Магистральные сети обладают сверхвысокой пропускной способностью, в связи с чем задача обеспечения безопасности функционирования сетевой инфраструктуры и передаваемых по магистральным сетям Интернет данных критических отраслей и персональных данных существенно осложняется следующими проблемами:
1) проблемой обработки сверхвысоких объемов сетевого трафика в режиме реального времени;
2) проблемой классификации сетевого трафика на web-трафик и трафик P2P-сетей;
3) проблемой эффективного анализа безопасности разнородного сетевого трафика.
Проблема обработки сверхвысоких объемов сетевого трафика в режиме реального времени усугубляется неприспособленностью существующих решений к высокопараллельной обработке сверхбольших объемов разнородного сетевого трафика. При этом, по данным ежегодного отчета CISCO за 2016 год, в течение следующих 5 лет объем глобального трафика будет только расти, а именно, он увеличится почти в 3 раза, и достигнет значения в 2,3 зеттабайта к 2020 году. На 2016 год объем глобального трафика в месяц составил 88,7 эксабайтов, и к 2019 году он возрастет практически в 2 раза (до 168 эксабайтов).
Проблема классификации сетевого трафика на web-трафик и трафик P2P-сетей актуальна тем, что трафик распространенных в настоящее время одноранговых P2P-сетей приводит к снижению скорости обнаружения до 30% и увеличению ложноположительной скорости до 45%, а из-за частичного перекрытия поведения трафика, P2P-трафик непреднамеренно обеспечивает эффективное покрытие уклонения для высоко- и низкоскоростных атак.
Проблема эффективного анализа безопасности разнородного сетевого трафика связана с тем, что в связи со сверхвысокими объемами сетевого трафика, собираемого с пограничных маршрутизаторов магистральных сетей, «всплески», вызванные аномальным трафиком, гораздо менее заметны. Недостаточная точность современных методов обнаружения и предотвращения сетевых атак, базирующихся на неэффективных эвристиках и сигнатурном анализе, не обеспечивает решения проблемы анализа безопасности разнородного сетевого трафика. Применение существующих методов обнаружения сетевых атак, не учитывающих специфику трафика магистральных сетей Интернет, снижает процент обнаружения атак и не позволяет расследовать уже произошедшие инциденты безопасности.
Для решения вышеописанных проблем были выбраны актуальные и перспективные технологии «больших данных» и эвристического анализа.
Технология «больших данных» сочетает в себе информационно-технологические решения для эффективной обработки и хранения сверхбольших объемов данных. Помимо этого, данная технология входит в приоритетную группу технологий национальной технологической инициативы (НТИ), формирование Россией научно-технологического задела по которой позволит создать глобально конкурентоспособные высокотехнологичные продукты и сервисы.
Отечественные производители также делают упор на технологии «больших данных» как на одной из самых перспективных как для вывода технологической инфраструктуры Российской федерации на новый уровень, так и для обеспечения национальной безопасности страны.
Технология эвристического анализа позволяет обнаруживать сложные и неочевидные закономерности в сверхвысоких объемах трафика, свидетельствующие об атаке. Систематизация исследований в области решения задачи обнаружения отклонений в сетевом трафике с целью выявления атак позволила сделать вывод о том, что ключевым недостатком предлагаемых подходов является их неориентированность на обработку сверхвысоких объемов разнородного сетевого трафика, а также малый объем вычисляемых эвристик трафика, что не позволяет получить полный спектр поведения хостов в сети и выявить инварианты трафика на различных временных промежутках.
На мировом рынке в настоящее время отсутствуют решения, обеспечивающие высокопараллельный анализ безопасности сверхвысоких объемов сетевого трафика с применением технологии «больших данных», помимо этого, отсутствуют методы обнаружения и предотвращения сетевых атак, учитывающие специфику трафика магистральных сетей, реализующие вычисление эвристик. Однако, даже в условиях существования зарубежных аналогов, для противодействия киберугрозам и обеспечения национальной безопасности страны, требуется разработка собственных решений и технологий. Это особенно актуально в условиях стратегии научно-технологического развития Российской Федерации, одним из ключевых направлений которой является противодействие техногенным, биогенным, социокультурным угрозам, терроризму и идеологическому экстремизму, а также киберугрозам и иным источникам опасности для общества, экономики и государства.
ПНИЭР направлены на решение данной проблемы за счет исследования и разработки методов предотвращения сетевых атак в магистральных сетях Интернет, основанных на высокопараллельном эвристическом анализе и технологии «больших данных». Основу ПНИЭР составляет разработка новых эвристик, позволяющих всесторонне анализировать сверхвысокие объемы сетевого трафика, а также их высокопараллельное вычисление и возможность анализа поведения эвристик на варьирующихся объемах трафика.
Актуальность такого рода разработок для современных сетевых систем подтверждается тем, что информационно-телекоммуникационные системы отнесены Указном Президента РФ №899 от 07.07.2011 «Об утверждении приоритетных направлений науки, технологий и техники в Российской Федерации и перечня критических технологий Российской Федерации» к приоритетным направлениям развития отечественных наукоемких технологий, а технологии и программное обеспечение распределенных и высокопроизводительных вычислительных систем., — к критическим технологиям, разработки по теме которых относятся к наиболее приоритетным направлениям развития инфотелекоммуникационной отрасли России. Результаты ПНИЭР направлены на дальнейшее использование в реальном секторе экономики, а также в дальнейших исследованиях и разработках.