СПОСОБ ЗАЩИТЫ ОТ DDoS-АТАК НА ОСНОВЕ КЛАССИФИКАЦИИ ТРАФИКА

1. Способ защиты от DDoS-атак на основе классификации трафика, выполняемый компьютерной системой, включающей в себя один или несколько процессоров и память, хранящую одну или несколько программ для выполнения одним или несколькими процессорами для обработки запросов к защищенной сети, включающий в себя этапы, на которых:
- принимают пакеты или потоки пакетов от внешних устройств, пытающихся получить доступ к защищаемым устройствам в защищаемой сети;
- классифицируют принятые пакеты, определяя, относятся ли они к одному или нескольким из множества типов трафика;
- применяют контрмеры в зависимости от результата классификации;
отличающийся тем, что
на этапе классификации:
k
j
- формируют раздельно вероятностные статистики по значениям p (k=1, 2, …, K) параметров как адресных полей заголовков пакетов данных, так и значениям ch (j=1, 2, …, J) характеристик их нагрузочных полей, при этом
1
1
k
K
k
- формируют по потокам пакетов значения адресных информативных признаков F(p, …, p, …, p) как функций изменчивости значений p параметров адресных полей (l=1, 2, …, L; k=1, 2, …, K) заголовков пакетов данных;
l
- оценивают по репрезентативным выборкам и запоминают для всех заданных типов трафика частоты (эмпирические вероятности) w(F|r) всех сформированных адресных информативных признаков (l=1, 2, …, L; r=0, 1, …, R), условно считая, что 0-й тип трафика относится к легитимному типу;
n
l
i
I
i
- формируют по потокам пакетов значения нагрузочных информативных признаков Z(ch, …, ch, …, ch) как функций изменчивости значений ch параметров нагрузочных полей (n=1, 2, …, N; i=1, 2, …, I) заголовков пакетов данных;
n
- оценивают по репрезентативным выборкам и запоминают для всех заданных типов трафика частоты (эмпирические вероятности) w(Z|r) всех сформированных нагрузочных информативных признаков (n=1, 2, …, N; r=0, 1, …, R);
1
l
L
1
n
N
l
n
T
T
- формируют значения правдоподобий W(F,Z|r)=W(F|r)*W(Z|r) принадлежности совокупностей значений F=(F, …, F, …, F) и Z=(Z, …, Z, …, Z) адресных и нагрузочных информативных признаков к заданному r-му типу трафика (r=0, 1, …, R) на основании их оцененных частот w(F|r) и w(Z|r) соответственно;
t
t
t+1
t+1
t+s
t+s
- регистрируют поток пакетов трафика в каждый момент t (t=1, 2, …) и производят последовательное добавление к нему s (s=1, 2, …) дополнительных пакетов, формируя последовательность F, Z; F, Z; …; F, Z совокупностей значений адресных и нагрузочных информативных признаков;
- оценивают значения правдоподобий принадлежности последовательности совокупностей значений адресных и нагрузочных информативных признаков к заданному r-му типу трафика
t
t
t+1
t+1
t+s
t+s
t
t
t+1
t+1
t+s
t+s
W(F, Z; F, Z; …; F, Z|r)=W(F, Z|r)*W(F, Z|r)*…*W(F, Z|r);
- оценивают R отношений правдоподобий отнесения трафика к заданному r-му типу атаки (r=1, …, R)
t
t
t+1
t+1
t+s
t+s
t
t
t+1
t+1
t+s
t+s
Y (t, s|r)=W(F, Z; F, Z; …; F, Z|r) / W(F, Z; F, Z; …; F, Z|0);
max
min
- производят выбор максимального значения s из минимальных значений s[r] количеств наблюдений, обеспечивающих наперед заданные значения ошибок детектирования 1-го и 2-го родов для всех R оцененных отношений Y(t,s|r) правдоподобий (r=1, …, R), варьируя количество s добавляемых пакетов трафика;
- оценивают для каждого полученного потока пакетов апостериорные вероятности заданных r-х типов трафика (r=1, …, R)
max
r
max
ω(r|F,Z)=Y(t, s|r)/ΣY(t, s|r),
при этом на этапе применения множества контрмер учитывают для каждого полученного потока пакетов оцененные апостериорные вероятности ω(r|F,Z) заданных r-х типов трафика (r=1, …, R).
m
m
2. Способ по п. 1, отличающийся тем, что в качестве информативных признаков (как адресных, так и нагрузочных) используют взаимно сопряженные величины X и Y, где множество значений величины X формируют по потоку пакетов (для выборок, обучающих и получаемых для анализа) в виде дискретной последовательности значений x (m=1, 2, …) функций значений определенных полей заголовков пакетов, а затем формируют путем нерекурсивной фильтрации в виде дискретной последовательности значений y (m=1, 2, …) величины Y, описывающей обобщенную скорость изменения X
m
1
m+1
m-1
3
m+3
m-3
5
m+5
m-5
N
m+N
m-N
y=h*(x-x)+h*(x-x)+h*(x-x)+…+h*(x-x),
n
m
m
m
m
m
n-2
n
где коэффициенты КИХ-фильтра h (фильтра с конечной импульсной характеристикой) выбирают, решая уравнение Σxy=0, определяющее ортогональность последовательностей x и y при ограничении h<h, ∀n=3, 5, …, N и условии сопряженности
m
1
m+1
m-1
3
m+3
m-3
5
m+5
m-5
N
m+N
m-N
x=h*(y-y)+h*(y-y)+h*(y-y)+…+h*(y-y).
3. Способ по п. 1, отличающийся тем, что оценивание частот (эмпирических вероятностей) всех адресных и нагрузочных информативных признаков проводят гистограммным или непараметрическим методом.
1
4. Способ по п. 1, отличающийся тем, что для независимых адресных информативных признаков значения правдоподобий W(F|r) их принадлежностей к r-му типу трафика (r=0, 1, …, R) формируют на основании соответствующих оцененных частот w(F|r) в факторизованном виде
1
1
L
W(F|r)=W(F|r)*…*w(F|r)*…*w(F|r).