Моделирование процесса заражения хоста вредоносом 1-го типа заражения с помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоносом 1-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова, где:

– позиции, – переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение зараженного файла,

– файл запущен,

– запуск процесса заражения (создание исполняемого файла с копией своего тела, правка реестра для автозапуска вредоносного кода при старте системы),

– создан исполняемый файл с копией своего тела в каталоге C:\Recycler\...\XXXX.exe,

– начало правки реестра для добавления себя в автозапуск,

– правка реестра для автозапуска вредоносного кода при старте системы закончена.

Граф данной сети представлен на рис. П3.3.

Рис. П3.3. Граф сети Петри-Маркова для атаки вредоносом 1-го типа

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Таблица 2. Элементы матрицы для атаки вредоносом 1-го типа

	1	0	0
	1	1	0
	0	1	1
	0	0	1

Для данной сети Петри-Маркова имеет место следующая система

интегрально-дифференциальных уравнений

Полагаем, что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (5):

при i = 1,…,4; j = 1,…,3.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(П3.5)

где исходные параметры атаки принимают следующие значения:

= 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 0,4с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения системы, = 2,9с. – среднее время правки реестра для прописки установки себя в автозапуск.

Среднее время необходимое для проведения атаки вредоносом 1-го типа будет равно = 1,26 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на Рис. П3.4.

Рис. П3.4. Зависимость вероятности реализации атаки вредоносом 1-го типа от времени

Моделирование процесса заражения хоста вредоносом 2-го типа с помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоносом 2-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова, где:

– позиции,

– переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение зараженного файла,

– файл запущен,

– запуск процесса заражения и

распространения (вывод ложного сообщения об ошибке, создание исполняемого файла с копией своего тела, правка реестра для автозапуска вредоносного кода при старте системы),

– cоздан исполняемый файл с копией своего тела в системном каталоге Windows. Например %System%\Image0X.scr или %System%\KillUsa.exe,

– вывод ложного сообщения об ошибке,

– начало правки реестра для установки автозапуска,

– правка реестра для автозапуска вредоносного кода при старте системы закончена.

Граф данной сети представлен на Рис. П3.5.

Рис. П3.5. Граф сети Петри-Маркова для атаки вредоносом 2-го типа

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Таблица 3. Элементы матрицы для атаки вредоносом 2-го типа

	1	0	0
	1	1	0
	0	1	0
	0	1	1
	0	0	1

Для данной сети Петри-Маркова имеет место следующая система интегрально-дифференциальных уравнений

Полагаем что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (П3.6):

при i = 1,…,5; j = 1,…,3.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(П3.7)

где исходные параметры атаки принимают следующие значения:

= 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 0,2с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения системы, = 2,9с. – Среднее время правки реестра. Среднее время необходимое для проведения атаки вредоносом 2-го типа будет равно = 1,2 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на Рис. П3.6.

Рис. П3.6. Зависимость вероятности реализации атаки атаки вредоносом 2-го типа от времени

Моделирование процесса заражения хоста вредоносом 3-го типа помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоноса 3-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова, где:

– позиции,

– переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение зараженного файла,

– файл запущен,

– запуск процесса заражения (создание исполняемого файла с копией своего тела, правка реестра для автозапуска вредоносного кода при старте системы),

– cоздан исполняемый файл с копией своего тела в каталоге C:\Recycler\S-1-5-21-<rnd>-<rnd>-<rnd>-<rnd>\nissan.exe и C:\%ALLUSERSPROFILE%\Local Settings\Application Data\nissan.exe,

– правка реестра для автозапуска вредоносного кода при старте системы закончена

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) представлены в таблице 4. Граф данной сети представлен на Рис. П3.7.

Рис. П3.7. Граф сети Петри-Маркова для атаки вредоносом 3-го типа

Таблица 4. Элементы матрицы для атаки вредоносом 3-го типа

	1	0
	1	1
	0	1
	0	1

Для данной сети Петри-Маркова имеет место следующая система интегрально-дифференциальных уравнений [1]:

Полагаем что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид:

при i = 1,…,4; j = 1,…,3.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(24)

где исходные параметры атаки принимают следующие значения: = 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 3,1с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения

системы.

