INVESTIGATION OF THE NETWORK ANOMALIES OF THE CORPORATE NETWORK OF KRASNOYARSK SCIENTIFIC CENTER

Texto integral

Введение. Развитие современных информацион- ных технологий приводит к повышению уровня «цифровизации» и переводу в киберпространство на- учных и производственных процессов. Глобальные компьютерные сети глубоко интегрированы в дея- тельность различных предприятий. Оперативность доступа к информации способствует сокращению из- держек производства, повышает эффективность и рентабельность компаний. С другой стороны, такая интеграция может привести к возникновению про- блем и потере конфиденциальности данных при не- санкционированных внешних воздействиях. Особен- но актуальна такая проблема для высокотехнологич- ных производств, таких как космические исследова- тельские проекты, для которых обеспечение безопас- ности данных является одной из приоритетных задач сохранения конкурентоспособности отечественных космических разработок. В этой связи повышается нагрузка на корпоративные системы безопасности как предприятий космической отрасли, так и научно- исследовательских институтов, ведущих широкую научную работу с такими предприятиями. Например, в федеральном исследовательском центре «Краснояр- ский научный центр Сибирского отделения Россий- ской академии наук» на протяжении многих лет под- держивается тесное сотрудничество между научными подразделениями и предприятиями космической от- расли. Анализ сетевых угроз корпоративной сети на- учного центра [1] и обеспечение защиты сетевых ре- сурсов от несанкционированных вмешательств явля- ется актуальной задачей. В данной статье предложены методы обнаружения сетевых угроз и описано программное обеспечение, предназначенное для формирования превентивных мер по защите корпоративной сети научного центра. Работа основана на исследовании аномалий сетевого трафика. Аномалия - это отступление или уклонение от общепринятых норм, поэтому аномальным назы- вают все отступающее или уклоняющееся от правильного или нормального. Под сетевыми аномалия- ми понимаются отклонения в использовании сетевых ресурсов, доступ к которым предоставляется посред- ством веб-сервисов и сетевых приложений. Обнаружение аномалий на сегодняшний день яв- ляется одним из активно развивающихся направлений в области обеспечения кибербезопасности. Это связа- но с тем, что аномалии в большинстве случаев явля- ются начальной стадией сетевых атак, которые могут повлечь как негативные нематериальные последствия, так и финансовые убытки для организаций, имеющих существенное представительство в киберпространст- ве. Как правило, такие аномалии являются результа- том разведки или «пробой силы» для дальнейшего использования обнаруженных проблем в системе безопасности с целью получения коммерческой выго- ды. Выявление и классификация аномалий предпола- гает непрерывный процесс мониторинга событий в компьютерных системах и сетях, в связи с чем требуется обработка больших объёмов данных, гене- рируемых этими источниками. Для этих целей используются автоматизированные системы обнару- жения вторжений [2]. Существуют коммерческие программные продукты, которые позволяют анализи- ровать трафик на предмет аномалий и угроз в реальном времени. Ограничивающими факторами использова- ния таких систем является высокая стоимость и за- крытая архитектура, что затрудняет их адаптацию под инфраструктуру организации. Методам анализа аномалий сетевого трафика по- священ целый ряд современных научных исследова- ний. Описываются современные типы систем обна- ружения и различные техники детектирования сете- вых атак и перспективные направления их развития [3]. Недостатками существующих систем также явля- ются высокий уровень ложных срабатываний и слож- ность создания обучающей выборки. Использование обобщённой классификации [4] позволяет частично компенсировать первый недостаток, предоставляя прозрачный набор признаков для идентификации аномалии. Для точного обнаружения аномалий ис- пользуются различные аналитические алгоритмы. Например, метод каскадной кластеризации в объеди- нении с деревьями решений [5] позволяет достигать высокой точности на экспериментальных данных с уровнем обнаружения аномалий выше 90 %. Гибрид- ные методы обнаружения аномалий, основанные на нейронечетких и иммунных классификаторах [6], по- зволяют найти компромиссное решение между точно- стью обнаружения аномалий и поиском неизвестных типов угроз. Методы мультифакторного анализа вре- менных рядов загруженности процессора [7] не пока- зали высоких результатов и требуют точного подбора параметров для анализа. В работе [8] применялся