“GET../..”; apache2 sends request w

“GET../..”; apache2 sends request with a lot of repeated “User − Agent : sioux
”,
etc. Using payload to detect these attacks is a more reliable means than detecting anomalous headers simply because their packet headers are all normal to establish a good connection to deliver their poison payload. Connection based detection has a better result than
the packet based models for port 21 and 80. It’s also important to notice that the truncated
payload models achieve results nearly as good as the full payload models, but are much
more efficient in time and space.
For port 23 and port 25 the result is not as good as the models for port 21 and 80.
That’s because their content are quite free style and some of the attacks are well hidden.
For example, the framespoofer attack is a fake email from the attacker that misdirects
the victim to a malicious web site. The website URL looks entirely normal. Malformed
email and telnet sessions are successfully detected, like the perl attack which runs some
bad perl commands in telnet, and the sendmail attack which is a carefully crafted email
message with an inappropriately large MIME header that exploits a buffer overflow error
in some versions of the sendmail program. For these two ports, the packet-based models
are better than the connection-based models. This is likely due to the fact that the actual
exploit is buried within the larger context of the entire connection data, and its particular
anomalous character distribution is swamped by the statistics of the other data portions of
the connection. The per packet model detects this anomalous payload more easily.
There are many attacks that involve multiple steps aimed at multiple ports. If we can detect one of the steps at any one port, then the attack can be detected success-fully. Thus we
correlate the detector alerts from all the ports and plot the overall performance. When we
restrict the false positive rate of each port (during calibration of the threshold) to be lower
than 1%, we achieve about a 60% detection rate, which is pretty high for the DARPA99
dataset. The results for each model are displayed in the Table 3.2:
Modeling the payload to detect anomalies is useful to protect servers against new attacks. Furthermore, careful inspection of the detected attacks in the tables and from other
sources reveals that correlating this payload detector with other detectors increases the cov-

Kết quả (Việt) 1:

"NHẬN ĐƯỢC.../..”; apache2 gửi yêu cầu với rất nhiều của lặp đi lặp lại "người dùng − đại lý: sioux
",vv. Bằng cách sử dụng trọng để phát hiện các cuộc tấn công là một phương tiện đáng tin cậy hơn so với phát hiện tiêu đề bất thường chỉ đơn giản là bởi vì của tiêu đề gói là tất cả bình thường để thiết lập một kết nối tốt để cung cấp của tải trọng độc. Phát hiện kết nối dựa có một kết quả tốt hơn so vớigói tin dựa trên mô hình cho cổng 21 và 80. Nó cũng là quan trọng để nhận thấy rằng các cắt ngắntrọng tải mô hình đạt được kết quả gần như tốt như các mô hình đầy đủ tải trọng, nhưng nhiềuhiệu quả hơn trong thời gian và không gian.Cho cổng 23 và cổng 25 kết quả không phải là tốt như các mô hình cho cổng 21 và 80.Đó là bởi vì nội dung của họ là khá miễn phí phong cách và một số các cuộc tấn công tốt được ẩn.Ví dụ, các cuộc tấn công framespoofer là một email giả từ những kẻ tấn công misdirectsnạn nhân của một trang web độc hại. URL của trang web trông hoàn toàn bình thường. Bị thay đổiemail và telnet buổi được thành công phát hiện, như các cuộc tấn công perl chạy một sốxấu perl lệnh telnet, và cuộc tấn công sendmail là một cẩn thận crafted emailCác tin nhắn với một tiêu đề MIME không thích đáng lớn khai thác một lỗi tràn bộ đệmtrong một số phiên bản của chương trình sendmail. Đối với những hai cổng, các mô hình dựa trên góitốt hơn so với các mô hình dựa trên kết nối. Điều này là có khả năng do thực tế là thực tếkhai thác được chôn cất trong bối cảnh lớn hơn của các dữ liệu kết nối toàn bộ, và đặc biệt của nónhân vật bất thường phân phối swamped bởi các số liệu thống kê của các phần dữ liệu khác củakết nối. Các mỗi gói mô hình phát hiện này tải trọng bất thường dễ dàng hơn.Có rất nhiều cuộc tấn công có liên quan đến nhiều bước nhằm vào nhiều cổng. Nếu chúng tôi có thể phát hiện một trong những bước tại bất kỳ một cổng, sau đó cuộc tấn công có thể được phát hiện thành công hoàn toàn. Do đó chúng tôitương quan thông báo phát hiện từ tất cả các cổng và vẽ hiệu suất tổng thể. Khi chúng tôihạn chế tỷ lệ tích cực sai mỗi cổng (trong thời gian hiệu chuẩn của ngưỡng) thấp hơnhơn 1%, chúng tôi đạt được về một tỷ lệ phát hiện 60%, mà là khá cao cho DARPA99bộ dữ liệu. Kết quả cho mỗi mô hình được hiển thị trong bảng 3.2:Mô hình trọng phát hiện dị thường là hữu ích để bảo vệ các máy chủ chống lại cuộc tấn công mới. Hơn nữa, các kiểm tra cẩn thận của các cuộc tấn công được phát hiện trong các bảng và từ khácnguồn cho thấy rằng tương ứng này phát hiện tải trọng chiến đấu với các thiết bị dò tăng cov-

