UN SISTEMA DI SUPPORTO ALLA DETERMINAZIONE DI ANOMALIE NEL TRAFFICO DI RETE Tesi di Laurea di: Luca VESCOVI Correlatori: Ing. Aldo Franco DRAGONI Ing.

Presentazione sul tema: "UN SISTEMA DI SUPPORTO ALLA DETERMINAZIONE DI ANOMALIE NEL TRAFFICO DI RETE Tesi di Laurea di: Luca VESCOVI Correlatori: Ing. Aldo Franco DRAGONI Ing."— Transcript della presentazione:

1 UN SISTEMA DI SUPPORTO ALLA DETERMINAZIONE DI ANOMALIE NEL TRAFFICO DI RETE Tesi di Laurea di: Luca VESCOVI Correlatori: Ing. Aldo Franco DRAGONI Ing. Paola BALDASSARRI Relatore: Prof. Paolo PULITI

2 Intrusion Detection System Individua le azioni finalizzate alla compromissione di un sistema informatico Analisi di un solo pacchetto di rete alla volta Tentativi di introdurre utilizzo delle Reti Neurali direttamente su dati grezzi con scarso successo

3 Approccio Innovativo Integrazione di due sistemi: Sistema Statistico Sistema Neurale INGRESS0 USCITA SISTEMA STATISTICO SISTEMA NEURALE Elabora un flusso di pacchetti Uscita adatta al Sistema Neurale

4 Tassonomia degli IDS Misuse Detection Catalogo di attacchi noti (firme) Problema dellaggiornamento delle firme Anomaly Detection Non richiede conoscenza a priori

5 Sistema Proposto Un approccio innovativo per lo sviluppo di un IDS Anomaly Detection DARPA IDS Evaluation dataset del Lincoln Laboratory del M.I.T. INGRESS0 USCITA SISTEMA STATISTICO SISTEMA NEURALE

6 Sistema Statistico Cattura una possibile correlazione temporale e statistica Ingressi: Indirizzi IP Porte di comunicazione

7 Parametri del Sistema Statistico Studio per lottimizzazione dei parametri in base al dataset utilizzato: Finestre temporali di 60 secondi Finestre scorrevoli di 5 istanti consecutivi Possibile modifica di tali valori in futuro

8 Sistema Statistico Parametri elaborati e graficati per ogni finestra temporale: Indirizzi IP Coppie IP:Porta Porte di comunicazione Il momento primo caratterizza landamento statistico delle curve ottenute

9 Sistema Statistico Finestra scorrevole di 5 istanti 15 26 37 …. e così via Istanti 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, ecc.

10 Uscita del Sistema Statistico IP:Porta IP Porta NPkt IP:Porta IP

11 Sistema Neurale Implementazione con due reti neurali: Self-Organizing Maps (SOM) Growing Neural Gas (GNG) Caratterizzate da un apprendimento non supervisionato

12 Sistema Neurale Altri Grafici: Porta IP NPkt IP:Porta

13 DARPA IDS Evaluation dataset DARPA IDS Evaluation dataset Utilizzo di una vera rete di computer 5 settimane di traffico di rete: 2 con traffico normale di background 3 con traffico di background ed attacchi

14 Risultati Sperimentali del Sistema Statistico Rilevazione del 100% delle aggressioni Denial of Service (DOS) 67% delle istanze di attacco Probe

15 Risultati Sperimentali del Sistema Statistico

16 Risultati Sperimentali del Sistema Neurale Addestramento per 10 epoche con due settimane contenenti attacchi Classificazione del traffico normale: SOM: 92% in classe 1 GNG: 99% in classe 3

17 Risultati Sperimentali del Sistema Neurale Istanze di attacco classificate in classi separate rispetto al traffico normale Implementazione mediante SOM: Particolari classi riservate per un solo tipo di attacco

18 Conclusioni Abbiamo dimostrato la validità di un approccio innovativo basato sullintegrazione di due sistemi: statistico e neurale Sistema Statistico particolarmente sensibile agli attacchi DoS Capacità del Sistema Neurale di distinguere il traffico normale da un attacco

19 Sviluppi Futuri Studio della criticità dei parametri di addestramento della rete GNG Studio approfondito sulle variazioni dei parametri dellalgoritmo statistico