Slides for meeting on 29.03.2007

Система анализа и выявления корреляций в потоке событий

безопасности

Пятигорский И.С.

Руководитель:

к.ф.м.н. Петровский М.И.

Введение

• IDS = Intrusion Detection System

• Любую систему, которая может посылать сигналы о возможном нарушение безопасности будем считать IDS

• Такие сигналы будем называть событиями безопасности

Поток событий безопасности

• IDS фокусируются на событиях низкого уровня

• События в потоке имеют разное качество и достоверность

• Необходимо выявлять полезную информацию из всего множества событий

Актуальность

• Сейчас IDS из экзотики становятся стандартом защиты компьютерных сетей

• Во многих случаях для улучшения защищенности устанавливаются несколько IDS

• Каждая из IDS генерирует множество событий, не все из которых бывают важными

Состояние исследований

• Существующие исследования концентрируются на организации процесса корреляции, а не на алгоритмах

• В качестве алгоритмов предлагаются простейшие эвристики (совпадение ip адресов) или примитивные статистические алгоритмы

Стандартная организация процесса

События Нормализация Предобработка

ВерификацияУстановка

приоритетов

Воссозданиеатаки

Шаблон атаки

Область применения алгоритмов data mining

Постановка задачи

Создать инструмент, с использованием алгоритмов data-mining, для интеграции нескольких IDS и последующего анализа консолидированного потока событий с целью выявления шаблонов атак.

Существующие решения

• Продукты netForensics – Реализованные способы корреляции:

• Статистический подход• Подход основанный на правилах• Корреляция данных сканера и IDS

Существующие решения

• MIRADOR, Hyper-Alerts, Meta-Alerts/Events– Используют статистические алгоритмы для

обнаружения корреляций

• OSSIM, GNG, LAMBDA, STATL– Сбор данных со многих IDS и корреляция

по заданным правилам– Каждая из систем предлагает свою

нотацию для задания правил

Общие проблемы

• Большинство подходов используют предопределенные правила для анализа корреляций

• Практически все результаты были получены на общеизвестных данных (DARPA, DEFCON)

Построение решения задачи

• Предложена система сбора событий OSSIM

• Собраны тестовые данные со стенда

• Выбран алгоритм для анализа корреляций

• Реализовано ПО на основе этого алгоритма для анализа потока событий и создания шаблонов атак

Система сбора событий

• Нормализует и обрабатывает события от разных сенсоров (IDS): Snort, Real Secure, Spade, NTOP, Firewall-1, Iptables, Apache, IIS, Cisco Routers

• Осуществляет верификацию событий в реальном времени

• Устанавливает приоритеты, используя знания о составе сети

Тестовые данные

• Были собраны в локальной сети общежитий МГУ

• Эмулировалась работа файл-сервера

• Использовалась версия MS Windows с большим количеством уязвимостей

• Данные собирались на отдельной машине

rumata (172.16.34.157)

Компьютеры, подключенные к

тому же свитчу, что и стенд

Виртуальный сетевой мост

VMware Network Adapter

prey (172.16.32.215)

ossim (172.16.32.214)

Виртуальная среда в компьютере rumata

Сеть общежития ГЗ МГУ hackers

(172.16.32.0/22)

Ближайший к стенду свитч

Эмуляция атак

• Использовалась система Metasploit Framework 2.0

• Была атакована уязвимость сервиса RPC: Microsoft RPC DCOM MSO3-026

• С помощью атак был получен доступ к машине с системными правами

• Выполнялось удаление всех файлов с атакованной машины

Результаты работы стенда

• Собрано 850 тысяч событий

• Из них 450 тысяч относятся к Prey

• Около 400 тысяч события связанные с проникновением случайных вирусов

• Около 50 тысяч нормальная активность

Выбор алгоритма для анализа корреляций

• Microsoft Sequence Clustering– Реализован в составе MS 2005 SSAS– Предназначен для анализа «вложенных» (nested)

данных– Использует фиксированное окно для исторических

данных

• Potential function feature space with Decision Tree (Pf-DT)– Требует самостоятельной реализации– Превосходит аналоги по точности

Программная реализация

• Работает с SQL Server 2005

• Позволяет выбирать атрибуты таблицы для анализа

• Позволяет настраивать Pf-DT

• Экспортирует выбранные шаблоны в формате OSSIM

Заключение

• Построена программная реализация алгоритма Pf-DT для анализа корреляций в потоке событий безопасности и последующего экспорта найденных шаблонов атак в формате OSSIM