Конкурс проектов Вводные положения

Приложение № 1.

• 
  Постановка проблемы и задачи решения;
  
• 
  Обоснование актуальности темы;
  
• 
  Предлагаемые методы и подходы для решения;
  
• 
  Основные этапы;
  
• 
  Ожидаемые результаты;
  
• 
  Бюджет проекта (если присутствует)
  
• 
  Список публикаций, на которые ссылается конкурсная работа.
  

I. Обоснование актуальности темы Очень важной и острой проблемой обеспечения надежной работы компьютерных сетей является предотвращение вирусных эпидемий. Создание сетевых червей и вирусов в настоящее время является некоторой специфической отраслью информационных технологий со значительным финансированием. В настоящее время основная цель внедрения чужеродного вредоносного кода (вирусы, черви и т.д.) не нарушение работы компьютеров, операционных систем или отдельных приложений, а получение коммерческой выгоды. Создатели вредоносных программ наоборот стараются максимально скрыть свою деятельность и присутствие вредоносного программного обеспечения (ПО). Средой существования, деятельности и распространения компьютерных угроз являются информационно – вычислительные сети (ИВС), которые можно определить как территориально рассредоточенные многомашинные системы сбора, хранения и обработки информации; совокупность средств вычислительной техники коллективного пользования, объединенных линиями связи и совместно используемых для решения задач информационного обслуживания. В силу исторически сложившихся обстоятельств любая ИВС, начиная с уровня района города и до масштаба сети Интернет имеет нерегулярную структуру. Это определяется множеством факторов, среди которых можно выделить: наличие провайдеров с различным сетевым и коммуникационным оборудованием, переменным числом абонентов с постоянно изменяющейся топологией подключения и многим другим. Наиболее ярким примером информационно – вычислительной сети с нерегулярной структурой является Интернет. Анализ сетевых эпидемий Code Red I, Code Red II, Nimda и Slammer [1, 2] и ряда других показал [3, 4], что принимаемые меры защиты [5], обладают малой эффективностью. Кроме того, как показывают результаты работы N. Weaver и его коллег [2], создаваемые угрозы еще не достигли максимальной эффективности и может быть разработана стратегия распространения вируса с практически мгновенной скоростью захвата сети. Кроме того, мгновенный захват сети может и не являться наиболее эффективным, если будет связан с большим увеличением трафика (повышенной сетевой активностью вирусов), анализ величины которого может дать возможность остановить атаку на ранних стадиях. Более значимым может оказаться достаточно медленное распространение вирусов без заметного увеличения трафика, с активацией вредоносных действий уже после того, как сеть будет захвачена (один из примеров – это ботнеты). Идеальная с точки зрения быстродействия и поражения целей угроза должна: Иметь небольшой размер, чтобы уместиться, например, в одном UDP-пакете, объемом не более 404 байта (высокая скорость распространения). Умет анализировать и использовать различные наборы уязвимостей (увеличение проникающей способности). Проводить целенаправленное распространение по сети, а не случайный выбор целей в ее адресном пространстве (уменьшение сетевого трафика). Использовать различные механизмы распространения, в том числе, например, за счет рассылки своих копий, прикрепленных к e-mail сообщениям из списка адресов зараженного компьютера (увеличение скорости распространения). Использовать различные механизмы преодоления антивирусов (изменять свой размер произвольным образом, проводить шифрование и т.д.). Не создавать специфического сетевого трафика, позволяющего заподозрить вирусную активность. Особого внимания в перечисленном списке характеристик идеальных угроз заслуживают пункты номер 1,3 и 6. Практика червя Slammer, показала, что даже очень хороший с точки зрения проникновения и скорости распространения вирус, при использовании механизма случайного выбора адресов очень быстро заполняет все каналы связи. В результате вирусы сами начинают мешать пересылке своих копий. Однако, если предварительно распределить между вирусами адреса сети, то это будет приводить к увеличению их размеров за счет базы адресов, которая будет передаваться вместе