'

Система анализа и выявления корреляций в потоке событий безопасности

Понравилась презентация – покажи это...





Слайд 0

Система анализа и выявления корреляций в потоке событий безопасности Пятигорский И.С. Руководитель: к.ф.м.н. Петровский М.И.


Слайд 1

Введение IDS = Intrusion Detection System Любую систему, которая может посылать сигналы о возможном нарушение безопасности будем считать IDS Такие сигналы будем называть событиями безопасности


Слайд 2

Поток событий безопасности IDS фокусируются на событиях низкого уровня События в потоке имеют разное качество и достоверность Необходимо выявлять полезную информацию из всего множества событий


Слайд 3

Актуальность Сейчас IDS из экзотики становятся стандартом защиты компьютерных сетей Во многих случаях для улучшения защищенности устанавливаются несколько IDS Каждая из IDS генерирует множество событий, не все из которых бывают важными


Слайд 4

Актуальность Проблемы с большим объемом генерируемого потока событий признаны мировым сообществом В последние годы ведутся активные исследования способов использования корреляции событий безопасности для получения более точной, высокоуровневой информации


Слайд 5

Состояние исследований Существующие исследования концентрируются на организации процесса корреляции, а не на алгоритмах В качестве алгоритмов предлагаются простейшие эвристики (совпадение ip адресов) или примитивные статистические алгоритмы


Слайд 6

Стандартная организация процесса События Нормализация Предобработка Верификация Установка приоритетов Воссоздание атаки Шаблон атаки Область применения алгоритмов data mining


Слайд 7

Постановка задачи Создать инструмент, с использованием алгоритмов data-mining, для интеграции нескольких IDS и последующего анализа консолидированного потока событий с целью выявления шаблонов атак.


Слайд 8

Существующие решения Продукты netForensics Реализованные способы корреляции: Статистический подход Подход основанный на правилах Корреляция данных сканера и IDS


Слайд 9

Существующие решения MIRADOR, Hyper-Alerts, Meta-Alerts/Events Используют статистические алгоритмы для обнаружения корреляций OSSIM, GNG, LAMBDA, STATL Сбор данных со многих IDS и корреляция по заданным правилам Каждая из систем предлагает свою нотацию для задания правил


Слайд 10

Общие проблемы Большинство подходов используют предопределенные правила для анализа корреляций Практически все результаты были получены на общеизвестных данных (DARPA, DEFCON)


Слайд 11

Построение решения задачи Предложена система сбора событий OSSIM Собраны тестовые данные со стенда Выбран алгоритм для анализа корреляций Реализовано ПО на основе этого алгоритма для анализа потока событий и создания шаблонов атак


Слайд 12

Система сбора событий Нормализует и обрабатывает события от разных сенсоров (IDS): Snort, Real Secure, Spade, NTOP, Firewall-1, Iptables, Apache, IIS, Cisco Routers Осуществляет верификацию событий в реальном времени Устанавливает приоритеты, используя знания о составе сети


Слайд 13

Тестовые данные Были собраны в локальной сети общежитий МГУ Эмулировалась работа файл-сервера Использовалась версия MS Windows с большим количеством уязвимостей Данные собирались на отдельной машине


Слайд 14


Слайд 15

Эмуляция атак Использовалась система Metasploit Framework 2.0 Была атакована уязвимость сервиса RPC: Microsoft RPC DCOM MSO3-026 С помощью атак был получен доступ к машине с системными правами Выполнялось удаление всех файлов с атакованной машины


Слайд 16

Результаты работы стенда Собрано 850 тысяч событий Из них 450 тысяч относятся к Prey Около 400 тысяч события связанные с проникновением случайных вирусов Около 50 тысяч нормальная активность


Слайд 17

Выбор алгоритма для анализа корреляций Microsoft Sequence Clustering Реализован в составе MS 2005 SSAS Предназначен для анализа «вложенных» (nested) данных Использует фиксированное окно для исторических данных Potential function feature space with Decision Tree (Pf-DT) Требует самостоятельной реализации Превосходит аналоги по точности


Слайд 18

Программная реализация Работает с SQL Server 2005 Позволяет выбирать атрибуты таблицы для анализа Позволяет настраивать Pf-DT Экспортирует выбранные шаблоны в формате OSSIM


Слайд 19

Заключение Построена программная реализация алгоритма Pf-DT для анализа корреляций в потоке событий безопасности и последующего экспорта найденных шаблонов атак в формате OSSIM


×

HTML:





Ссылка: