RU2625045C1 - Method of modeling damage evaluation caused by network and computer attacks to virtual private networks - Google Patents
Method of modeling damage evaluation caused by network and computer attacks to virtual private networks Download PDFInfo
- Publication number
- RU2625045C1 RU2625045C1 RU2016109067A RU2016109067A RU2625045C1 RU 2625045 C1 RU2625045 C1 RU 2625045C1 RU 2016109067 A RU2016109067 A RU 2016109067A RU 2016109067 A RU2016109067 A RU 2016109067A RU 2625045 C1 RU2625045 C1 RU 2625045C1
- Authority
- RU
- Russia
- Prior art keywords
- network
- parameters
- attacks
- virtual private
- attack
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B23/00—Testing or monitoring of control systems or parts thereof
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
Description
Изобретение относится к области телекоммуникаций, а именно к области диагностирования и контроля технического состояния виртуальных частных сетей функционирующих в условиях компьютерных и сетевых атак.The invention relates to the field of telecommunications, and in particular to the field of diagnosing and monitoring the technical condition of virtual private networks operating in conditions of computer and network attacks.
Под абонентом понимается пользователь услуг связи, с которым заключен договор об оказании таких услуг при выделении для этих целей абонентского номера или уникального кода идентификации (ГОСТ - 53729-2009 п. 3.1).A subscriber is understood to be a user of communication services with whom an agreement has been concluded on the provision of such services when a subscriber number or unique identification code is allocated for these purposes (GOST - 53729-2009, clause 3.1).
Виртуальная частная сеть (Virtual Private Network - VPN) - территориально распределенная корпоративная логическая сеть, создаваемая на базе уже существующих сетей (локальных корпоративных сетевых структур, сетей связи общего пользования, сети Интернет, сетей связи операторов связи), имеющая сходный с основной сетью набор услуг и отличающаяся высоким уровнем защиты данных идентификации (ГОСТ - 53729-2009 п. 3.2).Virtual Private Network (VPN) - a geographically distributed corporate logical network created on the basis of existing networks (local corporate network structures, public communication networks, the Internet, communication networks of telecom operators), which has a set of services similar to the main network and characterized by a high level of protection of identification data (GOST - 53729-2009 p. 3.2).
Сетевая атака - эта компьютерная атака с использованием протоколов межсетевого взаимодействия (п. 3.2.9 Рекомендации по стандартизации. Техническая защита информации. Основные термины и определения Р 50.1.056-2005).Network attack - this is a computer attack using internetworking protocols (Section 3.2.9 of the Standardization Recommendations. Technical protection of information. Basic terms and definitions of R 50.1.056-2005).
Компьютерная атака это целенаправленное несанкционированное воздействие на информацию, на ресурс информационной системы или получение несанкционированного доступа к ним с применением программных или программно-аппаратных средств (п. 3.2.8 Рекомендации по стандартизации. Техническая защита информации. Основные термины и определения Р 50.1.056-2005).A computer attack is a targeted unauthorized impact on information, on the resource of an information system or gaining unauthorized access to them using software or hardware and software (paragraph 3.2.8 Recommendations for standardization. Technical protection of information. Basic terms and definitions R 50.1.056- 2005).
Под ущербом понимается соотношение вышедших из строя элементов сети связи к общему числу элементов сети (п. 5.19 ГОСТ Р 53111-2008. Устойчивость функционирования сети связи общего пользования).Damage refers to the ratio of failed communication network elements to the total number of network elements (Clause 5.19 of GOST R 53111-2008. Stability of functioning of a public communication network).
«Черный» список IP-адресов - это пользовательская база данных IP-адресов, сообщения с которых будут блокироваться (Электронный ресурс. Режим доступа: http://support.gfi.com/manuals/ru/me2014/Content/Admini-strator/Anti-Spam/Anti-Spam_Filters/IP_Blocklist.htm).The "black" list of IP addresses is a user database of IP addresses from which messages will be blocked (Electronic resource. Access mode: http://support.gfi.com/manuals/ru/me2014/Content/Admini-strator/ Anti-Spam / Anti-Spam_Filters / IP_Blocklist.htm).
Альтернативой «Черного» списка является «Белый» список IP-адресов (Электронный ресурс. Режим доступа: http://dic.academic.ru/dic.nsf/ruwiki/701664/Черный_список).An alternative to the "Black" list is the "White" list of IP addresses (Electronic resource. Access mode: http://dic.academic.ru/dic.nsf/ruwiki/701664/Black_list).
Под сенсорами сетевого трафика понимаются устройства, обеспечивающие анализ сетевого взаимодействия, сигнатур атак, моделей проведения атак и ряда других функций (в качестве одного из возможных применяемых сенсоров может быть Cisco IPS серия 4300).Network traffic sensors are devices that provide analysis of network interactions, attack signatures, attack models, and a number of other functions (the Cisco IPS 4300 series may be one of the possible sensors used).
Сетевой трафик - объем информации, передаваемой через компьютерную сеть за определенный период времени посредствам IP-пакетов. (А. Винокуров Принципы организации учета IP-трафика. Электронный ресурс. Режим доступа: http://habrahabr.ru/post/136844).Network traffic - the amount of information transmitted over a computer network over a certain period of time via IP packets. (A. Vinokurov Principles of IP traffic accounting. Electronic resource. Access mode: http://habrahabr.ru/post/136844).
Аномальное поведение абонента - поведение, которое не соответствует заданным требованиям (п. 3.3 Терминология ГОСТ Р 51904-2002: Программное обеспечение встроенных систем. Общие требования к разработке и документированию).Abnormal subscriber behavior - behavior that does not meet the specified requirements (Clause 3.3. GOST R 51904-2002 terminology: Embedded systems software. General requirements for development and documentation).
Правила фильтрации сетевого трафика - последовательность действий по блокированию/пропуску IP-пакетов в зависимости: от протокола, параметров протокола, направления соединения или направления пакета, адресов источника и назначения пакета, времени прохождения пакета. Правила фильтрации IP-трафика являются результатом действия правил антиспуфинга, выбранного режима безопасности для каждого сетевого интерфейса, списка сетевых фильтров для соединений и работой системы обнаружения атак (Межсетевой экран ViPNet Office Firewall. Руководство администратора. Версия 3.1 ОАО «Инфотекс». М., 2015, 91 с).Network traffic filtering rules - a sequence of actions to block / pass IP packets, depending on: protocol, protocol parameters, connection direction or packet direction, packet source and destination addresses, packet transit time. The IP traffic filtering rules are the result of the anti-spoofing rules, the selected security mode for each network interface, the list of network filters for connections and the operation of the attack detection system (ViPNet Office Firewall. Administrator's Guide. Version 3.1 Infotex OJSC. M., 2015 , 91 s).
Под аутентификацией понимаются действия по проверке подлинности субъекта доступа в информационной системе (п. 3.5.11 Рекомендации по стандартизации. Техническая защита информации. Основные термины и определения Р 50.1.056-2005).Authentication is understood as actions to verify the authenticity of the access subject in the information system (clause 3.5.11 of the Standardization Recommendation. Technical protection of information. Basic terms and definitions of R 50.1.056-2005).
