Разработка программного средства анализа событий систем семейства Windows на основе разработанной методики анализа событий

Поставленные цели в рамках проведенного проекта анализа и исследования средств аудита событий систем семейства Windows с целью обнаружения несанкционированного доступа программного обеспечения к ресурсам вычислительных машин были благополучно достигнуты.

Разработанное средство мониторинга и анализа событий безопасности на основе разработанной методики позволяет специалисту по информационной безопасности на предприятии проводить жесткий контроль доступа к критическим объектам информационной системы, позволяет своевременно обнаруживать факты несанкционированного доступа к ресурсам вычислительной машины и проводить расследование данных фактов.

Основой для реализованного программного средства служит методика анализа событий безопасности. Методика заключается в многоступенчатой фильтрации и устранении избыточности журнала аудита, сформированного системой аудита Windows, с последующей классификацией каждого события по трем группам: группа санкционированных событий, группа несанкционированных событий, группа «сомнительных событий». Отнесение событий к той или иной группе основано на предварительно сформированных «черном» и «белом» списках, в которые входят соответственно файлы и ключи реестра, однозначно классифицируемые как вредоносные, и файлы и ключи реестра, однозначно классифицируемые как нейтральные. Списки составляются на основе накопленной статистики крупных антивирусных компаний Лаборатория Касперского, и компании Доктор Веб.

Внедрение методики в разрабатываемое программное средство позволило достичь высокой скорости обработки входных данных экспортированного списка событий журнала Windows.

Внедрение разработанного программного средства в существующий сегмент информационной структуры предприятия ЗАО «Орбита» позволило достичь автоматизации рутинных процессов анализа событий безопасности, тем самым значительно сократив время поиска и формализации событий.

Отсутствующий ранее уровень обнаружения несанкционированного доступа непосредственно после того, как доступ произошел, с внедрением программного средства по разработанной методике стал еще одним рубежом на пути противодействия попыткам злоумышленника вторгнуться в информационную систему.

Продолжающееся сотрудничество с компанией Доктор Веб позволит в дальнейшем усовершенствовать методику анализа, благодаря внедрению дополнительных функций в программное средство и усовершенствованию алгоритмов формализации и классификации данных.

Список использованной литературы

Исходный код главного модуля программы

unit main;

interface

uses

Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,

Dialogs, StdCtrls, ComCtrls, Buttons, ActnMan, ActnColorMaps,

SUIStatusBar, SUIProgressBar, {SUIMemo, SUIButton,} ExtCtrls,{ SUIForm,}

Menus, SUIMemo, SUIButton, {SUIMainMenu, SUISideChannel, SUISkinControl} DateUtils,

XPMan;

type

TForm1 = class(TForm)

OpenDialog1: TOpenDialog;

Button1: TsuiButton;

Memo1: TsuiMemo;

Button2: TsuiButton;

Memo3: TsuiMemo;

Memo4: TsuiMemo;

ProgressBar1: TsuiProgressBar;

BitBtn1: TsuiButton;

PageControl1: TPageControl;

TabSheet1: TTabSheet;

TabSheet2: TTabSheet;

TabSheet3: TTabSheet;

Memo2: TMemo;

GroupBox1: TGroupBox;

GroupBox2: TGroupBox;

DateTimePicker1: TDateTimePicker;

DateTimePicker2: TDateTimePicker;

DateTimePicker3: TDateTimePicker;

BitBtn2: TBitBtn;

BitBtn3: TBitBtn;

BitBtn4: TBitBtn;

Label1: TLabel;

Label2: TLabel;

Label3: TLabel;

Label4: TLabel;

Label5: TLabel;

Label6: TLabel;

GroupBox3: TGroupBox;

Label7: TLabel;

TabSheet4: TTabSheet;

Memo5: TMemo;

Label8: TLabel;

Label9: TLabel;

Memo6: TMemo;

BitBtn5: TBitBtn;

