Detekce anomálií na základě SNMP komunikace
Loading...
Date
Authors
ORCID
Advisor
Referee
Mark
B
Journal Title
Journal ISSN
Volume Title
Publisher
Vysoké učení technické v Brně. Fakulta informačních technologií
Abstract
Cílem této práce bylo vytvořit prakticky použitelný soubor metod pro klasifikaci a detekci anomálií v prostředí počítačových sítí. Vytvořil jsem rozšíření pro monitorovací systém sítě ve formě dvou modulů otevřeného nástroje pro síťový monitoring, které jsou založeny na strojovém učení. Vytvořené moduly se dokáží na základě síťového provozu naučit charakteristiky běžného provozu. První modul, který je založen na algoritmu Random Forest Classifier, detekuje a je schopen rozpoznat několik známých útoků typu odepření služby. Druhý modul, založený na algoritmu Local Outlier Factor, detekuje anomální hladiny síťového provozu. Mezi útoky, které je první modul schopen detekovat patří záplavové útoky typu TCP SYN flood, UDP flood a ICMP flood. Dále pak aplikační útoky SSH Bruteforce a pomalý a fragmentovaný útok Slowloris. V průběhu práce jsem provedl testování zařízení výše zmíněnými metodami. Experimenty prokázaly, že první modul založený na klasifikaci je schopen detekovat známé útoky, až na útok Slowloris, jehož charakteristika se příliš neliší od normálního provozu. Druhý modul úspěšně detekuje zvýšenou hladinu provozu na síti, avšak neprovádí klasifikaci útoku.
The aim of this thesis was to develop a practically applicable set of methods for classification and detection of anomalies in computer network environments. I have created extensions to the network monitoring system in the form of two modules for an open source network monitoring tool based on machine learning. The created modules can learn the characteristics of normal network traffic. The first module, based on the algorithm Random Forest Classifier, detects and is able to classify several known denial-of-service attacks. The second module, based on the algorithm Local Outlier Factor, detects anomalous levels of network traffic. Attacks that the first module is able to classify are the following: TCP SYN flood, UDP flood and ICMP flood. Moreover, it was trained to detect the SSH Bruteforce attacks and the slow and fragmented Slowloris attack. While working on this thesis, I tested the device using the methods mentioned above. The experiments showed that the classification-based module is able to detect known attacks, except for the Slowloris attack, whose characteristics are not very different from normal traffic. The second module sucessfully detects higher levels of network traffic, but does not perform the classification.
The aim of this thesis was to develop a practically applicable set of methods for classification and detection of anomalies in computer network environments. I have created extensions to the network monitoring system in the form of two modules for an open source network monitoring tool based on machine learning. The created modules can learn the characteristics of normal network traffic. The first module, based on the algorithm Random Forest Classifier, detects and is able to classify several known denial-of-service attacks. The second module, based on the algorithm Local Outlier Factor, detects anomalous levels of network traffic. Attacks that the first module is able to classify are the following: TCP SYN flood, UDP flood and ICMP flood. Moreover, it was trained to detect the SSH Bruteforce attacks and the slow and fragmented Slowloris attack. While working on this thesis, I tested the device using the methods mentioned above. The experiments showed that the classification-based module is able to detect known attacks, except for the Slowloris attack, whose characteristics are not very different from normal traffic. The second module sucessfully detects higher levels of network traffic, but does not perform the classification.
Description
Citation
ŠTĚPÁN, D. Detekce anomálií na základě SNMP komunikace [online]. Brno: Vysoké učení technické v Brně. Fakulta informačních technologií. 2021.
Document type
Document version
Date of access to the full text
Language of document
cs
Study field
Informační technologie
Comittee
doc. Ing. Ondřej Ryšavý, Ph.D. (předseda)
doc. Ing. Jan Kořenek, Ph.D. (místopředseda)
doc. RNDr. Dana Hliněná, Ph.D. (člen)
Ing. Bohuslav Křena, Ph.D. (člen)
Ing. Igor Szőke, Ph.D. (člen)
Date of acceptance
2021-06-18
Defence
Student nejprve prezentoval výsledky, kterých dosáhl v rámci své práce. Komise se poté seznámila s hodnocením vedoucího a posudkem oponenta práce. Student následně odpověděl na otázku oponenta a na doplnění ze strany přítomných. Komise se na základě posudku oponenta, hodnocení vedoucího, přednesené prezentace a odpovědí studenta na položené otázky rozhodla práci hodnotit stupněm " B ". Otázky u obhajoby: Keby ste nevybrali algoritmus Náhodný les, ktorý iný by bol vhodný? Komise, například: Porovnával jste navržený detektor s již hotovými detektory?
Result of defence
práce byla úspěšně obhájena
Document licence
Standardní licenční smlouva - přístup k plnému textu bez omezení