سيستم تشخيص نفوذ شبكه با استفاده از طبقه بندی رفتار حمله
چكيده
سيستم‌هاي تشخيص نفوذ (IDS) در سيستم هاي امنيتي كامپيوتر به يك ضرورت تبديل شده‌اند زيرا حملات و دسترسي‌هاي غيرمجاز افزايش يافته است. تشخيص نفوذ، مولفه‌ي اصلي در سيستم‌هاي امنيتي كامپيوتر است كه مي‌توان آن را به عنوان سيستم تشخيص نفوذ مبتني بر ميزبان (HIDS) طبقه‌بندي كرد كه از يك سيستم يا ميزبان خاص محافظت مي‌كند و سيستم تشخيص نفوذ مبتني بر شبكه (NIDS) از شبكه‌اي از ميزبان‌ها و سيستم‌ها محافظت مي‌كند. اين مقاله، حملات پروب‌ها يا حملات شناسايي را بررسي مي‌كند كه سعي مي‌كنند هرگونه اطلاعات احتمالي مربوطه در شبكه را جمع آوري نمايند. حملات پروب شبكه دو نوع هستند: پاكسازي ميزبان و اسكن پورت. حملات پاكسازي ميزبان، هاست‌هايي را كه در شبكه وجود دارند تعيين مي كنند، در حالي كه حملات اسكن پورت، سرويس هاي موجود را كه در شبكه وجود دارند تعيين مي نمايند. اين مقاله، با جاسازي رفتار زماني حملات در يك ساختار شبكه عصبي TDNN، از يك سيستم هوشمند براي حداكثرسازي نرخ تشخيص حملات شبكه استفاده مي كند. اين سيستم پيشنهادي شامل پنج ماژول مي باشد: ماژول موتور دريافت بسته، پيش‌پردازنده، تشخيص الگو، طبقه بندي، و نظارت و هشدار. ما سيستم را در يك محيط واقعي تست كرديم كه در آن محيط، قابليت خوبي در تشخيص حملات از خود نشان داد. علاوه بر اين، اين سيستم با استفاده از مجموعه داده‌ي DARPA 1998 با نرخ تشخيص 100% تست شد. در حقيقت، سيستم ما مي تواند حملات را در يك زمان ثابت تشخيص دهد.
1 . مقدمه
نفوذ يا تهديد را مي توان به صورت هرگونه اقدام عمدي تعريف كرد كه با سوء استفاده از آسيب‌پذيري هاي موجود در سيستم، سعي در دسترسي غيرمجاز، دستكاري اطلاعات، يا بي‌ثبات كردن سيستم دارد. اين آسيب‌پذيري‌ها مي‌توانند از روش‌هاي اشتباه مثل سياست امنيتي ضعيف يا باگ‌هاي نرم افزاري مثل سرريزهاي بافر ناشي شده باشند[3]. بي‌ثباتي سيستم، عمدتا ناشي از حملات انكار سرويس(DOS) است كه تلاش مي‌كنند سرويس‌هاي خاصي مثل سرويس وب يا ايميل را بي‌ثبات كنند يا افشاي اطلاعات را مجاز نمايند. متجاوزان ممكن است كاربران سيستم با دسترسي هاي محدود باشند كه ميخواهند به دسترسي هاي بالاتر دست يابند يا ممكن است كاربران اينترنت باشند كه ميخواهند سيستم را تحت تاثير قرار دهند يا به اطلاعات حساس دست يابند[1]. سيستم هاي تشخيص نفوذ (IDSها) براي تشخيص حملات عليه ميزبان ها يا شبكه ها به كار مي روند. اين سيستم‌ها دو نوع IDS هستند: سيستم تشخيص نفوذ مبتني بر ميزبان (HIDS) و سيستم تشخيص نفوذ مبتني بر شبكه. HIDS، از يك سيستم يا ميزبان خاص محافظت مي كند، در حالي كه NIDS از شبكه‌اي از ميزبان ها و سيستم ها محافظت مي نمايد[4]. با وجود اين حقيقت كه محققين زيادي تلاش كردند تهديدها و حملات كامپيوتري را در دسته هاي مناسب طبقه بندي كنند، هنوز هيچ طبقه بندي استاندارد مصوبي از حملات و تهديدها وجود ندارد[9][10][11]. پركاربردترين طبقه بندي براي حملات در جوامع پژوهشي، طبقه‌بندي اي است كه توسط كندال اتخاذ شده است[21]. اين طبقه‌بندي، حملات كامپيوتري را در دسته هاي زير طبقه بندي مي كند:
- حملات DOS: حملات DOS سعي دارند سيستم يا سرويس خاصي را بي‌ثبات سازند.
- كاربر به ريشه : سعي دارد از سطح دسترسي نرمال كاربر، به سطح دسترسي ادمين يا ريشه دست يابد.
