Глава 4 Прогнозирование размера ущерба от реализации атак типа «сетевой шторм»

4.1 Характеристики временного ряда случайной величины объема трафика

Спрогнозировать размер ущерба от атак типа «сетевой шторм» на компонент ИТКС можно, проанализировав внутреннюю структуру и восстановив временной ряд случайной величины объема трафика, определяющей величину ущерба через соответствующую весовую функцию.

Временной ряд при этом можно рассматривать как случайную или недетерминированную функцию x независимой переменной t (времени) [120, 170, 183, 184, 200]. Таким образом, предполагается, что возможные значения временного ряда в данный момент времени t описываются с помощью случайной ве­личины X(t) и связанного с ней распределения вероятностей Фреше. Определение природы этого распределения вероятности по одному или малому числу рядов представляет собой невозможное или даже бессмысленное занятие [32].

Для обеспечения разрешимости этой задачи используют некоторые упрощения. Первый подход к вышеизложенной проблеме основывается на предположении, что случайный процесс может быть адекватно опи­сан с помощью некоторой модели, содержащей небольшое число параметров, которые могут быть оценены по данным либо с помощью привлечения априорных гипотез о характере сигнала. Субъективизм такого подхода очевиден, и именно им определяется обилие методов спектрального оценивания, количество которых к настоящему времени исчисляется десятками, а число публикаций по ним далеко перевалило за тысячу [87, 173]. Второй подход основывается на предположениях, заключающихся в том, что соответствующий случайный процесс является стационар­ным и может быть адекватно описан с помощью младших моментов его распределения вероятностей. Младшие моменты включают в себя среднее значение, дисперсию, ковариационную функцию и преобразование Фурье ковариационной функции — спектр мощно­сти [32].

Случайный процесс (СП) x(t) называется стационарным в узком смысле, если для любого действительного , его конечномерная функция распределения не меняется при сдвиге на , то есть:

(4.1)

Случайный процесс называется стационарным в широком смысле, если среднее значение постоянно, а автокорреляционная функция (АКФ) зависит только от разно­сти времен , что можно записать как:

		(4.2)
		(4.3)

Реальные случайные процессы являются нестационарными. Стационарность – это ма­тематическая абстракция. Многие нестационарные случайные процессы на конечных ин­тервалах времени можно аппроксимировать стационарным процессом [174]. Вопрос о том, когда реальный процесс можно с достаточной степенью точности аппроксимировать стационарным случайные процессы, решается на основе изу­чения экспериментальной реализации и знания механизма ее процесса генерации [7].

Большинство методов, имеющих дело с нестационарными вре­менными рядами, основано на способах устранения или отфильтровывания нестационарной части, так что остается ряд, с которым мо­жно обращаться как со стационарным [32, 35, 42, 84].

Корректно характеристики случайных процессов оцениваются путем усреднения по ансамблю реализаций в определенные моменты времени. Но большинство стационарных случайных процессов обладает эргодическим свойством [7, 41]. Суть его заключается в том, что по одной достаточно длинной реализации процесса можно судить обо всех его статистических свойствах так же, как по любому количеству реализаций. Эргодичность является очень важным свойством случайных стационарных, и только стационарных процессов [7].

Свойства эргодичности могут проявляться только по отношению к двум первым моментам случайного процесса, что вполне достаточно для использования соответствующих методик исследования процессов.

Необходимым и достаточным условием эргодичности относительно среднего стационарного случайного процесса с корреляционной функцией является выполнение следующего равенства:

(4.4)

Поскольку необходимое и достаточное условие эргодичности проверить невозможно из-за отсутствия ансамбля реализации, то приходится проверять выполнение доста­точного условия эргодичности:

(4.5)

для соблюдения, которого достаточно убывания корреляционной связи с увеличением расстояния между сечениями [8].

Практические методы выделения скры­тых периодичностей представляют собой развитие методов анализа слу­чайных процессов [31]. Проверка временного ряда на наличие периодик заключается в визуальном анали­зе оценок спектральной плотности, плотности распределения и ко­вариационной функции, рассчитанных по данным наблюдений над ста­ционарным процессом. Наличие периодических или почти периодических составляющих в случайном процессе проявляется в его спектральной плотности в виде острых пиков, которые можно ошибочно приписать к случайному узкополосному шуму. Если перио­дические составляющие имеют большие амплитуды, то их наличие совер­шенно очевидно. Однако при малых амплитудах периодические компонен­ты не проявляются столь отчетливо. В данном случае прибегают к методу увеличения разрешения по частоте. Если максимум от­вечает гармоническому колебанию, то его ширина всегда будет совпадать с шириной полосы пропускания используемого для построения оценки фильтра, сколь бы малой она ни была. Оче­видно, что такой метод детектирования даст иные результаты, если шири­на элементарной полосы частот при спектральном анализе меньше воз­можной ширины спектра узкополосного случайного процесса [33, 106]. Также, при отсутствии априорных сведений о природе анализируемого процесса, неплохие результаты выявления периодик показывает метод сингулярного спектрального анализа (ССА) [87, 199].