с ними, и снижая скорость их распространения, за счет увеличения числа пакетов. Оптимальное решение может быть получено за счет разработки и использования эффективного алгоритма разделения адресного пространства, но основанного не на передачи базы адресов [6]. Все вышеизложенное показывает насколько значимым и актуальным является исследование моделей поведения и распространения вирусных эпидемий в информационно – вычислительных сетях с различной структурой. II. Постановка проблемы и задачи решения Разработка моделей и исследование стратегий распространения компьютерных угроз в информационно – вычислительных сетях, имеющих различную (в том числе и случайную) топологию представляет научный и практический интерес для создания новых алгоритмов и механизмов мониторинга, в том числе и слабой сетевой активности угроз на ранних стадиях развития эпидемий. Особо следует подчеркнуть, что исследование распространения эпидемий компьютерных угроз можно разделить на два очень важных направления: Исследование кинетики (зависимости от времени) изменения общего числа зараженных узлов в ИВС при различных алгоритмах (стратегиях) поведения вирусов в сети. Исследование влияния топологии ИВС на образование кластеров (групп связанных узлов) зараженных узлов разного размера на разных стадиях и шагах развития эпидемий. Первое направление (исследование кинетики) может позволить ответить на очень важный вопрос о принципиальной возможности создания надежной превентивной защиты (защиты основанной на упреждении быстрого развития эпидемии неизвестной ранее угрозы) ИВС. Исследования по второму направлению должны дать ответ на вопрос ИВС с какой топологией более устойчивы к образованию кластеров зараженных узлов разного размера, а значит способны дольше противостоять развитию эпидемий и, следовательно являются более надежными. Исследования в обоих направлениях могут помочь в создании алгоритмов раннего мониторинга сетевых угроз и способствовать разработке архитектур распределенных систем обеспечения безопасности. Следует отметить, что и в первом и во втором случае проводить натурные эксперименты не представляется возможным, т.к. это потребует соединения в единую физическую сеть большого числа компьютеров. Цена такого эксперимента слишком велика для натурного моделирования. Кроме того, в связи с реконфигурации физической сети для каждого эксперимента, такая работа заняла бы слишком много человеко - часов труда. В связи с этим численное моделирование представляется наиболее подходящим способом изучения процессов распространения вирусной эпидемий в компьютерных сетях. III. Предлагаемые методы и подходы для решения В рамках проведенного исследования будут приняты следующие упрощения: все узлы компьютерной сети образуют единую сеть с определенной топологией, а вирус может отправить свои копии от любого узла до любого другого произвольного узла, выбрав его адрес из всего множества. Причем каждый узел потенциально может иметь некоторую уязвимость, позволяющую его инфицировать с некоторой вероятностью. Таким образом, общее число зараженных узлов будет определяться только стратегией поведения вирусов (т.к. рассылка идет по случайным узлам сети), а образование кластеров (ближайших связанных между собой) зараженных узлов, как от топологии сети, так и стратегии поведения. В рамках исследования будут рассмотрены 8 различных топологий компьютерных сетей, на рис.1. представлены сети с регулярной структурой, а на рис.2 со случайной. Рис.1. Топология сетей имеющих регулярную структуру Рис.2. Топология сетей со случайной структурой В разрабатываемых алгоритмах мониторинга сетевых угроз и архитектуре распределенной системе безопасности обязательно должны быть учтены результаты по моделированию образования кластеров зараженных узлов. При этом можно рассматривать различные теоретические типы топологий сети, распределения адресных пространств и скорость распространения вирусной эпидемии, а также скорость образования кластеров зараженных узлов. Одной из основных задач исследования станет определение степени схожести свойств реальной сети и различных теоретических типов топологий, таких как: случайная сеть Кэйли, регулярная сеть Кэйли, треугольная, прямоугольная, шестиугольная, 3,122, случайная с множеством связей между узлами. На основе данных экспериментов, можно выявить сеть (или типы сетей) наиболее близких по своим свойствам к реальной сети Интернет, что необходимо, для дальнейшего анализа и прогнозирования процессов происходящих в реально существующей сети. Одним из предельных случаев информационно-вычислительной сети является структура типа квадратной решетки (рис. 1). Отметим, что реальная сеть имеет топологию близкую к случайной решетке, или случайной сети Кэйли (см. рис. 2), а не квадратной, треугольной, шестиугольной и т.