СПОСОБ ИССЛЕДОВАНИЯ КОМПЬЮТЕРНЫХ ИНЦИДЕНТОВ НА ОСНОВЕ КЛАСТЕРИЗАЦИИ АТРИБУТОВ

Аннотация

При проведении внутреннего аудита средств вычислительной техники важной задачей является снижение объемов хранимой и обрабатываемой информации. Требуется выделять группы схожих по некоторым параметрам информационных объектов и анализировать их отдельно. Подходящим инструментом для этого является оптимальная кластеризация данных. В данной работе представлен способ группирования файлов на жестком диске, основанный на алгоритме иерархической кластеризации Ланса-Вильямса. Файлы, относящиеся к одному компьютерному инциденту, будут находиться в одном и том же кластере. Данное утверждение основано на предположении, что на исследуемом устройстве пользователь совершал ряд связанных между собой действий по времени или по другому внешнему атрибуту или группе атрибутов (например, просмотр подряд некоторого числа изображений, составление и затем отправка электронного письма). В результате кластеризации эти данные сгруппируются в один кластер, в дальнейшем их можно будет представлять компьютерному криминалисту как потенциально совершенный компьютерный инцидент. Для апробации представленного способа был проведен эксперимент, в ходе которого были получены результаты, показывающие, что на тестовой системе файлы, созданные и просмотренные в один и тот же промежуток времени, оказались в одном кластере как при большом числе кластеров выходных данных способа, так и при малом.