Постоянно меняющийся характер сетевых атак требует гибкую защитную систему, которая способна анализировать огромное количество сетевого трафика по методу, который менее структурирован чем тот, что основан на построении определенных правил. Система обнаружения вторжений на основе нейронной сети может потенциально решить многие из проблем, которые имеют место быть в системах, основанных на правилах.

Преимущества систем обнаружения вторжений на основе нейронных сетей

Первое преимущество в использовании нейронной сети в выявлении вторжений — это гибкость, которую предоставляет эта сеть. Нейронная сеть способна анализировать данные из сети, даже если данные неполные или искажены. Кроме того, сеть будет обладать способностью проводить анализ с данными в нелинейной форме. Обе эти характеристики имеют важное значение в сетевой среде, где полученная информация подвержена случайным ошибкам системы. Кроме того, поскольку некоторые атаки на сеть могут быть проведены скоординированным вторжением нескольких злоумышленников, способность обрабатывать данные из нескольких источников в нелинейной форме особенно важна.

Скорость, свойственная нейронным сетям, является еще одним преимуществом этого подхода. Поскольку защита вычислительных ресурсов требует своевременного выявления атак, скорость обработки нейронной сети может обеспечить реагирование на вторжение до того, как будет нанесен непоправимый ущерб системе.

Поскольку результат работы нейронной сети выражается в виде вероятности, нейронная сеть обеспечивает возможность прогнозирования для обнаружения случаев вторжения. Система обнаружения вторжений на основе нейронных сетей определит вероятность того, что конкретное событие или ряд событий, свидетельствуют о нападении на систему. По мере получения опыта, нейронная сеть улучшает способность определять, какие события и где могут произойти в процессе атаки. Эта информация затем может быть использована, чтобы сгенерировать последовательность событий, которые должны произойти, если имеет место быть попытка вторжения. Отслеживая последующие возникновения этих событий, система будет способна улучшить анализ событий и, возможно, провести защитные меры, прежде чем атака будет удачно выполнена.[1]

Тем не менее, наиболее важным преимуществом нейронных сетей в выявлении вторжений является  способность нейронной сети “обучаться” признакам атак и определять случаи, которые нехарактерны для тех, что наблюдались ранее. Нейронная сеть может быть обучена распознавать известные подозрительные события с высокой степенью точности. Это очень ценное умение (злоумышленники часто повторяют «успехи» других) так же позволит получить возможность применять эти знания для выявления фактов о нападении, которые не соответствуют точным характеристикам предыдущих вторжений. Вероятность вторжения в систему может быть предполагаемая и помечена как потенциальная угроза, когда вероятность превышает определенный порог.

Недостатки систем обнаружения вторжений на основе нейронных сетей

Есть две основные причины, почему нейронные сети не применялись в разрешении задачи обнаружения вторжений в прошлом. Первая причина связана с требованиями к обучению нейронной сети. Поскольку способность искусственной нейронной сети к идентификации признаков вторжение полностью зависит от правильного обучения системы, данные для обучения и методы обучения, которые используются, являются критическими. Процедура обучения требует очень большой объем данных, чтобы гарантировать статистически точные  результаты. Обучение нейронной сети для целей обнаружения вторжений может потребовать тысячи последовательностей индивидуальных атак, и это количество нужной информации трудно получить.

