RU2383105C1 - Device for determining network status - Google Patents
Device for determining network status Download PDFInfo
- Publication number
- RU2383105C1 RU2383105C1 RU2008126593/09A RU2008126593A RU2383105C1 RU 2383105 C1 RU2383105 C1 RU 2383105C1 RU 2008126593/09 A RU2008126593/09 A RU 2008126593/09A RU 2008126593 A RU2008126593 A RU 2008126593A RU 2383105 C1 RU2383105 C1 RU 2383105C1
- Authority
- RU
- Russia
- Prior art keywords
- unit
- block
- input
- output
- inputs
- Prior art date
Links
- 238000004891 communication Methods 0.000 claims abstract description 25
- 238000010606 normalization Methods 0.000 claims description 18
- 230000005540 biological transmission Effects 0.000 abstract description 2
- 239000000126 substance Substances 0.000 abstract 1
- 238000010586 diagram Methods 0.000 description 11
- 230000002159 abnormal effect Effects 0.000 description 7
- 238000009434 installation Methods 0.000 description 7
- 238000004458 analytical method Methods 0.000 description 5
- 230000002547 anomalous effect Effects 0.000 description 3
- 238000001514 detection method Methods 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 238000000034 method Methods 0.000 description 2
- YTOPFCCWCSOHFV-UHFFFAOYSA-N 2,6-dimethyl-4-tridecylmorpholine Chemical compound CCCCCCCCCCCCCN1CC(C)OC(C)C1 YTOPFCCWCSOHFV-UHFFFAOYSA-N 0.000 description 1
- 238000009825 accumulation Methods 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 238000000605 extraction Methods 0.000 description 1
- 108010028309 kalinin Proteins 0.000 description 1
- 230000011664 signaling Effects 0.000 description 1
- 230000009466 transformation Effects 0.000 description 1
- 238000000844 transformation Methods 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
Description
Изобретение относится к области электросвязи и может быть использовано для определения состояния сети связи и оперативной идентификации стека коммуникационных протоколов ТСР/IP, применяемого в цифровых системах связи, в частности в сети передачи данных типа "Internet".The invention relates to the field of telecommunications and can be used to determine the status of the communication network and the operational identification of the communication protocol stack TCP / IP, used in digital communication systems, in particular in a data network such as the Internet.
Известно устройство поиска информации по патенту РФ №2219577, класс G06F 17/40, заявленному 24.04.2002, содержащее делитель частоты, два блока памяти, вычитающий счетчик, четыре блока дешифрации, четыре счетчика, четыре блока приема адреса, два блока сравнения, два дешифратора и блок индикации.A device for searching for information according to the patent of the Russian Federation No. 2219577, class G06F 17/40, claimed on 04.24.2002, comprising a frequency divider, two memory units, a subtracting counter, four decryption units, four counters, four address receiving units, two comparison units, two decoders is known and display unit.
Данное устройство имеет недостаток - узкую область применения, поэтому предназначено только для анализа сравнительно небольшого количества параметров проходящих через него потоков, что приводит к неустойчивому функционированию автоматизированных систем в условиях несанкционированного информационного воздействия и ограничивает область его применения в сетях передачи данных типа "Internet" в условиях несанкционированного воздействия (информационных атак).This device has a drawback - a narrow scope, therefore it is intended only for the analysis of a relatively small number of parameters of flows passing through it, which leads to unstable functioning of automated systems in the conditions of unauthorized information impact and limits its scope in data transmission networks of the Internet type in the conditions unauthorized exposure (information attacks).
Наиболее близким по технической сущности (прототипом) является устройство поиска информации, содержащее два блока памяти, девять счетчиков, одиннадцать блоков дешифрации, функционально объединенные в блок выделения параметров, блок сравнения, блок управления и блок индикации, по патенту №2301443, приоритет изобретения 04 июля 2005 г. Вход первого блока памяти является входом устройства поиска информации, а его выход подключен к информационному входу первого блока дешифрации, второй вход которого подключен к первому счетчику, а выход дешифратора - к входу второго счетчика, первый выход которого соединен с вторым входом второго блока дешифрации, первый вход которого подключен к выходу первого блока памяти. Выход второго блока дешифрации соединен с входом второго блока памяти, а выход второго счетчика соединен с входом третьего счетчика, выход которого соединен с первым входом третьего блока дешифрации, второй вход которого подключен к выходу первого блока памяти. Первый и второй выходы третьего блока дешифрации подключены к входам четвертого и пятого счетчиков. Выход счетчика подключен к первому входу пятого блока дешифрации, второй вход которого соединен с выходом первого блока памяти, выход пятого блока дешифрации соединен с вторым входом блока сравнения, первый вход которого подключен через четвертый блок дешифрации к выходу четвертого счетчика, причем второй вход четвертого блока дешифрации соединен с выходом первого блока памяти. Входы блока управления подключены к второму выходу первого блока дешифрации, к третьему выходу третьего блока дешифрации, к второму выходу блока сравнения, к второму выходу шестого блока дешифрации, к первому выходу седьмого блока дешифрации, к выходу восьмого блока дешифрации, к выходу девятого блока дешифрации, к первому выходу десятого блока дешифрации, к двум выходам одиннадцатого блока дешифрации. Одиннадцатый выход блока управления подключен к входу первого счетчика и к первому блоку памяти, двенадцатый выход блока управления к первому блоку памяти, тринадцатый выход к входу блока индикации. Выход второго блока памяти соединен с первым входом шестого счетчика, второй вход которого подключен к выходу первого блока сравнения, а выход счетчика соединен с входом шестого блока дешифрации, первый выход которого соединен с входом седьмого счетчика, выход которого подключен к входу седьмого блока дешифрации, второй выход которого соединен с входом восьмого счетчика, выход, которого подключен к первым входам десятого, восьмого и девятого блоков дешифрации, вторые входы каждого из которых соединены с выходом первого блока памяти. Вторые входы шестого, седьмого и одиннадцатого блоков дешифрации соединены с выходом первого блока памяти, а второй выход десятого блока дешифрации соединен с входом девятого счетчика, выход которого подключен к первому входу одиннадцатого блока дешифрации. Блок индикации является выходом устройства.The closest in technical essence (prototype) is an information retrieval device containing two memory units, nine counters, eleven decryption units, functionally combined into a parameter allocation unit, a comparison unit, a control unit and an indication unit, according to the patent No. 2301443, priority of the invention on July 04 2005. The input of the first memory block is the input of the information retrieval device, and its output is connected to the information input of the first decryption unit, the second input of which is connected to the first counter, and the output is decrypt ra - to the input of the second counter, a first output connected to the second input of the second decryption unit, the first input of which is connected to the output of the first memory block. The output of the second decryption unit is connected to the input of the second memory unit, and the output of the second counter is connected to the input of the third counter, the output of which is connected to the first input of the third decryption unit, the second input of which is connected to the output of the first memory unit. The first and second outputs of the third decryption unit are connected to the inputs of the fourth and fifth counters. The counter output is connected to the first input of the fifth decryption unit, the second input of which is connected to the output of the first memory unit, the output of the fifth decryption unit is connected to the second input of the comparison unit, the first input of which is connected through the fourth decryption unit to the output of the fourth counter, the second input of the fourth decryption unit connected to the output of the first memory block. The inputs of the control unit are connected to the second output of the first decryption unit, to the third output of the third decryption unit, to the second output of the comparison unit, to the second output of the sixth decryption unit, to the first output of the seventh decryption unit, to the output of the eighth decryption unit, to the output of the ninth decryption unit, to the first output of the tenth decryption block, to the two outputs of the eleventh decryption block. The eleventh output of the control unit is connected to the input of the first counter and to the first memory unit, the twelfth output of the control unit to the first memory unit, the thirteenth output to the input of the display unit. The output of the second memory unit is connected to the first input of the sixth counter, the second input of which is connected to the output of the first comparison unit, and the output of the counter is connected to the input of the sixth decryption unit, the first output of which is connected to the input of the seventh counter, the output of which is connected to the input of the seventh decryption unit, the second the output of which is connected to the input of the eighth counter, the output of which is connected to the first inputs of the tenth, eighth and ninth decryption units, the second inputs of each of which are connected to the output of the first memory block. The second inputs of the sixth, seventh and eleventh decryption blocks are connected to the output of the first memory block, and the second output of the tenth decryption block is connected to the input of the ninth counter, the output of which is connected to the first input of the eleventh decryption block. The display unit is the output of the device.
Данное устройство по сравнению с аналогом позволяет расширить область своего применения, в частности, для получения однозначного решения об использовании протокола TCP и о наличии неоднократно повторяющихся запросов на создание сколь угодно большого количества логических каналов связи путем сравнения последующего блока данных с предыдущим по девяти параметрам, что необходимо для обеспечения устойчивого функционирования автоматизированных систем в условиях несанкционированного воздействия), описанного, например, в книге Медведовский И.Д. и др. Атака на Internet. - М.: ДМК, 1999, стр.120-128.This device in comparison with the analogue allows you to expand the scope of its application, in particular, to obtain an unambiguous decision on the use of the TCP protocol and the presence of repeatedly repeated requests to create an arbitrarily large number of logical communication channels by comparing the subsequent data block with the previous one in nine parameters, which necessary to ensure the stable functioning of automated systems under unauthorized exposure), described, for example, in Medvedovsky’s book th I.D. and others. Attack on the Internet. - M.: DMK, 1999, pp. 120-128.
