Введение. Согласно анализу кибер-атак 2015-2016 годов, выполненному компанией Positive Technologies, “нарушители все реже прибегают к атакам с эксплуатацией уязвимостей нулевого дня, переходя на более простые методы проникновения” [1]. Лишь в 20% случаев использовались так называемые уязвимости нулевого дня, при этом среднее время присутствия атакующих в системе увеличилось до 3 лет [2]. Это показывает, что несмотря на важность обеспечения защиты компьютерных сетей, эта задача до сих пор не имеет доступного и качественного метода решения.Среди существующего множества средств обеспечения информационной безопасности особо выделяются системы обнаружения вторжений (СОВ) [3]. Их особенностью является комплексный подход к сбору и анализу данных, что позволяет охватить наибольший спектр угроз, в числе которых несанкционированный доступ к ресурсам сети, атаки отказа в обслуживании (DDoS) и т.д. Любая СОВ включает в себя две обязательные подсистемы - сенсорную и аналитическую. Вне зависимости от устройства сенсорной подсистемы, аналитическая является ядром СОВ и от ее эффективности зависит работа всей системы.Для анализа сетевого трафика в СОВ используют различные подходы. В [4] авторы предлагают использовать для анализа методы, основанные на нечеткой логике, но использование таких подходов предполагает выполнение дополнительных действий, таких как: создание лингвистических переменных, составление базы правил и, как правило, требует наличие эксперта в данной предметной области.В настоящее время, наиболее интенсивно развивающимся разделом интеллектуальных методов анализа данных являются искусственные нейронные сети [5]. Их применение в данной области считается наиболее перспективным.В [6] предлагается использовать двухэтапную обработку входящей информации – на первом этапе происходит уменьшение размерности вектора входных данных при помощи нелинейной рециркуляционной нейронной сети, а на втором этапе – обнаружение атак с использованием многослойного перцептрона, который осуществляет обработку сжатого пространства входных образов с целью распознавания класса атаки. Такой подход требует предварительный анализ параметров сети для создания нелинейной рециркуляционной нейронной сети.Авторы статьи [7] предлагают свести задачу обучения нейросетевой системы к поиску и извлечению информативных признаков, их сжатию с помощью метода главных компонент, дальнейшей обработки с помощью рециркуляционной нейронной сети и применение двухслойного перцептрона или сети Кохонена на базе выделенных информационных векторов признаков. Существенным недостатком в этом случае является существенное увеличение временной сложности при обучении сети распознаванию новых видов сетевых атак.В данной работе предлагается структура СОВ и использование искусственной нейронной сети на основе адаптивно-резонансной теории (АРТ) для решения задачи анализа трафика.     1. Описание общей системы обнаружения сетевых атакНа рис. 1 изображена общая схема системы обнаружений и противодействия сетевым атакам в локальных вычислительных сетях.  Рис. 1. Общая схема системы обнаружения сетевых атак  Модуль агрегации сетевого трафика используется для перехвата сетевых пакетов и их анализа на принадлежность конкретному соединению. После выполнения этих действий происходит обновление анализируемых параметров соответствующего соединения.Модуль анализа трафика включает в себя нейронную сеть на основе адаптивно-резонансной теории. Для данной системы была выбрана сеть АРТ-2, позволяющая работать с входными векторами, состоящими из вещественных чисел. Сеть осуществляет определение принадлежности соединения к группе сетевых соединений, характерных для нормального или аномального состояния сети. Под аномальным состоянием сети понимается состояние, при котором выполняется противоправные действия, т.е. совершается одна из сетевых атак, рассмотренных в выборке KDD’99.   Результат работы модуля анализа передается в модуль принятия решений. На основе результата анализа он либо отклоняет соединение и уведомляет администратора об атаке, либо позволяет модулю управления соединениями передать пакет приложению пользователя для дальнейшей обработки. Модули принятия решений образуют распределенную систему, предназначенную для согласования действий и дообучения нейронных сетей.2. Анализ сетевого трафика на основе АРТ-2Для сбора сетевого трафика используется библиотека PСap (Packet Capture) [9]. Применение библиотеки PСap позволяет значительно снизить время получения и регистрации трафика. В работе [10] приведен пример использования драйвера PCap и его модификации WinPCap.Для дальнейшего анализа в работе предлагается выделять 41 параметр трафика, согласно описанию, составленному на конференции International Knowledge Discovery and Data Mining Tools Competition [8].Общие положения АРТ-2 выдвинуты С. Гроссбергом и подробно изложены в его работах [11-13]. Дальнейшее применение сетей АРТ изложено в работах [14, 15]. Основная идея заключается в том, что распознавание векторов данных, описывающих различные образы, является результатом частичного или полного соответствия состояния весов одного из обученных распознающих нейронов входному нормализованному вектору, т.е. вхождения в резонанс сенсорного и распознающего слоев сети. Возникший резонанс оценивается управляющими нейронами. Если он достаточен, т.е. превышает заранее определенный порог, то считается, что соответствие между вектором входных данных и образом из памяти сети установлено. Иначе управляющий слой замораживает резонировавший нейрон распознающего слоя и процедура распознавания повторяется. Если в конце все нейроны распознающего слоя оказываются заморожены, то в этот слой добавляется новый нейрон и его веса обучаются таким образом, чтобы он с достаточной степенью соответствовал вектору входных данных, т.е. происходит дообучение сети.На рис. 2 изображена схема нейронной сети АРТ-2. Данная сеть принимает на вход вектора вещественных чисел.   