УСТРОЙСТВО МОДЕЛИРОВАНИЯ КОМПЬЮТЕРНЫХ АТАК ТИПА "РАСПРЕДЕЛЕННЫЙ ОТКАЗ В ОБСЛУЖИВАНИИ"

Полезная модель относится в области вычислительной техники, а именно к системам моделирования компьютерных атак, и может быть использована для оценки защищенности узлов компьютерных сетей от атак типа «распределенный отказ в обслуживании».
Известна «Система моделирования сетевой и потоковой компьютерных разведок» (Патент РФ на полезную модель № 196794 G06F 21/57 (2013.01), опубликовано: 16.03.2020 Бюл. № 8), состоящая из устройства ввода исходных данных, выход которого соединен с входами первого, второго, третьего и четвертого генераторов отправки сообщений, а также с входами имитатора защищаемого узла; выход первого, второго и третьего генератора отправки сообщений соединены с первым входом первого управляющего устройства; выход первого управляющего устройства соединен с входами первого и второго коммутаторов; выходы первого и второго коммутаторов соединены с входами N-го количества имитаторов направлений связи; выходы N-го количества имитаторов направлений связи соединены с входами N-го количества счетчиков поступаемых сообщений; выходы N-го количества счетчиков поступаемых сообщений соединены с входом первого решающего устройства; выходы первого, второго и третьего генераторов отправки сообщений соединены с первым входом первого управляющего устройства; выход первого управляющего устройства соединен с входами первого и второго коммутаторов; первый выход первого решающего устройства соединен со вторым входом первого управляющего устройства; второй выход первого решающего устройства соединен со входом второго управляющего устройства; выход второго управляющего устройства соединен со вторым входом четвертого генератора отправки сообщений имитирующего работу средства сетевой компьютерной разведки; выход четвертого генератора отправки сообщений соединен со вторым входом имитатора защищаемого узла; выход имитатора защищаемого узла соединен с первым входом второго решающего устройства; третий выход первого решающего устройства соединен с первым входом оперативной памяти системы; выход второго решающего устройства соединен со вторым входом оперативной памяти системы; выход оперативной памяти системы соединен со входом устройства обработки результатов моделирования, выход которого соединен со входом устройства визуализации.
Наиболее близким по технической сущности и выполняемым функциям аналогом (прототипом) к заявленному, является устройство, структуру которого возможно сформулировать на основании известного описания процесса моделирования DDoS-атак, рассмотренного в «Модель узла доступа VPN как объекта сетевой и потоковой компьютерных разведок и DDoS-атак» (Гречишников Е.В., Добрышин М.М., Закалкин П.В. / Модель узла доступа VPN как объекта сетевой и потоковой компьютерных разведок и DDoS-атак. Вопросы кибербезопасности № 3 (16): ЗАО "НПО Эшелон" – Москва. –2016. – С.4-12.). Устройство состоит из: устройства ввода исходных данных; группы генераторов, коммутаторов и умножителей, имитирующих предоставление абонентам различных категорий заданное количество услуг связи; генератора имитирующего зараженную ЭВМ, умножителя имитирующего группу зараженных ЭВМ; сумматора, имитирующего объединение информационных потоков от абонентов различных категорий в информационный поток узла связи; сумматора, имитирующего объединение информационных потоков от узла связи и группы зараженных ЭВМ; генератора и сумматора имитирующих обработку принимаемых информационных пакетов; первого счетчика; решающего устройства фиксирующего факт наступления отказа в обслуживании на основании оценки имитируемого переполнения очереди; устройства обработки результатов моделирования; устройства визуализации.
Техническая проблема: низкая достоверность результатов моделирования DDoS-атак из-за отсутствия учета потерь пакетов при передаче в транспортной сети связи, а также отсутствия учета деструктивного влияния DDoS-атаки на производительность обслуживающих устройств.
