Bezpečnostní analýza síťového provozu pomocí behaviorálních signatur
Loading...
Date
Authors
ORCID
Advisor
Referee
Mark
P
Journal Title
Journal ISSN
Volume Title
Publisher
Vysoké učení technické v Brně. Fakulta informačních technologií
Abstract
Tato práce se zaměřuje na popis aktuálního stavu bádání v detekčních metodách síťových útoků a následně na vylepšení schopnosti detekce specifických útoků vytvořením formálního popisu síťových metrik, které aproximují průběh síťového spojení a vytváří signaturu založenou na behaviorální charakteristice analyzovaného spojení. Cílem práce není prevence vůči aktuálně probíhajícím útokům ani reakce na tyto útoky, důraz se klade na analýzu spojení, získání co největšího množství informací a vytvoření základu detekčního systému, který dokáže minimalizovat velikost dat sbíraných ze sítě při ponechání nejdůležitějších informací pro následující analýzu. Hlavním cílem práce je vytvoření konceptu detekčního systému, který pomocí definovaných metrik redukuje síťový tok na signatury spojení s důrazem na behaviorální aspekty komunikace. Koncept zvyšuje autonomnost detekčního systému pomocí vytvoření expertní znalosti z honeypot systému s podmínkou nezávislosti na technologických aspektech analyzovaných dat (např. šifrování, použité protokoly, technologie nebo prostředí). Použití konceptu expertní znalosti honeypot systému v roli učitele klasifikačních algoritmů vytváří autonomnost systému při detekci neznámých útoků. Dále nabízí možnost samostatného učení (bez zásahu člověka) na základě poznatků získaných z útoků na tyto systémy. V práci je představen postup vytvoření laboratorního prostředí a experimenty s definovanou signaturou spojení nad získanými daty i nad převzatou testovací databází. V závěru jsou porovnány dosažené výsledky s aktuálním přehledem síťových detekčních systémů a je vyzdvižen přínos navržených metod aproximujících průběh analyzovaného spojení.
This thesis focuses on description of the current state of research in the detection of network attacks and subsequently on the improvement of detection capabilities of specific attacks by establishing a formal definition of network metrics. These metrics approximate the progress of network connection and create a signature, based on behavioral characteristics of the analyzed connection. The aim of this work is not the prevention of ongoing attacks, or the response to these attacks. The emphasis is on the analysis of connections to maximize information obtained and definition of the basis of detection system that can minimize the size of data collected from the network, leaving the most important information for subsequent analysis. The main goal of this work is to create the concept of the detection system by using defined metrics for reduction of the network traffic to signatures with an emphasis on the behavioral aspects of the communication. Another goal is to increase the autonomy of the detection system by developing an expert knowledge of honeypot system, with the condition of independence to the technological aspects of analyzed data (e.g. encryption, protocols used, technology and environment). Defining the concept of honeypot system's expert knowledge in the role of the teacher of classification algorithms creates autonomy of the~system for the detection of unknown attacks. This concept also provides the possibility of independent learning (with no human intervention) based on the knowledge collected from attacks on these systems. The thesis describes the process of creating laboratory environment and experiments with the defined network connection signature using collected data and downloaded test database. The results are compared with the state of the art of the network detection systems and the benefits of the proposed approximation methods are highlighted.
This thesis focuses on description of the current state of research in the detection of network attacks and subsequently on the improvement of detection capabilities of specific attacks by establishing a formal definition of network metrics. These metrics approximate the progress of network connection and create a signature, based on behavioral characteristics of the analyzed connection. The aim of this work is not the prevention of ongoing attacks, or the response to these attacks. The emphasis is on the analysis of connections to maximize information obtained and definition of the basis of detection system that can minimize the size of data collected from the network, leaving the most important information for subsequent analysis. The main goal of this work is to create the concept of the detection system by using defined metrics for reduction of the network traffic to signatures with an emphasis on the behavioral aspects of the communication. Another goal is to increase the autonomy of the detection system by developing an expert knowledge of honeypot system, with the condition of independence to the technological aspects of analyzed data (e.g. encryption, protocols used, technology and environment). Defining the concept of honeypot system's expert knowledge in the role of the teacher of classification algorithms creates autonomy of the~system for the detection of unknown attacks. This concept also provides the possibility of independent learning (with no human intervention) based on the knowledge collected from attacks on these systems. The thesis describes the process of creating laboratory environment and experiments with the defined network connection signature using collected data and downloaded test database. The results are compared with the state of the art of the network detection systems and the benefits of the proposed approximation methods are highlighted.
Description
Keywords
aproximace, behaviorální signatura, bezpečnost, detekce, honeypot, IDS, klasifikace síťového provozu, metriky, přetečení zásobníku, síťová analýza, síťové útoky, aproximation, behavioral signature, buffer overflow, detection, honeypot, IDS, metrics, network analysis, network attacks, network traffic classification, security
Citation
BARABAS, M. Bezpečnostní analýza síťového provozu pomocí behaviorálních signatur [online]. Brno: Vysoké učení technické v Brně. Fakulta informačních technologií. 2016.
Document type
Document version
Date of access to the full text
Language of document
cs
Study field
Výpočetní technika a informatika
Comittee
Date of acceptance
2016-10-21
Defence
Result of defence
práce byla úspěšně obhájena
Document licence
Standardní licenční smlouva - přístup k plnému textu bez omezení