RU2728763C1 - Adaptive information and technical monitoring system - Google Patents
Adaptive information and technical monitoring system Download PDFInfo
- Publication number
- RU2728763C1 RU2728763C1 RU2019123565A RU2019123565A RU2728763C1 RU 2728763 C1 RU2728763 C1 RU 2728763C1 RU 2019123565 A RU2019123565 A RU 2019123565A RU 2019123565 A RU2019123565 A RU 2019123565A RU 2728763 C1 RU2728763 C1 RU 2728763C1
- Authority
- RU
- Russia
- Prior art keywords
- input
- output
- unit
- block
- monitoring system
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
Abstract
Description
Изобретение относится к области информационных технологий, в частности, к информационной безопасности, а именно к средствам мониторинга информационной безопасности и обеспечивает контроль трафика и предотвращение компьютерных атак.The invention relates to the field of information technology, in particular to information security, in particular to information security monitoring tools and provides traffic control and prevention of computer attacks.
В настоящее время, рост потребностей абонентов компьютерных сетей связи требует использования высокоскоростных каналов связи (более 1 Гбит/с), однако существующие системы мониторинга информационной безопасности способны устойчиво работать на указанных скоростях лишь с малым набором сигнатур описывающих компьютерные атаки, что приводит к снижению защищенности узлов компьютерной сети связи. Увеличение количества сигнатур приводит к затруднению, а в отдельных случаях и полному блокированию передачи данных.Currently, the growing needs of subscribers of computer communication networks require the use of high-speed communication channels (more than 1 Gbps), however, existing information security monitoring systems are able to operate stably at these speeds with only a small set of signatures describing computer attacks, which leads to a decrease in the security of nodes computer communication network. An increase in the number of signatures leads to difficulty, and in some cases, complete blocking of data transmission.
Под информационно-техническими воздействиями (ИТВ) понимаются методы радиоэлектронной борьбы, проникновение в компьютерные сети и т.п. (Базовые принципы информационной безопасности вычислительных сетей: учебное пособие для студентов, обучающихся по специальностям 08050565, 21040665, 22050165, 23040165 / А.А. Гладких, В.Е. Дементьев; - Ульяновск: УлГТУ, 2009. - С. 135).Information technology impacts (ITI) are understood as methods of electronic warfare, penetration into computer networks, etc. (Basic principles of information security of computer networks: a textbook for students studying in the specialties 08050565, 21040665, 22050165, 23040165 / AA Gladkikh, VE Dementyev; - Ulyanovsk: UlSTU, 2009. - P. 135).
Сетевой трафик – объём информации, передаваемой через компьютерную сеть за определенный период времени посредствам IP-пакетов. (А. Винокуров Принципы организации учёта IP-трафика. Электронный ресурс. Режим доступа: http://habrahabr.ru/post/136844).Network traffic - the amount of information transmitted through a computer network for a certain period of time using IP packets. (A. Vinokurov Principles of organizing IP-traffic accounting. Electronic resource. Access mode: http://habrahabr.ru/post/136844).
Известна «Система и способ обнаружения направленных атак на корпоративную инфраструктуру» (патент РФ № 2587426 G06F 21/00, 20.06.2016 Бюл. № 17) содержащая: средство обнаружения подозрительных объектов, предназначенное получения информации о объекте на вычислительном устройстве; анализа информации об объекте на основании набора эвристических правил, используемых средством обнаружения подозрительных объектов и позволяет определить, является ли анализируемый объект подозрительным или нет; для сбора информации об объекте, если он был признан потенциально вредоносным, базу описаний подозрительных объектов, связанную со средством обнаружения подозрительных объектов, которая содержит используемые указанным средством эвристические правила и правила для сбора информации об объектах; средство анализа объектов, связанное со средством обнаружения подозрительных объектов, предназначенное для анализа информации об объекте, полученной от средства обнаружения подозрительных объектов, при этом в результате анализа, производимого на основании набора эвристических правил, используемых средством анализа объектов, определяют, является ли объект потенциально вредоносным или нет; для анализа потенциально вредоносных объектов, получаемых со стороны средства обнаружения подозрительных объектов, при этом в рамках упомянутого анализа выясняют, превосходит ли степень сходства потенциально вредоносного объекта с каким-либо объектом из базы данных вредоносных объектов заранее установленный порог, и если степень сходства потенциально вредоносного объекта с каким-либо объектом из базы данных вредоносных объектов превосходит заранее установленный порог, то признают упомянутый объект вредоносным; при этом признание подозрительного объекта потенциально вредоносным в соответствии с эвристическими правилами осуществляется путем сопоставления информации об анализируемом объекте и информации об объектах, хранящейся в базе данных вредоносных объектов и базе данных безопасных объектов; при этом набор эвристических правил, которые используются для упомянутого анализа отличается от набора эвристических правил, используемых средством обнаружения подозрительных объектов; базу данных вредоносных объектов, которая используется для хранения информации о вредоносных объектах.Known "System and method for detecting targeted attacks on corporate infrastructure" (RF patent No. 2587426 G06F 21/00, 20.06.2016 Bull. No. 17) containing: a means of detecting suspicious objects, designed to obtain information about an object on a computing device; analyzing information about an object based on a set of heuristic rules used by the suspicious object detection tool and allows you to determine whether the analyzed object is suspicious or not; to collect information about an object, if it has been recognized as potentially malicious, a database of suspicious object descriptions associated with the suspicious object detection tool, which contains the heuristic rules and rules used by the specified tool for collecting information about objects; an object analysis tool associated with a suspicious object detection tool designed to analyze information about an object received from a suspicious object detection tool, while analyzing based on a set of heuristic rules used by the object analysis tool, it is determined whether the object is potentially malicious or not; for analyzing potentially malicious objects received from the suspicious object detection tool, in this case, within the framework of the said analysis, it is determined whether the degree of similarity of a potentially malicious object with an object from the database of malicious objects exceeds a predetermined threshold, and if the degree of similarity of a potentially malicious object if an object from the database of malicious objects exceeds a predetermined threshold, then the said object is considered malicious; in this case, the recognition of a suspicious object as potentially harmful in accordance with heuristic rules is carried out by comparing information about the analyzed object and information about objects stored in the database of malicious objects and the database of safe objects; the set of heuristic rules used for said analysis differs from the set of heuristic rules used by the suspicious object detection tool; a database of malicious objects, which is used to store information about malicious objects.
Известна «Система и способ обнаружения признаков компьютерной атаки» (патент РФ № 2661533 G06F 21/55, 17.07.2018 Бюл. № 20) содержащая: средство защиты предназначенное для: сбора информации, об объекте на компьютере, передачи средству обнаружения уведомления безопасности, включающего, информацию о средстве защиты и собранную информацию об объекте, средство обнаружения, связанное по сети с информационной системой и предназначенное для: сохранения уведомлений безопасности в базу данных объектов, поиска объекта из уведомления безопасности в базе данных угроз, добавления в базу данных объектов к объекту метки, соответствующей упомянутому объекту в базе данных угроз, поиску признаков подозрительной активности, содержащихся в базе данных подозрительной активности, на основании полученного уведомления безопасности и добавленных меток объекта, содержащегося в упомянутом уведомлении безопасности, добавления в базу данных объектов, в частности, к уведомлению безопасности метки, содержащейся в базе данных подозрительной активности при нахождении признака подозрительной активности, обнаружения признаков компьютерной атаки путем выявления сигнатуры компьютерных атак из базы данных компьютерных атак среди полученных объектов, и уведомлений безопасности, и меток упомянутых объектов, и меток уведомлений безопасности из базы данных объектов, с помощью средств защиты собирают, информацию о поведение процессов, событиях в операционной системе, информация о межсетевом взаимодействии, показатели компрометации; вердикты средства защиты; признаки подозрительного поведения зависят от: тактик, технологий и процедур известных направленных атак; информации о направленных атаках, полученной при проведении тестов на проникновение; при нахождении признака подозрительной активности добавляют метку из базы данных подозрительной активности к средству защиты, при обнаружении компьютерной атаки дополнительно основываются на сравнении выставленных меток к средству защиты с сигнатурами компьютерных атак из базы данных направленных атак; средство обнаружения формирует уведомление безопасности для обнаруженного вредоносного объекта, содержащее информацию об объекте и информацию о средствах защиты, на компьютерах которых содержится объект.Known "System and method for detecting signs of a computer attack" (RF patent No. 2661533 G06F 21/55, 07/17/2018 Bull. No. 20) containing: a security tool designed for: collecting information about an object on a computer, transferring a security notification to the detection tool, including , information about the protection tool and collected information about an object, a detection tool connected over a network with an information system and designed to: save security notifications to the object database, search for an object from a security notification in the threat database, add labels to the object database corresponding to the mentioned object in the threat database, searching for signs of suspicious activity contained in the suspicious activity database, based on the received security notification and added labels of the object contained in the said security notification, adding to the database of objects, in particular, to the security notification labels contained in ba from data of suspicious activity when finding a sign of suspicious activity, detecting signs of a computer attack by identifying the signature of computer attacks from the database of computer attacks among the received objects, and security notifications, and labels of the mentioned objects, and labels of security notifications from the database of objects, using protection tools collect information about the behavior of processes, events in the operating system, information about internetworking, indicators of compromise; remedy verdicts; the signs of suspicious behavior depend on: tactics, technologies and procedures of known targeted attacks; information about targeted attacks obtained during penetration tests; when a sign of suspicious activity is found, a tag is added from the database of suspicious activity to the protection tool; when a computer attack is detected, it is additionally based on comparing the set labels to the protection tool with signatures of computer attacks from the targeted attacks database; the detection tool generates a security notification for the detected malicious object, containing information about the object and information about the protection tools on the computers of which the object is contained.
Наиболее близким по технической сущности и выполняемым функциям аналогом (прототипом) к заявленному является «Способ использования вариантов противодействия сетевой и потоковой компьютерным разведкам и сетевым атакам и система его реализующая» (патент РФ № 2682108, G06F 21/60, H04B 17/00 опубл. 14.03.2019 г. Бюл. № 8). Указанная система включает устройство визуализации соединенное с устройством управления обработкой данных и устройством управления базами данных; устройство ввода-вывода исходных данных соединенного с устройством управления базами данных; устройство обработки данных включающее устройство управления обработкой данных соединенное с устройством ранжирования проблем развития и устройством сравнения параметров сети связи соединенного с устройством управлением обработки данных и устройством синтеза виртуального рабочего варианта системы соединенным с устройством выбора оптимального варианта решения; устройство хранения данных, включающее в себя устройство управления базами данных, соединенное с устройством управления обработкой данных и базой данных примеров решения проблем, базой данных типов проблем и математических моделей, базой данных параметров уравнения развития, базой данных общематематических методов решения проблем, дополнительно в устройство обработки данных введено устройство моделирования (прогнозирования) состояния узлов сети связи состоящее из блока прогнозирования параметров сетевых атак соединенного с устройством ранжирования проблем развития; устройством сравнения параметров сети связи и блоком прогнозирования состояния узлов сети связи в условиях сетевой атаки соединенного с устройством сравнения параметров сети связи и блоком оптимизации контролируемых параметров соединенного с устройством сравнения параметров сети связи и блоком моделирования совместного применения способов и вариантов противодействия соединенное с устройством сравнения параметров сети связи, введено устройство управления распределенной системой мониторинга состоящей из группы датчиков распределенной системой мониторинга принимающих информационные потоки характеризующие техническое состояние узлов сети связи и сетевой атаки и соединенных с блок управления распределенной системой мониторинга, соединенным с устройством визуализации, устройством управления базами данных и блоком идентификации и классификации сетевых атак, введено устройство управления способами и вариантами противодействия сетевой атаки состоящей из группы блоков активации способов противодействия сетевой атаки, соединенных со способами противодействия сетевой атаки и блоком управления активацией способов и вариантов противодействия соединенным с блоком управления распределенной системой мониторинга и устройством выбора оптимального варианта решения.The closest in technical essence and functions performed by the analogue (prototype) to the claimed is "A method of using options for countering network and streaming computer intelligence and network attacks and a system that implements it" (RF patent No. 2682108, G06F 21/60, H04B 17/00 publ. 14.03.2019 Bul. No. 8). The specified system includes a visualization device connected to a data processing