МЕТОД ВИЯВЛЕННЯ ШКІДЛИВОЇ АКТИВНОСТІ В IPSEC-КАНАЛАХ БЕЗ ДЕШИФРУВАННЯ ТРАФІКУ

Анотація

У статті розглянуто підхід до виявлення шкідливої активності в шифрованих каналах зв’язку без дешифрування вмісту трафіку. Проведено огляд існуючих підходів до аналізу шифрованого трафіку, зокрема методів TLS-фінгерпринтингу, класифікації трафіку за розподілом довжин пакетів і сучасних систем мережевого моніторингу. Запропоновано метод визначення типів трафіку в IPsec-каналах на основі аналізу розподілу довжин пакетів, параметрів інкапсуляції та оцінювання допустимих діапазонів довжин вкладеного навантаження. Окремо розглянуто підхід до побудови еталонних розподілів для конкретних конфігурацій шифрованих каналів, аналіз змішаного трафіку із застосуванням предиктивного віднімання внеску окремих протоколів, а також варіант практичної реалізації у вигляді системи сенсорів і модуля-оркестратора. Показано, що запропонований підхід може бути використаний для практичного виявлення підозрілої активності в шифрованих каналах зв’язку за низької обчислювальної складності.