ме- тод кластеризации, использующий оценку плотности в пространстве характеристик событий. Построенная функция плотности позволила выделять области кла- стеров нормальных событий, и в случае, если событие не удовлетворяет ни одному кластеру, то классифи- цировать его как аномальное. Большинство рассмот- ренных работ имеют теоретическую направленность и высокий уровень сложности реализации предлагае- мых методов и алгоритмов, что накладывает сущест- венные ограничения при решении с их помощью практических задач обеспечения информационной безопасности. В этой статье предложены программные средства для выполнения первичной автоматической класси- фикации по источникам возникновения аномалий и инструменты для детального анализа по заданным метрикам. Такой подход потребовал разработки веб- приложения анализа журналов сетевых служб [9], интегрированного в действующую инфраструктуру корпоративной сети научного центра и обеспечиваю- щего работу с минимальными затратами ресурсов. Построение веб-приложения анализа журналов и применение его на реальных данных показало акту- альность развития подобных средств обеспечения веб-безопасности в корпоративной сети. Развитием данного подхода стало полнофункциональное про- граммное обеспечение - автономная система анализа журналов сетевых служб. Новое программное обеспе- чение расширяет существующие средства обеспече- ния безопасности дополнительными сервисами, пред- назначенными для выявления аномалий на граничных участках инфраструктуры корпоративной сети. Ис- пользование этой системы позволяет выполнять кон- фигурацию первой линии защиты от сетевых атак за счет выявления пропущенных стандартными средст- вами защиты инцидентов, что повышает качество ее работы и оперативность реагирования. Инструмент анализа журналов сетевых служб. Основой для создания веб-приложения анализа жур- налов сетевых служб служит дополненная модель обеспечения информационной безопасности (рис. 1). Модель расширяет существующую модель информа- ционной безопасности научного центра за счет вклю- чения системы обработки журналов сетевых служб, предназначенной для обнаружения аномалий и выяв- ления их источников. Задача обеспечения информационной безопасно- сти требует учитывать ограничения, основанные на политике безопасности организации [10], её техниче- ских средствах и финансовых ограничениях. Вход- ным параметром данной модели служит взаимодейст- вие пользователя с сетевыми службами организации, которое документируется в журналах обращений (лог-файлах). В свою очередь исполнителями высту- пают администраторы служб, уже интегрированные системы определения/предотвращения вторжений и предлагаемая система обработки журналов сетевых служб. В результате мы получаем список IP-адресов источников аномалий и потенциальных угроз безо- пасности. Реализация модели информационной безопасности выполнена в виде сервисного программного обеспе- чения - инструмента анализа журналов сетевых служб. Программный инструмент выполняет анализ поведения пользователей сетевых ресурсов на соот- ветствие существующим легитимным сценариям. Ос- новополагающим требованием к разрабатываемому инструменту являлась совместимость с программным обеспечением, используемым в инфраструктуре кор- поративной сети Красноярского научного центра, в частности, операционные системы Unix и веб-сервер Apache. Для построения приложения была предложе- на модель функционирования инструмента анализа журналов сетевых служб (рис. 2). Модель содержит блоки предобработки данных, группировки по адресам и сверки параметров сетевых аномалий с параметрами выделенных групп, которые должен обнаруживать инструмент анализа. На вход модели поступают журналы веб-сервисов, а результа- том работы программного инструмента являются IP-адреса провайдеров аномалий. Инструмент анализа адаптирован для обработки журналов веб-сервера Apache. Имена для доступа к файлам журналов на локальной машине указываются в веб-интерфейсе, таким образом можно анализировать журналы не- скольких виртуальных хостов, размещённых на одном веб-сервере. Записи журналов сервера группируются по признаку «IP-адрес источника» и в дальнейшем проходят сверку с заданными администратором мет- риками, изменяемыми в интерфейсе. В случае если группа удовлетворяет описанной метрике, она поме- чается как группа риска и отображается в интерфейсе. Интерфейс программного обеспечения показан на рис. 3. Разработанный инструмент успешно показал себя на реальных данных журналов корпоративной сети. Были успешно выявлены попытки probe, xss, r2l угроз [11], а также выделена группа риска с источниками угроз (рис. 4). Полученные результаты подтвердили актуаль- ность развития модели обеспечения кибербезопасно- сти корпоративной сети Красноярского научного цен- тра и необходимость проведения дальнейших иссле- дований в данном направлении. Результатом развития модели безопасности стала автономная система обна- ружения аномалий. Технические ограничения Политика ИБ организации Финасовые ограничения Запросы пользователей к информационным ресурсам IP-адреса Обеспечение информационной безопасности A0 провайдеров аномалий Система обработки журналов СОВ/СПВ Администратор Рис. 1. Модель обеспечения информационной безопасности с системой обработки журналов Fig. 1. The model of information security with a system of processing logs Политика безопасности Предобработка данных A0 Журналы WEB-сервера IP-адреса провайдеров аномалий Инструмент анализа Рис. 2. Модель функционирования инструмента анализа журналов сетевых служб Fig. 2. The model of the functioning of the tool for analyzing the logs of network services Рис. 3. Инструмент анализа журналов сетевых служб Fig. 3. Network Services Log Analysis Tool Рис. 4. Результаты анализа журналов сетевых служб Fig. 4. Results of the analysis of network service logs Рис. 5. Модель функционирования системы Fig. 5. Model of the system functioning Автономная система обнаружения аномалий. Ключевыми задачами создания автономной системы обнаружения аномалий являются: 1) автоматизация процессов анализа журналов се- тевых служб; 2) агрегация данных с нескольких сетевых служб и сервисов; 3) создание интерактивного интерфейса для ото- бражения данных и результатов анализа. Решение поставленных задач позволяет построить систему, аналогичную по функционалу узловым сис- темам обнаружения вторжений [12]. Для обнаружения и анализа угроз рассматриваются журналы сетевых служб - веб-сервера, ftp-сервера и файервола (межсе- тевого экрана). Предложена модель функционирования автономной системы обнаружения аномалий, представленная на рис. 5. Модель описывает функциональные блоки, ответ- ственные за автоматизацию, получение конфигурации системы анализа из СУБД, получение, предобработку и анализ данных, запись обнаруженных аномалий в таблицу СУБД. Поддерживается кроссплатформенная реализация программного обеспечения для его дальнейшего ис- пользования под управлением операционных систем семейства Windows и Unix. Хранение данных системы выполняется в кроссплатформенной СУБД MySQL. Автоматизация. Для автоматизации используют- ся утилиты управления задачами cron [13] (для Unix) или «Планировщик заданий» (для Windows). Эти пла- нировщики интегрированы в большинстве дистрибу- тивов операционных систем. Они позволяют гибко задавать расписание запуска приложения, минимизи- ровать участие пользователя в процессе выполнения программы после ее установки и настройки и тем са- мым обеспечивают требуемую автоматизацию про- цессов обработки данных. Получение конфигурации. В конфигурационной таблице базы данных содержатся следующие пара- метры работы системы: IP-адрес наблюдаемого узла, имя сервиса, учётные данные для получения журна- лов сервиса, расположение журналов в файловой сис- теме, имена журналов веб-сервера, имена журналов ftp-сервера, имя журнала файрвола, тип используемо- го программного обеспечения, параметры аномалий, характерные для данного сервиса, список допустимых адресов, определенных администратором. Конфигу- рирование системы производится через дополнитель- ную страницу веб-интерфейса (рис. 6). Получение журналов и предобработка данных. После запуска приложение обращается к базе за спи- ском источников с последующим получением журна- лов по протоколу ftp. При получении одного из жур- налов в фоновом режиме запускается программа его анализа и выполняется переход к следующему журна- лу в списке конфигурации. Таким образом, при полу- чении n журналов выполняется n работающих экзем- пляров приложения, которые позволяют обеспечить параллельную обработку данных, тем самым ускорив процесс анализа и функционирования системы в це- лом. Группировка данных по адресам и отбор по ус- тановленным критериям. Для группировки данных по заданным критериям выполняется их фильтрация при помощи утилиты grep [14]. Фильтрация выполня- ется по IP-адресам локальных служб организации, которые входят в список допустимых адресов, опре- деленных администратором. Кроме того, могут зада- ваться периоды времени для выбора данных журна- лов. После фильтрации в локальной копии файла журнала остаются только записи требуемого периода, за который необходимо произвести анализ. На сле- дующем этапе записи