control device and a database control device; an input-output device for initial data connected to the database management device; a data processing device including a data processing control device connected to a development problem ranking device and a communication network parameters comparison device connected to a data processing control device and a synthesis device for a virtual working version of the system connected to a device for selecting the optimal solution; a data storage device including a database management device connected to a data processing control device and a database of problem solving examples, a database of problem types and mathematical models, a development equation parameter database, a database of general mathematical problem solving methods, additionally to a processing device data introduced a device for modeling (predicting) the state of communication network nodes, consisting of a unit for predicting the parameters of network attacks connected to the device for ranking development problems; a device for comparing the parameters of a communication network and a unit for predicting the state of nodes of a communication network under conditions of a network attack connected to a device for comparing parameters of a communication network and a unit for optimizing monitored parameters connected to a device for comparing parameters of a communication network and a block for simulating the joint application of methods and countermeasures connected to a device for comparing network parameters communication, introduced a control device for a distributed monitoring system consisting of a group of sensors with a distributed monitoring system that receive information flows characterizing the technical condition of the nodes of a communication network and a network attack and connected to a distributed monitoring system control unit connected to a visualization device, a database management device and an identification and classification unit network attacks, a device for controlling methods and options for countering a network attack consisting of a group of blocks for activating methods of countering The actions of a network attack, connected with the methods of countering a network attack and the control unit for activating the methods and variants of counteraction, connected with the control unit of the distributed monitoring system and the device for choosing the optimal solution.
Техническая проблема: время проверки системой мониторинга принимаемых пакетов входящего и исходящего потока данных превышает время поступления очередного пакета, из-за большого количества сигнатур компьютерных атак используемых данной системой, что приводит к появлению и накапливанию задержки потока данных, вследствие чего происходит ухудшение (или разрыв) качества связи.Technical problem: the time it takes for the monitoring system to check the incoming and outgoing packets of data is longer than the arrival time of the next packet, due to the large number of computer attack signatures used by this system, which leads to the appearance and accumulation of data flow delays, as a result of which deterioration (or break) occurs communication quality.
Решение технической проблемы: снижение времени проверки системой мониторинга проверяемых пакетов входящего и исходящего потока данных за счет сокращения количества сигнатур компьютерных атак на основании выявления сильных корреляционных связей между параметрами, характеризующими входящий и исходящий поток данных.Solution of a technical problem: reducing the time of checking by the monitoring system of checked packets of incoming and outgoing data flow by reducing the number of signatures of computer attacks based on the identification of strong correlations between the parameters characterizing the incoming and outgoing data flow.
Технический результат: снижение времени проверки системой мониторинга проверяемых пакетов входящего и исходящего потока данных до значений, не превышающих времени поступления очередного пакета, за счет сокращения количества сигнатур компьютерных атак на основании выявления сильных корреляционных связей между параметрами, что обеспечивает недопущение появления и накапливания задержки потока данных, что обеспечивает требуемое качество связи.EFFECT: reducing the time of checking by the monitoring system of the checked packets of the incoming and outgoing data flow to values that do not exceed the time of arrival of the next packet, by reducing the number of signatures of computer attacks based on the identification of strong correlations between the parameters, which prevents the appearance and accumulation of data flow delays , which provides the required quality of communication.
Технический результат достигается за счет разработки адаптивной системы мониторинга информационно-технических воздействий состоящей из анализатора сетевого трафика [программный комплекс СКАТ DPI. ITGLOBAL.COM]; устройства управления функционированием системы мониторинга состоящего из блока ввода нормированных значений и сигнатур [классификация устройств ввода информации / https://spravochnick.ru/informatika/arhitektura_personalnogo_kompyutera/ ustroystva_vvoda_ informacii/] первый выход, которого соединен с входом базы данных [Microsoft – SQL Server], второй выход базы данных соединен с входом блока визуализации [формирование изображения и графической информации с помощью мониторов компьютера]; устройства обработки данных и управления системы мониторинга состоящего из блока оценки параметров системы мониторинга [Система обнаружения атак «ФОРПОСТ» версии 2.0 / https://www.rnt.ru/ru/production/detail.php?ID=19] второй вход, которого соединен с первым выходом базы данных, первый выход соединен с первым входом блока визуализации, третий выход соединен с блоком синтеза и конфигурации системы обнаружения атак [Система обнаружения атак «ФОРПОСТ» версии 2.0 / https://www.rnt.ru/ru/ production/detail.php?ID=19]; устройства обнаружения компьютерных атак состоящего из блока коммутации сигнатур [Инициализация и подключение детектора атак. Аппаратно-программный комплекс шифрования Континент Версия 3.7 / https://www.securitycode.ru/upload/ documentation/detektor_atak/IDS_Admin_Guide.pdf] вход, которого соединен с выходом блока синтеза и конфигурации систем обнаружения атак [Работа с правилами. Аппаратно-программный комплекс шифрования Континент Версия 3.7 /https://www.securitycode.ru/upload/documentation/detektor_atak/ IDS_Admin_ Guide.pdf], блока идентификации и классификации атак [Средства управления системой обнаружения вторжений. Аппаратно-программный комплекс шифрования Континент Версия 3.7 / https://www.securitycode.ru/upload/documentation/ detektor_atak/IDS_Admin_ Guide.pdf] первый выход, которого соединен со вторым входом блока визуализации.The technical result is achieved through the development of an adaptive system for monitoring information and technical impacts, consisting of a network traffic analyzer [software complex SKAT DPI. ITGLOBAL.COM]; a device for controlling the functioning of a monitoring system consisting of a block for entering normalized values and signatures [classification of information input devices / https://spravochnick.ru/informatika/arhitektura_personalnogo_kompyutera/ustroystva_vvoda_informacii /] the first output, which is connected to the database input [Microsoft - SQL Server] , the second output of the database is connected to the input of the visualization unit [formation of images and graphic information using computer monitors]; devices for data processing and control of the monitoring system consisting of a block for evaluating the parameters of the monitoring system [Attack detection system FORPOST version 2.0 / https://www.rnt.ru/ru/production/detail.php?ID=19] the second input, which is connected to the first output of the database, the first output is connected to the first input of the visualization unit, the third output is connected to the synthesis and configuration block of the attack detection system [Attack detection system "FORPOST" version 2.0 / https://www.rnt.ru/ru/ production /detail.php?ID=19]; a computer attack detection device consisting of a signature switching unit [Initialization and connection of an attack detector. Encryption hardware and software Continent Version 3.7 / https://www.securitycode.ru/upload/ documentation / detektor_atak / IDS_Admin_Guide.pdf] input connected to the output of the synthesis and configuration block of attack detection systems [Working with rules. Encryption hardware-software complex Continent Version 3.7 /https://www.securitycode.ru/upload/documentation/detektor_atak/ IDS_Admin_ Guide.pdf], block for identification and classification of attacks [Intrusion detection system management tools. Encryption hardware and software Continent Version 3.7 / https://www.securitycode.ru/upload/documentation/detektor_atak / IDS_Admin_ Guide.pdf] the first output, which is connected to the second input of the visualization unit.
Дополнительно введены: выход анализатора сетевого трафика соединен со входом устройства коммутации и согласования [Коммутационное оборудование и его особенности / http://www.aitek-d.ru/articles9851.html]; первый выход устройства коммутации и согласования соединено с первым входом и вторым входами устройства промежуточных расчетов, а именно с первым входом блока расчета параметров быстродействия системы мониторинга [Добрышин М.М. и др. Программа расчета быстродействия системы мониторинга технического состояния средств связи / Свидетельство о государственной регистрации программы для ЭВМ № 2018618661 от 17.07.2018 г. Бюл. № 7.] и первым входом блока расчета коэффициентов корреляции [Добрышин М.М. и др. Расчет корреляционных связей между значениями параметров технического состояния средств связи / Свидетельство о государственной регистрации программы для ЭВМ № 2018615232 от 03.05.2018 г. бюл. № 5.], второй вход блока расчета коэффициентов корреляции соединен с первым выходом базы данных, третий вход блока расчета коэффициентов корреляции соединен со вторым выходом блока оценки параметров системы мониторинга, выход блока соединен с входом блока сокращения сигнатур [Работа с правилами. Аппаратно-программный комплекс шифрования Континент Версия 3.7 / https://www.securitycode.ru/upload/documentation/ detektor_ atak/IDS_Admin_Guide.pdf]; выход блока сокращения сигнатур [Работа с правилами. Аппаратно-программный комплекс шифрования Континент Версия 3.7 / https://www.securitycode.ru/ upload/ documentation/detektor_atak/IDS_Admin_Guide.pdf] соединен со вторым входом блока расчета параметров быстродействия системы мониторинга; устройство управления функционирования системы мониторинга дополнено блоком ручного управления [классификация устройств ввода информации / https://spravochnick.ru/informatika/arhitektura_personalnogo_kompyutera/ustroystva_vvoda_ informacii/], первый вход которого соединен с выходом блока визуализации, первый выход соединен со вторым входом устройства коммутации и согласования; устройство обработки данных и управления системы мониторинга дополнено блоком выбора дополнительных сигнатур [Работа с правилами. Аппаратно-программный комплекс шифрования Континент Версия 3.7 / https://www.securitycode.ru/upload/ documentation/ detektor_atak/IDS_Admin_Guide.pdf] первый вход которого соединен с выходом блока ручного управления, выход соединен с блоком визуализации; Устройство обнаружения компьютерных атак дополнено блоком сигнатур [Просмотр правил, назначенных детектору атак. Аппаратно-программный комплекс шифрования Континент Версия 3.7 / https://www.securitycode.ru/upload/documentation/ detektor_atak/ IDS_Admin_ Guide.pdf], первый вход которого соединен со вторым выходом блока ввода нормированных значений и сигнатур, второй вход соединен с выходом блока коммутации сигнатур, выход соединен со вторым входом блока идентификации и классификации атак.Additionally introduced: the output of the network traffic analyzer is connected to the input of the switching and matching device [Switching equipment and its features / http://www.aitek-d.ru/articles9851.html]; the first output of the switching and matching device is connected to the first input and the second inputs of the intermediate calculations device, namely, to the first input of the block for calculating the performance parameters of the monitoring system [Dobryshin M.M. and others. The program for calculating the speed of the system for monitoring the technical condition of communication facilities / Certificate of state registration of the computer program No. 2018618661 of 17.07.2018 Byul. No. 7.] and the first input of the block for calculating the correlation coefficients [Dobryshin M.M. and others. Calculation of correlations between the values of the parameters of the technical condition of communication facilities / Certificate of state registration of a computer program No. 2018615232 dated 05/03/2018 byul. No. 5.], the second input of the block for calculating the correlation coefficients is connected to the first output of the database, the third input of the block for calculating the correlation coefficients is connected to the second output of the block for evaluating the parameters of the monitoring system, the output of the block is connected to the input of the signature reduction block [Working with rules. Encryption hardware and software complex Continent Version 3.7 / https://www.securitycode.ru/upload/documentation/ detektor_ atak / IDS_Admin_Guide.pdf]; output of the signature reduction block [Working with rules. The hardware-software encryption complex Continent Version 3.7 / https://www.securitycode.ru/ upload / documentation / detektor_atak / IDS_Admin_Guide.pdf] is connected to the second input of the block for calculating the performance parameters of the monitoring system; the control device for the monitoring system functioning is supplemented with a manual control unit [classification of information input devices / https://spravochnick.ru/informatika/arhitektura_personalnogo_kompyutera/ustroystva_vvoda_informacii /], the first input of which is connected to the output of the visualization unit, the first output is connected to the second input of the switching device and coordination; the device for data processing and control of the monitoring system is supplemented with a block for selecting additional signatures [Working with rules. Hardware and software encryption complex Continent Version 3.7 / https://www.securitycode.ru/upload/ documentation / detektor_atak / IDS_Admin_Guide.pdf] the first input of which is connected to the output of the manual control unit, the output is connected to the visualization unit; The computer attack detection device has been supplemented with a signature block [Viewing rules assigned to an attack detector. Hardware and software encryption complex Continent Version 3.7 / https://www.securitycode.ru/upload/documentation/ detektor_atak / IDS_Admin_ Guide.pdf], the first input of which is connected to the second output of the unit for entering normalized values and signatures, the second input is connected to the output the signature switching unit, the output is connected to the second input of the attack identification and classification unit.