Техническим результатом является повышение достоверности результатов моделирования DDoS-атак из-за учета потерь пакетов при передаче в транспортной сети связи, а также учета деструктивного влияния DDoS-атаки на производительность обслуживающих устройств.
n
m
m
Техническая проблема решается за счет создания устройства моделирования компьютерных атак типа «распределенный отказ в обслуживании», состоящего из: устройства ввода исходных данных (1), выход которого соединен с заданным количеством входов генераторов имитирующих функционирование одного вида оконечного оборудования (Web-камеры, цифровой АТС, ЭВМ и др.) (2), где n - заданное количество генераторов, входом генератора имитирующего отправку сообщений от одной зараженной вредоносной программой ЭВМ (стационарный компьютер, смартфон, IoT-устройства и др.) (3), входом генератора имитирующего обработку принимаемых информационных потоков (4); выход каждого генератора имитирующего функционирование одного вида оконечного оборудования соединен с входами коммутаторов (5), количество коммутаторов соответствует количеству категорий абонентов m-го вида, в указанных коммутаторах имитируется формирование наборов услуг связи предоставляемых абоненту каждой из категории; выходы указанных коммутаторов соединены с входами соответствующего количества умножителей (6), в умножителе имитируется формирование информационного потока от каждой из выбранных групп категорий абонентов; выходы указанных умножителей соединены с входом первого сумматора (7), на выходе которого имитируется формирование информационного потока от узла связи; первый выход первого сумматора соединен с первым входом второго сумматора (8); в блоке отправки сообщений от одной зараженной вредоносной программой ЭВМ (3) по заданному закону генерируют отправку потока информационных сообщений от одной зараженной ЭВМ; выход блока отправки сообщений от одной зараженной вредоносной программой ЭВМ (3) соединен с входом умножителя Botnet (9), в котором происходит имитация формирования группы зараженных ЭВМ; выход умножителя Botnet (9) соединен со вторым входом второго сумматора (8), в котором осуществляется имитация объединения информационных потоков создаваемых узлом связи и группой зараженных компьютеров; первый выход второго сумматора (8) соединен с первым входом третьего сумматора (10); в имитаторе обработки принимаемых информационных потоков (4), происходит формирование потока имитирующего отправку тактовых импульсов для обработки входящего информационного потока, выход имитатора обработки входящих информационных потоков (4) соединен со вторым входом третьего сумматора (10); в третьем сумматоре (10) осуществляется имитирование обработки входящего информационного потока, при одновременном поступлении на первый и второй входы указанного сумматора импульсов присваивается логический «0», при поступлении на первый вход импульса и отсутствии импульса на входе второго присваивается логическая «1», при поступлении на второй вход импульса и отсутствии импульса на первом входе, присваивается логическая «-1»; выход третьего сумматора (10) соединен с входом первого счетчика (11), при поступлении сообщении на вход указанного устройства логических «0», «1» или «-1» принятое значение суммируется; выход первого счетчика (11) соединен с входом первого решающего устройства (12), при достижении заданного порогового значения наполнения очереди, в первом счетчике (11) и передачи соответствующего сообщения на вход первого решающего устройства (12), принимается решение о заполнении очереди, увеличении задержки при передаче информации и наступлении отказа в обслуживании; выход первого решающего устройства (12) соединен с первым входом устройства обработки результатов (13), выход которого соединен с входом устройства визуализации (14).