К недостаткам устройства-прототипа относится анализ сравнительно небольшого количества параметров проходящих через него потоков, основанный на сигнатурном методе, что приводит к неустойчивому функционированию автоматизированных систем в условиях несанкционированного информационного воздействия, а также низкая достоверность принятия решения.The disadvantages of the prototype device include the analysis of a relatively small number of parameters of flows passing through it, based on the signature method, which leads to unstable functioning of automated systems in the conditions of unauthorized information impact, as well as low reliability of decision making.
Технической задачей предлагаемого изобретения является разработка устройства определения состояния сети связи, обеспечивающего расширенную область применения и повышения достоверности принятия решения за счет расширения набора характеристических параметров, анализа протокола TCP, учета правил установления и ведения сеанса связи, выявления случаев аномального увеличения интенсивности информационного обмена, аномального увеличения нагрузки входящего трафика, изменения соотношения числа пакетов на установление и разъединение соединения, аномального увеличения числа пакетов, получивших отказ, определения достоверности используемого источником IP адреса, выявления случаев установки запрещенных комбинаций флагов и неправильной установки IP адресов получателя и отправителя пакета.The technical task of the invention is the development of a device for determining the state of a communication network, providing an expanded scope and increasing the reliability of decision making by expanding the set of characteristic parameters, analyzing the TCP protocol, taking into account the rules for establishing and maintaining a communication session, identifying cases of an abnormal increase in the intensity of information exchange, anomalous increase traffic load, changes in the ratio of the number of packets on the establishment and disconnection of the connection neniya, an abnormal increase in the number of packets rejected, determining the validity of the source IP address is used, detection of illicit installation combinations flags improper installation and IP addresses of the sender and recipient of the package.
Поставленная цель достигается тем, что в известное устройство поиска информации, содержащее блок индикации, блок управления, блок сравнения IP адресов, блок SYN/FIN и блок выделения параметров, вход которого является информационным входом устройства, а третий и четвертый выходы подключены соответственно к первому и второму входам блока SYN/FIN, первый и второй выходы подключены соответственно к первому и второму входам блока сравнения IP адресов, первый и второй выходы блока управления подключены к первому и второму входам блока выделения параметров, дополнительно введены блок интенсивности, блок нагрузки, блок потерь, блок достоверности, блок нормировки, первые и вторые входы блоков интенсивности, нагрузки подключены соответственно к пятому, шестому и седьмому, восьмому выходам блока выделения параметров, а первый, второй, третий входы блока достоверности подключены соответственно к девятому, десятому и одиннадцатому выходам блока выделения параметров, двенадцатый выход блока выделения параметров подключен к девятнадцатому входу блока индикации, входом блока потерь является статистическая информация о соотношении числа пакетов, получивших отказ, к общему числу пришедших пакетов, первый выход блока SYN/FIN, выходы блока интенсивности, блока нагрузки и блока потерь подключены соответственно к первому, второму, третьему и четвертому входам блока нормировки, первый, второй, третий и четвертый выходы которого подключены соответственно к первому, второму, третьему и четвертому входам блока управления, выход блока достоверности подключен к восемнадцатому входу блока индикации, а выходы блока управления с третьего по восемнадцатый включительно подключены соответственно ко входам блока индикации со второго по семнадцатый включительно, выход блока сравнения IP адресов подключен к первому входу блока индикации.This goal is achieved by the fact that in the known information retrieval device comprising an indication unit, a control unit, an IP address comparison unit, a SYN / FIN unit and a parameter extraction unit, the input of which is an information input of the device, and the third and fourth outputs are connected respectively to the first and the second inputs of the SYN / FIN block, the first and second outputs are connected respectively to the first and second inputs of the IP address comparison unit, the first and second outputs of the control unit are connected to the first and second inputs of the pair allocation unit trov, in addition, an intensity block, a load block, a loss block, a validity block, a normalization block, the first and second inputs of the intensity blocks, the loads are connected respectively to the fifth, sixth, seventh, eighth outputs of the parameter allocation block, and the first, second, third inputs of the block the reliability is connected respectively to the ninth, tenth and eleventh outputs of the parameter allocation unit, the twelfth output of the parameter allocation unit is connected to the nineteenth input of the display unit, the input of the loss unit is I have statistical information on the ratio of the number of packets that have failed to the total number of packets received, the first output of the SYN / FIN block, the outputs of the intensity block, load block and loss block are connected respectively to the first, second, third and fourth inputs of the normalization block, the first, second , the third and fourth outputs of which are connected respectively to the first, second, third and fourth inputs of the control unit, the output of the reliability unit is connected to the eighteenth input of the display unit, and the outputs of the control unit from the third about eighteenth inclusive are connected respectively to the inputs of the indication unit of the second to seventeenth inclusive, the output IP address comparator unit connected to the first input of the indication unit.
Проведенный анализ уровня техники позволил установить, что аналоги, характеризующиеся совокупностью признаков, тождественных всем признакам заявленного технического решения, отсутствуют, что указывает на соответствие заявленного устройства условию патентоспособности «Новизна». Результаты поиска известных решений в данной и смежных областях техники с целью выявления признаков, совпадающих с отличительными от прототипа признаками заявленного объекта, показали, что они не следуют явным образом из уровня техники. Из современного уровня техники также не выявлена известность влияния предусматриваемых существенными признаками заявленного изобретения преобразований на достижение указанного технического результата. Следовательно, заявленное изобретение соответствует условию патентоспособности «Изобретательский уровень».The analysis of the prior art made it possible to establish that analogues that are characterized by a combination of features that are identical to all the features of the claimed technical solution are absent, which indicates compliance of the claimed device with the patentability condition “Novelty”. Search results for known solutions in this and related fields of technology in order to identify features that match the distinctive features of the claimed object from the prototype showed that they do not follow explicitly from the prior art. From the modern level of technology, the popularity of the influence of the transformations provided for by the essential features of the claimed invention on the achievement of the specified technical result has not been revealed either. Therefore, the claimed invention meets the condition of patentability "Inventive step".
Заявленное устройство поясняется следующими чертежами:The claimed device is illustrated by the following drawings:
фиг.1 - устройство определения состояния сети связи;figure 1 - device for determining the status of the communication network;
фиг.2 - структурная схема блока выделения параметров;figure 2 is a structural diagram of a block selection parameters;
фиг.3 - структурная схема блока сравнения IP адресов;figure 3 is a structural diagram of a block comparing IP addresses;
фиг.4 - структурная схема блока SYN/FIN;4 is a block diagram of a SYN / FIN block;
фиг.5 - структурная схема блока интенсивности;5 is a block diagram of an intensity unit;
фиг.6 - структурная схема блока нагрузки;6 is a structural diagram of a load block;
фиг.7 - структурная схема блока достоверности;7 is a structural diagram of a confidence block;
фиг.8 - структурная схема блока нормировки;Fig. 8 is a structural diagram of a normalization block;
фиг.9-10 - структурная схема блока управления;Fig.9-10 is a structural diagram of a control unit;
фиг.11 - схема алгоритма индикации.11 is a diagram of a display algorithm.
Устройство определения состояния сети связи, показанное на фиг.1, содержит блок выделения параметров 1, блок сравнения адресов IP 2, блок SYN/FIN 3, блок интенсивности 4, блок нагрузки 5, блок потерь 6, блок достоверности 7, блок нормировки 8, блок управления 9, блок индикации 10.The device for determining the status of the communication network, shown in Fig. 1, contains a
Вход блока выделения параметров 1 является информационным входом устройства, а третий и четвертый выходы подключены соответственно к первому и второму входам блока SYN/FIN 3. Первый и второй выходы подключены соответственно к первому и второму входам блока сравнения IP адресов 2. Первый и второй выходы блока управления 9 подключены к первому и второму входам блока выделения параметров 1. Первые и вторые входы блоков интенсивности 4, нагрузки 5 подключены соответственно к пятому, шестому и седьмому, восьмому выходам блока выделения параметров 1, а первый, второй, третий входы блока достоверности 7 подключены соответственно к девятому, десятому и одиннадцатому выходам блока выделения параметров 1. Двенадцатый выход блока выделения параметров 1 подключен к девятнадцатому входу блока индикации 10. Входом блока потерь 6 является статистическая информация о соотношении числа пакетов, получивших отказ, к общему числу пришедших пакетов. Первый выход блока SYN/FIN 3, выходы блока интенсивности 4, блока нагрузки 5 и блока потерь 6 подключены соответственно к первому, второму, третьему и четвертому входам блока нормировки 8, первый, второй, третий и четвертый выходы которого подключены соответственно к первому, второму, третьему и четвертому входам блока управления 9. Выход блока достоверности 7 подключен к восемнадцатому входу блока индикации 10, а выходы блока управления с третьего по восемнадцатый включительно подключены соответственно к входам блока индикации 10 со второго по семнадцатый включительно. Выход блока сравнения IP адресов 2 подключен к первому входу блока индикации.The input of the
Блок выделения параметров предназначен, для определения наличия протокола TCP в информационном потоке, его анализа и подачи извлеченных характеристических параметров (IP адресов отправителя и получателя, значения поля TTL, установления флагов в заголовке пакета TCP, общего размера пакета) на вход остальных блоков. Его структурная схема представлена на фиг.2The parameter allocation block is designed to determine the presence of TCP in the information stream, analyze it and supply the extracted characteristic parameters (sender and receiver IP addresses, TTL field value, setting flags in the TCP packet header, total packet size) to the input of the remaining blocks. Its structural diagram is presented in figure 2
Первый блок памяти 1.1 предназначен для хранения и последующего считывания с него на первый 1.2, восьмой 1.15 счетчики, второй 1.6, третий 1.8, четвертый 1.12, пятый 1.14 блоки памяти, второй 1.10, третий 1.16, четвертый 1.17, пятый 1.18 блоки дешифрации байтов данных пакетов, поступающих с демодулирующего устройства (канального контроллера) и подачи команды об окончании записи пришедших данных пакета на первый счетчик 1.2.The first memory block 1.1 is intended for storage and subsequent reading from it to the first 1.2, eighth 1.15 counters, the second 1.6, the third 1.8, the fourth 1.12, the fifth 1.14 memory blocks, the second 1.10, the third 1.16, the fourth 1.17, the fifth 1.18 blocks of decryption of data packet bytes coming from a demodulating device (channel controller) and issuing a command to end the recording of received packet data to the first counter 1.2.
