Способ формирования сигнатуры для обнаружения неправомерного доступа к компьютеру, получаемого с помощью средств удаленного администрирования, и реализующая его система

1. Способ формирования сигнатуры для обнаружения удаленного управления средством удаленного администрирования (далее - инструментом RAT), который включает этапы, на которых:
а. получают набор данных сессий, включающих сессии, во время которых производилось удаленное управление инструментами RAT;
б. проводят анализ полученных данных с целью выявления характерных признаков, указывающих на удаленное управление инструментом RAT;
в. проводят поиск последовательностей клавишных событий, которые позволят отличить сессии, использующие инструменты RAT, которые управляются удаленно, от остальных сессий;
г. проводят оценку последовательностей клавишных событий на основании разницы между сессиями, использующими удаленное управление инструментами RAT, и всеми остальными сессиями, при этом учитывая критерии оценки;
д. формируют сигнатуру для выявления активности, указывающей на удаленное управление инструментом RAT.
2. Способ по п. 1, в котором в процессе анализа определяют параметры каждого клавишного события, временное условия, индикатор начала отчета временного условия и окружение, при котором произошли клавишные события.
3. Способ по п. 2, в котором параметрами клавишного события являются группа, к которой относится клавиша; наличие модификатора; и тип действия, произошедшего с клавишей.
4. Способ по п. 1, в котором характерными признаки являются по крайней мере следующие:
определенный порядок клавишных событий, происходящих при вводе с клавиатуры;
временное условие, указывающее на задержки между клавишными событиями
индикатор начала отчета временного условия;
триггер активности, после которого будет произведено сравнение с сигнатурой;
контекст, при котором будет произведено сравнение с сигнатурой;
наличие определенного инструмента RAT или окружения для сравнения с сигнатурой.
5. Способ по п. 1, в котором поиск последовательностей клавишных событий на шаге в) осуществляют с помощью создания N-грамм модели.
6. Способы по пп. 1 и 5, в которых определяют для каждой последовательности клавишных событий частоту появления во всех сессиях.
7. Система формирования сигнатуры для обнаружения удаленного управления средством удаленного администрирования (далее - инструментом RAT), которая включает:
а. модуль отбора данных, предназначенный для отбора данных о сессиях, использующих инструменты RAT, и передачи модулю анализа;
б. модуль анализа, предназначенный для анализа полученных данных, связанных с событиями клавиатурного ввода, и выявления характерных признаков, указывающих на удаленное управление инструментом RAT, которые передает модулю создания сигнатур;
в. модуль создания сигнатуры, предназначенный для формирования по крайней мере одной сигнатуры, основываясь на разнице между сессиями, использующими RAT, и всеми остальными сессиями, с помощью анализа полученных данных согласно критериям оценки.
8. Система по п. 7, в которой модуль анализа состоит из компонентов: модуля распознавания событий, модуля оценки скорости ввода данных и модуля оценки контекста.
9. Система по п. 8, в которой модуль распознавания событий предназначен для определения на основании анализа отобранных данных для каждого клавишного события таких параметров как: группа, к которой относится клавиша, наличие модификатора и тип действия, произошедший с клавишей.
10. Система по п. 8, в которой модуль оценки скорости ввода данных предназначен для определения индикатора начала отчета времени происхождения клавишного события и времени задержки между клавишными событиями.
11. Система по п. 8, в которой модуль оценки контекста предназначен для определения контекста, при котором произошло клавишное событие.
12. Система по п. 7, в которой модуль создания сигнатуры предназначен для поиска последовательностей клавишных событий, которые позволят отличить сессии, использующие инструменты RAT, которые управляются удаленно, от остальных сессий.
13. Система по п. 7, в которой модуль создания сигнатуры использует подход создания N-грамм модели, позволяющий разделить последовательности клавишных событий сессий на части, где N-грамм - последовательность из n клавишных событий.
14. Система по п. 13, в которой модуль создания сигнатуры предназначен для удаления части созданных N-грамм на основании временных условий.
15. Система по п. 7, в которой модуль создания сигнатуры предназначен для определения частоты появления N-грамм во всех сессиях.
16. Система по п. 7, в которой сигнатура описывается как последовательность событий клавиатурного ввода с временным условием и индикатором начала отсчета для расчета заданного временного условия, при этом временное условие характеризует задержки между соседними событиями.