Deteção de acessos anómalos a bases de dados ao nível da rede

• Autor(a) principal: Jesus, João Pedro Batista de
• Data de Publicação: 2022
• Tipo de documento: Dissertação
• Idioma: por
• Título da fonte: Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos)
• Texto Completo: http://hdl.handle.net/10773/38424
• topic: Ameaças internas; Monitorização de rede; Monitorização de serviços; Deteção de anomalias; Classificação mono-classe; Aprendizagem automática

As ameaças internas são no presente, uma das principais preocupações das organizações. Essas preocupações têm origem nas pessoas que possuem políticas de acesso legítimo e autorizado a informações confidenciais dentro de uma organização. Estas políticas de acesso concedidas aos utilizadores internos, embora necessárias, para que realizem as suas tarefas profissionais, se mal-intencionados expõem a organização a uma ampla gama de ataques internos que podem causar enormes transtornos financeiros. Para ultrapassar estes problemas, os administradores são forçados a utilizar estratégias de monitorização para manter os seus serviços (por exemplo, Base de Dados) seguros, no entanto esses serviços, por vezes são operados por terceiros e deslocalizados para um datacenter externo, tendo estes que confiar nos dados capturados ao nível da rede. Por essa mesma razão esta dissertação propôs-se a detetar esses comportamentos anómalos e a utilização dessas credenciais para efetuar esses ataques, propondo mecanismos para a deteção de anomalias no acesso a serviços. Os mecanismos mencionados basearam-se na análise e extração de caraterísticas estatísticas e de frequência temporal que caraterizaram os períodos de silêncio/atividade na rede. Além disso, o objetivo foi apenas modelar a rede na sua normalidade. Outra questão dos atuais sistemas de deteção de anomalias em redes é que a maioria depende de técnicas de aprendizagem supervisionadas, formando assim um classificador para formas específicas de vetores de ataque, ou seja, baseado na na sua assinatura. Com isto em mente, foi proposta uma série de procedimentos de engenharia de caraterísticas para otimizar o desempenho de classificação dos modelos OCC. Depois da extração das propriedades que caraterizam estas métricas, é realizada uma exploração dos dados e um estudo das mesmas, sendo depois usadas para treinar modelos OCC. Os modelos são treinados com dados retirados de uma série de interações entre um computador e uma Base de Dados. Os resultados mostram que foi possível atingir taxas de precisão de deteção na ordem dos 90%. Para finalizar, este trabalho propõe ainda algumas ideias de trabalho futuro, nomeadamente alterações ao nível do pré-processamento, ideias de novos testes e a aplicação de uma nova camada de classificação para diminuir a percentagem de falsos positivos.