автореферат диссертации по информатике, вычислительной технике и управлению, 05.13.19, диссертация на тему: Построение модульных нейронных сетей для обнаружения классов сетевых атак
Автореферат диссертации по теме "Построение модульных нейронных сетей для обнаружения классов сетевых атак"
На правах рукописи
ЖУЛЬКОВ Евгений Владимирович
ПОСТРОЕНИЕ МОДУЛЬНЫХ НЕЙРОННЫХ СЕТЕЙ ДЛЯ ОБНАРУЖЕНИЯ КЛАССОВ СЕТЕВЫХ АТАК
Специальность 05 13.19 - «Методы и системы защиты информации, информационная безопасность»
диссертации на соискание ученой степени кандидата технических наук
Работа выполнена в Государственном образовательном учреждении высшего профессионального образования "Санкт-Петербургский государственный политехнический университет"
Кандидат технических наук, профессор Платонов Владимир Владимирович Официальные оппоненты.
доктор технических наук, профессор Гаценко Олег Юрьевич
кандидат технических наук, доцент Шишкин Владимир Михайлович
ГОУ "Санкт-Петербургский государственный университет телекоммуникаций имени проф МА Бонч-Бруевича"
Защита состоится « » 2007 г в часов на заседании диссертационного
совета Д 212 229 27 при ГОУ ВПО
"Санкт-Петербургский государственный политехнический университет" по адресу 195251 Санкт-Петербург, Политехническая 29, ауд 175 главного здания
С диссертацией можно ознакомиться в фундаментальной библиотеке
ГОУ ВПО' Санкт-Петербургский государственный политехнический университет"
Автореферат разослан « 3 » 2007 г
Общая характеристика работы Как следует из ежегодного отчета Федерального Бюро Расследовании США, освещающего статистику компьютерных преступлений, в этом году сократилось количество атак на компьютеры и компьютерные системы Несмотря на это, общая сумма ущерба среди интервьюируемых организаций составляет более 66 миллионов долларов США. значительная часть которых пошла на возмещение ущерба от сетевых атак Эти и другие данные подчеркивают актуальность задачи построения защищенных сетей
Для защиты сетей существует большое количество программно-аппаратных средств защиты информации, лидирующие позиции среди них занимают межсетевые экраны Для построения защищенного участка сети недостаточно использования только межсетевых экранов, так как эта технология позволяет избежать неавгоризованного доступа до определенных сетевых сервисов, однако авторизованные соединения получают полный доступ Поэтому для решения этой проблемы и для проверки авторизованного доступа широко используются системы обнаружения вторжений (СОВ) В случае проверки параметров межсетевого взаимодействия - сетевые СОВ
Для анализа параметров используется ряд методов В подавляющем числе случаев коммерческие системы используют сигнатурный метод поиска вторжений, заключающийся в поиске заранее известных атак по формальным признакам - параметров заголовков, передаваемьм данным Недостатком данного подхода считается невозможность обнаруживать неизвестные атаки
В научных и исследовательских проектах изучаются сетевые СОВ, работающие на основе аппарата нейронных сетей (НС) Благодаря обобщающим свойствам НС появляется возможность эффективно обнаруживать ранее неизвестные атаки Изучение свойств НС в составе СОВ выполнены в работах таких ученых, как В Корнеев, В Райх, А Сплошное, А Масалович, А Ежов и зарубежный ученых Дж Кеннеди, М Моради, А Бивенса, А Гоша, А Шварцбарда и других
Как показал анализ работ, несмотря на положите пьнме результаты, которые были получены авторами, эти работы обладают рядом недостатков, которые ограничивают промышленное применение рассмотренных СОВ Во-первых, СОВ были в состоянии выявить факт наличия атаки, однако СОВ не могли их клас-
сифицировать, что затрудняло дальнейший анализ и устранение угроз и уязви-мостей системы Во-вторых, авторов интересовала сама возможность применения тех или иных типов НС для поиска сетевых вторжений, они не развивали архитектуру самого решения Все исследования объединяло то, что параметры межсетевого взаимодействия подавались на вход одной НС В данной работе такой подход к построению СОВ назван монолитным Можно указать следующие недостатки монолитного подхода
1 Все параметры, даже несвязанные между собой, анализируются в рамках одной НС Это приводить к уменьшению эффективности поиска и к увеличению времени обучения НС
2 В случае изменения топологии компьютерной сети, невозможно переобучить часть НС, необходимо переобучать всю сеть сразу
3 В случае изменения политики безопасности затруднено отключение ряда анализируемых параметров
4 Все параметры сетевого взаимодействия обрабатываются однотипно, тогда как должна существовать возможность варьирования обработки различных параметров
