Алгоритм обнаружения и идентификации компьютерных атак в ИТКС на основе метода индуктивного прогнозирования состояний

Шаг 1. Формирование пространства признаков.

На основе примера (2.8), допустим, предметами обнаружения и идентификации служат объекты некоторые класса, моделируемые в булевом пространстве признаков .

Предположим, что на этапе обучения наблюдению подверглось 64 конкретных объектов, в результате чего составлена таблица, в которой некоторые строки могут обладать одинаковыми значениями.

Таблица 5.1 Формирование пространства признаков.

Шаг 2. Построение модели исследуемого класса в алгебраической форме:

• — в виде ДНФ запрета, если признаков минимально;
• — в виде характеристической функции — булева функции запрета.

В рассматриваемом примере при построении модели класса видим пустыми интервалы третьего ранга и выдвигаем гипотезу о соответствующих импликативных закономерностях.

Предположим, что среди интервалов, ранги которых не превышают трех, пустыми оказались лишь те, которые представлены строками следующей троичной матрицы:

Эта матрица будет моделью исследуемого класса. Строки интерпретируются как импликативные закономерности: первая строка утвержда ет, что в данном классе не существует объектов, обладающих признаками a и c, но не обладающих в тоже признаком f. Представим данную модель в алгебраической форме — посредством ДНФ запрета.

a b c d e f.

(5.1).

(5.2).

Шаг 3. Выбор целевого признака их системы закономерностей и упрощение.

Пусть в данном примере роль целевого признака играет признак — b.

При становится излишней строка 2, так как задаваемая ею область запрета не содержит элементов с таким значением признака и следовательно, не пересекается с интервалом возможного существования объекта, не обладающего признаком. Удалив ее вместе со столбцом, получим остаток.

a c d e f.

(5.3).

Если,, следует анализировать остаток матрицы T.

(5.4).

Представим в графической форме алгоритм в виде дерева (рис. 5.2).

Рисунок 5.2 Lерево идентификации признака f.

Сформулируем алгоритм обнаружения и идентификации признаков:

• 1. Измерить признак b. Если, перейти к п. 2, если, измерить признак. Если, приписать признаку значение и выйти на п. 3. Если, то измерить признак. Если, приписать признаку значение 1 и выйти на п. 3. Если, отказаться от обнаружения и идентификации, выйдя на п. 3.
• 2. Измерить признак. Если, приписать признаку значение и выйти п. 3. Если измерить признак. Если, отказаться от обнаружения и идентификации, выйдя на п. 3. Если, измерить признак. Если, отказаться от обнаружения и идентификации, выйдя на п. 3. Если, приписать признаку значение и отказаться от обнаружения и идентификации, и выйти на п. 3.
• 3. Конец алгоритма.

При таком рассмотрении процесса обнаружении и идентификации признаков можно использовать из двух подходов, напоминающих интерпретацию и компиляцию в системном программировании.