АДАМОВ ОЛЕКСАНДР СЕМЕНОВИЧ МОДЕЛІ І МЕТОДИ ЗАХИСТУ КІБЕРПРОСТОРУ НА ОСНОВІ АНАЛІЗУ ВЕЛИКИХ ДАНИХ З ВИКОРИСТАННЯМ МАШИННОГО НАВЧАННЯ

Краткое содержание

У вступі обгрунтовано актуальність завдань, які вирішуються в дисерта¬ційній роботі, сформульована мета дослідження, а також викладені наукова новизна і практична цінність отриманих результатів.
У першому розділі наводиться аналітичний огляд існуючих моделей, ме¬тодів і технологій захисту індивідуального сервіс-комп'ютингу. Визначаються переваги і недоліки найбільш затребуваних моделей і методів, опублікованих в спеціальній літературі: матеріалах конференцій і наукових журналах. На ос¬нові проведеного аналізу сформульовано мету і задачі дослідження, орієнто¬вані на усунення проблемних місць і недоліків існуючих моделей і методів у контексті їх реалізації в інфраструктурі захисту індивідуального сервіс-комп'- ютингу.
Функція мети (Z) - мінімізація проміжку часу між моментом запуску атаки (A) на кіберпростір і моментом її діагностування (D), протягом якого обчислювальний сервіс залишається скомпрометованим (С), що одночасно дозволяє поліпшити якість сервісу шляхом забезпечення доступності, ціліс¬ності і конфіденіційності оброблюваної інформації на період атаки; мінімі¬зації витрат на відновлення працездатності сервісу і фінансових втрат від його простою (TDT) за рахунок введення мінімально необхідної надмірності в інфраструктуру діагностування (I):
Z = F(TDT, TC, I) = min[^(TDT + TC + I)],
де TC - час, на протязі якого обчислювальний сервіс залишається скомпро¬метованим з моменту запуску атаки зловмисником,
TC = t (D) - t (A),
де t (D) - момент детектування атаки, t (A) - момент запуску атаки.
У другому розділі наводяться удосконалені структурно-логічні моделі і методи перевірки кіберпростору для тестування і діагностування шкідливих компонентів, які відрізняються використанням методу дедуктивного парале¬льного аналізу обчислювальної системи для перевірки та діагностування malware. Пропонується блокчейн-технологія і математичний апарат ство¬рення інфраструктури програмно-апаратних телекомунікаційних інформа¬ційних кіберфізичних систем (КС), орієнтована на захист від несанкціонова¬ного доступу до сервісів, визначених у специфікації системи, шляхом прони¬кнення через легальні інтерфейси взаємодії компонентів, що мають уразли¬вості. Інфраструктура захисних сервісів створюється разом з кіберсистемою і супроводжує останню протягом всього життєвого циклу, обслуговуючи всі наступні модифікації КС, і сама постійно підвищує свій інтелект шляхом по¬повнення історії та бібліотек конструктивних і деструктивних компонентів. Функція мети представлена підвищенням ефективності сервісного обслугову¬вання на основі стандартів тестування, граничного сканування і спеціальних технологій діагностування та відновлення невразливості КС, яка визначається мінімальним значенням рівня вразливості, часу відновлення працездатності T і нефункціональної програмно-апаратної надмірності H:
E = F(L, T, H) = min[1(L + T + H)],
Y = (1 - P)n;
L = 1 - Y(1-k) = 1 - (1 - P)n(1-k);
T = (1-k)xHs H = Ha Hs + Ha ’ Hs + Ha ,
де L - доповнення до рівня невразливості Y, яке залежить від тестопридат- ності КС k, ймовірності Р існування вразливостей і числа невиявлених дестру-ктивних n. Час тестування і діагностування залежить від тестопридатності ар¬хітектури k, помноженої на число структурних компонентів інфраструктури, віднесених до загальної кількості елементів КС. Надмірність залежить від структурної складності тестопридатності надбудови, поділеної на програмно- апаратну складність КС. Надмірність інфраструктури забезпечує задану гли¬бину діагностування вразливостей за час, що визначається замовником.
