МЕТОД ВЫЯВЛЕНИЯ АНОМАЛИЙ СЕТЕВОГО ТРАФИКА, ОСНОВАННЫЙ НА ЕГО САМОПОДОБНОЙ СТРУКТУРЕ

Аннотация

Целью данной статьи является представление метода выявления аномалий сетевого трафика, основанного на утверждении о том, что трафик является фракталом. Предположено, что сетевой трафик является самоподобной структурой и моделируется фрактальным броуновским движением. В качестве инструментов при разработке данного метода были применены фрактальный анализ и математическая статистика. Проведен анализ существующих методов выявления сетевых аномалий на предмет их недостатков. Результатом работы является модифицированный метод выявления аномалий сетевого трафика. Данный метод относится к полуконтролируемой методике обнаружения аномалий, что позволяет процессу быть практически автономным от человеческого вмешательства. Кроме того, метод можно отнести к группе статистических методов, что делает его достаточно простым в реализации. В отличие от существующих представленный метод использует выборки оптимальных объемов (т.е. выборки за время, которое является одновременно достаточно малым, чтобы среагировать на аномалию вовремя, но при этом время, которое позволит получить такие выборки, которые будут достаточны для расчета параметра и снизят число ложных срабатываний), полученные за минимальное, но при этом достаточное время. Данный алгоритм выявления аномалий состоит из двух частей: расчета образцов (эталонных значений) и сравнения получаемого трафика с эталоном (анализ аномалий сетевого трафика). Расчет эталонов опирается на вычисление значений параметра самоподобия (параметра Хёрста) для некоторых показателей из заголовков пакетов. Алгоритм поиска аномалий, лежащий в основе метода, может применяться как для поиска входящих аномалий (сетевых атак), так и для поиска аномалий в исходящем трафике (DLP-системы).