Методика противодействия сетевой разведке объекта критической информационной инфраструктуры злоумышленником на основе IoC-анализа

Аннотация

Введение: развитие новых способов воздействия на объект критической информационной инфраструктуры со стороны злоумышленников побуждает к поиску актуальных методик противодействия. Цель: путем исследования способов реализации сетевой разведки разработать методику противодействия данному типу воздействия злоумышленника на основе IoC-анализа, которая позволит повысить оперативность обнаружения вероятных угроз объекта критической информационной инфраструктуры. Результаты: с использованием системного подхода проведен анализ механизмов реализации сетевой разведки (ICMP, TCP/UDP, ARP, DNS, SNMP) и инструментов (nmap, arp-scan, DNSenum, snmpwalk) для выявления активных устройств, открытых портов, операционных систем и служб. Результаты анализа стали основой при разработке модели указанного типа атаки, позволившей установить конкретные IoC, которые возможно зафиксировать в сети на каждом этапе реализации данного воздействия злоумышленника. Синтез полученных знаний о ключевых IoC, таких как аномальные значения TTL, всплески ICMP и SYN-пакетов, повышенный DNS-трафик и повторные попытки аутентификации и способов обеспечения защищенности сети, дал возможность разработать методику противодействия сетевой разведке объекта критической информационной инфраструктуры на основе анализа IoC и ряд инструментальных подходов для оперативного выявления аномалий сетевого трафика и попыток несанкционированного доступа с использованием Python-библиотеки Scapy. Реализация отдельных этапов предложенной методики в виде программного обеспечения способствовала проведению анализа ее результативности в ряде экспериментов. Практическая значимость: определяется возможностью использовать предложенную методику при разработке информационно-управляющих систем обеспечения информационной безопасности объектов критической информационной инфраструктуры.