Основные определения. Выпускная квалификационная работа дипломированного специалиста

Выпускная квалификационная работа дипломированного специалиста

специальность 100503

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ АВТОМАТИЗИРОВАННЫХ СИСТЕМ

ЛАБОРАТОРНЫЙ СТЕНД ДЛЯ ИЗУЧЕНИЯ ПРИНЦИПОВ РАБОТЫ СИСТЕМЫ ОБНАРУЖЕНИЯ ВТОРЖЕНИЙ. СИГНАТУРНЫЕ МЕТОДЫ АНАЛИЗА

Тула, 2016

РЕФЕРАТ

Дипломный проект студента гр. 230711 Русаковой А.А. Тема «Лабораторный стенд для изучения принципов работы системы обнаружения вторжений. Сигнатурные методы анализа». Проект состоит из пояснительной записки объемом ** листа и графической части из ** листов.

Пояснительная записка содержит ** рисунков, ** формул, ** таблиц, ** литературных источников, ** приложений. Графическая часть содержит ** теоретических чертежей формата А3.

Программная часть (исполняемые и исходные файлы, а также дополнительные текстовые файлы, графические файлы) и графическая часть проекта представлены на 1 диске формата ** емкостью **. Общий объем занимаемой памяти ***Кб.

Файлы исходных текстов, занимающие ***Кб, находятся в каталоге ***. Графическая часть проекта создана с помощью системы Visio 2010 и включает следующие страницы файла *** (***Кб), расположенного в каталоге ***:

***

КЛЮЧЕВЫЕ СЛОВА: СИСТЕМА ОБНАРУЖЕНИЯ ВТОРЖЕНИЙ, МЕТОДЫ ОБНАРУЖЕНИЯ, СИГНАТУРА АТАКИ, ЛАБОРАТОРНЫЙ СТЕНД, АНАЛИЗАТОР ТРАФИКА.

ОСНОВНЫЕ ОПРЕДЕЛЕНИЯ

АТАКА – любое действие нарушителя, приводящее к реализации угрозы, путем использования уязвимостей.

БЕЗОПАСНОСТЬ ИНФОРМАЦИИ – состояние защищенности информации, хранимой и обрабатываемой в автоматизированной системе, от негативного воздействия на нее с точки зрения нарушения ее физической и логической целостности (уничтожения, искажения) или несанкционированного использования.

КРИПТОШЛЮЗ – программно-аппаратный комплекс криптографической защиты трафика данных, голоса, видео на основе шифрования пакетов.

МЕЖСЕТЕВОЙ ЭКРАН – комплекс аппаратных и программных средств в компьютерной сети, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданной политикой безопасности.

СЕТЕВОЙ ИНТЕРФЕЙС – физическое или виртуальное устройство, предназначенное для передачи данных между программами через компьютерную сеть.

СОКЕТ – программный интерфейс для обеспечения информационного обмена между процессами (совокупность IP-адреса компьютера и номера порта).

СИСТЕМА ОБНАРУЖЕНИЯ ВТОРЖЕНИЯ – программные или аппаратные средства выявления фактов неавторизованного доступа к информации и вредоносных действий.

УГРОЗЫ БЕЗОПАСНОСТИ ИНФОРМАЦИИ – события или действия, которые могут вызвать нарушение функционирования автоматизированной системы, связанное с уничтожением или несанкционированным использованием обрабатываемой в ней информации.

ПЕРЕЧЕНЬ СОКРАЩЕНИЙ

АННОТАЦИЯ

В дипломном проекте «Лабораторный стенд для изучения принципов работы системы обнаружения вторжений. Сигнатурные методы анализа» разработан программный продукт, предназначенный для помощи преподавателю в проведении занятий по дисциплине «Системы обнаружения вторжений». В ходе анализа технических требований и проектирования лабораторного стенда были выбраны необходимые инструментальные средства и программные компоненты, проведен расчет эффективности от внедрения данного программного продукта.

Материалы проекта могут быть использованы в учебных заведениях для обеспечения демонстрации принципов работы СОВ студентам.

ABSTRACT

The degree project «The laboratory stand for the study principles of intrusion detection systems. Signature-based methods of analysis» developed a software product designed to help teachers in conducting lessons on the discipline «Intrusion Detection Systems». Necessary instrumental tools and program components were chosen in a course of analyzing technical requirements and projecting the system. Also it calculated the efficiency of the implementation of this software.

Project materials can be used in educational institutions for demonstrating the principles of operation of the IDS to students.

СОДЕРЖАНИЕ

РЕФЕРАТ.. 2

ОСНОВНЫЕ ОПРЕДЕЛЕНИЯ.. 3

ПЕРЕЧЕНЬ СОКРАЩЕНИЙ.. 4

АННОТАЦИЯ.. 5

ABSTRACT.. 5

СОДЕРЖАНИЕ.. 6

ВВЕДЕНИЕ.. 8

1. АНАЛИЗ ЗАДАЧИ ПРОЕКТИРОВАНИЯ.. 10

1.1. Основные функции программного обеспечения. 10

1.2. Выбор инструментария и сторонних библиотек. 10

1.3. Обзор прототипов системы.. 12

1.3.1. ViPNET IDS 2000. 12

1.3.2. Система обнаружения вторжений Snort 14

2. ТЕОРЕТИЧЕСКИЕ ОСНОВЫ СИСТЕМ ОБНАРУЖЕНИЯ ВТОРЖЕНИЙ.. 15

2.1. Технология обнаружения вторжений.. 15

2.2. Классификация систем обнаружения вторжений.. 16

2.2.1. Обнаружение аномалий в защищаемой системе и обнаружение злоупотреблений. 16

2.2.1.1. Выбор оптимального множества параметров оценки. 18

2.2.1.2. Определение общего показателя «аномальности». 19

2.2.1.3. Методы обнаружения аномалий. 20

2.2.1.4. Методы обнаружения вторжений. 23

2.2.2. Системы обнаружения вторжений на уровне сети или хоста. 25

3. ОПИСАНИЕ ЛАБОРАТОРНОГО СТЕНДА.. 25

3.1. Описание интерфейса программы.. 25

3.2. Сигнатуры атак. 29

3.2.1. TCP-сканирование (SYN) 29

3.2.2. ICMP-flood. 34

3.2.3. SMURF-атака. 38

3.2.4. LAND-атака. 40

3.2.5. Атака на сервисы Windows. 41

3.2.6. Запрещённые комбинации TCP-флагов. 43

4. ТЕХНОЛОГИЧЕСКИЙ РАЗДЕЛ.. 44

4.1. Руководство программиста.. 44

4.1.1. Описание входных данных. 44

4.1.2. Описание выходных данных. 45

4.1.3. Программная реализация лабораторного стенда. 46

4.2. Тестирование. 51

5. ЭКОНОМИЧЕСКАЯ ЧАСТЬ ПРОЕКТА.. 51

5.1. Оценка затрат. 51

5.1.1. Расчет трудоемкости разработки программного продукта. 51

5.1.2. Расчет стоимости машинного часа. 55

5.1.2.1. Амортизация оборудования. 55

5.1.2.2. Затраты на текущий ремонт оборудования. 56

5.1.2.3. Амортизация помещения. 56

5.1.2.4. Затраты на текущий ремонт помещения. 56

5.1.2.5. Расходы на электроэнергию и освещение. 56

5.1.2.6. Расходы на отопление и водоснабжение. 57

5.1.2.7. Расходы на зарплату обслуживающего персонала. 58

5.1.2.8. Прочие расходы (почта, телеграф и т.д.) 58

5.1.3. Расчет себестоимости программного продукта. 58

5.1.4. Обоснование цены программного продукта. 59

5.2. Анализ конкурентоспособности.. 59

5.3. Расчет экономического эффекта от внедрения программного продукта.. 66

6. ЭРГОНОМИЧЕСКАЯ ЧАСТЬ ПРОЕКТА.. 68

6.1. Оценка показателей лабораторного стенда, задающих необходимое качество взаимодействия человека с машиной.. 69

