06/M010
Aplicación de técnicas de inteligencia artificial a la detección de anomalías en el tráfico de red.
Aplication of artificial inteligent techniques for network traffic anomaly detection.
Director: CATANIA, Carlos Adrián
Correo Electrónico: catania@itu.uncu.edu.ar
Co-Director: BROMBERG, Facundo
Integrantes: GARCIA GARINO, Carlos Gabriel; MONGE, David; PACINI, Elina.
Resumen Técnico: La seguridad de las redes de datos se ha transformado en un serio problema en los últimos años. En la actualidad un ingeniero en seguridad de redes debe estar alerta para detectar posibles ataques, informándose de las nuevas vulnerabilidades descubiertas o tipos de ataques perpetrados. Para dar soporte a esta tarea se cuenta con herramientas para el análisis y detección de intrusos (IDS). Una estrategia seguida por los IDS consiste en la detección por anomalías. La misma consiste modelar el tráfico normal de red y luego asumir que toda instancia de tráfico que no se adapte al modelo puede deberse a un comportamiento malicioso o posible ataque. Es importante destacar que cuando se aplica la estrategia de detección por anomalías es posible detectar nuevos tipos de ataques, lo que ha dado a origen a numerosas propuestas para construir modelos basados en tráfico normal durante los últimos años, sin embargo las mismas presentan el inconveniente de que en muchos casos clasifica como maliciosas a instancias de tráfico normal. Como una alternativa para implementar detección de anomalías, se busca explorar las posibilidades de aplicación de técnicas de inteligencia artificial (IA) para modelar el tráfico de red. Se pone especial énfasis en técnicas inspiradas en la biología evolutiva como algoritmos genéticos y técnicas de clasificación basadas en discriminantes lineales como Support Vector Machines (SVM). En el marco de proyectos anteriores financiados por FONCYT se han desarrollado algunas técnicas basadas en algoritmos genéticos para modelar el tráfico de red. En este sentido el algoritmo desarrollado permite de obtener un conjunto de reglas que describen el tráfico de red, luego cualquier instancia de tráfico que no sea reconocida por el conjunto de reglas, es considerada una anomalía. Se busca extender las capacidades del algoritmo genético desarrollado previamente con el objeto de aumentar la calidad y el número de reglas que describen el tráfico. Se analizarán diversas alternativas entre las que se destaca la aplicación de algoritmos genéticos descentralizados. Se realizará una implementación computacional, la cual será verificada utilizando tráfico de red. Posteriormente, se realizaran análisis estadísticos con el objetivo de validar los resultados obtenidos. Por otro lado, se busca analizar las posibilidades de aplicación de algoritmos SVM para la detección de anomalías. Se estudiarán diferentes alternativas que adaptan el algoritmo SVM, comúnmente utilizado en problemas de clasificación, al problema de detección de anomalías. Se estudiarán diferentes implementaciones computacionales y se conducirán experimentos con el objeto de evaluar los resultados obtenidos por cada una de las alternativas estudiadas. Finalmente se estudiarán las posibilidades de interacción entre las 2 técnicas de IA desarrolladas y su posible interacción con sistemas de detección de intrusos utilizados en la actualidad.