Тем не менее, наиболее существенным недостатком применения нейронных сетей для обнаружения вторжений является природа “черного ящика” нейронной сети. В отличие от экспертных систем, которые имеют жестко закодированные правила для анализа событий, нейронные сети адаптируют свой анализ данных в ответ на полученное обучение. Вес связи и передаточные функции различных сетевых узлов, как правило, замораживаются после того, как сеть достигла приемлемого уровня успеха в идентификации событий. В то время как анализ сети достигает достаточной вероятности успеха, основа для этого уровня точности не всегда известна. “Проблема черного ящика” преследует нейронных сетей в ряде приложений. Это постоянная область исследований в нейронных сетях.[2]

Потенциальные реализации

Есть две основные реализации нейронных сетей в системах обнаружения вторжений. Первая предполагает включение их в существующие или модифицированные экспертные системы. В отличие от предыдущих попыток использовать нейронные сети в обнаружения аномалий, используя их в качестве замены для существующих компонентов статистического анализа, этот вариант связан с использованием нейронной сети для фильтрации входящих данных с целью выявления подозрительных событий, которые могут указывать на вторжение и направлять эти события экспертной системе. Эта конфигурация должна улучшить эффективность системы обнаружения за счет уменьшения ложных тревог экспертной системы. Поскольку нейронная сеть определяет вероятность того, что определенное событие является показателем атаки, можно установить порог, при котором событие направляется в экспертную систему для дополнительного анализа. Поскольку экспертная система только получает данные о событиях, которые рассматриваются как подозрительные, чувствительность экспертной системы может быть увеличена, (обычно, чувствительность экспертных систем должна быть низкой, чтобы уменьшить частоту ложных тревог). Эта конфигурация будет полезна для организаций, которые инвестировали в технологии экспертных систем на основе правил, за счет повышения эффективности системы при сохранении инвестиций, которые были сделаны в существующие системах обнаружения вторжений. Недостатком этого подхода будет то, что, в то время, как  нейронная сеть расширила свои возможности для выявления новых атак, экспертную систему необходимо будет обновить для того, что бы она так же распознавала эти угрозы. Если экспертная система не обновлялись, новые атаки, определенные нейронной сетью, в большей степени будут игнорироваться экспертной системой, потому что ее база правил не будет способна распознать новую угрозу.[3]

Второй подход определяет нейронную сеть как автономную систему обнаружения вторжений. В этой конфигурации, нейронная сеть будет получать данные из сетевого потока и анализировать информацию на наличие вторжения. Любые случаи, которые определены как показатель атаки будут направлены администратору безопасности или использованы автоматизированной системой реагирования на вторжения. Этот подход предполагает большую скорость обнаружения по сравнению с предыдущим подходом, поскольку задействован только один слой анализа. Кроме того, эта конфигурация должна улучшить эффективность с течением времени, так как сеть изучает новые признаки атак. В отличие от первого подхода, эта концепция не ограничена аналитическими способностями экспертной системы, и, как следствие, она сможет расширится за пределы базы правил экспертной системы.

Из-за возможности несанкционированного доступа к архивам коммерческих данных,  основной проблемой в компьютерных сетях является безопасность данных. Поэтому руководство компаний  перестает использовать открытые информационные системы. Потребность в своевременном и точном обнаружении атак на компьютер или вычислительные системы увеличилась, так как возросло преобладание распределенных сетевых систем и незащищенных сетей.

Чаще всего современные подходы обнаружения атак пользуются формой анализа основанной на правилах. Набор правил входит в экспертную систему. Поскольку экспертная система очень быстро устаревает, требуется ее постоянное  обновление. Экспертные системы в представлении структуры типа «правило-проверка», к сожалению, недостаточно гибки, что является одним из немаловажных недостатков.  За последние годы было создано достаточное количество подходов обнаружения атак, которые опираются на неэкспертные системы.

Искусственные нейронные сети (artificial neural network)   — математические модели, их программные или аппаратные реализации, которые построены по системе организации и функционирования биологических нейронных сетей — сетей нервных клеток живого организма.  Данное понятие возникло при попытке изучить протекающие процессы  в мозге, а также смоделировать их.[1] Искусственная нейросеть включает в себя набор элементов,  синхронизированных между собой и изменяющий набор входных данных к набору необходимых выходных данных. Результат трансформации обуславливается параметрами элементов и их весами, а также соответствующими им взаимосвязями. Приспособиться к нужным выходным результатам можно через трансформацию соединений между узлами сети. Экспертные системы предоставляют определенную информацию о соответствии заложенной в базе данных правил рассматриваемой характеристике, в свою очередь нейросеть анализирует информацию и дает возможность оценивания согласования характеристик, которые она умеет распознавать. Правильность и точность выбора, в общем и целом, обусловлена особенностью системы в анализе примеров поставленной задачи, а степень соответствия нейросетевого представления способна набирать 100%.

На сегодняшний день проводится множество исследований по способам применения нейросетей для выявления компьютерных атак. Искусственные нейросети предоставляют варианты решения большого количества проблем, которые охватываются другими современными способами  обнаружения атак.

Данные сети обладают гибкостью, что служит первым преимуществом при обнаружении злоупотреблений. Вторым значимым плюсом нейросетей для выявления злоупотреблений считается их умение «изучать» параметры преднамеренных атак и распознавать элементы, незамеченных ранее в сети.

По ряду причин до некоторого времени нейросети не использовались в задачах обнаружения злоупотреблений. Основной причиной остается требование обучения нейросети. Способность искусственной нейросети распознавать указания на атаку обусловлена точностью обучения системы, поэтому обучающие данные и используемые методы обучения считаются наиболее значимыми. В тоже время, главным отрицательным фактом в использовании нейросетей для детектирования вторжения служит природа «черного ящика» нейросети.[2]

Работа нейронных сетей характеризуется достаточной гибкостью, нежели заранее запрограммированные алгоритмы выявления вторжений, поэтому применение искусственных нейронных сетей в СОВ на данный момент времени считается довольно многообещающим.

Часть нейронных сетей способна обучаться как на основе заранее подготовленных наборов данных, так и во время работы в режиме реального времени, что снижает вероятность ложного срабатывания при распознавании атаки.

Помимо достоинств, системы на базе нейронных сетей обладают и недостатками: слабо обученные нейронные имеют более высокую вероятность ложных срабатываний по сравнению с хорошо настроенными перцептронами.

Системы обнаружения вторжений обладают достаточным набором достоинств в отличие от других методов обнаружения атак, что свидетельствует об их глобальном распространении в ближайшем будущем.

Экспертная система является передовым компьютерным приложением, применяющимся с целью обеспечения решения сложных проблем, или уточнения неопределенности за счет использования неалгоритмических программ, в которых будет необходим человеческий опыт. Экспертные системы являются наиболее распространенными в сложной проблемной области и рассматриваются в качестве широко используемых альтернатив в поиске решений, которые требует наличия специфического человеческого опыта. Экспертная система также способна оправдать свои предусмотренные решения, основываясь на знаниях и данных от прошлых пользователей.

Разница между экспертной системы с нормальным решением проблем системы является то, что последняя представляет собой систему, где обе программы и структуры данных кодируются, в то время как для экспертной системы только структуры данных жестко закодированы и никакой информации конкретных проблем, не кодируется в структуре программы. Вместо этого, знания человеческого опыта захватываются и кодируются в процессе, известном как инжиниринг знаний. Следовательно, всякий раз, когда конкретная проблема требует помощи определенного человеческого опыта, чтобы обеспечить решение, человеческий опыт, который был закодирован, будет использоваться и обрабатываться для того, чтобы обеспечить рациональное и логическое решение. Это основанная на знаниях, экспертная система позволяет системе открытой для добавления новых знаний и адаптации соответствующим образом, чтобы соответствовать новым требованиям в постоянно меняющейся и непредсказуемой среде.

Особенности экспертных систем

Есть целый ряд особенностей, которые обычно используются в экспертных системах. Эти функции позволяют пользователям в полной мере использовать возможности экспертной системы, в удобной форме и получении наиболее логичных и разумных решений проблемных ситуаций.