BitBtn6: TBitBtn;

Button3: TButton;

Memo7: TMemo;

Memo8: TMemo;

Label13: TLabel;

Label14: TLabel;

BitBtn9: TBitBtn;

SaveDialog1: TSaveDialog;

Button4: TButton;

GroupBox4: TGroupBox;

BitBtn7: TBitBtn;

procedure suitempButton1Click(Sender: TObject);

procedure suitempButton2Click(Sender: TObject);

procedure FormCreate(Sender: TObject);

procedure suitempBitBtn1Click(Sender: TObject);

procedure suiSideChannel1Pop(Sender: TObject);

procedure suiSideChannel1Push(Sender: TObject);

procedure BitBtn2Click(Sender: TObject);

procedure BitBtn3Click(Sender: TObject);

procedure BitBtn4Click(Sender: TObject);

procedure BitBtn6Click(Sender: TObject);

procedure BitBtn5Click(Sender: TObject);

procedure BitBtn9Click(Sender: TObject);

procedure BitBtn7Click(Sender: TObject);

procedure Button3Click(Sender: TObject);

procedure Button4Click(Sender: TObject);

// procedure proverka_blacklist;

private

{ Private declarations }

public

{ Public declarations }

end;

var

Form1: TForm1;

bad_events,curr_event,all_events,nobadandgood_events,whitelist,blacklist,good_events,nobad_events,sortedbydate,sortedbytime,sortedbyall:TStringList;

handjob,exp:TStringList;

F: TextFile;

firstk,lastk,eventsnum:integer;

implementation

{$R *.dfm}

procedure proverka_blacklist;

var

i,j:integer;

flag: boolean;

begin

flag:=false;

for i:=0 to curr_event.Count-1 do

begin

for j:=0 to blacklist.Count-1 do

begin

if pos(form1.Memo4.Lines.Strings[j],curr_event.Strings[i])<>0 then

begin

flag:=true;

bad_events.Insert(0,curr_event.Text);

end;

end;

end;

if flag=false then nobad_events.Insert(0,curr_event.Text);

end;

procedure proverka_whitelist;

var

i,j:integer;

flag: boolean;

begin

flag:=false;

for i:=0 to curr_event.Count-1 do

begin

for j:=0 to whitelist.Count-1 do

begin

if pos(form1.Memo5.Lines.Strings[j],curr_event.Strings[i])<>0 then

begin

flag:=true;

good_events.Insert(0,curr_event.Text);

end;

end;

end;

if flag=false then nobadandgood_events.Insert(0,curr_event.Text);

end;

procedure proverka_dat;

var

str,date:string;

begin

str:=copy(curr_event.Strings[2],0,10);

DateTimeToString(date,'dd.mm.yyyy',form1.DateTimePicker1.Date);

if str=date then

begin

sortedbydate.Insert(0,curr_event.Text);

end;

end;

procedure proverka_vrem;

var

vrem1,vrem2,curtime:TdateTime;

begin

curtime:=StrTodateTime(copy(curr_event.Strings[2],12,8));

vrem1:=form1.DateTimePicker2.DateTime;

vrem2:=form1.DateTimePicker3.DateTime;

if (CompareTime(curtime,vrem1)=1) and (CompareTime(curtime,vrem2)=-1) then

begin

sortedbytime.Insert(0,curr_event.Text);

end;

end;

procedure proverka_all;

var

str,date:string;

vrem1,vrem2,curtime:TdateTime;

begin

curtime:=StrTodateTime(copy(curr_event.Strings[2],12,8));

vrem1:=form1.DateTimePicker2.DateTime;

vrem2:=form1.DateTimePicker3.DateTime;

str:=copy(curr_event.Strings[2],0,10);

