СПОСОБ ОБНАРУЖЕНИЯ КОМПЬЮТЕРНЫХ АТАК НА СЕТЕВУЮ КОМПЬЮТЕРНУЮ СИСТЕМУ

Способ обнаружения компьютерных атак на сетевую компьютерную систему, включающую, по крайней мере, один компьютер, подключенный к сети и имеющий
установленную операционную систему;
установленное прикладное программное обеспечение, включающее систему анализа трафика, которая выполнена с возможностью
приема из сети и запоминания пакетов сообщений;
определения характеристик пакетов сообщений;
проведения расчетов для пакетов сообщений и их характеристик;
формирования сигналов о наличии атаки по результатам расчетов; способ, заключающийся в том, что
устанавливают и запоминают пороговые значения параметров, причем в качестве параметров, рассчитываемых в единицу времени, выбираются следующие:
IP
IN
OUT
R=V/V,
IN
где V - объем входящего трафика, принятого по протоколу IP;
OUT
V - объем исходящего трафика, отправленного по протоколу IP;
CR
N - количество потоков критических приложений;
ACK
OUT
IN
D=|N-N|,
OUT
где N - количество исходящих ACK-флагов в TCP-трафике;
IN
N - количество входящих ACK-флагов в TCP-трафике;
UDP
UDP
TCP
R=V/V,
UDP
где V - объем входящего UDP-трафика;
TCP
V - объем входящего TCP-трафика;
NUD
UDP
TCP
R=N/N,
UDP
где N - количество входящих UDP-пакетов;
TCP
N - количество входящих TCP-пакетов;
ICM
ICM
IN
R=V/V,
ICM
где V - объем входящего трафика, полученного по протоколу ICMP;
SP
SYN
PSH
R=N/N,
SYN
где N - количество SYN-флагов во входящих пакетах, переданных по протоколу TCP;
PSH
N - количество PSH-флагов во входящих пакетах, переданных по протоколу TCP;
TCP
PSH
TCP
PSH
R=N/(N-N),
AVG
IN
IP
L=V/N,
IP
где N - количество входящих пакетов, передаваемых по протоколу IP;
TCP
TCP
TCP
L=V/N;
принимают из сети последовательность пакетов сообщений;
запоминают принятые пакеты сообщений;
выделяют из запомненных пакетов сообщений характеризующие их данные;
рассчитывают значения параметров, зависящих от полученных пакетов сообщений;
сравнивают рассчитанные значения параметров с пороговыми значениями;
принимают решение о факте наличия или отсутствия компьютерной атаки при сравнении рассчитанных значений параметров с пороговыми значениями;
определяют тип одиночной компьютерной атаки по сочетанию рассчитанных значений параметров на основе следующих условий,
IP
CR
если значения параметров R и N превысили пороговое значение, то определяется атака типа HTTP-flood (условие 1);
IP
ACK
SP
TCP
TCP
если значения параметров R, D и R превысили пороговое значение, а R и L меньше порогового значения, то определяется атака типа SYN-flood (условие 2);
IP
TCP
ACK
если значения параметров R, R и D превысили пороговое значение, то определяется атака типа TCP-flood (условие 3);
IP
UDP
NUD
если значения параметров R, R и R превысили пороговое значение, то определяется атака типа UDP-flood (условие 4);
IP
ICM
AVG
если значения параметров R и R превысили пороговое значение, а L меньше порогового значения, то определяется атака типа ICMP-flood (условие 5);
определяют комбинированную компьютерную атаку по сочетанию рассчитанных значений параметров на основе следующих условий:
если одновременно выполняется условие 1 и условие 2, то определяется комбинированная атака HTTP-flood и SYN-flood;
если одновременно выполняется условие 1 и условие 3, то определяется комбинированная атака HTTP-flood и TCP-flood;
если одновременно выполняется условие 1 и условие 5, то определяется комбинированная атака HTTP-flood и ICMP-flood;
если одновременно выполняется условие 2 и условие 5, то определяется комбинированная атака SYN-flood и ICMP-flood;
если одновременно выполняется условие 3 и условие 5, то определяется комбинированная атака TCP-flood и ICMP-flood.