Um sistema para detecção online de botnets com identificação de mudanças de conceito

Detalhes bibliográficos
Autor(a) principal: Schwengber, Bruno Henrique
Data de Publicação: 2021
Tipo de documento: Dissertação
Idioma: por
Título da fonte: Repositório Institucional da UFPR
Texto Completo: https://hdl.handle.net/1884/78367
Resumo: Orientador: Profa. Dra. Michele Nogueira Lima
id UFPR_11bfd9af72eaf9a07558cf5c867056ac
oai_identifier_str oai:acervodigital.ufpr.br:1884/78367
network_acronym_str UFPR
network_name_str Repositório Institucional da UFPR
repository_id_str 308
spelling Universidade Federal do Paraná. Setor de Ciências Exatas. Programa de Pós-Graduação em InformáticaLima, Michele NogueiraSchwengber, Bruno Henrique2024-01-08T19:05:31Z2024-01-08T19:05:31Z2021https://hdl.handle.net/1884/78367Orientador: Profa. Dra. Michele Nogueira LimaDissertação (mestrado) - Universidade Federal do Paraná, Setor de Ciências Exatas, Programa de Pós-Graduação em Informática. Defesa : Curitiba, 26/03/2021Inclui referências: p. 56-61Resumo: A Internet disponibiliza serviços de rede e seu crescimento vem sendo intensificado pela ascensão do uso de dispositivos da IoT. O aperfeiçoamento na infraestrutura de comunicação e a heterogeneidade dos dispositivos têm potencializado os problemas de segurança em redes. Um dos problemas consiste nas botnets (i.e., redes de dispositivos infectados), as quais possuem a capacidade de gerar ataques maciços por meio de dispositivos infectados (bots). Os ataques gerados por botnet são variados, como negação de serviços, phishing e spam. De forma geral, os ataques afetam os usuários, os serviços ou as infraestruturas de rede. Vários trabalhos na literatura tratam a detecção de botnets. Uma vertente desses trabalhos detecta botnets por meio do uso de aprendizado de máquina, onde classificadores são treinados com o comportamento considerado normal da rede e dessa forma conseguem identificar anomalias no comportamento do tráfego. O treinamento desses classificadores assume um estado pré-determinado da rede sem dispositivos infectados. Isto torna inviável o uso dessas abordagens dependendo do tamanho da rede e do comportamento geral dos dispositivos, como a entrada e a saída constante de dispositivos. Outra vertente utiliza o cálculo de entropia ou mesmo de coeficientes de correlação para diferenciar o tráfego de ataque e o tráfego normal. Este trabalho apresenta TRUSTED, um sistema para a detecção online não supervisionada de botnets, que identifica os dispositivos infectados de forma antecipada ou no momento do ataque. Através da detecção de mudança de conceitos e um algoritmo de clustering, o sistema provê um aprendizado não supervisionado e identifica dispositivos infectados que estão trafegando na rede. Isso implica em dizer que o sistema não necessita de conhecimento prévio das características do fluxo da rede, de assinaturas de ataque ou de treinamento prévio de modelos de classificação para identificação das botnets. A avaliação do sistema TRUSTED segue uma abordagem orientada a traços, utilizando as bases de dados Botnet 2014 e CTU-13. Ambas as bases contêm traços de rede com tráfego benigno e tráfego maligno rotulados. Dessa forma, a partir dessas bases são extraídos valores das características dos fluxos de redes para as avaliações offline e online. A partir do conjunto de valores extraídos é feita a construção de um bloco de dados, que contempla o conjunto de valores mais recentes obtidos na rede para análise. Este serve de entrada para a identificação de mudanças de conceito e a detecção de dispositivos infectados. Os resultados mostram a viabilidade do sistema por meio da avaliação empírica das variáveis do sistema e da comparação com as estratégias FIXA e ARF (supervisionada). Além disso, entre todos os cenários avaliados, os resultados de acurácia variam entre 75% e 98%. Comparando estes resultados com as estratégias FIXA e ARF, o sistema TRUSTED superou a estratégia FIXA em todos os resultados, contudo a estratégia ARF obteve melhores resultados na avaliação offline. Na avaliação online o sistema TRUSTED também superou a estratégia ARF na maioria dos cenários.Abstract: The Internet provides network services and its growth is intensified by the rise in the use of IoT devices. The improvement in the communication infrastructure and the heterogeneity of the devices have potencialized network security issues. One of the greatest issue lies in botnets, which can generate massive attacks using a network of infected devices. The attacks generated by botnets are diverse, such as the denial of service, phishing, and spam. In general, attacks affect users, services or network infrastructure. Several works in the literature deal with botnet detection. Some of them detect botnets through the use of machine learning, where classifiers are trained with normal behavior of the network and thus can identify anomalies in traffic behavior. The training of these classifiers lies in the main assumption that the state of the network is without infected devices. Hence, these approaches are not feasible depending on the size of the network and the general behavior of devices, such as constant input and output of devices. Other approaches use entropy calculation or even correlation coefficients to differentiate between attack and normal traffic. Thus, this work presents TRUSTED, a system for unsupervised online botnet