Перечисленная новая совокупность существенных признаков обеспечивает снижение времени проверки системой мониторинга проверяемых пакетов входящего и исходящего потока данных до значений, не превышающих времени поступления очередного пакета. The enumerated new set of essential features reduces the time of checking by the monitoring system of checked packets of the incoming and outgoing data stream to values that do not exceed the time of arrival of the next packet.
Проведенный анализ уровня техники позволил установить, что аналоги, характеризующиеся совокупностями признаков, тождественным всем признакам заявленной системы, отсутствуют. Следовательно, заявленное изобретение соответствует условию патентоспособности "новизна".The analysis of the state of the art made it possible to establish that there are no analogs characterized by sets of features identical to all features of the claimed system. Therefore, the claimed invention meets the "novelty" requirement of patentability.
«Промышленная применимость» разработанной адаптивной системы обусловлена наличием элементной базы, на основе которой могут быть выполнены устройства, реализующие данную систему с достижением указанного в изобретении результата.The "industrial applicability" of the developed adaptive system is due to the presence of an element base, on the basis of which devices that implement this system can be made with the achievement of the result specified in the invention.
Результаты поиска известных решений в данной и смежной областях техники с целью выявления признаков, совпадающих с отличительными от прототипов признаками заявленного изобретения, показали, что они не следуют явным образом из уровня техники. Из определенного заявителем уровня техники не выявлена известность влияния предусматриваемых существенными признаками заявленного изобретения на достижение указанного технического результата. Следовательно, заявленное изобретение соответствует условию патентоспособности «изобретательский уровень».The results of the search for known solutions in this and related fields of technology in order to identify features that match the distinctive features of the prototypes of the features of the claimed invention, have shown that they do not follow explicitly from the prior art. The prior art determined by the applicant has not revealed the influence of the essential features of the claimed invention on the achievement of the specified technical result. Therefore, the claimed invention meets the "inventive step" requirement of patentability.
Заявленные объекты системы поясняются чертежами, на которых показаны:The declared objects of the system are illustrated by drawings, which show:
Фиг.1 – структурная схема адаптивной системы мониторинга информационно-технических воздействий.Figure 1 is a block diagram of an adaptive system for monitoring information technology impacts.
Адаптивная система мониторинга информационно-технических воздействий (фиг.1), функционирует следующим образом: с помощью блока ввода нормированных значений и сигнатур (блок 3.4), устройства управления функционированием системы мониторинга (блок 3), оператор вводит нормированные значения параметров, которые сохраняются в базе данных (блок 3.3) и сигнатуры, характеризующие различные компьютерные атаки, которые сохраняются в блоках сигнатур (блок 6.2), устройства обнаружения компьютерных атак (блок 6).The adaptive system for monitoring information and technical influences (Fig. 1), operates as follows: using the block for entering normalized values and signatures (block 3.4), a device for controlling the operation of the monitoring system (block 3), the operator enters the normalized values of the parameters that are stored in the database data (block 3.3) and signatures characterizing various computer attacks, which are stored in signature blocks (block 6.2), computer attack detection devices (block 6).
На n входов анализатора сетевого трафика (блок 1) поступает входящий и исходящий информационный поток защищаемого узла связи.The n inputs of the network traffic analyzer (block 1) receive the incoming and outgoing information flow of the protected communication node.
В блоке 1 выделяются статистические значения анализируемого информационного потока и поступают на выход блока 1 соединенного с первым входом устройства коммутации и согласования (блок 2). На второй вход блока 2 поступает управляющий сигнал из блока ручного управления (блок 3.1), устройства управления функционированием системы мониторинга (блок 3) о направлении выделенных статистических значений либо в блок расчета параметров быстродействия системы мониторинга (блок 4.1), устройства промежуточных расчетов (блок 4) либо в блок идентификации и классификации компьютерных атак (блок 6.3), устройства обнаружения компьютерных атак (блок 6).In
Если из блока 3.1 поступил сигнал «настройки системы мониторинга», то с первого выхода блока 2 статистические значения анализируемого информационного потока поступают на первый вход блока 4.1, где рассчитываются значения параметров быстродействия системы мониторинга.If the signal “monitoring system settings” is received from block 3.1, then from the first output of
С выхода блока 4.1 значения параметров быстродействия системы мониторинга поступают на первый вход блока оценки параметров системы мониторинга (блок 5.1), устройства обработки данных и управления системой мониторинга (блок 5).From the output of block 4.1, the values of the performance parameters of the monitoring system are fed to the first input of the block for evaluating the parameters of the monitoring system (block 5.1), the data processing and monitoring system control device (block 5).
На второй вход блока 5.1 из блока 3.3 поступает нормированное значение быстродействия системы мониторинга. В блоке 5.1 поступившие на первый и второй входы значения быстродействия системы сравниваются. Если значение быстродействия на первом входе меньше аналогичного значения на втором входе, блок 5.1 с первого выхода передается управляющая команда в блок расчета коэффициентов корреляции (блок 4.3).The second input of block 5.1 from block 3.3 receives the normalized speed of the monitoring system. In block 5.1, the system performance values received at the first and second inputs are compared. If the speed value at the first input is less than the same value at the second input, block 5.1 from the first output sends a control command to the block for calculating the correlation coefficients (block 4.3).
На первый вход блока 4.3 с выхода блока 2 поступают статистические значения входящего и исходящего информационных потоков. Если на второй вход блока 4.3 поступает управляющий сигнал из блока 5.1, то рассчитывают значения коэффициентов корреляции между всеми принятыми статистическими значениями параметров входящего и исходящего информационных потоков.The first input of block 4.3 from the output of
С выхода блока 4.3 на первый вход блока сокращения сигнатур (блок 4.2) передаются рассчитанные значения коэффициентов корреляции. В блоке 4.2 на основании заданного порогового значения коэффициента корреляции (поступаемого на второй вход блока 4.2 из блока 3.3) выделяют и сокращают сигнатуры соответствующих компьютерных атак. При выборе сокращаемых сигнатур оставляют сигнатуры нижележащего уровня эталонной модели взаимодействия открытых систем. После сокращения сигнатур, подсчитывают количество оставшихся сигнатур. The calculated values of the correlation coefficients are transmitted from the output of block 4.3 to the first input of the signature reduction block (block 4.2). In block 4.2, based on a given threshold value of the correlation coefficient (supplied to the second input of block 4.2 from block 3.3), the signatures of the corresponding computer attacks are extracted and reduced. When choosing signatures to be abbreviated, the signatures of the underlying level of the reference model of open systems interaction are retained. After reducing the signatures, the number of remaining signatures is counted.
С выхода блока 4.2 на вход блока 4.1 поступают значения количества сокращенного перечня сигнатур. В блоке 4.1 рассчитывают быстродействие системы мониторинга с учетом сокращенного количества сигнатур. С выхода блока 4.1 значения быстродействия системы мониторинга поступают на вход блока 5.1.From the output of block 4.2 to the input of block 4.1, the values of the number of the reduced list of signatures are received. In block 4.1, the performance of the monitoring system is calculated taking into account the reduced number of signatures. From the output of block 4.1, the performance values of the monitoring system are fed to the input of block 5.1.
Если повторно значения на первом входе блока 5.1 меньше чем значения на втором входе блока 5.1, на втором выходе блока 5.1 формируется команда о необходимости уменьшения порогового значения коэффициента корреляции и передается на вход блока визуализации (блок 3.2).If repeatedly the values at the first input of block 5.1 are less than the values at the second input of block 5.1, at the second output of block 5.1, a command is generated about the need to reduce the threshold value of the correlation coefficient and transmitted to the input of the visualization unit (block 3.2).
На основании полученной в блоке 3.2 команды о необходимости уменьшения порогового значения коэффициента корреляции, оператор уменьшает указанное значение путем внесения изменений с помощью блока 3.4.Based on the command received in block 3.2 about the need to reduce the threshold value of the correlation coefficient, the operator decreases the specified value by making changes using block 3.4.
Действия в блоках 4.1-5.1-4.3-4.2 продолжаются до тех пор, пока не будет выполнено условие в блоке 5.1.Actions in blocks 4.1-5.1-4.3-4.2 continue until the condition in block 5.1 is met.
Если условие в блоке 5.1 выполнено, то с третьего выхода блока 5.1 передаются номера сигнатур, которые необходимо использовать при функционировании системы мониторинга на первый вход блока синтеза и конфигурации системы мониторинга (блок 5.2).If the condition in block 5.1 is satisfied, then from the third output of block 5.1 the signature numbers are transmitted, which must be used during the operation of the monitoring system to the first input of the synthesis and configuration block of the monitoring system (block 5.2).
В блоке 5.2 формируются управляющие команды необходимые для подключения указанных сигнатур определения компьютерных атак. С первого выхода блока 5.2 команда на подключения требуемых сигнатур передается на первый вход блока коммутации сигнатур (блок 6.1).In block 5.2, the control commands necessary for connecting the specified signatures for detecting computer attacks are formed. From the first output of block 5.2, the command to connect the required signatures is transmitted to the first input of the signature switching unit (block 6.1).
С первого выхода блока 6.1 на входы блоков сигнатур (блок 6.2) передаются управляющие команды на коммутацию сигнатур с первым входом блока идентификации и классификации атак (блок 6.3).From the first output of block 6.1 to the inputs of the signature blocks (block 6.2), control commands are transmitted for switching signatures with the first input of the attack identification and classification block (block 6.3).
После коммутации требуемых сигнатур (блок 6.2) с блоком 6.3, со второго выхода блока 6.1 на первый вход блока ручного управления (блок 3.1) поступает сообщение о готовности устройства обнаружения компьютерных атак к работе.After switching the required signatures (block 6.2) with block 6.3, a message is received from the second output of block 6.1 to the first input of the manual control block (block 3.1) that the computer attack detection device is ready for operation.