Среднее время необходимое для проведения атаки вредоносом 3-го типа будет равно = 1,8 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на Рис. П3.8.

Рис. П3.8. Зависимость вероятности реализации атаки от времени

Моделирование процесса заражения хоста вредоносом 4-го типа с помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоносом 4-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова, где:

– позиции,

– переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение зараженного файла,

– файл запущен,

– запуск процесса заражения и распространения (вывод ложного сообщения об ошибке, создание исполняемого файла с копией своего тела, правка реестра для автозапуска вредоносного кода при старте системы),

– cоздан исполняемый файл с копией своего тела в системном каталоге …\Recycler\...,

– начало правки реестра для установки автозапуска и подмена Hosts,

– подмена файла Hosts,

– правка реестра для автозапуска вредоносного кода при старте системы закончена.

Граф данной сети представлен на Рис. П3.9.

Рис. П3.9. Граф сети Петри-Маркова для атаки вредоносом 4-го типа

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Таблица 5. Элементы матрицы для атаки вредоносом 4-го типа

	1	0	0
	1	1	0
	0	1	1
	0	0	1
	0	0	1

Для данной сети Петри-Маркова имеет место следующая система интегрально-дифференциальных уравнений

Полагаем что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид:

при i = 1,…,5; j = 1,…,3.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(П3.12)

где исходные параметры атаки принимают следующие значения:

= 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 0,2с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения системы, = 2,9с. – среднее время правки реестра.

Среднее время необходимое для проведения атаки вредоносом 4-го типа будет равно = 1,2 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на Рис. П3.10.

Рис. П3.10. Зависимость вероятности реализации атаки вредоносом 4-го типа от времени

Моделирование процесса заражения хоста вредоносом 5-го типа помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоносом 5-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова, где:

– позиции,

– переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение зараженного файла,

– файл запущен,

– запуск процесса заражения (создание исполняемого файла с копией своего тела, правка реестра для автозапуска вредоносного кода при старте системы),

– cоздан исполняемый файл с копией своего тела в системном каталоге Windows,

– начало правки реестра для добавления себя в автозапуск,

– правка реестра для автозапуска вредоносного кода при старте системы закончена.

Граф данной сети представлен на Рис. П3.11.

Рис. П3.11. Граф сети Петри-Маркова для атаки вредоноса 5-го типа

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Таблица 6. Элементы матрицы для атаки вредоносом 5-го типа

	1	0	0
	1	1	0
	0	1	1
	0	0	1

Для данной сети Петри-Маркова имеет место следующая система интегрально-дифференциальных уравнений

Полагаем что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (П3.13):

при i = 1,…,4; j = 1,…,3.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(П3.14)

где исходные параметры атаки принимают следующие значения:

= 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 0,4с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения системы, = 4,9с. –. среднее время правки реестра для прописки установки себя в автозапуск.

Среднее время необходимое для проведения атаки вредоносом 5-го типа будет равно = 1,93 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на Рис. П3.12.

Рис. П3.12. Зависимость вероятности реализации атаки вредоносом 5-го типа от времени

Моделирование процесса заражения хоста вредоносом 6-го типа помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоносом 6-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова, где

- позиции,

– переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение зараженного файла,

– файл запущен,

– запуск процесса заражения (создание исполняемого файла с копией своего тела),

– cоздан исполняемый файл с копией своего тела в каталоге C:\Program Fiels\...\XXXX.exe,

Граф данной сети представлен на Рис. П3.13.

Рис. П3.13. Граф сети Петри-Маркова для атаки вредоноса 6-го типа

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Таблица 7.Элементы матрицы для атаки вредоносом 6-го типа

	1	0
	1	1
	0	1

Для данной сети Петри-Маркова имеет место следующая система интегрально-дифференциальных уравнений

Полагаем что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид:

при i = 1,…,3; j = 1,…,2.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(П3.16)

где исходные параметры атаки принимают следующие значения:

= 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 0,4с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения системы.

Среднее время необходимое для проведения атаки вредоносом 6-го типа будет равно = 1,26 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на Рис. П3.14.

Рис. П3.14. Зависимость вероятности реализации атаки вредоносом 6-го типа от времени

Моделирование процесса заражения хоста вредоносом 7-го типа помощью сетей Петри-Маркова.

Вредоносы 7-го типа не проявляют себя в системе. Размножаются только копированием себя в папки общего доступа.

Моделирование процесса заражения хоста вредоносом 8-го типа помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоносом 8-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова, где:

– позиции, – переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение

зараженного файла,

– файл запущен,

– запуск процесса заражения (создание исполняемого файла с копией своего тела, правка реестра для автозапуска вредоносного кода при старте системы),

– cоздан исполняемый файл с копией своего тела в системном каталоге Windows,

– вывод сообщения об ошибке,

– начало правки реестра для добавления себя в автозапуск,

– правка реестра для автозапуска вредоносного кода при старте системы закончена,

– повторная правка реестра для автозапуска вредоносного кода при старте системы закончена.

Граф данной сети представлен на Рис. П3.15.

Рис. П3.15 - вид сети Петри-Маркова для атаки вредоносом 8-го типа

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Таблица 8. Элементы матрицы для атаки вредоноса 8-го типа

	1	0	0
	1	1	0
	0	1	1
	0	1	0
	0	0	1
	0	0	1

Для данной сети Петри-Маркова имеет место следующая система интегрально-дифференциальных уравнений

Полагаем что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид:

при i = 1,…,6; j = 1,…,3.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(П3.18)

где исходные параметры атаки принимают следующие значения:

= 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 0,4с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения системы, = 2,9с. –.среднее время правки реестра для прописки установки себя в автозапуск.

Среднее время необходимое для проведения атаки вредоноса 8-го типа будет равно = 1,26 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на Рис. П3.16.

Рис. 16. Зависимость вероятности реализации атаки вредоносом 8-го типа от времени

Моделирование процесса заражения хоста вредоносом 9-го типа помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоносом 9-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова, где:

– позиции, – переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение зараженного файла,

– файл запущен,

– запуск процесса заражения (создание исполняемого файла с копией своего тела, правка реестра для автозапуска вредоносного кода при старте системы),

– cоздан исполняемый файл с копией своего тела в системном каталоге…/ApplicationData/…,

– подмена«Hosts»

– правка реестра для автозапуска вредоносного кода при старте системы закончена.

Граф данной сети представлен на Рис. П3.17.

Рис.32. Граф сети Петри-Маркова для атаки вредоносом 9-го типа

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Таблица 9. Элементы матрицы для атаки вредоносом 9-го типа

	1	0
	1	1
	0	1
	0	1
	0	1

Для данной сети Петри-Маркова имеет место следующая система интегрально-дифференциальных уравнений

Полагаем что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (П3.19):

при i = 1,…,5; j = 1,…,2.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(П3.20)

где исходные параметры атаки принимают следующие значения:

= 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 0,4с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения системы, = 2,9с. –. среднее время правки реестра для прописки установки себя в автозапуск, подмены «Hosts».

Среднее время необходимое для проведения атаки вредоноса 9-го типа будет равно = 1,26 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на рис.33.

Рис. П3.18. Зависимость вероятности реализации атаки вредоноса 9-го типа от времени

Моделирование процесса заражения хоста вредоносом 10-го типа помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоносом 10-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова, где:

– позиции, – переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение зараженного файла,

– файл запущен,

– запуск процесса заражения (создание исполняемого файла с копией своего тела, правка реестра для автозапуска вредоносного кода при старте системы),

– правка реестра для автозапуска вредоносного кода при старте системы закончена.

Граф данной сети представлен на Рис. П3.19.

Рис. П3.19 Граф сети Петри-Маркова для атаки вредоноса 10-го типа

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Таблица 10. Элементы матрицы для атаки вредоноса 10-го типа

	1	0
	1	1
	0	1

Для данной сети Петри-Маркова имеет место следующая система интегрально-дифференциальных уравнений

Полагаем что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (П3.21):

при i = 1,…,3; j = 1,…,2.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(П3.22)

где исходные параметры атаки принимают следующие значения: = 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 1,4с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения системы и прописки установки себя в автозапуск.

