Глава 3 Риск-анализ информационно-телекоммуникационных систем, подвергающихся атакам типа «сетевой шторм»
3.1 Обоснование применения закона распределения экстремальных значений Фреше для построения аналитической риск-модели
Приведенные в предыдущей главе модели атак типа «сетевой шторм» на ИТКС детерминированы и на последнем ключевом этапе приводят к неконтролируемой передаче вредоносного трафика элементам ИТКС, критический объем которого способен исчерпать тот или иной ресурс элемента ИТКС – пропускную способность канала связи, вычислительную способность процессора, объем доступной оперативной памяти. Однако объем трафика – величина вероятностная, для описания которой необходимо построить стохастическую модель.
Исследования свойств трафика в ИТКС различного назначения [145, 61, 88, 94, 96, 100, 189] выявили две ключевые особенности, которые должны быть учтены при построении соответствующей модели:
Статистический временной ряд, описывающий поведение случайной величины объема трафика обладает свойством фрактальности. Фрактальность, а фактически – самоподобие, означает что, при разных масштабах времени временной ряд, описывающий исследуемый процесс, сохраняет свою структуру. Основной количественной характеристикой свойства самоподобия временного ряда является показатель Херста (англ. Hurst Exponent) [83, 189], позволяющий классифицировать случайные процессы с независимыми приращениями (показатель Херста принимает значение равное 0,5), со статистически зависимыми значениями и тенденцией поведения ряда (показатель Херста принимает значения больше 0,5) и со статистически зависимыми значениями без тенденции поведения временного ряда (показатель Херста принимает значения меньше 0,5).
Статистический временной ряд, описывающий поведение случайной величины объема трафика обладает свойством медленно убывающей дисперсии, когда дисперсия выборочного среднего затухает медленнее, чем величина, обратная размеру выборки [94]. Причиной подобному может служить присутствие в статистике некоторого числа значительных «выбросов», что характерно, прежде всего, для так называемых распределений «с тяжелыми (весомыми) хвостами» [61]. При этом для случайных величин этого класса характерно затухание «хвоста» по степенному закону:
|
|
(3.1) |
где
X
–
случайная величина, с
и 
– параметры.
Примером такого класса является распределение Парето, характеризующееся бесконечными дисперсией и средним значением при определенных значениях его коэффициента формы. Функция распределения и плотность вероятности Парето имеют вид (3.2) и (3.3) соответственно:
|
|
(3.2) |
|
|
(3.3) |
где
– функция распределения, 
– плотность вероятности,
–
носитель случайной величины, 
– коэффициент формы, 
– коэффициент масштаба, определяющий
минимальное значение случайной величины.
Возможность применения распределения Парето для описания случайной величины объема трафика от источника была доказана в ряде работ [61, 88, 96], посвященных исследованию качества обслуживания в ИТКС (англ. Quality of Service, QoS). Однако такая задача ИБ ИТКС, как построение риск-модели ИТКС, подвергающихся атакам типа «сетевой шторм», как и любым другим атакам, направленным на исчерпание ресурсов ИТКС, должна решатся с учетом, во-первых, критических объемов вредоносного трафика и, во-вторых, возможного большого числа источников вредоносного трафика для высоконагруженных ИТКС, что переносит поиск приемлемого математического аппарата в область теории экстремальных значений [114, 115, 122, 129, 130, 131, 140, 168, 175].
Цель теории экстремальных значений состоит в анализе и оценке экстремумов (максимальных и минимальных значений) случайных величин – фактически новых случайных величин, зависящих от вида исходного закона распределения и объема исследуемой выборки [30, 164]. Этот класс распределений (рис. 3.1) уже нашел практическое применение при решении целого ряда разнородных задач. Распределения экстремальных значений (РЭЗ) первоначально применялись для анализа паводков, имевших на тот момент огромное значение для сельского хозяйства и гидроэлектроэнергетики [126, 152, 187]. На сегодняшний день количественные характеристики различных метеорологических явлений, полученные с помощью РЭЗ, используются в частности при определении оптимального местоположения проектируемых АЭС [97]. С помощью РЭЗ проводится контроль прочностных качеств материалов [147], в том числе используемых для создания космических кораблей [117]. В финансово-экономическом секторе РЭЗ широко используются центральными банками Англии, Канады и Нидерландов для оценки финансовых рисков при экстремальных условиях рынка [112, 133, 136, 137, 138, 198, 205].
РЭЗ
формируются либо как предельные
распределения экстремумов 
независимых случайных величин с
одинаковым законом распределения и,
возможно, различными параметрами при
,
либо как экстремумы 
периодов наблюдения поведения одной
случайной величины при 
[30, 182, 195]. Само семейство РЭЗ представлено
законами распределения Гумбеля (3.4),
распределением максимальных значений
Фреше (3.5) и распределений минимальных
значений Вейбулла (3.6) с соответствующими
функциями распределения:
|
|
(3.4) |
|
|
(3.5) |
|
|
(3.6) |
где
– параметры распределений.
Распределения (3.4) – (3.6) можно объединить единой функцией распределения, называемой распределением Мизеса или распределением Мизеса—Дженкинса:
|
|
(3.7) |
которое
при 
сводится к распределению Гумбеля, при
– к распределению Фреше, при 
– к распределению Вейбулла [164].
Рис. 3.1. Место РЭЗ среди математического аппарата построения риск-моделей
Учитывая, что распределение Парето, описывающее случайную величину объема трафика, ограничено слева минимальным значением, сформулируем и докажем гипотезу о том, что распределением критических для ИБ ИТКС максимальных значений независимых случайных величин объема трафика, распределенных по закону Парето, при является именно распределение максимальных значений Фреше [143].
Согласно [164], достаточными условиями сходимости к распределению Фреше являются выполнение неравенства:
|
|
(3.8) |
где
– функция интенсивности отказов, и
существование предела:
|
|
(3.9) |
где
.
Исследуем распределение Парето на предмет выполнения достаточного условия сходимости. С учетом (3.2) и (3.3) функция интенсивности отказов примет вид:
|
|
(3.10) |
Учитывая
возможные значения
,
,
можно сделать вывод о том, что функция
(3.10) принимает значения большие нуля на
всей области определения. Далее вычислим
предел (3.9):
|
|
(3.11) |
Приведенные достаточные условия выполняются, следовательно, можно сделать вывод о том, что экстремальные значения случайной величины объема вредоносного (в контексте последствий эффекта «unicast flooding») трафика могут быть описаны с помощью закона распределения Фреше, плотность вероятности которого имеет вид:
|
|
(3.12) |
Проверим доказанную гипотезу для конечного числа случайных величин с помощью статистического эксперимента. Имеется выборочная совокупность максимумов 60 смоделированных случайных величин объема трафика, описываемых распределением Парето (в Мбит/с) (рис. 3.2).
Рис. 3.2. Выборочная совокупность максимумов 60 случайных величин
Сформулируем и докажем статистическую гипотезу о том, что полученные экспериментальные данные подчиняются закону распределения Фреше. Для проверки статистической гипотезы применим критерий Колмогорова, использующий в качестве меры расхождения между эмпирической и теоретической функцией распределения модуль максимальной разности между их значениями [57]:
|
|
(3.13) |
где
– теоретическая функция распределения,
– эмпирическая функция распределения,
определяемые согласно выражениям (3.5)
и (3.14) соответственно.
|
|
(3.14) |
где
– объем выборочной совокупности.
Вариационный ряд (в тыс.) и промежуточные вычисления представлены в таблице 3.1.
Таблица 3.1
Вариационный ряд и соответствующие промежуточные вычисления
|
1 |
2 |
3 |
4 |
5 |
6 |
7 |
8 |
9 |
10 |
|
57,76 |
66,58 |
66,79 |
66,79 |
69,17 |
70,88 |
72,50 |
78,02 |
78,79 |
80,00 |
|
0,016 |
0,033 |
0,050 |
0,066 |
0,083 |
0,100 |
0,116 |
0,133 |
0,150 |
0,166 |
|
0,005 |
0,033 |
0,034 |
0,034 |
0,048 |
0,060 |
0,072 |
0,121 |
0,129 |
0,141 |
|
0,011 |
0,000 |
0,015 |
0,031 |
0,034 |
0,039 |
0,044 |
0,011 |
0,020 |
0,024 |
|
11 |
12 |
13 |
14 |
15 |
16 |
17 |
18 |
19 |
