За более чем 120-летнюю историю развития вопроса идентификации автора неизвестного текста отечественными и зарубежными исследователями было предложено множество методов определения автора текста, начиная от простого подсчета количества определенных слов в сравниваемых текстах и заканчивая разработками в области искусственного интеллекта. У экспертов, занимающихся проблемами идентификации автора неизвестного текста, до последнего времени популярностью пользовались методы, основывающиеся на предположении о том, что каждый автор обладает набором специфических стилистических приемов, характерными языковыми особенностями (лексическими, грамматическими, фразеологическими), прослеживающимися во всех произведениях, благодаря которым его можно опознать.

Внимание экспертов также привлекала любая автобиографическая информация, содержащаяся в тексте, «любимые» слова и т.п. Трудность использования этихметодов заключается в том, что характерных особенностей у текста, равно как и у автора, может и не быть. Кроме того, если текст имеет выраженные особенности то, существует вероятность подмены типичных особенностей индивидуального стиля автора. К недостаткам следует также отнести и тот факт, что выявление отличительных черт авторского стиля носит субъективный характер, так как зависит от личности исследователя. Читать далее »

Проведенный обзор и сравнительный анализ методов и систем обнаружения атак позволяют сделать вывод о том, что в настоящий момент не существует открытой общедоступной системы обнаружения, которая обладала бы адаптивностью к неизвестным атакам.

Несмотря на наличие большого числа методов обнаружения аномалий, существенное количество ложных срабатываний, слабая устойчивость и неверифицируемость не позволяет их использовать в системах общего назначения. Кроме того, до сих пор использование методов обнаружения аномалий ограничено исследовательскими и узкоспециализированными системами.

Например, делаются попытки использовать методы классификации данных, такие как кластерный анализ и нейронные/иммунные сети. Главный недостаток этих методов, в сравнении с экспертными методами и анализом систем переходов, в принципиальной невозможности верификации результата (выхода) – классы поведения строятся на основе обучения и не представляется возможным аналитически рассчитать уровень ошибок I и II рода для таких методов, а также проанализировать корректность принимаемых решений.

Для решения данной в настоящее время в различных IT- компаниях, университетах и институтах по всему миру, в том числе и у нас в Россиии идет активная разработка различных вариантов и алгоритмов адаптивных методов обнаружения атак, которые при низкой (линейной) вычислительной сложности, устойчивости и верифицируемости будут иметь низкий уровень ложных срабатываний. Также можно сделать вывод о том, что в области защиты от атак наблюдается переход от обнаружения атак к предотвращению атак: все рассмотренные открытые СОА уже включают в себя средства реагирования на атаки, которые в обязательном порядке включают в себя разрыв соединений и взаимодействие с внешними средствамизащиты – межсетевыми экранами и т.п. Данная тенденция, в сочетании с постоянным повышением пропускной способности каналов передачи данных, предъявляет повышенные требования к вычислительной сложности алгоритмов обнаружения атак. При этом большинство методов обнаружения аномалий имеет высокую вычислительную сложность по сравнению с наиболее распространенным сигнатурным методом. Читать далее »

SnortNet – распределенное расширение системы Snort, целью которого является придание ей дополнительных возможностей по масшабируемости и расширяемости.

Система состоит из нескольких программных модулей: сенсоров, модулей пересылки сообщений и станции мониторинга. Система позволяет осуществлять мониторинг сетевого трафика и осуществлять информирование станции мониторинга обо всех обнаруженных аномалиях в поведении сетевых объектов. Система использует Snort в качестве сетевого сенсора. В качестве протокола обмена данными система использует протокол Internet Alert Protocol (Протокол передачи сигналов тревоги – IAP). Для шифрования каналов передачи данных, аутентификации и контроля доступа система использует библиотеки SSL и TCP wrappers.

Обнаружение атак производится сенсорами Snort , после чего сообщения отправляются по протоколу IAP через модули пересылки сообщений (proxy) на станцию мониторинга. Модули пересылки сообщений и станцию мониторинга рекомендуется располагать в демилитаризованной зоне сети

Система Prelude является системой с открытыми исходными текстами. Начало разработки – 1998 год. Она изначально задумывалась как гибридная СОА, которая могла бы помочь администратору сети отслеживать активность как на уровне сети, так и на уровне отдельных узлов. Система распределенная и состоит из следующих компонентов :

