Modelovani Různých Obranných Akci v Hrách pro Adverzativní Detekce

Abstract

Cílem této práce je navrhnout nový herně teoretický model pro adverziální detekce zaměřený primárně na modelování zvyšování latence jako akce obránce. Zároveň definujeme a hodnotíme postupy určené k vyřešení námi navrženého modelu s pomocí algoritmu double oracle a neuronových sítí použitých k modelování akcí obránce. Největší hodnotu naší práce spatříme ve faktu, že mimo detekce anomálií navrhujeme řešení v reálném čase v podobě zvýšené latence, čímž zároveň vyplňujeme prostor způsobený nedostatkem vědeckých prací na podobné téma. Mimo jiné námi představený model je plně generický a závislý pouze na datech normálního provozu. Na závěr ukážeme aplikaci modelu na reálný problém exfiltrací dat pomocí DNS.

The aim of this thesis is to propose a game theoretic model for adversarial anomaly detection in cybersecurity environment using increasing latency as primary defender's action which is in most cases tolerable by benign users but lethal for malicious hackers. We also propose and evaluate solving techniques using double oracle algorithm in conjunction with feedforward neural networks modeling defender's actions and show a real application of the model to the DNS data exfiltration problem. The essential contribution originates in providing besides the detection also follow-up instructions in terms of increased latency and thus filling up the gap created by lack of research papers about this topic. We managed to succeed in the proposal of a sufficiently generic model based only on the data set containing samples of benign users.