[Denning 1987] proposed a model for

[Denning 1987] proposed a model for intrusion detection based on the assertion that exploitation of a system’s vulnerabilities involves abnormal use of the system. Therefore, intrusions could be detected by identifying abnormal patterns of system usage. Since then, a significant amount of research has been accomplished in the area of anomaly based intrusion detection. A number of surveys have been published that characterize the features of intrusion detection systems. Some surveys have categorized a broad range of intrusion detection approaches while others have focused on anomaly based techniques. [Debar et al 1999] classified systems according to Detection method, behavior on detection, audit source location, usage frequency, and whether systems were knowledge based or behavior based. Building on the idea of knowledge versus behavior based, [Axelsson et a1 2000] identified two broad categories of intrusion detection systems: anomaly based and signature based. Anomaly based systems were further divided into Self-learning systems and Programmed Systems. [Tsai et al 2009] and [Kumar et al 2010] provide comprehensive reviews of Machine Learning Techniques and Artificial Intelligence techniques to intrusion detection respectively. [Patcha and Park 2007] surveyed Anomaly based Intrusion Detection classifying models based on approach. [Chandola 2009] provides a survey on anomaly detection applied to a variety of disciplines including intrusion detection. Inspired by these surveys, we discuss related work according to the following distinctions: The input data examined for detection, and the method of identifying anomalies. We first characterize anomaly based methods based on the input data. Host based systems monitor data such as system call stacks, registry access and application logs, network based systems typically monitor packet header, packet content, and connection information. We further classify approaches based on the detection method. The surveys identified previously classify approaches in a variety of disciplines including statistical analysis, machine learning, data mining, and association rule discovery. Data mining and machine learning are closely related disciplines and there is significant overlap in classifying methods in these disciplines. Within the context of network anomaly detection we use three broad classifications: statistical analysis, rule based approaches, and machine learning based approaches. The basic assumption of statistical anomaly detection techniques is that normal data instances occur in high probability regions of a stochastic model, while anomalies occur in the low probability regions of the stochastic model [Chandola et a1 2009]. Rule based approaches are methods that heuristically identify a set of rules that a system can use to identify anomalous network events.
Machine learning methods involve approaches that use input data to learn patterns of normal and abnormal traffic and evolve identification and or classification capability of suspicious traffic according to the algorithm used. The work in this thesis is network anomaly detection with machine learning and quality of service mitigation. As such we do not address signature based approaches. In our discussion of related work, we first briefly discuss host based approaches. We then discuss various network based approaches including statistical, rule based, and machine learning methodologies with the most emphasis on machine learning approaches. Figure 2 illustrates the relationship between surveyed detection methods.

Kết quả (Việt) 1:

[Denning 1987] đề xuất một mô hình để phát hiện xâm nhập dựa trên khẳng định rằng khai thác lỗ hổng của một hệ thống liên quan đến việc sử dụng bất thường của hệ thống. Do đó, sự xâm nhập có thể được phát hiện bằng cách xác định các mô hình bất thường của hệ thống sử dụng. Kể từ đó, một số lượng đáng kể các nghiên cứu đã được thực hiện trong lĩnh vực bất thường dựa trên sự xâm nhập phát hiện. Một số cuộc khảo sát đã được xuất bản mà characterize các tính năng của hệ thống phát hiện xâm nhập. Một số cuộc khảo sát đã phân loại một loạt các phương pháp tiếp cận phát hiện xâm nhập trong khi những người khác đã tập trung vào kỹ thuật bất thường dựa. [Debar et al 1999] phân loại hệ thống theo phương pháp phát hiện, hành vi trên phát hiện, kiểm tra nguồn địa điểm, tần số sử dụng, và cho dù hệ thống đã kiến thức dựa hoặc hành vi dựa. Xây dựng trên ý tưởng của kiến thức so với hành vi dựa, [Axelsson et a1 2000] xác định hai loại rộng về hệ thống phát hiện xâm nhập: bất thường dựa trên và chữ ký dựa. Bất thường dựa trên hệ thống được chia ra thành tự học hệ thống và lập trình hệ thống. [Tsai et al 2009] và [Kumar et al 2010] cung cấp các đánh giá toàn diện của máy học tập kỹ thuật và trí tuệ nhân tạo kỹ thuật để phát hiện xâm nhập tương ứng. [Patcha và công viên 2007] khảo sát bất thường dựa trên phát hiện xâm nhập phân loại các mô hình dựa trên phương pháp tiếp cận. [Chandola 2009] cung cấp một cuộc khảo sát phát hiện bất thường được áp dụng cho một loạt các môn học bao gồm cả phát hiện xâm nhập. Lấy cảm hứng từ các cuộc điều tra, chúng tôi thảo luận về các công việc có liên quan theo sự phân biệt sau: đầu vào dữ liệu kiểm tra để phát hiện, và các phương pháp xác định các bất thường. Chúng tôi lần đầu tiên mô tả bất thường dựa trên phương pháp dựa trên đầu vào dữ liệu. Hệ thống máy chủ lưu trữ dựa theo dõi dữ liệu chẳng hạn như hệ thống ngăn xếp cuộc gọi, truy cập đăng ký và Nhật ký ứng dụng, Hệ thống mạng dựa thường theo dõi tiêu đề gói tin, gói nội dung và thông tin kết nối. Chúng tôi tiếp tục phân loại phương pháp tiếp cận dựa trên phương pháp phát hiện. Các cuộc điều tra được xác định trước đó phân loại phương pháp tiếp cận trong một loạt các môn học bao gồm phân tích thống kê, Máy học, khai thác dữ liệu, và Hiệp hội quy tắc phát hiện. Khai thác dữ liệu và máy học là ngành liên quan chặt chẽ và có chồng chéo lên nhau đáng kể trong phân loại các phương pháp trong các lĩnh vực. Trong bối cảnh của mạng bất thường phát hiện chúng tôi sử dụng ba phân loại rộng: phân tích thống kê, quy tắc dựa trên phương pháp tiếp cận và máy học dựa trên phương pháp tiếp cận. Giả định cơ bản của kỹ thuật phát hiện thống kê bất thường là trường hợp dữ liệu bình thường xảy ra trong khu vực xác suất cao của một mô hình ngẫu nhiên, trong khi bất thường xảy ra ở các vùng thấp xác suất của các mô hình ngẫu nhiên [Chandola et a1 2009]. Quy tắc dựa trên phương pháp tiếp cận những phương pháp nhờ xác định một tập các quy tắc mà một hệ thống có thể sử dụng để xác định sự kiện bất thường mạng.Máy học tập phương pháp liên quan đến phương pháp tiếp cận sử dụng dữ liệu đầu vào để tìm hiểu các mô hình của lưu lượng truy cập bình thường và bất thường và phát triển khả năng nhận dạng và hoặc phân loại lưu lượng truy cập đáng ngờ theo thuật toán được sử dụng. Các công việc trong luận án này là mạng phát hiện bất thường với máy học và chất lượng của dịch vụ giảm nhẹ. Như vậy, chúng tôi không địa chỉ các chữ ký dựa trên phương pháp tiếp cận. Trong chúng tôi thảo luận về công việc liên quan, chúng tôi lần đầu tiên một thời gian ngắn thảo luận về phương pháp tiếp cận chủ dựa. Chúng tôi sau đó thảo luận về các mạng dựa trên phương pháp tiếp cận bao gồm thống kê, quy tắc dựa và máy học các phương pháp với sự nhấn mạnh nhất trên máy học phương pháp tiếp cận. Hình 2 minh họa mối quan hệ giữa phương pháp khảo sát phát hiện.

Kết quả (Việt) 2:

[Denning 1987] đề xuất một mô hình để phát hiện xâm nhập dựa trên sự khẳng định rằng khai thác các lỗ hổng của hệ thống liên quan đến việc sử dụng bất thường của hệ thống. Do đó, sự xâm nhập có thể được phát hiện bằng cách xác định mô hình bất thường của hệ thống sử dụng. Kể từ đó, một số lượng đáng kể của nghiên cứu đã được thực hiện trong khu vực phát hiện xâm nhập bất thường dựa. Một số cuộc khảo sát đã được công bố đặc trưng cho các tính năng của hệ thống phát hiện xâm nhập. Một số cuộc điều tra đã được phân loại một loạt các phương pháp phát hiện xâm nhập, trong khi những người khác đã tập trung vào các kỹ thuật bất thường dựa. [Debar et al 1999] hệ thống phân loại theo phương pháp phát hiện, hành vi trong việc phát hiện, kiểm toán nguồn vị trí, tần suất sử dụng, và cho dù hệ thống được kiến thức dựa trên hoặc dựa trên hành vi. Xây dựng trên ý tưởng của kiến thức so với hành vi dựa, [Axelsson et a1 2000] xác định được hai loại rộng của các hệ thống phát hiện xâm nhập: bất thường dựa trên và dựa trên chữ ký. Anomaly dựa trên hệ thống được chia thành các hệ thống tự học và Hệ thống được lập trình. [Tsai et al 2009] và [Kumar et al 2010] cung cấp đánh giá toàn diện về các phương pháp học máy và kỹ thuật trí tuệ nhân tạo để phát hiện xâm nhập tương ứng. [Patcha và Park 2007] điều tra bất thường phát hiện xâm phạm dựa trên phân loại các mô hình dựa trên cách tiếp cận. [Chandola 2009] cung cấp một cuộc khảo sát trên phát hiện bất thường áp dụng cho một loạt các lĩnh vực bao gồm phát hiện xâm nhập. Lấy cảm hứng từ các cuộc điều tra, chúng tôi thảo luận về công việc liên quan theo sự khác biệt sau: Các dữ liệu đầu vào được kiểm tra để phát hiện, và các phương pháp xác định dị thường. Chúng tôi lần đầu tiên mô tả các phương pháp bất thường dựa trên cơ sở dữ liệu đầu vào. Hệ thống máy chủ dựa theo dõi dữ liệu như ngăn xếp cuộc gọi hệ thống, truy cập registry và các bản ghi ứng dụng, dựa trên hệ thống mạng thường theo dõi tiêu đề gói tin, nội dung gói tin, và các thông tin kết nối. Chúng tôi tiếp tục phân loại các phương pháp tiếp cận dựa trên các phương pháp phát hiện. Các cuộc điều tra đã xác định trước đó phân loại các phương pháp tiếp cận trong một loạt các lĩnh vực bao gồm phân tích thống kê, học máy, khai thác dữ liệu, và khám phá luật kết hợp. Khai thác dữ liệu và máy học là lĩnh vực liên quan chặt chẽ và có sự chồng chéo đáng kể trong việc phân loại các phương pháp trong các lĩnh vực. Trong bối cảnh phát hiện mạng lưới bất thường, chúng tôi sử dụng ba loại chính: phân tích thống kê, phương pháp tiếp cận dựa trên nguyên tắc, phương pháp tiếp cận và học tập dựa trên máy. Các giả định cơ bản của kỹ thuật phát hiện bất thường thống kê là các trường hợp dữ liệu bình thường xảy ra trong khu vực xác suất cao của một mô hình ngẫu nhiên, trong khi bất thường xảy ra trong vùng xác suất thấp của các mô hình ngẫu nhiên [Chandola et a1 2009]. Phương pháp tiếp cận dựa trên nguyên tắc là phương pháp mà heuristically xác định một tập hợp các quy tắc mà một hệ thống có thể sử dụng để xác định các sự kiện mạng bất thường.
phương pháp học tập liên quan đến phương pháp tiếp cận Máy sử dụng dữ liệu đầu vào để học hỏi mô hình giao thông bình thường và bất thường và phát triển nhận dạng và phân loại hoặc khả năng giao thông đáng ngờ theo thuật toán được sử dụng. Các công việc trong luận án này là phát hiện bất thường mạng với máy tính học tập và chất lượng của dịch vụ giảm nhẹ. Như vậy chúng ta không giải quyết phương pháp tiếp cận dựa trên chữ ký. Trong cuộc thảo luận của chúng ta về công việc liên quan, trước tiên chúng ta một thời gian ngắn thảo luận về phương pháp tiếp cận dựa trên máy chủ. Sau đó chúng tôi thảo luận về phương pháp tiếp cận dựa trên mạng khác nhau bao gồm thống kê, dựa trên nguyên tắc và phương pháp học máy với sự nhấn mạnh nhất về các phương pháp học máy. Hình 2 minh họa mối quan hệ giữa các phương pháp phát hiện khảo sát.