Веселова Виктория Алексеевна – магистрант
Viktoria A. Veselova, Master Student
Коломойцев Владимир Сергеевич – доцент, кандидат технических наук
Vladimir S. Kolomoytsev, Associate Professor, Candidate of Engineering
Цель. Воздействия кибератак приводят к выводу из эксплуатации элементов сети, хищению информации и другим неправомерным действиям. Зачастую кибератаки сопровождаются нехарактерной активностью трафика и появлением в нем аномалий. Целью статьи является разработка подхода к выявлению аномалий в сетевом трафике за счет определения степени самоподобия трафика с использованием фрактального анализа и статистических методов. Методы. В статье применяются методы математической статистики, математического анализа, фрактального анализа. Результаты. Предложен подход к обнаружению аномалий в сетевом трафике путем оценки свойства самоподобия и использования статистических методов для повышения точности определения кибератак. На первом этапе вычисляется показатель Херста для эталонного трафика. На втором этапе реальный трафик разбивается на оптимальные временные интервалы, для каждого интервала считается показатель Херста. Если выявленное значение показателя Херста отличается от значения, полученного для эталонного трафика, принимается решение о наличии аномалий. На заключительном этапе применяется статистический анализ для определения точного места аномалии. Проведен анализ фрактальных и статистических методов, в результате которого были определены более эффективные методы для использования в предлагаемом подходе. Для фрактального анализа предложен метод DFA, для статистического – ARFIMA. Заключение. Предлагаемый подход позволяет обнаружить кибератаки в реальном или близком к реальному масштабе времени.
Aim. The effects of cyber attacks cause failures of network elements, theft of information and other unlawful actions. Cyber attacks are often accompanied by untypical traffic activity and anomalies. The paper aims to develop an approach to detecting anomalies in network traffic by identifying the degree of self-similarity of the traffic using fractal analysis and statistical methods. Methods. The paper uses methods of mathematical statistics, mathematical analysis, fractal analysis. Results. The paper suggests an approach to identifying anomalies in network traffic by evaluating self-similarity and using statistical methods for improving the accuracy of cyber attack detection. At the first stage, the Hurst exponent is calculated for the reference traffic. At the second stage, actual traffic is divided into optimal time intervals; for each interval, the Hurst exponent is calculated. If the identified value of the Hurst exponent differs from the one obtained for the reference traffic, it is decided that there is an anomaly. At the final stage, statistical analysis is used in order to precisely localise the anomaly. The authors analysed fractal and statistical methods that resulted in the identification of more efficient methods to be used as part of the proposed approach. For fractal analysis, the DFA method was proposed, while for statistical analysis, the ARFIMA method was proposed. Conclusion. The suggested approach allows identifying cyber attacks in real time or near-real time.
The authors declare that there are no conflicts of interest present.