Building an Intrusion Detection System for IT Security Based on Data Mining Techniques

Building an Intrusion Detection System for IT Security Based on Data Mining Techniques This paper aims to research various data mining techniques applied to solve intrusion detection problems. In general, intrusion detection techniques can be divided into two major categories: misuse detection and anomaly detection. Taking into consideration effectiveness of the anomaly detection technique not only against known types of attacks (like misuse detection does by exploiting signature database) but also against new ones, it has become a topical issue in majority of data and computer security researches. The techniques discussed in the paper include the Hidden Markov Model (HMM) method for modelling and evaluating invisible events based on system calls, further development of Stephanie Forrest's idea of the fixed-length audit trail patterns, the principle component analysis based method for anomaly intrusion detection with less computation efforts, algorithm based on k-nearest neighbour method, as well as applying association rule algorithm to audit data. Nesankcionētas piekļuves sistēmas izveidošana, izmantojot intelektuālās datu ieguves metodes Darba mērķis ir izpētīt dažādas datu ieguves metodes, kas tiek izmantotas nesankcionētas piekļuves problēmas risināšanai. Kopumā nesankcionētas piekļuves paņēmienus var iedalīt divās nozīmīgās kategorijās - ļaunprātīga izmantošanas un anomāliju noteikšana. Ņemot vērā anomāliju noteikšanas metodes efektivitāti ne tikai pret zināma veida uzbrukumiem (piemēram, izmantojot parakstu datu bāzi), bet arī pret jauniem veidiem, tā ir kļuvusi par aktuālāko tēmu lielākajā daļā datu un informācijas tehnologiju drošības pētījumos. Darbā tiek izpētītas tādas datu ieguves metodes kā Markova apslēptā modeļa (Hidden Markov Model (HMM)) metode apslēpto notikumu, kas balstās uz sistēmas izsaukumiem, modelēšanai un novērtēšanai, tālāka Stefanijas Foresteres idejas izstrāde par fiksētā garuma Auditācijas pierakstu analīzi, metode anomāliju noteikšanai, kas balstās uz galveno komponentu analīzi, K-tuvāko kaimiņu metode, kā arī asociatīvo noteikumu metodes piemērošana auditācijas datiem. Visas izpētītās datu ieguves metodes ir pietiekami labi piemērotas nesankcionētas piekļuves problēmas risināšanai, tomēr to reālā pielietošanas sfēra lielā mērā ir atkarīga no konkrētiem apstākļiem. Piemēram, paslēpto Markova modeļu izmantošanai ir jārēķinās ar augstām skaitļošanas prasībām modeļa izveidošanai, kas dažos gadījumos var būt nepieņemami. Savukārt, ņemot vērā K-tuvāko kaimiņu metodes piemērotību teksta atpazīšanai, tā arī ir salīdzinoši viegli pielietojama minētās problēmas risināšanai. Turpmākie pētījumi apskatītajā nesankcionētas piekļuves sfērā tiek novirzīti Asociatīvo noteikumu indukcijas metodes pielietošanai, ņemot vērā to salīdzinoši vieglo pielietojumu transakciju datu bāzēs, turklāt šī metode demonstrē zemu kļūdaino atklājumu līmeni. Построение системы обнаружения несанкционированных вторжений с использованием методов интеллектуального анализа данных Данная работа посвящена исследованию различных методов интеллектуального анализа данных, используемых для решения проблем обнаружения несанкционированных вторжений. В общем случае обнаружения вторжений можно разделить на две основные категории выявление злоупотреблений и обнаружение аномалий. Принимая во внимание эффективность не только для определения известных видов атак (например, обнаружение злоупотреблений реализуется, используя сигнатурную базу данных), но также и против новых, обнаружение аномалий стало актуальным вопросом в большинстве исследований по безопасности данных и компьютерной безопасности. Методы, обсуждаемые в работе, включают в себя: моделирование невидимых событий на основе системных вызовов, используя скрытые Марковские модели; дальнейшее развитие идеи Стефании Форрест по анализу аудитных данных фиксированной длины; обнаружение аномалий, используя метод главных компонентов; алгоритм, основанный на анализе К-ближайших соседей, а также построение ассоциативных правил для аудитных данных. Все изученные методы анализа данных достаточно хорошо применимы для решения проблемы несанкционированного доступа, но реальная сфера их применения существенно зависит от конкретных обстоятельств. Например, применяя скрытые Марковские модели, необходимо учитывать высокие вычислительные требования при создании модели, что в некоторых случаях может оказаться неприемлемым. С другой стороны, учитывая высокую пригодность метода К-ближайших соседей для распознавания текста, он оказывается относительно простым в использовании для решения поставленной проблемы. Планируется, что дальнейшие исследования в рамках решения проблемы несанкционированного доступа будут посвящены методу индукции ассоциативных правил, принимая во внимание относительную легкость его применения в транзакционных базах данных; кроме того, этот метод демонстрирует низкий уровень ложных детекций.