Устройство обнаружения средств скрытого информационного воздействия на информационные системы

Устройство обнаружения средств скрытого информационного воздействия на информационные системы относится к электросвязи и может быть использовано в средствах защиты информации, а именно в антивирусных средствах, системах обнаружения удаленных атак на информационные системы компьютерных сетей, осуществляемых средствами сетевого соединения в глобальных компьютерных сетях, в которых связь между абонентами осуществляется путем передачи пакетов данных в соответствии с протоколом ТСР/IР. Целью технического решения является повышение вероятности обнаружения и защиты информационных систем от угроз вызванных атаками "отказа в обслуживании", а также средствами скрытого информационного воздействия. Эта цель достигается тем, что в устройстве обнаружения вирусных воздействий на информационные системы, содержащим блок приема пакетов, блок хранения эталонов известных атак и необходимых коэффициентов, блок идентификации состояния web-сервера, блок проверки поступающих пакетов данных на соответствие заданным правилам, блок принятия решения для принятия мер защиты от атаки, блок прогнозирования состояния web-сервера, блок формирования исполняемых файлов, блок предварительной обработки, блок обучения, из блока обучения удален элемент восстановления грамматик, элемент расчета вероятностных характеристик порождающих правил и добавлен элемент обучения множества скрытых марковских моделей, элемент построения матрицы межкластерных расстояний, элемент кластеризации и обучения моделей полученных кластеров и элемент хранения моделей кластеров, из блока проверки по заданным правилам удален элемент стохастического структурного анализа и добавлен элемент расчета правдоподобия порождения цепочки каждым из кластеров, в блок принятия решения добавлен элемент выбора кластера по критерию максимального правдоподобия. 3 з.п. ф-лы, 2 ил.

Устройство обнаружения средств скрытого информационного воздействия¹ (¹ Расторгуев С.П. Исследование систем защиты информации. // НТИ Сер.2. - 1993. - 12. - С.10-15.) на информационные системы относится к электросвязи и может быть использовано в средствах защиты информации, а именно в антивирусных средствах, системах обнаружения удаленных атак на информационные системы компьютерных сетей, осуществляемых средствами сетевого соединения в глобальных компьютерных сетях, в которых связь между абонентами осуществляется путем передачи пакетов данных в соответствии с протоколом TCP/IP.

Известно "Устройство обнаружения удаленных атак на web-сервер" по патенту РФ 57031 класс G06F 12/14, заявл. от 27.09.2006. Изобретение содержит, блок приема адресованных абоненту пакетов данных, блок хранения эталонов известных атак и необходимых коэффициентов, блок идентификации состояния web-сервера, блок проверки поступающих пакетов данных на соответствие заданным правилам, блок принятия решения для принятия мер защиты от атак, блок прогнозирования состояния web-сервера, причем вход блока приема пакетов связан с каналом связи, его выход соединен с входом блока проверки на соответствие заданным правилам, входом блока идентификации и входом блока прогнозирования, выход блока хранения эталонов соединен с входом блока проверки по заданным правилам, выход блока идентификации соединен со входом блока проверки по заданным правилам, выход блока прогнозирования соединен со входом блока проверки по заданным правилам, выход блока проверки по заданным правилам соединен с входом блока принятия решения, выход блока принятия решения соединен с входом блока приема пакетов, выход блока идентификации соединен с входом блока проверки по заданным правилам, выход блока принятия решения соединен с входом блока приема пакетов.

Недостатком данного технического решения является: отсутствие возможности проверки поступающих в информационные системы данных на наличие в них средств скрытого информационного воздействия.

Известен "Программный антивирус" по патенту РФ 92217 класс G06N 99/00, заявл. от 17.06.2009. Изобретение содержит минимум два интерфейса, один из которых подключают к системной шине компьютера, а другой подключают к носителю информации, являющийся при этом прозрачным фильтром, обеспечивающим передачу данных между интерфейсами, фильтрация упомянутых данных осуществляется центральным процессором антивируса, который использует оперативное запоминающее устройство, при этом основная работа антивируса заключается в фильтрации поступающих данных с носителя информации, и если в них обнаружен компонент вредоносного ПО, то данные блокируются, иначе данные передаются на интерфейс, который подключен к системной шине.