Первый счетчик 1.2 отсчитывает 14 байт в цифровой последовательности для определения пакета IP.The first counter 1.2 counts 14 bytes in numerical order to determine the IP packet.
Первый блок дешифрации 1.3 предназначен для определения в последовательности поступающих данных протокола IP и подачи управляющего сигнала на блок достоверности.The first decryption unit 1.3 is designed to determine in the sequence of incoming IP protocol data and supply a control signal to the validity unit.
Второй счетчик 1.4 предназначен для отсчета 4 бит для обнаружения поля длины заголовка пакета.The second counter 1.4 is designed to count 4 bits to detect the field length of the packet header.
Третий счетчик 1.5 предназначен для отсчета 12 бит для нахождения общего размера IP пакета и подачи управляющего сигнала разрешения записи этого значения во второй блок памяти 1.6.The third counter 1.5 is designed to count 12 bits to find the total size of the IP packet and supply a control signal to enable the recording of this value in the second memory block 1.6.
Второй блок памяти 1.6 предназначен для записи в него и хранения общего размера пакета IP и выдачи этого значения на блок интенсивности.The second block of memory 1.6 is designed to record and store the total size of the IP packet and output this value to the intensity block.
Четвертый счетчик 1.7 предназначен для отсчета 6 байт для нахождения значения поля TTL пакета и подачи управляющего сигнала о разрешении его записи в третий блок памяти 1.8.The fourth counter 1.7 is designed to count 6 bytes to find the value of the TTL field of the packet and provide a control signal about the permission of its recording in the third memory block 1.8.
Третий блок памяти 1.8 предназначен для записи в него и хранения значения поля TTL пакета IP и выдачи этого значения на блок достоверности 7.The third block of memory 1.8 is designed to write to it and store the value of the TTL field of the IP packet and issue this value to the confidence block 7.
Пятый счетчик 1.9 предназначен для отсчета 1 байта для нахождения значения поля, обозначающего протокол вышестоящего уровня, пакета и подачи управляющего сигнала о разрешении его записи во второй блок дешифрации 1.10.The fifth counter 1.9 is designed to count 1 byte to find the value of the field indicating the protocol of the higher level, the packet and supply a control signal to enable its recording in the second decryption unit 1.10.
Второй блок дешифрации 1.10 служит для определения числового значения «шесть» в десятичном виде, т.е. определения протокола TCP и подачи управляющего сигнала «1» на шестой счетчик 1.11, на блоки нагрузки и интенсивности.The second decryption unit 1.10 is used to determine the numerical value of “six” in decimal form, i.e. determining the TCP protocol and supplying the control signal “1” to the sixth counter 1.11, to the load and intensity blocks.
Шестой счетчик 1.11 предназначен для отсчета 5 байт для нахождения двух последних байт адреса отправителя IP пакета и подачи управляющего сигнала разрешения записи этого значения в четвертый блок памяти 1.12.The sixth counter 1.11 is designed to count 5 bytes to find the last two bytes of the sender address of the IP packet and provide a control signal to enable the recording of this value in the fourth memory block 1.12.
Четвертый блок памяти 1.12 предназначен для записи в него и хранения значения двух последних байт адреса отправителя пакета IP и выдачи этого значения на блоки достоверности 7 и сравнения IP адресов 2.The fourth memory block 1.12 is designed to record and store the value of the last two bytes of the IP packet sender address and to issue this value to the confidence blocks 7 and compare
Седьмой счетчик 1.13 предназначен для отсчета 4 байт для нахождения двух последних байт адреса получателя IP пакета и подачи управляющего сигнала разрешения записи этого значения в пятый блок памяти 1.14.The seventh counter 1.13 is designed to count 4 bytes to find the last two bytes of the address of the recipient of the IP packet and supply a control signal to enable the recording of this value in the fifth memory block 1.14.
Пятый блок памяти 1.14 предназначен для записи в него и хранения значения двух последних байт адреса получателя пакета I и выдачи этого значения на блок сравнения IP адресов 2.The fifth memory block 1.14 is designed to record and store the value of the last two bytes of the address of the recipient of packet I and to issue this value to the block for comparing
Восьмой счетчик 1.15 предназначен для нахождения байта флагов заголовка TCP и выдачи этого байта в третий 1.16, четвертый 1.17 и пятый 1.18 блоки дешифрации.The eighth counter 1.15 is designed to find the byte of the TCP header flags and issue this byte to the third 1.16, fourth 1.17, and fifth 1.18 decryption blocks.
Третий блок дешифрации 1.16 предназначен для определения случая установки флага SYN в заголовке TCP и подачи управляющего сигнала на блок SYN/FIN 3.The third decryption block 1.16 is intended to determine the case of setting the SYN flag in the TCP header and supplying a control signal to the SYN / FIN 3 block.
Четвертый блок дешифрации 1.17 предназначен для определения случая установки флага FIN в заголовке TCP и подачи управляющего сигнала на блок SYN/FIN 3.The fourth decryption block 1.17 is intended to determine the case of setting the FIN flag in the TCP header and supplying a control signal to the SYN / FIN 3 block.
Пятый блок дешифрации 1.18 предназначен для определения случая аномальной совместной установки флагов SYN и FIN в заголовке TCP и подачи управляющего сигнала на блок управления 9.The fifth decryption block 1.18 is designed to determine the case of abnormal joint setting of the SYN and FIN flags in the TCP header and the supply of a control signal to the control unit 9.
Блок сравнения IP адресов 2 предназначен для выявления аномального выставления IP адресов в пакетах TCP и подачи сигнала об этом в блок индикации 10. Вариант схемы блока сравнения IP адресов 2 представлен на фиг.3.The block comparing
Блок SYN/FIN 3 предназначен для расчета соотношения числа пакетов TCP с установленными флагами SYN и FIN и выдачи этого значения на блок нормировки. Вариант схемы блока SYN/FIN представлен на фиг.4.The SYN / FIN 3 block is intended for calculating the ratio of the number of TCP packets with the SYN and FIN flags set and outputting this value to the normalization block. An embodiment of the SYN / FIN block diagram is shown in FIG. 4.
Блок интенсивности 4 предназначен для расчета интенсивности информационного обмена пакетов TCP и выдачи этого значения на блок нормировки 8. Вариант схемы данного блока представлен на фиг.5.Intensity block 4 is intended for calculating the intensity of information exchange of TCP packets and issuing this value to the normalization block 8. A variant of the circuit of this block is presented in Fig. 5.
Блок нагрузки 5 предназначен для расчета количества приходящих в единицу времени пакетов TCP и выдачи этого значения на блок нормировки 8. Вариант схемы данного блока представлен на фиг.6.The load block 5 is designed to calculate the number of TCP packets arriving at a time unit and output this value to the normalization block 8. A variant of the circuit of this block is presented in Fig.6.
Блок потерь 6 предназначен для хранения поступающей на него статистической информации о соотношении числа пакетов, получивших отказ, к общему числу пришедших пакетов и выдачи этого значения на блок нормировки.Loss block 6 is intended for storing statistical information arriving at it on the ratio of the number of packets that failed, to the total number of packets arriving and issuing this value to the normalization block.