После поступления на вход блока 3.1 сообщения о готовности к работе устройства обнаружения компьютерных атак, оператор принимает решение о переключении входящих и исходящих информационных потоков с первого входа блока 4.1 на второй вход блока 6.3.After a message about the readiness of the computer attack detection device for operation is received at the input of block 3.1, the operator makes a decision to switch incoming and outgoing information flows from the first input of block 4.1 to the second input of block 6.3.
С первого выхода блока 3.1 на второй вход блока 2 передается команда о переключении входящих и исходящих информационных потоков с первого входа блока 4.1 на второй вход блока 6.3.From the first output of block 3.1 to the second input of
При поступлении на второй вход блока 6.3 входящих и исходящих информационных потоков осуществляется выделение и анализ статистических данных указанных потоков и сравнивают с подключенными сигнатурами блока 6.2 с целью выявления компьютерных атак.When incoming and outgoing information flows arrive at the second input of block 6.3, the selection and analysis of the statistical data of these flows is carried out and compared with the connected signatures of block 6.2 in order to detect computer attacks.
Результаты идентификации и классификации атак передаются с первого выхода блока 6.3 на второй вход блока 3.2.The results of identification and classification of attacks are transmitted from the first output of block 6.3 to the second input of block 3.2.
Если по результатам идентификации и классификации атак, устройство обнаружения компьютерных атак не смогло с требуемой достоверностью классифицировать атаку, формируется соответствующее и передается со второго выхода блока 6.3 на третий вход блока 3.1.If, based on the results of identification and classification of attacks, the computer attack detection device could not classify the attack with the required reliability, a corresponding one is generated and transmitted from the second output of block 6.3 to the third input of block 3.1.
При поступлении на второй вход блока 3.1 сообщения, оператор, формирует управляющую команду на дополнительную активацию сигнатур и передает со второго выхода блока 3.1 на первый вход блока выбора дополнительных сигнатур (блок 5.3), а так же передает статистические значения входящего и исходящего трафик которые устройство обнаружения компьютерных атак не смогло классифицировать.When a message arrives at the second input of block 3.1, the operator generates a control command for additional activation of signatures and transmits from the second output of block 3.1 to the first input of the block for selecting additional signatures (block 5.3), and also transmits the statistical values of the incoming and outgoing traffic that the detection device computer attacks failed to classify.
В блоке 5.3 на основании принятой управляющей команды и значений входящего и исходящего трафика и имеющихся не подключенных к устройству 6 сигнатур поступающих на второй вход блока 5.3 классифицируют атаку.In block 5.3, the attack is classified based on the received control command and the values of the incoming and outgoing traffic and the signatures not connected to the
После классификации атаки с выхода блока 5.3 на вход блока 3.2 передается сообщение о классифицированной атаки.After the classification of the attack, a message about the classified attack is transmitted from the output of block 5.3 to the input of block 3.2.
Полученное сообщение о классификации атаки из блока 3.2 передается в блок 3.1, где оператор принимает решение об отключении выбранной в блоке 5.3 неактивированной сигнатуры.The received message on the classification of the attack from block 3.2 is transmitted to block 3.1, where the operator decides to disable the non-activated signature selected in block 5.3.
Расчёт эффективности заявленной системы проводился следующим образом:The calculation of the efficiency of the declared system was carried out as follows:
Определение времени проверки принимаемого пакета для способа прототипа проводился согласно известного выражения (Гречишников Е.В., Добрышин М.М., Берлизев А.В. Предложение по совершенствованию системы мониторинга инцидентов информационной безопасности / Сборник трудов II Межвузовской научно-практической конференции Проблемы технического обеспечения войск в со-временных условиях: Военная академия связи. – Санкт-Петербург. –2017. – С.31-35.).Determination of the verification time of the received package for the prototype method was carried out according to the well-known expression (Grechishnikov E.V., Dobryshin M.M., Berlizev A.V.Proposal for improving the system for monitoring information security incidents / Proceedings of the II Interuniversity Scientific and Practical Conference Problems of technical support troops in modern conditions: Military Academy of Communications. - St. Petersburg. –2017. - pp. 31-35.).
где 
Из анализа выражения 1 следует, что для неизменной частоте процессора при сокращении количества сигнатур время проверки снижается.From the analysis of
На основании этого, следует вывод, что заявленная адаптивная система мониторинга информационно-технических воздействий обеспечивает снижение времени проверки системой мониторинга проверяемых пакетов входящего и исходящего потока данных.Based on this, it follows that the declared adaptive system for monitoring information and technical impacts provides a reduction in the time for checking the checked packets by the monitoring system of the incoming and outgoing data flow.
За счет выявления сильных корреляционных связей между параметрами сетевого трафика [Гречишников Е. В., Добрышин М. М., и др. Предложения по повышению быстродействия распределенной системы мониторинга компьютерных сетей интегрированных в единую сеть электросвязи / Вопросы оборонной техники. Серия 16. Технические средства противодействия терроризму. № 3-4 (105-106), Москва 2017 г. – С. 24-29.] возможно определить такое количество сигнатур, при которых обеспечивается требуемое быстродействие и обеспечивает требуемую задержку потока данных, что обеспечивает требуемое качество связи.By identifying strong correlations between the parameters of network traffic [Grechishnikov E. V., Dobryshin M. M., et al. Proposals to improve the performance of a distributed monitoring system of computer networks integrated into a single telecommunication network / Questions of defense technology. Series 16. Technical means of countering terrorism. No. 3-4 (105-106), Moscow 2017 - pp. 24-29.] It is possible to determine the number of signatures at which the required performance is provided and the required delay of the data flow, which ensures the required quality of communication.
Сокращение количества сигнатур не влияет на защищенность узла связи в связи с тем, что при выявлении фактов ведения информационно-технических воздействий выявленные пакеты выделяются из обрабатываемого информационного потока и анализируются отдельно от основного трафика.Reducing the number of signatures does not affect the security of the communication site due to the fact that when the facts of information and technical impacts are detected, the identified packets are separated from the processed information flow and analyzed separately from the main traffic.