В диссертационной работе рассмотрен новый подход к построению многоуровневой сетевой СОВ, заключающийся в том, что группы однотипных параметров межсетевого взаимодействия подаются на входы отдельных модулей первого уровня, каждый из которых представляет собой иерархическую структуру нескольких НС различного типа и выполняет обнаружение аномалий по заданной группе параметров Результаты работы модулей первого уровня подаются на вход решателя второго уровня, принимающего окончательное решение о наличии атаки и ее классификации Данный подход назван в работе модульным, характеризуется наличием двух уровней и имеет следующие особенности
в на первом уровне происходит предварительная обработка информации, на втором - окончательная, при этом на вход второго уровня подается выходная информация первого уровня,
• обработка на уровнях осуществляется при помоши ряда нейронных сетей (модулей), причем на первом уровне их количество и тип может варьироваться и определяться конкретной решаемой задачей Однотипные параметры подаются на вход отдельной нейронной сети первого уровня,
• для увеличения эффективности анализа каждый из параметров может быть подан на вход одного или нескольких модулей, также между модулей первого уровня целесообразно добавить элементы с обратной связью, ® второй уровень анализа обрабатывает информацию, поступившую от нейронных сетей первого уровня, определяет и классифицирует атаки в данный момент времени
Использование модульного подхода обеспечивает следующие преимущества перед монолитньм подходом
1 Снимаются ограничения на количество анализируемых параметров
2 Обеспечивается возможность переобучения отдельных модулей без остановки работы всей системы в целом
3 Появляется возможность динамического отключения отдельных модулей
4 Анализ несвязанных параметров производится в рамках разных модулей
5 Наличие двухуровневой архитектуры позволяет более эффективно классифицировать наблюдаемую атаку
Разработка новых подходов к обнаружению сетевых атак для построения защищенных информационных систем и совершенствования методов защиты является актуальной
Цель диссертационной работы
Целью диссертационной работы является разработка модульного подхода к построению СОВ для повышения эффективности обнаружения атак
Для достижения этой цели в работе решались следующие основные задачи
1 Анализ подходов к построению СОВ
2 Разработка подхода к построению СОВ на базе НС
3 Разработка архитектуры СОВ
4 Разработка методик обучения и тестирования СОВ
5 Экспериментальная проверка предложенного подхода и разработанных методик
Объект и предмет исследования
Объектом исследования данной работы являются сетевые системы обнаружения вторжений, нейронные сети, сетевые атаки и методы обработки данных,
предметом - методы обеспечения безопасности и обработки информации в защищенных информационных системах Научная новизна работы
Научная новизна диссертационной работы состоит в следующем
1 Предложен новый подход к построению модульной СОВ на базе НС, заключающийся в использовании иерархии модулей с обратными связями Каждый модуль содержит определенный тип НС
2 Разработана архитектура модульной СОВ на основе предложенного подхода, позволяющая обнаруживать и классифицировать сетевые вторжения
3 Разработаны методики обучения и тестирования СОВ
4 Предложены рекомендации по построению модульной СОВ и применению разработанных методик
Практическая иенность работы
Практическая ценность состоит в том, что ее результаты позволяют
1 Даны рекомендации по повышению эффективности обнаружения сетевых вторжений при использовании СОВ на базе НС
2 Подготовлена база данных записей сетевого трафика с атаками различных классов для использования в методическом процессе
3 Реализован прототип модульной СОВ для анализа сетевых атак семейства протоколов TCP/IP
Практическая ценность и новизна работы подтверждаются актами внедрения в ГОУ Санкт-Петербургский государственный политехнический университет и Санкт-Петербургском Региональном Центре Защиты Информации Положения выносимые на защиту На защиту выносятся следующие положения
1 Анализ подходов к построению СОВ на базе НС и требований к ним
2 Модульный подход к построению СОВ
3 Методики обучения и тестирования СОВ
4 Архитектура модульной СОВ и требования к архитектуре, позволяющие повысить эффективность обнаружения
Апуобаиня и публикация результатов работы
Научные результаты, полученные в диссертационной работе, докладывались на 3 общероссийских научно-технических конференциях, опубликованы в 10 печатных работах
Структура и объем диссертации