Недостатком данного технического решения является: отсутствие возможности обнаружения средств скрытого информационного воздействия, сигнатуры которых не представлены в базе данных устройства.

Наиболее близким по своей технической сущности к заявленному решению, выбранный в качестве прототипа, является "Устройство обнаружения вирусных воздействий на информационные системы" по патенту РФ 83145 класс G06F 12/14, заявл. от 25.08.2008.

Изобретение содержит, блок приема пакетов, блок хранения эталонов известных атак и необходимых коэффициентов, блок идентификации состояния web-сервера, блок проверки поступающих пакетов данных на соответствие заданным правилам, блок принятия решения для принятия мер защиты от атаки, блок прогнозирования состояния web-сервера, блок формирования исполняемых файлов, блок предварительной обработки, блок обучения, причем вход блока приема пакетов связан с каналом связи, его выход соединен с входом блока проверки на соответствие заданным правилам, входом блока идентификации, входом блока прогнозирования и входом блока формирования исполняемых файлов, выход блока хранения эталонов соединен с входом блока проверки по заданным правилам, выход блока идентификации соединен со входом блока проверки по заданным правилам, выход блока прогнозирования соединен со входом блока проверки по заданным правилам, выход блока проверки по заданным правилам соединен с входом блока принятия решения, выход блока принятия решения соединен с входом блока приема пакетов, выход блока формирования исполняемых файлов соединен с блоком предварительной обработки, выход блока предварительной обработки соединен с входом блока проверки по заданным правилам и входом блока обучения, а выход блока обучения подключен к блоку проверки по заданным правилам.

Недостатком данного технического решения является: отсутствие возможности проверки поступающих в информационные системы исполняемых файлов на наличие в них средств проникновения в удаленные системы, программных закладок («троянских коней»), шпионского программного обеспечения (SpyWare и Adware), совокупность которых образует класс средств скрытого информационного воздействия.

Технической задачей, решаемой предлагаемой полезной моделью, является повышение вероятности обнаружения и защиты информационных систем от угроз вызванных атаками "отказа в обслуживании", а также средствами скрытого информационного воздействия.

Сущность решаемой технической задачи заключается в том, что в устройстве обнаружения средств скрытого информационного воздействия на информационные системы, содержащее блок приема пакетов, блок хранения эталонов известных атак и необходимых коэффициентов, блок идентификации состояния web-сервера, блок проверки поступающих пакетов данных на соответствие заданным правилам, блок принятия решения для принятия мер защиты от атаки, блок прогнозирования состояния web-сервера, блок формирования исполняемых файлов, блок предварительной обработки, блок обучения, причем вход блока приема пакетов связан с каналом связи, его выход соединен с входом блока проверки на соответствие заданным правилам, входом блока идентификации, входом блока прогнозирования и входом блока формирования исполняемых файлов, выход блока хранения эталонов соединен с входом блока проверки по заданным правилам, выход блока идентификации соединен со входом блока проверки по заданным правилам, выход блока прогнозирования соединен со входом блока проверки по заданным правилам, выход блока проверки по заданным правилам соединен с входом блока принятия решения, выход блока принятия решения соединен с входом блока приема пакетов, выход блока формирования исполняемых файлов соединен с блоком предварительной обработки, выход блока предварительной обработки соединен с входом блока проверки по заданным правилам и входом блока обучения, а выход блока обучения подключен к блоку проверки по заданным правилам, причем в блоке проверки по заданным правилам элемент стохастического структурного анализа на наличие вредоносного программного кода заменен элементом, осуществляющим расчет правдоподобия порождения цепочки каждым из кластеров. Выход элемента выделения структурных цепочек блока предварительной обработки соединен с элементом, осуществляющим расчет правдоподобия порождения цепочки каждым из кластеров блока проверки по заданным правилами элементом хранения моделей кластеров блока обучения. В блок принятия решения добавлен элемент выбора кластера по критерию максимального правдоподобия, вход которого соединяется с элементом, осуществляющим расчет правдоподобия порождения цепочки каждым из кластеров, а выход с блоком приема пакетов. Блок обучения содержит вместо элементов восстановления грамматик и расчета вероятностных характеристик порождающих правил элемент обучения множества скрытых марковских моделей, элемент построения матрицы межкластерных расстояний, элемент кластеризации и обучения моделей полученных кластеров, элемент хранения моделей кластеров, причем вход элемента обучения множества скрытых марковских моделей соединен с выходом элемента выделения структурных цепочек, а выход элемента обучения множества скрытых марковских моделей соединен со входом элемента построения матрицы межкластерных расстояний, выход элемента построения матрицы межкластерных расстояний соединен со входом элемента кластеризации и обучения моделей полученных кластеров, выход элемента кластеризации и обучения моделей полученных кластеров соединен со входом элемента хранения моделей кластеров, выход элемента хранения моделей кластеров соединен с входом элемента расчета правдоподобия порождения цепочки каждым из кластеров блока проверки по заданным правилам.