Согласно полезной модели устройство дополнено: выход устройства ввода исходных данных (1), соединен с входом имитатора потерь пакетов в транспортной сети связи (15), в котором по заданному закону осуществляется отправка импульсов с отрицательным значением; выход имитатора потерь пакетов в транспортной сети связи (15), соединен с третьим входом второго сумматора (8), в котором при поступлении на первый или второй входы импульсов из блоков 7 или 9 и поступлении на третий вход импульса от блока 15, происходит уничтожение импульса пришедшего на первый или второй входы, если на первый или второй входы поступает импульс, а на третий вход не поступает, то принятый импульс передается на первый вход третьего сумматора (10) и со второго выхода второго сумматора (8) на первый вход второго решающего устройства (16); второй выход первого сумматора (7) соединен со вторым входом второго решающего устройства (16), в котором сравниваются принятые последовательности импульсов переданных от узла связи и последовательности импульсов, принятых после передачи в транспортной сети и рассчитывается вероятность ошибки передачи в транспортной сети; выход второго решающего устройства (16) соединен со вторым входом устройства обработки результатов (13), в котором принимается о наступлении отказа в обслуживании, вызванного увеличением количества ошибок передачи информации; третий выход второго сумматора (8) соединен с входом делителя (17), в котором происходит преобразование поступающего информационного потока в запросы, выход делителя (17) соединен с первым входом третьего решающего устройства (18); выход устройства ввода исходных данных (1) соединен с входом имитатора обработки запросов (19), в котором устанавливается частота обработки поступаемых запросов, выход имитатора обработки запросов (19) соединен со вторым входом третьего решающего устройства (18); в третьем решающем устройстве (18) происходит имитация оценки степени загрузки процессора осуществляющего обработку запросов, путем деления частоты поступаемых импульсов на первый вход от блока 17 на частоту поступаемых импульсов второго входа от блока 19; выход третьего решающего устройства (18) соединен с третьим входом устройства обработки результатов (13), в котором происходит сравнение загрузки процессора с заданными значениями, при превышении которых принимается решение о наступление отказа в обслуживании.
Конструкция системы поясняется чертежом.
На фиг.1. - функциональная схема устройства моделирования компьютерных атак типа «распределенный отказ в обслуживании».
n
m
m
m
Устройство моделирования компьютерных атак типа «распределенный отказ в обслуживании» состоит из устройства ввода исходных данных (1) выход, которого соединен с заданным количеством входов генераторов имитирующих функционирование одного вида оконечного оборудования (2), где n - заданное количество генераторов, входом генератора имитирующего отправку сообщений от одной зараженной вредоносной программой ЭВМ (3), входом генератора имитирующего обработку принимаемых информационных потоков (4), входом имитатора потерь пакетов в транспортной сети связи (15), входом имитатора обработки запросов (19); выход каждого генератора имитирующего функционирование одного вида оконечного оборудования (2) соединен с входами коммутаторов (5), количество коммутаторов соответствует количеству категорий абонентов m-го вида; выходы указанных коммутаторов (5) соединены с входами соответствующего количества умножителей (6); выходы указанных умножителей соединены с входом первого сумматора (7); первый выход первого сумматора (7) соединен с первым входом второго сумматора (8); выход блока отправки сообщений от одной зараженной вредоносной программой ЭВМ (3) соединен с входом умножителя Botnet (9); выход умножителя Botnet (9) соединен со вторым входом второго сумматора (8); выход имитатора потерь пакетов в транспортной сети связи (15) соединен с третьим входом второго сумматора (8); первый выход второго сумматора (8) соединен с первым входом третьего сумматора (10); выход имитатора обработки входящих информационных потоков (4) соединен со вторым входом третьего сумматора (10); выход третьего сумматора (10) соединен с входом первого счетчика (11); выход первого счетчика (11) соединен с входом первого решающего устройства (12); выход первого решающего устройства (12) соединен с первым входом устройства обработки результатов (13); второй выход второго сумматора (8) соединен с первым входом второго решающего устройства (16); второй выход первого сумматора (7) соединен со вторым входом второго решающего устройства (16); выход второго решающего устройства (16) соединен со вторым входом устройством обработки результатов (13); третий выход второго сумматора (8) соединен с входом делителя (17); выход делителя (17) соединен с первым входом третьего решающего устройства (18); выход имитатора обработки запросов (19) соединен со вторым входом третьего решающего устройства (18); выход третьего решающего устройства (18) соединен с третьим входом устройством обработки результатов (13); выход устройства обработки результатов (13) соединен с входом устройства визуализации (14).
n
На этапе подготовки устройства моделирования компьютерных атак типа «распределенный отказ в обслуживании» к работе, на основании анализа изучаемого узла связи, статистических данных сетевых соединений и возможностей атакующей сети зараженных ЭВМ с помощью устройства ввода исходных данных (1) задают частоту отправки информационных сообщений генераторами имитирующими функционирование оконечного оборудования (2), n-го вида услуги связи (видеоконференцсвязь, IP-телефония, передача данных и др.); частоту отправки информационных сообщений генератором имитирующим отправку сообщений от одной зараженной вредоносной программой ЭВМ (3); частоту импульсов генератора имитирующего обработку принимаемых информационных потоков (4); частоту имитатора потерь пакетов в транспортной сети связи (15); частоту имитатора обработки запросов (19).
m
n
В коммутаторах (5) исходя из количества видов связи, предоставляемых каждой m-й категории абонентов, устанавливаются связи с генераторами (2), имитируя предоставление абонентам различных категорий заданный набор услуг связи.
В умножителе Botnet (9) устанавливают количество зараженных вредоносной программой ЭВМ, осуществляющих DDoS-атаку на узел связи.
На основании вида запросов поступаемых к узлу связи задают значение коэффициента деления. Указанный коэффициент определяется как количество информационных сообщений необходимых для формирования одного запроса. Далее коэффициента деления устанавливают в делителе (17).
n
Устройство моделирования компьютерных атак типа «распределенный отказ в обслуживании» функционирует следующим образом: после задания требуемых настроек, описанных в этапе подготовки устройства, по команде от устройства ввода исходных данных заданное количество генераторов имитирующих функционирование одного вида оконечного оборудования (2) генерируют отправку импульсов, имитируя работу отдельных оконечных устройств (одной web-камеры, одного цифрового телефонного аппарата, передачу данных от одного персонального компьютера).
n
m
После поступления потока импульсов от всех генераторов (2) в коммутаторах (5) по установленному правилу осуществляется объединение потоков импульсов от генераторов, имитируя передачу потока информационных сообщений от одного абонента m-й категории (например, абоненту 1-й категории предоставляются услуги видеоконференцсвязи, IP-телефонии и передача данных; абоненту 2-й категории предоставляются услуги IP-телефонии и передача данных; абоненту 3-й категории предоставляется услуга IP-телефонии).
m
n
n
После формирования информационного потока от одного абонента m-й категории (5) в сигналы поступают на соответствующее количество умножителей (6), где происходит умножение потока импульсов в соответствии с количеством абонентов m-й категории; с выхода умножителей (6), сигналы поступают на первый сумматор (7), где суммируются и на выходе образуют единый поток импульсов, имитируя информационный поток от узла связи.
Также после задания требуемых настроек описанных в этапе подготовки устройства, по команде от устройства ввода исходных данных генератор имитирующий отправку сообщений от одной зараженной вредоносной программой ЭВМ (3), генерирует поток импульсов, имитируя отправку информационных сообщений.
Пришедший поток импульсов от одной зараженной вредоносной программой ЭВМ (3) в умножителе Botnet (9) умножается на заданное количество ЭВМ, имитируя формирования информационного потока от Botnet.
n
n
Также после задания требуемых настроек описанных в этапе подготовки устройства, по команде от устройства ввода исходных данных имитатор потерь пакетов в транспортной сети связи (15) формирует поток импульсов противоположных по номиналу поступаемых от блоков 2 и 3 (например, при формировании импульсов от блоков 2 и 3 с уровнем сигнала равном 1 вольт, блок 15 формирует импульсы с уровнем сигнала -1 вольт).