20 |
|
83,15 |
83,64 |
86,29 |
87,45 |
88,05 |
89,96 |
89,96 |
92,06 |
96,03 |
96,03 |
|
0,200 |
0,216 |
0,233 |
0,250 |
0,266 |
0,283 |
0,300 |
0,316 |
0,333 |
0,350 |
|
0,175 |
0,181 |
0,210 |
0,224 |
0,231 |
0,253 |
0,253 |
0,277 |
0,323 |
0,323 |
|
0,024 |
0,035 |
0,022 |
0,025 |
0,035 |
0,030 |
0,046 |
0,039 |
0,010 |
0,026 |
|
21 |
22 |
23 |
24 |
25 |
26 |
27 |
28 |
29 |
30 |
|
96,03 |
97,83 |
98,78 |
99,76 |
99,76 |
100,7 |
100,7 |
102,9 |
102,9 |
108,0 |
|
0,350 |
0,366 |
0,383 |
0,400 |
0,416 |
0,433 |
0,450 |
0,466 |
0,483 |
0,500 |
|
0,323 |
0,343 |
0,354 |
0,365 |
0,365 |
0,376 |
0,376 |
0,400 |
0,400 |
0,452 |
|
0,026 |
0,023 |
0,029 |
0,034 |
0,051 |
0,056 |
0,073 |
0,066 |
0,083 |
0,047 |
|
31 |
32 |
33 |
34 |
35 |
36 |
37 |
38 |
39 |
40 |
|
112,5 |
114,2 |
114,2 |
115,9 |
115,9 |
119,9 |
122,1 |
124,4 |
129,7 |
129,7 |
|
0,516 |
0,533 |
0,550 |
0,566 |
0,583 |
0,600 |
0,616 |
0,633 |
0,650 |
0,666 |
|
0,495 |
0,511 |
0,511 |
0,526 |
0,526 |
0,560 |
0,577 |
0,595 |
0,632 |
0,632 |
|
0,021 |
0,022 |
0,039 |
0,039 |
0,056 |
0,040 |
0,039 |
0,038 |
0,017 |
0,034 |
|
41 |
42 |
43 |
44 |
45 |
46 |
47 |
48 |
49 |
50 |
|
132,7 |
136,0 |
136,0 |
139,7 |
153,8 |
153,8 |
160,0 |
167,2 |
176,1 |
201,5 |
|
0,683 |
0,700 |
0,716 |
0,733 |
0,750 |
0,766 |
0,783 |
0,800 |
0,816 |
0,833 |
|
0,652 |
0,672 |
0,672 |
0,693 |
0,759 |
0,759 |
0,783 |
0,807 |
0,832 |
0,885 |
|
0,031 |
0,027 |
0,044 |
0,040 |
0,009 |
0,006 |
0,000 |
0,007 |
0,016 |
0,051 |
|
51 |
52 |
53 |
54 |
55 |
56 |
57 |
58 |
59 |
60 |
|
201,5 |
201,5 |
201,5 |
221,8 |
221,8 |
251,8 |
253,9 |
253,9 |
253,9 |
320,0 |
|
0,850 |
0,866 |
0,883 |
0,900 |
0,916 |
0,933 |
0,950 |
0,966 |
0,983 |
1,000 |
|
0,885 |
0,885 |
0,885 |
0,912 |
0,912 |
0,939 |
0,940 |
0,940 |
0,940 |
0,969 |
|
0,035 |
0,018 |
0,001 |
0,012 |
0,004 |
0,006 |
0,009 |
0,025 |
0,042 |
0,030 |
Статистическая гипотеза не отвергается при уровне значимости , если выполняется неравенство:
|
|
(3.15) |
где
вычисляется по формуле (3.15), 
– табличное значение.
|
|
(3.16) |
Проверяемая
статистическая гипотеза является
сложной, так как параметры предполагаемого
распределения 
и 
были определены по той же выборочной
совокупности [56]. Соответствующим уровню
значимости 
значением является 
[57].
При полученных значениях величин
и
неравенство (3.15) выполняется, следовательно,
выдвинутая статистическая гипотеза не
отвергается, и выбранный для построения
риск-модели закон распределения Фреше
является приемлемым и адекватным.
Проверим доказанную гипотезу для конечного числа периодов наблюдения случайной величины с помощью статистического эксперимента. Имеется выборочная совокупность из 3600 значений одной смоделированной случайной величины объема трафика, описываемой распределением Парето (рис. 3.3). Выберем максимумы 60 периодов наблюдения данной случайной величины (в Мбит/с) (рис. 3.4).
Рис. 3.3. Выборочная совокупность 3600 значений случайной величины
Рис. 3.4. Выборочная совокупность максимумов 60 периодов случайной величины
Сформулируем и докажем статистическую гипотезу о том, что полученные экспериментальные данные подчиняются закону распределения Фреше. Для проверки статистической гипотезы применим критерий Мизеса, использующий в качестве меры расхождения между эмпирической и теоретической функцией распределения средний квадрат разности между их значениями [57]:
|
|
(3.17) |
где – теоретическая функция распределения, – эмпирическая функция распределения, определяемые согласно выражениям (3.5) и (3.18) соответственно.
|
|
(3.18) |
Вариационный ряд (в тыс.) и промежуточные вычисления представлены в таблице 3.2.