Известен "Способ моделирования процессов обеспечения технической готовности сетей связи при технической эксплуатации и система для его реализации", патент РФ №2336566, G06N 1/00, опубл. 20.10.2008, бюл. №29. Способ заключается в выполнении следующей последовательности действий. Определяют схемотехнические характеристики элементов сети связи, устанавливают их взаимосвязи, описывают структуру сети связи, разделяют все связи на основные и резервные, задают произвольные комбинации повреждений элементов сети связи, определяют значения показателя аварийности состояния связей между элементами сети связи, моделируют процесс обеспечения технической готовности при эксплуатации сети связи, имитируют различные виды отказов, повреждений и сбоев основных элементов сети связи, замещают поврежденные связи резервными, определяют значение показателя восстановления работоспособности сети связи, осуществляют сбор статистики, прогнозируют техническое состояние основных элементов сети связи и рассчитывают основные показатели функционирования сетей связи.The well-known "Method for modeling processes to ensure the technical readiness of communication networks during technical operation and a system for its implementation", RF patent No. 2336566,
Недостатками способа являются низкая достоверность результатов моделирования в связи с отсутствием одновременного моделирования деструктивных воздействий нескольких сетевых и компьютерных атак, низкая защищенность элементов VPN от DDoS-атак из-за отсутствия оценки наносимого ущерба элемента VPN и не своевременной реконфигурации VPN подверженной DDoS-атаке.The disadvantages of the method are the low reliability of the simulation results due to the lack of simultaneous modeling of the destructive effects of several network and computer attacks, the low protection of VPN elements from DDoS attacks due to the lack of an assessment of the damage caused to the VPN element and the timely reconfiguration of the VPN susceptible to a DDoS attack.
Наиболее близким по технической сущности и выполняемым функциям аналогом (прототипом) к заявленному является способ, реализованный в изобретении "Способ обеспечения устойчивого функционирования системы связи" (патент RU №2405184, G05B 23/00, G06F 17/50, 27.11.2010 г.) заключающийся в том, что систему связи, включающую N структурных элементов и связей между ними, разворачивают в рабочее состояние, фиксируют дестабилизирующие воздействия на ее структурные элементы, по полученным данным формируют имитационную модель сети связи, моделируют на ней дестабилизирующие воздействия, по результатам моделирования реконфигурируют имитационную модель сети связи и вычисляют вероятность нарушения ее функционирования от дестабилизирующих воздействий, при работе сети связи в реальных условиях эксплуатации и воздействии на нее только эндогенных деструктивных воздействий измеряют время реконфигурации сети связи после каждого деструктивного воздействия. Также измеряют интервалы времени после завершения реконфигурации до очередного деструктивного воздействия. При функционировании сети связи в условиях экзогенных деструктивных воздействий также подсчитывают и запоминают данные о числе воздействий на каждый элемент сети связи, где n=1, 2…N, количество Nв, элементов сети связи, подвергшихся деструктивным внешним воздействиям. Измеряют, подсчитывают и запоминают интервалы времени реконфигурации сети связи после каждого, внешнего деструктивного воздействия, где j=1, 2…M, М - общее число деструктивных воздействий. Измеряют интервалы времени между j-м и (j+1)-м внешними деструктивными воздействиями и интервалы времени функционирования сети связи после j-й реконфигурации до (j+1)-м деструктивного внешнего воздействия. Вычисляют по полученным данным среднее время реконфигурации, среднее время функционирования сети связи и среднее время между внешними деструктивными воздействиями, а также показатель ранжирования R элементов сети связи. С помощью показателя ранжирования ранжируют пораженные элементы сети связи, после чего вычисляют достоверность вскрытия структуры сети связи воздействующей стороной D. При этом имитационную модель формируют по полученным данным и с ее помощью моделируют деструктивные внешние воздействия. Далее вычисляют число воздействий на соответствующие элементы сети связи и реконфигурируют ее после каждого воздействия. Вычисляют средний интервал времени между дестабилизирующими внешними воздействиями и сравнивают вычисленное значение достоверности D вскрытия структуры сети связи воздействующей стороной с предварительно заданным пороговым уровнем достоверности Dпор. При превышении значения вычисленной достоверности D над пороговой Dпор упреждающе реконфигурируют реально действующую сеть связи в интервал времени после последней реконфигурации, меньший вычисленного среднего времени между дестабилизирующими внешними воздействиями на имитационной модели. Деструктивные внешние воздействия на имитационной модели моделируют по случайному закону.The closest in technical essence and functions performed analogue (prototype) to the claimed one is the method implemented in the invention "Method for ensuring the stable functioning of the communication system" (patent RU No. 2405184, G05B 23/00, G06F 17/50, 11/27/2010) consisting in the fact that the communication system, including N structural elements and the connections between them, is deployed in a working state, the destabilizing effects on its structural elements are recorded, according to the received data, a simulation model of the communication network is formed, and the destabilizer is modeled on it According to the simulation results, reconstructing the simulation model of the communication network and calculating the probability of disruption of its functioning from destabilizing effects, when the communication network operates in real operating conditions and only endogenous destructive influences affect it, the time of reconfiguration of the communication network after each destructive effect is measured. The time intervals after the completion of the reconfiguration to the next destructive impact are also measured. When a communication network is operating under exogenous destructive influences, data on the number of actions on each element of the communication network are also counted and stored, where n = 1, 2 ... N, the number N in , elements of the communication network subjected to destructive external influences. Measure, calculate and remember the time intervals for reconfiguring the communication network after each external destructive impact, where j = 1, 2 ... M, M is the total number of destructive influences. The time intervals between the jth and (j + 1) th external destructive influences and the time intervals of the communication network functioning after the jth reconfiguration to the (j + 1) th destructive external influence are measured. The average reconfiguration time, the average operating time of the communication network and the average time between external destructive influences, as well as the ranking index R of the communication network elements are calculated from the obtained data. Using the ranking indicator, the affected elements of the communication network are ranked, after which the reliability of opening the communication network structure by the acting side D is calculated. In this case, a simulation model is formed according to the received data and with its help destructive external influences are modeled. Next, the number of actions on the corresponding elements of the communication network is calculated and reconfigured after each exposure. The average time interval between destabilizing external influences is calculated and the calculated reliability value D of opening the communication network structure by the acting party is compared with a predetermined threshold level of reliability D pores . If the value of the calculated reliability D exceeds the threshold D then the real-life communication network is proactively reconfigured in the time interval after the last reconfiguration, less than the calculated average time between the destabilizing external influences on the simulation model. Destructive external influences on the simulation model are modeled according to a random law.
Однако способ-прототип имеет следующие недостатки: низкую достоверность результатов моделирования в связи с отсутствием одновременного моделирования деструктивных воздействий нескольких сетевых и компьютерных атак, низкую защищенность элементов VPN от DDoS-атак из-за отсутствия прогнозирования степени наносимого ущерба элемента VPN и не своевременной реконфигурации VPN, подверженной DDoS-атаке.However, the prototype method has the following disadvantages: the low reliability of the simulation results due to the lack of simultaneous modeling of the destructive effects of several network and computer attacks, the low protection of VPN elements from DDoS attacks due to the lack of prediction of the degree of damage to the VPN element and not timely VPN reconfiguration, subject to a DDoS attack.
Задачей изобретения является создание способа "Способ моделирования оценки ущерба, наносимого сетевыми и компьютерными атаками виртуальным частным сетям". Техническим результатом изобретения является повышение достоверности результатов моделирования путем одновременного моделирования деструктивных воздействий нескольких сетевых и компьютерных атак, повышение защищенности элементов VPN, за счет оценки прогнозируемого наносимого ущерба элементу VPN и проведении на основе этой оценки упреждающей реконфигурации VPN.The objective of the invention is to provide a method "A method for modeling the assessment of damage caused by network and computer attacks to virtual private networks." The technical result of the invention is to increase the reliability of simulation results by simultaneously simulating the destructive effects of several network and computer attacks, increasing the security of VPN elements by assessing the predicted damage to the VPN element and performing proactive VPN reconfiguration based on this assessment.
Задача изобретения решается тем, что в способе "Моделирования оценки ущерба наносимого сетевыми атаками VPN" выполняется следующая последовательность действий.The objective of the invention is solved in that in the method of "Modeling the assessment of damage caused by network attacks VPN" the following sequence of actions.