Сущность полезной модели поясняется чертежами, приведенными на фиг.1, фиг.2, на которых показаны:

фигура 1. - структурная схема предлагаемого устройства;

фигура 2. - структурная схема блока принятия решения, блока обучения, блока проверки по заданным правилам;

где цифрами обозначены: 1 - Блок приема пакетов; 2 - Блок хранения эталонов; 3 - Блок идентификации; 4 - Блок проверки по заданным правилам; 5 - Блок принятия решения; 6 - Блок прогнозирования; 7 - Блок формирования исполняемых файлов; 8 - Блок предварительной обработки; 9 - Блок обучения; 10 - Элемент проверки корректности исполняемых файлов; 11 - Элемент распаковки исполняемого файла; 12 - Элемент выделения структурных цепочек; 13 - Элемент обучения множества скрытых марковских моделей; 14 - Элемент построения матрицы межкластерных расстояний; 15 - Элемент кластеризации и обучения моделей полученных кластеров; 16 - Элемент хранения моделей кластеров; 17 - Элемент расчета правдоподобия порождения цепочки каждым из кластеров; 18 - Элемент выбора кластера по критерию максимального правдоподобия.

I - связь между блоком хранения эталонов и блоком проверки по заданным правилам, II - связь между блоком приема пакетов и блоком проверки. III - связь между блоком приема пакетов и блоком идентификации, IV - связь между блоком принятия решения и блоком приема пакетов, V - связь между блоком проверки и блоком принятия решения, VI - связь между блоком прогнозирования и блоком проверки, VII - связь между блоком идентификации и блоком проверки, VIII - связь между блокомприема пакетов и блоком формирования исполняемых файлов, IX - связь между блоком формирования исполняемых файлов и блоком предварительной обработки, Х - связь между блокомпредварительной обработки и блоком обучения, XI - связь между блокомпредварительной обработки и блоком проверки по заданным правилам, XII - связь между блокомобучения и блоком проверки по заданным правилам, XIII - связь между блокомприема пакетов и блоком прогнозирования.

Предлагаемое устройство обнаружения средств скрытого информационного воздействия на информационные системы функционирует следующим образом.

Блок приема пакетов 1, фиг.1, принимает запрос клиента на получение web-ресурса. Запрос характеризуется рядом параметров, а именно параметрами транспортных протоколов стека ТСРЛР, размером запрашиваемого ресурса, временем выполнения запроса, временем отклика сервера на запрос в процессе установления соединения и др. (Енюков И.С. и др. Статистический анализ и мониторинг научно-образовательных Интернет-сетей. - М.: Финансы и статистика, 2004. - 320 с.)

В блоке 2 фиг.1, задаются N>1 эталонов известных атак, коэффициенты Ксх.мин-минимально допустимое значение показателя сходства выделенных признаков сообщений, Ксовп.допуст - максимально допустимое количество совпадений.

