Эмпирический подход к моделированию неопределенности при анализе вторжений

Неопределенность является неотъемлемой особенностью анализа вторжений вследствие ограниченного представления, предоставляемого средствами мониторинга систем, системами обнаружения вторжений (IDS) и различными типами журналов. Злоумышленники практически невидимы в киберпространстве, а средства мониторинга могут наблюдать лишь симптомы или последствия вредоносной активности. Смешиваясь с аналогичными эффектами нормальной или не вредоносной активности, эти наблюдения приводят анализ вторжений к выводам с различной степенью достоверности и высокой частотой ложноположительных и ложноотрицательных результатов. В статье представлен эмпирический подход к проблеме неопределенности, при котором предполагаемые последствия низкоуровневых наблюдений для безопасности описываются на простом логическом языке, дополненном метками достоверности. Мы разработали автоматизированный процесс логического вывода, позволяющий объединять несколько источников данных системного мониторинга и извлекать высокодостоверные трассы атак из множества возможных интерпретаций низкоуровневых наблюдений. Нашу модель мы разработали эмпирически: исходной точкой стало реальное вторжение, произошедшее в университетской сети, которое мы исследовали для выявления сущности процесса рассуждения человека, приведшего к выводам об атаке. Затем мы использовали язык, подобный Datalog, для кодирования модели и систему Prolog для выполнения процесса логического вывода. Наша модель и система рассуждения пришли к тем же выводам, что и администратор, относительно того, какие машины были определенно скомпрометированы. Далее мы автоматически сгенерировали модель логического вывода, необходимую для обработки оповещений Snort, на основе описаний на естественном языке из репозитория правил Snort, и разработали дополнение Snort для анализа этих оповещений. Не изменяя модель рассуждения, мы применили нашу систему к двум наборам данных, предоставленным сторонними организациями, и к одной производственной сети. Результаты показали, что модель рассуждения эффективна и на этих наборах данных. Мы считаем, что такой эмпирический подход способен формализовать кажущееся ситуативным человеческое рассуждение о событиях с неопределенностью и может дать полезные...