группируются по адресу источ- ника и сверяются с установленными в конфигурации метриками аномалий. В случае, если группа запросов удовлетворяет или превышает установленные значе- ния, то её источник отмечается как источник аномалии и производится соответствующая запись в таблицу аномалий. Таблица аномалий обеспечивает хранение информации об обнаруженных инцидентах и содер- жит следующие поля: IP-адрес источника аномалии, тип аномалии, название сервиса, на котором обнару- жена аномалия, дата и время начала аномальной ак- тивности, количество превышений порога, количество запросов к сервису и продолжительность аномальной активности. Результаты анализа аномалий отобража- ются в интерфейсе программного обеспечения. Описанные выше процессы позволяют достичь аг- регации данных с нескольких сетевых служб и серви- сов. Разработка интерфейса программного обеспе- чения. При реализации интерфейса использованы следующие программные инструменты: языки HTML, CSS, JS, PHP и библиотеки для взаимодействия с дан- ными - Jquery, D3.js, DC.js. Разработанное программ- ное обеспечение имеет веб-интерфейс [15] и может встраиваться в существующие информационные сер- висы корпоративной сети. Для обеспечения безопасности системы и под- держки целостности собранных данных производится экспорт записей в файл формата csv. Интерфейс про- граммного обеспечения взаимодействует с данными, представленными в файле csv. С помощью инструментов библиотек d3, dc.js реа- лизованы интерактивные диаграммы, отображающие количество обнаруженных аномалий за периоды вре- мени, а также диаграммы распределения источников угроз. Примеры диаграмм показаны на рис. 7. Рис. 6. Пример интерфейса конфигурирования системы Fig. 6. Example of the system configuration interface Рис. 7. Примеры диаграмм количества обнаруженных аномалий Fig. 7. Examples of diagrams of the number of detected anomalies Рис. 8. Пример гистограммы аномалий на наблюдаемых сервисах Fig. 8. An example of an anomaly histogram on the monitored services Рис. 9. Пример графика распределения аномалий на временном отрезке Fig. 9. An example of the distribution of anomalies in a time interval Построены гистограммы по количеству аномалий на наблюдаемых сервисах и по типу аномалий (рис. 8). Программное обеспечение позволяет строить гра- фики распределения активности аномалий по перио- дам времени. Пример графика за период с 2016 года по текущий момент показан на рис. 9. Наибольшее число анализируемых данных содер- жится в журналах файервола, поэтому для анализа этих данных программное обеспечение предоставляет дополнительные возможности. Результаты анализа журналов файервола отображаются на отдельной странице интерфейса программного обеспечения, которая содержит развернутую статистику с возмож- ностью сравнения нескольких показателей, а также инструмент дополнительных статистических исследо- ваний. Для обеспечения работы с большим объемом данных реализована возможность выбора периода обработки, благодаря чему интерфейс сохраняет до- пустимую скорость отклика и поддерживает ком- фортность взаимодействия с пользователями. Система визуализирует статистику анализа журна- лов за выбранный временной период. Пользователь может изменять параметры отображения, выбирая величину, относительно которой будут строиться графики: количество превышений порогового значе- ния или суммарное количество обращений за период инцидента. Статистика по самым активным клиентам, подверженным угрозам, показывается в виде столбча- тых диаграмм. Детализация информации выполняется при наведении курсора на столбец диаграммы (рис. 10). Программное обеспечение позволяет рассматри- вать диаграммы статистики активности агентов угроз на портах сетевого интерфейса. Пример диаграммы, показывающей 20 наиболее нагруженных портов, по- казан на рис. 11. Программа позволяет выбирать дан- ные по отдельным клиентам из 30 наиболее активных и обращаться к сервису Whois для получения деталь- ной информации об источниках аномалий [16]. Рис. 10. Графики распределения аномалий по временному отрезку, хостам и клиентам Fig. 10. Graphs of the distribution of anomalies by time interval, hosts and clients Рис. 11. График аномалий для портов сетевых интерфейсов Fig. 11. Anomaly graph for network interface ports Рис. 12. График корреляции подверженных аномалиям сервисов Fig. 12. Graph of correlation between services Коэффициент линейной корреляции для отдельных сервисов HTTP HTTPS Telnet HTTPa SIP RDP SSH mSQL Radmin MySQL HTTP 1 0,957 -0,2 0,016 -0,104 0,202 -0,072 -0,114 -0,06 -0,017 HTTPS 0,957 1 -0,189 -0,036 -0,086 0,208 -0,03 -0,115 -0,06 0,054 Telnet -0,2 -0,189 1 -0,17 0,179 -0,191 0,067 0,367 0,027 -0,163 HTTPa 0,016 -0,036 -0,17 1 0,134 -0,031 0,607 -0,351 0,295 0,468 SIP -0,104 -0,086 0,179 0,134 1 0,464 0,27 0,386 0,4 0,174 RDP 0,202 0,208 -0,191 -0,031 0,464 1 0,279 -0,036 0,241 0,153 SSH -0,072 -0,03 0,067 0,607 0,27 0,279 1 0,286 0,191 0,618 mSQL -0,114 -0,115 0,367 -0,351 0,386 -0,036 0,286 1 0,014 -0,204 Radmin -0,06 -0,06 0,027 0,295 0,4 0,241 0,191 0,014 1 -0,06 MySQL -0,017 0,054 -0,163 0,468 0,174 0,153 0,618 -0,204 -0,06 1 Для выявления возможных взаимосвязей событий на различных портах сетевых интерфейсов выполня- ется расчёт коэффициентов корреляции и построение графиков для выбранных портов (рис. 12). Событием при этом считается количество зафиксированных по- пыток доступа к порту за период времени либо коли- чество превышений установленного в конфигурации порога. Для расширенного анализа рассмотрены сервисы, наиболее подверженные угрозам, и выполнен расчет зависимостей между ними (коэффициентов линейной корреляции Пирсона). Результаты приведены в таб- лице. Исходя из результатов проведенного анализа, можно сделать выводы о существовании взаимосвязи событий между следующими интернет-сервисами: - HTTP-HTTPS - обнаружение веб-серверов по открытому и защищенному соединению (0,957); - SSH-HTTPa - согласованные попытки обнару- жения сервисов удаленного входа и прокси-серверов (0,607); - MySQL-SSH - согласованные попытки обнару- жения сетевой базы данных и входа на удаленный сервер (0,618). Таким образом, существует сильная связь между сетевыми службами, работающими по протоколам HTTP-HTTPS, и при обращении к одной из них вели- ка вероятность попытки доступа ко второй. В свою очередь, доступ по этим протоколам не коррелирует с остальными протоколами, и можно сделать вывод о существенно различных источниках угроз. Среди остальных сервисов наиболее показательным по по- пыткам доступа является протокол SSH (Secure Shell), доступ к которому может служить индикатором по- пыток обнаружения слабозащищенных сервисов из второй группы (SSH, MYSQL, HTTPa, SMTP). Полученная с помощью системы информация и выводы на основе ее дальнейшего анализа могут быть использованы для корректировки конфигурации активных систем информационной безопасности и для предотвращения в дальнейшем инцидентов, характеризующихся подобными событиями. Заключение. В статье проведено исследование се- тевых аномалий для журналов интернет-служб. Пред- ложена модифицированная модель обеспечения ин- формационной безопасности корпоративной сети. Реализация модели в виде веб-приложения позволила провести анализ угроз и выявить актуальность разви- тия систем анализа аномалий и интеграции их в ин- фраструктуру организации. Результатом работы стало полнофункциональное программное обеспечение - автономная система ана- лиза журналов сетевых служб. Система расширила существующие средства обеспечения безопасности корпоративной сети дополнительными сервисами, предназначенными для выявления сетевых аномалий на граничных участках инфраструктуры. Разработанная система содержит аналитические инструменты для обнаружения и изучения потенци- ально опасных сетевых аномалий. Она позволяет вы- полнять группировку и агрегацию данных, строить диаграммы статистики активности агентов угроз, вычислять зависимости между событиями возникно- вения аномалий и рассчитывать коэффициенты линейной корреляции для отдельных сервисов. Ана- литические функции, реализованные в интерактивном интерфейсе программного обеспечения, позволяют получать детальное представление об исследуемой аномалии в режиме реального времени. Созданные программные компоненты повышают эффективность использования стандартных систем обнаружения и предотвращения вторжений за счет выявления и учета новых нестандартных факторов и зависимо- стей. Выполнена апробация и внедрение автономной системы анализа журналов сетевых служб в инфра- структуру корпоративной сети Красноярского науч- ного центра. Ее применение позволило произвести конфигурацию первой линии защиты от сетевых атак с учетом выявленных инцидентов и источников угроз, ранее не рассматриваемых в стандартных средствах защиты, что повысило оперативность реагирования на возникающие угрозы и уровень кибербезопасности организации в целом.

Sobre autores

N. Kulyasov

Institute of Computational Modelling SB RAS

Email: razor@icm.krasn.ru
50/44, Academgorodok, Krasnoyarsk, 660036, Russian Federation

S. Isaev

Institute of Computational Modelling SB RAS

50/44, Academgorodok, Krasnoyarsk, 660036, Russian Federation

Bibliografia

Arquivos suplementares