Пропонується математичний апарат інфраструктури захисного сервісу, що містить метрику, алгебру, структури даних і моделі оцінювання якості взаємо¬дії процесів, явищ, об'єктів і компонентів у кіберпросторі і кіберсистемі, необ¬хідних при створенні ефективних двигунів для обчислювальних процедур ана¬лізу даних в процесах тестування проникнень і відновлення невразливості. Вводиться модифікована модель критерію скалярної і векторної якості оціню¬вання бінарних відношень, яка відрізняється використанням функції неналеж- ності та кодової відстані Хеммінга, що забезпечує лінійність зміни чисельного значення критерію від 0 до 1 в міру збільшення «відстані» від повного збігу двох об'єктів до максимально можливого, коли кодова відстань дорівнює d(m,A)=k. Критерій може бути використаний при оцінюванні взаємодії об'єк¬тів у реальному масштабі часу в задачах тестування, діагностування функціо¬нальних порушень, вразливостей. Для синтезу тестів застосовується апарат бу- левих похідних, що призначений для перевірки суттєвості змінних і компоне¬нтів КС, включаючи аналіз суттєвості деструктивності (уразливості і проник¬нення) для стану кіберсистеми. Запропонована процес-модель синтезу тестів для тестування і діагностування вразливостей може бути використана як вбу¬дований компонент інфраструктури сервісного обслуговування КС.
Пропонується дедуктивний метод пошуку вразливостей в КС, основна ідея якого полягає в аналізі зіставлення вхідних і вихідних даних кіберсистеми з метою виявити деструктивні проникнення або уразливості шляхом виконання процедур порівняння між штатними (функціональними) режимами і ситуаці¬ями, що викликають підозру. Для імплементації методу в інфраструктуру за¬хисних сервісів необхідно мати графову модель логіки функціонування кібер- системи, яка досить просто може бути трансформована до системи логічних рівнянь, придатної для дедуктивного аналізу. Пропонується модель дедук¬тивно-паралельного синхронного аналізу вразливостей (проникнень) кіберси- стеми (об'єкта), яка дозволяє за одну ітерацію обробки структури обчислити всі деструктивні компоненти, що перевіряються на тест-векторі. Мета дедук¬тивного аналізу - визначити якість синтезованого тесту щодо повноти по-криття ним вразливостей, а також побудувати таблицю перевірки тестовими наборами усіх виявлених вразливостей КС для виконання процедур діагносту-вання. Така модель заснована на розв’язанні рівняння L = T©F, де F = (Fm+1, Fm+2, Fi, Fn), i = m+1, n - сукупність функцій справної (коректної) поведінки КС; m - число його входів; Yi=Fi(Xi1, ..., Xij, ..., Xini) - ni-входовий i-й елемент схеми, що реалізує Fi для визначення стану лінії (виходу) Yi на тест-векторі Tt; тут Xij - j-й вхід i-го елемента; тест T=(T1, T2, ..., Tt, ..., Tk) - упорядкована сукупність двійкових векторів, визначена в процесі справного моделювання на множині вхідних, внутрішніх і вихідних ліній, об'єднана в ма¬трицю T=[T ti].
Спільна апаратурна реалізація ДФ для двохвходових елементів And, Or на вичерпному тесті представлена універсальним функціональним примітивом (рис. 1) дедуктивно-паралельного аналізу несправностей. У симуляторі пред¬ставлені булеві (x1, x2) і реєстрові (X1, X2) для кодування вразливостей входи, змінна вибору типу справної функції (AND, OR), вихідна реєстрова змінна Y. Стани двійкових входів x1, x2 і змінна вибору елемента визначають одну з чо¬тирьох дедуктивних функцій для отримання вектора Y перевірки несправнос-тей. 
Застосування такого симулятора дає можливість трансформувати функціо¬нальну модель F коректної поведінки КС в дедуктивну L, яка інваріантна в сенсі універсальності тестовим наборам і не передбачає в процесі моделю¬вання використовувати модель F. Тому симулятор, як апаратна модель ДФ, є ефективним двигуном дедуктивно-паралельного моделювання КС, що підви¬щує швидкодію аналізу кіберсистем в 10 - 1000 разів у порівнянні з програм¬ною реалізацією. Але при цьому співвідношення обсягів моделей коректного
моделювання та аналізу вразли¬востей становить 1:10. Підхід апаратного аналізу деструктив¬ний, спрямований на розши¬рення функціональних можли¬востей вбудованих засобів моде¬лювання, які можна зберігати на хмарі і постійно ними користу¬ватися для верифікації інфра-структури захисту КС. Обчис¬лювальна складність обробки проекту Q=(2n2r)/W, де r - час виконання регістрової операції (And, Or, Not); W - розрядність регістра.
