Detecção de intrusão sobre pacotes utilizando algoritmos de fluxos contínuos de dados

• Autor(a) principal: Olímpio Júnior, Gilberto
• Data de Publicação: 2021
• Tipo de documento: Dissertação
• Idioma: por
• Título da fonte: Repositório Institucional da UFU
• Texto Completo: https://repositorio.ufu.br/handle/123456789/33882; http://doi.org/10.14393/ufu.di.2021.634
• topic: CNPQ::CIENCIAS EXATAS E DA TERRA::CIENCIA DA COMPUTACAO::SISTEMAS DE COMPUTACAO; Sistemas de Detecção de Intrusão; Aprendizado de Máquina; Fluxos Contínuos de Dados; Pacotes de Rede; Intrusion Detection Systems; Machine Learning; Data Streams; Packets Header; Computação; Fluxo de dados (Computação); Aprendizado do computador; Redes de computadores - Sistemas de segurança

Os Sistemas de Detecção de Intrusão (IDS) auxiliam na proteção das redes de computadores, pois identificam e detectam tentativas de obter acesso não autorizado aos dados, inspecionando pacotes individualmente ou no contexto de fluxos. Considerando que o processo de detecção de intrusão é uma tarefa de classificação de um fluxo de pacotes gerados continuamente em uma distribuição não-estacionária, os modelos de decisão devem sofrer atualizações a fim de identificar mudanças no comportamento dos ataques e do tráfego normal da rede. A atualização dos modelos, em geral, requer instâncias rotuladas, o que exige grande esforço de especialistas. Este trabalho contribuiu com o desenvolvimento de um IDS para o mundo real, propondo: i) comparar o uso de pacotes individuais e fluxos de pacotes na tarefa de detecção de intrusão, por meio da análise do desempenho preditivo de classificadores de fluxos contínuo de dados construídos a partir desses dois tipos de dados; ii) analisar o impacto no desempenho dos classificadores quando há atraso na entrega dos rótulos das instâncias para atualização dos modelos; e iii) avaliar o impacto que as estratégias de aprendizado ativo causam nos classificadores quando somente as melhores instâncias são rotuladas e usadas na atualização dos modelos. Neste sentido, os experimentos foram realizados usando o conjunto de dados CICIDS2017, diferentes algoritmos de classificação de fluxos contínuos de dados e medidas de avaliação. Eles mostraram que inspecionar os pacotes individualmente tem um desempenho semelhante à inspeção de fluxos na detecção de intrusão. De modo que, a partir desse resultado, os pacotes individuais foram usados no estudo de técnicas de aprendizado ativo e atraso na entrega dos rótulos. O desempenho dos classificadores sofreu queda à medida que se aumentava o atraso na entrega dos rótulos verdadeiros. Por fim, as estratégias de aprendizado ativo permitiram manter o desempenho preditivo na classificação de tráfego normal e malicioso, usando um conjunto reduzido de instâncias rotuladas.