Рис. 2. Схема сети АРТ-2 для выявления сетевых атак  Каждый входной вектор содержит 41 сетевой параметр, выделенный из сетевого трафика. Далее в блоке нормализации происходит нормировка входных данных. Полученный вектор объединяется с информацией из обратной связи с распознающим слоем.После нормализации данные попадают в группу нейронов P распознающего слоя. Далее вычисляется значения нейронов слоя Y на основании соответствующих весов связей от P к Y.                          (1)где zij – вес связи от Pi к Yj; j = (1..N), i = (1..41); N – количество нейронов слоя Y.Среди нейронов слоя Y определяется наибольшее значение. Затем корректируются  нейроны P слоя с использованием весов связей от выбранного максимального нейрона Y слоя.                      (2)                  (3)где max() – функция, возвращающая индекс максимального нейрона из слоя Y; i = (1..41); Ui – выходной нейрон слоя нормализации, d – константа, принятая 0,9.Полученный результат оценивается посредством вычисления выходных значений группы нейронов Ri управляющего слоя из значений выходных векторов нормализующего и распознающего слоев.                   (4)где i = (1..41), c = 0,1.Далее вычисляется норма RN вектора R и определяется ее соответствие пороговому значению. Если R не удовлетворяет пороговому значению, то выбранный нейрон Y слоя замораживается, и процедура распознавания повторяется еще раз без его участия, пока не будут заморожены все нейроны или пока не будет найден такой результат распознавания, который удовлетворял бы пороговому значению.                            (5)                        (6)где vagilance – пороговое значение, eps – малое число, для предотвращения деления на ноль.Если в результате повторного выполнения процедуры распознавания все нейроны Y распознающего слоя оказываются заморожены, то к нейронам Y слоя добавляется новый нейрон и происходит обучение весов его связей с нейронами слоя P.Для решения задачи анализа трафика и обнаружения сетевых атак сети АРТ-2 обладают следующими ключевыми особенностями:– возможность создания нового класса распознаваемых векторов в случае несоответствия входного вектора ни одному из существующих классов;– отсутствие необходимости полного переобучения сети для добавления новой информации;– в весах каждого нейрона распознающего слоя хранится только одно изображение, полученное в результате выделения общих свойств изображений обучающей выборки.3. Результаты применения АРТ-2 сети для решения задачи обнаружения сетевых атакНейронная сеть на базе АРТ была обучена на выборке, состоящей из 489 296 векторов данных. Эксперимент проводился на тестовой выборке размером в 2 351 447 векторов. В таблице 1 представлены общие результаты распознавания классов атак. В случае, если система обнаруживала атаку, но не верно указывала группу, к которой она принадлежит, то считалось, что атака обнаружена неверно. Таблица 1Результаты эксперимента по распознаванию состояния сетиКласс <группы>Точностьnormal < normal >0.96dos <back, land, neptune, pod, smurf, teardrop>0,913u2r < buffer_overflow, loadmodule, perl, rootkit>0,48r2l < ftp_write, guess_password, imap, multihop, phf, warezmaster>0probe < ipsweep, nmap, portsweep, satan>0,805 На рис. 3 показаны результаты эксперимента по распознаванию состояния сети, где по оси абсцисс расположены названия групп атак, а по оси ординат - точность определения конкретного состояния сети. Из результатов видно, что не все классы атак были распознаны достаточно хорошо. Следует отметить, что такие атаки как warezmaster и ipsweep составляют в сумме около 0.003% выборки, соответствующим образом они были представлены и в обучающей выборке. Таким образом, для обучения сети распознаванию атак этого типа было недостаточно образцов, однако, вследствие их редкости можно пренебречь ошибкой в их распознавании.Основной группой атак в тестовой выборке были dos-атаки. Атаки этой группы были обнаружены и правильно классифицированы с ошибкой всего в 0.15 %. Следующей по величине группой состояний сети является нормальное состояние - ошибка при его распознавании составила 3.6 %.  Рис. 3. Подробные результаты эксперимента по распознаванию состояния сети  В [6] производился эксперимент с сетями Кохоннена и двухслойным перцептроном на такой же тестовой выборке KDD’99. Авторы статьи производили обучение сети на полной тестовой выборке, о чем свидетельствуют показатели полноты в результатах их экспериментов. В большинстве случаев полнота обучающей выборки в работе [6] была на порядок выше, чем в эксперименте, проведенном в данной работе. При этом точность определения наиболее распространенных классов атак сетью АРТ-2 оказывается не хуже, чем сетями Кохоннена и двухслойным перцептроном. Низкие показатели для атак группы teardrop, nmap и back объясняются малым количеством этих атак как в обучающей, так и в полных выборках.ЗаключениеВ ходе исследования был предложен подход к разработке СОВ, отличительной особенностью которого является использование сетей адаптивно-резонансной теории для анализа параметров сетевых соединений. Сетевое соединение представляет собой кортеж из 41 параметра. Данные параметры являются, как частями принятых пакетов (флаги пакетов), так и статистически накапливаемыми характеристиками сетевых соединений(например, время соединения). В качестве технологии распознавания состояния сети использовалась искусственная нейронная сеть АРТ-2, основным преимуществом которой является возможность классификации новых образов без переобучения ранее запомненных.Были проведены эксперименты с применением тестовый выборки KDD’99. Общие результаты эксперимента, а также их сравнительный анализ с результатами аналогичных экспериментов показывают возможность применения АРТ-2 для обнаружения и классификации сетевых атак в модуле анализа сетевых данных в составе системы обнаружения вторжений.В ходе работы было выявлено два недостатка нейронной сети на базе АРТ-2: сложность организации параллельных вычислений и долгий поиск активного нейрона из слоя Y. Целесообразно разработать модификацию АРТ-2 с целью изменения структуры памяти сети для эффективного решения описанных проблем.