1999 DARPA ID dữ liệu thiết lập được thu thập tại MIT Lincoln Labs để đánh giá sự xâm nhậpHệ thống phát hiện. Tất cả mạng lưới giao thông bao gồm toàn bộ tải trọng của mỗi gói tinghi lại ở định dạng tcpdump và cung cấp để đánh giá. Ngoài ra, có cũng là kiểm toánNhật ký, hàng ngày tập tin hệ thống bãi, và các bản ghi BSM (Solaris hệ thống gọi). Các dữ liệu bao gồmba tuần đào tạo dữ liệu và hai tuần của dữ liệu thử nghiệm. Trong dữ liệu đào tạo có haituần miễn phí tấn công dữ liệu và dữ liệu với cuộc tấn công có nhãn của một tuần.Số liệu này đã được sử dụng trong nhiều nghiên cứu những nỗ lực và kết quả của cuộc thử nghiệm so với dữ liệu nàyđã được báo cáo trong nhiều ấn phẩm. Mặc dù có những vấn đề do tính chấtmôi trường mô phỏng tạo dữ liệu, nó vẫn còn một tập hữu ích của dữ liệuHãy so sánh các kỹ thuật. Đầu trang kết quả đã được báo cáo bởi [39].Trong thử nghiệm của chúng tôi về tải trọng bất thường phát hiện chúng chỉ sử dụng bên trong mạng lưới giao thôngdữ liệu mà bị lạc giữa các bộ định tuyến và các nạn nhân. Bởi vì các ứng dụng đặt công cộng trên Internet sử dụng TCP (web, email, telnet và ftp), và để làm giảm sự phức tạpcủa thử nghiệm, chúng tôi chỉ kiểm tra TCP đến lưu lượng truy cập đến các cảng 0-1023 của cáctổ chức 172.016.xxx.xxx chứa hầu hết các nạn nhân, và cổng 0-1023 nằm trên mộtphần lớn các dịch vụ mạng. Cho dữ liệu DARPA 99, chúng tôi tiến hành thí nghiệm bằng cách sử dụng mỗi gói như là các đơn vị dữ liệu và mỗi kết nối như các đơn vị dữ liệu. Chúng tôi sử dụng tcptraceđể tái tạo lại các kết nối TCP từ các gói dữ liệu mạng trong các tập tin tcpdump. Chúng tôi cũngthử nghiệm ý tưởng của "tải trọng cắt ngắn", cả hai đều cho mỗi gói tin và mỗi kết nối.Đối với gói cắt ngắn, chúng tôi cố N byte đầu tiên và đuôi N byte một cách riêng biệt, N ở đâumột tham số. Bằng cách sử dụng cắt bớt trọng tải tiết kiệm đáng kể tính toán thời gian và không gian. Chúng tôibáo cáo kết quả cho mỗi của các mô hình này.Chúng tôi đào tạo mô hình phân phối tải trọng trên số liệu DARPA sử dụng tuần 1 (5 ngày,tấn công miễn phí) và tuần 3 (7 ngày, tấn công miễn phí), sau đó đánh giá các máy dò vào tuần 4 và 5,có chứa các trường hợp 201 58 tấn công khác nhau, 177 trong đó có thể nhìn thấy ở bên trongtcpdump dữ liệu. Bởi vì chúng tôi giới hạn các nạn nhân IP và dải cổng, có là 14 người khác chúng tôibỏ qua trong thử nghiệm này.Trong thử nghiệm này, chúng tôi tập trung vào lưu thông TCP chỉ, vì vậy các cuộc tấn công bằng cách sử dụng UDP, ICMP,ARP (giao thức phân giải địa chỉ) và IP chỉ không thể được phát hiện. Chúng bao gồm: smurf(ICMP echo-trả lời lũ), ping-của-cái chết (cửa sổ cỡ lớn ping túi), UDPstorm, arppoison(corrupts ARP cache mục của nạn nhân), selfping, ipsweep, teardrop (MIS-phân mảnhGói UDP). Cũng bởi vì chúng tôi mô hình tải trọng được tính từ chỉ một phần trọng củagói tin mạng, các cuộc tấn công mà không chứa bất kỳ tải trọng là không thể phát hiệnvới các máy dò đề xuất bất thường. Vì vậy, không có trong tất cả các cuộc tấn công 97 để được phát hiện bởichúng tôi mô hình tải trọng chiến đấu trong tuần 4 và 5 đánh giá dữ liệu.Sau khi lọc không có trong tất cả các gói dữ liệu 2,444,591, và 49556 kết nối, với chiều dài nonzero dữ liệu để đánh giá. Chúng tôi xây dựng một mô hình cho mỗi chiều dài tải trọng quan sát thấy trong cácđào tạo dữ liệu cho mỗi cổng giữa 0-1023 và cho mỗi máy chủ. Các yếu tố làm mịn được thiết lập để 0,001 đó sẽ cho kết quả tốt nhất cho số liệu này (xem các cuộc thảo luận trong phần3.2). điều này giúp tránh phù hợp hơn và làm giảm tỷ lệ sai tích cực. Cũng nhờ có mộtkhông đủ số lượng đào tạo ví dụ trong dữ liệu DARPA99, chúng tôi áp dụng clustering để cácMô hình như mô tả trước đó. Cụm các mô hình của giáp ranh chiều dài thùng có nghĩa làtương tự như các mô hình có thể cung cấp thêm dữ liệu đào tạo cho một mô hình có dữ liệu đào tạo là quáthưa thớt do đó làm cho nó ít nhạy cảm và chính xác hơn. Nhưng cũng là nguy cơ rằng tỷ lệ phát hiện sẽ thấp hơn khi các mô hình cho phép nhiều phương sai trong bản phân phối tần số. Dựa trên mô hình cho mỗi chiều dài tải trọng, chúng tôi đã làm cụm với một ngưỡngcủa 0.5, có nghĩa là nếu hai lân cận mô hình của byte tần số phân phối có ít hơnhơn cách 0.5 Manhattan khoảng cách chúng tôi kết hợp mô hình của họ.Vì sự đơn giản của bộ dữ liệu DARPA, có tải trọng chiến đấu rất thường xuyênnội dung, đa centroids mô hình không mang lại bất kỳ lợi ích, mà phải chịu một đắt tiền hơntính toán. Chúng tôi cũng đã thử nghiệm với cả hai unclustered và nhóm các mô hình. Cáckết quả cho thấy rằng các mô hình nhóm luôn luôn là tốt hơn so với các mô hình unclustered. Vì vậy, trongphần này, chúng tôi sẽ chỉ hiển thị các kết quả của các mô hình nhóm bằng cách sử dụng duy nhất centroid chomỗi thùng chiều dài.Lưu lượng truy cập cổng khác nhau đã biến đổi khác nhau byte. Ví dụ, trọng đến cổng80 (yêu cầu HTTP) thường là thay đổi ít hơn so với cổng 25 (email). Do đó, chúng tôi thiết lậpngưỡng khác nhau cho mỗi cổng và kiểm tra các máy dò hiệu suất cho mỗi cổng. CácCác cuộc tấn công được sử dụng trong việc đánh giá có thể nhắm mục tiêu một hoặc nhiều cổng. Do đó, chúng tôi hiệu chỉnh một khác biệtngưỡng cho mỗi cổng và tạo ra các đường cong ROC bao gồm tất cả các cuộc tấn công thích hợp nhưđất thật. Các gói dữ liệu với khoảng cách điểm số cao hơn ngưỡng được phát hiện nhưdị thường.Con số 3,11 cho thấy đường cong ROC cho tối đa bốn thường tấn công cảng: 21,23, 25, và 80. Cho các cảng khác, ví dụ. 53, 143, 513 vv, DARPA99 dữ liệu khôngcung cấp đào tạo đủ lớn và thử nghiệm mẫu, do đó, các kết quả cho những cổng khôngrất có ý nghĩa.Cho mỗi cổng, chúng tôi sử dụng năm đơn vị dữ liệu khác nhau, đào tạo và thử nghiệm. Truyền thuyếttrong các lô và ý nghĩa của họ:1. cho mỗi mô hình gói, sử dụng toàn bộ tải trọng của mỗi gói tin mạng;2. lần đầu tiên 100 gói mô hình, sử dụng 100 byte đầu tiên của mỗi gói tin mạng;3. đuôi 100 gói mô hình, trong đó sử dụng 100 byte cuối của mỗi gói tin mạng;4. một mô hình Conn, sử dụng toàn bộ tải trọng của mỗi kết nối;385. cắt ngắn Conn mô hình, sử dụng 1000 byte đầu tiên của mỗi kết nối.
đang được dịch, vui lòng đợi..
![](//viimg.ilovetranslation.com/pic/loading_3.gif?v=b9814dd30c1d7c59_8619)