д. решеток. Вместе с тем рассмотрение моделей для регулярных структур позволит разработать общие подходы к описанию распространения вирусов и образования кластеров зараженных узлов в реальной ИВС. Стратегии распространения вирусов Для изучения общей кинетики заражения сетей с различными структурами предполагается изучения разных стратегий распространения вирусов: Случайное распространение вирусов. При случайном распространении вирусов заражаются произвольные узлы адресного пространства без его разделения на подмножества, что и обуславливает название данной стратегии. В этой стратегии, особенно на заключительной стадии развития эпидемии, когда фактически вся сеть является зараженной, несколько различных вирусов отправляют копии на один и тот же узел, который и сам может быть уже зараженным. Возникает ситуация взаимных DDoS атак, лавинообразное увеличение трафика, перегрузка каналов связи и фактически их физическое отключение. Распространения с разделением адресного пространства. В представленной работе мы будем исследовать две способа распространения вирусов для данной стратегии, которые получили названия: RandomWithDif и CodeRed II. RandomWithDif - при этом способе все адресное пространство сети делится, вирусом прародителем всего заражения, на подпространства (эти способы будут описаны ниже). Далее он начинает рассылку своих копий по выделенным подпространствам адресов, пытаясь заразить в каждом из них узел. Как только вирус заражает узел, он перестает отправлять свои копии в данное подпространство. Каждый вирус потомок прародителя получает определенную часть адресного подпространства (назовем его сегментом) и также делит его одним из четырех способов (которые будут описаны ниже). Далее вирус потомок рассылает свои копии по своему сегменту и пытается заразить по одному из узлов в заданном ему массиве адресов. Как только он заражает узел в некотором участке сегмента, вирус перестает отправлять в него свои копии и т.д. Таким образом, на всех этапах развития вирусной эпидемии каждый из потомков повторяет действия своего прародителя, действуя параллельно с остальными. CodeRed II – способ распространения более сложный чем RandomWithDif. Каждый зараженный узел на следующем шаге с вероятностью 1\8 заражает совершенно случайно выбранный из всей сети узел. С вероятностью 3\8 заражает узлы из своего адресного подмножества. С вероятностью 4\8 заражает узел в одном из своих, уже им зараженных сегментов. Поскольку данную стратегию использовал вирус CodeRed II, то она и получила это название. Разделения адресного пространства Для каждого из двух способов распространения вирусов, использующих стратегию разделения адресного пространства нами будут исследовано 4 метода такого деления (которые получили названия: Sqrt, Binary, LoadBalance, GoldSection): Sqrt - адресное пространство делится на корень квадратный подпространств, из размера пространства. Первый узел получает все пространство размера N и делит его на корень квадратный. На втором этапе, зараженный узел получается уже одно из подпространств равное корню из N и делит его на корень квадратный из корня из N. Таким образом, для сети размером 100000, первый вирус (прародитель) имеет 1000 подпространств по 1000 адресов (узлов), а второй уже имеет примерно 31-32 подпространства по 31-32 адреса и т.