  • сетевые сенсоры – различные сенсоры, анализирующие данные на уровне сети на основе экспертного анализа. Сенсоры генерируют сообщения об обнаружении аномалий и отправляют их модулям управления. Система Prelude имеет собственную базу сигнатур атак, а также может использовать сигнатуры в формате системы Snort, что позволяет эффективно обновлять базу сигнатур атак;
  • системные сенсоры – различные сенсоры уровня системы, анализирующие журналы регистрации ОС, приложений. Сенсоры генерируют сообщения об обнаружении аномалий и отправляют их модулям управления. Существующий набор сенсоров позволяет анализировать данные журналов регистрации таких систем и приложений как межсетевй экран IPFW, входящий в состав ОС FreeBSD, NetFilter ОС Linux 2.4.x, маршрутизаторы Cisco и Zyxel, GRSecurity; типовые сервисы OC UNIX.;
  • модули управления – процессы, которые получают и обрабатывают сообщения сенсоров. Различаются следующие виды модулей управления:
    -    модули журнализации – отвечают за регистрацию сообщений в журналах регистрации или базах данных. В настоящее время реализованы модули для MySQL, PostgreSQL;
    -    модули реагирования – анализируют сообщение и генерируют возможную ответную реакцию СОА на атаку. Возможны такие виды реакции как блокирование нарушителя на межсетевом экране (NetFilter, IPFilter). В дальнейшем возможны такие типы реакции как изоляция нарушителя и сужение пропускной способности канала нарушителя.
  • агенты реагирования – реализуют сгенерированную менеджером реакцию на атаку; интерфейс – основан на протоколе http.

Предоставляет возможность получать статистику и управлять системой при помощи web-браузера.

У системы Prelude есть несколько особенностей, которые отличают ее от других современных некоммерческих СОА. Система везде, где возможно, построена на использовании открытых стандартов. Так, для обмена сообщениями используется формат IDMEF (Intrusion Detection Message Exchange Format), оптимизированный для высокоскоростной обработки. Это позволяет в дальнейшем интегрировать компоненты в системы сторонних производителей и наоборот. Читать далее »

Система Snort является классическим продуктом с открытыми исходными текстами. Разработку начал один автор, но за счет открытой архитектуры и исходных текстов, система стала довольно быстро развиваться благодаря помощи других разработчиков, и, кроме того, интегрироваться с прочими программными продуктами, такими как базы данных для ведения журналов обнаружения, анализаторы журналов регистрации.

Snort называется автором сетевой системой обнаружения атак. Это прежде всего означает, что система обнаруживает атаки исключительно на основе анализа сетевого трафика. Основным методом обнаружения атак, используемым в системе, является обнаружение злоупотреблений на основе описания сигнатур атак. В системе используется простой язык описания сигнатур атак, который полностью описан в документации и позволяет администраторам системы дополнять базу сигнатур своими сигнатурами. Каждое правило на этом языке состоит из двух частей: условие применения и действие.

Пример правила системы Snort:
alert tcp any any -> 10.1.1.0/24 80 (content: «/cgi-bin/phf; msg: «PHF probe!»;)
Это правило определяет, что любой сегмент TCP, направленный на порт 80 на любой адрес в сети 10.1.1.0/24, и при этом имеющий в поле данных строку «/cgi-bin/phf’, является подозрительным и должно быть послано уведомление администратору.
Кроме того, в последних версиях системы появилась специальная конструкция языка сигнатур, позволяющая классифицировать сетевой трафик по степени потенциальной опасности. Степень опасности определяется экспертом, который формирует сигнатуру атаки. Читать далее »

Информационной системой (или информационно-вычислительной системой) называют совокупность взаимосвязанных аппаратно-программных средств для автоматизации накопления и обработки информации. В информационную систему данные поступают от источника информации. Эти данные отправляются на хранение либо претерпевают в системе некоторую обработку и затем передаются потребителю.

Защищённая информационная система — это система, реализующая информационную модель предметной области, чаще всего — какой-либо области человеческой деятельности. Защищённая информационная система должна обеспечивать: безопасное получение (ввод или сбор), хранение, поиск, передачу и обработку (преобразование) информации.

Между потребителем и собственно информационной системой может быть установлена обратная связь. В этом случае информационная система называется замкнутой. Канал обратной связи необходим, когда нужно учесть реакцию потребителя на полученную информацию.

Информационная система состоит из баз данных, в которых накапливается информация, источника информации, аппаратной части ИС, программной части ИС, потребителя информации.

СУБД (система управления базами данных) – это специальная программа или комплекс программ, с помощью которых можно администрировать или заниматься мониторингом каких-либо данных. Фактически, СУБД призваны манипулировать данными.

