06/M010

Aplicación de técnicas de inteligencia artificial a la detección de anomalías en el tráfico de red.
Aplication of artificial inteligent techniques for network traffic anomaly detection.

Director: CATANIA, Carlos Adrián
Correo Electrónico: catania@itu.uncu.edu.ar

Co-Director: BROMBERG, Facundo

Integrantes: GARCIA GARINO, Carlos Gabriel; MONGE, David; PACINI, Elina.

Resumen Técnico: La seguridad de las redes de datos se ha transformado en un serio problema en los últimos años. En la actualidad un ingeniero en seguridad de redes debe estar alerta para detectar posibles ataques, informándose de las nuevas vulnerabilidades descubiertas o tipos de ataques perpetrados. Para dar soporte a esta tarea se cuenta con herramientas para el análisis y detección de intrusos (IDS). Una estrategia seguida por los IDS consiste en la detección por anomalías. La misma consiste modelar el tráfico normal de red y luego asumir que toda instancia de tráfico que no se adapte al modelo puede deberse a un comportamiento malicioso o posible ataque. Es importante destacar que cuando se aplica la estrategia de detección por anomalías es posible detectar nuevos tipos de ataques, lo que ha dado a origen a numerosas propuestas para construir modelos basados en tráfico normal durante los últimos años, sin embargo las mismas presentan el inconveniente de que en muchos casos clasifica como maliciosas a instancias de tráfico normal. Como una alternativa para implementar detección de anomalías, se busca explorar las posibilidades de aplicación de técnicas de inteligencia artificial (IA) para modelar el tráfico de red. Se pone especial énfasis en técnicas inspiradas en la biología evolutiva como algoritmos genéticos y técnicas de clasificación basadas en discriminantes lineales como Support Vector Machines (SVM). En el marco de proyectos anteriores financiados por FONCYT se han desarrollado algunas técnicas basadas en algoritmos genéticos para modelar el tráfico de red. En este sentido el algoritmo desarrollado permite de obtener un conjunto de reglas que describen el tráfico de red, luego cualquier instancia de tráfico que no sea reconocida por el conjunto de reglas, es considerada una anomalía. Se busca extender las capacidades del algoritmo genético desarrollado previamente con el objeto de aumentar la calidad y el número de reglas que describen el tráfico. Se analizarán diversas alternativas entre las que se destaca la aplicación de algoritmos genéticos descentralizados. Se realizará una implementación computacional, la cual será verificada utilizando tráfico de red. Posteriormente, se realizaran análisis estadísticos con el objetivo de validar los resultados obtenidos. Por otro lado, se busca analizar las posibilidades de aplicación de algoritmos SVM para la detección de anomalías. Se estudiarán diferentes alternativas que adaptan el algoritmo SVM, comúnmente utilizado en problemas de clasificación, al problema de detección de anomalías. Se estudiarán diferentes implementaciones computacionales y se conducirán experimentos con el objeto de evaluar los resultados obtenidos por cada una de las alternativas estudiadas. Finalmente se estudiarán las posibilidades de interacción entre las 2 técnicas de IA desarrolladas y su posible interacción con sistemas de detección de intrusos utilizados en la actualidad.

Summary: In the past years network security has become a serious problem. Network managers must be well prepared in order to prevent network attacks, i.e., be informed about new vulnerabilities. For several years, intrusion detection systems (IDS) provided an invaluable help to network managers, becoming an integral part of any network security package. The anomaly detection approach is a usual strategy followed by network intrussion systems. The idea behind this approach is to build a statistical model for describing normal traffic. Then, any deviation from this model can be considered an anomaly, and recognized as an attack. Notice that when this approach is used, it is theoretically possible to detect unknown attacks, although in some cases, this approach can lead to a high false positive rate. This capacity to detect unknown attacks has been the cause of the increasing interest in developing new techniques to build models based on normal traffic behavior in the past years. In this project, different alternatives based on artificial inteligence techniques are proposed to build valid models network traffic. The project is focused on clasification techniques inspired on evolutive biology such as genetic algorithms and techniques based on linear discriminat such a Support Vector Machines (SVM) In a previous project granted by FONCYT, a genetic algorithm for modeling traffic network was implemented. In this sense, the proposed algorithm is used in order to learn a set of rules characterizing network traffic. The purpose of this project is to extend previosly proposed genetic algorithm in order to improve the quality of the rules and the number of rules characterizing network traffic. Several genetic algorithm alternatives will be explored with enfasis on decentralized genetic algorithm approaches. A computational implementation of the alternative will be developed and it will tested against data set containing network traffic instances. Then a number of statitiscal tests will be performed in order to validate algorithms alternatives. On the other hand, classification algorithms based on linear discriminant such as Support Vector Machine algorithm will be study. It seems interesting to verify possibilities of these approaches on the intrusssion detection problem. Different alternatives for adapting SVM algorithms, traditionally used in clasification problems, to anomaly detection will be analyzed and implemented. Then a set of experiments will be conducted in order to evaluate the performance of discussed SVM alternatives on appropiate data sets. Finally, it seems important to conduct a study about the possible combination of the two IA techniques discussed and their interacction with intrussion detection systems used in producction.