На предварительном этапе в блоке идентификации 3 фиг.1. проводится факторный эксперимент, в котором, выявляются значимые параметры, позволяющие управлять производительностью сервера (Блохин В.Г., Глудкин О.П., Гуров А.И. Современный эксперимент, проведение, анализ результатов. - М.: Радио и связь, 1997. - 232 с.). Идентификация заключается в поиске таких параметров производительности сервера, которые обеспечат минимальное время выполнения запросов пользователей при различной интенсивности поступающих запросов. По полученным экспериментальным данным изменения времени выполнения транзакции определяются границы зоны нормального функционирования, зоны повышенной нагрузки и зоны критической нагрузки. Найденные сочетания параметров управления производительностью и минимальных времен выполнения транзакции используются в блоке 4. Также в блоке 3 строятся аналитические модели времени выполнения транзакции на основе математического аппарата систем массового обслуживания.

Блок 6 фиг.1, реализует прогноз показателя - время выполнения запросов пользователей, полученных из блока 1. Прогнозирование осуществляется с помощью математического аппарата временных рядов. (Айвазян С.А. Основы эконометрики - М.: ЮНИТИ - ДАНА, 2001. - 432 с.) Полученное прогнозное значение параметра передается в блок 4.

В блоке 4 фиг.1 происходит сравнение параметров полученного пакета с эталонами возможных атак, хранящимися в блоке хранения эталонов, вычисляются коэффициенты Ксх.мин, Ксовп.допуст. Также по данным, полученным из блока 1, блока 2, блока 3 и блока 6, определяется прогнозируемый режим функционирования web-сервера (нормальная работа, повышенная или критическая нагрузка), происходит сравнение его с результатами аналитического моделирования (блок 3). В случае повышенной или критической нагрузки, а также, в случае если выполняется правило К_совп__доп __iК_совп__доп происходит передача информации о режиме работы или о реализации возможной атаки в блок 5 принятия решения.

Блок 5 фиг.1 по информации, полученной из блока 4 осуществляется принятие мер защиты от возможных атак, а именно оптимальная подстройка параметров производительности web-сервера, тем самым уменьшается время выполнения запросов пользователей. В случае режима работы "повышенная нагрузка" осуществляет изменение количества одновременно обрабатываемых запросов сервером, длины очереди сервера, изменения времени таймаута, увеличение числа очереди полуоткрытых соединений. В случае режима работы «критическая нагрузка» осуществляет сброс полуоткрытых соединений, изменение количества повторных перепередач. (Кабир Мохаммед Дж. Сервер Apache 2. Библия пользователя.: Пер. с англ. - М.: Издательский дом "Вильяме", 2002. - 672 с.).

Блок 7 выполняет функцию формирования исполняемых файлов из пришедших пакетов находящихся в блоке 1 (MicrosoftCorporation. Microsoft Portable Executable and Common Object File Format Specification. Rev. 6.0, 1999. - 77 р.). Сформированные исполняемые файлы поступают на вход блока предварительной обработки (блок 8).

Блок 8 предварительной обработки реализует проверку корректности исполняемого файла (элемент 10), предназначенную для верификации поступившего на вход системы распознавания файла на соответствие спецификации исполняемого файла для данной операционной системы и загрузки его в виртуальное адресное пространство (MicrosoftCorporation. Microsoft Portable Executable and Common Object File Format Specification. Rev. 6.0, 1999. - 77 р.). Выходом данного блока является сформированное адресное пространство исследуемого исполняемого файла.

В элементе 11 происходит распаковка упакованного исполняемого файла (Козачок В.И., Мацкевич А.Г. Алгоритм автоматического декодирования упакованных исполняемых файлов в исходные тексты языка Ассемблера // Территория науки, 2006, 1 (1). - С.69-75). Данная функция предназначена для декодирования упакованных исполняемых файлов в исходные тексты языка низкого уровня. Выходом элемента 11 является виртуальное адресное пространство, содержащее образ (машинный код) неупакованного исследуемого файла.

