مقاله انگلیسی داده های عظیم برای تشخیص نفوذ در شبکه های کامپیوتری (2018 الزویر)

تشخیص نفوذ آنومالی در محیط های داده بزرگ، نیازمند مدل های سبک وزن است که قادر به دستیابی به عملکرد واقعی در طول تشخیص هستند. تهیه اطلاعات ممیزی داده ها، یک راه حل برای بهبود کارایی پردازش داده ها در تشخیص نفوذ می باشد. انتزاع داده به انتزاع یا استخراج اطلاعات مربوطه از مجموعه داده های عظیم اشاره دارد. در این کار، سه استراتژی انتزاع داده ها، یعنی استخراج نمونه، انتخاب صفتی و انتزاع صفتی پیشنهاد می کنیم. ابتدا یک روش موثر به نام استخراج نمونه برای استخراج نمونه های نمایشی از داده های عظیم اولیه قبل از ساخت مدل های تشخیص پیشنهاد می کنیم. دو الگوریتم خوشه بندی، انتشار ضریب نفوذ (AP) و k-means سنتی برای پیدا کردن مثال از داده های حسابرسی استفاده می شود. K-نزدیکترین همسایه (k-NN)، تجزیه و تحلیل کامپوننت اصلی (PCA) و یک ماشین پشتیبانی از یک کلاس (SVM) برای تشخیص استفاده می شود. سپس دو استراتژی دیگر را انتخاب می کنیم، ویژگی انتخاب و ویژگی استخراج، به داده های انتزاعی حسابرسی برای تشخیص نفوذ ناقص. دو جریان http جمع آوری شده از یک محاسبات واقعی محاسبات و همچنین مجموعه داده های معیار KDD’99 برای تایید این سه استراتژی abstraction داده ها استفاده می شود. نتایج تجربی جامع نشان می دهد که در حالی که تمام این سه راهبرد بهبود بهره وری تشخیص، استخراج نمونه نمونه مبتنی بر AP بهترین عملکردهای انتزاع داده را به دست می آورد.

1. مقدمه

اهمیت امنیت شبکه رایانه با درگیر شدن فراگیر کامپیوترها در زندگی روزمره مردم و در فرایندهای کسب و کار در بیشتر سازمانها در حال افزایش است. به عنوان یک تکنیک مهم در چارچوب امنیت امنیت شبکه، تشخیص نفوذ در سال های اخیر تبدیل به یک موضوع به طور گسترده مورد مطالعه در شبکه های کامپیوتری شده است. به طور کلی، تکنیک تشخیص نفوذ می تواند به عنوان تشخیص مبتنی بر امضایی و تشخیص آنومالی طبقه بندی شود. تشخیص مبتنی بر امضا (به عنوان مثال، Snort [31]) به یک پایگاه داده از امضا از تهدیدات مخرب شناخته شده متکی است. از سوی دیگر، تشخیص آنومالی، یک پروفایل از فعالیت های عادی یک موضوع را تعیین می کند و تلاش می کند تا انحراف غیر قابل قبول را به عنوان یک حمله احتمالی شناسایی کند. به طور معمول، تکنیک های یادگیری ماشین برای ساخت پروفایل های عادی یک موضوع استفاده می شود. هر گونه رفتار قابل مشاهده یک سیستم، مانند ترافیک شبکه [13،19]، سیستم عامل میزبان کامپیوتر [11،36] یا یک برنامه تلفن همراه [2،39]، می تواند به عنوان اطلاعات موضوع مورد استفاده قرار گیرد. تشخیص آنومالی پتانسیل برای شناسایی حملات پیش بینی شده دارد. همانطور که حملات جدید به نظر می رسد بسیار اغلب و روش های تشخیص مبتنی بر امضاها ممکن است توسط فراوانی حملات پلی مورفها غوطه ور شوند، استفاده از سنسورهای تشخیص آنومالی برای کشف حملات صفر روز به جای یک گزینه ضروری است [8]. ما وارد دوران “داده های بزرگ” می شویم [23]. حجم فزاینده اطلاعات تولید شده توسط شرکت ها، افزایش رسانه های اجتماعی و اینترنت باعث افزایش رشد داده ها می شود. بنابراین، تکنیک های تشخیص نفوذ آنومالی بهوسیله تقاضای پردازش داده های عظیم در ابعاد بالاتر در سرعت های بالا به چالش کشیده می شود. یک سیستم تشخیص نفوذ (IDS) عملی و کارآمد که قادر به شناسایی حملات احتمالی است، به طوری که قطعنامه ها را می توان در اسرع وقت انجام داد.

توجه؛ (این ترجمه توسط نرم افزار انجام شده و ویرایش نشده است و احتمال وجود اشتباه در آن وجود دارد. در صورت ثبت سفارش، ترجمه توسط مترجمین مجرب انجام خواهد شد. برای مشاهده نمونه ترجمه های تخصصی و اخیر مترجمین جهت اطمینان از کیفیت ترجمه، اینجا کلیک نمایید.)

Abstract

Anomaly intrusion detection in big data environments calls for lightweight models that are able to achieve real-time performance during detection. Abstracting audit data provides a solution to improve the efficiency of data processing in intrusion detection. Data abstraction refers to abstract or extract the most relevant information from the massive dataset. In this work, we propose three strategies of data abstraction, namely, exemplar extraction, attribute selection and attribute abstraction. We first propose an effective method called exemplar extraction to extract representative subsets from the original massive data prior to building the detection models. Two clustering algorithms, Affinity Propagation (AP) and traditional k-means, are employed to find the exemplars from the audit data. K-Nearest Neighbor (k-NN), Principal Component Analysis (PCA) and one-class Support Vector Machine (SVM) are used for the detection. We then employ another two strategies, attribute selection and attribute extraction, to abstract audit data for anomaly intrusion detection. Two http streams collected from a real computing environment as well as the KDD’۹۹ benchmark data set are used to validate these three strategies of data abstraction. The comprehensive experimental results show that while all the three strategies improve the detection efficiency, the AP-based exemplar extraction achieves the best performance of data abstraction.

1.Introduction

The importance of computer network security is growing with the pervasive involvement of computers in people’s daily lives and in business processes within most organizations. As an important technique in the defense-indepth network security framework, intrusion detection has become a widely studied topic in computer networks in recent years. In general, the techniques for intrusion detection can be categorized as signature-based detection and anomaly detection. Signature-based detection (e.g., Snort [31]) relies on a database of signatures from known malicious threats. Anomaly detection, on the other hand, defines a profile of a subject’s normal activities and attempts to identify any unacceptable deviation as a potential attack. Typically, machine learning techniques are used to build normal profiles of a subject. Any observable behavior of a system, such as a network’s traffic [13,19], a computer host’s operating system [11,36] or a mobile application [2,39], can be used as the subject information. Anomaly detection has a potential to detect unforeseen attacks. As new attacks appear very frequently and signature-based detection methods may be overwhelmed by an abundance of polymorphic attacks, using anomaly detection sensors to discover zero-day attacks has become a necessity rather than an option [8]. We are entering the era of “big data” [۲۳]. The increasing volume of information generated by enterprises, the rise of social media and the Internet are fueling an exponential growth of data. Anomaly intrusion detection techniques are therefore challenged by the demand to process more massive data in higher dimensions at high speeds. A practical and efficient Intrusion Detection System (IDS) capable of detecting potential attacks is required so that resolutions can be implemented as quickly as possible.