• Обратный логический вывод – это метод логического вывода, непрерывно разбивающий цель на более мелкие подцели, которые легче доказать с помощью ЕСЛИ ТОГДА правил.
• Имея дело с неопределенностью – система имеет возможность обрабатывать причину с условиями, являющимися бесспорными и данные, которые не точно известны.
• Прямой логический вывод – это метод логического вывода, который выводит решение задачи из исходных данных с помощью, ЕСЛИ ТОГДА правил.
• Представление данных – метод, где конкретные данные проблемы сохраняются и становятся доступными в системе.
• Пользовательский интерфейс – та часть кода, которая создает простую форму для использования системы;
• Пояснения – способность системы объяснить процесс рассуждения, который она использует получения решения.

Преимущества использования экспертных систем.

Экспертные системы широко используются в деловом мире, чтобы получить тактическое преимущество и прогнозировать состояние рынка. В наш век глобализации, где каждое решение, принятое в деловом мире имеет решающее значение для успеха, помощь, предоставляемая от экспертной системы, несомненно, является существенной и высоконадежной для организации, чтобы добиться успеха. Примеры, приведенные ниже, являются преимуществами для использования экспертной системы:

1. Обеспечение согласованных решений – система может обеспечить последовательные ответы для повторяющихся решений, процессов и задач.

2. Обеспечивает разумные объяснения – она имеет возможность уточнить причины, почему был сделан вывод, и почему именно он считается наиболее логичным выбором среди других альтернатив. Если есть какие-либо сомнения в заключении определенной проблему, она предложит несколько вопросов для пользователей, чтобы обработать логический вывод.

3. Преодолеть ограничения человека – система не имеет человеческих ограничений и может работать круглосуточно, непрерывно. Пользователи смогут часто использовать её в поиске решений. Знания экспертов являются ценным активом для компании. Она может хранить знания и использовать их до тех пор, пока есть потребность организации.

4. Легко адаптируется к новым условиям – в отличие от людей, которые часто имеют проблемы в адаптации в новых условиях, экспертная система имеет высокую технологичность и может удовлетворить новые требования в течение короткого периода времени. Она также может захватить новые знания от экспертов и использовать их в качестве правил вывода для решения новых проблем.

Недостатки использования экспертных систем.

Несмотря на то, что экспертная система действительно обеспечивает много существенных преимуществ, она также имеет свои недостатки. Примеры, приведенные ниже, будут недостатками для реализации экспертной системы:

1. Недостатки здравого смысла – ей не хватает здравого смысла, необходимого в некоторых принятиях решений, так как все решения, приняты на основе правил вывода, установленных в системе. Она также не может сделать творческих или новаторских решений, в отличие от  человека-эксперта.

2. Дорогостоящее внедрение и расходы на техническое обслуживание – Реализация экспертной системы будет финансовым бременем для небольших организаций, так как он имеет высокую стоимость разработки, а также последующих расходов на модернизацию системы, чтобы адаптироваться в новой среде.

3. Трудности в создании правил вывода – эксперты домена не смогут всегда объяснить их логику и рассуждения, необходимые для процесса разработки знаний. Следовательно, задача кодировать их знаний является очень сложной работой и может потребовать долгого времени.

4. Может предоставлять неправильные решения – это не без ошибок. В системе могут быть логические ошибки, сделанные в процесс создания базы данных, которые в последствие буду предлагать неверные решения.

Использование экспертных систем зависит от точки зрения организаций, от того, какие задачи имеют более высокий приоритет, будь то сокращение затрат или получение более качественного принятия решений. Тем не менее, реализация экспертной системы имеет решающее значение в обеспечении лучшего обслуживания клиентов и в конкурентоспособности по сравнению с более сильными конкурентами, использующих людей-экспертов. Люди также имеют ограничения относительно того, сколько информации человек способен переварить и осмыслить. Что касается экспертной системы, она способна хранить столько знаний, сколько возможно на базе его дискового пространства. Следовательно, с точки зрения производительности, экспертная система способна выполнять так же хорошо, если не лучше, чем человек.

