A hagyományos logika nem mindig segít az információbiztonsági veszélyek elhárításában; ilyenkor kell segítségül hívni a fuzzy – ködös, homályos – logikát.
Nincsenek könnyű helyzetben a modern információbiztonsági rendszerek, amikor a támadások ellen kell védekezni. Folyamatosan nő a hálózati forgalom, amelynek a mai környezetekben egyre nagyobb hányada származik a vállalaton kívülről, és ebben a forgalomban állandóan szaporodnak a különféle kártevők és támadások. Ezek ellen valamilyen módon védekezni kellene – de nagyon gyorsan, mert nincs idő arra, hogy a teljes hálózati forgalmat feltartva vizsgálgassuk át az egyes adatcsomagokat vagy -folyamokat.
Ilyen követelményeknek kell megfelelniük a modern információbiztonsági rendszerek egyik alapkövének tekintett behatolásérzékelő és -megelőző rendszereknek (intrusion detection and prevention systems, idps). Ezek célja, hogy a hálózati tevékenységek és–vagy a rendszererőforrások figyelésével felismerjék a kártékony tevékenységeket és a biztonsági rendszabályok megsértését, majd (a megelőző rendszerek esetében) meg is akadályozzák a további műveleteket.
Veszély vagy nem veszély?
Többféle módszert alkalmaznak az idps-ek. Ilyen a szignatúra alapú védekezés, de lehet az előre beállított szabályokhoz vagy normához is viszonyítani a hálózati forgalmat. A rendszerek működésében az egyik fő nehézséget pontosan az okozza, hogy miként döntsék el egy észlelt eseményről, tevékenységről, hogy az veszélyt jelent-e? Végső soron az eszköznek minden forgalmat, minden tevékenységet be kell sorolnia a két csoport valamelyikébe: veszélyes vagy nem veszélyes? Ha veszélyes, tiltani kell, ha nem veszélyes, át lehet engedni.
Ám ennek eldöntése nem egyszerű, hiszen a kép az információbiztonság területén mindig fekete-fehér, inkább a szürke valamelyik árnyalatának tűnik. Vannak egyértelműen veszélyes tevékenységek és vannak egyértelműen veszélytelenek, de a kettő között meglehetősen széles a szürke zóna. Hogy hétköznapi példával éljünk: ha egy kocsmai verekedés során egy nagydarab fickó rohan felém ordítozva, a dühtől kivörösödött fejjel, késsel a kezében, akkor minden bizonnyal ártani akar. Ha a játszótéren jön szembe egy anyuka, kézen fogva vezetve a kétéves kislányát, tőle nem tartok. De mit gondoljak arról a három fiatalról, akik egy kihalt utcán jönnek felém, erősen méregetnek és közben a zsebükben tartják a kezüket?
Hasonló, csak éppen sokkal bonyolultabb dilemmákkal kell megbirkózniuk az idps-rendszereknek, ráadásul a másodperc tört része alatt. Ennek során óhatatlanul hibáznak is, ami kétféle formában történhet meg. Egyrészt veszélyesnek minősíthetnek valójában nem kártékony, nem ártó szándékú tevékenységet, forgalmat is; ezt hívják a szaknyelvben „hamis pozitív” találatnak. Másrészt előfordulhat ennek az ellenkezője is, amikor nem veszik észre és átengedik a tényleges veszélyt jelentő forgalmat; ez pedig a „hamis negatív” találat.
Nyilvánvaló, hogy mind a fals pozitív, mind a fals negatív találatok arányát a lehető legalacsonyabbra kell leszorítani. Előbbiek ronthatják a szervezet hatékonyságát, hiszen a mindennapi munkavégzéshez szükséges adatokat, forgalmakat szűrhetnek ki a hálózatból. Utóbbiak még nagyobb veszélyt jelentenek, mivel ténylegesen átengednek valamilyen támadást vagy kártevőt a hálózat belső, védendő régióiba.
Itt léphet a képbe és jelenthet nagy segítséget a fuzzy (ködös) logika, a matematika egy nem is annyira friss ága. A fuzzy logikát olyankor „szokás” elővenni, amikor valamilyen felmerülő bizonytalanságot kell kezelni. A bizonytalanság lehet mérési pontatlanság, túl kevés, vagy éppen túl sok rendelkezésre álló információ, félreérthetőség vagy nem egyértelmű csoportosíthatóság (soroljuk csak be például az embereket a „fiatal”, „középkorú” vagy „idős” kategóriák valamelyikébe). Ilyen problémával szembesülnek az idps-rendszerek is.
Nem fekete-fehér
A fuzzy logika pont attól ködös, hogy nem akar feltétlenül jól kristálytiszta, bináris, igen-nem válaszokat adni. Köztes állapotok a 0 és az 1 közötti értékekre is megadhatók. „Mennyire idős valaki? Mennyire tartozik egy halmazhoz az adott elem? Mennyire káros egy adott tevékenység? Kockázatbecslésnél mennyire kockázatos a rendszer egy adottsága?” – ezek tipikus, szürkezónás kérdések.
A fuzzy műveletek segítségével nemcsak igen-nem döntések hozhatók, hanem kitágul a lehetőségek köre. Úgynevezett klaszterezéssel létrehozhatók például fuzzy részhalmazok. Klasszikus értelemben egy adott elem csak egy részhalmazhoz tartozhat; a fuzzy klaszterezés esetében ez úgy változik, hogy egy elem – különböző hozzátartozási mértékben – több részhalmaz eleme is lehet. A cél az, hogy a részhalmazon belüli elemek minél inkább, míg a különböző részhalmazokhoz tartozó elemek a lehető legkevésbé hasonlítsanak egymásra.
De használható a fuzzy logika a döntési fa algoritmusokban is; itt az az előnye a klasszikus logikával szemben, hogy a tovább-bontási szabályok nem kizárólagosan egy attribútumra korlátozódnak.
Jól látszik a fentiekből, hogy milyen előnye lehet a fuzzy logika alkalmazásának az idps-rendszerekben. A hálózatbiztonsági vizsgálatok során a bemeneti adatokról a klasszikus logika szerint a legtöbb esetben nem dönthető el, hogy a veszélyes vagy a veszélytelen halmazba tartozik-e a forgalom vagy tevékenység – ami bizonytalanságot szül. Ezt a bizonytalanságot szüntetheti meg, illetve csökkentheti kisebb-nagyobb mértékben a fuzzy logika, növelve a valós, és minimalizálva a téves találatok számát.
Piaci információk szerint a legnevesebb behatolás elleni védelmiszoftver-gyártók mindegyike használ fuzzy logikát rendszereiben, mint ahogy a nyílt forráskódú Snort-hoz is készült egy Fuzzy-Based Snort (FB-Snort) nevű modul.
A fuzzy logika különösen akkor lehet hasznos, ha az eszköz más forrásból származó adatokat is fel tud használni a vizsgálathoz. Ugyanakkor a pontos megvalósítások szigorúan üzleti titkosak – éppen azért, mert lényegi részét alkotják az eszköznek.
Bederna Zsolt
