Detekce anomálií síťového provozu pomocí data miningové analýzy síťových toků

Abstract

Tato práce se zabývá vytvořením zásuvného modulu do systému detekce síťových utoků NfSen pro behaviorální analýzu síťových toků. Cílem modulu je detekovat anomální chování hostů, které mohou znamenat útok či poruchu v síti. Vytvořený modul využívá algoritmu shlukové analýzy DBSCAN v kombinaci s detekcí odlehlých bodů pomocí algoritmu LOF. Modul řadí detekované anomálie podle jejich významnosti, která odpovídá míře odlehlosti LOF. Modul byl otestován na reálných datech z provozu reálné sítě, kde se podařilo odhalit několik různých útoků.

This thesis deals with development of a plugin for an intrusion detection system NfSen that implements behavioral analysis of network flows. The purpose of the plugin is to detect anomalous behavior of hosts that may represent an attack or a failure in the network. The developed plugin employs a clustering algorithm DBSCAN in combination with detection of outliers via the LOF algorithm. The plugin orders detected anomalies by their significance that corresponds to the outlier factor LOF. The plugin was tested with data from a real network traffic where it detected several different anomalies.