Hierarchické modely síťového provozu

Abstract

Současné přístupy k detekci nežádouciho software sledováním sítového provozu klientů využívají ručně navržených příznaků jako části modelu. Tento přístup má několik nevýhod. Tato práce navrhuje plně automatický klasifikátor rozpoznávající aktivity malware na úrovni sítových spojení. K tomu byl využit přístup pomocí multi-instančniho učení. Součástí této práce je teoretické zavedení multi-instančniho učení pomocí dvou rozdílných formalismů a shrnutí základních myšlenek dosavadních prací v oboru multi-instančniho učení. Dále je popsána hierarchická struktura adresy URL jako vstupniho objektu klasifikátoru. Je navržen model reflektující tuto inherentní strukturu a vysvětleno, jak využívá multi-instanční učení, v čem se liší a jak byl implementován pomocí umělých neuronových sítí. Jsou zde popsány metody sloužící k vyhodnocení kvality klasifikátoru a k porovnání s předchozím dílem. Navržený klasifikátor je porovnán s nejlepším předchozím modelem a je srovnán vliv jednotlivých parametrů modelu na jeho kvalitu.

The current approach to the detection of unwanted software by monitoring client traffic uses handwritten features as part of the model. This approach has several disadvantages. This thesis proposes a fully automated classifier which recognises malware activity at network connection level. The multi- instance learning approach was used in order to achieve this. As a part of this thesis the multi-instance learning was theoretically defined using two diflerent formalisms and current work in this field was summarised. Subsequently, there was described the hierarchical structure of an URL address which was used as an input for the classifier. A model reflecting this inherent hierarchical structure was proposed and an explanation of how multi-instance learning was utilised and modified was presented together with the description of the implementation of the model using neural networks. Methods of classifier quality assessment were outlined. The classifier presented here was compared with prior art and the influence of model parameters on its quality was assessed.