6.2. Меры минимизации помех разработчику лабораторного стенда.. 70

6.3. Меры повышения удобств для разработчика лабораторного стенда.. 70

6.4. Вопросы охраны труда и техники безопасности.. 71

6.4.1. Анализ вредных и опасных факторов производственной среды.. 71

6.4.2. Производственное помещение и размещение оборудования. 72

6.4.3. Микроклимат и организация воздухообмена. 74

6.4.4. Производственное освещение. 77

6.4.5. Эргономика организации рабочего места. Режим труда и отдыха. 79

6.4.6. Электробезопасность. 81

6.4.7. Пожарная безопасность. 83

6.4.8. Охрана окружающей среды.. 84

ЗАКЛЮЧЕНИЕ.. 86

БИБЛИОГРАФИЧЕСКИЙ СПИСОК.. 87

ВВЕДЕНИЕ

Компьютерные сети представляют собой глобальное явление. Обеспечение работоспособности сети и функционирующих в ней компонентов зависит не только от надёжности аппаратуры, но и от возможности сети противостоять целенаправленным воздействиям, направленных на нарушение её работоспособности. Создание информационных систем, абсолютно устойчивых к вредоносным воздействиям и компьютерным атакам, влечет за собой существенные затраты времени и материальных ресурсов. Также необходимо помнить об обратной зависимости между удобством использования системы и её защищённостью: чем совершеннее построена система защиты, тем сложнее эксплуатировать основной функционал системы.

Создание эффективных систем защиты информационных систем сталкивается и с другой проблемой: с нехваткой вычислительной мощности. При развитии компьютерных сетей наблюдаются две тенденции, которые называют законами Мура и Гилдера. Закон Мура говорит о том, что с каждым годом удваивается производительность вычислителей, доступных за одну и ту же стоимость, а закон Гилдера – происходит утроение пропускной способности каналов связи за тот же период времени. Получается, что рост объёма данных, передаваемых по сети, превышает рост вычислительной мощности узлов сети. Данная тенденция с каждым годом предъявляет более жесткие требования к вычислительной сложности алгоритмов систем защиты информации.

Средства обнаружения и предотвращения вторжений являются одними из ключевых компонентов по обеспечению информационной безопасности в сети. Обнаружение вторжений представляет собой процесс оценивания подозрительных действий, которые происходят в контролируемой информационной системе. Отслеживая исходящие и входящие потоки сетевого трафика, СОВ отлавливают по разным данным от 70 до 80% всех нарушений, связанных с действиями инсайдеров, а так же выявляют признаки удаленных вторжений.

Методы обнаружения вторжений в современных СОВ не до конца проработаны в части формальной модели атаки. Для них оказывается довольно трудно строго оценить такие свойства, как вычислительная сложность, корректность или завершимость. Существует множество академических разработок в области обнаружения аномалий, но в крупных системах они используются редко и с большой осторожностью из-за наличия большого количества ложных срабатываний. Для экспертных систем основной проблемой является близкая к нулю эффективность обнаружения неизвестных атак (адаптивность). Низкая адаптивность и сегодня остаётся серьёзной проблемой, хотя неоспоримые достоинства (низкая вычислительная сложность и малая стоимость) определяют доминирование экспертных систем на рынке.

Учитывая выше изложенное и то, что на данный момент рынок средств обнаружения вторжений в России развит недостаточно хорошо, необходимо привлекать к данной проблеме молодых специалистов, начиная со студенческих годов.

Для наглядного объяснения основ функционирования таких средств необходимо разработать лабораторный стенд, выполняющий функции простейшей СОВ: наличие вторжения определяется на основе данных сетевого трафика по одной из доступных сигнатур. Использование данного продукта существенно повысит эффективность проведения образовательного процесса, а так же положительно скажется на компетентности будущих специалистов, способных предложить интересные решения в сфере обнаружения атак.