Измеряют параметры сетевого трафика абонентов «Белого» списка IP-адресов (ГОСТ 28871-90 Аппаратура линейных трактов цифровых волоконно-оптических систем передачи. Методы измерения основных параметров. Стандартинформ 2005. 8 с.) и измеряют и обобщают статистику параметров компьютерных и сетевых атак (для сетей связи функционирующих в Единой сети электросвязи одним из критерием начала информационно-технического воздействия может служить появление ошибок 403 и 500, резкое увеличение трафика (http://www.setup.ru/client/subscription/68)). Задают допустимые значения наносимого ущерба, при котором элемент VPN способен предоставить абоненту требуемые им услуги связи. Определяют параметры функционирования элемента VPN при которых возможно предоставить абоненту требуемые им услуги связи. Сохраняют измеренные значения параметров в ячейки памяти (гл. 5.4 стр. 133-146, гл. 7 стр 168-233, Галицина О.Л. и др. Базы данных: Учебное пособие. Форум-Инфра-М. М., 2006, 352 с.).The parameters of the network traffic of the subscribers of the "White" list of IP addresses are measured (GOST 28871-90 Linear path equipment for digital fiber-optic transmission systems. Methods of measuring the main parameters. Standardinform 2005. 8 pp.) And the statistics and parameters of computer and network attacks are measured and generalized ( for communication networks operating in the Unified Telecommunications Network, one of the criteria for the onset of information and technical impact may be the appearance of errors 403 and 500, a sharp increase in traffic (http://www.setup.ru/client/subscription/68). The acceptable values of the damage are set in which the VPN element is able to provide the subscriber with the required communication services. The VPN element functioning parameters are determined at which it is possible to provide the subscriber with the required communication services. Save the measured values of the parameters in memory cells (chap. 5.4 p. 133-146, chap. 7 p. 168-233, Galitsina OL, et al. Databases: Textbook. Forum-Infra-M. M., 2006, 352 p.).
Выполняют последовательность действий по моделированию функционирования элемента VPN в условиях ведения компьютерных и сетевых атак. Задают максимальные значения отклонения от статистических значений измеренных параметров и описывают значения параметров нормального поведения абонентов из «Белого» списка IP-адресов.Perform a sequence of actions to simulate the functioning of the VPN element in the context of computer and network attacks. Set the maximum deviation from the statistical values of the measured parameters and describe the values of the parameters of normal behavior of subscribers from the "White" list of IP addresses.
Создают физические модели нормального поведения абонентов VPN («Новый подход к защите информации - системы обнаружения компьютерных угроз», корпоративный журнал компании "Инфосистемы Джет" №4 2007 г. Электронный ресурс. Режим доступа: http://www.jetinfo.ru/sta-ti/novyj-podkhod-k-zaschite-informatsii-sistemy-obna-ruz-heniya-kompyuternykh). Создают физические модели компьютерных и сетевых атак (Варламов О.О. «О системном подходе к созданию модели компьютерных угроз и ее роли в обеспечении безопасности информации в ключевых системах информационной инфраструктуры» Известия ТРТУ / Тематический выпуск // №7 / том 62 / 2006 г. С. 218). Создают физические модели системы обнаружения атак и размещения сенсоров этой системы (Межсетевой экран ViPNet Office Firewall. Руководство администратора. Версия 3.1 ОАО «Инфотекс». М., 2015, 91 с.). Сохраняют модели в базе данных.Physical models of normal behavior of VPN subscribers are created (“A New Approach to Information Protection - Computer Threat Detection Systems”, Jet Infosystems corporate magazine No. 4 2007. Electronic resource. Access mode: http://www.jetinfo.ru/sta -ti / novyj-podkhod-k-zaschite-informatsii-sistemy-obna-ruz-heniya-kompyuternykh). Physical models of computer and network attacks are created (O. Varlamov, “On a systematic approach to creating a computer threat model and its role in ensuring information security in key systems of information infrastructure”). Izvestiya TRTU / Thematic issue // No. 7 / Volume 62/2006 P. 218). Physical models of the system for detecting attacks and placing sensors of this system are created (ViPNet Office Firewall. Administrator's Guide. Version 3.1 Infotex OJSC. M., 2015, 91 pp.). Save models to the database.
Задают и дополняют «Белые» списки IP-адресов абонентов этой сети (Межсетевой экран ViPNet Office Firewall. Руководство администратора. Версия 3.1 ОАО «Инфотекс». М., 2015, 91 с.). Определяют или дополняют правила фильтрации сетевого трафика, на основе поведенческих критериев, включающих анализ измеренных параметров атак.Define and supplement the “White” lists of IP addresses of subscribers to this network (ViPNet Office Firewall. Administrator's Guide. Version 3.1 of Infotex OJSC. M., 2015, 91 pp.). Define or supplement the rules for filtering network traffic, based on behavioral criteria, including analysis of measured attack parameters.
Разрабатывают варианты реконфигурации (сущность процесса реконфигурации описана в «О надежности прикладного уровня с учетом возможности реконфигурации сети MPLS» / http://nauchebe.net/2013/01/o-nadyozhnosti-prikladnogo-urovnya-s-uchyotom-vozmozhnosti-rekonfiguracii-seti-mpls 2013 г.) или перекоммутации VPN, (сущность процесса перекоммутации описана в «Виртуальные локальные сети. Создание VLAN позволяет повысить производительность каждой из них и изолировать сети друг от друга…» / http://www.osp.ru/lan/2002/12/136942 // «Журнал сетевых решений / LAN», №12, 2002).Reconfiguration options are being developed (the essence of the reconfiguration process is described in "On the reliability of the application layer, taking into account the possibility of reconfiguring the MPLS network" / http://nauchebe.net/2013/01/o-nadyozhnosti-prikladnogo-urovnya-s-uchyotom-vozmozhnosti-rekonfiguracii- seti-mpls 2013) or VPN re-switching, (the essence of the process of switching is described in "Virtual LANs. Creating VLANs allows to increase the performance of each of them and isolate the networks from each other ..." / http://www.osp.ru/lan / 2002/12/136942 // "Journal of network solutions / LAN", No. 12, 2002).
Размещают сенсоры системы обнаружения атак (Вариант архитектуры системы обнаружения атак описан в Обзор технологии: «Безопасность сетевого центра обработки данных» Cisco Systems Inc. С. 14-15; Фролов Д. Установка и настройка системы подсчета трафика Ipcad + Flow-tools + MySQL.), определяют требуемые значения достоверности измерения параметров компьютерных и сетевых атак, а также определяют требуемые значения по быстродействию системы обнаружения атак.Sensors of an attack detection system are deployed (An architecture version of an attack detection system is described in Technology Overview: “Network Data Center Security” Cisco Systems Inc. pp. 14-15; D. Frolov Installation and configuration of the traffic counting system Ipcad + Flow-tools + MySQL. ), determine the required values of the reliability of measuring the parameters of computer and network attacks, and also determine the required values by the speed of the attack detection system.
Имитируют одновременное воздействие нескольких различных компьютерных и сетевых атак элемент VPN при различной загрузке сетевого трафика абонентами VPN (Варламов О.О. «О системном подходе к созданию модели компьютерных угроз и ее роли в обеспечении безопасности информации в ключевых системах информационной инфраструктуры» Известия ТРТУ / Тематический выпуск // №7 / том 62 / 2006 г. С. 218).Simulate the simultaneous effect of several different computer and network attacks on the VPN element with different loading of network traffic by VPN subscribers (O. Varlamov "On a systematic approach to creating a computer threat model and its role in ensuring information security in key information infrastructure systems" Izvestiya TRTU / Thematic issue // No. 7 / volume 62/2006, p. 218).
Обрабатывают полученные от сенсоров системы обнаружения значения параметров имитируемых атак и измеряют быстродействие системы обнаружения (Использование счетчиков производительности для мониторинга http://www.osp.ru/win2000/2010/04/13003220/).The parameters of the simulated attacks received from the sensors of the detection system are processed and the speed of the detection system is measured (Using performance counters for monitoring http://www.osp.ru/win2000/2010/04/13003220/).