- راه دور به كاربر: سعي دارد براي موجوديت غيرمجاز، به سطح دسترسي حساب محلي دست يابد.
- پروب‌ها: در اين نوع حملات، مهاجم سعي دارد هرگونه اطلاعات احتمالي مربوطه در شبكه را جمع آوري نمايد. در اين دسته، دو نوع حمله ي مشهور وجود دارد: پاكسازي ميزبان و اسكن پورت. حملات پاكسازي ميزبان، ميزبان‌هاي موجود در شبكه را شناسايي مي كنند، در حال كه حملات اسكن پورت، سرويس‌هاي موجود را كه در شبكه وجود دارند شناسايي مي نمايند.
Abstract
Intrusion Detection Systems (IDS) have become a necessity in computer security systems because of the increase in unauthorized accesses and attacks. Intrusion Detection is a major component in computer security systems that can be classified as Host-based Intrusion Detection System (HIDS), which protects a certain host or system and Network-based Intrusion detection system (NIDS), which protects a network of hosts and systems. This paper addresses Probes attacks or reconnaissance attacks, which try to collect any possible relevant information in the network. Network probe attacks have two types: Host Sweep and Port Scan attacks. Host Sweep attacks determine the hosts that exist in the network, while port scan attacks determine the available services that exist in the network. This paper uses an intelligent system to maximize the recognition rate of network attacks by embedding the temporal behavior of the attacks into a TDNN neural network structure. The proposed system consists of five modules: packet capture engine, preprocessor, pattern recognition, classification, and monitoring and alert module. We have tested the system in a real environment where it has shown good capability in detecting attacks. In addition, the system has been tested using DARPA 1998 dataset with 100% recognition rate. In fact, our system can recognize attacks in a constant time.
I. INTRODUCTION
Intrusion or threat can be defined as any deliberate action that attempts unauthorized access, information manipulation, or rendering the system unstable by exploiting the existing vulnerabilities in the system. These vulnerabilities could result from wrong practices like weak security policy or software bugs like buffer overflows [3]. Instability of the system is mainly caused by the Denial of Service (DOS) attacks, which attempt to render certain service(s), such as, mail or web service, unstable or to allow information disclosure. Intruders might be system users with restricted privileges who want to gain higher privileges, or might be internet users who want to compromise the system or access sensitive information [1]. Intrusion Detection Systems (IDSs) are used to detect attacks against hosts or networks. There are two types of IDSs: Host-based Intrusion Detection System (HIDS) and Networkbased Intrusion Detection System. HIDS protects a certain host or system, while NIDS protects a network of hosts and systems [4]. Despite the fact that many researchers attempted to classify the computer threats and attacks into suitable categories, there is still no adopted standard threats and attacks classification [9] [10] [11]. The most widely used classification for attacks in the research communities is the one adopted by K. Kendall [21]. This classification categorizes the computer attacks into:
- DOS Attacks: DOS attacks try to render the system or certain service unstable.
- User to Root: it tries to gain the root or admin privilege from normal user privilege.
- Remote to User: it tries to gain local account privilege for unauthorized entity.
- Probes: In this type of attacks, the attacker tries to collect any possible relevant information in the network. In this class, two famous types of attacks exist: Host Sweep and Port Scan Attacks. Host Sweep attacks determine the hosts that exist in the network, while port scan attacks determine the available services that exist in the network.
چكيده
1 . مقدمه
2 . پروب‌هاي شبكه
A . حملات پاكسازي ميزبان
B . حملات اسكن پورت
3 . سيستم تشخيص نفوذ شبكه با استفاده از طبقه بندي رفتار حمله
A . پيش‌پردازنده‌ي پاكسازي ميزبان
B . پيش‌پردازشگر اسكن پورت
C . شبكه هاي عصبي تشخيص الگو
D . شبكه عصبي تشخيص الگوي پاكسازي ميزبان
E . شبكه عصبي طبقه بندي
4 . نتايج
5 . نتيجه گيري
Abstract
I. INTRODUCTION
II. NETWORK PROBES
A. Host Sweep Attacks
B. Port Scan Attacks
III. NETWORK INTRUSION DETECTION SYSTEM USING ATTACK BEHAVIOR CLASSIFICATION
A. Host Sweep Preprocessor
B. Port Scan Preprocessor
C. Pattern Recognition Neural Networks
D. Host Sweep Pattern Recognition Neural Network.
E. Classification Neural Network
IV. RESULTS
V. CONCLUSIONS
- ترجمه فارسی مقاله با فرمت ورد (word) با قابلیت ویرایش، بدون آرم سایت ای ترجمه
- ترجمه فارسی مقاله با فرمت pdf، بدون آرم سایت ای ترجمه