Разработка методов прогнозирования негативных событий при компьютерной обработке данных

Во введении дана постановка научной задачи и изложены характеристики решаемой проблемы. Обоснованы актуальность и практическая значимость темы диссертации, сформулированы цель
диссертационной работы и решаемые задачи.
Глава 1. В первой главе приведены результаты аналитического обзора
известных подходов к оценке эффективности процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях, в том числе, на основе оценки рисков, методов описания процессов возникновения компьютерных событий, а также известных на данный момент методов прогнозирования состояний динамических процессов. Рассмотрен применяемый в настоящее время большинством специалистов риск – ориентированный подход к оценке эффективности процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях, основанный на определении актуальных угроз, оценке вероятности их успешной реализации и подсчете возникающих при этом вероятных потерь.
Существенным недостатком такого подхода является то обстоятельство, что вывод об эффективности процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях может быть сделан только на момент проведения исследований, а вопрос о сроке, в течение которого она будет сохраняться, при этом остается открытым. Такой подход неудобен для руководителей организации, специалистов, управляющих разработкой и эксплуатацией программного обеспечения вычислительных машин, комплексов и компьютерных сетей. Их работа осуществляется в соответствии с перспективным планом и, им необходимо знать временной интервал, в течение которого возникновение проблем с программным обеспечением вычислительных машин, комплексов и компьютерных сетей маловероятно.
Решением данной проблемы может служить подход к оценке эффективности процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях, суть которого состоит во введении зависимости от времени вероятности реализации угрозы возникновения событий p(yi) и величины ущерба ui, характеризующих указанную эффективность процессов:
p(yi) pyi (t), ui ui(t).
В этом случае функция рисков R также становится функцией от времени t:
R(t)n p (t)u(t).
yi i i1
Учитывая, что, как правило, функции вероятности реализации угроз
pyi (t) и функция потерь ui,(t) являются неубывающими функциями времени t,
нетрудно видеть, что функция рисков R(t) также является неубывающей функцией t. В этом случае можно составить уравнение относительно неизвестного переменного t:
R(t)n p (t)u(t)R . (1) yi i 0
i 1
где R0 – максимальное допустимое значения ущерба.
Обозначим через Т0 – решение уравнения (1).
Учитывая сказанное выше, нетрудно видеть, что в данном методе
величина Т0 является временным интервалом, в течение которого потери эффективности процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях достигнут предельно допустимого значения и процесс обработки данных перестанет быть эффективным.
Таким образом, имеет смысл рассматривать величину Т0, как объективную характеристику эффективности процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях. При таком подходе главной задачей становится разработка методов построения непрерывных функций pyi (t) и ui (t) , в том числе, путем прогнозирования
вероятности реализации угроз и возможного ущерба.
Поскольку, как правило, в отношении функционирования
вычислительных машин, комплексов и компьютерных сетей, находящихся в эксплуатации, ведется статистика событий, приводящих к нарушению эффективности процесса обработки данных, и существуют, методы оценки соответствующих потерь, то эксперты, оценивающие уровень указанной эффективности, располагают данными о динамике изменения указанных параметров.
Возможным подходом к построению функций pyi (t) и ui (t) , может
служить метод прогнозирования динамических процессов обработки данных, основанный на построении, так называемых, «аппроксимирующих» функций, наиболее близко расположенных от имеющихся значений параметров состояний данного процесса.
В главе 2 настоящей работы изложены результаты исследований по разработке методов оценки последствий активных компьютерных событий, в том числе, по прогнозированию их интенсивности и применению полученных результатов к построению оценок эффективности процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях.
В данной главе разработаны теоретические модели и методы исследования компьютерных событий: модели активных компьютерных событий в результате взаимодействия программных систем; модель управления рисками учитывающие нарастающую сумму ущерба; модели активного компьютерного события в условиях ограниченных возможностей
противодействия, и модель попыток доступа к элементам программного обеспечения вычислительных машин, комплексов и компьютерных сетей.
Полученные результаты далее применяются для исследования оценки важного параметра, характеризующего процесс обработки данных в вычислительных машинах, комплексах и компьютерных сетях – время в течение, которого обеспечивается эффективность процесса обработки указанных данных.
Рассматривается удаленная (интернет) сеть, состоящая из сервера и N компьютеров. В сети наблюдается процесс событий, среди которых могут осуществляться активные события в отношении процесса обработки данных в ее компонентах. Активные события можно классифицировать как активные события на уровне приложений или как активные события для перегрузки сетевого канала или программы. В любом случае цель состоит в том, чтобы привести к перегрузке ресурсов сервера или вывести веб-ресурс из строя. При этом активные события могут происходить на каждом из семи уровнях модели OSI, которые охватывают все среды коммуникации: начиная с физической среды (1-й уровень) и заканчивая уровнем приложений (7-й уровень), на котором «общаются» между собой программы.
Рассмотрим подробнее реализацию данного процесса на различных уровнях.
1. Процесс возникновения активного события на уровне приложений. Для осуществления активного события с N компьютеров генерируются запросы на сервер или веб-сайт для доступа к содержащейся там информации. Суть активного события состоит в целенаправленной генерации большого количество запросов в ограниченный промежуток времени, обработать которые сервер или веб-сайт в штатном режиме не имеют возможности по причине ограниченности вычислительных ресурсов. Следствием реализации указанного активного события является снижение производительности или блокировка системы, то есть, потеря эффективности процесса обработки данных.
2. Процесс возникновения активного события на транспортном уровне.
В варианте протокольных активных событий с N компьютеров постоянно отправляются пакеты данных на сервер или веб-ресурс для последующей сборки. В процессе обработки пакетов данных, серверу требуются подтверждения от IP-адресов, с которых направлены данные и, которые он не может получить из-за загруженности канала. Но, тем не менее, он продолжает далее получать пакеты для распаковки, пока по причине отсутствия необходимых вычислительных ресурсов, не происходит блокировка системы. Данное активное событие приводит к снижению производительности или блокировке системы, то есть, к частичной, или полной потери эффективности процесса обработки данных.
Предложена вероятностная модель активного события в результате взаимодействия программных систем, которая продемонстрирована на следующем примере.
3. Процесс возникновения активного события на канальном уровне. Для осуществления активного события с N компьютеров генерируются запросы с целью исчерпания полосы пропускания сетевого канала. Суть активного события состоит в целенаправленной генерации большого количество запросов с целью заблокировать доступ к внешней сети серверу или веб-сайту и существенно снизить эффективность процесса обработки данных в штатном режиме по причине ограниченности полосы пропускания сетевого канала.
Теоретическая модель появления активного компьютерного события, направленного на затруднении работы программного обеспечения или блокирования доступа к нему, определяется следующим образом. В случайные дискретные моменты времени t, t 1,2,…,T,…. на сервер поступает поток запросов. При этом в фиксированный момент времени поступает только один запрос или не поступает ни одного. Запросы поступают независимо, вероятность появления запроса равна p.
Определим величины m0 и t0 следующим образом. Будим считать, что сервер в течение t0 единиц времени может обработать не более m0 запросов,
t0  m0 .
При поступлении в этот интервал времени m0 1 и более запросов
сервер блокируется и активное событие считается наступившим. Обозначим pат (T ) – вероятность наступления активного
время T.
Для вычисления величины pат (T ) определим случайные
являющиеся элементами случайного процесса:
t(t0)t t1…tt01, t1,2,…
где t – индикатор появления запроса в момент времени t:
1, если запрос паступил  { .
события за величины,
t
0, в противном случае
Введем далее индикатор события, состоящего в первом выходе
процесса { t (t0 )} на заданную границу m0 1:
{если (t)m,(t)m1,
tm011, t10 0t0 0 0, в противном случае
а также случайную величину (m0 1) – время первого выхода процесса {t} на границу m0 1:
(m01)min t|t m011 . 
Тогда, для вероятности pат (T ) успешного наступления активного компьютерного события за время T имеем соотношение:
pат(T)p(m0 1)Tt0 1.
В соответствии с введенным выше определением нетрудно видеть, что
pат(T)p(m01)Tt01p max t(t0)m01. (2)
0 Методы оценки вероятности (2) приведены в тексте диссертации.
Вопросы построения модели активного компьютерного события рассмотрены также на основе теории массового обслуживания. В этом случае задача вычисления вероятности успешного наступления активного события в течение времени T вычисляется при условии, что блокировка сервера происходит в случае поступления более m0 запросов в течение промежутка
времени t0 . В диссертации найдено выражение для вероятности наступления
активного компьютерного события за время T .
Модель управления рисками, учитывающая нарастающую сумму
ущерба
Предположим, что в случайные дискретные моменты времени в вычислительных машинах, комплексах и компьютерных сетях происходят события Ik , k 1,2,…, , приводящие к нарушению эффективности процесса
обработки данных: активные компьютерные события, сбой в работе, нарушение правил эксплуатации и т.д. Каждое событие сопровождается ущербом.
Положим u  u1,…,um , ui 0, i 1,2,…,m – множество возможных 
вариантов величины ущерба при появлении активных событий. Программная система реагирует на события, и возможные действия могут осуществляться по нескольким сценариям.
Один из возможных вариантов сценария состоит в последовательном сравнении величин ущерба uk , при возникновении очередного события Ik , с
максимально допустимой величиной ущерба R . В случае u  R 0k0
программная система продолжает работу в штатном режиме. В противном случае производится корректировка политики управления событиями, введение дополнительных мер по обеспечению эффективности обработки данных и других аналогичных мероприятий.
N
ущербов ui ,ui ,…,ui ,… , вычисление статистики 12N
Второй вариант сценария состоит в следующем.
При появлении в моменты времени i ,i ,…,i ,… событий Ii , Ii ,…, Ii ,…
12N 11 производится последовательное суммирование значений соответствующих
S R, N0
 1tTt 1
S Nu, (3) N ij
j1
и сравнение ее значения с максимально допустимой величиной ущерба R0 .
Если при появлении активного события IiN выполняется условие:
программная система продолжает работу в штатном режиме. В противном случае, аналогично первому сценарию делается вывод о
необходимости корректировки политики управления событиями и введения дополнительных мер по обеспечению эффективной обработки данных.
Рассмотрим математическую модель первого сценария.
Пусть  , t 1,2,…,N – последовательность независимых, одинаково
t распределенных индикаторов,
Положим далее



p  1  p, p  0 1 p,
t
t
характеризующих моменты поступления событий.
Предполагаем, что события появляются независимо друг от друга,
вероятность появления каждого равна р.
Далее, как и ранее, положим u  u1 ,…,um – значения возможных
значений ущерба и будем полагать, что при наступлении очередного события
m вероятность возникновения ущерба uk равна pk ,  pk 1.
k1
Пусть так же для значений k1,k2,…,ks , kj 1,…,m, имеет место
неравенство
а для значений i  1,…,m k ,k ,…,k
r
 12 s u R ,
имеет место неравенство
uk Ro, j1,…,s, j
k0 kj
s p j1
q 
С последовательностью t связывается
последовательность t {1,еслиt 1и наступилинцидентI , k k1,k2,…,ks
индикаторов
t
и рассматривается случайная величина τ:
k
0, в противном случае
 min t|t 1 ,

– момент наступления критического события, при котором вычислительные машины, комплексы и компьютерные сети нуждаются в дополнительных мерах по обеспечению эффективности процесса обработки данных.
В рамках рассматриваемой модели вероятностное распределение случайной величины  имеет вид:
k1
pk pq1pq , k1,2,…,

Что, очевидно, является геометрическим распределением. Математическое ожидание случайной величины  равное Е  1
pq может служить оценкой среднего времени эффективной обработки данных.

Второй вариант сценария, при котором происходит суммирование значений ущерба от активных событий, состоит в следующем.
С последовательностью t связывается последовательность индикаторов  t 
t {1,еслиSt1R0,StR0 ,t=1,2,…, (4) 0, в противном случае
– моменты времени, в которые сумма ущерба превышает установленную границу R0. При этом момент наступления критического события, при
котором система нуждается в дополнительных мерах по повышению эффективности процесса обработки данных, определяется случайной величиной χ:
mint|t 1,
Для решения задачи в рамках введенной теоретико-вероятностной
модели найдем распределение случайной величины χ: p N pN .

r
N1 0 1 m 0 k k k 0  k1

Обозначим через N (0,1,…,m) первичную спецификацию исходов последовательности t N , где  – число исходов равных 0,  число
t0k исходов равных uk , 0 1,…,m  N и положим:
m N1u  |…N1,Ru uR.
Показано, что для вероятности первого наступления критического события имеет место соотношение:
 N m  k  0 0kkN1
m
pNP 1pp p. (5)
k1 N1MN1(uk )
k1
Модель активного компьютерного события в условии ограниченных возможностей по обеспечению эффективности обработки данных.
Рассмотрены процесс появления активных компьютерных событий и возможности механизмов по обеспечению эффективности обработки данных. В дискретные моменты времени происходят активные компьютерные
события в вычислительных машинах, комплексах и компьютерных сетях. События появляются независимо друг от друга, вероятность появления активного компьютерного события в фиксированный момент времени равна p.
Предполагается, что на ликвидацию активного компьютерного события и устранение последствий его наступления требуется m единиц времени, а возможности программного обеспечения имеют ограниченный ресурс и одновременно могут обеспечить эффективность процесса обработки данных только при наступлении одного события. Таким образом, обеспечивается эффективность процесса обработки данных, только если временные
интервалы между последовательными активными событиями превышают величину m .
С помощью метода производящих функций в коммутативном несимметричном n – базисе, показано, что:
p (m,n)1Cn1 pn1pNn. (6) N Nnm1
Следующее утверждение устанавливает асимптотическое поведение
величины в правой части соотношения (6).
Утверждение. Пусть m  const , а величины N,n   так, что n2  o(N). Тогда Nn 1
Cn1 pn1p Rn1es2n (1o(1)), Nnm1
где R N ,sNpn12p. ne 1 p
Разработанные вероятностные модели и методики описания компьютерных событий, подробно характеризуют взаимодействие программных систем в части нарушения штатного режима процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях. В рамках данных методик получены строгие соотношения для вероятности реализации указанных событий. Полученные результаты позволяют вычислять важный параметр – время в течение, которого обеспечивается эффективность процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях, примеры вычисления приведены в диссертации.
Глава 3. В данной главе изложены результаты исследований по моделированию компьютерных событий и применению полученных результатов к построению оценок эффективности процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях. В ходе экспериментальных исследований рассмотрены вопросы прогнозирования компьютерных событий в части построения непрерывных функций прогнозирования, зависящих от времени на основе данных об интенсивности событий.
Приведены результаты экспериментальных исследований по прогнозированию: интенсивности активных событий, веб-угроз, количества несанкционированных операций со счетами юридических лиц с использованием платежных карт, сетевых событий, интенсивности активных компьютерных событий с целью майнинга криптовалют и оценки ущерба от последствий взаимодействия программных систем.
Полученные результаты применены для разработки методики оценки эффективности процесса обработки данных в вычислительных машинах, в частности, для оценки важного параметра – времени эффективной обработки данных.
В качестве примера далее рассматривается эксперимент по прогнозированию веб-угроз в вычислительных комплексах и сетях.

Прогнозирование динамики появления веб-угроз.
В эксперименте по прогнозированию веб-угроз при построении функции прогнозированияF(x) использовались данные с 13.02.2018 года по
12.03.2018 года, для удобства представления исходные данные поделены на 100, за нулевое значение по оси OX принята дата 01.02.2018 года. Для данного эксперимента аппроксимирующая функция F(x) имеет вид:
3460901.55 F(x)46007.45 2
 x  1336.59x5589.69sin  . (7)
 2 
График прогнозной функции y  F(x) представлен на рисунке 1. На данном графике по оси Х расположены даты, начиная с 01.02.2018 г., одно деление соответствует двум дням, по оси Y – количество веб-угроз, поделенное на 100. Точками на графике являются, приведенные для наглядности, значения исходных данных, на основании которых строится
сама аппроксимирующая функция.
Полученные результаты применялись для оценки времени
эффективности процесса обработки данных в вычислительных комплексах и сетях.
x
В соответствии с предлагаемой выше методикой прогнозирования появления веб-угроз и видом функции F(x) определяемым выражением (7), зависимость их числа от времени имеет вид:
f(t)1t2 3t4sin2t 5 3t, 2
гдеα1,α2,α3,α4 -константы,α5 =α1 +α2 +α4. F(x)
140 000 130 000 120 000 110 000 100 000
90 000 80 000
10 20 30 40 50 60 70
Рис. 1. График функции F(x)
Обозначим через N – общее число программных систем, для которых
проводилось наблюдение. Считается, что величина ущерба при возникновении активных событий для всех программных систем одинакова и равна u.
Тогда, очевидно, T0 – время в течение, которого обеспечивается
эффективность процесса обработки в вычислительных машинах, комплексах
Глава 4. В данной главе приведены результаты разработки и исследования методов прогнозирования динамических процессов, состояния
и компьютерных сетях определяется соотношением: T  NR0/u5 ,
3
гдеR0 -максимальнодопустимыйущербпрограммнойсистеме.
x

которых заданы в виде таблицы значений (xi ,yi) – узловых точек. Результаты решения данной задачи позволяют проводить экспериментальные исследования по прогнозированию негативных событий в вычислительных машинах, комплексах и компьютерных сетях, приводящих к нарушению процесса обработки данных, как было показано в главе 3. Поставленная задача решается с помощью построения непрерывных аппроксимирующих функций, наиболее близко отстоящих от заданных значений состояния динамического процесса. Разработана методика построения аппроксимирующих функций в виде линейной комбинации базовых функций на основе модифицированного метода наименьших квадратов. Дано алгоритмическое описание разработанного инструментария и в рамках определенной вероятностной модели построены оценки точности прогнозирования предлагаемым методом.
Схема алгоритма, построения непрерывных аппроксимирующих функций на основе модифицированного метода наименьших квадратов представлена в тесте диссертации.
Разработанный в работе алгоритм реализован в процедуре контроля эффективности процесса обработки данных, встроенного в виде отдельного модуля в общую схему вычислительного комплекса, представленного на рисунке 2.
Рис.2. Диаграмма (UML) развертывания и компонентов вычислительного комплекса со встроенным модулем контроля эффективности обработки
В соответствии с приведенной схемой, на него поступают данные с модуля сбора информации о произошедших событиях. Модуль производит их обработку и выдает решение о возможности продолжения штатной работы или о введении дополнительных механизмов для повышения эффективности процедуры обработки данных.

Для оценки точности прогнозирования рассматриваемой процедурой вводится модель, в которой предполагается, что значение функции f(x), описывающей исходное состояние процесса, есть реализация некоторого случайного стационарного процесса ξ(t), то есть в момент времени ti, (ti=xi), последовательность величин:
yi = f(xi) = ξ(ti)
есть реализация некоторой случайной величины ξ(t), имеющей
n
математическое ожидание:   M(t)    yi и дисперсию:
 D(t) 1 n(y), 2i2
n1 i0
где (xi ,yi) – исходные данные о состоянии процесса (узловые точки).
n1 i0
В условиях данной теоретико-вероятностной модели получены оценки вероятности отклонения прогнозируемых значений рассматриваемого процесса от ее действительных значений, которое дает утверждение, доказанное в диссертационной работе.
В главе 5 проведены экспериментальные исследования точности прогнозирования событий с помощью предлагаемого метода путем построения статистических критериев и вычислением на их основе величин ошибок.
В заключение данной главы, на основе разработанных программно- математических средств, сформулирована новая методика оценок эффективности процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях.
Предложенная методика позволяет осуществлять прогнозирование интенсивности различных компьютерных событий при обработке данных в вычислительных машинах, комплексах и компьютерных сетях, приводящих к потере эффективности процесса обработки данных, что позволяет оценивать сроки (время) эффективной обработки данных.
Основные результаты и выводы
1. Разработаны вероятностные модели и методы исследования компьютерных событий, возникающих в процессе обработки данных в вычислительных машинах, комплексах и компьютерных сетях и получены оценки возможности их реализации. Специфика разработанных методов позволяет рассчитать введенный в данной работе важный параметр эффективности обработки данных в вычислительных машинах, комплексах и компьютерных сетях  время, в течение которого в процессе обработки данных обеспечивается целостность информации и возможность доступа к ней.
В приложении представлены акты о внедрении практических результатов диссертационной работы, и авторское свидетельство об официальной регистрации программы для ЭВМ, выданное Федеральной службой по интеллектуальной собственности.
2. Разработан метод прогнозирования состояния динамических процессов обработки данных в вычислительных машинах, комплексах и компьютерных сетях, основанный на построении непрерывных аппроксимирующих функций, позволяющий делать обоснованные прогнозы на более длительные промежутки времени и снижающий ошибки прогнозирования более чем в 2 раза по сравнению с известными методами. Указанный метод является универсальным и, в частности, не зависит от природы входных данных.
3. Разработан оригинальный алгоритм построения непрерывных функций прогнозирования и его программная реализация, позволяющая эффективно стоить данные функции в различных режимах.
4. Проведены экспериментальные исследования точности прогнозирования интенсивности появления компьютерных событий, которые исследовались на отрезке экстраполяции, и подтвердившие относительно небольшие значения ошибок прогноза.
5. Для значений ошибок прогнозирования впервые получены теоретические оценки вероятности превышения ими заданной величины.
6. Разработана методика оценки эффективности процесса обработки данных в вычислительных машинах, комплексах и компьютерных сетях, основанная на построении непрерывной временной функции рисков. Преимуществом разработанной методики является ее независимость от природы риска. Тем самым, данный подход может применяться для прогнозирования различных событий в вычислительных машинах, комплексах и компьютерных сетях.