Диссертационная работа состоит из введения, четырех глав, заключения, приложений и списка литературы Работа изложена на 155 листах (включая 27 рисунков, 37 таблиц и список литературы из 76 наименований)
Во введении обоснована актуальность темы диссертации, приводятся постановка задачи, краткая аннотация содержания работы по разделам, дана оценка новизны, достоверности и практической ценности полученных результатов, сформулированы защищаемые положения
В первой главе рассмотрена предметная область, а именно, даны общие понятия теории информационной безопасности, причины возникновения атак, их типы и методы защиты от сетевых атак Обоснована необходимость использования сетевых СОВ для защиты участка сети, рассмотрены различные типы СОВ и принципы их работы, дан обзор ряда коммерческих и свободно распространяемых решений
Рассмотрены основные принципы теории НС, представлены алгоритмы обучения НС типа многослойный персептрон Проанализированы существующие исследовательские работы использования аппарата НС в сетевых СОВ
Во второй главе выявлены и проанализированы недостатки СОВ, использующих метод поиска аномалий, и обоснован выбор метода поиска злоупотреблений Рассмотрены недостатки существующих работ, введено понятие монолитного подхода к построению СОВ на базе НС В работе предложен модульный подход к построению СОВ
Существуют два противоположных метода поиска вторжений в систему -поиск аномалий (anomaly detection) и поиск злоупотреблений (misuse detection) Основное различие данных методов заключается в том, что при поиске аномалий СОВ рассчитана на поиск отклонений от нормального режима работы, тогда как поиск злоупотреблений нацелен на обнаружение заранее известных атак и вторжений Другими словами, при поиске аномалий СОВ знает, как должна ра-
ботать система и любое отклонение от норма чьного поведения она считает аномальным При поиске злоупотреблений СОВ знает сигнатуры атак, что позволяет выявлять атаки на этапе их появления Оба метода имеют свои недостатки
• основной недостаток поиска аномалий - на практике сложно построить профиль нормальной активности пользователя, так как, во-первых, нет гарантий, что на этапе построения этого профиля, в системе не наблюдались атаки, а во-вторых, стиль работы пользователя за персональным компьютером может изменяться во времени и нет возможности построить один профиль,
• недостаток поиска злоупотреблений заключается в том, что этот подход не позволяет обнаруживать ранее неизвестные атаки Количество возможных вариаций атак, которые могут быть обнаружены анализатором, зависят от реализации
Одним из основных достоинств применения НС в обработке информации является их обобщающие свойства Это позволяет, в частности, обнаруживать ранее неизвестные атаки В работе доказывается целесообразность применение НС в качестве анализатора при поиске злоупотреблений, так как, во-первых, не используется поиск аномалий, во-вторых, устраняется недостаток поиска злоупотреблений
Анализ работ по теме исследования показал, что практически все они обладали одним существенным недостатком, ограничивающим практическое применение - анализ параметров проводился в рамках одной НС (монолитный подход) Исключение составляет работа Ф Куппенса (Ршёепс Сирреш) и Я Бузиды (Уасте Воигк1а), которые применили два различных аппарата - нейронные сети и деревья решений Для устранения недостатков монолитного подхода в работе предлагается использовать не одну НС для анализа параметров, а несколько В диссертационной работе представлен новый подход к построению СОВ - модульный
Принцип модульного построения СОВ заключен в использовании иерархически расположенных модулей, каждый из которых содержит НС различного типа и подсистему обработки входных данных (рис 1) Для повышения эффективности анализа также введена обратная связь между модулями первого уровня
Модуля первого уровня
Модуль второго уровня.
Рис. 1. Модульный подход к обнаружению Модульная СОВ позволяет более эффективно, по сравнению с монолитным, обнаруживать и классифицировать атаки.
В третьей главе представлена разработанная архитектура СОВ; разработана методика по обучению, тестированию и использованию СОВ. Выделены и описаны сетевые атаки, которые использовались для обучения и тестирования системы; проведена их классификация, и на основе анализа этих атак отобраны группы параметров межсетевого взаимодействия для обработки в СОВ. Разработаны методы обработки и подготовки значений параметров для подачи на вход СОВ; обоснована необходимость реализации генератора сетевого шума и предложена его реализация.
Проведенные исследования показали, что наиболее оптимальной оказалась архитектура, представленная на рис. 2.