Блок достоверности 7 предназначен для выработки сигнала об обнаружении недостоверного IP адреса полученного пакета и подачи этого сигнала на блок индикации 10. Вариант схемы блока достоверности 7 представлен на фиг.7.Reliability block 7 is designed to generate a signal about the detection of an invalid IP address of the received packet and to supply this signal to the
Блок нормировки 8 предназначен для нормирования входных величин для равноценного учета их в процессе принятия решения и выдачи полученных значений на блок управления 9. Вариант схемы блока нормировки представлен на фиг.8.The normalization unit 8 is designed to normalize the input values for their equal consideration in the decision-making process and the delivery of the obtained values to the control unit 9. A variant of the normalization unit circuit is shown in Fig. 8.
Блок управления 9 предназначен для принятия решения о состоянии сети в данный момент времени на основе анализа поступающих на него нормированных числовых значений характеристических параметров, определения состояния каждого из характеристических параметров, выдачи этих результатов на блок индикации 10 и подачи управляющих сигналов «стирание» и «запись» на первый блок памяти 1.1 для разрешения считывания следующего пакета информации. Вариант схемы блока управления представлен на фиг.9.The control unit 9 is designed to make a decision about the state of the network at a given time based on the analysis of the normalized numerical values of the characteristic parameters arriving at it, determining the state of each of the characteristic parameters, outputting these results to the indicating
Блок индикации 10 предназначен для визуального отображения принятого решения о состоянии сети в конкретный момент времени, состоянии каждого из исследуемых характеристических параметров, отклонения параметра достоверности, аномальности выставления флагов SYN и FIN, IP адресов отправителя. Схемы индикаторов известны и описаны, например, в книге Вениаминов В.Н., Лебедев О.Н., Мирошниченко А.И. Микросхемы и их применение: Справочное пособие. - М.: Радио и связь, 1989, стр.197, рис.7.1.The
Первый 1.1, второй 1.6, третий 1.8, четвертый 1.12, пятый 1.14 блоки памяти могут быть реализованы на микросхемах ОЗУ К185РУ4 (Справочник по интегральным микросхемам / Б.В.Тарабрин, С.В.Якубовский, Н.А.Баранов и др. Под ред. Б.В.Тарабрина. - 2-е изд., перераб. и доп. - М.: Энергия, 1980. - С.215).The first 1.1, second 1.6, third 1.8, fourth 1.12, fifth 1.14 memory blocks can be implemented on RAM chips K185RU4 (Reference on integrated circuits / B.V. Tarabrin, S.V. Yakubovsky, N.A. Baranov and others. Under Edited by B.V. Tarabrin. - 2nd ed., revised and revised - M .: Energy, 1980. - P.215).
Схемы первого 1.2, второго 1.4, третьего 1.5, четвертого 1.7, пятого 1.9, шестого 1.11, седьмого 1.13, восьмого 1.15 счетчиков известны и описаны, например, на фиг.6, 7, 8 патента РФ №2219577, МПК G06F 17/40 и могут быть реализованы на элементах И, счетчиках и дешифраторах. Схемы элементов И известны и описаны, например, в книге Шило В.Л. Популярные цифровые микросхемы: Справочник. - М.: Радио и связь, 1987, стр.40, рис.1.23. В частности, такая схема может быть реализована на микросхеме К555ЛИ2. Счетчики могут быть реализованы на микросхемах серии К555, см., например, Шило В.Л. Популярные цифровые микросхемы: Справочник. - М.: Радио и связь, 1987, стр.90, рис.1.66. Дешифратор может быть реализован на микросхемах дешифраторов, имеющих четыре разряда, см., например, Шило В.Л. Популярные цифровые микросхемы: Справочник. - М.: Радио и связь, 1987, стр.133, рис.1.95. В частности, такая схема может быть реализована на микросхеме К555ИДЗ.Schemes of the first 1.2, second 1.4, third 1.5, fourth 1.7, fifth 1.9, sixth 1.11, seventh 1.13, eighth 1.15 counters are known and described, for example, in FIGS. 6, 7, 8 of RF patent No. 22199577, IPC G06F 17/40 and can be implemented on AND elements, counters and decoders. Schemes of elements And are known and described, for example, in the book Shilo V.L. Popular Digital Chips: A Guide. - M.: Radio and Communications, 1987, p. 40, Fig. 1.23. In particular, such a scheme can be implemented on the K555LI2 chip. Counters can be implemented on chips of the K555 series, see, for example, Shilo V.L. Popular Digital Chips: A Guide. - M.: Radio and Communications, 1987, p. 90, Fig. 1.66. The decoder can be implemented on decoder circuits having four discharges, see, for example, Shilo V.L. Popular Digital Chips: A Guide. - M.: Radio and Communications, 1987, p. 133, Fig. 1.95. In particular, such a scheme can be implemented on the K555IDZ chip.
Схемы первого 1.3, второго 1.10, третьего 1.16, четвертого 1.17, пятого 1.18 блоков дешифрации известны (см., например, фиг.2 и фиг.3 патента РФ №2219577, МПК G06F 17/40) и могут быть реализованы на элементах И, дешифраторах и элементах И-НЕ. Схемы элементов И известны и описаны, например, в книге Шило В.Л. Популярные цифровые микросхемы: Справочник. - М.: Радио и связь, 1987, стр.40, рис.1.23. В частности, такая схема может быть реализована на микросхеме К555ЛР12. В качестве дешифраторов могут быть использованы микросхемы серии 555, например К555ИД10 (Шило В.Л. Популярные цифровые микросхемы: Справочник. - М.: Радио и связь, 1987, стр.137, рис.1.98). В качестве элемента И-НЕ может быть использована, например, микросхема К155ЛАЗ (Шило В.Л. Популярные цифровые микросхемы: Справочник. - М.: Радио и связь, 1987, стр.41, рис.1.24).The schemes of the first 1.3, second 1.10, third 1.16, fourth 1.17, fifth 1.18 decryption units are known (see, for example, FIG. 2 and FIG. 3 of RF patent No. 22199577, IPC G06F 17/40) and can be implemented on elements And, decoders and elements AND NOT. Schemes of elements And are known and described, for example, in the book Shilo V.L. Popular Digital Chips: A Guide. - M.: Radio and Communications, 1987, p. 40, Fig. 1.23. In particular, such a scheme can be implemented on the chip K555LR12. As decoders, 555 series microcircuits can be used, for example, K555ID10 (Shilo V.L. Popular digital microcircuits: A Handbook. - M.: Radio and Communications, 1987, p. 137, Fig. 1.98). As an AND-NOT element, for example, the K155LAZ microcircuit can be used (Shilo V.L. Popular digital microcircuits: Reference book. - M.: Radio and communication, 1987, p. 41, Fig. 1.24).
Блок сравнения IP адресов содержит компаратор 2.1. Схема компараторов для сравнения двух N-разрядных слов известна и описана в книге Шило В.Л. Популярные цифровые микросхемы: Справочник. М.: Радио и связь, 1987, стр.183-184, 187, рис.1.135. Он может быть реализован на микросхемах К555СП1.The IP address comparison block contains comparator 2.1. The scheme of comparators for comparing two N-bit words is known and described in the book by Shilo V.L. Popular Digital Chips: A Guide. M .: Radio and communications, 1987, pp. 183-184, 187, fig. 1.135. It can be implemented on K555SP1 chips.
Блок SYN/FIN содержит делитель 3.1, который может быть реализован на микросхеме КР1802ВР2 (например, см. Н.Н.Аверьянов, А.И.Березенко, Ю.И.Борщенко и др. Микропроцессоры и микропроцессорные комплекты интегральных микросхем. Справочник: в 2 т.; под ред. В.А.Шахнова. - М.: Радио и связь, 1988. - Т.2, стр.61-70).The SYN / FIN block contains a divider 3.1, which can be implemented on the КР1802ВР2 chip (for example, see N.N. Averyanov, A.I. Berezenko, Yu.I. Borschenko, etc. Microprocessors and microprocessor sets of integrated circuits. Reference: in 2 tons; under the editorship of V.A. Shakhnov. - M .: Radio and communications, 1988.- Vol. 2, p. 61-70).
Блок интенсивности содержит сумматор 4.2 со временем суммирования ДТ, делитель на AT 4.3, блок переключения 4.1. Сумматор 4.2 может быть построен на программируемых интервальных таймерах и накапливающих сумматорах типа аккумуляторов. Схемы программируемых интервальных таймеров известны и описаны, например, см. Угрюмов Е.П. Цифровая схемотехника. Справочное пособие. - СПб.: БХВ-Петербург, 2004, стр 348-355, рис.6.29. В частности, такая схема может быть реализована на микросхеме ВИ54 серии К1821 и К1860. Сумматоры могут быть реализованы на микросхемах К555ИМЗ, например см. Угрюмов Е.П. Цифровая схемотехника. Справочное пособие. - СПб.: БХВ-Петербург, 2004,The intensity block contains an adder 4.2 with the accumulation time DT, a divider by AT 4.3, a switching block 4.1. The adder 4.2 can be built on programmable interval timers and accumulative totalizers such as batteries. Schemes of programmable interval timers are known and described, for example, see Ugryumov EP Digital circuitry. Reference manual. - St. Petersburg: BHV-Petersburg, 2004, p. 348-355, Fig. 6.29. In particular, such a scheme can be implemented on a chip VI series K1821 and K1860. Adders can be implemented on K555IMZ chips, for example, see Ugryumov EP Digital circuitry. Reference manual. - SPb .: BHV-Petersburg, 2004,
стр.77-85, рис.2.24, 2.28. Схемы элементов ИЛИ известны, например описаны в книге Якубовский С.В. Цифровые и аналоговые интегральные микросхемы: Справочник. - М.: Радио и связь, 1990, стр.78, рис.167. В частности, такая схема может быть реализована на микросхеме К555ЛП2. Блок переключения 4.1 может быть реализован на мультиплексорах и демультиплексорах, схемы которых известны, например см. Угрюмов Е.П. Цифровая схемотехника: Справочное пособие.- СПб.: БХВ-Петербург, 2004, стр.54-56, рис.2.9(б). В частности, он строится на элементах И-НЕ.p. 77-85, fig. 2.24, 2.28. Schemes of OR elements are known, for example, described in the book Yakubovsky S.V. Digital and analog integrated circuits: a reference. - M.: Radio and Communications, 1990, p. 78, Fig. 167. In particular, such a scheme can be implemented on the K555LP2 chip. The switching unit 4.1 can be implemented on multiplexers and demultiplexers, the schemes of which are known, for example, see Ugryumov EP Digital circuitry: Reference manual. - St. Petersburg: BHV-Petersburg, 2004, p. 54-56, Fig. 2.9 (b). In particular, it is built on NAND elements.
