Кратко и по делу — проект модели, симуляции и проверок распространения червя в корпоративной сети с $N=1000$ узлами, учитывая уровни уязвимости, сегментацию и реакцию админов.
1) Выбор типа модели
- Рekomendовано: агентная (individual-based) или метапопуляционная с сегментами. Для $N=1000$ агентная модель выполнима и даёт детальную картину; метапопуляционная подходит для быстрой оценки.
- Состояния узла: Susceptible ($S$), Infected ($I$), Patched/Removed ($R$), Quarantined/Isolated ($Q$). Можно добавить Exposed ($E$) для задержки эксплойта.
2) Структура сети и сегментация
- Представление: граф с матрицей смежности $A=(a_{ij})$. Узлы имеют метки сегмента $s(i)\in \{1,\dots ,S\}$.
- Межсегментные фильтры: при передаче через сегменты применять коэффициент ослабления $f_{s\to s^{\prime }}\in [0,1]$ (firewall/ACL). Для внутренних связей $f_{s\to s}=1$.
3) Уровни уязвимости и параметры заражения
- Классы уязвимости $v\in \{\text{high},\text{medium},\text{low}\}$ с параметрами успеха эксплойта ${\beta }_v$.
- Поведение червя: сканирование/скрипты задаются скоростью сканирования/подключений $\lambda$ (сканов/сек на инфицированный узел) и моделью таргетинга (рандомное сканирование или локальное с приоритетом по сегменту).
- Вероятность передачи от инфицированного $j$ к восприимчивому $i$ за маленький интервал $dt$:
$$P_{i\leftarrow j}(dt)=1-\exp (-{\beta }_{v(i)}{a}_{ji}{f}_{s(j)\to s(i)}\lambda dt).$$ Для дискретного шага $\Delta t$ приближённо:
$$P_{i\leftarrow j}=1-(1-{\beta }_{v(i)}{a}_{ji}{f}_{s(j)\to s(i)}{)}^{\lambda \Delta t}.$$
4) Модель реакции админов
- Детекция: инфицированный узел обнаруживается с интенсивностью $\delta$ (среднее время обнаружения $1/\delta$).
- Патчинг: после обнаружения админы патчат узел с задержкой/скоростью $\mu$ и переводят в $R$ (устойчивый) или в состояние сниженной уязвимости ${\beta }_{patched}\ll \beta$.
- Изоляция сегмента: при политике «отключить сегмент после порога» — если доля инфицированных в сегменте превышает $T_{iso}$, все межсегментные рёбра обнуляются или уменьшаются на множитель.
- Частичная автоматизация: задаётся дебрейтинг «доля узлов, которые админы могут патчить в час» — $p_{patch}$ (узлов/время).
5) Временная дискретизация
- Два подхода:
- Событийно-ориентированный (Gillespie / continuous-time stochastic simulation): точнее для разреженных/редких событий; рекомендуется, если $\lambda$ и $\delta$ варьируют и важны точные интервалы.
- Дискретный шаг с фиксированным $\Delta t$: проще; выбрать $\Delta t$ намного меньше средней межсобытийной величины. Практическое правило:
$$\Delta t\le \min (0.1/\lambda ,0.1/\delta ).$$ - Пример: если инфицированный делает $\lambda =10$ сканов/сек, взять $\Delta t\le 0.01$ с (или перейти на сентябрьное событийное моделирование).
- Для агрегатных/долгосрочных сценариев допускается $\Delta t$ в минутах/часах, но теряется точность пиков.
6) Метрики валидности модели (что измеряем)
- Абсолютные/долевые показатели:
- Конечная доля поражённых (attack rate): $A=\frac{I_{\infty }}{N}$.
- Пиковая преобладаемость: $I_{max}={\max }_{t}I(t)$.
- Время до пика: $t_{peak}$.
- Время до детекции/эпидемического контроля: $t_{det}$ (когда $I(t)$ начинает устойчиво падать).
- Сегментные метрики: доля инфицированных в каждом сегменте $A_s$, количество скомпрометированных критичных хостов.
- Скорость роста: начальный экспоненциальный темп $r$ и аналитический аналог $R_0$:
$$R_0\approx \beta \cdot ⟨k⟩\cdot T_{inf},$$ где $⟨k⟩$ — средняя исходящая связность, $T_{inf}$ — среднее время, в течение которого узел остаётся заразным.
- Экономические/операционные: число выключенных узлов, потерянных рабочих часов.
7) Верификация симуляции
- Юнит-тесты: сохранение числа узлов ($S+I+R+Q=N$), корректное применение правил патчинга/изоляции.
- Конвергенция по $\Delta t$: уменьшать $\Delta t$ в 2–4 раза и смотреть сходимость метрик.
- Сравнение discrete-time vs Gillespie для одного набора параметров.
- Сравнение с аналитическими/mean-field решениями для пределов (например, случай полной смешанности должен давать SIR-поведение).
- Статистика: проводить $M$ независимых прогонов (рекомендовано $M\ge 50$ для оценки разброса) и строить доверительные интервалы для метрик.
- Чувствительный анализ (параметрический): варьировать ${\beta }_v,\lambda ,\delta ,p_{patch}$ и смотреть изменение выхода; выявить наиболее чувствительные параметры.
- Репликация: фиксировать seed генератора случайных чисел, логировать параметры и версии кода.
8) Ограничения и источники неопределённости
- Параметры: реальные ${\beta }_v,\lambda ,\delta$ часто неизвестны — модель даёт сценарии, а не точные прогнозы.
- Поведение пользователей и админов часто не детерминировано; модель использует упрощённые политики.
- Динамика сети: модель обычно предполагает статическую топологию, тогда как реальные сети меняются (включения/переназначения).
- Механизмы распространения: если червь использует lateral movement (учётные записи, эксплойт цепочек), простая модель сканирования недооценит скорость.
- Детекция: реальные системы IDS/AV имеют сложную статистику ложных срабатываний; модель упрощает это.
- Масштабирование: при усложнении поведения (комплексные аттаки, многокомпонентные эксплойты) модель становится сложной и тяжёлой для валидации.
- Результаты носят сценарный характер: дают сравнение политик и чувствительность, но не точный прогноз времени/числа заражённых в реальном инциденте.
9) Практическая реализация (пошагово)
- Инициализация: $N=1000$; распределить узлы по сегментам и классам уязвимости; задать матрицу $A$ (реальная топология или случайная модель с кластеризацией).
- Параметры: задать ${\beta }_{high},{\beta }_{med},{\beta }_{low},\lambda ,\delta ,\mu ,p_{patch},f_{s\to s^{\prime }}$.
- Запуск симуляции: событийный или дискретный шаг; реализовать логику распространения, обнаружения, патчинга и изоляции.
- Анализ: статистические метрики, временные ряды, срезы по сегментам; отчёт по альтеративным стратегиям (быстрый патчинг vs изоляция).
10) Короткие рекомендации по стратегиям защиты (на основе модели)
- Быстрая автоматическая сегментация и уменьшение $f_{s\to s^{\prime }}$ критична для снижения распространения.
- Снижение $\beta$ (патчи/ограничение привилегий) наиболее эффективно до момента пика.
- Увеличение скорости детекции ($\delta$) и патчинга ($\mu$) снижает $I_{max}$ и $A$.
Если нужно, могу: привести конкретный набор параметров и псевдокод для Gillespie, или пример кодовой реализации (Python, NetworkX + event-driven).