Оценивают достоверность обнаружения компьютерных и сетевых атак, а так же быстродействия обнаружения атак (Использование счетчиков производительности для мониторинга http://www.osp.ru/win2000/2010/04/13003220/). Если достоверность измеренных параметров или быстродействие системы обнаружения атак не удовлетворяет заданным значениям, осуществляют установку дополнительных вынесенных сенсоров системы обнаружения и повторно моделируют атаки (процесс дополнительной установки сенсоров идентичен с установкой сенсоров Фролов Д. Установка и настройка системы подсчета трафика Ipcad + Flow-tools + MySQL. Электронный ресурс. Режим доступа: http://system-administrators.info/?p=2613#comment). Если достоверность измеренных параметров удовлетворяет заданным значениям, то рассчитывают наносимый ущерб VPN.The reliability of detection of computer and network attacks, as well as the speed of attack detection are evaluated (Using performance counters for monitoring http://www.osp.ru/win2000/2010/04/13003220/). If the reliability of the measured parameters or the speed of the attack detection system does not meet the specified values, they install additional remote sensors of the detection system and re-model the attacks (the process of additional sensors installation is identical to the installation of Frolov D. sensors. Installation and configuration of the traffic counting system Ipcad + Flow-tools + MySQL Electronic resource Access mode: http://system-administrators.info/?p=2613#comment). If the reliability of the measured parameters satisfies the given values, then the VPN damage is calculated.
Определяют значения ущерба, наносимого различными атаками элементу VPN (возможными параметрами оценки ущерба могут быть коэффициент оперативной готовности и др. Тихонов Б.Н. Техническое обеспечение связи. Ч. 1. Основы технической эксплуатации средств связи. Орел: ОВВКУС. 1989. - 139 с). Оценивают значения параметров наносимого ущерба с допустимыми значениями функционирования VPN (критерии оценки ущерба сети связи представлен в п. 5.19-5.24; критерии оценки ущерба элементам сети связи представлены в п. 5.49-5.51 ГОСТ-Р 53111-2008. «Устойчивость функционирования сети связи общего пользования. Требования и методы проверки»). Если значения наносимого ущерба превышают допустимые значения, то дополняют и изменяют правила фильтрации сетевого трафика. Если значения наносимого ущерба не превышают допустимые значения, то развертывают VPN, расставляют и настраивают сенсоры системы обнаружения атак, устанавливают правила фильтрации сетевого трафика (Межсетевой экран ViPNet Office Firewall. Руководство администратора. Версия 3.1 ОАО «Инфотекс». М., 2015, 91 с.).The values of damage caused by various attacks to the VPN element are determined (the operational readiness coefficient, etc. may be possible damage assessment. Tikhonov BN Technical support of communications.
Осуществляют функционирование VPN и определяют окончание работы VPN.Perform the functioning of the VPN and determine the end of the VPN.
Осуществляют мониторинг сетевого трафика, параметров характеризующих ведения компьютерных и сетевых атак (для компьютерных атак - «Новый подход к защите информации - системы обнаружения компьютерных угроз», корпоративный журнал компании "Инфосистемы Джет" №4 2007 г. http://www.jetinfo.ru/sta-ti/novyj-podkhod-k-zaschite-informatsii-sistemy-obnaruz-heniya-kompyuternykh. Для сетевых атак Межсетевой экран ViPNet Office Firewall. Руководство администратора. Версия 3.1 ОАО «Инфотекс». М., 2015, 91 с.). Собирают статистические данные о сетевом трафике элемента VPN и направляют измеренные значения для анализа.Monitor network traffic, parameters characterizing the conduct of computer and network attacks (for computer attacks - “A New Approach to Information Protection - Computer Threat Detection Systems”, Jet Infosystems corporate magazine No. 4 of 2007, http: //www.jetinfo. com / sta-ti / novyj-podkhod-k-zaschite-informatsii-sistemy-obnaruz-heniya-kompyuternykh. For network attacks ViPNet Office Firewall firewall. Administrator's guide. Version 3.1 Infoteks OJSC. M., 2015, 91 sec. .). Collect statistics on the network traffic of the VPN element and forward the measured values for analysis.
На основании заданных критериев принимают решение о начале ведения сетевой и компьютерной атак. Если признаков ведения атак не обнаружено, то продолжают мониторинг функционирования VPN, сетевых и компьютерных атак.Based on the given criteria, a decision is made to start conducting network and computer attacks. If there are no signs of attack, then continue monitoring the functioning of the VPN, network and computer attacks.
При обнаружении признаков начала компьютерной или сетевой атаки выделяют параметры атаки (в качестве параметров характеризующих ведение компьютерной атаки возможно использовать, сетевой атаки. На основании выделенных параметров атаки принимают решение о принадлежности к сетевым или компьютерным классам атак. Если выявлена сетевая атака, моделируют влияние сетевой атаки на элемент VPN (Гречишников Е.В., Добрышин М.М. Предложения по оценке ущерба наносимого DDoS-атаками сетевым ресурсам. Сборник трудов XVI Всероссийской научно-практической конференции "Проблемы развития и применения средств ПВО на современном этапе. Средства ПВО России и других стран мира, сравнительный анализ". Ярославское высшее военное училище противовоздушной обороны г. Ярославль. 550 с. С. 346-348). Оценивают возможный ущерб (п. 5.19-5.22 ГОСТ Р 53111-2008. Устойчивость функционирования сети связи общего пользования), нанесенный выявленной сетевой атакой, с использованием имеющихся моделей сетевых атак.When signs of the onset of a computer or network attack are detected, attack parameters are distinguished (network attack can be used as parameters characterizing the conduct of a computer attack. Based on the selected attack parameters, they decide whether they belong to a network or computer attack class. If a network attack is detected, the effect of a network attack is simulated VPN element (Grechishnikov E.V., Dobryshin M.M. Proposals for assessing the damage caused by DDoS attacks to network resources. Proceedings of the XVI All-Russian Scientific and Practical conferences "Problems of the development and use of air defense systems at the present stage. Air defense systems of Russia and other countries of the world, comparative analysis." Yaroslavl Higher Military School of Air Defense, Yaroslavl. 550 pp. 346-348). Assess possible damage (p. 5.19-5.22 GOST R 53111-2008. Stability of the functioning of the public communication network) caused by a detected network attack, using existing network attack models.
Если значения наносимого ущерба элементу VPN подверженного сетевой атакой по результатам моделирования удовлетворяют требуемым значениям, то продолжают мониторинг сетевого трафика и собирают статистические данные о нем.If the values of the damage caused to the VPN element subject to a network attack according to the simulation results satisfy the required values, then continue monitoring network traffic and collect statistics about it.
Если значения наносимого ущерба элементу VPN, подверженного сетевой атакой по результатам моделирования ниже требуемых значений, реконфигурируют VPN согласно, имеющихся вариантов реконфигурации. Измеренные параметры сетевой атаки направляют для анализа и сбора статистических данных.If the values of the damage caused to the VPN element subject to a network attack according to the simulation results are lower than the required values, reconfigure the VPN according to the available reconfiguration options. The measured network attack parameters are sent for analysis and collection of statistical data.
Если выявлена компьютерная атака, моделируют влияние компьютерной атаки на элемент VPN. Оценивают возможный ущерб, нанесенный выявленной компьютерной атакой с использованием имеющихся моделей компьютерных атак (Климов С.М., Сычев М.П., Астрахов А.В. «Экспериментальная оценка противодействия компьютерным атакам на стендовом полигоне». Электронное учебное издание. - М.: МГТУ имени Н.Э. Баумана, 2013. - 114 с.). Если значения наносимого ущерба элементу VPN подверженного компьютерной атакой по результатам моделирования удовлетворяют требуемым значениям, то продолжают мониторинг сетевого трафика и собирают статистические данные о нем.If a computer attack is detected, the effect of the computer attack on the VPN element is simulated. The possible damage caused by a detected computer attack is assessed using the available models of computer attacks (Klimov S.M., Sychev M.P., Astrakhov A.V. “Experimental assessment of counteraction to computer attacks at a test site.” Electronic educational publication. - M. : MSTU named after N.E.Bauman, 2013 .-- 114 p.). If the values of the damage caused to the VPN element subject to a computer attack according to the simulation results satisfy the required values, then they continue monitoring network traffic and collect statistics about it.
