Temporal Analysis of NetFlow Datasets for Network Intrusion Detection Systems
Dieser Beitrag schließt die Lücke fehlender zeitlicher Merkmale in bestehenden NetFlow-Datensätzen, indem er einen neuen öffentlichen Datensatz erstellt und eine umfassende zeitliche sowie zeit-frequenzbasierte Analyse durchführt, um zu demonstrieren, wie einzigartige Angriffsmuster die netzwerkbasierte Angriffserkennung auf maschinellem Lernen verbessern können.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich ein Verkehrsleitzentrum einer Stadt vor. Seit Jahren versuchen Sicherheitsbeamte, gefährliche Fahrer (Hacker) zu erkennen, indem sie eine Liste der vorbeifahrenden Autos durchsehen. Sie wussten das Kfz-Kennzeichen, den Zielort und den Kraftstoffverbrauch. Doch ihnen fehlten zwei entscheidende Puzzleteile: wie lange das Auto auf der Straße verweilte und wie schnell die Autos nacheinander eintrafen.
Dieser Artikel handelt davon, diese fehlenden Informationen zu ergänzen.
Das Problem: Das „Schnappschuss"-Verfahren versus der „Film"
Die Autoren erklären, dass aktuelle Sicherheitssysteme den Netzwerkverkehr oft wie eine Reihe statischer Schnappschüsse betrachten. Sie wissen, was passiert ist, aber ihnen entgeht der Rhythmus davon.
- Die Analogie: Stellen Sie sich vor, Sie versuchen, einen Dieb in einer Menschenmenge zu identifizieren. Wenn Sie nur ein Foto des Diebs haben, der regungslos steht, fällt es schwer, ihn von einer normalen Person zu unterscheiden. Wenn Sie jedoch ein Video haben, das zeigt, wie der Dieb rennt, anhält und dann in einem bestimmten Muster davon sprintet, wird es viel einfacher, ihn zu erkennen.
- Das Problem: Die Standarddatensätze (die „Trainingshandbücher" für Computersicherheitssysteme), die von Forschern verwendet werden, waren wie diese statischen Fotos. Ihnen fehlten die zeitlichen Details, um den „Film" des Angriffs zu sehen.
Die Lösung: Die „NF3"-Datensätze
Die Forscher nahmen vier bekannte, bestehende Datensätze, die zum Trainieren von Sicherheitssystemen verwendet wurden, und rüsteten sie auf. Sie nannten diese neue Version NF3.
- Was sie hinzufügten: Sie fügten „temporale Merkmale" hinzu. Einfach ausgedrückt: Sie fügten jedem Datenpaket eine Stoppuhr und einen Herzfrequenzmesser hinzu.
- Flussdauer: Wie lange dauerte die Verbindung? (Fuhr das Auto 5 Sekunden oder 5 Stunden?)
- Inter-Packet-Ankunftszeit (IAT): Wie viel Zeit verging zwischen einem Datenpaket und dem nächsten? (Kamen die Autos in einem stetigen Strom oder in einem chaotischen, rapiden Schuss an?)
Sie stellten diese neuen, aufgewerteten Datensätze kostenlos zur Verfügung, damit andere Forscher sie nutzen können.
Was sie herausfanden: Die „Fingerabdrücke" der Zeit
Sobald sie diese neuen „Filme" des Netzwerkverkehrs hatten, begannen sie, sie zu analysieren, um zu sehen, ob verschiedene Angriffsarten einzigartige zeitbasierte Muster aufweisen.
Die Länge der Verbindung:
- Normaler Verkehr: Meistens kurz und schnell, wie ein kurzer Erledigungsgang.
- Schlechter Verkehr: Einige Angriffe, wie „Backdoors" (geheime Einstiegspunkte), neigen dazu, lange offen zu bleiben, wie ein Auto, das stundenlang auf einer Einfahrt im Leerlauf steht. Andere, wie „DDoS" (Überwältigung eines Systems), sehen aus wie ein massiver, chaotischer Stau, bei dem Autos in riesigen, unregelmäßigen Schüben eintreffen.
Der Rhythmus (IAT):
- Die Forscher untersuchten die Zeitlücken zwischen den Datenpaketen. Sie stellten fest, dass verschiedene Angriffe unterschiedliche „Schläge" haben.
- Analogie: Ein normales Gespräch hat einen natürlichen Rhythmus. Ein Roboter, der versucht, ein System zu hacken, könnte eine Nachricht mit einem roboterhaften, perfekt getakteten Rhythmus oder einem hektischen, unregelmäßigen Rhythmus tippen. Der Artikel fand heraus, dass diese Zeitmuster oft einzigartig für die Angriffsart sind und wie ein zeitbasierter Fingerabdruck wirken.
Der „Klang" des Angriffs (Zeit-Frequenz-Analyse):
- Die Autoren entlehnten einen Trick aus der Musik- und Funktechnik, die Zeit-Frequenz-Analyse.
- Analogie: Wenn Sie eine Schallwelle betrachten, sehen Sie die Lautstärke über die Zeit. Wenn Sie jedoch ein Spektrogramm verwenden (eine visuelle Karte des Klangs), können Sie die Tonhöhe und Frequenz sehen, die sich über die Zeit verändern.
- Sie verwandelten den Netzwerkverkehr in diese visuellen „Klangkarten". Sie entdeckten, dass verschiedene Angriffe (wie „Würmer" versus „Exploits") auf diesen Karten unterschiedliche visuelle Muster erzeugen. Es ist so, als würde ein Trommelrhythmus auf einem Klangvisualisierer anders aussehen als eine Violinmelodie. Dies legt nahe, dass Computer potenziell den Rhythmus des Netzwerks „hören" könnten, um Eindringlinge leichter zu erkennen.
Das Fazit
Der Artikel behauptet nicht, bereits ein neues, perfektes Sicherheitssystem gebaut zu haben. Stattdessen behauptet er, eine bessere Bibliothek von Trainingsdaten geschaffen zu haben.
- Früher: Forscher versuchten, Computern beizubringen, Diebe nur anhand von Fotos zu erkennen.
- Jetzt: Forscher haben eine Bibliothek von Videos, die die Geschwindigkeit, den Rhythmus und die Dauer der Diebe zeigen.
Indem sie diese angereicherten Datensätze bereitstellen, hoffen die Autoren, der nächsten Generation von Sicherheitssystemen zu helfen, die Zeitlichkeit von Angriffen zu verstehen, was es Hackern viel schwerer macht, sich im Rauschen des normalen Netzwerkverkehrs zu verstecken.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.