Claims (1)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2019123565A RU2728763C1 (en) | 2019-07-26 | 2019-07-26 | Adaptive information and technical monitoring system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2019123565A RU2728763C1 (en) | 2019-07-26 | 2019-07-26 | Adaptive information and technical monitoring system |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| RU2728763C1 true RU2728763C1 (en) | 2020-07-31 |
Family
ID=72085888
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| RU2019123565A RU2728763C1 (en) | 2019-07-26 | 2019-07-26 | Adaptive information and technical monitoring system |
Country Status (1)
| Country | Link |
|---|---|
| RU (1) | RU2728763C1 (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2782711C1 (en) * | 2021-12-23 | 2022-11-01 | Федеральное государственное казенное военное образовательное учреждение высшего образования Академия Федеральной службы охраны Российской Федерации | Computer attack detection system with adaptive change of complex rules |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7681235B2 (en) * | 2003-05-19 | 2010-03-16 | Radware Ltd. | Dynamic network protection |
| US7966658B2 (en) * | 2004-04-08 | 2011-06-21 | The Regents Of The University Of California | Detecting public network attacks using signatures and fast content analysis |
| US8239944B1 (en) * | 2008-03-28 | 2012-08-07 | Symantec Corporation | Reducing malware signature set size through server-side processing |
| RU133954U1 (en) * | 2013-04-29 | 2013-10-27 | Федеральное государственное образовательное бюджетное учреждение высшего профессионального образования "Санкт-Петербургский государственный университет телекоммуникаций им. проф. М.А. Бонч-Бруевича" (СПбГУТ) | NETWORK SECURITY DEVICE |
| RU2682108C1 (en) * | 2018-02-13 | 2019-03-14 | Федеральное государственное казенное военное образовательное учреждение высшего образования Академия Федеральной службы охраны Российской Федерации | Method of using options of countermeasure of network and stream computer intelligence and network attacks and system therefor |
-
2019
- 2019-07-26 RU RU2019123565A patent/RU2728763C1/en active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7681235B2 (en) * | 2003-05-19 | 2010-03-16 | Radware Ltd. | Dynamic network protection |
| US7966658B2 (en) * | 2004-04-08 | 2011-06-21 | The Regents Of The University Of California | Detecting public network attacks using signatures and fast content analysis |
| US8239944B1 (en) * | 2008-03-28 | 2012-08-07 | Symantec Corporation | Reducing malware signature set size through server-side processing |
| RU133954U1 (en) * | 2013-04-29 | 2013-10-27 | Федеральное государственное образовательное бюджетное учреждение высшего профессионального образования "Санкт-Петербургский государственный университет телекоммуникаций им. проф. М.А. Бонч-Бруевича" (СПбГУТ) | NETWORK SECURITY DEVICE |
| RU2682108C1 (en) * | 2018-02-13 | 2019-03-14 | Федеральное государственное казенное военное образовательное учреждение высшего образования Академия Федеральной службы охраны Российской Федерации | Method of using options of countermeasure of network and stream computer intelligence and network attacks and system therefor |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2782711C1 (en) * | 2021-12-23 | 2022-11-01 | Федеральное государственное казенное военное образовательное учреждение высшего образования Академия Федеральной службы охраны Российской Федерации | Computer attack detection system with adaptive change of complex rules |
| RU2813461C1 (en) * | 2023-03-24 | 2024-02-12 | Федеральное государственное казенное военное образовательное учреждение высшего образования Академия Федеральной службы охраны Российской Федерации | Attack detection system with adaptive distribution of computing resources |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Robinson et al. | Ranking of machine learning algorithms based on the performance in classifying DDoS attacks | |
| EP2953298B1 (en) | Log analysis device, information processing method and program | |
| EP2863611B1 (en) | Device for detecting cyber attack based on event analysis and method thereof | |
| Khalaf et al. | An adaptive protection of flooding attacks model for complex network environments | |
| Fu et al. | On recognizing virtual honeypots and countermeasures | |
| JP2015076863A (en) | Log analyzing device, method and program | |
| Osanaiye et al. | Change-point cloud DDoS detection using packet inter-arrival time | |
| Gómez et al. | Design of a snort-based hybrid intrusion detection system | |
| Rahal et al. | A distributed architecture for DDoS prediction and bot detection | |
| US20170134400A1 (en) | Method for detecting malicious activity on an aircraft network | |
| Lee et al. | Real-time analysis of intrusion detection alerts via correlation | |
| Wang et al. | Detecting flooding DDoS attacks in software defined networks using supervised learning techniques | |
| RU2682108C1 (en) | Method of using options of countermeasure of network and stream computer intelligence and network attacks and system therefor | |
| Ibrahim et al. | Performance comparison of intrusion detection system using three different machine learning algorithms | |
| Dinh et al. | Abnormal SDN switches detection based on chaotic analysis of network traffic | |
| CN108040075B (en) | APT attack detection system | |
| RU2728763C1 (en) | Adaptive information and technical monitoring system | |
| Quintero González et al. | Bungee-ml: A cross-plane approach for a collaborative defense against ddos attacks | |
| Carvalho et al. | New programmable data plane architecture based on p4 openflow agent | |
| Khalid et al. | A Survey on the Latest Intrusion Detection Datasets for Software Defined Networking Environments | |
| Raheja et al. | Rule‐Based Approach for Botnet Behavior Analysis | |
| Xing et al. | A deep convnet-based countermeasure to mitigate link flooding attacks using software-defined networks | |
| Dennis et al. | Machine-learning and statistical methods for ddos attack detection and defense system in software defined networks | |
| RU2782711C1 (en) | Computer attack detection system with adaptive change of complex rules | |
| Kecskés et al. | Monitoring 5g networks in security operation center |