DateTimeToString(date,'dd.mm.yyyy',form1.DateTimePicker1.Date);

if (str=date) and (CompareTime(curtime,vrem1)=1) and (CompareTime(curtime,vrem2)=-1) then

begin

sortedbyall.Insert(0,curr_event.Text);

end;

end;

procedure proverka_man;

var

buttonSelected : Integer;

begin

buttonSelected := MessageDlg('Naieoeiie?iaaiiia niauoea?',mtConfirmation, [mbYes, mbNo], 0);

if buttonSelected=mrYes then form1.Memo8.Lines.Insert(0,curr_event.Text);

if buttonSelected=mrNo then form1.Memo7.Lines.Insert(0,curr_event.Text);

end;

procedure TForm1.suitempButton1Click(Sender: TObject);

begin

if OpenDialog1.Execute then

begin

all_events.LoadFromFile(OpenDialog1.FileName);

memo1.Lines.Text:=all_events.Text;

end;

progressbar1.Max:=memo1.Lines.Count;

end;

procedure TForm1.suitempButton2Click(Sender: TObject);

var

count,i,k,j:integer;

begin

count:=0;

firstk:=-1;

for i:=0 to all_events.Count-1 do

begin

if all_events.Strings[i]='"' then

begin

j:=0;

curr_event.Clear;

lastk:=i;

for k:=firstk+1 to lastk do

begin

curr_event.Insert(j,all_events.Strings[k]);

j:=j+1;

if k=lastk then proverka_blacklist;

end;

firstk:=lastk;

end;

ProgressBar1.StepBy(1);

end;

memo3.Lines.Text:=bad_events.Text;

memo1.Lines.Text:=nobad_events.Text ;

form1.Memo1.Lines.Insert(0,' ');

end;

procedure TForm1.FormCreate(Sender: TObject);

begin

eventsnum:=0;

nobadandgood_events:=TStringList.Create;

bad_events:=TStringList.Create;

good_events:=TStringList.Create;

nobadandgood_events:=TStringList.Create;

whitelist:=tstringlist.create;

sortedbydate:=TStringList.Create;

sortedbytime:=TStringList.Create;

sortedbyall:=TStringList.create;

curr_event:=TStringList.Create;

all_events:=TStringList.Create;

blacklist:=TStringList.Create;

nobad_events:=TStringList.Create;

handjob:=TStringList.Create;

exp:=TStringList.Create;

blacklist.LoadFromFile('blacklist.txt');

whitelist.LoadFromFile('whitelist.txt');

memo4.Lines.Text:=blacklist.Text;

memo5.Lines.Text:=whitelist.Text;

PageControl1.ActivePageIndex:=0;

end;

procedure TForm1.suitempBitBtn1Click(Sender: TObject);

begin

if OpenDialog1.Execute then

memo4.Lines.LoadFromFile(OpenDialog1.FileName);

end;

procedure TForm1.suiSideChannel1Pop(Sender: TObject);

begin

Form1.width:=Form1.width+185

end;

procedure TForm1.suiSideChannel1Push(Sender: TObject);

begin

Form1.width:=Form1.width-185

end;

procedure TForm1.BitBtn2Click(Sender: TObject);

var

count,i,k,j:integer;

begin

count:=0;

firstk:=-1;

memo2.Clear;

sortedbydate.Clear;

for i:=0 to Memo1.Lines.Count-1 do

begin

if Memo1.Lines.Strings[i]='"' then

begin

j:=0;

curr_event.Clear;

lastk:=i;

for k:=firstk+1 to lastk do

begin

curr_event.Insert(j,Memo1.Lines.Strings[k]);

j:=j+1;

if k=lastk then proverka_dat;

end;

firstk:=lastk;

end;

end;

memo2.Lines.Insert(0,sortedbydate.Text);

end;

procedure TForm1.BitBtn3Click(Sender: TObject);

var

count,i,k,j:integer;

begin

count:=0;

firstk:=-1;

memo2.Clear;

sortedbytime.Clear;

