No abstract

No abstract

The number and scale of network computer attacks (intrusions) are constantly growing, which makes the problem of their prompt detection highly relevant. For this, network-level intrusion detection systems are used, based on two approachesabuse detection and anomaly detection, and the second approach is more promising in the face of the constant appearance of new and modified types of intrusions. The main objects of application of anomaly detection techniques are mass attacks (DoS-and DDoS attacks, scanning, spreading of worm viruses, etc.), which are difficult to detect by other (for example, signature-based) methods, since they are often based on regular network interactions.The entropy analysis method for detecting network traffic anomalies, compared to many other methods, is characterized by sufficient simplicity of implementation and speed of operation. The application of the method is based on the general assumption that abnormal traffic is more ordered or structured than normal traffic in some parameters and more chaotic in others, which manifests itself as a decrease or increase in the entropy of these parameters.This paper is devoted to determining the nature of the impact of attacks on the entropy of such traffic parameters as the source and destination IP addresses, as well as the destination port, considering several types of DoS-and DDoS attacks as objects. The author describes an approach to determining entropy (using Shannon entropy). The paper presents the results of the author's model, which reveal the ambiguity of the impact of attacks on entropy characteristics. The results show a clear dependence of such inpact (decrease or increase) depends on factors such as the source, target, attack power, and distribution of normal traffic.Conclusions are made about the possibility of effective detection of anomalies corresponding to DoS and DDoS attacks by analyzing the entropy of network traffic parameters, but only if this analysis is carried out taking into account the distribution of normal traffic and the volumetric characteristics of normal and total traffic.

В данной статье рассматривается применение машинного обучения для обнаружения аномалий в поведении пользователя.С каждым годом количество известных атак стремительно растет. Для противостояния данной угрозе необходимо использовать эффективные средства защиты, такие как системы обнаружения вторжений. Этот вид средств защиты обычно использует сигнатурный анализ и требует регулярного обновления баз сигнатур вторжений, так как не способен обнаруживать атаки, сигнатуры которых отсутствуют в этих базах.Более привлекательны методы, основанные на обнаружении аномалий, поскольку с их помощью можно выявлять неизвестные ранее атаки без необходимости предварительного создания сигнатур вторжений для каждой новой атаки. Одно из наиболее популярных направлений в обнаружении вторжений на уровне узла -анализ поведения пользователя.В данной статье описывается метод обнаружения аномалий поведения пользователей, основанный на применении искусственных нейронных сетей. Метод использует информацию о командах пользователя, извлекаемую из системных log-файлов операционной системы и ПО. Данная информация о командах конвертируется во временной ряд, который потом используется для прогнозирования следующей команды пользователя. Количество ошибок прогнозирования команд пользователя определяет наличие аномалии в его поведении.Экспериментальные результаты показали, что данный метод хорошо подходит для выявления аномалий в поведении пользователя и обладает низкой вероятностью ложных срабатываний.Ключевые слова: обнаружение вторжений, компьютерная атака, анализ событий, поведенческий анализ, обнаружение аномалий, нейронная сеть, машинное обучение, ПК «Ребус-СОВ».

No abstract