подій НЕ підтрімується. Більш того, відсутня загальний Механізм цілей, Який можна Було б використовуват для обрізання часткового відповідності атак, вместо цього вікорістовується проста вбудована логічна функція.
4.4 Спостереження за натісканням клавіш
Для Виявлення атак в даній технології вікорістовується моніторинг за натісканням користувача на клавіші клавіатурі. Основна ідея - послідовність натисків користувача задає патерн атаки. Недоліком цього підходу є відсутність й достатньо надійного механізму перехоплення роботи з клавіатурою без ПІДТРИМКИ операційної системи, а такоже велику кількість можливіть варіантів Подання однієї и тієї ж атаки. Крім того, без семантичного аналізатора натисків різного роду псевдонімі команд могут легко зруйнуватися Цю технологію. Оскількі вона спрямована на аналіз натіскань клавіш, Автоматизовані атаки, Які є результатом Виконання програм зловмісніка, такоже могут буті НЕ віявлені
4.5 Методи, засновані на моделюванні поведінкі зловмісніка
Одним з варіантів Виявлення зловжівання є метод об'єднання МОДЕЛІ зловжівання з очевидних причин. Его суть Полягає в Наступний: є база даних сценаріїв атак, шкірні з якіх об'єднує послідовність поводжень, что становляит атаку. У будь-який момент годині існує можлівість того, что в Системі має місце Одне з ціх підмножін сценаріїв атак. Робиться Спроба перевіркі припущені про їхню наявність Шляхом поиска ІНФОРМАЦІЇ У записі аудиту. Результати пошуку є якась кількість Фактів, достатності для підтвердження або спростування гіпотезі. Перевірка віконується в одному процесі, Який получил Назву антісіпатор. Антісіпатор, грунтуючись на поточному актівної МОДЕЛІ, формує Наступний можливе безліч поводжень, Яку звітність, перевіріті у записах аудиту, и передает їх планувальніком. Планувальнік візначає, як передбачуваності поведінка Відображається в записах аудиту и трансформує їх у системно-аудітозавісімое вирази. Ці вирази повінні складатіся з таких структур, Які можна Було б просто найти в записах аудиту, и для якіх би була й достатньо висока ймовірність появи в записах аудиту.
У міру того як Підстави для підозр Деяк сценаріїв накопічуються, а для других - зніжуються, список моделей активностей зменшується. Обчислення причин вбудовано в систему и дозволяє оновлюваті ймовірність появи сценаріїв атак в списку моделей актівності [13].
ПЕРЕВАГА:
з'являється можлівість Зменшити кількість істотніх обробок, необхідніх для одного записах аудиту; спочатку спостерігаються більш В«грубіВ» події в Пасивні режімі, и далі, як Тільки одна з них виявлено, спостерігаються більш точні події;
планувальнік Забезпечує незалежність Подання від форми даніх аудиту.
Недоліки:
при застосуванні даного підходу в особини, відповідальної за создания МОДЕЛІ Виявлення Вторгнення, з'являється Додаткове НАВАНТАЖЕННЯ, пов'язана з призначеня змістовніх и Точні кількісніх характеристик для різніх частин графічного представлення МОДЕЛІ;
ефективність цього підходу НЕ булу продемонстровано Створення програмного прототипу; ж Опису МОДЕЛІ не ясно, як поведінкі могут буті Ефективно складені в планувальніку, и Який ефект це матіме на систему во время роботи;
цею підхід доповнює, альо НЕ замінює підсістему Виявлення аномалій.
5. Недоліки існуючіх систем Виявлення
Недоліки сучасних систем Виявлення можна розділіті на Дві групи - Недоліки, пов'язані Зі структурою СОВ, и Недоліки, пов'язані з реалізованім методам Виявлення.
Недоліки структур СОВ.
Відсутність Загальної методології побудова. Частково це можна поясніті недостатністю спільніх угідь у термінології, ТОМУ ЩО СОВ - це й достатньо новий напрямок, засноване Андерсоном (JP Anderson) в 1980 р. [14]. p> Ефективність. Часто методи системи намагають найти будь-яку зрозумілу атаку, что виробляти до низькі незадовільніх НАСЛІДКІВ. Наприклад, при віявленні аномалій істотно спожівається Ресурси - для будь-якого профайла Потрібні оновлення для шкірного з спостережуваних подій. При віявленні зловжівань зазвічай Використовують командні інтерпретаторі експертних систем, за помощью якіх кодуються сигнатур. Дуже часто ці командні інтерпретаторі обробляють свою ВЛАСНА безліч правил І, відповідно, такоже спожівають ресурси. Більш того, безліч правил допускає позбав непрямі залежності послідовності зв'язків между подіямі.
Портатівність. До ціх ПІР більшість СОВ створюється для Використання на конкретному обладнанні, и Достатньо Важко використовуват їх в іншій Системі, де нужно реалізуваті сходжу політику безпеки. Наприклад, Завдання з переміщення СОВ Із системи, в якій підтрімується Тільки однорівневій список доступу, у систему з багаторівневою й достатньо складна, и для ее решение будут Потрібні значні доробки. Основною причиною цього є ті, что багатая СОВ спостерігають за ПЄВНЄВ прилаштувати, програмами конкретної О...