Блок нагрузки содержит сумматор 5.2 со временем суммирования ΔТ, делитель на ДТ 5.3, блок переключения 5.1. Сумматор 5.2 может быть построен на программируемых интервальных таймерах и накапливающих сумматорах типа аккумуляторов. Схемы программируемых интервальных таймеров известны и описаны, например, см. Угрюмов Е.П. Цифровая схемотехника: Справочное пособие - СПб.: БХВ-Петербург, 2004, стр 348-355, рис.6.29. В частности, такая схема может быть реализована на микросхеме ВИ54 серии К1821 и К1860. Сумматоры могут быть реализованы на микросхемах К555ИМЗ, например, см. Угрюмов Е.П. Цифровая схемотехника: Справочное пособие. - СПб.: БХВ-Петербург, 2004,The load unit contains an adder 5.2 with a summation time ΔТ, a divider on ДТ 5.3, a switching unit 5.1. Adder 5.2 can be built on programmable interval timers and accumulative totalizers such as batteries. Schemes of programmable interval timers are known and described, for example, see Ugryumov EP Digital circuitry: Reference manual - St. Petersburg: BHV-Petersburg, 2004, pp. 348-355, Fig. 6.29. In particular, such a scheme can be implemented on a chip VI series K1821 and K1860. Adders can be implemented on K555IMZ chips, for example, see Ugryumov EP Digital circuitry: a reference guide. - SPb .: BHV-Petersburg, 2004,
стр.77-85, рис.2.24, 2.28. Схемы элементов ИЛИ известны, например описаны в книге Якубовский С.В. Цифровые и аналоговые интегральные микросхемы: Справочник. - М.: Радио и связь, 1990, стр.78, рис.167. В частности, такая схема может быть реализована на микросхеме К555ЛП2. Блок переключения 5.1 может быть реализован на мультиплексорах и демультиплексорах, схемы которых известны, например, см. Угрюмов Е.П. Цифровая схемотехника: Справочное пособие.- СПб.: БХВ-Петербург, 2004, стр.54-56, рис.2.9(б). В частности, он строится на элементах И-НЕ.p. 77-85, fig. 2.24, 2.28. Schemes of OR elements are known, for example, described in the book Yakubovsky S.V. Digital and analog integrated circuits: a reference. - M.: Radio and Communications, 1990, p. 78, Fig. 167. In particular, such a scheme can be implemented on the K555LP2 chip. The switching unit 5.1 can be implemented on multiplexers and demultiplexers, the schemes of which are known, for example, see Ugryumov EP Digital circuitry: Reference manual. - St. Petersburg: BHV-Petersburg, 2004, p. 54-56, Fig. 2.9 (b). In particular, it is built on NAND elements.
Блок достоверности содержит блок памяти 29.1, блок вычисления среднего значения 29.2, делитель на четыре 29.3, сумматор 29.4, вычитатель 29.5, компараторы 29.6 и 29.7, элемент ИЛИ 29.8. Схемы блоков памяти известны и описаны, например, см. Угрюмов Е.П. Цифровая схемотехника: Справочное пособие. - СПб.: БХВ-Петербург, 2004, стр.175-190. В частности, такая схема может быть реализована на микросхемах КН531РУ9. Блок вычисления среднего значения 29.2 может быть построен на арифметико-логических устройствах, схемы которых известны и описаны, например, см. Угрюмов Е.П. Цифровая схемотехника: Справочное пособие. - СПб.: БХВ-Петербург, 2004, стр.90-92. В частности, такая схема может быть реализована на микросхемах К555ИПЗ. Схема делителя может быть реализована на регистре сдвига. Схемы регистров сдвига известны и описаны, например, см. Угрюмов Е.П. Цифровая схемотехника: Справочное пособие. - СПб.: БХВ-Петербург, 2004, стр.148-150, стр.143-146, в частности, могут быть реализованы на микросхеме ИР13 серии КР1533. Схемы сумматоров и вычитателей известны и описаны, например, см. Угрюмов Е.П. Цифровая схемотехника: Справочное пособие. - СПб.: БХВ-Петербург, 2004,The validity block contains a memory block 29.1, an average value calculation block 29.2, a four divider 29.3, an adder 29.4, a subtracter 29.5, comparators 29.6 and 29.7, an OR element 29.8. Schemes of memory blocks are known and described, for example, see Ugryumov EP Digital circuitry: a reference guide. - SPb .: BHV-Petersburg, 2004, pp. 175-190. In particular, such a scheme can be implemented on KN531RU9 microcircuits. The unit for calculating the average value 29.2 can be built on arithmetic-logic devices, the schemes of which are known and described, for example, see Ugryumov EP Digital circuitry: a reference guide. - SPb .: BHV-Petersburg, 2004, pp. 90-92. In particular, such a scheme can be implemented on K555IPZ microcircuits. The divider circuit may be implemented in a shift register. Schemes of shift registers are known and described, for example, see Ugryumov EP Digital circuitry: a reference guide. - SPb .: BHV-Petersburg, 2004, pp. 144-150, pp. 143-146, in particular, can be implemented on the IR13 chip of the KR1533 series. Schemes of adders and subtracters are known and described, for example, see Ugryumov EP Digital circuitry: a reference guide. - SPb .: BHV-Petersburg, 2004,
стр.77-85, рис.2.24, 2.28. В частности, они строятся на микросхемах КМ155ИМЗ. Схемы компараторов известны и описаны, например, см. Угрюмов Е.П. Цифровая схемотехника: Справочное пособие. - СПб.: БХВ-Петербург, 2004, стр 64-66. В частности, они строятся на микросхемах КР1533СП1. Схемы элементов ИЛИ известны, например описаны в книге Якубовский С.В. Цифровые и аналоговые интегральные микросхемы: Справочник. - М.: Радио и связь, 1990, стр.78, рис.167. В частности, такая схема может быть реализована на микросхеме К555ЛП2.p. 77-85, fig. 2.24, 2.28. In particular, they are based on KM155IMZ microcircuits. Comparator circuits are known and described, for example, see Ugryumov EP Digital circuitry: a reference guide. - St. Petersburg: BHV-Petersburg, 2004, pp. 64-66. In particular, they are based on KR1533SP1 microcircuits. Schemes of OR elements are known, for example, described in the book Yakubovsky S.V. Digital and analog integrated circuits: a reference. - M.: Radio and Communications, 1990, p. 78, Fig. 167. In particular, such a scheme can be implemented on the K555LP2 chip.
Блок нормировки содержит умножители на десять 8.1 и 8.4, делитель на десять 8.2, делитель на тысячу 8.3. Данные элементы могут быть реализованы на микросхемах КР1802 ВР2 (например, см. Н.Н.Аверьянов, А.И.Березенко, Ю.И.Борщенко и др. Микропроцессоры и микропроцессорные комплекты интегральных микросхем: Справочник: в 2 т.; под ред. В.А.Шахнова. - М.: Радио и связь, 1988. - Т.2., стр.61-70).The normalization block contains multipliers by ten 8.1 and 8.4, a divisor by ten 8.2, a divisor by a thousand 8.3. These elements can be implemented on the KR1802 BP2 microcircuits (for example, see N.N. Averyanov, A.I. Berezenko, Yu.I. Borschenko, etc. Microprocessors and microprocessor sets of integrated circuits: Reference: 2 tons; ed. V.A. Shakhnova. - M.: Radio and Communications, 1988. - T. 2., Pp. 61-70).
