Original title: Bezpečnostní analýza síťového provozu pomocí behaviorálních signatur
Translated title: Security analysis of network traffic using behavioral signatures
Authors: Barabas, Maroš ; Hujňák,, Petr (referee) ; Zelinka,, Ivan (referee) ; Hanáček, Petr (advisor)
Document type: Doctoral theses
Year: 2016
Language: cze
Publisher: Vysoké učení technické v Brně. Fakulta informačních technologií
Abstract: [cze] [eng]
Tato práce se zaměřuje na popis aktuálního stavu bádání v detekčních metodách síťových útoků a následně na vylepšení schopnosti detekce specifických útoků vytvořením formálního popisu síťových metrik, které aproximují průběh síťového spojení a vytváří signaturu založenou na behaviorální charakteristice analyzovaného spojení. Cílem práce není prevence vůči aktuálně probíhajícím útokům ani reakce na tyto útoky, důraz se klade na analýzu spojení, získání co největšího množství informací a vytvoření základu detekčního systému, který dokáže minimalizovat velikost dat sbíraných ze sítě při ponechání nejdůležitějších informací pro následující analýzu. Hlavním cílem práce je vytvoření konceptu detekčního systému, který pomocí definovaných metrik redukuje síťový tok na signatury spojení s důrazem na behaviorální aspekty komunikace. Koncept zvyšuje autonomnost detekčního systému pomocí vytvoření expertní znalosti z honeypot systému s podmínkou nezávislosti na technologických aspektech analyzovaných dat (např. šifrování, použité protokoly, technologie nebo prostředí). Použití konceptu expertní znalosti honeypot systému v roli učitele klasifikačních algoritmů vytváří autonomnost systému při detekci neznámých útoků. Dále nabízí možnost samostatného učení (bez zásahu člověka) na základě poznatků získaných z útoků na tyto systémy. V práci je představen postup vytvoření laboratorního prostředí a experimenty s definovanou signaturou spojení nad získanými daty i nad převzatou testovací databází. V závěru jsou porovnány dosažené výsledky s aktuálním přehledem síťových detekčních systémů a je vyzdvižen přínos navržených metod aproximujících průběh analyzovaného spojení. This thesis focuses on description of the current state of research in the detection of network attacks and subsequently on the improvement of detection capabilities of specific attacks by establishing a formal definition of network metrics. These metrics approximate the progress of network connection and create a signature, based on behavioral characteristics of the analyzed connection. The aim of this work is not the prevention of ongoing attacks, or the response to these attacks. The emphasis is on the analysis of connections to maximize information obtained and definition of the basis of detection system that can minimize the size of data collected from the network, leaving the most important information for subsequent analysis. The main goal of this work is to create the concept of the detection system by using defined metrics for reduction of the network traffic to signatures with an emphasis on the behavioral aspects of the communication. Another goal is to increase the autonomy of the detection system by developing an expert knowledge of honeypot system, with the condition of independence to the technological aspects of analyzed data (e.g. encryption, protocols used, technology and environment). Defining the concept of honeypot system's expert knowledge in the role of the teacher of classification algorithms creates autonomy of the~system for the detection of unknown attacks. This concept also provides the possibility of independent learning (with no human intervention) based on the knowledge collected from attacks on these systems. The thesis describes the process of creating laboratory environment and experiments with the defined network connection signature using collected data and downloaded test database. The results are compared with the state of the art of the network detection systems and the benefits of the proposed approximation methods are highlighted.
Keywords: aproximation; behavioral signature; buffer overflow; detection; honeypot; IDS; metrics; network analysis; network attacks; network traffic classification; security; aproximace; behaviorální signatura; bezpečnost; detekce; honeypot; IDS; klasifikace síťového provozu; metriky; přetečení zásobníku; síťová analýza; síťové útoky

Institution: Brno University of Technology (web)
Document availability information: Fulltext is available in the Brno University of Technology Digital Library.
Original record: http://hdl.handle.net/11012/187292

Permalink: http://www.nusl.cz/ntk/nusl-412570


The record appears in these collections:
Universities and colleges > Public universities > Brno University of Technology
Academic theses (ETDs) > Doctoral theses