Многие преподаватели изучали цифровые ресурсы и как они применяются в сфере обучения. К.В. Ильина использовала цифровые образовательные ресурсы в процессе обучения информатике в школе [1]. В.К.Никитин и А.В.Макарова использовали  цифровые электронные ресурсы на уроках информатики [2]. О.Г.Ромадина и М.С.Соловьева использовали интерактивные ресурсы как средство формирования универсальных учебных действий учащихся[3], а Л.В. Буйлова применяла цифровые образовательные ресурсы в обучении студентов техническим дисциплинам[4]. Так же использовал цифровые образовательные ресурсы при обучении студентов Д.А. Вербин [5]. Р.И.Баженов, Ю.П.Штепа показали использование ИКТ на занятиях [6-10].

Для создания данного упражнения использовался ресурс http://learningapps.org «Создание мультимедийных интерактивных упражнений». На данном ресурсе есть возможность создавать различные упражнения в виде викторин, кроссвордов, упражнений в игровой форме, тестов и других различных заданий (рис. 1).

Рисунок 1. Страница ресурса для выбора новых упражнений

При создании кроссворда на странице редактирования можно приписать название, постановку задачи, добавить фоновую картинку, вводить вопросы и ответы, задавать текст, который будет высвечиваться, если ответ окажется правильным и также возможность прописать подсказки для решения задания. В ходе разработки можно предварительно смотреть созданное упражнение и исправлять ошибки.

В названии приложения прописывается  название темы «Экспертные системы». В поле постановки задачи для упражнения прописывается: «Прочитайте вопрос и впишите правильный ответ в поле, которое соответствует номеру вопроса» (рис. 2).

Рисунок 2. Поля ввода названия приложения и постановки задачи

Фоновую картинку для кроссворда можно загрузить тремя способами:

• Используя объемный материал из Википедии;
•  Скопировать в поле ввода ссылку адреса картинки;
•  Выбрать картинку со своего компьютера.

Также добавленную картинку можно отредактировать и изменить размер.

Далее находятся поля записи вопроса, ответа и указаний к вопросу. Вопрос не обязательно вводить текстом, вопрос может содержаться в картинке, в аудио, видео и можно добавить текст для произнесения (Рис. 3).

 Рисунок 3. Поля выбора фоновой картинки и записи вопросов и ответов

В поле «Обратная связь» нужно ввести текст, который будет высвечиваться, если найдено правильное решение. В данном поле прописывается: «Здорово, ты выполнил все верно!».

После того, как все поля будут прописаны, следует нажать на кнопку «Предварительный просмотр». Загрузится приложение, в котором сразу выводится поле с заданием (рис. 4). Для того чтобы увидеть вопрос, следует нажать на форму с цифрой. Высветится поле с вопросом и строка для ввода ответа (рис. 5). Чтобы проверить, правильно ли введен ответ, следует нажать на синюю кнопку с галочкой. Если ответ правильный, то само слово станет зеленого цвета.

 Рисунок 4. Предварительный просмотр готового упражнения

 Рисунок 5. Фрагмент упражнения при вводе ответа на заданный вопрос

После того, как приложение сохранится, его можно снова переработать, а так же оставить, как личное либо опубликованное приложение. Снизу после приложения создается ссылка, с помощью которой можно зайти на это упражнение с другого компьютера и решить данное задание. Ссылка на данное упражнение: http://LearningApps.org/display?v=paasff9it17

В ходе разработки было создано приложение по шаблону кроссворда. Упражнение довольно простое для использования и отлично проверяет знания обучающихся. Данное упражнение можно использовать в курсе «Интеллектуальные системы и технологии» по теме «Экспертные системы».

Благодарности.

Выражаю благодарность научному руководителю Р.И.Баженову в помощь при подготовке статьи.