Блок управления предназначен для выработки управляющих сигналов с целью реализации требуемого алгоритма принятия решения и может быть реализован на микропроцессоре TMS32010 (Ланне А.А. Цифровой процессор TMS32010 и его применение - Л.: ВАС, 1990. - 296 с). Обычно блок управления представляет собой последовательностные логические схемы и может быть синтезирован по известным правилам (Гутников B.C., Лопатин В.В. и др. Электронные устройства информационно-измерительной техники: Учебное пособие. - Л.: ЛПИ им. Калинина, 1980, стр.73-76, рис 42; Гутников B.C. Интегральная электроника в измерительных устройствах - Л.: Энергия, 1980. - 248 с).The control unit is designed to generate control signals in order to implement the required decision-making algorithm and can be implemented on the microprocessor TMS32010 (Lanne A.A. Digital processor TMS32010 and its application - L .: VAS, 1990. - 296 s). Typically, a control unit is a sequential logic circuit and can be synthesized according to well-known rules (Gutnikov BC, Lopatin V.V. et al. Electronic Devices of Information and Measuring Equipment: Textbook. - L .: LPI named after Kalinin, 1980, p. 73-76, Fig. 42; Gutnikov BC Integrated Electronics in Measuring Devices - L .: Energia, 1980.- 248 s).
Устройство работает следующим образом. Первый блок памяти 1.1 блока выделения параметров предназначен для хранения и последующего считывания с него байтов данных пакета. При получении с выхода блока управления 8 управляющих сигналов «стирание» и «запись» (логическая «1») производится заполнение ячеек ОЗУ первого блока памяти 1.1 байтами пакета, поступившими с демодулирующего устройства (канального контроллера). После того как записаны все байты очередного пакета анализируемого протокола, на втором выходе блока памяти 1.1 формируется разрешение на побайтное считывание информации (логическая «1»). С первого выхода первого блока памяти 1.1 байты пакетов последовательно поступают на первые входы первого 1.3, второго 1.10, третьего 1.16, четвертого 1.17 и пятого 1.18 блоков дешифрации, а также на первые входы второго 1.6, третьего 1.8, четвертого 1.12, пятого 1.14 блоков памяти, а также на первые входы первого 1.2 и восьмого счетчиков.The device operates as follows. The first memory block 1.1 of the parameter allocation block is designed to store and then read from it bytes of packet data. When 8 control signals “erase” and “write” (logical “1”) are received from the control unit output, the RAM cells of the first memory block are filled with 1.1 bytes of packet received from the demodulating device (channel controller). After all the bytes of the next packet of the analyzed protocol are written down, the permission for reading the information byte by byte (logical “1”) is generated on the second output of the memory block 1.1. From the first output of the first memory block 1.1, bytes of packets are sequentially delivered to the first inputs of the first 1.3, second 1.10, third 1.16, fourth 1.17 and fifth 1.18 decryption blocks, as well as to the first inputs of the second 1.6, third 1.8, fourth 1.12, fifth 1.14 memory blocks, as well as the first inputs of the first 1.2 and eighth counters.
При поступлении на вход первого счетчика 1.2 сигнала с блока памяти 1.1 (логическая «1») считывается 14 байт для определения в сигнальной цифровой последовательности значения «шесть» (06) в десятичном виде, соответствующего наличию в пакете протокола IP.When the first counter 1.2 receives a signal from the memory unit 1.1 (logical “1”), 14 bytes are read to determine the value “six” (06) in decimal form in the signal digital sequence, which corresponds to the IP protocol in the packet.
В данном описании рассматривается формат кадра Ethernet 802.3/LLC. В случае других типов кадров, например Ethernet DIX (Ethernet II), длина этого поля составляет 2 байта и его значение равно в десятичном виде числу «восемь» (0800).This description describes the Ethernet 802.3 / LLC frame format. In the case of other types of frames, for example Ethernet DIX (Ethernet II), the length of this field is 2 bytes and its value is in decimal the number "eight" (0800).
Если значение «шесть» найдено, на втором выходе первого блока дешифрации 1.3 формируется сигнал логической «1», поступающий на блоки достоверности 7 и нагрузки 5.If the value of “six” is found, a logical “1” signal is generated at the second output of the first decryption unit 1.3, which arrives at blocks of reliability 7 and load 5.
На первом выходе первого дешифратора 1.3 формируется управляющий сигнал, поступающий на второй счетчик 1.4, который отсчитывает 4 бита для обнаружения поля длины заголовка и вырабатывает управляющий сигнал, поступающий на третий счетчик 1.5, служащий для отсчета 12 бит для нахождения общего размера IP пакета в сигнально-цифровой последовательности и подачи управляющего сигнала разрешения записи этого значения во второй блок памяти 1.6.At the first output of the first decoder 1.3, a control signal is generated that arrives at the second counter 1.4, which counts 4 bits to detect the header length field and generates a control signal that arrives at the third counter 1.5, which serves to count 12 bits to find the total size of the IP packet in the signal digital sequence and the supply of a control signal for recording this value to the second memory block 1.6.
Второй блок памяти 1.6 хранит значение общего размера пакета и по первому выходу передает его на блок интенсивности 4, при этом на втором выходе вырабатывает сигнал для запуска четвертого счетчика 1.7, который отсчитывает 6 байт для нахождения значения поля TTL пакета TCP и подает управляющий сигнал о разрешении его записи в третий блок памяти 1.8.The second memory block 1.6 stores the value of the total packet size and transfers it to the intensity unit 4 on the first output, while at the second output it generates a signal to start the fourth counter 1.7, which counts 6 bytes to find the TTL field value of the TCP packet and sends a control signal for permission writing it to the third memory block 1.8.
Третий блок памяти 1.8 хранит значение поля TTL пакета и по первому выходу передает его на блок достоверности 7, при этом на втором выходе вырабатывает сигнал для запуска пятого счетчика 1.9, который отсчитывает 1 байт для нахождения значения поля, обозначающего протокол вышестоящего уровня пакета, и подачи управляющего сигнала о разрешении его записи во второй блок дешифрации 1.10.The third memory block 1.8 stores the value of the TTL field of the packet and transfers it to the confidence block 7 on the first output, while at the second output it generates a signal to start the fifth counter 1.9, which counts 1 byte to find the value of the field indicating the protocol of the higher level of the packet, and feed control signal about the permission of its recording in the second decryption unit 1.10.
Второй блок дешифрации 1.10 предназначен для определения в этом байте числового значения «шесть» (06) в десятичном виде. В случае (06) используемым протоколом является TCP и на его выходе формируется сигнал на запуск шестого счетчика 1.11, а также на вход блоков нагрузки 5 и интенсивности 4.The second decryption unit 1.10 is intended for determining in this byte the numerical value “six” (06) in decimal form. In case (06), the protocol used is TCP and a signal is generated at its output to start the sixth counter 1.11, as well as to the input of load blocks 5 and intensity 4.
Шестой счетчик 1.11 отсчитывает 5 байт для нахождения двух последних байт адреса отправителя IP пакета и подает управляющий сигнал разрешения записи этого значения в четвертый блок памяти 1.12.The sixth counter 1.11 counts 5 bytes to find the last two bytes of the address of the sender of the IP packet and provides a control signal to enable the recording of this value in the fourth memory block 1.12.
Четвертый блок памяти 1.12 хранит значение двух последних байт адреса отправителя IP пакета и по первому выходу передает его на блок достоверности 7 и к блоку сравнения IP адресов 2, при этом на втором выходе вырабатывает сигнал для запуска седьмого счетчика 1.13, который отсчитывает 4 байта для нахождения двух последних байт адреса получателя IP пакета и подачи этого значения на блок сравнения IP адресов 2, а также управляющего сигнала разрешения записи этого значения в пятый блок памяти 1.14.The fourth memory block 1.12 stores the value of the last two bytes of the address of the sender of the IP packet and transfers it to the validity block 7 and to the IP
Пятый блок памяти 1.14 хранит значение двух последних байт адреса получателя IP пакета и по первому выходу передает его на блок сравнения IP, при этом на втором выходе вырабатывает сигнал для запуска восьмого счетчика 1.15, который отыскивает байт флагов заголовка TCP пакета и подает управляющий сигнал разрешения записи этого байта в третий 1.16, четвертый 1.17, пятый 1.18 блоки дешифрации.The fifth memory block 1.14 stores the value of the last two bytes of the address of the recipient of the IP packet and transfers it to the IP comparison block on the first output, while at the second output it generates a signal to start the eighth counter 1.15, which searches for the byte of the flags of the TCP packet header and provides a write enable control signal of this byte in the third 1.16, fourth 1.17, fifth 1.18 decryption blocks.
Третий блок дешифрации 1.16 определяет случай установки флага SYN в заголовке TCP пакета и подает управляющий сигнал в виде логической «1» о его установке на блок SYN/FIN 3.The third decryption block 1.16 determines the case when the SYN flag is set in the TCP packet header and sends a control signal in the form of a logical “1” about its installation to the SYN / FIN 3 block.
Четвертый блок дешифрации 1.17 определяет случай установки флага FIN в заголовке TCP пакета и подает управляющий сигнал в виде логической «1» о его установке на блок SYN/FIN 3.The fourth decryption block 1.17 defines the case of setting the FIN flag in the TCP packet header and sends a control signal in the form of a logical “1” about its installation to the SYN / FIN 3 block.
