash)

.

Biroq, allaqachon aytib o'tilganidek, quvvat spektrining yuqori qiymati faqat siklni o'z ichiga oladi. Shuning uchun, keyingi qadamda boshqa tasdiqlangan sikllarni topiladi. Buning uchun ma'lum miqdordagi mezonlarni tekshirish kerak.