72
В данном случае их 3, поскольку выполняется тестирование для распо-
знавания атак известных типов, нормального трафика и атак неизвестных ти-
пов. Далее необходимо выбрать данные файлы и выполнить тестирование
нажав на кнопку Графики.
Страница Графики отвечает за отображение результатов тестирования
нейросети. После того, как тестирование завершено, можно перейти на эту
страницу и увидеть график с результатам последнего тестирования (рисунок
3.15). График состоит из 3 секций, отвечающих за результаты тестирования
для известных типов атак, нормального трафика и неизвестных типов атак.
Каждая из секций отображает общее количество атак или нормального тра-
фика, которые использовались для тестирования и количество найденных.
Если тестирование не было выполнено, график не будет показан.
Рисунок 3.15 — График результатов тестирования сети
Также на данной странице есть секция Общее количество обнаруженных
атак, которая отвечает за отображение общего количества атак, которые были
найдены за каждый месяц (рисунок 3.16). Также как в случае с предыдущим
графиком, если не будет проведено тестирования, то график не будет отобра-
жен.
73
Рисунок 3.16 — Секция Общее количество атак
Последняя страница, Таблицы отвечает за взаимодействие с базой дан-
ных. Здесь пользователю предоставляется возможность просмотра записей
таблиц Класс атаки, Тип атаки и DOS атаки перейдя по соответствующей
вкладке (рисунок 3.17).
Рисунок 3.17 — Отображение записей в БД
Также существует возможность создания новых записей, их
редактирования и удаления. Результат нажатия на ссылку Редактировать для
класса атак R2L представлен на рисунке 3.18. На изображенной форме
74
представлено поле с именем класса, которое можно изменить. После чего
сохранить результат или отменить редактирование нажав соответствующие
кнопки.
Рисунок 3.18 — Редактирование записей
Программный код для описания класса нейронной сети, которая реали-
зована в программном обеспечении, представлен в Приложении А.
3.4 Обоснование экономической эффективности проекта
3.4.1 Выбор и обоснование методики расчёта экономической
эффективности
При оценке экономической эффективности мероприятий по созданию
системы защиты информации необходимо учитывать, с одной стороны, рас-
ходы на реализацию системы защиты, а с другой стороны, возможный ущерб
от атак злоумышленников на информационную систему. Идеальным реше-
нием было бы выделением такого объема инвестиций на создание СЗИ, кото-
рые бы минимизировали общую стоимость работ по защите информации.
Для расчета экономической эффективности мероприятий по созданию
системы защиты информации необходимо определить сумму предотвращен-
ного ущерба или величину снижения риска для информационных активов ор-
ганизации.
75
Для проведения расчетов необходимо определить величину возможных
потерь от взлома системы защиты данных компании, а также величину
средств, которые выделяются компанией на обеспечение мероприятий по за-
щите данных
Уровень затрат Ri на обеспечение заявленного уровня защищенности
информации, зависит:
от полного перечня угроз информационным активам компании;
от уровня потенциальной опасности информационным активам ком-
пании по каждой из выявленных угроз;
от объемов финансовых вложений на обеспечение нейтрализации
каждой из определенных угроз.
Оптимальным решением считается тот вариант системы защиты, кото-
рый по стоимости капиталовложений сопоставим с уровнем ожидаемых по-
терь при нарушении защищенности. Поэтому при использовании данной ме-
тодики можно ограничиться определением уровня потерь.
3.4.2 Расчёт показателей экономической эффективности проекта
Для расчетов суммарного показателя потерь для критичных информаци-
онных ресурсов примем следующее предположение: угрозы конфиденциаль-
ности, целостности и доступности реализуются нарушителем независимо. Это
значит, что даже если была нарушена целостность информации, то конфиден-
циальность и доступность информации по-прежнему остаются нескомпроме-
тированными. Исходя из этих предположений оценим величину потерь для
информационных активов компании ООО «МОСТ Плюс».
Величина потерь от реализации злоумышленником угроз определяется
уровнем инженерно-технического обеспечения системы защиты информации
в компании. Уровень системы защиты информации определяется затрачен-
ными на ее создание и поддержку работоспособности ресурсами.
