Заводцев И.В., Гайнов А.Е. Разработка механизмов сбора и преобразования формата представления исходной информации для систем мониторинга событий информационной безопасности

Аннотация: В функциональной структуре СУИИБ существенное значение имеют механизмы сбора и преобразования формата представления исходной информации. Поэтому в работе рассмотриваются вопросы разработки модуля трансляции событий, который обеспечит слияние регистрационных событий в одну точку. Причем важным также является возможность реалиации передачи исходных данных от одиночных сенсоров в консолидированную БД системы корреляции. Для этого необходима разработка механизма агрегации данных с их последующей нормализацией и приоретизацией, что обспечит сжатие исходных данных для последуещего приняти решения о наличии/отсутствии инцидента информационной безопасности за текущий промежуток времени. Проведена разработка математического аппарата для модуля трансляции событий перспективных СУИИБ, который обеспечит слияние регистрационных событий из многих источников в одну точку. В работе предложен механизм сбора и преобразования формата представления исходной информации, включающий: процедуру преобразования данных перед транспортировкой за счет присвоения буквенных или цифровых идентификаторов полям журналов регистрации построчно и разбиении этих идентификаторов на группы; процедуры категоризации и приоритезации; алгоритм агрегирования данных о событиях, основный на расчете выборочного коэффициента корреляции признаков элементарных событий между собой.

Ключевые слова:

Abstract: Mechanisms to collect and convert the format of presentation of the initial information are essential in the functional structure of management systems for information security incidents. Therefore, the paper discusses the development of a module for events translation, which provides merging registration events into one point. And it is also important to have the ability to implement transfer of raw data from single sensors into the consolidated database system of correlation. This requires development of a mechanism of data aggregation with further normalization and prioritization which provides source data compression for subsequent decision making on the presence / absence of information security incident over the current period. The authors carried out the development of the mathematical apparatus for translation events module for perspective management systems for information security incidents, which provides merging registration events from many sources into one point. In this paper the authors propose a mechanism for gathering and converting the format of presentation of the initial information, including: a procedure for data converting before transporting by assigning alpha or numeric identifier to fields of registration logs line by line and splitting these identifiers into groups; procedures of categorization and prioritization;  algorithm for aggregating data about events, based on the calculation of the sample coefficient of correlation between signs of elementary events.

Keywords: