Improvement of Adversarial Classification in Behavioral Analysis of Network Traffic Intended for Targeted Attack Detection

Název česky

Vylepšení Adversariální Klasifikace v Behaviorální Analýze Síťové Komunikace Určené pro Detekci Cílených Útoků

Jazyk práce

anglický

Abstrakt

V této práci se zabýváme vylepšením systémů pro odhalení síťových průniků. Konkrétně se zaměřujeme na behaviorální analýzu, která využívá data extrahovaná z jednotlivých síťových spojení. Tyto informace využívá popsaný framework k obfuskaci cílených síťových útoků, které zneužívají zranitelností v sadě soudobých zranitelných služeb. Z Národní databáze zranitelností od NIST vybíráme zranitelné služby, přičemž se omezujeme jen na roky 2018 a 2019. Ve výsledku vytváříme nový dataset, který sestává z přímých a obfuskovaných útoků, provedených proti vybraným zranitelným službám, a také z jejich protějšků ve formě legitimního provozu. Nový dataset vyhodnocujeme za použití několika klasifikačních technik, a demonstrujeme, jak důležité je trénovat tyto klasifikátory na obfuskovaných útocích, aby se zabránilo jejich průniku bez povšimnutí. Nakonec provádíme křížové vyhodnocení datasetů pomocí nejmodernějšího datasetu ASNM-NPBO a našeho datasetu. Výsledky ukazují důležitost opětovného trénování klasifikátorů na nových zranitelnostech při zachování dobrých schopností detekovat útoky na staré zranitelnosti.

Klíčová slova

IDS, adversariální klasifikace, síťová analýza na základě chování, klasifikační systémy pro odhalení průniku, NPBO, ASNM

Ústav

Ústav inteligentních systémů FIT VUT v Brně

Studijní program

Informační technologie, obor Bezpečnost informačních technologií

Soubory

Stav

obhájeno, hodnocení A

Obhajoba

14. července 2020

Oponent

Malinka Kamil, Mgr., Ph.D.

Průběh obhajoby

Student nejprve prezentoval výsledky, kterých dosáhl v rámci své práce. Komise se poté seznámila s hodnocením vedoucího a posudkem oponenta práce. Student následně odpověděl na otázky oponenta a na další otázky přítomných. Komise se na základě posudku oponenta, hodnocení vedoucího, přednesené prezentace a odpovědí studenta na položené otázky rozhodla práci hodnotit stupněm A.

Otázky u obhajoby

Na základě jakých parametrů jste vybral 6 použitých klasifikátorů?
Existují i jiné použitelné zdroje resp. databáze zranitelností, které byste mohl využít pro obohacení vašeho datasetu?
V datasetu se vyskytuje pouze 11 služeb, na které útočíte. To mi přijde málo. Z jakého důvodu je ten počet takto nízký. Proč jste vybral zrovna tyto služby? Kolik je to % z CVE dat?
Jaké byly časové náročnosti jednotlivých analýz z kapitol 7 a 8?
Na jakých datech jste detekce hodnotil? Jak jste generoval legitimní provoz? Jaký byl poměr mezi legitimním provozem a útoky?

Komise

Drahanský Martin, prof. Ing., Dipl.-Ing., Ph.D. (UITS FIT VUT), předseda
Grégr Matěj, Ing., Ph.D. (UIFS FIT VUT), člen
Holík Lukáš, doc. Mgr., Ph.D. (UITS FIT VUT), člen
Kořenek Jan, doc. Ing., Ph.D. (UPSY FIT VUT), člen
Malinka Kamil, Mgr., Ph.D. (UITS FIT VUT), člen
Polčák Libor, Ing., Ph.D. (UIFS FIT VUT), člen

Citace

SEDLO, Ondřej. Improvement of Adversarial Classification in Behavioral Analysis of Network Traffic Intended for Targeted Attack Detection. Brno, 2020. Diplomová práce. Vysoké učení technické v Brně, Fakulta informačních technologií. 2020-07-14. Vedoucí práce Homoliak Ivan. Dostupné z: https://www.fit.vut.cz/study/thesis/22643/

BibTeX

@mastersthesis{FITMT22643,
    author = "Ond\v{r}ej Sedlo",
    type = "Diplomov\'{a} pr\'{a}ce",
    title = "Improvement of Adversarial Classification in Behavioral Analysis of Network Traffic Intended for Targeted Attack Detection",
    school = "Vysok\'{e} u\v{c}en\'{i} technick\'{e} v Brn\v{e}, Fakulta informa\v{c}n\'{i}ch technologi\'{i}",
    year = 2020,
    location = "Brno, CZ",
    language = "english",
    url = "https://www.fit.vut.cz/study/thesis/22643/"
}