Концептуальная модель принимающего узла компьютерной сети под воздействием сетевых

Анализ наблюдаемых данных

На данном этапе нам необходимо выявить начало DDoS атаки.

Для анализа наблюдаемых данных необходимо установить порог абсолютной пропускной способности принимающего узла
𝐴 = 𝑃_обс𝜆, (3.3)
где 𝑃_обс – вероятность облуживания пользователей, 𝜆 – интенсивность заявок.
При этом интенсивность заявок примет следующий вид
𝜆 = ¹ , (3.4)
^𝑡обвх
где 𝑡_обвх – время на обслуживание входящих пользователей.
Вероятность облуживания пользователей

^𝑃обс
= 1 − ^𝑁𝐹𝑀 , (3.5)
^𝑁𝑅𝑃𝑆

Подсчет среднего времени ответа приложения имеет вид
𝑇 = ^{𝑁𝑅𝑃𝑆} = ^{𝑁𝑅𝑃𝑆𝑡вх}. (3.6)

𝐹𝑀
𝑇𝑇𝐹
𝑁 1
(1− )∗
₁₋ 𝑁_𝐹𝑀

^𝑁𝑅𝑃𝑆 ^{𝑡вх
𝑁}𝑅𝑃𝑆

Администратору системы необходимо установить порог:

• 
  времени ответа приложения;
  
• 
  порог доли ошибок;
  
• 
  порог количества запросов.
  

Если характеристика превышает заданный параметр, то атака возможна и требуется её дальнейшее исследование.
Данный анализ необходим до того, как приложение перестало отвечать. Анализ количества данных переданному приложению необходим для того, чтобы понять соответствует ли они нормальному распределению, в случае если атакующие вытесняют легитимных пользователей и запрашивают одни и те же ресурсы.
В случае, если время ответа растет, а количество пользователей падает, то детектируем атаку и ставим маркер тревоги.