76
Ресурсы определяется расходами на обеспечение инженерно-техниче-
ских мероприятий, оплату работы сотрудников, связанных с обеспечением ра-
боты системы защиты информации, материалы, аппаратное и программное
обеспечение и другие расходы.
В работе предлагается внедрение в компании СОВ для обеспечения
уровня защищенности компании. Для этого необходимо разработать и реали-
зовать правила для СОВ. Создание правил и их реализация займет 56 чело-
веко-часов с оплатой труда сотрудников в размере 8,9 тыс.руб. Для установки
СОВ Snort предлагается приобретение одного сервера HP Proliant DL380 G7,
который стоит 510 тыс.руб.
Для расчета расходов на реализацию предлагаемых мер необходимо
определить объем разового ресурса, который выделяется на защиту информа-
ции (таблица 3.4). Функционирование СОВ требует определенного постоян-
ного ресурса, который выделяется на защиту информации (таблица 3.5).
Для того, чтобы определить сроки окупаемости затрат на внедрение и
реализацию СОВ необходимо определить величину снижения потерь от реа-
лизации угроз после модернизации системы защиты информации. В таблице
3.6 представлены оценки рисков от реализации возможных угроз для критиче-
ских информационных активов компании ООО «МОСТ Плюс».
Таблица 3.3 – Величины потерь (рисков) для критичных
информационных ресурсов до внедрения/модернизации
системы защиты информации
Актив
Угроза
Величина по-
терь
(тыс.руб.)
База данных
Похищение БД
600
Финансовая отчетность
Мошенничество с платежами
600
Аппаратная часть сервера
Физическое проникновение
454
ПО сервера
Вредоносный код
30,5
ПО веб-портала
DDos атака
35
77
Суммарная величина потерь
2471,5
Таблица 3.4 - Содержание и объем разового ресурса,
выделяемого на защиту информации
Организационные мероприятия
№
п\п
Выполняемые
действия
Среднечасо-
вая зарплата
специалиста
(руб.)
Трудоемкость
операции
(чел.час)
Стоимость,
всего
(тыс.руб.)
1
Разработка сцена-
риев для СОВ си-
стемы
160
56
8,9
2
Установка сервера
160
61
9.7
Стоимость проведения организационных мероприятий,
всего
18,6
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура Пи-
АСИБ, расходных
материалов
Стоимость,
единицы
(тыс.руб)
Кол-во (ед.из-
мерения)
Стоимость,
всего
(тыс.руб.)
1
HP Proliant DL380 G7
510
1
510
Стоимость проведения мероприятий инженерно-техни-
ческой защиты
510
78
Объем разового ресурса, выделяемого на защиту инфор-
мации
528,6
Таблица 3.5 - Содержание и объем постоянного ресурса,
выделяемого на защиту информации
Организационные мероприятия
№
п\п
Выполняемые
действия
Среднечасовая
зарплата спе-
циалиста
(руб.)
Трудоемкость
операции
(чел.час)
Стоимость,
всего
(тыс.руб.)
1
Контроль целост-
ности БД
160
120
19,2
2
Обучение персо-
нала
160
200
32
3
Контроль целост-
ности ИТ-инфра-
структуры
160
130
20,8
4
Анализ защищен-
ности веб-портала
компании
160
142
22,72
5
Обеспечение без-
опасности конфи-
денциальной ин-
формации
160
120
19,2
Стоимость проведения организационных мероприятий,
всего
113,92
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура
ПиАСИБ, расход-
ных материалов
Стоимость,
единицы
(тыс.руб)
Кол-во (ед.из-
мерения)
Стоимость,
всего
(тыс.руб.)
1
Кабель, разъемы
подключения, ка-
бельные каналы,
гофротруба, кре-
пёжные материалы
для установки и
подключения сер-
вера.
