Тема выпускной квалификационной работы: «Обнаружение вторжений в системах управления базами данных с использованием поведенческого анализа». Целью работы является повышение точности систем обнаружения вторжений на основе анализа поведения пользователей. Предметом исследования является система обнаружения вторжений на основе поведенческих методов. Задачи, которые решались в ходе исследования: 1. Анализ поведенческих методов обнаружения вторжений в СУБД. 2. Проведение экспериментальной оценки поведенческих методов. 3. Реализация прототипа гибридной СОВ. 4. Проведение экспериментальной оценки полученного решения. Были изучены поведенческие методы обнаружения вторжений, проведено сравнение данных методов. Реализовано и проведено сравнение двух прототипов СОВ, один с использованием синтаксис-ориентированного поведенческого метода, другой – дата-ориентированного. Для тестирования был создан отдельный тестовый стенд, включающий в себя генератор запросов, базу данных и базу обучающих выборок для каждой роли. В результате была разработана СОВ с использованием гибридного поведенческого метода, включающего в себя элементы дата и синтаксис-ориентированного методов. По результатам тестирования гибридная СОВ оказалась точнее синтаксис и дата-ориентированных СОВ.

Topic of the graduation thesis: «Intrusion detection in database management systems using behavioral analysis». The aim of the work is to improve the accuracy of intrusion detection systems based on the analysis of user behavior. The subject of the study is an intrusion detection system based on behavioral methods. Tasks that were solved in the course of the study: Analysis of behavioral methods for detecting intrusions in the DBMS. Conduct experimental evaluation of behavioral methods.Implementation of the hybrid IDS prototype. Carrying out an experimental evaluation of the obtained solution. Behavioral intrusion detection methods were studied, and these methods were compared. Implemented and compared two IDS prototypes, one using a syntax-oriented behavioral method, the other using a data-oriented one. For testing, a separate test bench was created, which includes a query generator, a database, and a database of training samples for each role. As a result, IDS was developed using a hybrid behavioral method that includes elements of data and syntax-oriented methods. According to the test results, the hybrid IDS was more accurate than the syntax of the data-oriented IDS.

• СОДЕРЖАНИЕ
• ОПРЕДЕЛЕНИЯ, ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ
• ВВЕДЕНИЕ
• 1 ПОВЕДЕНЧЕСКИЕ МЕТОДЫ ОБНАРУЖЕНИЯ ВТОРЖЕНИЙ В СУБД
  • 1.1 Синтаксис-ориентированный метод
  • 1.2 Контекстно-ориентированные методы
  • 1.3 Методы, ориентированные на данные
  • 1.4 Сравнение методов
    • 1.4.1 Точность как параметр для сравнения
    • 1.4.2 Ресурсоемкость как параметр для сравнения
    • 1.4.3 Сложность обучения как параметр для сравнения
    • 1.4.4 Адаптация метода на динамических БД
    • 1.4.5 Сравнение поведенческих методов
• 2 РЕАЛИЗАЦИЯ ПОВЕДЕНЧЕСКИХ МЕТОДОВ
  • 2.1 Реализация тестового стенда
    • 2.1.1 Целевая база данных
    • 2.1.2 Программа для подключения СОВ к тестовому стенду
    • 2.1.3 Генератор запросов
    • 2.1.4 Обучающая выборка
  • 2.2 Описание СОВ, использующей синтаксис-ориентированный метод
    • 2.2.1 Формат преобразования запроса в удобный формат для анализа
    • 2.2.2 Анализ запросов для каждой роли
    • 2.2.3 Сравнение SQL запроса с обучающей выборкой
  • 2.3 Реализация СОВ, использующей синтаксис-ориентированный метод
    • 2.3.1 Преобразование SQL запроса и составление поведения для каждой роли
    • 2.3.2 Сравнение SQL запроса с обучающей выборкой