Среднее время необходимое для проведения атаки вредоносом 10-го типа

будет равно = 0,95 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на Рис. П3.20.

Рис. П3.20 Зависимость вероятности реализации атаки вредоноса 10-го типа от времени

Моделирование процесса заражения хоста вредоносом 11-го типа помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоносом 11-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова, где:

- позиции, – переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение зараженного файла,

– файл запущен,

– запуск процесса заражения (создание исполняемого

файла с копией своего тела, правка реестра для автозапуска вредоносного кода при старте системы),

– cоздан исполняемый файл с копией своего тела в системном каталоге Windows,

– подмена «Hosts»

– cоздан исполняемый файл с копией своего тела в системном каталоге…/ApplicationData/…,

– запуск процесса правки реестра для автозапуска вредоносного кода при старте системы,

– правка реестра для автозапуска вредоносного кода при старте системы закончена.

Граф данной сети представлен на Рис. П3.21

Рис. П3.21. Граф сети Петри-Маркова для атаки

вредоноса 11-го типа

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Таблица 11. Элементы матрицы для атаки вредоноса 11-го типа

	1	0	0
	1	1	0
	0	1	0
	0	1	1
	0	1	0
	0	0	1

Для данной сети Петри-Маркова имеет место следующая система интегрально-дифференциальных уравнений

Полагаем что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (П3.23):

при i = 1,…6; j = 1,…,3.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(П3.24)

где исходные параметры атаки принимают следующие значения:

= 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 0,4с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения системы, = 2,9с. – среднее время правки реестра для прописки установки себя в автозапуск.

Среднее время необходимое для проведения атаки вредоносом 11-го типа будет равно = 1,26 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на Рис. П3.22.

Рис. П3.22. Зависимость вероятности реализации атаки

вредоноса 11-го типа от времени

Моделирование процесса заражения хоста вредоносом 12-го типа помощью сетей Петри-Маркова.

Рассмотрим процесс заражения хоста вредоносом 12-го типа. Смоделируем поведение вредоноса, с момента его открытия, до момента начала распространения (копирования своих копий в общие папки), с помощью сети Петри-Маркова ,где:

– позиции, – переходы,

– зараженный файл принят и готов к открытию,

– запуск на выполнение зараженного файла,

– файл запущен,

– запуск процесса заражения и распространения (вывод ложного сообщения об ошибке, создание исполняемого файла с копией своего тела, правка реестра для автозапуска вредоносного кода при старте системы),

– cоздан исполняемый файл с копией своего тела в системном каталоге Windows,

– cоздан исполняемый файл с копией своего тела в системном каталоге …\Recycler\...Winmap32.exe,

– начало правки реестра для установки автозапуска,

– правка реестра для автозапуска вредоносного кода при старте системы закончена.

Граф данной сети представлен на рис. 38.

Рис. 38. Граф сети Петри-Маркова для

вредоносом 12-го типа

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Таблица 12. Элементы матрицы для атаки вредоносом 12-го типа

	1	0	0
	1	1	0
	0	1	0
	0	1	1
	0	0	1

Для данной сети Петри-Маркова имеет место следующая система интегрально-дифференциальных уравнений

Полагаем что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (П3.25):

при i = 1,…,5; j = 1,…,3.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

(П3.26)

где исходные параметры атаки принимают следующие значения:

= 0,5с. – среднее время открытия зараженного вредоносным кодом файла, = 0,2с. – среднее время запуска на исполнение вредоносного кода и внесение изменений необходимых для заражения системы, = 2,9с. – среднее время правки реестра.

Среднее время необходимое для проведения атаки вредоносом 12-го типа будет равно = 1,2 с.

Зависимость вероятности заражения хоста от времени приобретает вид, представленный на рис. 39.

Рис. 39. Зависимость вероятности реализации атаки от времени

Приложение 4