Рис. 2. Архитектура модульной СОВ
В качестве источника данных для обучения НС, входящих в состав модулей, используются подготовленные базы атак и генератор сетевого шума Обработка данных заключается в усреднении методом "скользящего окна", нормализации данных, добавлении шума и удалении нулевых векторов Модули первого уровня представляют иерархически расположенные две НС Вторая НС подключается в том случае, если наблюдается подозрительный вектор и первая НС не может дать точного ответа - есть аномалия или нет Вторая НС имеет механизм обратной связи с обработчиком данных, динамически изменяя параметры для более подробного изучения Введение обратной связи позволяет более эффективно изучать данные и уменьшить количество ложных срабатываний системы Выходы модулей первого уровня, которые сигнализируют о наличии аномалий по одной из групп параметров, подаются на вход модуля второго уровня, который принимает окончательно решение о наличии атаки и, при возможности, производит дополнительно классификацию атаки
В качестве исходных данных для обучения используются 3 базы атак - база лаборатории Линкольна министерства обороны США, из которой выбраны 20 атак, база атак канадского центра исследований связи, после анализа выбрано 37 атак, собственная база атак, в которой представлены в основном результаты работы различных сканеров - nmap, nessus, samt Общее количество различных типов атак - 63, общее количество примеров атак в этих базах, которые используются для обучения — 3685
Разработанная таксономия атак, опирающаяся на распространенную таксономию Ховарда, включает в себя следующие классы атак
• атаки, связанные с аутентификацией — подбор паролей, подбор имен пользователей и так далее (3 атаки),
» методы сокрытия атак - использование различных особенностей работы стека TCP/IP для сокрытия атак от СОВ (16 атак),
• сканирование (3 атаки, связанные с результатами работы различных сканеров безопасности),
• отказ в обслуживании (6 атак),
• атаки, использующие уязвимости протокола Telnet (6 атак),
• атаки, использующие уязвимости протоколов TCP/IP (3 атаки),
• атаки, использующие уязвимости протокола FTP (7 атак),
* атаки, использующие уязвимости различных почтовых протоколов — РОРЗ, IMAP, SMTP (3 атаки);
» атаки, использующие уязвимости протокола HTTP (16 атак).
В результате анализа атак этих классов был обоснован выбор 132 параметров межсетевого взаимодействия, которые использовались СОВ для выявления факта наличия атак.
В работе обоснован выбор метода поиска злоупотреблений, который, в свою очередь, потребовал разработки генератора сетевого шума, необходимого для эффективного обучения модулей НС и системы. В качестве основы для построения генератора шума была использована база САЙРА, которая помимо атак содержит записи сетевых данных без атак.
Для усреднения параметров межсетевого взаимодействия в работе использован метод "скользящего окна" (рис. 3). В данном методе левая граница временного интервала смещается на величину меньшую, чем размер самого интервала.
Рис. 3. Метод "скользящего окна" Оценка математического ожидания для дискретного равномерного распределения (вероятность появления каждого значения = */) =
среднему арифметическому и находится по формуле ЕЛ
менты усредняемого множества X\ Х=. В том случае, если мы изучаем временной ряд, то п — это количество временных отрезков в усредняемом множестве X.
На практике интерес представляет изучение ряда таких множеств, каждое из которых будет представлять элемент одного вектора для подачи на вход НС.
Пусть V— множество средних значений изучаемого параметра, У= - элемент выборки из временного окна
Для решения различных задач, связанных с анализом данных при помощи НС, необходимо выбрать тип НС и алгоритмы их работы и обучения, которые будут наиболее эффективно решать поставленную задачу В ходе выполнения работы были проведены исследования, в рамках которых были рассмотрены 10 различных типов НС, 7 функций активации и 11 алгоритмов обучения Как показал анализ наиболее эффективными для решения задач обнаружения сетевых атак оказались следующие НС
9 многослойный персептрон с автономным градиентным алгоритмом обучения,
« самообучающаяся сеть Кохонена с использованием слоя Гроссберга Для реализации СОВ в работе обоснован выбор многослойного персептро-на, для обучения которого используется алгоритм обратного распространения ошибки Алгоритм включает следующие шаги
1 На входы НС подается один из возможных векторов в режиме обычного функционирования НС, когда сигналы распространяются от входов к выходам Рассчитываются значения для каждого слоя по формуле
= , где где М-число нейронов в слое п-1 с учетом нейрона с
постоянным выходным состоянием +1, задающего смещение, у^'^х,^ — г-ый вход нейрона у слоя п у/п) -результат функции активации
2 Вычисляются значения производной функции активации слоя N для выходного слоя по формуле ¿>5М = ор' -6?,) —
Рассчитываются изменения весов слоя N по формуте Дм-,'"1 = -п
3 Рассчитываются по формулам 8