В элементе 12 происходит выделение структурных цепочек машинного кода, предназначенное для получения всевозможных последовательностей машинных команд, определяющих функциональное предназначение данной программы. В данном элементе производится моделирование процесса выполнения программного кода в "безопасной" среде, сопровождающееся дизассемблированием машинных команд, начиная с команды, расположенной по адресу точки входа в распакованную программу, и заканчивая формированием цепочек машинных команд (Щербаков А. Разрушающие программные воздействия. М.: Издательство Эдэль, 1993. - 64 с.). Выходом элемента 12 является список всевозможных цепочек выполнения программы (всевозможных трасс), предназначенных для последующего анализа на наличие потенциально опасных последовательностей машинных команд.

В блоке 9 производится обучение и реализуется функция кластеризации программного кода, для чего в элементе 13 осуществляется обучение множества скрытых марковских моделей по алгоритму Баума- Уэлча (Кельберт М.Я., Сухов Ю.М. Вероятность и статистика в примерах и задачах том II: Марковские цепи как отправная точка теории случайных процессов и их приложения. - М: Издательство МЦНМО, 2009. - 571 с.). На вход данного блока поступают заведомо правильные последовательности машинных команд (цепочек) для разных классов программ (зараженных вирусами и незараженных исполняемых файлов). Выходом элемента 13 являются множество кластеров. В элементе 14 осуществляется построение матрицы межкластерных расстояний на основе метрики Кульбака-Лейблера. Выходом данного элемента является матрица межкластерных расстояний. Элемент 15 реализует процедуры кластеризации и обучения моделей полученных кластеров. Выходом данного элемента являются модели кластеров, хранящиеся в элементе 16. Выход элемента 16 соединен со входом блока 4.

В элементе 17 расчета правдоподобия порождения цепочки каждым из кластеров (блок 4) осуществляется расчет правдоподобия порождения цепочки каждым из кластеров по алгоритму прямого хода (Рабинер Л.Р. Скрытые Марковские модели и их применение в избранных приложениях при распознавании речи: Обзор. // ТИЭР - М: Наука, 1989. - Выпуск 2. - Том 77. - С.86-102). Выходом элемента является массив значений правдоподобия для рассчитанного количества кластеров.

В элементе 18 блока 5 на основе критерия максимума правдоподобия осуществляется принятие решения о принадлежности файла к одному из заданных кластерови принимается решение о принадлежности анализируемого файла к определенному классу, в зависимости от того кластер какого класса был выбран (Козачок А.В., Кузьмин А.Л., Мацкевич А.Г. // Известия ТулГУ, г.Тула. - 2011. - Вып.3, т.14. С.33-36). На вход элемента 17 поступают выделенные в элементе 12 блока 8 предварительной обработки исполняемого файла, цепочки машинных команд, затем производится расчет правдоподобия порождения цепочки каждым из кластеров по алгоритму прямого хода. При расчете правдоподобия порождения цепочки каждым из кластеров из элемента 16 блока 9, содержащего базу данных кластеров, извлекается соответствующее множество моделей. По полученным значениям правдоподобия, принимается решение о зараженности исследуемого файла по критерию максимума правдоподобия, осуществляемое в элементе 18 блока 5.

Одной из важнейших характеристик информационной системы является ее правильное функционирование и выполнения запросов пользователей в заданное время. Угрозами функционированию информационной системы являются не только атаки "отказа в обслуживании", но и ряд угроз вызванных средствами скрытого информационного воздействия, передаваемыми по сети. Предлагаемое устройство выполнено в виде программно-аппаратного комплекса, реализованного на программируемых логических интегральных схемах, что позволяет ускорить процесс анализа исполняемых файлов.

Экспериментальные исследования показали эффективность данного устройства, по сравнению с устройством, реализующим механизм распознавания файловых вирусов и «сетевых червей» на основе со структурного стохастического подхода ("Устройство обнаружения вирусных воздействий на информационные системы" по патенту РФ 83145 класс G06F 12/14, заявл. от 25.08.2008). При этом оценка вероятности ложных срабатываний составила порядка 0,005 (против 0,03 у устройства-прототипа), оценка вероятности пропуска цели - 0,007 (против 0,05 у устройства-прототипа), при длине анализируемой последовательности 90 машинных команд и 5 скрытых состояниях марковских моделей.

Таким образом, предложенное устройство обнаружения средств скрытого информационного воздействия на информационные системы осуществляет повышение вероятности обнаружения и защиты информационных систем от угрозы вызванной атаками "отказа в обслуживании", а также средств скрытого информационного воздействия, за счет введения в блок обучения вместо элементов восстановления грамматик и расчета вероятностных характеристик порождающих правил элемента обучения множества скрытых марковских моделей, элемента построения матрицы межкластерных расстояний, элемента кластеризации и обучения моделей полученных кластеров, элемента хранения моделей кластеров, в блок проверки по заданным правилам вместо элемента стохастического структурного анализа элемента расчета правдоподобия порождения цепочки каждым из кластеров, в блок принятия решения элемента, осуществляющего выбор кластера по критерию максимального правдоподобия.

1. Устройство обнаружения средств скрытого информационного воздействия на информационные системы, содержащее блок приема пакетов, блок хранения эталонов известных атак и необходимых коэффициентов, блок идентификации состояния web-сервера, блок проверки поступающих пакетов данных на соответствие заданным правилам, блок принятия решения для принятия мер защиты от атаки, блок прогнозирования состояния web-сервера, блок формирования исполняемых файлов, блок предварительной обработки, блок обучения, причем вход блока приема пакетов связан с каналом связи, его выход соединен с входом блока проверки на соответствие заданным правилам, входом блока идентификации, входом блока прогнозирования и входом блока формирования исполняемых файлов, выход блока хранения эталонов соединен с входом блока проверки по заданным правилам, выход блока идентификации соединен со входом блока проверки по заданным правилам, выход блока прогнозирования соединен со входом блока проверки по заданным правилам, выход блока проверки по заданным правилам соединен с входом блока принятия решения, выход блока принятия решения соединен с входом блока приема пакетов, выход блока формирования исполняемых файлов соединен с блоком предварительной обработки, выход блока предварительной обработки соединен с входом блока проверки по заданным правилам и входом блока обучения, а выход блока обучения подключен к блоку проверки по заданным правилам, отличающееся тем, что в устройстве из блока обучения удален элемент восстановления грамматик, элемент расчета вероятностных характеристик порождающих правил и добавлен элемент обучения множества скрытых марковских моделей, элемент построения матрицы межкластерных расстояний, элемент кластеризации и обучения моделей полученных кластеров и элемент хранения моделей кластеров, из блока проверки по заданным правилам удален элемент стохастического структурного анализа и добавлен элемент расчета правдоподобия порождения цепочки каждым из кластеров, в блок принятия решения добавлен элемент выбора кластера по критерию максимального правдоподобия.

2. Устройство по п.1, отличающееся тем, что в блоке обучения вход элемента обучения множества скрытых марковских моделей соединен с выходом элемента выделения структурных цепочек блока предварительной обработки, а выход элемента обучения множества скрытых марковских моделей соединен со входом элемента построения матрицы межкластерных расстояний, выход элемента построения матрицы межкластерных расстояний соединен со входом элемента кластеризации и обучения моделей полученных кластеров, выход элемента кластеризации и обучения моделей полученных кластеров соединен со входом элемента хранения моделей кластеров.

3. Устройство по п.1, отличающееся тем, что в блоке проверки по заданным правилам вход элемента расчета правдоподобия порождения цепочки каждым из кластеров соединен с выходом элемента выделения структурных цепочек блока предварительной обработки и с выходом элемента хранения моделей кластеров блока обучения.

4. Устройство по п.1, отличающееся тем, что в блоке принятия решения вход элемента выбора кластера по критерию максимального правдоподобия соединен с выходом элемента расчета правдоподобия порождения цепочки каждым из кластеров блока проверки по заданным правилам, а выход элемента выбора кластера по критерию максимального правдоподобия соединен с блоком приема пакетов.