Денис Гамаюнов / Тимур Рзаев, 5 курс, sec-sem

[Бычков Иван]

Тема работы: Распознавание сетевых объектов в ЛВС на основе анализа их поведения

Расшифровка темы: Продолжение серии работ по распознаванию узлов и пользователей сети на основе пассивного анализа сетевого трафика.

В данной работе акцент сделан на анализа поведения пользователей и соответствующих им сетевых устройств в ЛВС. Для каждого сетевого объекта (или пользователя, человека) вводим понятие статического сетевого окружения и поведения. Сетевое окружение - это граф использования данным устройством (пользователем) ресурсов сети и внешних ресурсов, а также список соответствующих протоколов и идентифицирующих признаков. Окружение формируется на основе длительного наблюдения за устройством (пользователем). Пример: список хостов в Интернете, число заходов на которые с данного узла за неделю превышает некоторый порог (часто посещаемые сайты).
Поведение сетевого объекта это последовательность взаимодействий с окружением в течение заданного временного диапазона (сутки, неделя, месяц).
Гипотеза: поведение каждого объекта, в целом, циклично, устойчиво и поведение двух объектов в ЛВС отлично в достаточной степени, чтобы совпадение поведения считать поведением одного и того же объекта.
Предполагается, что удобным способом представления поведения будет не цепочка взаимодействий, а вектор частот взаимодействия с каждым ресурсом из окружения по временным слотам.

Цель работы: Разработка и реализация системы распознавания сетевых объектов в ЛВС на основе обнаружения анализа их поведения.

Постановка задачи: Для достижения указанной цели требуется составить аналитический обзор методов обнаружения аномалий поведения пользователей и узлов в ЛВС, разработать алгоритм построения профиля поведения сетевого объекта, реализовать систему сбора профилей, разработать и реализовать алгоритм сопоставления наблюдаемого поведения с базой известных профилей для ЛВС, протестировать систему в сети ЛВК.

Ожидаемый результат: Инструментальная система мониторинга сети, позволяющая на основе анализа поведения обнаруживать подключения неизвестных устройств и работу в сети неизвестных пользователей.