Разработка методов и программных средств выявления аномальных состояний

Цели работы. Целью работы является разработка методики выяв-
ления аномальных состояний компьютерной сети на основе анализа
сетевого трафика и создание программной системы, реализующей
предложенную методику.
Основные направления работы сводятся к решению следующих за-
дач:
• Разработка принципов структуризации сетевого трафика;
• Выбор объекта анализа, обоснование выбора;
• Разработка принципов и механизмов формирования характери-
стик объекта анализа;
• Исследование статистических свойств сетевых потоков, харак-
теризующих поведение объекта анализа на сетевом и транс-
портном уровнях TCP/IP, выявление закономерностей в их по-
ведении и степени влияния на них специально эмулируемых
аномалий;
• Разработка математической модели объекта анализа, позво-
ляющей задать шаблон его «нормального» поведения;
• Разработка системы принятия решений, позволяющей фикси-
ровать переход объекта анализа в аномальное состояние (по
степени отклонения от шаблона «нормального» поведения) и
корректировать собственные параметры при объективно «нор-

---

5
мальных» изменениях в сетевой среде (свойство адаптивно-
сти);
• Разработка принципов использования математической модели
объекта анализа и системы принятия решений для выявления
сетевых аномалий;
• Разработка архитектуры программной системы, реализующей
предложенную методику;
• Создание прототипа системы.
Методы исследований. В теоретических исследованиях примене-
ны современные методы теории вероятностей, математической стати-
стики, кластерный анализ.
При разработке программной системы использовались методы
объектно-ориентированного проектирования и программирования.
Достоверность научных результатов. Достоверность научных
результатов подтверждена результатами статистических исследований
реального сетевого трафика, а также результатами внедрения и прак-
тического использования в действующих компьютерных сетях.
Научная новизна диссертации заключается в следующем:
1) Впервые предложена методика решения важной научно-
технической задачи выявления аномальных состояний сетевого
устройства, имеющих распределенный во времени характер;
2) Создана новая математическая модель функционирования сетевого
устройства на основе интегральных показателей, извлекаемых из
полей сетевых пакетов;
3) Предложена система принятия решений, выявляющая распреде-
ленные во времени аномалии в функционировании сетевого уст-
ройства, описываемого указанной математической моделью;
4) Получены сравнительные результаты статистических исследова-
ний интегральных показателей работы сетевого устройства при
«нормальном» функционировании и в случае наличия АРВ, позво-
лившие разработать решающие правила системы принятия реше-
ний;
5) Разработаны и обоснованы методы структуризации сетевого тра-
фика и последующего формирования интегральных показателей
сетевого устройства, позволяющие снизить объем обрабатываемых
данных без существенной потери степени информативности с точ-
ки зрения обнаружения АРВ;

---

6
6) Предложена распределенная архитектура программной системы,
автоматизирующая методику выявления АРВ;
7) Разработаны и реализованы алгоритмы работы отдельных про-
граммных модулей, протокол сетевого взаимодействия между
компонентами программной системы. Создан ее прототип.