Если значения наносимого ущерба элементу VPN, подверженного компьютерной атакой по результатам моделирования ниже требуемых значений, фильтруют входящий трафик согласно последовательности для функционирования VPN в условиях атаки. Сравнивают IP-адрес со списком «Белых» IP-адресов (Межсетевой экран ViPNet Office Firewall. Руководство администратора. Версия 3.1 ОАО «Инфотекс». М., 2015, 91 с.). Если принятые пакеты получены не из списка «Белых» IP-адресов, то блокируют соединение (Межсетевой экран ViPNet Office Firewall. Руководство администратора. Версия 3.1 ОАО «Инфотекс». М., 2015, 91 с.). Если принятый пакет получен от абонента из списка «Белых» IP-адресов, то используют дополнительные алгоритмы по идентификации. Проверяют подлинность абонентов при помощи дополнительных алгоритмов идентификации. Если по результатам дополнительной идентификации абонент не смог подтвердить свою принадлежность к VPN, то соединение блокируется.If the values of the damage caused to the VPN element subject to a computer attack according to the simulation results are lower than the required values, the incoming traffic is filtered according to the sequence for the VPN to function in the conditions of the attack. Compare the IP address with the list of “White” IP addresses (ViPNet Office Firewall. Administrator's Guide. Version 3.1 Infotex OJSC. M., 2015, 91 pp.). If the received packets are not received from the list of “White” IP addresses, then they block the connection (ViPNet Office Firewall. Administrator's guide. Version 3.1 Infotex OJSC. M., 2015, 91 pp.). If the received packet is received from the subscriber from the list of “White” IP addresses, then additional identification algorithms are used. Verify the authenticity of subscribers using additional identification algorithms. If, according to the results of the additional identification, the subscriber could not confirm his membership in the VPN, then the connection is blocked.
Если по результатам дополнительной идентификации абонент подтверждает свою принадлежность к VPN, то осуществляют процесс установления соединения с абонентом или продолжают работу с абонентом, если соединение уже установлено.If, based on the results of additional identification, the subscriber confirms his membership in the VPN, then the process of establishing a connection with the subscriber is carried out or they continue to work with the subscriber if the connection is already established.
С использованием модели нормального поведения сетевого трафика по заданным критериям контролируют аномальное поведение соединения, наличие признаков компьютерных атак.Using the model of normal behavior of network traffic, the abnormal behavior of the connection and the presence of signs of computer attacks are controlled by the specified criteria.
Если признаков аномального поведения соединения и наличия признаков компьютерных атак не выявлено, продолжают контроль до окончания соединения. Если выявлены признаки аномального поведения соединения и (или) наличие признаков компьютерных атак, то соединение разрывается.If signs of abnormal behavior of the connection and the presence of signs of computer attacks are not detected, continue monitoring until the end of the connection. If signs of abnormal behavior of the connection and / or the presence of signs of computer attacks are detected, the connection is broken.
Осуществляют анализ статистических данных о параметрах сетевого трафика, сетевых и компьютерных атак. Обрабатывают статистические значения параметров сетевого трафика VPN, функционирующей в нормальных условиях. Сравнивают выделенные параметры атак с имеющимися в базе данных аналогичными параметрами.They analyze statistical data on the parameters of network traffic, network and computer attacks. They process statistical values of the parameters of VPN network traffic operating under normal conditions. The selected attack parameters are compared with similar parameters available in the database.
Если значения, выделенных параметров отличаются от имеющихся параметров, собирают статистические данные об атаке. Если выделенные параметры не отличаются от имеющихся параметров атак, оценивают правильность и количество установленных сенсоров, оценивают быстродействие системы обнаружения и противодействия атак (Использование счетчиков производительности для мониторинга http://www.osp.ru/win2000/2010/04/13003220/). На основании заданных критериев фиксируют факт окончания атаки и направляют статистические данные об атаке.If the values of the selected parameters differ from the available parameters, statistics on the attack are collected. If the selected parameters do not differ from the existing attack parameters, they evaluate the correctness and number of installed sensors, evaluate the performance of the attack detection and reaction system (Using performance counters for monitoring http://www.osp.ru/win2000/2010/04/13003220/). Based on the given criteria, the fact of the end of the attack is recorded and statistics on the attack are sent.
После оценки правильности расстановки и количества установленных сенсоров, а также оценки быстродействия системы обнаружения и противодействия атакам принимается решение о дополнении значения параметров сетевых и компьютерных атак, уточняют параметры функционирования системы обнаружения и противодействия атакам.After assessing the correct placement and number of installed sensors, as well as evaluating the speed of the detection and anti-attack system, a decision is made to supplement the values of the network and computer attack parameters, and the operating system of the detection and anti-attack system is refined.
Проведенный анализ уровня техники позволил установить, что аналоги, характеризующиеся совокупностями признаков, тождественным всем признакам заявленного способа, отсутствуют. Следовательно, заявленное изобретение соответствует условию патентоспособности "новизна".The analysis of the prior art allowed us to establish that analogues, characterized by sets of features that are identical to all the features of the claimed method, are absent. Therefore, the claimed invention meets the condition of patentability "novelty."
Перечисленная новая совокупность существенных признаков обеспечивает расширение возможности способа прототипа, за счет моделирования функционирования VPN в условиях ведения компьютерных и сетевых атак проводимых одновременно, повышение защищенности элементов VPN, за счет мониторинга сетевого трафика абонентов, противодействия сетевым и компьютерным атакам, а также оценки наносимого ущерба сетевыми и компьютерными атаками злоумышленника предоставляемым услугам связи абонентам.The listed new set of essential features provides an extension of the prototype method’s capabilities by simulating the functioning of the VPN under the conditions of computer and network attacks conducted simultaneously, increasing the security of VPN elements by monitoring the network traffic of subscribers, countering network and computer attacks, as well as assessing the damage caused by network and computer attacks of the attacker to the provided communication services to subscribers.
Результаты поиска известных решений в данной и смежной областях техники с целью выявления признаков, совпадающих с отличительными от прототипов признаками заявленного изобретения, показали, что они не следуют явным образом из уровня техники. Из определенного заявителем уровня техники не выявлена известность влияния предусматриваемых существенными признаками заявленного изобретения на достижение указанного технического результата. Следовательно, заявленное изобретение соответствует условию патентоспособности "изобретательский уровень".Search results for known solutions in this and related fields of technology in order to identify features that match the distinctive features of the claimed invention from the prototypes showed that they do not follow explicitly from the prior art. From the prior art determined by the applicant, the influence of the provided by the essential features of the claimed invention on the achievement of the specified technical result is not known. Therefore, the claimed invention meets the condition of patentability "inventive step".
«Промышленная применимость» способа обусловлена наличием элементной базы, на основе которой могут быть выполнены устройства, реализующие данный способ с достижением указанного в изобретении назначения.The "industrial applicability" of the method is due to the presence of an element base, on the basis of which devices can be made that implement this method with the achievement of the destination specified in the invention.
Заявленный способ поясняется чертежами, на которых показано:The claimed method is illustrated by drawings, which show:
фиг.1 - обобщенная структурно-логическая последовательность способа оценки ущерба наносимого сетевыми атаками виртуальным частным сетям;figure 1 is a generalized structural and logical sequence of a method for assessing the damage caused by network attacks to virtual private networks;
фиг. 2 - структурно-логическая последовательность моделирования функционирования VPN;FIG. 2 - structural and logical sequence of modeling the functioning of the VPN;
фиг. 3 - структурно-логическая последовательность работы VPN в условиях атак;FIG. 3 - structural and logical sequence of VPN operation in the conditions of attacks;
фиг. 4 - структурно-логическая последовательность сбора статистических данных о нормальном функционировании VPN, параметрах атак и VPN в условиях атак;FIG. 4 - the structural and logical sequence of collecting statistical data on the normal functioning of the VPN, attack parameters and VPN in the conditions of attacks;
фиг. 5 - графическое представление процесса восстановления работоспособности элемента VPN;FIG. 5 is a graphical representation of the process of restoring the health of a VPN element;
Заявленный способ поясняется структурно-логической последовательностью (фиг. 1), где измеряют и обобщают статистику параметров сетевых атак.The claimed method is illustrated by the structural-logical sequence (Fig. 1), where they measure and summarize the statistics of network attack parameters.
В блоке 1 измеряют параметры сетевого трафика абонентов «Белого» списка IP-адресов. Определяют параметры функционирования элемента VPN при которых возможно предоставить абоненту требуемые им услуги связи. Сохраняют измеренные значения параметров в ячейки памяти.In
В блоке 2 измеряют параметры известных сетевых атак. Сохраняют измеренные значения параметров в ячейки памяти. Набирают статистику.In
В блоке 3 выполняют последовательность моделирования функционирования VPN в условиях ведения компьютерных и сетевых атак (фиг. 2).In
В блоке 3.1 задают максимальные значения отклонения от статистических значений измеренных параметров и описывают значения параметров возможного аномального поведения абонентов из «Белого» списка IP-адресов.In block 3.1, the maximum deviations from the statistical values of the measured parameters are set and the values of the parameters of possible abnormal behavior of subscribers from the "White" list of IP addresses are described.
В блоке 3.2 создают физические модели нормального поведения абонентов и элементов VPN. Сохраняют модели в базе данных.In block 3.2, physical models of the normal behavior of subscribers and VPN elements are created. Save models to the database.
В блоке 3.3 создают физические модели компьютерных и сетевых атак. Сохраняют модели атак в базе данных.In block 3.3, physical models of computer and network attacks are created. Store attack models in the database.
В блоке 3.4 задают и дополняют «Белые» списки IP-адресов абонентов этой сети.In block 3.4, “White” lists of IP-addresses of subscribers of this network are defined and supplemented.
В блоке 3.5 определяют или дополняют правила фильтрации сетевого трафика, на основе поведенческих критериев, включающих анализ измеренных параметров атак. Разрабатывают варианты реконфигурации VPN.In block 3.5, the rules for filtering network traffic are determined or supplemented based on behavioral criteria, including an analysis of the measured attack parameters. VPN reconfiguration options are being developed.
В блоке 3.6 создают физические модели системы обнаружения атак и размещения сенсоров этой системы. Сохраняют модели в базе данных.In block 3.6, physical models of the system for detecting attacks and placing sensors of this system are created. Save models to the database.
В блоке 3.7 размещают сенсоры системы обнаружения атак, определяют требуемые значения достоверности измерения параметров компьютерных и сетевых атак, а также определяют требуемые значения по быстродействию системы обнаружения атак.In block 3.7, the sensors of the attack detection system are placed, the required reliability values for measuring parameters of computer and network attacks are determined, and the required values are determined by the speed of the attack detection system.
В блоке 3.8 имитируют одновременное воздействие нескольких различных компьютерных и сетевых атак на один из элементов VPN при различной загрузке сетевого трафика абонентами VPN.In block 3.8, they simulate the simultaneous effect of several different computer and network attacks on one of the VPN elements with different loading of network traffic by VPN subscribers.
В блоке 3.9 обрабатывают полученные от сенсоров системы обнаружения значения параметров имитируемых атак, измеряют значения контролируемых параметров и быстродействие системы обнаружения.In block 3.9, the values of the parameters of the simulated attacks received from the sensors of the detection system are processed, the values of the controlled parameters and the speed of the detection system are measured.
В блоке 3.10 оценивают достоверность обнаружения компьютерных и сетевых атак, а также быстродействие обнаружения атак.In block 3.10, the reliability of detecting computer and network attacks, as well as the speed of attack detection, are evaluated.
Если достоверность измеренных параметров или быстродействие системы обнаружения атак не удовлетворяет заданным значениям, в блоке 3.11 осуществляют установку дополнительных вынесенных сенсоров системы обнаружения и в блоке 3.8 повторно моделируют атаки.If the reliability of the measured parameters or the speed of the attack detection system does not meet the specified values, in block 3.11, additional remote sensors of the detection system are installed and re-simulate the attacks in block 3.8.
Если достоверность измеренных параметров удовлетворяет заданным значениям, то рассчитывают наносимый ущерб VPN.If the reliability of the measured parameters satisfies the given values, then the VPN damage is calculated.
В блоке 3.12 определяют значения ущерба наносимого различными атаками элементу VPN.In block 3.12, the values of damage caused by various attacks to the VPN element are determined.
В блоке 3.13 оценивают значения параметров наносимого ущерба с допустимыми значениями функционирования VPN.In block 3.13, the values of the damage parameters are evaluated with acceptable VPN functioning values.
Если значения наносимого ущерба превышают допустимые значения, то в блоке 3.5 дополняют и изменяют правила фильтрации сетевого трафика.If the values of the damage caused exceed the permissible values, then in block 3.5 the rules for filtering network traffic are supplemented and changed.
Если значения наносимого ущерба не превышают допустимые значения, то в блоке 4 развертывают VPN, расставляют и настраивают сенсоры системы обнаружения атак, устанавливают правила фильтрации сетевого трафика.If the values of the damage done do not exceed the permissible values, then in
В блоке 5 осуществляют функционирование VPN.In
В блоке 6 определяется время окончания работы VPN.In
В блоке 7 осуществляют мониторинг сетевого трафика, параметров характеризующих ведения компьютерных и сетевых атак. Собирают статистические данные о сетевом трафике элемента VPN и направляют измеренные значения в блок 17 для анализа.
В блоке 8 на основании заданных критериев принимают решение о начале ведения сетевой и компьютерной атак.In
Если признаков ведения атак не обнаружено, то продолжают мониторинг функционирования VPN, сетевых и компьютерных атак.If there are no signs of attack, then continue monitoring the functioning of the VPN, network and computer attacks.
При обнаружении признаков начала компьютерной или сетевой атаки в блоке 9 выделяют и контролирую параметры атаки.If signs of the onset of a computer or network attack are detected in
В блоке 10 на основании выделенных параметров атаки принимают решение о принадлежности к сетевым или компьютерным классам атак.In
Если выявлена сетевая атака, в блоке 11 моделируют влияние сетевой атаки на элемент VPN.If a network attack is detected, in
В блоке 12 оценивают возможный ущерб, нанесенный выявленной сетевой атакой, с использованием имеющихся моделей сетевых атак.In
Если значения наносимого ущерба элементу VPN, подверженного сетевой атакой, по результатам моделирования удовлетворяют требуемым значениям, то в блоке 7 продолжают мониторинг сетевого трафика и собирают статистические данные о нем.If the values of the damage caused to the VPN element subject to a network attack, according to the simulation results, satisfy the required values, then in
Если значения наносимого ущерба элементу VPN, подверженного сетевой атакой по результатам моделирования ниже требуемых значений, в блоке 13 реконфигурируют VPN согласно имеющихся вариантов реконфигурации. Измеренные параметры сетевой атаки направляются в блок 17 для анализа и сбора статистических данных.If the values of the damage to the VPN element that is subject to a network attack according to the simulation results are lower than the required values, in
Если в блоке 10 выявлена компьютерная атака, в блоке 14 моделируют влияние компьютерной атаки на элемент VPN.If a computer attack is detected in
В блоке 15 оценивают возможный ущерб, нанесенный выявленной компьютерной атакой с использованием имеющихся моделей компьютерных атак.In
Если значения наносимого ущерба элементу VPN, подверженного компьютерной атакой по результатам моделирования удовлетворяют требуемым значениям, то в блоке 7 продолжают мониторинг сетевого трафика и собирают статистические данные о нем.If the values of the damage caused to the VPN element subject to a computer attack according to the simulation results satisfy the required values, then in
Если значения наносимого ущерба элементу VPN, подверженного компьютерной атакой по результатам моделирования ниже требуемых значений, в блоке 16 фильтруют входящий трафик согласно последовательности для функционирования VPN в условиях атаки (фиг. 3).If the values of the damage to the VPN element subject to a computer attack according to the simulation results are lower than the required values, in
В блоке 16.1 сравнивают IP-адрес со списком «Белых» IP-адресов.In block 16.1, the IP address is compared with the list of White IP addresses.
