2.3 Модель распространения эпидемии, адаптированная к социальным информационным сетям

Для создания правдоподобной модели необходимо учитывать процесс распространения вируса в сети. Распространение заражения начинается с момента, когда злоумышленник создал некоторый вредоносный код и разместил в сети, именно этот момент времени мы будем рассматривать, в качестве момента первичного заражения нескольких элементов сети. Вирус начинает свободно распространяться, заражать другие элементы сети. Через некоторое время вирусная активность обнаруживается производителями антивирусных программ. С этого момента начинается работа, направленная на изоляцию вируса и разработку сигнатуры вируса. Сигнатура будет использоваться антивирусными программами для дальнейшего обнаружения вируса. Процесс создания сигнатуры также занимает некоторое время, в течение которого вирус продолжает свободно распространяться [120].

Следующим этапом в борьбе с вирусом является распространение «вакцины». После того, как была разработана сигнатура для обнаружения, ее необходимо отправить всем элементам (компьютерам) сети, необходимо разослать ее миллионам, а в случае с СИС и сотням миллионов [83,84].

После того, как некоторый элемент сети (компьютер) получил сигнатуру, возникают два возможных состояния: к этому моменту элемент сети еще не был инфицирован, и тогда он приобретает иммунитет в виде имеющейся сигнатуры, или же к моменту получения сигнатуры он уже был инфицирован, тогда пользователь может обнаружить и обезвредить вирус. Обычно рекомендуется отключить компьютер от сети Интернет, если был обнаружен вирус, что способствует предотвращению дальнейшего распространения вируса. После того, как вирус был обезврежен, компьютер можно снова подключить к сети Интернет [98].

Т

µ

аким образом, переходы состояния каждой отдельной вершины графа можно изобразить в следующем виде:

S I D R

β µ δ

Рис. 2.7. Переход состояния элементов модели распространения вируса в СИС

В

β

таком случае мы предполагаем, что каждая вершина может находиться в одном из четырех состояний: восприимчивая (S), инфицированная (I), обнаружено заражение (D) и восстановлена или удалена (R). Эта модель называется Progressive Susceptible Infectious Detected Removed (PSIDR). До момента появления сигнатуры вирус может свободно распространяться, и тогда будут присутствовать только два возможных состояния I и S:

S I

Рис. 2.8. Процесс заражения

Таким образом, в нашей модели должны быть объединены как SI модель, так и SIDR модель.

Как говорилось ранее, при моделировании процесса распространения мы используем показатель , который отображает число успешный заражений за один такт времени. Мы предполагаем, что всего пройдет таких тактов до момента обнаружения вируса и создания сигнатуры. Таким образом, можно сказать, что при мы имеем модель SI, а при - модель SIDR.

Для описания процесса распространения сигнатуры мы используем параметр , который отображает число компьютеров, которые получат «вакцину» за один такт времени. Процесс «вакцинации» независим от состояния элемента, и если в момент получения «вакцины» элемент находился в состоянии S, то он перейдет в состояние R, а если он находился в состоянии I, то перейдет в состояние D.

Процесс восстановления (удаления) вершин, у которых было обнаружено заражение (состояние D), описывается с помощью параметра .

В нашей модели используется дискретное представление времени, оно разделяется на ряд отдельных тактов, и в каждом таком такте все множество элементов сети в определенном состоянии изменяется в соответствии с определенным правилом [98].

Рассмотрим модель подробнее. Предположим, что в начальном состоянии только один элемент сети является зараженным I, а все остальные – восприимчивые S. До момента обнаружения и создания сигнатуры проходит время равное . В это время вирус распространяется и инфицирует восприимчивые элементы. Вероятность того, что некоторая восприимчивая точка графа станет зараженной, определяется в соответствии с выражением

,

где - коэффициент успешности заражения;

- число инфицированных элементов;

- общее число всех элементов сети.

В моделях SIR и ей подобных в используется полный граф, в данном случае введние параметра позволяет приблизиться к существующей статистике и создать real-world модель [83, 84].

После того, как вирус обнаруживается и создается «вакцина» , начинает распространяться сигнатура вируса и зараженные элементы восстанавливаются.

Модель приобретает новый вид:

Основное преимущество такой модели заключается в том, что она позволяет оценить размер эпидемии, и соответственно ее последствия. К таким последсвиям, в частности можно отнести, например, то, что spam сообщения могут значительно повысить трафик в сети. Это в свою очередь приведет к снижению производительности сервиса или вообще к отказу в обслуживании. Также это затронет репутацию конкретной СИС, что является недопустимым ущербом для большинства из них [120].