Для апаратної реалізації де¬дуктивно-паралельного моделю¬вання на основі запропонова¬ного симулятора може бути ви¬користана обчислювальна струк¬тура, представлена на рис. 2. Особливість схемної реалізації полягає в спільному виконанні двох операцій: однобітової - для емуляції функцій логічних еле¬ментів And, Or і паралельної - для обробки багаторозрядних векторів неспра¬вностей шляхом виконання операцій логічного множення, заперечення і скла¬дання. Функціональне призначення основних блоків (пам'ять і процесор): 1. M=[Mij] - квадратична матриця моделювання деструктивних проникнень (ДП), де i, j = 1, q; q - загальне число ліній в оброблюваній КС. 2. Вектори збереження станів коректного моделювання, визначені в моменти часу t-1 і t, необхідні для формування дедуктивних функцій примітивів. 3. Модуль пам'яті для зберігання опису КС у вигляді структури логічних елементів. 4. Буферні
регістри, розмірністю q, для зберігання операндів і виконання регістрових па¬ралельних операцій над векторами ДП, що зчитані з матриці M. 5. Блок коре-ктного моделювання для визначення двійкового стану виходу чергового обро¬блюваного логічного елемента. 6. Дедуктивно-паралельний симулятор, який обробляє за один такт дві реєстрових змінних X1, X2 з метою визначення век¬тора ДП, що транспортуються на вихід логічного елемента Y.
Перевага запропонованої структури моделювання ДП. 1. Суттєве змен¬шення кількості модельованих ДП, які визначаються тільки числом збіжних розгалужень, що становить до 20% від загального числа ліній. 2. Зниження об¬сягу пам'яті, необхідного для зберігання матриці модельованих ДП. 3. Прос¬тота реалізації Hardware Vulnerability Simulator (HVS) в апаратному виконанні, що дозволяє на порядок збільшити швидкодію моделювання ДП. 4. Викорис¬тання HVS як першої фази дедуктивно-топологічного методу, який грунту¬ється на результаті обробки розгалужень, що сходяться, для швидкодіючого аналізу деревоподібних структур.
В третьому розділі пропонуються нові методи синтезу еталонних логіч¬них схем malware-функціональностей, які характеризуються використанням сигнатурно-кубітних структур, що дає можливість паралельно моделювати malware-driven великі дані для визначення належності поточного коду до існу¬ючих деструктивних компонентів у malware бібліотеці. Вводиться нова модель активного online cyber security комп'ютингу, яка характеризується сигнатурно- кубітним поданням інформації, що дає можливість підвищувати швидкодію процесів моніторингу вхідних потоків malware-даних і управління видаленням деструктивних компонентів. Пропонуються унітарно кодовані кубітно-матри- чні моделі, структури даних, обчислювальні архітектури і методи паралель¬ного логічного аналізу деструктивних кодів у кіберфізичному просторі. Вво¬дяться кубітні векторні структури даних для опису параметрів змінних, що бе¬руть участь у формуванні еталонних зразків (паттернів) деструктивних вихід¬них кодів. Вводиться сигнатурно-кубітний процесор активного online кіберфі- зичного cyber security комп'ютингу (CSC) на основі моніторингу вхідних malware-даних і їх моделювання на еталонних логічних схемах malware-функ- ціональностей з метою подальшого актюаторного управління процесом вида¬лення деструктивних компонентів.
СУЬЄГ Security Computing ^SC) - галузь знань, що займається розвитком теорії і практики надійного метричного online управління кіберзахисту вели¬ких даних, віртуальних, фізичних (природних) і соціальних процесів і явищ в комп'ютерних дата-центрах і мережах на основі точного цифрового монітори¬нгу деструктивних компонентів кіберфізичного простору за допомогою інте-лектуальних пошуково-аналітичних сервісів і розумних сенсорів. СSC - про¬цес тестування, моніторингу, діагностування та активації сигналів деструкції 
шкідливих компонентів на основі метричних відносин між malware і software в кіберфізичному просторі.
СSC-процес - спостережувана взаємодія механізмів malware і software в часі і просторі на основі моніторингу та актюаціі метричних відносин для до¬сягнення мети у вигляді усунення malware при виділених ресурсах.
Malware-функціональність (MF) являє собою структуру взаємопов'язаних логічних елементів, яка забезпечує цифрову реалізацію деструктивної поведі¬нки об'єкта в заданому просторі software змінних.
Malware-змінна (MV) визначається упорядкованим універсумом примітив¬них значень, який формує проекцію поведінки об'єкта на векторі змінних, що створює malware-функціональність.
Логічний malware-елемент (ML) являє собою еталонне відображення зна¬чень багатозначної змінної в двійковий кубітний вектор, заданий на упорядко¬ваному універсумі примітивних значень.