Detekce incidentů nad SIEM událostmi

Abstract

Tato práce je zaměřená na návrh pipeline (s několika klasifikátory), která bude schopná zpracovat řadu SIEM logů a klasifikovat pochybné chování. Zároveň řešíme problém učení z nevyváženého datasetu, protože poskytlá data obsahují málo incidentů v porovnání s celkovou velikostí datasetu. Pipeline bude brát za vstup sekvenci SIEM událostí a vracet typ incidentu, pokud se nějaký objeví. Nakonec vyhodnotíme úspěšnost navrhnutých klasifikátorů.

In this thesis, we focus on designing a pipeline with a set of classifiers that will be able to classify a sequence of SIEM logs to flag incidental behavior. Additionally, we tackle a problem of imbalanced learning as the used dataset does not contain many incidents compared to the total size. The pipeline's input will be a sequence of SIEM events, and the result will be an alert type if any. Lastly, it contains the performance of presented designs along with evaluation and an optimal method how to classify input sequences.