Kết quả (Việt) 2:

"GET ../ .."; apache2 gửi yêu cầu với rất nhiều lặp đi lặp lại "User - Agent: sioux r n",
vv Sử dụng tải trọng để phát hiện các cuộc tấn công là một phương tiện đáng tin cậy hơn so với việc phát hiện tiêu đề bất thường đơn giản chỉ vì tiêu đề gói tin của họ là tất cả bình thường để thiết lập một kết nối tốt để cung cấp tải trọng độc của họ. Kết nối dựa trên phát hiện có một kết quả tốt hơn so với
các mô hình gói dựa cho cổng 21 và 80. Nó cũng quan trọng để nhận ra rằng cắt ngắn
mô hình tải trọng đạt được kết quả gần như là tốt như các mô hình tải trọng đầy đủ, nhưng có nhiều
hiệu quả hơn trong thời gian và không gian.
Đối với cổng 23 và cổng 25 kết quả là không tốt như các mô hình cho cổng 21 và 80.
Đó là bởi vì nội dung của họ là phong cách khá tự do và một số các cuộc tấn công đang ẩn tốt.
Ví dụ, các cuộc tấn công framespoofer là một email giả từ kẻ tấn công misdirects rằng
các nạn nhân của một trang web độc hại. URL của trang web trông hoàn toàn bình thường. Bị thay đổi
phiên email và telnet được phát hiện thành công, giống như các cuộc tấn công perl mà chạy một số
lệnh perl xấu trong telnet, và các cuộc tấn công sendmail đó là một email cẩn thận
nhắn với một header MIME không thích hợp lớn mà khai thác một lỗi tràn bộ đệm
trong một số phiên bản của chương trình sendmail. Đối với hai cổng, các mô hình dựa trên gói
là tốt hơn so với các mô hình kết nối dựa trên. Điều này có thể do thực tế là thực tế
khai thác được chôn trong bối cảnh lớn hơn của toàn bộ dữ liệu kết nối, và đặc biệt của nó
phân bố nhân vật bất thường đang bị tràn ngập bởi số liệu thống kê của các phần dữ liệu khác của
các kết nối. Các mô hình phát hiện mỗi gói tải trọng bất thường này một cách dễ dàng hơn.
Có rất nhiều cuộc tấn công có liên quan đến nhiều bước nhằm vào nhiều cổng. Nếu chúng ta có thể phát hiện một trong các bước ở bất kỳ một cổng, sau đó tấn công có thể được phát hiện thành công-đầy đủ. Như vậy chúng ta
có tương quan các cảnh báo dò từ tất cả các cổng và cốt truyện hiệu suất tổng thể. Khi chúng tôi
hạn chế tỷ lệ dương tính giả của mỗi cổng (quá trình hiệu chuẩn của các ngưỡng) sẽ thấp
hơn 1%, chúng tôi đạt được khoảng một tỷ lệ phát hiện 60%, đó là khá cao cho DARPA99
bộ dữ liệu. Các kết quả cho mỗi mô hình được hiển thị trong Bảng 3.2:
Mô hình hóa tải trọng để phát hiện dị thường là hữu ích để bảo vệ máy chủ chống lại các cuộc tấn công mới. Hơn nữa, kiểm tra cẩn thận các cuộc tấn công được phát hiện trong các bảng và các từ khác
nguồn cho thấy mối tương quan giữa detector tải trọng này với máy dò khác làm tăng cov-