CYBER - Bezpečnost informačních a komunikačních systémů AČR - on line monitorování, vizualizace a filtrace paketů. Rozvoj schopností Computer Incident Response Capability v prostředí Cyber DefenceDetekce anomálií na základě změny profilu chování

Profily chování představují souhrnné informace o komunikaci počítačů a dalších zařízení připojených k počítačové síti. Profily chování vznikají agregací NetFlow dat v pravidelných časových intervalech a mají tedy charakter časových řad. Aplikací vhodných statistických metod na takto vzniklé časové řady je možné detekovat anomálie a odchylky od očekávaného chování jednotlivých počítačů a dalších zařízení komunikujících na síti.

Anomálie provozu datové sítě
Obrázek č. 1: Anomálie provozu datové sítě. Nejprve náhlý pokles objemu komunikace cca v 16.00, poté extrémní nárůst objemu komunikace ve večerních hodinách. Vyznačeno hnědě na časové ose grafu.

Za anomálii v kontextu tohoto výzkumu považujeme každou odchylku aktuální hodnoty daného profilu chování pro danou IP adresu od hodnoty očekávané (vypočtené pomocí konkrétní metody), která je větší než stanovená povolená odchylka. Takto definované anomálie mohou mít řadu legitimních příčin (zálohování dat, změna konfigurace počítače apod.), ale rovněž mohou znamenat cílený útok nebo výskyt malware na daném zařízení, přičemž poslední jmenovaná situace je hlavním předmětem našeho zájmu.

Profily počtu odchozích spojení pěti vybraných stanic v síti
Obrázek č. 2: Profily počtu odchozích toků pěti vybraných stanic v síti. Granularita profilů je jedna hodina, celková délka zobrazeného období je jeden týden. Stanice jsou označeny písmeny 'a' až 'e'.

V rámci našeho výzkumu byly analyzovány časové řady s různou granularitou (jeden den, jedna hodina, pět minut). Byl vytvořen software, který s využitím nástroje odkaz do nového oknanfdump vytvoří zadaný profil chování a ve formě časové řady jej předá k následné analýze (ke stažení níže). Vlastní analýza probíhá v systému odkaz do nového oknaR, kde byla implementována metoda aritmetického průměrování a metoda Holt-Winters. V případě výskytu anomálie zaznamená tuto skutečnost formou události do souboru.

Dosažené výsledky v této fázi považujeme za experimentální a v dalším výzkumu se zaměříme na zpracování časových řad s granularitou jedné hodiny a hledání vhodného matematického modelu jejich modelování.

Nástroj pro detekci anomálií v profilech chování zařízení na síti

 
 
nahoru