for i:=0 to Memo1.Lines.Count-1 do

begin

if Memo1.Lines.Strings[i]='"' then

begin

j:=0;

curr_event.Clear;

lastk:=i;

for k:=firstk+1 to lastk do

begin

curr_event.Insert(j,Memo1.Lines.Strings[k]);

j:=j+1;

if k=lastk then proverka_vrem;

end;

firstk:=lastk;

end;

end;

memo2.Lines.Insert(0,sortedbytime.Text);

end;

procedure TForm1.BitBtn4Click(Sender: TObject);

var

count,i,k,j:integer;

begin

count:=0;

firstk:=-1;

memo2.Clear;

sortedbyall.Clear;

for i:=0 to Memo1.Lines.Count-1 do

begin

if Memo1.Lines.Strings[i]='"' then

begin

j:=0;

curr_event.Clear;

lastk:=i;

for k:=firstk+1 to lastk do

begin

curr_event.Insert(j,Memo1.Lines.Strings[k]);

j:=j+1;

if k=lastk then proverka_all;

end;

firstk:=lastk;

end;

end;

form1.Memo2.Lines.Insert(0,sortedbyall.text);

end;

procedure TForm1.BitBtn6Click(Sender: TObject);

begin

if OpenDialog1.Execute then

memo5.Lines.LoadFromFile(OpenDialog1.FileName);

end;

procedure TForm1.BitBtn5Click(Sender: TObject);

var

count,i,k,j:integer;

begin

count:=0;

firstk:=-1;

ProgressBar1.Position:=0;

ProgressBar1.Max:=memo1.Lines.Count-1;

for i:=0 to memo1.Lines.Count-1 do

begin

if memo1.Lines.Strings[i]='"' then

begin

j:=0;

curr_event.Clear;

lastk:=i;

for k:=firstk+1 to lastk do

begin

curr_event.Insert(j,memo1.Lines.Strings[k]);

j:=j+1;

if k=lastk then proverka_whitelist;

end;

firstk:=lastk;

end;

ProgressBar1.StepBy(1);

end;

memo6.Lines.Text:=good_events.Text;

memo1.Lines.Text:=nobadandgood_events.Text ;

form1.Memo1.Lines.Insert(0,' ');

end;

procedure TForm1.BitBtn9Click(Sender: TObject);

var

i,k,j:integer;

begin

memo1.Clear;

handjob.Text:=memo2.Lines.Text;

firstk:=-1;

for i:=0 to handjob.Count-1 do

begin

if handjob.Strings[i]='"' then

begin

j:=0;

curr_event.Clear;

lastk:=i;

for k:=firstk+1 to lastk do

begin

curr_event.Insert(j,handjob.Strings[k]);

memo1.Text:=curr_event.Text;

j:=j+1;

if k=lastk then proverka_man;

end;

firstk:=lastk;

end;

end;

end;

procedure TForm1.BitBtn7Click(Sender: TObject);

begin

nobadandgood_events.clear ;

bad_events.clear ;

good_events.clear ;

nobadandgood_events.clear ;

whitelist.clear ;

sortedbydate.clear ;

sortedbytime.clear ;

sortedbyall.clear ;

curr_event.clear ;

all_events.clear ;

blacklist.clear ;

nobad_events.clear ;

handjob.clear ;

exp.clear ;

memo1.Clear;

memo2.Clear;

memo3.Clear;

memo4.Clear;

memo5.Clear;

memo6.Clear;

memo7.Clear;

memo8.Clear;

end;

procedure TForm1.Button3Click(Sender: TObject);

begin

exp.clear;

exp.Insert(0,memo3.Text);

exp.Insert(0,memo7.Text);

if SaveDialog1.Execute then

exp.SaveToFile(SaveDialog1.FileName);

end;

procedure TForm1.Button4Click(Sender: TObject);

begin

memo2.Text:=memo1.Text;

end;

end

Размещено на Allbest.ru