д. Binary - все пространство на первом этапе разбивается на 2, затем после каждого заражения, сегмент разбивается еще пополам (бинарное разделение). LoadBalance - является более общим случаем бинарного разделения адресного пространства. В нем мы делим все пространство N на n подпространств, которое достается первому вирусу – прародителю эпидемии. Далее второму достается n подпространств размером . И так до момента, когда размер подмножества не будет меньше, чем указанная граница. GoldSection - адресное пространство разбивается в соответствии с пропорцией золотого сечения на 2 части, доля первого сегмента равна x=0.382, доля второго 1-x. Алгоритмы распространения компьютерных угроз В общем случае алгоритм распространения вирусов в сети может иметь следующий вид: Задаем число узлов m (не менее 100000) и строим физическую сеть с определенной топологией связей ближайших узлов (сеть Кэйли, треугольная, шестиугольная, квадратная, 3,122, со случайными связями и т.д.). Индексируем узлы сети. Случайным образом выбираем один из узлов сети и считаем его зараженным вирусом. Считаем, что распространение вирусов в сети происходит с течением времени дискретным образом. Вирус отправляет свои копии по выбранным адресам. Одна отправка всех своих копий – один шаг процесса развития эпидемии. Копии поступают на выбранные узлы и либо заражают их, либо нет. На следующем шаге развития эпидемии новые зараженные узлы вместе со старыми, начинают отправлять копии вирусов по выбранным адресам, происходит новое заражение других узлов, после которого начинается следующий шаг развития в сети компьютерной угрозы. Задаем число копий – ε, которое может отправить любой вирус на одном шаге. Задаем величину вероятности – p заражения узла, при попадании вируса. Величина вероятности – p от времени не зависит, т.к. мы считаем, что она определяется уязвимостью данного узла, которая в свою очередь может определяться множеством параметров (типом программного обеспечения, под управлением которого работает данный узел ИВС, действиями системного администратора, физическим состоянием оборудования и т.д.). Выбираем узлы сети на которые будут отправлены копии (в соответствии с рассматриваемой моделью поведения). Следует особо отметить, что выбираются узлы сети с произвольными адресами, а не ближайшие к данному зараженному узлу и имеющие с ним прямые физические связи. В реальной сети ближайшие узлы могут быть не целями атаки, а играть только роль посредников в передачи вирусов. После каждой итерации записывается все метрики процесса (такие как: количество разосланных копий вируса, количество зараженных узлов, приращение зараженных узлов и другие параметры). После записи состояния (метрика процесса) происходит вычисление размеров кластеров состоящих из зараженных узлов. Далее записывается количество кластеров, количество узлов в кластерах и размеры каждого кластера (параметры кластеризации сети). Вычислительная сложность исследований и использованные технологии Набор задач для численного моделирования состоит из комбинаций различных топологий сетей, стратегий распространения вирусов, способов разделения адресного пространства, комбинаций параметров самих сетей (количество связей между узлами). Для проведения всего исследования необходимо провести решение 415 задач. Кроме того, чтобы избежать влияния случайных отклонений каждая из задач, для увеличения надежности получаемых результатов должна быть повторена как минимум по 100 раз (для однотипных условий), после чего необходимо найти средние значения. Таким образом, общее число численных экспериментов составит 41500. Очевидно, что для проведения моделирования необходимо использовать высокопроизводительные вычисления. Оценка наименьшего времени проведения 1 эксперимента (на имеющимся в распоряжении оборудовании) при проведении расчетов на виртуальной машине под управлением ОС Windows HPC Server 2008 R2 с установленным .Net 4.0, запущенной на 4-х ядерном физическом сервере Intel Xeon X 5550 2.67 ГГц, с 5 Гб оперативной памяти составляет ~200 секунд, что в общей сложности составит не менее 2153 часов расчета, при условии вычислений в 4 потока (8612 часов, при последовательном вычислении). Кроме того, следует учесть, что время одного эксперимента зависит ещё от стратегии распространения и способа разделения адресного пространства, а вычислительная трудоемкость учета этих факторов существенно выше, поэтому полученная нижняя граница оценки оказывается в разы меньше реальной, и для некоторых стратегий распространения, время одного численного эксперимента достигает порядка 15 минут. В общей сложности для проведения исследований на оборудовании с указанными характеристиками требуется от 5000 до 6000 часов машинного времени. Однако, авторы предлагаемого проекта имеют возможность использования более высокопроизводительных вычислений, за счет того, что Московский государственный университет приборостроения и информатики (МГУПИ) является участником академической программы: “Университетский кластер” (http://www.ispras.ru/ru/unicluster/members.php). Координатором программы со стороны МГУПИ является научный руководитель предлагаемого проекта доктор технических наук, профессор Жуков Дмитрий Олегович. Вычислительные модули исследований будут реализованы с использованием возможностей Globus toolkit, базирующихся на открытых стандартах программного обеспечения и программное обеспечение промежуточного слоя OSCAR. Для визуализации и графического отображения результатов моделирования будет использоваться набор объектов WPF). Цели исследования: Реализовать математическое моделирование кинетики и топологии распространения компьютерных угроз в информационно – вычислительных сетях со случайной структурой численными методами, с применением высокопроизводительных и параллельных вычислений. Исследовать кинетику изменения общего числа зараженных узлов сети на разных шагах развития эпидемии в зависимости от модели распространения вирусов. Исследовать влияние топологии (случайной и регулярной структуры) сетей (при общем одинаковом среднем числе связей, приходящихся на один узел) на образование кластеров инфицированных узлов любых размеров. Это необходимо для выявления влияния топологии на кинетику заражения с точки зрения симметрии сети (т.е. качественный подход). Исследование влияния увеличения среднего числа связей в случайных сетях с множеством путей между узлами на скорость заражения. Это необходимо для выявления влияния топологии на кинетику заражения с точки зрения влияния среднего числа связей приходящихся на один узел любой сети (т.е. количественный подход). Исследование влияния числа связей в регулярных структурах на скорость образования кластеров любых размеров в структурном ряду: регулярная сеть Кэйли, 3,122, шестиугольная, квадратная и треугольная решетка. Исследование образования кластеров любых размеров для сетей Кэйли со случайным числом связей. IV. Основные этапы и ожидаемые результаты Наименование этапа Содержание работ этапа и используемые методы Ожидаемые результаты Анализ существующих компьютерных сетевых угроз. Исследование механизмов распространения, моделей их распространения. Изучение моделей и методов мониторинга сетевой активности и борьбы. Изучение доступных источников данных на бумажных и электронных носителях. Сравнение результатов, полученных при использовании в моделировании существующих моделей распространения и предлагаемых авторами проекта. Разработка алгоритмов эффективного распространения компьютерных угроз в информационно – вычислительных сетях. Методы теория принятия решений, системного анализа. Моделирование вирусных эпидемий и образование кластеров зараженных узлов информационно – вычислительных сетей с регулярной топологией (дерева Кэйли, квадратных, треугольных, шестиугольных решеток и так называемая структура 3,122. Методы численного моделирования. Теория алгоритмов и теория принятия решений. Объектно-ориентированное программирование (ООП), с использованием среды разработки Microsoft Visual Studio 2010 для создания приложений, реализующих моделирование и параллельные вычисления. Высокопроизводительные параллельные вычисления. Вычисления будут организованы в сети, состоящей из 6 компьютеров (Intel Core 2 Quadro, 4GB RAM, с лицензионными операционными системами Microsoft Windows 7) и сервера HP ProLiant DL380G6 (лицензионная Windows Server 2008 R2). Кроме того, некоторая часть проекта связанная с высокопроизводительными вычислениями будет осуществлена на узлах сети входящих в программу “Университетский кластер”, участником которой является исполнитель http://www.ispras.ru/ru/unicluster/members.php). Вычислительные модули будут реализованы с использованием возможностей Globus toolkit, базирующихся на открытых стандартах программного обеспечения и программное обеспечение промежуточного слоя OSCAR. Для визуализации и графического отображения результатов моделирования будет использоваться набор объектов WPF. Будет