Выбор оптимального множества параметров оценки

В настоящие время используется эвристический метод выбора множества параметров измерений защищаемой системы. Основная сложность в выборе данного множества состоит в том, что различное сочетание параметров измерений зависит от типа обнаруживаемого вторжения: одна и та же совокупность параметров не является универсальной для всех типов вторжений.

Одним из самых предпочтительных решений в последнее время является определение необходимых параметров оценки в процессе функционирования системы. Трудность в применении данного способа проявляется в задаче эффективного динамического формирования параметров оценки. Необходимо учитывать, что размер области поиска экспоненциально зависит от мощности начального множества: если имеется начальный список из N параметров, актуальных для предсказываемых вторжений, то количество подмножеств данного списка составляет 2^N. Именно поэтому использование алгоритмов перебора для поиска оптимального множества является невозможным.

Ещё одно возможное решение – использование генетического алгоритма. Ещё одно возможное решение – использование генетического алгоритма. Принцип работы данного метода заключается в случайном подборе и комбинировании исходных параметров с использованием механизмов, имитирующих естественный отбор в природе.

2.2.1.2. Определение общего показателя «аномальности»

Существует несколько возможных методов определения общего показателя «аномальности», один из которых основан на использовании ковариантных матриц, а другой – на статистике Байеса.

Метод «статистика Байеса». Дано n -измерений, которые используются для определения факта вторжения. Тогда А₁, А₂ … А_n оценивают различные аспекты защищаемой системы, например, количество нарушений памяти, нажатие определённых комбинаций клавиш или активность ввода/вывода. А_i может принимать два значения:

0 – измерение находится в пределах допустимых значений;

1 – измерение аномальное.

Переменная I означает «гипотезу» о нахождения в системе процессов вторжения.

Тогда достоверность и чувствительность каждого конкретного измерения определяется следующими показателями:

При помощи теоремы Байеса вычисляют вероятность:

При предположении, что А₁, А₂ … А_n условно не зависят друг от друга, а зависят только от гипотезы I, для упрощения вычислений, получат соотношения:

На основе значений измерения аномалий и вероятности появления каждого из измерений «аномальности», определяют вероятность вторжения. Но для получения более корректных и реалистичных данных необходимо учитывать, что А₁, А₂ … А_n зависят друг от друга.

Ковариантные матрицы используют для того, чтобы учесть все зависимости между измерениями. Если измерения А₁, А₂ … А_n представляет собой вектор А, то составное измерение аномалии определяется как , где С является ковариантной матрицей, представляющей зависимость между каждой парой измерений.