6. Мережеві системи виявлення вторгнень

Мережеві системи виявлення вторгнень (МСВВ) переглядають весь мережевий трафік (або трафік певної ділянки мережі) і при виявленні будь-яких відхилень у ньому сигналізують про це. Формальні МСВВ працюють за принципом антивірусної програми - пакети, що потрапляють на сенсори, порівнюються з БД сигнатур і, у разі виявлення збіги, оголошується тривога. На жаль, навіть формальних МСВВ стає недостатньо для надійного захисту мережі. За даними CERT, кількість відомих нових методів вторгнення тільки за 2010 рік перевищило 25 000. Це означає, що в середньому, щодня з'являється близько 70 нових атак. Фізично неможливо оновлювати БД сигнатур формальних МСВВ за такі проміжки часу. Крім того, збільшення обсягу сигнатур негативно позначається на продуктивності систем. Вирішенням цієї проблеми є застосування систем виявлення вторгнень на основі виявлення аномальної активності або евристичних МСВВ.

Проблеми класичних методів:

1. Теоретично існує нескінченна кількість методів і варіантів атак, і для їх виявлення знадобиться БД нескінченного розміру. Таким чином, є потенційна можливість, що якась атака, не включена в базу даних, може бути успішно здійснена.

2. Сучасні методи виявлення аномалій викликають велике число помилкових тривог. Таким чином, можуть бути скомпрометовані легальні мережеві події.

3. Сучасні методи виявлення зловживань мають досить високу ймовірність пропуску атаки.

Бурхливий розвиток комп'ютерних мереж та інформаційних технологій породжує безліч проблем, пов'язаних з безпекою інформаційних ресурсів. У зв'язку з недосконалістю існуючих методів захисту комп'ютерних систем від мережевих атак розробка нових методів захисту інформації, що дозволяють підвищити рівень захищеності комп'ютерних систем від несанкціонованого впливу, є актуальною і затребуваною.

Існує три основні підходи, які використовуються при виявленні та класифікації мережевих атак:

• статистичний аналіз;

• експертні системи;

• нейронні мережі.

Крім того, розвиваються підходи, засновані на і генетичних алгоритмах і іммуноклітинних методах.

Статистичний аналіз знаходить застосування, як правило, при виявленні аномального поведінки. Відхилення від середнього значення (тобто дисперсія) профілю нормальної поведінки дає сигнал адміністратору про те, що зафіксована атака. Середні частоти і величини змінних обчислюються для кожного типу нормального поведінки (наприклад, кількість входів в систему, кількість відмов у доступі, час доби і т. д.). Про можливі атаки повідомляється, коли спостерігаються значення випадають з нормального діапазону, тобто перевищують заданий поріг.

Експертна система - це система, яка в контексті виявлення атак приймає рішення про приналежність того чи іншої події до класу атак на підставі наявних правил. Ці правила засновані на досвіді фахівців і зберігаються в спеціальному сховищі. У більшості випадків правила експертної системи спираються на так звані сигнатури, які й шукаються в контрольованому просторі.

Одним з найбільш ефективних засобів масового розпаралелювання та прискорення процесів обробки і передачі потоків даних в задачах виявлення закономірностей, розпізнавання образів і класифікації даних є штучні нейронні мережі (НМ). Природним прототипом штучних НМ є біологічний мозок і центральна нервова система людини і тварин. Можливості штучних та біологічних НМ можуть значно розширитися при колективному (Мультиагентний) вирішенні складних інтелектуальних завдань (data mining, knowledge discovery і т.п.). Висока складність і розмірність багатьох задач виявлення закономірностей, розпізнавання образів і класифікації даних, а також часто виникає необхідність їх вирішення в реальному часі вимагають масового паралелізму і самоорганізації розподілених обчислень на базі НС.