Концептуальная модель принимающего узла компьютерной сети под воздействием сетевых

«отказ в обслуживании» на основе программируемой логической интегральной схемы

На аппаратном уровне реализован алгоритм, применяющий набор простых правил для детектирования сетевых распределенных атак, использующий список управления доступом (ACL). Его принцип работы заключается в следующем:

1. 
   программная часть производит анализ входного трафика. Анализ осуществляется с помощью алгоритмов машинного обучения;
   
2. 
   на основании результатов анализа происходит детектирование DDoS атак и их источников;
   
3. 
   формируется список управления доступа, содержащий признаки, по которым необходимо определять вредоносные пакеты (адрес источника, номер HTTP заголовка и другие);
   
4. 
   полученный список преобразовывается в бинарный вид, и затем передается на программируемую логическую интегральную микросхему (ПЛИС) через программный интерфейс;
   
5. 
   ПЛИС, в свою очередь, применяет список и, таким образом, блокирует распределенные сетевые атаки.
   

Формирование списков управления доступом зависит от вида сетевых атак, которые могут происходить на различном уровне модели OSI, поэтому происходит поэтапное формирование списка. На самом прикладном уровне детектирование обеспечивается путем получения телеметрии веб-сервера (детектирование его состояния, аномалий). Следующим этапом формирования дерева является сетевой уровень, где информация о вредоносных пакетах формируется классификатором.
Алгоритм противодействия DDoS атакам представлен на Рисунке 4.3.

Рисунок 4.3. Алгоритм фильтрации входящих сетевых пакетов на ПЛИС

2. Алгоритм детектирования сетевых атак типа «отказ в обслуживании» на основе машинного обучения

Алгоритм детектирования на основе машинного обучения представлен на рисунке 4.4.



Рисунок 4.4. Алгоритм фильтрации входящих сетевых пакетов на принимающем узле компьютерной сети
После приема пакета непосредственно на сервере происходит классификация полученного пакета по заранее заданным атрибутам вредоностного трафика. В случае, если классификатор не выделил отклонений, система обращается к опросу состояния телеметрии сервера. При
детектировании отклонений работы сервера, происходит поиск аномалий с помощью разработанного метода на основе кластерного анализа сетевого трафика. После проведенной кластеризации формируется необходимое правило, отсылаемое на аппаратный модуль программно-аппаратной платформы, тем самым происходит формирование правила блокировки текущей сессии содержащий вредоностный трафик.

4.