Таблица 3.2
Вариационный ряд и соответствующие промежуточные вычисления
|
1 |
2 |
3 |
4 |
5 |
6 |
7 |
8 |
9 |
10 |
|
22,30 |
22,45 |
24,32 |
25,22 |
25,44 |
25,77 |
27,27 |
29,00 |
30,64 |
31,18 |
|
0,008 |
0,025 |
0,041 |
0,058 |
0,075 |
0,091 |
0,108 |
0,125 |
0,141 |
0,158 |
|
0,002 |
0,002 |
0,016 |
0,028 |
0,032 |
0,039 |
0,074 |
0,126 |
0,182 |
0,201 |
|
0,000 |
0,000 |
0,000 |
0,000 |
0,001 |
0,002 |
0,001 |
0,000 |
0,001 |
0,001 |
|
11 |
12 |
13 |
14 |
15 |
16 |
17 |
18 |
19 |
20 |
|
31,49 |
32,53 |
32,64 |
33,13 |
33,58 |
33,93 |
34,46 |
35,43 |
35,80 |
36,07 |
|
0,175 |
0,191 |
0,208 |
0,225 |
0,241 |
0,258 |
0,275 |
0,291 |
0,308 |
0,325 |
|
0,212 |
0,249 |
0,253 |
0,271 |
0,286 |
0,298 |
0,316 |
0,349 |
0,361 |
0,370 |
|
0,001 |
0,003 |
0,002 |
0,002 |
0,002 |
0,001 |
0,001 |
0,003 |
0,002 |
0,002 |
|
21 |
22 |
23 |
24 |
25 |
26 |
27 |
28 |
29 |
30 |
|
36,28 |
36,64 |
36,73 |
37,31 |
37,43 |
37,43 |
38,55 |
38,68 |
39,32 |
39,47 |
|
0,341 |
0,358 |
0,375 |
0,391 |
0,408 |
0,425 |
0,441 |
0,458 |
0,475 |
0,491 |
|
0,376 |
0,388 |
0,391 |
0,408 |
0,412 |
0,412 |
0,444 |
0,448 |
0,466 |
0,469 |
|
0,001 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
|
31 |
32 |
33 |
34 |
35 |
36 |
37 |
38 |
39 |
40 |
|
39,59 |
39,92 |
41,51 |
42,14 |
42,27 |
42,63 |
43,39 |
44,37 |
46,03 |
50,01 |
|
0,508 |
0,525 |
0,541 |
0,558 |
0,575 |
0,591 |
0,608 |
0,625 |
0,641 |
0,658 |
|
0,473 |
0,482 |
0,521 |
0,536 |
0,539 |
0,547 |
0,564 |
0,584 |
0,615 |
0,679 |
|
0,001 |
0,001 |
0,000 |
0,000 |
0,001 |
0,002 |
0,002 |
0,001 |
0,000 |
0,000 |
|
41 |
42 |
43 |
44 |
45 |
46 |
47 |
48 |
49 |
50 |
|
50,53 |
51,64 |
54,18 |
54,27 |
55,37 |
59,44 |
60,91 |
65,99 |
66,19 |
66,58 |
|
0,675 |
0,691 |
0,708 |
0,725 |
0,741 |
0,758 |
0,775 |
0,791 |
0,808 |
0,825 |
|
0,686 |
0,701 |
0,732 |
0,733 |
0,744 |
0,782 |
0,794 |
0,828 |
0,829 |
0,831 |
|
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,001 |
0,000 |
0,000 |
|
51 |
52 |
53 |
54 |
55 |
56 |
57 |
58 |
59 |
60 |
|
68,05 |
69,64 |
79,18 |
81,29 |
83,64 |
90,64 |
97,83 |
97,83 |
132,7 |
143,8 |
|
0,841 |
0,858 |
0,875 |
0,891 |
0,908 |
0,925 |
0,941 |
0,958 |
0,975 |
0,991 |
|
0,839 |
0,848 |
0,886 |
0,892 |
0,899 |
0,916 |
0,929 |
0,929 |
0,963 |
0,969 |
|
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
0,000 |
Статистическая гипотеза не отвергается при уровне значимости , если выполняется неравенство:
|
|
(3.19) |
где
вычисляется по формуле (3.19),
– табличное значение.
|
|
(3.20) |
Проверяемая
статистическая гипотеза является
сложной, так как параметры предполагаемого
распределения 
и 
были определены по той же выборочной
совокупности [56]. Соответствующим уровню
значимости
значением является 
[57].
При полученных значениях величин
и
неравенство (3.19) выполняется, следовательно,
выдвинутая статистическая гипотеза не
отвергается, и выбранный для построения
риск-модели закон распределения Фреше
является приемлемым и адекватным.