Пятый блок дешифрации 1.18 определяет случай совместной установки флагов SYN и FIN в заголовке TCP пакета и подает управляющий сигнал в виде логической «1» об их установке на блок индикации 10.The fifth decryption block 1.18 determines the case of the joint installation of the SYN and FIN flags in the TCP packet header and sends a control signal in the form of a logical “1” about their installation to the
При получении с первого выхода второго блока дешифрации 1.10 на первый вход блока нагрузки 5 сигнала о наличии протокола TCP в пакете IP происходит включение ключа 5.1 и значение «1», поступающее с первого выхода первого дешифратора 1.3 на второй вход блока нагрузки 5, проходит на сумматор 5.2. Блок ведет подсчет в течение времени ΔT. По истечении установленного времени ΔТ сумматор 5.2 выдает свое значение на делитель 5.3, который делит подсчитанное за ΔТ количество пакетов TCP на значение интервала ΔТ, тем самым получая среднее значение количества приходящих пакетов TCP за промежуток времени ΔТ. Далее это значение передается на блок нормировки 8.When a signal is received from the first output of the second decryption unit 1.10 to the first input of load block 5 that the TCP protocol is in the IP packet, the key 5.1 is turned on and the value “1” coming from the first output of the first decoder 1.3 to the second input of load block 5 passes to the adder 5.2. The unit counts over the time ΔT. After the set time ΔT has elapsed, adder 5.2 outputs its value to the divisor 5.3, which divides the number of TCP packets calculated as ΔТ by the interval value ΔТ, thereby obtaining the average value of the number of incoming TCP packets for the time interval ΔТ. Further, this value is transmitted to the normalization unit 8.
При получении с первого выхода второго блока дешифрации 1.10 на первый вход блока интенсивности 4 сигнала о наличии протокола TCP в пакете IP происходит включение ключа 4.1 и значение размера пакета TCP, поступающее с первого выхода второго дешифратора 1.10 на второй вход блока интенсивности 4, проходит на сумматор 4.2. Блок ведет подсчет в течении времени ΔТ. По истечении установленного времени ΔТ сумматор 4.2 выдает свое значение на делитель 4.3, который делит подсчитанный за ΔТ объем трафика TCP на значение интервала ΔТ, тем самым получая среднее значение объема трафика TCP за промежуток времени ΔТ. Далее это значение передается на блок нормировки 8.When a signal is received from the first output of the second decryption unit 1.10 to the first input of intensity unit 4 that the TCP protocol is in the IP packet, the key 4.1 is turned on and the TCP packet size value coming from the first output of the second decoder 1.10 to the second input of intensity unit 4 passes to the adder 4.2. The block counts over the time ΔТ. After the set time ΔT has elapsed, adder 4.2 gives its value to the divisor 4.3, which divides the amount of TCP traffic calculated as ΔТ by the value of the interval ΔТ, thereby obtaining the average value of the amount of TCP traffic for the time interval ΔТ. Further, this value is transmitted to the normalization unit 8.
Сигналы об установлении флагов SYN и FIN от третьего 1.16 и четвертого 1.17 блоков дешифрации приходят на первые два входа блока SYN/FIN 3 и поступают на счетчики 3.1 и 3.2, которые ведут подсчет в течении времени ΔТ. По истечении этого времени они выдают подсчитанные значения на первый и второй входы делителя 3.3, который делит значение, поступающее от счетчика 3.1, на значение, поступающее от счетчика 3.2, и передает полученное значение на блок нормировки 8.The signals about setting the SYN and FIN flags from the third 1.16 and fourth 1.17 decryption blocks come to the first two inputs of the SYN / FIN 3 block and arrive at the counters 3.1 and 3.2, which count over time ΔТ. After this time, they give the calculated values to the first and second inputs of the divider 3.3, which divides the value coming from counter 3.1 by the value coming from counter 3.2, and transfers the resulting value to normalization block 8.
Сигнал наличия протокола IP в кадре Ethernet, пришедший с первого блока дешифрации 1.3 и поступивший на первый вход блока достоверности 7, формирует команду разрешения считывания (R) из блока памяти 7.1 по адресу соответствующему числу, пришедшему от пятого блока памяти 1.12 и поступившему на второй вход блока достоверности 7. Число, считанное из блока памяти 7.1, поступает на первый вход блока 7.2, на второй вход которого приходит значение, полученное с третьего входа блока достоверности 7, куда оно поступило с третьего блока памяти 1.8. Блок 7.2 вычисляет среднее между двумя числами, при этом если одно из чисел равно нулю, то результатом оставляет не нулевое число. Рассчитав среднее значение, блок 7.2 выдает на управляющие входы блока памяти 7.1 команду на разрешение записи (W), а на вход данных полученный результат, который записывается по тому же адресу, с которого производилось считывание. Одновременно рассчитанное в блоке 7.2 среднее значение передается на вход делителя 7.3, который на выходе выдает устанавливаемую часть пришедшего значения (например, четверть) на сумматоры 7.4 и 7.5. Пришедшие на входы сумматоров 7.4 и 7.5 значения с блока 7.2 и делителя 7.3 суммируются и вычитаются соответственно, а полученные значения с выходов сумматоров 7.4 и 7.5 поступают на вторые входы компараторов 7.6 и 7.7. Компараторы 7.6 и 7.7 сравнивают пришедшие на первые входы числа с сумматоров 7.4 и 7.5 с величиной числа, пришедшего на вторые входы от третьего входа блока достоверности. Компаратор 7.6 настроен на превышение величины от первого входа над вторым, а компаратор 7.7 настроен на меньшее значение с первого входа по сравнению со вторым. Выходы компараторов 7.6 и 7.7 идут на входы элемента ИЛИ 7.8, который выдает на выходе сигнал логической «1» при срабатывании хотя бы одного из компараторов, который говорит об аномальном значении поля TTL для заданного IP адреса.The signal of the presence of IP protocol in the Ethernet frame, which came from the first decryption unit 1.3 and arrived at the first input of the confidence block 7, generates a read enable command (R) from the 7.1 memory block at the address corresponding to the number received from the fifth memory block 1.12 and received at the second input credibility block 7. The number read from the memory block 7.1, goes to the first input of the block 7.2, the second input of which receives the value received from the third input of the credibility block 7, where it came from the third memory block 1.8. Block 7.2 calculates the average between two numbers, and if one of the numbers is zero, then the result is not a zero number. Having calculated the average value, block 7.2 issues the write permission command (W) to the control inputs of the memory block 7.1, and the result is received at the data input, which is recorded at the same address from which it was read. At the same time, the average value calculated in block 7.2 is transmitted to the input of the divider 7.3, which at the output gives the settable part of the received value (for example, a quarter) to the adders 7.4 and 7.5. The values that arrived at the inputs of adders 7.4 and 7.5 from block 7.2 and the divider 7.3 are summed and subtracted, respectively, and the obtained values from the outputs of adders 7.4 and 7.5 are fed to the second inputs of comparators 7.6 and 7.7. Comparators 7.6 and 7.7 compare the numbers that came to the first inputs from the adders 7.4 and 7.5 with the value of the number that came to the second inputs from the third input of the confidence block. Comparator 7.6 is configured to exceed the value from the first input over the second, and comparator 7.7 is configured to a lower value from the first input compared to the second. The outputs of comparators 7.6 and 7.7 go to the inputs of the OR element 7.8, which outputs a logical “1” signal when at least one of the comparators is triggered, which indicates an anomalous value of the TTL field for a given IP address.
Значения последних двух байт IP адресов отправителя и получателя с четвертого 1.12 и пятого 1.13 блоков памяти приходят на первые два входа блока сравнения IP 2 адресов и поступают на входы компаратора, который при их совпадении выдает значение логической «1» на первый вход блока индикации.The values of the last two bytes of the IP addresses of the sender and receiver from the fourth 1.12 and fifth 1.13 memory blocks go to the first two inputs of the
С выходов блоков SYN/FIN 3, интенсивности 4, нагрузки 5 и блока потерь 6 и блока значения поступают соответственно на входы первого умножителя 8.1, первого делителя 8.2, второго умножителя 8.3 и второго делителя 8.4. Данные элементы производят умножение или деления этих значений для выполнения их нормировки. С выходов этих элементов значения передаются на блок управления 9.From the outputs of blocks SYN / FIN 3, intensity 4, load 5 and loss block 6 and block values are respectively supplied to the inputs of the first multiplier 8.1, the first divider 8.2, the second multiplier 8.3 and the second divider 8.4. These elements multiply or divide these values to perform their normalization. From the outputs of these elements, the values are transmitted to the control unit 9.
При поступлении сигналов на входы блока управления 9 начинает работу алгоритм принятия решения. Сначала работает алгоритм индикации характеристических параметров.When signals are received at the inputs of the control unit 9, the decision-making algorithm starts. First, the algorithm for indicating characteristic parameters works.
Если значение на четвертом входе меньше 10, то на третий выход блока управления выдается значение логической «1». Далее проверяется условие «значение на четвертом входе меньше 30», при выполнении этого условия значение логической «1» выдается на четвертый выход блока управления, а при невыполнении - на пятый.If the value at the fourth input is less than 10, then the logical “1” value is output to the third output of the control unit. Next, the condition “the value at the fourth input is less than 30” is checked, when this condition is met, the logical “1” value is issued to the fourth output of the control unit, and if not fulfilled, to the fifth.
