Detekcja anomalii w ruchu sieciowym z wykorzystaniem miar entropijnych

mgr inż. Przemysław Bereziński

Promotor: prof. dr hab. Marcin Szpyrka, ppłk dr inż. Bartosz Jasiul (promotor pomocniczy)
Dyscyplina: Informatyka


Rozprawa rozprawa doktorska dotyczy detekcji anomalii w obszarze wykrywania włamań sieciowych. Tematyka ta jest bardzo ważna, gdyż liczba przeprowadzanych ataków cybernetycznych jest alarmująco wysoka, a stosowane rozwiązania ochrony są nieskuteczne w detekcji aktualnego złośliwego oprogramowania. Detekcja anomalii sieciowych to temat szeroki i mocno eksplorowany. Istnieją metody dedykowane do określonych typów anomalii, w tym metody bazujące na miarach entropijnych, które ostatnio cieszą się duża popularnością. Do tej pory nie zastosowano ich do detekcji złośliwego oprogramowania typu botnet.

Głównym celem rozprawy jest dowiedzenie, że wykorzystanie miar entropijnych pozwala na detekcję aktualnego złośliwego oprogramowania typu botnet. W celu potwierdzenia postawionej tezy w rozprawie przedstawiono oryginalny wkład w obecny stan wiedzy. Porównano kilka miar entropijnych pod kątem ich zastosowania w detekcji anomalii sieciowych. Zaproponowano, zaimplementowano i zweryfikowano autorską metodę bazującą na parametryzowanych entropiach. Weryfikację wykonano na podstawie reprezentatywnego zbioru danych. Dodatkowo, dokonano analiz pod kątem właściwych wartości parametrów, stosownych cech ruchu sieciowego i odpowiednich klasyfikatorów. Badania skuteczności wykazały, że metoda wykorzystująca parametryzowana entropie Renyiego lub Tsallisa pozwala na skuteczne wykrywanie anomalii związanych ze złośliwym oprogramowaniem typu botnet przy jednoczesnym zachowaniu niskiego poziomu fałszywych alarmów. Odpowiadająca detekcja bazująca na entropii Shannona lub podejściu wolumenowych okazuje się nieskuteczna.

Pełna wersja autoreferatu pb_autoreferat.pdf

1. P.Bereziński, B.Jasiul, M.Szpyrka, An entropy-based network anomaly detection method. Entropy, 17(4):2367–2408, 2015, IF = 1.56, Lista A wykazu MNiSW - 30 pkt
2. M.Małowidzki, P.Bereziński, M. Mazur. Network intrusion detection: Half a kingdom for a good dataset. In Proceedings of NATO STO SAS-139 Workshop, Portugal, 2015
3. P.Bereziński, M.Szpyrka, B.Jasiul, M.Mazur. Network anomaly detection using parameterized entropy. In K. Saeed and V. Snášel, editors, Computer Information Systems and Industrial Management, volume 8838 of Lecture Notes in Computer Science, pages 465–478. Springer Berlin Heidelberg, 2014, Best Paper Award
4. P.Bereziński, J.Pawelec, M.Małowidzki, R.Piotrowski. Entropy-based internet traffic anomaly detection: A case study. In: Proceedings of the Ninth International Conference on Dependability and Complex Systems DepCoS-RELCOMEX, Advances in Intelligent Systems and Computing, vol. 286, pp. 47–58. Springer, 2014
5. J.Pawelec, P.Bereziński, R.Piotrowski, W.Chamela. Entropy measures for internet traffic anomaly detection. In: Proceedings of TransComp Conference on Computer Systems Aided Science, Industry and Transport, Poland, 2013
6. P.Bereziński, R.Piotrowski, J.Śliwa, B.Jasiul. Detection of multistage attack in federation of system environment. In: Proceedings of NATO STO IST-111 Symposium on Information Assurance and Cyber Defence, Germany, 2012
7. B.Jasiul, R.Piotrowski, P.Bereziński, M.Choraś, R.Kozik, J.Brzostek. Federated cyber defense system – applied methods and techniques. In: Proceedings of Military Communication and Information System Conference, Poland, 2012

- dr hab. Jan Bazan, prof. UR skmbt_c25215101409100.pdf
- dr hab. inż. Wojciech Mazurczyk skmbt_c25215101409090.pdf