13,4
13,4
79
Стоимость проведения мероприятий инженерно-техниче-
ской защиты
13,4
Объем постоянного ресурса, выделяемого на защиту ин-
формации
127,32
Таблица 3.6 - Величины потерь (рисков) для критичных
информационных ресурсов после внедрения/модернизации
системы защиты информации
Актив
Угроза
Величина по-
терь
(тыс.руб.)
База данных
Похищение БД
300
Финансовая отчетность
Мошенничество с платежами
300
Аппаратная часть сервера
Физическое проникновение
303
ПО сервера
Вредоносный код
30,5
ПО веб-портала компании
DDos атака
35
Суммарная величина потерь
968,5
Далее вычисляем динамику снижения величины потерь за период не ме-
нее 1 года (таблица 3.7). Суммарные затраты (R
∑
), выделенные на защиту ин-
формации, составляют 528,6 тысяч рублей (таблица 3.4). Значение среднего-
довых потерь компании (R
ср
), связанных с реализацией угроз критичным ин-
формационным активам - 2471,5 тыс. рублей. Прогнозируемый ежегодный
объем потерь (R
прогн
), после реализации СОВ, который составит 968,5 тыс. руб-
лей.
Таблица 3.7 - Оценка динамики величин потерь
1
кв.
2
кв.
3
кв.
1
год
1
кв.
2
кв.
3
кв.
2
год
До внедрения СОВ
2471.
5
4943
7414.
5
9886
1235
8
1482
9
1730
1
1977
2
После внедрения
СОВ
1095.
8
1223.
1
1350.
5
1477.
8
1605.
1
1732.
4
1859.
7
1987.
1
80
Снижение потерь
1375.
7
3719.
9
6064
8408.
2
1075
2
1309
7
1544
1
1778
5
Для определения сроков окупаемости, предлагаемых в работе меропри-
ятий по модернизации системы защиты информации в компании, воспользу-
емся формулой: Т
ок
= R
∑
/ (R
ср
— R
прогн
).
Ток = 10 месяцев и 24 дня.
Выводы по главе 3
Таким образом, в данной работе проведен обзор существующих систем
обнаружения на базе honeypot-технологий, а также проведен сравнительный
анализ методов генерации сигнатур систем обнаружения вторжений с исполь-
зованием виртуальных приманок. В будущем полученные в работе результаты
будут использованы при разработке новых и совершенствовании существую-
щих систем обнаружения вторжений. Это будет полезным, в первую очередь,
командам реагирования на инциденты информационной безопасности и раз-
личного рода кризисным центрам.
81
Заключение
В дипломной работе рассмотрена актуальная тема, связанная с необхо-
димостью внедрения системы обнаружения вторжений в локальную сеть ком-
пании ООО «МОСТ Плюс». Для достижения цели работы были сформулиро-
ваны и решены следующие задачи:
приведено краткое описание компании и таблицы показателей ее де-
ятельности, организационной структуры и ее описание.
проведен анализ рисков информационной безопасности;
специфицирован комплекс задач, подлежащих дальнейшему реше-
нию;
проведен анализ и обоснование выбора системы обнаружения втор-
жений;
описана архитектура и функции внедряемого программного обеспе-
чения для обнаружения вторжений, а также описан контрольный при-
мер применения выбранных средств информационной безопасности;
разработано программное обеспечение на основе нейронной сети для
выявления атак вторжения;
программное обеспечение протестировано на реальных данных из
базы данных сигнатур атак KDD Cup 1999 Data [36].
Работа состоит из введения, трех глав, заключения, списка источников.
Во введении определена актуальность работы, определены объект, пред-
мет исследования. Сформулированы цель и задачи исследования.
В первой главе рассмотрены архитектура и функции систем обнаруже-
ния вторжений (СОВ). Описаны основные компоненты СОВ. Рассмотрены ос-
новные типы СОВ: network-based (NIDS) и host-based (HIDS). Представлены
их достоинства и недостатки. Рассмотрены основные механизмы, которые ис-
пользуются для обнаружения атак вторжения: на основе сигнатур и на основе
аномального поведения. Представлены их основные достоинства и недо-
статки. Рассмотрены примеры СОВ, которые реализуют различные методы