разработано специальное программное обеспечение для исследования процессов распространения компьютерных угроз в регулярных и нерегулярных структурах, позволяющее проводить численное моделирование образования кластеров зараженных узлов, расчет числа областей зараженных узлов, а также исследовать какие из топологий сетей, при прочих равных условиях наименее подвержены заражению. Будет проведен анализ зависимости среднего размера кластеров зараженных узлов в зависимости от алгоритма распространения вирусов, который позволит выбрать наиболее оптимальную топологию для построения ИВС, устойчивой к распространению угроз, за счет уменьшения числа зараженных узлов на каждом шаге развития эпидемии. Будут разработаны новые методы и алгоритмы защиты и обеспечения бесперебойной работы ИВС, основанные на полученных теоретических результатах и данных математического моделирования. Моделирование вирусных эпидемий и образование кластеров зараженных узлов информационно – вычислительных сетей с нерегулярной топологией (случайная сеть (с произвольным числом связей между узлами, но их некоторым дублированием) и сеть имеющая топологию дерева Кэйли со случайным числом связей между узлами (без дублирования связей)). Методы численного моделирования. Теория алгоритмов и теория принятия решений. Объектно-ориентированное программирование (ООП), с использованием среды разработки Microsoft Visual Studio 2010 для создания приложений, реализующих моделирование и параллельные вычисления. Высокопроизводительные параллельные вычисления. Вычисления будут организованы в сети, состоящей из 6 компьютеров (Intel Core 2 Quadro, 4GB RAM, с лицензионными операционными системами Microsoft Windows 7) и сервера HP ProLiant DL380G6 (лицензионная Windows Server 2008 R2). Кроме того, некоторая часть проекта связанная с высокопроизводительными вычислениями будет осуществлена на узлах сети входящих в программу “Университетский кластер”, участником которой является исполнитель (http://www.ispras.ru/ru/unicluster/members.php). Вычислительные модули будут реализованы с использованием возможностей Globus toolkit, базирующихся на открытых стандартах программного обеспечения и программное обеспечение промежуточного слоя OSCAR. Для визуализации и графического отображения результатов моделирования будет использоваться набор объектов WPF. Анализ моделей и полученных результатов для сетей с регулярной и случайной структурой. Разработка алгоритмов мониторинга сетевых угроз, в том числе и на ранних стадиях развития вирусных эпидемий. Кроме того, предполагается, что результаты исследований и алгоритмы мониторинга могут позволить разработать архитектуру эффективной распределенной сетевой системы безопасности и защиты от новых компьютерных угроз. Методы теория принятия решений, системного анализа. Выработка рекомендаций по мониторингу и защите ИВС от эффективных компьютерных угроз. Описание и построение архитектуры распределенных сетевых систем мониторинга и защиты от компьютерных угроз. Методы теория принятия решений, системного анализа. V. Литература C.C. Zou, W. Gong, D. Towsley. Code Red Worm Propagation Modeling and Analysis.// In 9th ACM Symposium on Computer and Communication Security. – Washington DC, USA. – 2002. – P. 138 – 147. S. Staniford, V. Paxson, N. Weaver. How to Own the Internet in Your Spare Time.// 11th Usenix Security Symposium. – San Francisco, USA. – August 2002. – P. 149-167. – ISBN 1-931971-00-5. The Workshop on Rapid Malcode (WORM). – Washington DC, USA. – ACM PRESS. – October 27 2003. – ISBN 1-58113-785-0. А. А. Захарченко. Бой с тенью: компьютерные вирусы и причины сетевого хаоса. // Защита информации. Конфидент, 2003, № 6, с. 49 – 52. C.C. Zou, L. Gao, W. Gong, D. Towsley. Monitoring and Early Warning for Internet Worms. // Proceedings of the 10th ACM Conference on Computer and Communications Security, CCS 2003. – Washingtion DC, USA. – October 27-30, 2003. – ACM PRESS 2003. – ISBN 1-58113-738-9. Гусаров А.Н. Стратегии и алгоритмы распространения угроз в информационно-вычислительных средах. / Материалы Международной научно-технической школы – конференции «Молодые ученые – науке, технологиям и профессиональному образованию», Под редакцией член – корреспондента РАН А.С. Сигова, Москва, 2008, С.75 – 80.