Если принятые пакеты получены не из списка «Белых» IP-адресов, то в блоке 16.6 блокируют соединение.If the received packets are not received from the list of “White” IP addresses, then in block 16.6 the connection is blocked.
Если принятый пакет получен от абонента из списка «Белых» IP-адресов, то в блоке 16.2 используют дополнительные алгоритмы по идентификации.If the received packet is received from the subscriber from the list of “White” IP addresses, then in block 16.2 additional identification algorithms are used.
В блоке 16.3 проверяют подлинность абонентов при помощи дополнительных алгоритмов идентификации.In block 16.3, the authenticity of subscribers is verified using additional identification algorithms.
Если по результатам дополнительной идентификации абонент не смог подтвердить свою принадлежность к VPN, то в блоке 16.6 соединение блокируется.If, based on the results of the additional identification, the subscriber could not confirm his belonging to the VPN, then in block 16.6 the connection is blocked.
Если по результатам дополнительной идентификации абонент подтверждает свою принадлежность к VPN, то в блоке 16.4 осуществляют процесс установления соединения с абонентом или продолжают работу с абонентом, если соединение уже установлено.If, based on the results of additional identification, the subscriber confirms his membership in the VPN, then in block 16.4 the process of establishing a connection with the subscriber is carried out or continue to work with the subscriber if the connection is already established.
В блоке 16.5 с использованием модели нормального поведения сетевого трафика по заданным критериям контролируют аномальное поведение соединения, наличие признаков компьютерных атак.In block 16.5, using the model of normal behavior of network traffic according to the specified criteria, the abnormal behavior of the connection, the presence of signs of computer attacks are controlled.
Если признаков аномального поведения соединения и наличия признаков компьютерных атак не выявлено, продолжают контроль до окончания соединения.If signs of abnormal behavior of the connection and the presence of signs of computer attacks are not detected, continue monitoring until the end of the connection.
Если выявлены признаки аномального поведения соединения или наличие признаков компьютерных атак, то в блоке 16.6 соединение блокируется.If signs of abnormal behavior of the connection or the presence of signs of computer attacks are detected, then in block 16.6 the connection is blocked.
В блоке 17 осуществляют сбор и анализ статистических данных о параметрах нормального функционирования VPN, параметрах атак и VPN подверженной атаке, (фиг. 4).In
В блоке 17.1 обрабатывают статистические значения параметров сетевого трафика VPN, функционирующей в нормальных условиях.In block 17.1, the statistical values of the parameters of the VPN network traffic operating under normal conditions are processed.
В блоке 17.2 сравнивают выделенные параметры атак с имеющимися в базе данных аналогичными параметрами.In block 17.2, the selected attack parameters are compared with similar parameters available in the database.
Если выделенные параметры отличаются от имеющихся параметров, в блоке 17.3 собирают статистические данные об атаке.If the selected parameters differ from the available parameters, in block 17.3 the statistics on the attack are collected.
Если выделенные параметры не отличаются от имеющихся параметров атак, в блоке 17.5 оценивают правильность и количество установленных сенсоров и быстродействие системы обнаружения и противодействия атакам.If the selected parameters do not differ from the existing attack parameters, in block 17.5, the correctness and number of installed sensors and the speed of the detection and reaction system are evaluated.
В блоке 17.4 на основании заданных критериев фиксируют факт окончания атаки и направляют статистические данные об атаке в блок 17.5.In block 17.4, based on the specified criteria, the fact of the end of the attack is recorded and statistics on the attack are sent to block 17.5.
В блоке 17.5 после оценки правильности расстановки и количества установленных сенсоров, а также оценки быстродействия системы обнаружения и противодействия атак, принимается решение о дополнении в блоке 2 значения параметров сетевых или компьютерных атак, уточняют параметры функционирования системы обнаружения и противодействия атакам.In block 17.5, after evaluating the correct placement and number of installed sensors, as well as evaluating the speed of the attack detection and reaction system, a decision is made to add the parameters of network or computer attacks in
Сформулированная задача изобретения подтверждается представленным расчетом заявленного способа.The stated objective of the invention is confirmed by the presented calculation of the claimed method.
Оценка эффективности заявленного способа производилась следующим образом.Evaluation of the effectiveness of the claimed method was carried out as follows.
Процесс восстановления работоспособности элемента VPN, подверженного сетевой или компьютерной атакам описан в известных источниках (фиг. 5) (п. 4.1 с. 168 Общие принципы построения системы мониторинга. В.В. Величко Модели и методы повышения живучести современных систем связи. Горячая линия-Телеком с. 270 - 2014), который заключается:The process of restoring the operability of a VPN element subject to network or computer attacks is described in well-known sources (Fig. 5) (clause 4.1, p. 168 General principles for constructing a monitoring system. VV Velichko Models and methods for increasing the survivability of modern communication systems. Hot line - Telecom p. 270 - 2014), which consists of:
где tвр – время восстановления работоспособности элемента VPN;where t bp is the recovery time of the VPN element;
tобн - время обнаружения признаков ведения сетевой или компьютерной атак;t obn - time to detect signs of network or computer attacks;
tпр.сост - время прогнозирования наносимого ущерба идентифицированной атакой;t pr.sost - time to predict the damage caused by an identified attack;
tпр.реш - время, необходимое для принятия решения о способах противодействия атаке;t pr.res - the time required to make a decision on how to counter the attack;
tпротив - время, необходимое сетевому администратору для ликвидации угроз виртуальной частной сети;t vs. - time required by the network administrator to eliminate threats of the virtual private network;
tвост.соед - время, необходимое для восстановления соединения (синхронизации аппаратуры, операционной системы, приложений и т.п.).t eastern connection - time required to restore the connection (synchronization of equipment, operating system, applications, etc.).
Исходя из особенностей разработанного способа очевидно, что время обнаружения признаков ведения сетевой или компьютерной атак (tобнар), время, необходимое для принятия решения о способах противодействия атаке (tпр.реш), а также время, необходимое сетевому администратору для ликвидации угроз VPN (tпротив) равны аналогичным параметрам, что и у способа прототипа. Временем прогнозирования наносимого ущерба идентифицированной атакой (tпр.сост) в виду незначительных величин, а также в виду того, что оно происходит во время проведения атаки, возможно, пренебречь и не учитывать при оценке эффективности.Based on the features of the developed method, it is obvious that the time to detect signs of conducting a network or computer attack (t detection ), the time required to make a decision on how to counteract the attack (t solution ), as well as the time required by the network administrator to eliminate VPN threats ( t against ) are equal to the same parameters as the prototype method. Due to the insignificant values, as well as the fact that it occurs during the attack, it is possible to neglect the time of predicting the damage caused by an identified attack (t av.sost ) and neglect it when evaluating effectiveness.
Использование прогнозирования возможного нанесенного ущерба и оценка его влияния на предоставляемые услуги способствует своевременному принятию решения и своевременному реконфигурированию VPN и приводит к тому, что процесс реконфигурации осуществляется заблаговременно и время, необходимое для восстановления соединения (tвост.соед) не требуется.Using prediction of possible damage and assessing its impact on the services provided contributes to timely decision making and timely reconfiguration of the VPN and leads to the fact that the reconfiguration process is carried out in advance and the time required to restore the connection (t eastern connection ) is not required.