detection, which identifies infected devices from early or during the time of the attack. Using concept drift and a clustering algorithm, the system provides unsupervised learning and identifies infected devices in the network. This implies that the system does not require prior knowledge of the network flow characteristics, attack signatures or prior training of classification models to identify the botnets. The evaluation of the TRUSTED system follows a trace-driven approach, using the Botnet 2014 and CTU-13 datasets. Both datasets contain network traces with labeled benign and malignant traffic. Thus, from these datasets, the values of network flow features are extracted for the offline and online evaluations. From the set of extracted values, the system constructs a data block, which comprises the most recent set of values obtained in the network for analysis. This block works as input for the concept drift identification and the detection of infected devices. Results show the feasibility of the system through the empirical evaluation of the system variables and the comparison with the FIXED and ARF (supervised) strategies. Also, the accuracy results vary between 75 % and 98 % among all the scenarios evaluated. Comparing these results with the FIXED and ARF strategies the TRUSTED system surpassed the FIXED strategy in all results. However, the ARF strategy has achieved better results in the offline evaluation. In online evaluation, the TRUSTED system has also surpassed the ARF strategy in most scenarios.1 recurso online : PDF.application/pdfTecnologia da informaçãoCiência da ComputaçãoRedes de computação - Medidas de segurançaSistemas de segurançaUm sistema para detecção online de botnets com identificação de mudanças de conceitoinfo:eu-repo/semantics/publishedVersioninfo:eu-repo/semantics/masterThesisporreponame:Repositório Institucional da UFPRinstname:Universidade Federal do Paraná (UFPR)instacron:UFPRinfo:eu-repo/semantics/openAccessORIGINALR - D - BRUNO HENRIQUE SCHWENGBER.pdfapplication/pdf18058155https://acervodigital.ufpr.br/bitstream/1884/78367/1/R%20-%20D%20-%20BRUNO%20HENRIQUE%20SCHWENGBER.pdf00f1f040ee8104566b030fc5d197f045MD51open access1884/783672024-01-08 16:05:31.295open accessoai:acervodigital.ufpr.br:1884/78367Repositório de PublicaçõesPUBhttp://acervodigital.ufpr.br/oai/requestopendoar:3082024-01-08T19:05:31Repositório Institucional da UFPR - Universidade Federal do Paraná (UFPR)false
dc.title.pt_BR.fl_str_mv Um sistema para detecção online de botnets com identificação de mudanças de conceito
title Um sistema para detecção online de botnets com identificação de mudanças de conceito
spellingShingle Um sistema para detecção online de botnets com identificação de mudanças de conceito
Schwengber, Bruno Henrique
Tecnologia da informação
Ciência da Computação
Redes de computação - Medidas de segurança
Sistemas de segurança
title_short Um sistema para detecção online de botnets com identificação de mudanças de conceito
title_full Um sistema para detecção online de botnets com identificação de mudanças de conceito
title_fullStr Um sistema para detecção online de botnets com identificação de mudanças de conceito
title_full_unstemmed Um sistema para detecção online de botnets com identificação de mudanças de conceito
title_sort Um sistema para detecção online de botnets com identificação de mudanças de conceito
author Schwengber, Bruno Henrique
author_facet Schwengber, Bruno Henrique
author_role author
dc.contributor.other.pt_BR.fl_str_mv Universidade Federal do Paraná. Setor de Ciências Exatas. Programa de Pós-Graduação em Informática
dc.contributor.advisor1.fl_str_mv Lima, Michele Nogueira
dc.contributor.author.fl_str_mv Schwengber, Bruno Henrique
contributor_str_mv Lima, Michele Nogueira
dc.subject.por.fl_str_mv Tecnologia da informação
Ciência da Computação
Redes de computação - Medidas de segurança
Sistemas de segurança
topic Tecnologia da informação
Ciência da Computação
Redes de computação - Medidas de segurança
Sistemas de segurança
description Orientador: Profa. Dra. Michele Nogueira Lima
publishDate 2021
dc.date.issued.fl_str_mv 2021
dc.date.accessioned.fl_str_mv 2024-01-08T19:05:31Z
dc.date.available.fl_str_mv 2024-01-08T19:05:31Z
dc.type.status.fl_str_mv info:eu-repo/semantics/publishedVersion
dc.type.driver.fl_str_mv info:eu-repo/semantics/masterThesis
format masterThesis
status_str publishedVersion
dc.identifier.uri.fl_str_mv https://hdl.handle.net/1884/78367
url https://hdl.handle.net/1884/78367
dc.language.iso.fl_str_mv por
language por
dc.rights.driver.fl_str_mv info:eu-repo/semantics/openAccess
eu_rights_str_mv openAccess
dc.format.none.fl_str_mv 1 recurso online : PDF.
application/pdf
dc.source.none.fl_str_mv reponame:Repositório Institucional da UFPR
instname:Universidade Federal do Paraná (UFPR)
instacron:UFPR
instname_str Universidade Federal do Paraná (UFPR)
instacron_str UFPR
institution UFPR
reponame_str Repositório Institucional da UFPR
collection Repositório Institucional da UFPR
bitstream.url.fl_str_mv https://acervodigital.ufpr.br/bitstream/1884/78367/1/R%20-%20D%20-%20BRUNO%20HENRIQUE%20SCHWENGBER.pdf
bitstream.checksum.fl_str_mv 00f1f040ee8104566b030fc5d197f045
bitstream.checksumAlgorithm.fl_str_mv MD5
repository.name.fl_str_mv Repositório Institucional da UFPR - Universidade Federal do Paraná (UFPR)
repository.mail.fl_str_mv
_version_ 1801860602509918208

Registros relacionados