МЕТОД АНАЛІЗУ ТРАФІКУ КОМП’ЮТЕРНИХ МЕРЕЖ НА ОСНОВІ ЕНТРОПІЙНИХ ХАРАКТЕРИСТИК ТА БАГАТОВИМІРНОЇ МАТЕМАТИЧНОЇ СТАТИСТИКИ

Анотація

Сучасні комп’ютерні мережі формують трафік, поведінка якого змінюється не лише за обсягом, а й за внутрішньою структурою. Тому виявлення аномалій не може зводитися до фіксованих порогів для окремих метрик; воно має враховувати зміни у розподілах адрес, портів і протоколів разом зі спільною варіацією взаємопов’язаних характеристик трафіку.

У статті запропоновано метод аналізу трафіку комп’ютерних мереж, що ґрунтується на використанні ентропійних характеристик і засобів багатовимірної математичної статистики. Актуальність роботи зумовлена тим, що сучасний мережевий трафік є нестаціонарним: його поведінка з часом змінюється не лише за обсягом, а й за внутрішньою структурою. У зв’язку з цим виявлення аномалій не може базуватися виключно на фіксованих порогах окремих показників, оскільки потребує врахування змін у розподілах адрес, портів, протоколів, а також спільної варіації взаємопов’язаних дескрипторів трафіку.

Розроблений метод передбачає перетворення спостережень за пакетами або потоками, зібраними в межах заданого часового вікна, у вектор стану мережевого трафіку. Такий вектор поєднує ентропійні міри категоріальних атрибутів із об’ємними, дисперсійними та потоковими характеристиками. Запропонований підхід охоплює формалізацію процесу аналізу трафіку, побудову інформативної системи ознак, створення багатовимірної моделі нормальних станів трафіку та структурної моделі процедури виявлення відхилень.

Алгоритмічна реалізація методу організована як послідовність етапів: формування часових вікон, оцінювання емпіричних розподілів, обчислення ентропії, стандартизація ознак, перетворення методом головних компонент, багатовимірний статистичний контроль і подальша інтерпретація внеску окремих ознак у виявлені зміни. Така організація забезпечує можливість не лише фіксувати аномальні стани, а й пояснювати причини їх появи.

Окремо визначено методику оцінювання запропонованого методу за показниками якості виявлення, стійкості до вибору параметрів, чутливості до структурних змін і рівня інтерпретованості результатів моніторингу. Запропонований підхід орієнтований на задачі моніторингу мережевого трафіку, у яких необхідний аналіз без урахування вмісту корисного навантаження та адаптація до змінної поведінки комп’ютерних мереж.