Концептуальная модель принимающего узла компьютерной сети под воздействием сетевых

ГЛАВА 2. МЕТОДЫ ОБНАРУЖЕНИЯ СЕТЕВЫХ АТАК ТИПА

«ОТКАЗ ОБСЛУЖИВАНИИ»
Чтобы увеличить эффективность процессов обнаружения DDoS атак и противодействия им, нужно исследовать возможность использования алгоритмов машинного обучения для противодействия DDoS атакам при их применении в автоматизированных системах защиты. Для решения проблемы обнаружения DDoS атак могут быть применены алгоритмы машинного обучения с учителем и без учителя. Методы обучения с учителем детектируют атаки с высокой точностью, если атрибуты атак точны и корректны, однако они не способны детектировать ранее не встречавшиеся атаки. Методы обучения без учителя, наоборот, могут детектировать неизвестные атаки. Тем не менее, они становятся неэффективными, если в данных содержится шум или данные искажены.
Целью настоящей главы является разработка методов детектирования сетевых распределенных атак на основе алгоритмов машинного обучения. Разрабатывается математический аппарат для применения градиентного бустинга в задачах автоматической классификации известных сетевых угроз типа «отказ в обслуживании». Для детектирования ранее неопределенных угроз предложен метод, основанный на алгоритме машинного обучения без учителя – алгоритма локального уровня выброса с использованием метода настройки гиперпараметров.

1. Задача детектирования сетевых атак типа «отказ в обслуживании»

Задача детектирования DDoS атак состоит в решении задачи классификации входящего сетевого трафика на принимающем узле компьютерной сети.
В модели на основе обучающей выборки сетевого трафика задаем функцию 𝑓(𝑥_𝑚) от входных параметров, которая при наименьшем количестве ошибочно классифицированных пакетов предсказывает результирующий
класс атаки 𝑦 для любых новых значений 𝑥 [156]. Выходные значения берутся из дискретного множества 𝑌, включающего все предопределенные значения классов:
𝑌={𝑦_1,𝑦₂, … , 𝑦_𝑚}, (2.1)
где 𝑚-количество результирующих классов [120].
Таким образом,
𝑓: 𝑋 → 𝑌, (2.2)
где 𝑋 – это набор векторов атрибутов сетевых пакетов, 𝑌- набор наименований классов распределенных сетевых атак. Значения целевой зависимости
𝑓 известны только на объектах конечной обучающей выборки [156]:
𝑥^𝑚 = {(𝑥₁, 𝑦₂), … , (𝑥_𝑚, 𝑦_𝑚)}. (2.3) Для точного детектирования атак достаточно использовать разделение трафика на трафик, содержащий атаку, и легитимный трафик в соответствии с
формулой 2.4.

𝑓: 𝑋 → {𝑎𝑡𝑡𝑎𝑐𝑘, 𝑙𝑒𝑔𝑖𝑡𝑖𝑚𝑎𝑡𝑒}, f(𝑋 )={ ^{𝑎𝑡𝑡𝑎𝑐𝑘,}
𝑥_𝑖 ∈ ℕ

^𝑖 𝑙𝑒𝑔𝑖𝑡𝑖𝑚𝑎𝑡𝑒, 𝑥_𝑖 ∈ ℝ

(2.4)

В результате успешной классификации входящих пакетов возникает две вероятности отнесения данных входящего сетевого трафика к классу атак
𝑝_ℝ(𝑚) или к классу легитимный трафик 𝑝_ℕ(𝑚) [156].