СУБД могут быть: сетевыми, иерархическими, реляционными – все зависит от типа базы данных. К современным СУБД предъявляются следующие требования:

1. масштабируемость — отсутствие существенного снижения скорости выполнения пользовательских запросов при пропорциональном росте количества запросов и аппаратных ресурсов используемых данной СУБД (таких как объем оперативной памяти, количество процессоров и серверов);
2. доступность — возможность всегда выполнить запрос;
3. надежность — минимальная вероятность сбоев, наличие средств восстановления данных после сбоев, инструментов резервного копирования и дублирования данных (в последнее время производители СУБД нередко предлагают инструменты, позволяющие осуществлять подобные операции, не прерывая работу пользователей);
4. управляемость — простота администрирования, наличие средств автоматического конфигурирования (типичный современный набор средств администрирования включает средства создания баз данных и их объектов, инструменты описания правил репликации данных между различными серверами, утилиты управления пользователями, группами и их правами, средства мониторинга событий, средства просмотра планов выполнения запросов, утилиты миграции из других СУБД);
5. наличие средств защиты данных от потери и несанкционированного доступа;
6. поддержка доступа к данным с помощью Web-служб;
7. поддержка стандартных механизмов доступа к данным (таких как ODBC, JDBC, OLE DB, ADO .NET), позволяющая создавать приложения для СУБД с помощью различных средств разработки.

Несоответствие СУБД какому-либо из этих требований приводит к тому, что даже у неплохой по другим потребительским свойствам СУБД область применения оказывается весьма ограниченной. Так, СУБД с плохой масштабируемостью, успешно применявшаяся при небольшом объеме обрабатываемых данных, оказывается непригодной в случае увеличения их количества.

Отсутствие необходимых административных утилит также нередко приводит к отказу от применения некоторых СУБД. Плохие масштабируемость и доступность влекут за собой дополнительные затраты рабочего времени сотрудников, простои, а также потерю компанией клиентов, отчаявшихся дождаться ответа на заданный по телефону вопрос или на введенный на Web-сайте запрос.

Отсутствие поддержки серверного кода приводит к тому, что СУБД, с успехом применяющаяся на корпоративном Web-сайте, не может быть использована для создания других внутрикорпоративных приложений. Отсутствие поддержки стандартных механизмов доступа к данным может автоматически привести к тому, что использующие средства разработки, ориентированные на эти механизмы, откажутся применять данную СУБД. Именно поэтому лидеры рынка корпоративных СУБД стремятся производить продукты, удовлетворяющие всем вышеперечисленным требованиям. Кроме того, как правило, подобные продукты существуют для нескольких платформ, а нередко и в разных редакциях (включая даже бесплатные), предназначенных для решения различных задач.

Анализ современных информационных систем (MBS Navision, MBS Axapta, SAP, 1С и другие.)  позволил выявить их типовой состав :

1.    Данные (от лат. data) — это представление фактов и идей в формализованном виде, пригодном для передачи и обработки в некотором информационном процессе.
2.    Информация – это сведения о ком-либо или о чем-либо получаемые из внешнего мира с помощью различных средств. Информация (лат. informatio — разъяснение, изложение, осведомлённость) — одно из наиболее общих понятий науки, обозначающее некоторые сведения, совокупность каких-либо данных, знаний и т. п
3.    Знания – совокупность данных, фактов, сведений и правил вывода о мире, включающих в себя информацию о свойствах объектов, закономерностях процессов и явлений, а также правилах использования этой информации для принятия решений. Правила использования включают систему причинно-следственных связей. Главное отличие знаний от данных состоит в их активности, то есть появление в базе новых фактов или установление новых связей может стать источником изменений в принятии решений.
4.    База Данных (БД) — структурированный организованный набор данных, описывающих характеристики каких-либо физических или виртуальных систем.
5.    База знаний — это особого рода база данных, разработанная для управления знаниями (метаданными), то есть сбором, хранением, поиском и выдачей знаний.
6.    Программное обеспечение  — наряду с аппаратными средствами, важнейшая составляющая информационных технологий, включающая компьютерные программы и данные, предназначенные для решения определённого круга задач и хранящиеся на машинных носителях. Программное обеспечение представляет собой либо данные для использования в других программах, либо алгоритм, реализованный в виде последовательности инструкций для процессора.
7.    Экспертная система – компьютерная программа, способная заменить специалиста-эксперта в разрешении проблемной ситуации. ЭС начали разрабатываться исследователями искусственного интеллекта в 1970-х годах, а в 1980-х получили коммерческое подкрепление. Экспертные системы рассматриваются совместно с базами знаний как модели поведения экспертов в определенной области знаний с использованием процедур логического вывода и принятия решений, а базы знаний — как совокупность фактов и правил логического вывода в выбранной предметной области деятельности.
8.    Локальные сети – сети, объединяющие все компьютеры одной системы. По локальной сети удобно передавать данные.
9.    Информационная безопасность – деятельность, направленная на обеспечение защищенного состояния объекта (Национальный стандарт РФ «Защита информации. Основные термины и определения» (ГОСТ Р 50922-2006)).