  • 2.4 Анализ результатов СОВ, использующей синтаксис-ориентированный метод
  • 2.5 Описание СОВ, использующей дата-ориентированный метод
    • 2.5.1 Преобразование структуры БД в неориентированный граф
    • 2.5.2 Преобразование запросов из обучающей выборки в удобный формат
    • 2.5.3 Анализ запросов для каждой роли
    • 2.5.4 Улучшенный анализ запросов для каждой роли
  • 2.6 Реализация СОВ, использующей дата-ориентированный метод
    • 2.6.1 Получение графа по структуре БД
    • 2.6.2 Получение матрицы кратчайших путей, алгоритм Флойда
    • 2.6.3 Преобразование запросов из обучающей выборки в удобный формат
    • 2.6.4 Анализ запросов
  • 2.7 Анализ результатов СОВ, использующей дата-ориентированный метод
  • 2.8 Сравнение реализаций
• 3 РЕАЛИЗАЦИЯ ГИБРИДНОЙ СОВ
  • 3.1 Описание алгоритма
  • 3.2 Реализация гибридной СОВ. Фаза обучения
    • 3.2.1 Преобразование структуры БД в удобный для обработки формат
    • 3.2.2 Построение неориентированного графа на основе структуры БД
    • 3.2.3 Построение матрицы кратчайших путей для каждой роли
    • 3.2.4 Преобразование статической части запросов из обучающей выборки в удобный формат
    • 3.2.5 Инициализация необходимых параметров
    • 3.2.6 Преобразование динамической части запросов из обучающей выборки в удобный формат
    • 3.2.7 Создание куплета, участвующего в подсчете вероятности, на основе анализа обучающей выборки
  • 3.3 Реализация гибридной СОВ. Фаза обнаружения
• 4 ПРОВЕДЕНИЕ ЭКСПЕРИМЕНТАЛЬНОЙ ОЦЕНКИ ПРОТОТИПА ГИБРИДНОЙ СОВ
• ЗАКЛЮЧЕНИЕ
• СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ
• 1. Отчет об утечках данных за первое полугодие 2022 года [Электронный ресурс]. URL: https://www.infowatch.ru/analytics/analitika/otchyot-ob-utechkakh-dannykh-za-1-polugodie-2022-goda. – (дата обращения 05.12.2022).
• 13. Демонстрационная база данных «Авиаперевозки» [Электронный ресурс]. URL: https://postgrespro.ru/docs/postgrespro/10/demodb-bookings. – (дата обращения 05.02.2022).
• 16. Khan M. I., Foley S. N., O'Sullivan B. Database Intrusion Detection Systems (DIDs): Insider Threat Detection via Behavioural-based Anomaly Detection Systems--A Brief Survey of Concepts and Approaches //arXiv preprint arXiv:2011.02308. – 2020.
• 21. Costante E. et al. Hunting the unknown //IFIP Annual Conference on Data and Applications Security and Privacy. – Springer, Berlin, Heidelberg, 2014. – С. 243-259.
• 22. Zhang W. et al. Homonit: Monitoring smart home apps from encrypted traffic //Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security. – 2018. – С. 1074-1088.
• 23. Safa N. S. et al. Motivation and opportunity based model to reduce information security insider threats in organisations //Journal of information security and applications. – 2018. – Т. 40. – С. 247-257.
• 24. Lee V. C. S., Stankovic J. A., Son S. H. Intrusion detection in real-time database systems via time signatures //Proceedings Sixth IEEE Real-Time Technology and Applications Symposium. RTAS 2000. – IEEE, 2000. – С. 124-133.
• 25. Panigrahi S., Sural S., Majumdar A. K. Two-stage database intrusion detection by combining multiple evidence and belief update //Information Systems Frontiers. – 2013. – Т. 15. – №. 1. – С. 35-53.
• 26. Sun Y. et al. A data-driven evaluation for insider threats //Data Science and Engineering. – 2016. – Т. 1. – №. 2. – С. 73-85.
• 27. Mathew S. et al. A data-centric approach to insider attack detection in database systems //International Workshop on Recent Advances in Intrusion Detection. – Springer, Berlin, Heidelberg, 2010. – С. 382-401.
  • ПРИЛОЖЕНИЕ 1. ГЕНЕРАТОР SQL ЗАПРОСОВ
  • ПРИЛОЖЕНИЕ 2. РЕАЛИЗАЦИЯ ГИБРИДНОЙ СОВ