Анализ особенностей функционирования сетевых атак показывает, что длительность атак может быть эквивалентна перерыву связи VPN (Kaspersky Lab: DDoS-атаки в третьем квартале 2015 года. Статистика DDoS-атак с использованием ботнетов в первом квартале 2015 года). Согласно статистических данных известных компаний, занимающихся защитой от сетевых и компьютерных атак, среднее время, необходимое для восстановления соединения (tв.соед) составляет от 30 мин до 4 часов (Kaspersky Lab: DDoS-атаки в третьем квартале 2015 года. Статистика DDoS-атак с использованием ботнетов в первом квартале 2015 года. Qrator Labs: В 2015 году в Рунете возросло количество DDoS-атак. Исследование DDoS-атак и уязвимостей в веб-приложениях в первой половине 2015 года). Это и является выигрышем в оценке эффективности предлагаемого способа.An analysis of the features of the functioning of network attacks shows that the duration of the attacks can be equivalent to a disconnection of the VPN (Kaspersky Lab: DDoS attacks in the third quarter of 2015. Statistics of DDoS attacks using botnets in the first quarter of 2015). According to statistics from well-known companies involved in protecting against network and computer attacks, the average time required to reconnect (t connection ) is from 30 minutes to 4 hours (Kaspersky Lab: DDoS attacks in the third quarter of 2015. DDoS statistics botnet attacks in the first quarter of 2015. Qrator Labs: The number of DDoS attacks increased in Runet in 2015. A study of DDoS attacks and vulnerabilities in web applications in the first half of 2015). This is a gain in evaluating the effectiveness of the proposed method.
На основании этого следует вывод, что заявленный способ моделирования оценки ущерба, наносимого сетевыми атаками VPN, обеспечивает повышение защищенности элементов VPN, за счет оценки вероятного ущерба наносимого, элементу VPN и упреждающей реконфигурации VPN.Based on this, it follows that the claimed method for modeling the assessment of damage caused by network VPN attacks provides increased security for VPN elements by assessing the likely damage caused to the VPN element and proactive VPN reconfiguration.
Claims (1)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2016109067A RU2625045C1 (en) | 2016-03-11 | 2016-03-11 | Method of modeling damage evaluation caused by network and computer attacks to virtual private networks |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2016109067A RU2625045C1 (en) | 2016-03-11 | 2016-03-11 | Method of modeling damage evaluation caused by network and computer attacks to virtual private networks |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| RU2625045C1 true RU2625045C1 (en) | 2017-07-11 |
Family
ID=59495511
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| RU2016109067A RU2625045C1 (en) | 2016-03-11 | 2016-03-11 | Method of modeling damage evaluation caused by network and computer attacks to virtual private networks |
Country Status (1)
| Country | Link |
|---|---|
| RU (1) | RU2625045C1 (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2673014C1 (en) * | 2018-01-31 | 2018-11-21 | Федеральное государственное казенное военное образовательное учреждение высшего образования "Академия Федеральной службы охраны Российской Федерации" (Академия ФСО России) | Method of modeling and evaluating the efficiency of management and communication processes |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2336566C2 (en) * | 2006-12-06 | 2008-10-20 | Государственное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) | Method of modeling of processes of provision of technical readiness of communication networks in technical operation and system for its implementation |
| US7587760B1 (en) * | 2004-07-26 | 2009-09-08 | Cisco Technology, Inc. | System and methods for preventing denial of service attacks |
| RU2405184C1 (en) * | 2009-05-12 | 2010-11-27 | Министерство обороны Российской Федерации Государственное образовательное учреждение высшего профессионального образования ВОЕННАЯ АКАДЕМИЯ СВЯЗИ имени С.М. Буденного | Method for providing stable operation of communication system |
| RU2538292C1 (en) * | 2013-07-24 | 2015-01-10 | Открытое Акционерное Общество "Информационные Технологии И Коммуникационные Системы" | Method of detecting computer attacks to networked computer system |
| US20150058977A1 (en) * | 2013-08-26 | 2015-02-26 | Micheal Thompson | Health monitor based distributed denial of service attack mitigation |
-
2016
- 2016-03-11 RU RU2016109067A patent/RU2625045C1/en not_active IP Right Cessation
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7587760B1 (en) * | 2004-07-26 | 2009-09-08 | Cisco Technology, Inc. | System and methods for preventing denial of service attacks |
| RU2336566C2 (en) * | 2006-12-06 | 2008-10-20 | Государственное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) | Method of modeling of processes of provision of technical readiness of communication networks in technical operation and system for its implementation |
| RU2405184C1 (en) * | 2009-05-12 | 2010-11-27 | Министерство обороны Российской Федерации Государственное образовательное учреждение высшего профессионального образования ВОЕННАЯ АКАДЕМИЯ СВЯЗИ имени С.М. Буденного | Method for providing stable operation of communication system |
| RU2538292C1 (en) * | 2013-07-24 | 2015-01-10 | Открытое Акционерное Общество "Информационные Технологии И Коммуникационные Системы" | Method of detecting computer attacks to networked computer system |
| US20150058977A1 (en) * | 2013-08-26 | 2015-02-26 | Micheal Thompson | Health monitor based distributed denial of service attack mitigation |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2673014C1 (en) * | 2018-01-31 | 2018-11-21 | Федеральное государственное казенное военное образовательное учреждение высшего образования "Академия Федеральной службы охраны Российской Федерации" (Академия ФСО России) | Method of modeling and evaluating the efficiency of management and communication processes |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11693964B2 (en) | Cyber security using one or more models trained on a normal behavior | |
| Abubakar et al. | Machine learning based intrusion detection system for software defined networks | |
| Chung et al. | NICE: Network intrusion detection and countermeasure selection in virtual network systems | |
| EP1559008B1 (en) | Method for risk detection and analysis in a computer network | |
| Dantu et al. | Risk management using behavior based attack graphs | |
| Enoch et al. | HARMer: Cyber-attacks automation and evaluation | |
| Juen et al. | Defending tor from network adversaries: A case study of network path prediction | |
| RU2636640C2 (en) | Protection method of virtual private communication networks elements from ddos-attacks | |
| Mandalari et al. | Blocking without breaking: Identification and mitigation of non-essential iot traffic | |
| CN106663169A (en) | System and method for high speed threat intelligence management using unsupervised machine learning and prioritization algorithms | |
| KR101893253B1 (en) | Apparatus and Method for estimating automated network penetration path based on network reachability | |
| Lee et al. | Abnormal behavior-based detection of Shodan and Censys-like scanning | |
| Sasaki et al. | Exposed infrastructures: Discovery, attacks and remediation of insecure ics remote management devices | |
| Schmidt et al. | Application-level simulation for network security | |
| RU2679219C1 (en) | Method of protection of service server from ddos attack | |
| Manickam et al. | Labelled Dataset on Distributed Denial‐of‐Service (DDoS) Attacks Based on Internet Control Message Protocol Version 6 (ICMPv6) | |
| Toosarvandani et al. | The risk assessment and treatment approach in order to provide LAN security based on ISMS standard | |
| RU2625045C1 (en) | Method of modeling damage evaluation caused by network and computer attacks to virtual private networks | |
| RU2675900C1 (en) | METHOD OF PROTECTING NODES OF VIRTUAL PRIVATE COMMUNICATION NETWORK FROM DDoS-ATTACKS WITH METHOD OF MANAGING QUANTITY OF RENDERED COMMUNICATION SERVICES TO SUBSCRIBERS | |
| Pham et al. | A quantitative framework to model reconnaissance by stealthy attackers and support deception-based defenses | |
| RU2648508C1 (en) | Method for evaluating the ability of a computer network node to operate under conditions of information and technical impact | |
| RU2685989C1 (en) | Method of reducing damage caused by network attacks to a virtual private network | |
| Rohrmair et al. | Using CSP to detect insertion and evasion possibilities within the intrusion detection area | |
| Al-Mahrouqi et al. | Efficiency of network event logs as admissible digital evidence | |
| Watkins et al. | Methodology for evaluating the effectiveness of intrusion detection in tactical mobile ad-hoc networks |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| MM4A | The patent is invalid due to non-payment of fees |
Effective date: 20180312 |