Информационные системы можно классифицировать по нескольким признакам [8]:
1. Классификация информационных систем по степени автоматизации:
1.1 Ручные информационные системы характеризуются отсутствием современных технических средств переработки информации и выполнением всех операций человеком. Например, о деятельности менеджера в фирме, где отсутствуют компьютеры, можно говорить, что он работает с ручной ИС.
1.2 Автоматизированные информационные системы (АИС) — наиболее популярный класс ИС. Предполагают участие в процессе накопления, обработки информации баз данных, программного обеспечения, людей и технических средств.
1.3 Автоматические информационные системы выполняют все операции по переработке информации без участия человека, различные роботы. Примером автоматических информационных систем являются некоторые поисковые машины Интернет, например Google, где сбор информации о сайтах осуществляется автоматически поисковым роботом и человеческий фактор не влияет на ранжирование результатов поиска.
2. Классификация информационных систем по характеру использования информации:
2.1 Информационно-поисковые системы — система для накопления, обработки, поиска и выдачи интересующей пользователя информации.
2.2 Информационно-аналитические системы — класс информационных систем, предназначенных для аналитической обработки данных с использованием баз знаний и экспертных систем.
2.3 Информационно-решающие системы — системы, осуществляющие накопления, обработки и переработку информации с использованием прикладного программного обеспечения.
2.4     Управляющие информационные системы с использованием баз данных и прикладных пакетов программ.
2.5 Советующие экспертные информационные системы, использующие прикладные базы знаний,
2.6 Ситуационные центры (информационно-аналитические комплексы)
3. Классификация информационных систем по архитектуре:
3.1 Локальные ИС (работающие на одном электронном устройстве, не взаимодействующем с сервером или другими устройствами)
3.2 Клиент-серверные ИС (работающие в локальной или глобальной сети с единым сервером)
3.3 Распределенные ИС (децентрализованные системы в гетерогенной многосерверной сети)
4. Классификация информационных систем по сфере применения:
4.1    Информационные системы организационного управления — обеспечение автоматизации функций управленческого персонала.
4.2 Информационные  системы управления техническими процессами — обеспечение управления механизмами, технологическими режимами на автоматизированном производстве.
4.3 Автоматизированные системы научных исследований — программно-аппаратные комплексы, предназначенные для научных исследований и испытаний.
4.4 Информационные   системы   автоматизированного проектирования — программно-технические системы, предназначенные для выполнения проектных работ с применением математических методов.
4.5 Автоматизированные обучающие системы — комплексы программно-технических, учебно-методической литературы и электронные учебники, обеспечивающих учебную деятельность.
4.6 Интегрированные информационные системы – обеспечение автоматизации большинства функций предприятия.
4.7 Экономическая  информационная система – обеспечение автоматизации сбора, хранения, обработки и выдачи необходимой информации, предназначенной для выполнения функций управления.
5. Классификация информационных систем по признаку структурированности решаемых задач:
5.1 Модельные информационные системы позволяют установить диалог с моделью в процессе ее исследования (предоставляя при этом недостающую для принятия решения информацию), а также обеспечивает широкий спектр математических, статистических, финансовых и других моделей, использование которых облегчает выработку стратегии и обьективную оценку альтернатив решения. Пользователь может получить недостающую ему для принятия решения информацию путем .
5.2 Использование экспертных информационных систем связано с обработкой знаний для выработки и оценки возможных альтернатив принятия решения пользователем. Реализуется на двух уровнях:
5.2.1 Первый уровень (концепция «типового набора альтернатив») – сведение проблемных ситуаций к некоторым однородным классам решений. Экспертная поддержка на этом уровне реализуется созданием информационного фонда хранения и анализа типовых альтернатив.
5.2.2 Второй уровень – генерация альтернативы на основе правил преобразования и процедур оценки синтезированных альтернатив,используя базу имеющихся в информационном фонде данных.
5.3 Экспертные системы представляют совокупность фактов, сведений и данных с системой правил логического вывода информации на основании логической модели баз данных и баз знаний. Базы данных содержат совокупность конкретных данных, а базы знаний – совокупность конкретных и обобщенных сведений в рамках логической модели базы знаний.