Если значение на третьем входе меньше 20, то на шестой выход блока управления выдается значение логической «1». Далее проверяется условие «значение на третьем входе меньше 40», при выполнении этого условия значение логической «1» выдается на седьмой выход блока управления, а при невыполнении - на восьмой.If the value at the third input is less than 20, then the logical “1” value is output to the sixth output of the control unit. Next, the condition “the value at the third input is less than 40” is checked, when this condition is fulfilled, the logical value “1” is issued to the seventh output of the control unit, and if not fulfilled, to the eighth.
Если значение на втором входе меньше 30, то на девятый выход блока управления выдается значение логической «1». Далее проверяется условие «значение на втором входе меньше 50», при выполнении этого условия значение логической «1» выдается на десятый выход блока управления, а при невыполнении - на одиннадцатый.If the value at the second input is less than 30, then the ninth output of the control unit gives a logical value of “1”. Next, the condition “the value at the second input is less than 50” is checked, when this condition is fulfilled, the logical value “1” is issued to the tenth output of the control unit, and if not fulfilled, to the eleventh.
Если значение на первом входе меньше 10, то на двенадцатый выход блока управления выдается значение логической «1». Далее проверяется условие «значение на первом входе меньше 30», при выполнении этого условия значение логической «1» выдается на тринадцатый выход блока управления, а при невыполнении - на четырнадцатый.If the value at the first input is less than 10, then the logical “1” value is output to the twelfth output of the control unit. Next, the condition “the value at the first input is less than 30” is checked, when this condition is met, the logical “1” value is issued to the thirteenth output of the control unit, and if it is not fulfilled, to the fourteenth.
Далее проверяется одновременное выполнение условий.Next, the simultaneous fulfillment of the conditions is checked.
После проверки выполнения данных условий по алгоритму блок управления по первому и второму выходу последовательно выдает логические «1» (сигналы «стирание» и «запись»), которые поступают на блок выделения параметров.After verifying the fulfillment of these conditions by the algorithm, the control unit for the first and second output sequentially gives a logical “1” (“erase” and “record” signals), which are fed to the parameter allocation unit.
Устройство готово к ведению анализа вновь поступающей входной цифровой последовательности.The device is ready for analysis of the newly incoming digital input sequence.
Таким образом, из рассмотренного принципа действия устройства видно, что оно обеспечивает возможность анализа протоколов, определения использования протокола TCP и его анализ, учет правил установления и ведения сеанса связи, выявление случаев аномального увеличения интенсивности информационного обмена, аномальное увеличение нагрузки входящего трафика, изменение соотношения числа пакетов на установление и разъединение соединения, аномальное увеличение числа пакетов, получивших отказ, определение достоверности используемого источником IP адреса и выявление случаев установки запрещенных комбинаций флагов, что необходимо для обеспечения устойчивого функционирования автоматизированных систем в условиях несанкционированного воздействия (информационных атак). Этим достигается сформулированная цель - повышение достоверности принятия решения, расширение области применения заявленного устройства, которое позволяет не только определять тип протокола, учитывать правила установления и ведения сеанса связи, но и производить анализ проходящих через него потоков для выявления аномалий сетевого трафика.Thus, it can be seen from the principle of operation of the device that it provides the ability to analyze protocols, determine the use of the TCP protocol and analyze it, take into account the rules for establishing and maintaining a communication session, identifying cases of an abnormal increase in the intensity of information exchange, an abnormal increase in the load of incoming traffic, changing the ratio packets for establishing and disconnecting the connection, an abnormal increase in the number of packets that failed, determining the reliability of the source used th IP address and identification number of installations of banned combinations of flags that you need to ensure sustainable operation of the automated systems in terms of tampering (phishing attacks). This achieves the stated goal - increasing the reliability of decision-making, expanding the scope of the claimed device, which allows not only to determine the type of protocol, take into account the rules for establishing and maintaining a communication session, but also to analyze the flows passing through it to identify network traffic anomalies.
Claims (1)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2008126593/09A RU2383105C1 (en) | 2008-06-30 | 2008-06-30 | Device for determining network status |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2008126593/09A RU2383105C1 (en) | 2008-06-30 | 2008-06-30 | Device for determining network status |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| RU2008126593A RU2008126593A (en) | 2010-01-10 |
| RU2383105C1 true RU2383105C1 (en) | 2010-02-27 |
Family
ID=41643690
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| RU2008126593/09A RU2383105C1 (en) | 2008-06-30 | 2008-06-30 | Device for determining network status |
Country Status (1)
| Country | Link |
|---|---|
| RU (1) | RU2383105C1 (en) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2546236C2 (en) * | 2013-08-05 | 2015-04-10 | Государственное казенное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) | Method of analysing information stream and determining network security based on adaptive prediction and apparatus therefor |
| RU2545516C2 (en) * | 2013-07-23 | 2015-04-10 | Государственное казенное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) | Detection device of attacks in wireless networks of 802,11g standard |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2179738C2 (en) * | 2000-04-24 | 2002-02-20 | Вильчевский Никита Олегович | Method for detecting remote attacks in computer network |
| RU2219577C1 (en) * | 2002-04-24 | 2003-12-20 | Военный университет связи | Data retrieval device |
| US6816973B1 (en) * | 1998-12-29 | 2004-11-09 | Cisco Technology, Inc. | Method and system for adaptive network security using intelligent packet analysis |
| RU2301443C2 (en) * | 2005-07-04 | 2007-06-20 | Государственное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) | Information searching device |
-
2008
- 2008-06-30 RU RU2008126593/09A patent/RU2383105C1/en not_active IP Right Cessation
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6816973B1 (en) * | 1998-12-29 | 2004-11-09 | Cisco Technology, Inc. | Method and system for adaptive network security using intelligent packet analysis |
| RU2179738C2 (en) * | 2000-04-24 | 2002-02-20 | Вильчевский Никита Олегович | Method for detecting remote attacks in computer network |
| RU2219577C1 (en) * | 2002-04-24 | 2003-12-20 | Военный университет связи | Data retrieval device |
| RU2301443C2 (en) * | 2005-07-04 | 2007-06-20 | Государственное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) | Information searching device |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2545516C2 (en) * | 2013-07-23 | 2015-04-10 | Государственное казенное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) | Detection device of attacks in wireless networks of 802,11g standard |
| RU2546236C2 (en) * | 2013-08-05 | 2015-04-10 | Государственное казенное образовательное учреждение высшего профессионального образования Академия Федеральной службы охраны Российской Федерации (Академия ФСО России) | Method of analysing information stream and determining network security based on adaptive prediction and apparatus therefor |
Also Published As
| Publication number | Publication date |
|---|---|
| RU2008126593A (en) | 2010-01-10 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11797683B2 (en) | Security chip with resistance to external monitoring attacks | |
| WO2022017249A1 (en) | Programmable switch, traffic statistics method, defense method, and packet processing method | |
| US10021007B2 (en) | Measuring latency within a networking device | |
| US6717917B1 (en) | Method of determining real-time data latency and apparatus therefor | |
| EP3220305A1 (en) | Method of testing the resistance of a circuit to a side channel analysis of second order or more | |
| CN108833103A (en) | The method and system securely communicated between RFID tag and reading equipment | |
| WO1999067919A2 (en) | Improved des and other cryptographic processes with leak minimization for smartcards and other cryptosystems | |
| CN110570196A (en) | Transaction data processing method and device, terminal equipment and storage medium | |
| EP1327932A1 (en) | Encryption apparatus and method with side-channel attack resistance | |
| CN112565115A (en) | Transmission method and device of TCP data, computer equipment and storage medium | |
| US20150263945A1 (en) | High assurance packet router | |
| RU2383105C1 (en) | Device for determining network status | |
| RU2546236C2 (en) | Method of analysing information stream and determining network security based on adaptive prediction and apparatus therefor | |
| US20170187692A1 (en) | Method for transmitting data, method for receiving data, corresponding devices and programs | |
| CN106533959A (en) | Switching device and determination method for rate of outlet end thereof | |
| RU2417537C1 (en) | Information search apparatus | |
| Hosseini et al. | An effective payload attribution scheme for Cybercriminal detection using compressed bitmap index tables and traffic Downsampling | |
| RU2301443C2 (en) | Information searching device | |
| CN116134799B (en) | A message processing method and device | |
| RU2545516C2 (en) | Detection device of attacks in wireless networks of 802,11g standard | |
| US12095896B1 (en) | Fully homomorphic encryption and decryption apparatus and method for operating the same | |
| RU2270478C1 (en) | Device for monitoring safety of automated systems | |
| CN115426120A (en) | Flow data detection method, device and storage medium | |
| RU2540838C1 (en) | Detector of remote computer attacks | |
| NL1010921C2 (en) | Encryption system for digital data, uses secondary key to mask primary key, is more difficult to decrypt by Brute Force Attack than data encrypted with conventional single key |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| MM4A | The patent is invalid due to non-payment of fees |
Effective date: 20100701 |