Во втором сумматоре (8) осуществляется сложение импульсов поступаемых от блоков 7, 9 и 15. Указанное сложение имитирует объединение информационных потоков от узла связи и Botnet, а также потерю информационных пакетов при их передаче в транспортной сети связи.
n
n
Также после задания требуемых настроек описанных в этапе подготовки устройства, по команде от устройства ввода исходных данных генератор имитирующего обработку принимаемых информационных потоков (4), начинает отправлять импульсы с противоположных по номиналу поступаемых от блоков 2 и 3 (например, при формировании импульсов от блоков 2 и 3 с уровнем сигнала равном 1 вольт, блок 4 формирует импульсы с уровнем сигнала -1 вольт).
С первого выхода второго сумматора импульсы поступают на третий сумматор (10), в котором осуществляется объединение импульсов поступаемых из транспортной сети (8) и генератора имитирующего обработку принимаемых информационных потоков (4), тем самым осуществляется имитация обработки поступаемого информационного потока (если на вход поступили импульсы от блоков 8 и 4, то третий сумматор выдает «0»; если поступил сигнал от блока 8, а от блока 4 не поступил, то третий сумматор выдает «1»; если поступил сигнал от блока 4, а от блока 8 не поступил, то третий сумматор выдает «-1»).
Поток значений имитирующих обработку входящего информационного потока поступает на вход первого счетчика (11), в котором имитируется формирование очереди на обработку сообщений (если частота поступаемых импульсов от блока 8 равна или меньше частоты поступаемых импульсов от блока 4, то очередь не образуется, если частота больше, то формируется очередь необработанных импульсов).
При достижении заданной длинны очереди (11) в первом решающем устройстве принимается решение о превышении допустимого времени передачи информационных сообщений и наступлении «отказа в обслуживании».
Решение о наступлении «отказа в обслуживании» из первого решающего устройства, передается в устройство обработки результатов (13), в котором фиксируется машинное время наступления «отказа в обслуживании».
Со второго выхода второго сумматора импульсы поступают на второе решающее устройство (16). Также на второе решающее устройство поступают импульсы с первого сумматора (7). Поток импульсов с первого сумматора задерживается на один такт. Пришедшие импульсы с блоков 7 и 8 сравниваются, если они совпадают, то присваивается логический «0», если импульсы не совпадают, то присваивают логическую «1». При достижении заданного количества логических единиц принимается решение о превышении количества ошибок передачи и наступлении «отказа в обслуживании».
Решение о наступлении «отказа в обслуживании» из первого решающего устройства передается в устройство обработки результатов (13), в котором фиксируется машинное время наступления «отказа в обслуживании».
С третьего выхода второго сумматора импульсы поступают на делитель (17), в котором поступаемый поток импульсов делится на ранее установленный коэффициент деления, имитируя преобразование информационных пакетов в запросы поступаемые к узлу связи.
Преобразованный поток импульсов поступает на вход третьего решающего устройства (18).
После задания требуемых настроек описанных в этапе подготовки устройства, по команде от устройства ввода исходных данных имитатор обработки запросов (19) формирует поток импульсов, имитируя работу оборудование осуществляющее обработку запросов поступаемых к узлу связи, которые передает на вход третьего решающего устройства (18).
В третьем решающем устройстве (18) осуществляется сравнение частоты потока импульсов от блока 17 и частоты потока импульсов от блока 19, если частота поступаемых импульсов от блока 17 больше частоты импульсов от блока 19, то принимается решение о наступлении «отказа в обслуживании», вызванного исчерпанием возможностей сетевого оборудования по обработке поступаемых запросов.
Решение о наступлении «отказа в обслуживании» из первого решающего устройства передается в устройство обработки результатов (13), в котором фиксируется машинное время наступления «отказа в обслуживании».
Описанное устройство моделирования компьютерных атак типа «распределенный отказ в обслуживании» может быть осуществлено с применением известных в области радиоэлектроники узлов и блоков, соединенных между собой, обеспечивающих конструктивное и функциональное единство.